Auftragsverarbeitungsvertrag (AV-Vertrag)

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Zuwab-Plattform. Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrags zuzüglich der Export-Frist nach Ziffer 10.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst: Speicherung und Verwaltung von Objekt-, Mieter- und Einsatzdaten (einschließlich Beginn, Pausen und Ende von Einsätzen), Foto-Dokumentation, Unterschriften, Schadensmeldungen, Wartungsplanung, Übergabeprotokolle, Berichte, Rechnungserstellung, Daten-Exporte, den Versand von E-Mail- und Push-Benachrichtigungen sowie die Kommunikation zwischen Verwaltung und Mietern. Richtet der Verantwortliche Webhooks ein, übermittelt der Auftragsverarbeiter auf dessen Weisung Ereignisdaten an die angegebenen Adressen.

3. Kategorien betroffener Personen

• Mieter und Bewohner der verwalteten Objekte
• Mitarbeiter des Verantwortlichen (Hausmeister, Verwaltung)
• Ansprechpartner bei Auftraggebern und Dienstleistern (z.B. Handwerker)
• Rechnungsempfänger des Verantwortlichen

4. Art der personenbezogenen Daten

• Name, E-Mail, Telefonnummer
• Adress- und Wohnungsdaten
• Fotos (ohne GPS-/Geräte-Metadaten) und Unterschriften
• Einsatz- und Arbeitszeitdaten von Mitarbeitern
• Objekt-Zugangsinformationen (z.B. Schlüsselnummern), Zählerstände
• Rechnungs- und Bankdaten des Verantwortlichen und seiner Rechnungsempfänger
• Kommunikationsinhalte (Schadensmeldungen, Nachrichten)
• Nutzungsdaten und Audit-Logs

5. Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der in diesem Vertrag und im Hauptvertrag festgelegten Weisungen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich.

6. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6a. Support-Zugriff

Ein Zugriff des Auftragsverarbeiters auf das Kundenkonto (Support-Zugriff) erfolgt nur, soweit dies zur Fehlerbehebung, zur Erbringung der Leistung oder auf Anfrage des Verantwortlichen erforderlich ist. Jeder Support-Zugriff wird protokolliert und ist zeitlich begrenzt.

Für Wartung, Fehlerbehebung und die Umsetzung von Weisungen kann der Auftragsverarbeiter außerdem über ein internes Datenbank-Werkzeug auf die gespeicherten Daten zugreifen. Dieser Zugang steht ausschließlich dem Plattformbetreiber offen, erfordert eine erneute Bestätigung mit Passwort und gegebenenfalls zweitem Faktor, ist auf 15 Minuten begrenzt und wird protokolliert (wer, wann, welche Tabelle und Zeile; geänderte Werte werden dabei nicht gespeichert, bei Änderungsbefehlen über die SQL-Konsole jedoch der Befehl selbst). Passwort-Hashes, Zwei-Faktor-Schlüssel und Zugangs-Token werden dabei nicht angezeigt; Strukturänderungen und Massenlöschungen sind technisch gesperrt.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen um:

• Verschlüsselung der Daten bei Übertragung (TLS)
• Zugangskontrolle durch Authentifizierung und Rollenkonzept
• Passwort-Speicherung ausschließlich als Hash (bcrypt)
• Optionale Zwei-Faktor-Authentifizierung (TOTP) für Nutzerkonten
• Mandantentrennung (strikte Datenisolation pro Firma)
• Regelmäßige Backups und Wiederherstellungstests
• Server-Standort in Deutschland
• Audit-Trail sicherheitsrelevanter Aktionen und Datenänderungen (Aufbewahrung tarifabhängig)
• Integritätssicherung von Fotos über SHA-256-Hashes
• Entfernung von GPS- und Geräte-Metadaten aus hochgeladenen Fotos
• Begrenzung von Anmeldeversuchen (Rate-Limiting, temporäre Kontosperre)
• Protokollierte, zeitlich begrenzte Support-Zugriffe
• Betreiber-Datenbankzugriff nur nach erneuter Passwort-/2FA-Bestätigung, zeitlich begrenzt und protokolliert

Die Maßnahmen werden dem Stand der Technik entsprechend fortlaufend weiterentwickelt; das Schutzniveau darf dabei nicht unterschritten werden.

8. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter:

• Hetzner Online GmbH, Gunzenhausen (Hosting, Server-Standort: Deutschland)

Eine Verarbeitung außerhalb der EU/des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Werden Push-Benachrichtigungen genutzt, erfolgt die Zustellung technisch über den Push-Dienst des jeweiligen Browser-Herstellers; die Inhalte sind dabei Ende-zu-Ende-verschlüsselt.

Der Auftragsverarbeiter informiert den Verantwortlichen vorab über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein Kündigungsrecht zu. Mit Unterauftragsverarbeitern werden Verträge geschlossen, die den Anforderungen des Art. 28 DSGVO entsprechen.

9. Unterstützungs- und Meldepflichten

• Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), u.a. durch Export-, Korrektur- und Löschfunktionen in der Plattform.
• Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, damit dieser seine Meldepflichten nach Art. 33, 34 DSGVO erfüllen kann.
• Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

10. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags bzw. nach Ablauf einer Testphase ohne Buchung stellt der Auftragsverarbeiter die Daten für 90 Tage zum Export bereit (CSV/PDF, in jedem Tarif); dies gilt als Rückgabe im Sinne von Art. 28 Abs. 3 lit. g DSGVO. Nach Ablauf dieser Frist werden die personenbezogenen Daten gelöscht bzw. anonymisiert, sofern keine gesetzliche Aufbewahrungspflicht besteht. In Sicherungskopien können Daten noch bis zu 30 Tage enthalten sein. Über die Plattform erstellte Rechnungen des Verantwortlichen werden – vorbehaltlich einer abweichenden Weisung – gesperrt aufbewahrt, bis die gesetzlichen Aufbewahrungsfristen abgelaufen sind; die eigene Aufbewahrungspflicht des Verantwortlichen bleibt davon unberührt.

11. Nachweis- und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden. Kontrollen erfolgen nach Vorankündigung mit angemessener Frist und ohne Störung des Betriebsablaufs.

12. Schlussbestimmungen

Bei Widersprüchen zwischen diesem AV-Vertrag und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AV-Vertrags vor. Dieser AV-Vertrag wird mit der Registrierung in Textform geschlossen (Art. 28 Abs. 9 DSGVO); der Verantwortliche kann ihn jederzeit unter dieser Adresse abrufen und speichern.

Kontakt

Für Rückfragen zum AV-Vertrag: info@zuwab.de