Auftragsverarbeitungsvertrag (AV-Vertrag)

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Zuwab-Plattform. Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrags zuzüglich der Export-Frist nach Ziffer 10.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst: Speicherung und Verwaltung von Objekt-, Mieter- und Einsatzdaten, Foto-Dokumentation, Schadensmeldungen, Wartungsplanung, Rechnungserstellung sowie Kommunikation zwischen Verwaltung und Mietern.

3. Kategorien betroffener Personen

• Mieter und Bewohner der verwalteten Objekte
• Mitarbeiter des Verantwortlichen (Hausmeister, Verwaltung)
• Ansprechpartner bei Auftraggebern und Dienstleistern (z.B. Handwerker)

4. Art der personenbezogenen Daten

• Name, E-Mail, Telefonnummer
• Adress- und Wohnungsdaten
• Mietzahlungs-Status (sofern das Miet-Modul genutzt wird)
• Foto- und Standortdaten (sofern aktiviert)
• Kommunikationsinhalte (Schadensmeldungen, Nachrichten)
• Nutzungsdaten und Audit-Logs

5. Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der in diesem Vertrag und im Hauptvertrag festgelegten Weisungen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich.

6. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:

• Verschlüsselung der Daten bei Übertragung (TLS)
• Zugangskontrolle durch Authentifizierung und Rollenkonzept
• Passwort-Speicherung ausschließlich als Hash (bcrypt)
• Mandantentrennung (strikte Datenisolation pro Firma)
• Regelmäßige Backups und Wiederherstellungstests
• Server-Standort in Deutschland
• Lückenloser Audit-Trail aller Datenänderungen
• Integritätssicherung von Fotos über SHA-256-Hashes

Die Maßnahmen werden dem Stand der Technik entsprechend fortlaufend weiterentwickelt; das Schutzniveau darf dabei nicht unterschritten werden.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:

• Hetzner Online GmbH, Gunzenhausen (Hosting, Server-Standort: Deutschland)

Der Auftragsverarbeiter informiert den Verantwortlichen vorab über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Kündigungsrecht zu. Mit Unterauftragsverarbeitern werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen.

9. Unterstützungs- und Meldepflichten

• Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), u.a. durch Export-, Korrektur- und Löschfunktionen in der Plattform.
• Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, damit dieser seine Meldepflichten nach Art. 33, 34 DSGVO erfüllen kann.
• Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

10. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter die Daten für 90 Tage zum Export bereit (CSV/PDF). Nach Ablauf dieser Frist werden alle personenbezogenen Daten gelöscht, sofern keine gesetzliche Aufbewahrungspflicht besteht.

11. Nachweis- und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden. Kontrollen erfolgen nach Vorankündigung mit angemessener Frist und ohne Störung des Betriebsablaufs.

Kontakt

Für Rückfragen zum AV-Vertrag: info@zuwab.de