Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO · Stand: September 2026

zwischen dem Verantwortlichen - dem Vertragspartner des Auftragnehmers, der diesen Auftragsverarbeitungsvertrag im Rahmen der Registrierung elektronisch akzeptiert - (nachfolgend „Auftraggeber“ genannt)

und dem Auftragsverarbeiter R2 IT Solutions GmbH, Collenbuschstraße 11, 01324 Dresden (nachfolgend „Auftragnehmer“ genannt), nachfolgend zusammen die „Parteien“ genannt.

Präambel: Für diesen Auftragsverarbeitungsvertrag gelten die Begriffe und Definitionen der Verordnung (EU) 2016/679 (nachfolgend „DSGVO“), insbesondere des Art. 4 DSGVO.

1. Gegenstand

1.1 Gegenstand dieses Auftragsverarbeitungsvertrages ist die Festlegung des datenschutzrechtlichen Rahmens für die vertraglichen Beziehungen zwischen den Parteien.

1.2 Die Beschreibung des jeweiligen Auftrags mit den Angaben über Gegenstand des Auftrags, Umfang, Art und Zweck der Datenverarbeitung, Art der personenbezogenen Daten sowie Kategorien der betroffenen Personen befindet sich in der Anlage unter der Ziffer 1.

2. Ort der Datenverarbeitung

Die vertraglich vereinbarte Verarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt, sofern sich aus der Anlage nichts Anderes ergibt. Jede Verlagerung der Verarbeitung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers in schriftlicher Form und darf nur erfolgen, wenn die besonderen Voraussetzungen für die Übermittlung in ein Drittland nach Art. 44 ff. DSGVO erfüllt sind.

3. Laufzeit

3.1 Dieser Vertrag wird auf unbestimmte Zeit geschlossen und kann von jeder Partei mit einer Frist von drei Monaten gekündigt werden. Soweit im Zeitpunkt der Kündigung noch ein Hauptvertrag oder mehrere Hauptverträge, bei denen der Auftragnehmer im Auftrag personenbezogene Daten des Auftraggebers verarbeitet, in Kraft sind, gelten die Bestimmungen dieses Vertrages bis zu der regulären Beendigung des Hauptvertrages/der Hauptverträge fort.

3.2 Der Auftraggeber kann diesen Vertrag ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen Datenschutzvorschriften oder die Bestimmungen dieses Vertrages vorliegt. Insbesondere die Nichteinhaltung der in diesem Vertrag vereinbarten und aus Art. 28 DSGVO abgeleiteten Pflichten stellt einen schweren Verstoß dar.

4. Weisung

4.1 Der Auftragnehmer verarbeitet die personenbezogenen Daten nur im Rahmen der vom Auftraggeber erteilten Weisungen. Dies gilt nicht, soweit der Auftragnehmer durch das Recht der EU oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, zur Verarbeitung verpflichtet ist. In diesem Fall teilt der Auftragnehmer diese rechtlichen Anforderungen vor der Verarbeitung mit, es sei denn, die Mitteilung ist durch das betreffende Recht wegen eines wichtigen öffentlichen Interesses verboten.

4.2 Falls Weisungen die unter Ziffer 1 der Anlage dieses Vertrages getroffenen Festlegungen ändern, aufheben oder ergänzen, sind sie nur zulässig, wenn eine entsprechende neue Vereinbarung in schriftlicher Form erfolgt.

4.3 Unabhängig von der Form der Erteilung dokumentieren sowohl der Auftragnehmer als auch der Auftraggeber jede Weisung des Auftraggebers in Textform. Die Weisungen sind für ihre Geltungsdauer dieses Vertrages und anschließend noch für drei Jahre aufzubewahren.

4.4 Der Auftragnehmer weist den Auftraggeber unverzüglich darauf hin, wenn eine vom Auftraggeber erteilte Weisung seiner Auffassung nach gegen gesetzliche Vorschriften verstößt. In einem solchen Fall ist der Auftragnehmer nach rechtzeitiger vorheriger Ankündigung gegenüber dem Auftraggeber berechtigt, die Ausführung der Weisung auszusetzen, bis der Auftraggeber die Weisung geändert hat oder diese bestätigt. Sofern der Auftragnehmer darlegen kann, dass eine Verarbeitung nach Weisung des Auftraggebers zu einer Haftung des Auftragnehmers nach Art. 82 DSGVO führen kann, steht dem Auftragnehmer das Recht frei, die weitere Verarbeitung insoweit bis zu einer Klärung der Haftung zwischen den Parteien auszusetzen.

4.5 Der Auftraggeber legt den oder die Weisungsberechtigten fest. Der Auftragnehmer legt Weisungsempfänger fest. Bei einem Wechsel oder einer längerfristigen Verhinderung der Ansprechpartner sind dem Vertragspartner unverzüglich und in schriftlicher oder elektronischer Form die Nachfolger oder Vertreter mitzuteilen.

5. Unterstützungspflichten des Auftragnehmers

5.1 Der Auftragnehmer ergreift angesichts der Art der Verarbeitung geeignete technische und organisatorische Maßnahmen, um den Auftraggeber bei seiner Pflicht zur Beantwortung von Anträgen der betroffenen Personen nach Art. 12 bis 22 DSGVO zu unterstützen.

5.2 Unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen unterstützt der Auftragnehmer den Verantwortlichen bei der Einhaltung seiner Pflichten nach Art. 32 bis 36 DSGVO. Im Einzelnen bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen an die Aufsichtsbehörde, der Benachrichtigung betroffener Personen bei einer Verletzung, der Datenschutz-Folgeabschätzung und bei der Konsultation der zuständigen Aufsichtsbehörde.

5.3 Sofern sich eine betroffene Person oder eine Datenschutzaufsichtsbehörde im Zusammenhang mit den unter dieser Vereinbarung verarbeiteten personenbezogenen Daten direkt an den Auftragnehmer wendet, informiert der Auftragnehmer den Auftraggeber hierüber unverzüglich und stimmt die weiteren Schritte mit ihm ab.

6. Prüfungsrechte des Auftraggebers

6.1 Der Auftragnehmer stellt dem Auftraggeber auf dessen Anfrage alle erforderlichen Informationen zum Nachweis der in diesem Vertrag und Art. 28 DSGVO geregelten Pflichten zur Verfügung. Insbesondere erteilt der Auftragnehmer dem Auftraggeber Auskünfte über die gespeicherten Daten und die Datenverarbeitungsprogramme.

6.2 Der Auftraggeber oder von ihm beauftragte Dritte sind - grundsätzlich nach Terminvereinbarung - berechtigt, die Einhaltung der Pflichten aus diesem Vertrag und aus Art. 28 DSGVO zu überprüfen und beim Auftragnehmer Inspektionen vor Ort durchzuführen. Der Auftragnehmer ermöglicht dies und trägt dazu bei.

6.3 Der Auftragnehmer hat dem Auftraggeber auf Anforderung geeigneten Nachweis über die Einhaltungen der Verpflichtungen gemäß Art. 28 Abs. 1 und Abs. 4 DSGVO zu erbringen. Dieser Nachweis kann durch die Bereitstellung von Dokumenten und Zertifikaten, die genehmigte Verhaltensregeln i. S. v. Art. 40 DSGVO oder genehmigte Zertifizierungsverfahren i. S. v. Art. 42 DSGVO abbilden, erbracht werden.

7. Datenschutzbeauftragter des Auftragnehmers

Der Datenschutzbeauftragte des Auftragnehmers ist in der Anlage dieses Vertrages unter Ziffer 3 angeführt, soweit für den Auftragnehmer ein Datenschutzbeauftragter bestellt sein muss oder freiwillig bestellt ist.

8. Vertraulichkeit

8.1 Der Auftragnehmer bestätigt, dass ihm die für die Auftragsverarbeitung einschlägigen datenschutzrechtlichen Vorschriften der DSGVO bekannt sind. Er wahrt bei der Verarbeitung der personenbezogenen Daten des Auftraggebers das Datengeheimnis sowie die Vertraulichkeit. Diese Pflicht besteht auch nach Beendigung dieses Vertragsverhältnisses fort.

8.2 Der Auftragnehmer sichert zu, dass er die bei der Durchführung der Arbeiten beschäftigten Mitarbeiter mit den für sie maßgebenden Bestimmungen des Datenschutzes vertraut macht. Er verpflichtet diese Mitarbeiter durch schriftliche Vereinbarung für die Zeit der Tätigkeit und auch nach Beendigung des Beschäftigungsverhältnisses zur Wahrung der Vertraulichkeit, sofern sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Auftragnehmer überwacht die Einhaltung der datenschutzrechtlichen Vorschriften in seinem Unternehmen.

8.3 Auskünfte an Dritte oder Betroffene darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung, oder Zustimmung in einem elektronischen Format, durch den Auftraggeber erteilen.

9. Technische und organisatorische Maßnahmen

9.1 Der Auftragnehmer führt geeignete technische und organisatorische Maßnahmen so durch, dass die Verarbeitung im Einklang mit den Anforderungen der DSGVO erfolgt und der Schutz der Rechte der betroffenen Person gewährleistet ist. Er gestaltet seine innerbetriebliche Organisation so, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird und ein angemessenes Schutzniveau erreicht wird. Insbesondere hat der Auftragnehmer unter Berücksichtigung des jeweiligen Stands der Technik die angemessene Sicherheit der Verarbeitung, insbesondere die Vertraulichkeit (inklusive Pseudonymisierung und Verschlüsselung), Verfügbarkeit, Integrität, und Belastbarkeit der für die Datenverarbeitung verwendeten Systeme und Dienstleistungen sicherzustellen.

9.2 Die vollständig ausgefüllte Vorlage für technische und organisatorische Maßnahmen in der Anlage oder ein eigenes Sicherheitskonzept des Auftragnehmers wird als verbindlich festgelegt. Die Auswahl zwischen diesen beiden Alternativen kann in Ziffer 5 der Anlage getroffen werden.

9.3 Die technischen und organisatorischen Maßnahmen können im Laufe des Auftragsverhältnisses der technischen Weiterentwicklung angepasst werden. Dabei müssen die angepassten Maßnahmen mindestens dem Sicherheitsniveau der in der Anlage unter der Ziffer 5 vereinbarten Maßnahmen entsprechen. Wesentliche Änderungen sind in schriftlicher Form oder einem elektronischen Format zu vereinbaren.

10. Informationspflichten des Auftragnehmers und Verletzung des Schutzes personenbezogener Daten

10.1 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über jegliche Verstöße oder vermutete Verstöße gegen diesen Vertrag oder Vorschriften, die den Schutz personenbezogener Daten betreffen.

10.2 Der Auftragnehmer unterstützt den Auftraggeber bei der Untersuchung, Schadensbegrenzung und Behebung der Verstöße.

10.3 Sollten die personenbezogenen Daten, die unter dieser Vereinbarung verarbeitet werden, beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang relevanten Stellen unverzüglich auch darüber informieren, dass die Herrschaft über die Daten beim Auftraggeber liegt.

10.4 Soweit Prüfungen der Datenschutzaufsichtsbehörden durchgeführt werden, verpflichtet sich der Auftragnehmer, das Ergebnis dem Auftraggeber bekannt zu geben, soweit es die Verarbeitung der personenbezogenen Daten unter diesem Vertrag betrifft. Die im Prüfbericht festgestellten Mängel wird der Auftragnehmer unverzüglich abstellen und den Auftraggeber darüber informieren.

10.5 Diese Ziffer 10 gilt entsprechend für Vorkommnisse bei Prozessen, die von Unterauftragnehmern ausgeführt werden.

11. Unterauftragnehmer

11.1 Die Beauftragung von Unterauftragnehmern durch den Auftragnehmer erfolgt auf Grundlage einer allgemeinen schriftlichen Genehmigung des Auftraggebers gemäß Art. 28 Abs. 2 DSGVO. Der Auftraggeber genehmigt die Beauftragung der in der Anlage unter Ziffer 4 aufgeführten Unterauftragnehmer. Der Auftragnehmer informiert den Auftraggeber rechtzeitig über jede beabsichtigte Hinzunahme oder Ersetzung von Unterauftragnehmern und gibt dem Auftraggeber die Möglichkeit, gegen die beabsichtigte Änderung innerhalb einer angemessenen Frist Widerspruch einzulegen.

11.2 Der Auftragnehmer hat vertraglich sicherzustellen, dass die in diesem Vertrag vereinbarten Regelungen auch gegenüber Unterauftragnehmern gelten. Der Vertrag des Auftragnehmers mit dem Unterauftragnehmer muss schriftlich oder in elektronischem Format abgeschlossen werden.

11.3 Eine Beauftragung von Unterauftragnehmern in Drittstaaten erfolgt nur, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

11.4 Der Auftragnehmer informiert den Auftraggeber über die beabsichtigte Hinzunahme oder Ersetzung eines Unterauftragnehmers mindestens 30 Tage vor dessen Beauftragung. Der Auftraggeber kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen Widerspruch gegen die beabsichtigte Hinzunahme oder Ersetzung erheben.

11.5 Im Falle eines Widerspruchs werden sich die Parteien über eine angemessene Lösung verständigen. Bis zur Klärung wird der betreffende Unterauftragnehmer nicht mit der Verarbeitung personenbezogener Daten des Auftraggebers beauftragt. Sofern keine angemessene Lösung gefunden werden kann, ist der Auftraggeber berechtigt, den von der Änderung betroffenen Teil der Verarbeitung bzw. den Vertrag nach Maßgabe der hierfür geltenden vertraglichen Bestimmungen zu beenden.

11.6 Der Auftragnehmer stellt sicher, dass der Auftraggeber gegenüber dem Unterauftragnehmer dieselben Weisungsrechte und Kontrollrechte wie gegenüber dem Auftragnehmer nach diesem Vertrag hat. Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, so haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten jenes Unterauftragnehmers.

12. Löschung und Rückgabe personenbezogener Daten

12.1 Der Auftragnehmer ist nach Abschluss der jeweils im Hauptvertrag vereinbarten Verarbeitungsleistungen verpflichtet, alle personenbezogenen Daten, die er im Zuge der Auftragsverarbeitung erhalten hat, nach Wahl des Auftraggebers an den Auftraggeber zurückzugeben oder zu löschen. Dies schließt insbesondere die Ergebnisse der Datenverarbeitung, überlassene Dokumente und überlassene Datenträger und Kopien der personenbezogenen Daten mit ein. Die Pflicht zur Löschung oder Rückgabe besteht nicht, sofern der Auftragnehmer nach dem Recht der EU oder der Mitgliedstaaten zur weiteren Speicherung der Daten gesetzlich verpflichtet ist. Besteht eine weitere Verpflichtung zur Speicherung, hat der Auftragnehmer die Verarbeitung der personenbezogenen Daten einzuschränken und die Daten nur für die Zwecke zu nutzen, für die eine Verpflichtung zur Speicherung besteht. Die Pflichten zur Sicherheit der Verarbeitung bestehen für den Zeitraum der Speicherung fort. Der Auftragnehmer hat die Daten unverzüglich zu löschen, sobald die Pflicht zur Speicherung entfällt.

12.2 Die Löschung hat so zu erfolgen, dass die Daten nicht wiederherstellbar sind.

12.3 Die Vorgänge sind mit Angabe von Datum und durchführender Person zu protokollieren. Die Protokolle sowie ein Nachweis der Durchführung in schriftlicher Form sind dem Auftraggeber innerhalb von 48 Stunden nach Durchführung der Vorgänge zur Verfügung zu stellen.

13. Haftung

Der Auftragnehmer haftet im Rahmen der gesetzlichen Bestimmungen für Schäden, die infolge schuldhaften Verhaltens gegen die Datenschutzbestimmungen oder gegen diese Datenschutzvereinbarung entstehen. Ebenso haftet er für schuldhaftes Verhalten seiner Unterauftragnehmer sowie deren Unterauftragnehmer.

14. Schlussbestimmungen

14.1 Die Einrede des Zurückbehaltungsrechts im Sinne von § 273 BGB wird hinsichtlich der für den Auftraggeber verarbeiteten Daten ausgeschlossen.

14.2 Die Anlage oder im Falle mehrerer abgeschlossener Hauptverträge die Anlagen zu diesem Vertrag sind wesentlicher Bestandteil desselben.

14.3 Für Änderungen oder Nebenabreden ist die Schriftform oder ein elektronisches Format erforderlich. Dies gilt auch für Änderungen dieses Formerfordernisses.

14.4 Erweist sich eine Bestimmung dieser Vereinbarung als unwirksam, so berührt dies die Wirksamkeit der übrigen Bestimmungen der Vereinbarung nicht.

Anlage zum Auftragsverarbeitungsvertrag

zwischen dem Verantwortlichen - dem Vertragspartner des Auftragnehmers, der diesen Auftragsverarbeitungsvertrag im Rahmen der Registrierung elektronisch akzeptiert - (nachfolgend „Auftraggeber“ genannt) und der R2 IT Solutions GmbH, Collenbuschstraße 11, 01324 Dresden (nachfolgend „Auftragnehmer“ genannt).

Anlage Ziffer 1: Gegenstand des Auftrages

Gegenstand des Auftrages: Gegenstand des Auftrages ist die Bereitstellung und der technische Betrieb der Software-as-a-Service-Anwendung „R2Immo Manager“ zur Unterstützung der Kunden des Auftragnehmers bei der Verwaltung von Immobilien. Die Anwendung ermöglicht insbesondere die Verwaltung von Objekten, Einheiten, Mietverhältnissen und Eigentümern sowie die Ablage und Verarbeitung von Dokumenten, die Erstellung von Abrechnungen, die Verwaltung von Zahlungs- und Bankdaten, das Mahnwesen sowie die Kommunikation mit Mietern, Eigentümern und weiteren an der Immobilienverwaltung beteiligten Personen.

Umfang, Art (Art. 4 Nr. 2 DSGVO) und Zweck der Datenverarbeitung: Im Rahmen der Bereitstellung und Nutzung des R2Immo Managers verarbeitet der Auftragnehmer personenbezogene Daten der Kunden des Auftraggebers und der von diesen verwalteten Personen. Die Verarbeitung umfasst insbesondere:

Verwaltung von Objekten, Einheiten, Mietverhältnissen und Eigentümern,
Ablage, Zuordnung und KI-gestützte Auswertung von Dokumenten,
Erstellung von Betriebs-, Hausgeld- und Heizkostenabrechnungen,
Anbindung von Bankkonten und automatisierter Abgleich von Zahlungseingängen,
Verarbeitung von Zahlungs- und Bankdaten, insbesondere IBAN, Kontoumsätzen, Mieteingängen und Zahlungsrückständen,
Durchführung des Mahnwesens und Erstellung von Zahlungserinnerungen,
Bereitstellung eines E-Mail-Postfachs je Kunde einschließlich KI-gestützter Erstellung von Antwortentwürfen; der Versand erfolgt grundsätzlich erst nach Freigabe durch den jeweiligen Nutzer,
optionale Bereitstellung einer Telefon-Hotline einschließlich der Verarbeitung von Transkripten von Anrufbeantworter-Nachrichten,
Erstellung und Versand von Schreiben per E-Mail und Post,
Bereitstellung und Nutzung von Vorlagen, insbesondere für Mietverträge und Bescheinigungen,
Erstellung von Auswertungen und Exporten, insbesondere für die Weiterverarbeitung in DATEV,
Verwaltung von Nutzerkonten einschließlich der hierbei anfallenden Konto- und Protokolldaten.

Die Verarbeitung personenbezogener Daten erfolgt insbesondere zur Erfüllung von Verträgen oder vorvertraglichen Maßnahmen gemäß Art. 6 Abs. 1 lit. b DSGVO, zur Erfüllung rechtlicher Verpflichtungen gemäß Art. 6 Abs. 1 lit. c DSGVO sowie, soweit erforderlich, zur Wahrung der berechtigten Interessen des Verantwortlichen oder eines Dritten gemäß Art. 6 Abs. 1 lit. f DSGVO. Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen und weisungsgebunden im Auftrag des Auftraggebers im Sinne des Art. 28 DSGVO.

Art der Daten:

Kontaktdaten: Name, Vorname, Anschrift, E-Mail-Adresse, Telefonnummer
Vertragsdaten: Datum, Mietvertrag, Mietverhältnisse: Beginn/Ende, Miete, Kaution, Staffeln, Darlehensdaten
Abrechnungsdaten: Betriebskosten-, Hausgeld- und Heizkostenabrechnungen
Zahlungs- und Bankdaten: IBAN, Kontoumsätze aus dem Bankabgleich, Mieteingänge, Rückstände
Kommunikationsdaten: Inhalte der E-Mails und Briefe, Transkripte von Anrufbeantworter-Nachrichten
Inhalte der hochgeladenen Dokumente: Verträge, Abrechnungen, Belege, Protokolle - diese können weitere personenbezogene Angaben enthalten
Konto- und Protokolldaten: Profildaten, Kontozugangsdaten, Protokolle, Ticketdaten

Kreis der Betroffenen:

Vermieter: Natürliche Personen, die Immobilien vermieten und den R2Immo Manager zur Verwaltung ihrer Immobilien nutzen.
Nutzer der Vermieter: Jede Person, die vom Vermieter zur Nutzung des R2Immo Managers berechtigt ist, insbesondere Mitarbeiter, Beauftragte oder Steuerberater mit Gastzugang.
Mieter und Mietinteressenten: Jede Person, die Mietverhältnisse mit dem Vermieter unterhält oder an einer Anmietung der verwalteten Immobilien interessiert ist.
Eigentümer und WEG-Miteigentümer: Jede Person, die Eigentümer oder Miteigentümer von verwalteten Immobilien bzw. Mitglied einer Wohnungseigentümergemeinschaft (WEG) ist.
Ansprechpartner von Hausverwaltungen, Handwerkern und Dienstleistern: Natürliche Personen, die als Ansprechpartner für Hausverwaltungen, Handwerksbetriebe oder sonstige Dienstleister im Zusammenhang mit der Immobilienverwaltung auftreten.
Sonstige in hochgeladenen Dokumenten genannte Personen: Weitere natürliche Personen, deren personenbezogene Daten in vom Auftraggeber oder dessen Nutzern hochgeladenen Dokumenten enthalten sind.

Anlage Ziffer 2: Weisung

2.1 Weisungsberechtigte Personen des Auftraggebers sind: Weisungsberechtigt sind die vom Auftraggeber zur Verwaltung des Kundenkontos und zur Nutzung der vertragsgegenständlichen Leistungen berechtigten Personen.

2.2 Weisungsempfänger beim Auftragnehmer sind: Herr Rico Weiher

Anlage Ziffer 3: Datenschutzbeauftragter

3.1 Datenschutzbeauftragter des Auftraggebers: Sofern beim Auftraggeber ein Datenschutzbeauftragter bestellt ist, sind die jeweils aktuellen Kontaktdaten des Datenschutzbeauftragten vom Auftraggeber bereitzustellen.

3.2 Datenschutzbeauftragter des Auftragnehmers ist: Herr Andreas Siegemund, E-Mail: info@datenconsulting.de

Anlage Ziffer 4: Unterauftragnehmer

Zum Kreis der genehmigten Unterauftragnehmer bei Abschluss dieses Vertrages gehören:

Supabase, Inc. - Datenbank, Authentifizierung, Dateispeicher; verarbeitete Datenkategorien: alle in Ziffer 1 genannten Daten; Ort der Datenverarbeitung: Deutschland
Vercel, Inc. - Hosting und Betrieb der Anwendung; verarbeitete Datenkategorien: alle in Ziffer 1 genannten Daten; Ort der Datenverarbeitung: Deutschland
Anthropic, PBC - KI-gestützte Auswertung von Dokumenten und Texten (Claude-API; vertraglich kein Training auf Kundendaten); verarbeitete Datenkategorien: alle in Ziffer 1 genannten Daten; Ort der Datenverarbeitung: USA
Resend, Inc. - E-Mail-Versand und -Empfang (u. a. Mieterkommunikation); verarbeitete Datenkategorien: Kommunikationsdaten, Kontaktdaten, u. U. alle in Ziffer 1 genannten Daten; Ort der Datenverarbeitung: USA
A&O Fischer GmbH & Co. KG (LetterXpress) - Druck, Kuvertierung und Postversand von Briefen; verarbeitete Datenkategorien: Kontaktdaten, ggf. alle in Ziffer 1 genannten Daten; Ort der Datenverarbeitung: Deutschland, Europa
Lunaweb GmbH (CloudConvert) - Dokumentkonvertierung (Word/PDF); verarbeitete Datenkategorien: Vertragsdaten; Ort der Datenverarbeitung: Deutschland, Europa
Deepgram, Inc. - Transkription von Anrufbeantworter-Nachrichten (nur bei aktivierter Telefonfunktion); verarbeitete Datenkategorien: Kommunikationsdaten, u. U. alle in Ziffer 1 genannten Daten; Ort der Datenverarbeitung: USA
Hetzner Online GmbH - Server des Telefon-Gateways (nur bei aktivierter Telefonfunktion); Speicherung der täglichen, vor der Übertragung clientseitig mit AES-256 verschlüsselten Sicherungskopie der Kundendokumente; verarbeitete Datenkategorien: Kommunikationsdaten, u. U. alle in Ziffer 1 genannten Daten, Inhalte der hochgeladenen Dokumente (Datensicherung); Ort der Datenverarbeitung: Deutschland, Europa (Falkenstein)

Anlage Ziffer 5: Technische und organisatorische Maßnahmen

Zur Gewährleistung des Schutzes der Rechte der betroffenen Personen unterstützt der Auftragnehmer den Auftraggeber angemessen, insbesondere durch die Gewährleistung geeigneter technischer und organisatorischer Maßnahmen. Soweit sich eine betroffene Person zwecks Geltendmachung eines Betroffenenrechts unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen an den Auftraggeber weiterleiten.

5.2.1 Zutrittskontrolle zu Räumlichkeiten und Einrichtungen, in denen Daten verarbeitet werden - der Auftragnehmer hat folgende Maßnahmen ergriffen:

Manuelles Schließsystem

5.2.2 Zugangs- und Zugriffskontrolle - das Eindringen Unbefugter in die IT-Systeme sowie Tätigkeiten außerhalb eingeräumter Berechtigungen sind zu verhindern. Ergriffene Maßnahmen:

Login mit Benutzername + Passwort
Firewall
Verschlüsselung von Datenträgern
Verschlüsselung Smartphones
Automatische Desktopsperre
Verschlüsselung von Notebooks/Tablets
Verwalten von Benutzerberechtigungen
Erstellen von Benutzerprofilen
Richtlinie „Löschen/Vernichten“
2FA (TOTP) für App-/Admin-Konten; Betrieb in zertifizierten Cloud-Rechenzentren (AWS/Vercel, Frankfurt)
Infrastruktur-Zugang nur per SSH-Schlüssel
Protokollierung von Zugriffen auf Anwendungen, konkret bei der Eingabe, Änderung und Löschung von Daten
Einsatz Berechtigungskonzepte
Minimale Anzahl an Administratoren
Verwaltung von Benutzerrechten durch Administratoren
Row Level Security je Mandant auf allen DB-Tabellen; Admin-Zugriff auf Kundendaten nur mit dokumentiertem Anlass + insert-only-Protokoll

5.2.3 Eingabekontrolle - Nachvollziehbarkeit, ob und von wem Daten eingegeben, verändert oder entfernt worden sind. Ergriffene Maßnahmen:

Nachvollziehbarkeit von Eingabe, Änderung und Löschung von Daten durch individuelle Benutzernamen (nicht Benutzergruppen)
Vergabe von Rechten zur Eingabe, Änderung und Löschung von Daten auf Basis eines Berechtigungskonzepts
Klare Zuständigkeiten für Löschungen
Admin-Zugriffe insert-only protokolliert
Lösch-Markierung statt Löschung bei Buchungszuordnungen
Vollständiges Eingabe-Audit-Log

5.2.4 Auftragskontrolle - die weisungsgemäße Auftragsdatenverarbeitung ist zu gewährleisten. Ergriffene Maßnahmen:

Vorherige Prüfung der vom Auftragnehmer getroffenen Sicherheitsmaßnahmen und deren Dokumentation
Auswahl des Auftragnehmers unter Sorgfaltsgesichtspunkten (gerade in Bezug auf Datenschutz und Datensicherheit)
Abschluss der notwendigen Vereinbarung zur Auftragsverarbeitung bzw. EU-Standard-Vertragsklauseln
Schriftliche Weisungen an den Auftragnehmer
Verpflichtung der Mitarbeiter des Auftragnehmers auf Datengeheimnis
Verpflichtung zur Bestellung eines Datenschutzbeauftragten durch den Auftragnehmer bei Vorliegen einer Bestellpflicht
Vereinbarung wirksamer Kontrollrechte gegenüber dem Auftragnehmer
Regelung zum Einsatz weiterer Subunternehmer
Sicherstellung der Vernichtung von Daten nach Beendigung des Auftrags
Bei längerer Zusammenarbeit: laufende Überprüfung des Auftragnehmers und seines Schutzniveaus
Register aller Auftragsverarbeiter mit AVV-Status und Löschfristen

5.2.5 Getrennte Verarbeitung von Daten/Trennungskontrolle - Daten, die für unterschiedliche Zwecke erhoben wurden, werden getrennt verarbeitet. Ergriffene Maßnahmen:

Mandantenfähigkeit relevanter Anwendungen
Steuerung über Berechtigungskonzept
Festlegung von Datenbankrechten
Strikte Mandantentrennung: Mandanten-ID an jedem Datensatz, auf Datenbankebene (Row Level Security) erzwungen

5.2.6 Weitergabekontrolle - Schutz personenbezogener Daten bei elektronischer Übertragung, Transport und Übermittlung. Ergriffene Maßnahmen:

Protokollierung der Zugriffe und Abrufe
Bereitstellung über verschlüsselte Verbindungen (sftp, https, SSL, TLS)
Dokumentation der Datenempfänger sowie der Dauer der geplanten Übertragung bzw. der Löschfristen
Übersicht regelmäßiger Abruf- und Übermittlungsvorgänge
Durchgehende Nutzung von TLS
E-Mail-Versand mit SPF/DKIM/DMARC
Empfänger und Löschfristen im Löschkonzept dokumentiert

5.2.7 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO) - Schutz gegen zufällige Zerstörung und Verlust. Ergriffene Maßnahmen:

Backup- & Recovery-Konzept (ausformuliert)
Kontrolle des Sicherungsvorgangs
Regelmäßige Tests zur Datenwiederherstellung und Protokollierung der Ergebnisse
Aufbewahrung der Sicherungsmedien an einem sicheren Ort außerhalb des Serverraums
Cloud-Betrieb AWS eu-central-1
Tägliches DB-Backup (7 Tage) + tägliche externe, clientseitig AES-256-verschlüsselte Sicherung der Dokumente auf einer Hetzner Storage Box (Falkenstein, Deutschland); Schlüssel ausschließlich beim Auftragnehmer
Restore-Test

5.2.8 Privacy by Default - datenschutzfreundliche Voreinstellungen. Ergriffene Maßnahmen:

Es werden nicht mehr personenbezogene Daten erhoben, als für den jeweiligen Zweck erforderlich sind
Einfache Ausübung des Widerrufsrechts des Betroffenen durch technische Maßnahmen
Telefon-KI ohne Audio-Speicherung
KI-Versand nur nach manueller Freigabe
Keine Tracking-/Analyse-Cookies

5.2.9 Datenschutz-Management - Organisation des Datenschutzes und der Sicherheit der Daten im Unternehmen. Ergriffene Maßnahmen:

Zentrale Dokumentation aller Verfahrensweisen und Regelungen zum Datenschutz mit Zugriffsmöglichkeit für Mitarbeiter nach Bedarf/Berechtigung
Anderweitiges dokumentiertes Sicherheitskonzept
Überprüfung der Wirksamkeit der technischen Schutzmaßnahmen mindestens jährlich
Externer Datenschutzbeauftragter (Andreas Siegemund/Datenschutz Consulting Dresden GmbH)
Mitarbeiter geschult und auf Vertraulichkeit/Datengeheimnis verpflichtet
Regelmäßige Sensibilisierung der Mitarbeiter mindestens jährlich
Datenschutz-Folgenabschätzung (DSFA) wird bei Bedarf durchgeführt
Die Organisation kommt den Informationspflichten nach Art. 13 und 14 DSGVO nach
Formalisierter Prozess zur Bearbeitung von Auskunftsanfragen seitens Betroffener ist vorhanden
Jährlicher Sicherheits-Scan aller Anwendungen

5.2.10 Incident-Response-Management - systematische Vorbereitung, Erkennung, Bewertung und Bewältigung von Sicherheitsvorfällen. Ergriffene Maßnahmen:

Einsatz von Firewall und regelmäßige Aktualisierung
Einsatz von Spamfilter und regelmäßige Aktualisierung
Dokumentierter Prozess zur Erkennung und Meldung von Sicherheitsvorfällen/Datenpannen (auch im Hinblick auf die Meldepflicht gegenüber der Aufsichtsbehörde)
Dokumentierte Vorgehensweise zum Umgang mit Sicherheitsvorfällen
Einbindung von DSB und ISB in Sicherheitsvorfälle und Datenpannen
Dokumentation von Sicherheitsvorfällen und Datenpannen, z. B. via Ticketsystem
Meldeprozess Datenpanne (gemäß Art. 33 DSGVO nach 72 h) dokumentiert
Automatische Missbrauchs-/Kosten-Limits je Kanal mit Alarmierung des Betreibers