Auftragsverarbeitungsvertrag

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Auftragsverarbeitungsvertrag – AVV)

zwischen

MDG Immobilien GmbH
Hauptstraße 62
83324 Ruhpolding
HRB 35360, Amtsgericht Traunstein

– nachfolgend „Auftragsverarbeiter“ –

und

dem jeweiligen Kunden, der das Portal imonova zur Verarbeitung personenbezogener Daten nutzt

– nachfolgend „Verantwortlicher“ –

gemeinsam auch „Parteien“ genannt.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO und ergänzt die zwischen den Parteien bestehenden vertraglichen Vereinbarungen.

(2) Gegenstand der Auftragsverarbeitung ist die Bereitstellung und der Betrieb des Immobilienverwaltungsportals imonova sowie die Durchführung der vom Verantwortlichen genutzten Verwaltungs-, Abrechnungs-, Dokumentations- und Kommunikationsfunktionen.

(3) Die Auftragsverarbeitung beginnt mit der Nutzung der entsprechenden Funktionen und endet mit Beendigung des zugrunde liegenden Vertragsverhältnisses, soweit keine abweichenden Vereinbarungen bestehen. Die Pflichten zur Rückgabe und Löschung der Daten richten sich nach § 8 dieses Vertrags.

§ 2 Art und Zweck der Verarbeitung, Datenarten und betroffene Personen

(1) Die Verarbeitung erfolgt zur Bereitstellung, zum Betrieb und zur technischen Absicherung des Portals sowie zur Durchführung der vom Verantwortlichen genutzten Funktionen, insbesondere zur Verwaltung von Immobilien, Mietern, Eigentümern und Verträgen sowie zur Erstellung von Neben- und Heizkostenabrechnungen.

(2) Je nach Nutzung des Portals können insbesondere folgende personenbezogene Daten verarbeitet werden:

• Stammdaten, insbesondere Namen und gegebenenfalls Geburtsdaten;

• Kontaktdaten, insbesondere E-Mail-Adressen, Telefonnummern und Anschriften;

• Nutzer- und Kontodaten, insbesondere Anmeldeinformationen und Angaben zur Kontoverwaltung;

• Miet-, Eigentümer-, Vertrags- und Immobilienverwaltungsdaten;

• Abrechnungs- und Zahlungsinformationen;

• Kommunikationsdaten, insbesondere Nachrichten und Anfragen;

• Dokumente und sonstige vom Verantwortlichen hinterlegte Angaben;

• technische Verbindungs- und Nutzungsdaten, soweit diese im Rahmen des Portalbetriebs verarbeitet werden.

(3) Betroffene Personen können insbesondere Mieter, Vermieter, Eigentümer, sonstige Vertragspartner, Ansprechpartner und Nutzer des Portals sein.

(4) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der vorgesehenen Verarbeitung. Sofern der Verantwortliche solche Daten dennoch in das Portal einstellt, hat er vorab sicherzustellen, dass deren Verarbeitung rechtmäßig ist und die gesetzlichen Voraussetzungen erfüllt sind. Der Verantwortliche informiert den Auftragsverarbeiter über besondere Schutzanforderungen, soweit dies für eine rechtmäßige Verarbeitung erforderlich ist.

§ 3 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten sowie für die Erfüllung seiner Informationspflichten gegenüber den betroffenen Personen verantwortlich.

(2) Der Verantwortliche stellt sicher, dass die übermittelten oder im Portal hinterlegten Daten rechtmäßig erhoben wurden und ihre Verarbeitung im Rahmen dieses Vertrags zulässig ist.

(3) Der Verantwortliche erteilt dem Auftragsverarbeiter erforderliche Weisungen in dokumentierter Form. Er ist für deren Rechtmäßigkeit verantwortlich.

(4) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten feststellt.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch geltendes Recht zu einer Verarbeitung verpflichtet ist. In diesem Fall informiert er den Verantwortlichen vorab, soweit dies gesetzlich zulässig ist.

(2) Der Auftragsverarbeiter stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen werden regelmäßig auf ihre Wirksamkeit überprüft.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten, insbesondere bei:

• der Beantwortung von Anträgen betroffener Personen;

• der Gewährleistung der Sicherheit der Verarbeitung;

• der Meldung und Dokumentation von Datenschutzverletzungen;

• der Durchführung von Datenschutz-Folgenabschätzungen;

• gegebenenfalls erforderlichen Konsultationen mit Aufsichtsbehörden.

(5) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich. Er unterstützt diesen im erforderlichen Umfang bei der Aufklärung und Bewältigung des Vorfalls.

(6) Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für datenschutzrechtlich unzulässig, weist er den Verantwortlichen unverzüglich darauf hin. Bis zur Klärung kann er die Ausführung der betreffenden Weisung aussetzen, soweit dies erforderlich und rechtlich zulässig ist.

(7) Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten nach Art. 28 DSGVO zur Verfügung. Er ermöglicht im gesetzlich vorgesehenen Umfang angemessene Prüfungen und Inspektionen durch den Verantwortlichen oder einen von diesem beauftragten Prüfer. Prüfungen sind mit angemessener Vorankündigung durchzuführen und dürfen den laufenden Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigen.

§ 5 Unterauftragsverarbeiter

(1) Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter einzusetzen, sofern die Voraussetzungen des Art. 28 DSGVO erfüllt sind.

(2) Die bei Vertragsschluss vorgesehenen Unterauftragsverarbeiter und ihre Leistungen sind in Anlage 1 aufgeführt. Wix.com Ltd. und gegebenenfalls weitere für die Leistungserbringung zuständige Wix-Konzerngesellschaften werden eingesetzt, soweit dies für Hosting, Plattformbetrieb und die tatsächlich genutzten Wix-Funktionen erforderlich ist.

(3) Weitere Unterauftragsverarbeiter dürfen nur unter Einhaltung der gesetzlichen Voraussetzungen eingesetzt werden. Änderungen oder Ergänzungen werden dem Verantwortlichen vorab in Textform mitgeteilt. Der Verantwortliche kann innerhalb einer angemessenen Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Mitteilung soll den betroffenen Dienstleister, den Zweck der Verarbeitung und die wesentlichen Änderungen erkennen lassen.

(4) Der Auftragsverarbeiter verpflichtet seine Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die mindestens dem Schutzniveau dieses Vertrags und den gesetzlichen Anforderungen entsprechen. Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter nach Maßgabe der DSGVO verantwortlich.

(5) Soweit Unterauftragsverarbeiter personenbezogene Daten in Drittländern verarbeiten oder auf diese zugreifen können, stellt der Auftragsverarbeiter sicher, dass die gesetzlichen Voraussetzungen für eine solche Übermittlung erfüllt sind. Dies umfasst gegebenenfalls geeignete Garantien nach Art. 46 DSGVO und die Erfüllung weiterer anwendbarer Anforderungen.

§ 6 Rechte betroffener Personen

(1) Der Verantwortliche bleibt für die Bearbeitung der Betroffenenrechte nach Kapitel III DSGVO verantwortlich.

(2) Gehen beim Auftragsverarbeiter Anfragen betroffener Personen ein, die erkennbar die Datenverarbeitung im Auftrag des Verantwortlichen betreffen, leitet er diese unverzüglich an den Verantwortlichen weiter, sofern er nicht gesetzlich zu einer eigenen Bearbeitung verpflichtet ist.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen Umfang bei der Erfüllung der Betroffenenrechte, insbesondere bei Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung und Datenübertragbarkeit.

§ 7 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter verpflichtet sich, geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO zu treffen und während der Vertragslaufzeit aufrechtzuerhalten.

(2) Die konkreten Maßnahmen sind in Anlage 2 zu dokumentieren. Sie müssen insbesondere die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der eingesetzten Systeme und Dienste sowie die Wiederherstellbarkeit der Verfügbarkeit personenbezogener Daten gewährleisten.

(3) Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig und passt sie bei Bedarf an den Stand der Technik, die Art der Verarbeitung und die bestehenden Risiken an. Wesentliche Änderungen dürfen das gesetzlich erforderliche Schutzniveau nicht unterschreiten.

§ 8 Rückgabe und Löschung personenbezogener Daten

(1) Nach Beendigung der Auftragsverarbeitung löscht der Auftragsverarbeiter die personenbezogenen Daten oder stellt sie dem Verantwortlichen nach dessen Wahl zur Verfügung, sofern keine gesetzlichen Aufbewahrungspflichten oder sonstigen rechtmäßigen Gründe einer weiteren Speicherung entgegenstehen.

(2) Die Löschung erfolgt unter Berücksichtigung der eingesetzten Systeme und Sicherungsverfahren innerhalb einer angemessenen Frist. Daten in Sicherungskopien werden nach den hierfür geltenden Löschzyklen gelöscht, sofern keine vorrangigen gesetzlichen Pflichten entgegenstehen.

(3) Soweit gesetzliche Aufbewahrungspflichten einer Löschung entgegenstehen, werden die betreffenden Daten ausschließlich zu den gesetzlich zulässigen Zwecken aufbewahrt und nach Wegfall der Aufbewahrungspflicht gelöscht.

(4) Auf Anfrage bestätigt der Auftragsverarbeiter die erfolgte Löschung, soweit dies mit angemessenem Aufwand möglich ist.

§ 9 Datenschutzvorfälle und Zusammenarbeit mit Aufsichtsbehörden

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Datenschutzvorfälle, die die im Auftrag verarbeiteten personenbezogenen Daten betreffen, und stellt die ihm verfügbaren Informationen zur Verfügung.

(2) Die Parteien arbeiten bei der Aufklärung und Behebung von Datenschutzvorfällen sowie bei erforderlichen Meldungen an Aufsichtsbehörden und betroffene Personen im gesetzlich erforderlichen Umfang zusammen.

(3) Die gesetzlichen Melde- und Benachrichtigungspflichten des Verantwortlichen bleiben unberührt.

§ 10 Schlussbestimmungen

(1) Ergänzend gelten die zwischen den Parteien vereinbarten Allgemeinen Geschäftsbedingungen (AGB) sowie die Datenschutzerklärung von imonova, soweit deren Regelungen diesem Vertrag und den zwingenden Anforderungen der DSGVO nicht widersprechen.

(2) Bei Widersprüchen zwischen diesem Vertrag und sonstigen vertraglichen Regelungen gehen hinsichtlich der Auftragsverarbeitung die Bestimmungen dieses Vertrags vor.

(3) Die technischen und organisatorischen Maßnahmen gemäß Anlage 2 werden dem Verantwortlichen in geeigneter Form zur Verfügung gestellt.

(4) Änderungen und Ergänzungen dieses Vertrags bedürfen mindestens der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist.

(5) Dieser Vertrag kann elektronisch abgeschlossen werden und gilt ab Beginn der Auftragsverarbeitung.

(6) Im Übrigen gelten die gesetzlichen Bestimmungen, insbesondere die DSGVO.

Anlage 1 – Unterauftragsverarbeiter

Der Auftragsverarbeiter MDG Immobilien GmbH setzt zur Bereitstellung und zum Betrieb des Immobilienverwaltungsportals imonova die nachfolgend beschriebenen Dienstleister ein, soweit diese in der jeweiligen technischen Konfiguration tatsächlich verwendet werden.

1. Plattformanbieter Wix

Anbieter: Wix.com Ltd., 40 Namal Tel Aviv St., Tel Aviv 6350671, Israel, sowie gegebenenfalls die für die Leistungserbringung zuständigen Wix-Konzerngesellschaften.

Zweck der Verarbeitung: Bereitstellung und Betrieb der Plattform, Hosting, Speicherung und Abruf von Daten, technische Absicherung sowie Bereitstellung der tatsächlich eingesetzten Portal-Funktionen.

Betroffene Daten: Je nach Nutzung insbesondere Nutzer- und Kontaktdaten, Anmeldeinformationen, Formularinhalte, Kommunikationsdaten, technische Verbindungs- und Nutzungsdaten sowie Immobilien-, Miet-, Vertrags-, Abrechnungs- und Dokumentendaten.

Eingesetzte Funktionen: Wix Forms, Wix Automations, Wix Members Area / Login, Wix Chat und Wix Analytics, soweit diese Funktionen auf der Plattform tatsächlich aktiviert und verwendet werden.

Informationen zum Datenschutz:
https://de.wix.com/about/privacy

Informationen zur Auftragsverarbeitung und zu Datenschutzgarantien:
https://de.wix.com/about/privacy-dpa-users

2. Weitere Unterauftragsverarbeiter von Wix

Wix setzt gegebenenfalls weitere Unterauftragsverarbeiter ein, insbesondere für Cloud-Infrastruktur, E-Mail-Zustellung, Kommunikation, Überwachung und Sicherheit.

Maßgeblich ist die jeweils aktuelle offizielle Liste von Wix:
https://support.wix.com/de/article/liste-der-unterauftragsverarbeiter-von-wix

Die dort aufgeführten Unternehmen werden nicht pauschal als unmittelbar von der MDG Immobilien GmbH beauftragte Dienstleister bezeichnet. Welche dieser Anbieter im Rahmen der konkret genutzten Wix-Funktionen personenbezogene Daten verarbeiten, richtet sich nach den jeweils geltenden Wix-Verträgen und der tatsächlichen technischen Konfiguration.

3. Weitere Drittanbieter und externe Integrationen

Weitere eigenständige Drittanbieter-Apps oder externe Integrationen sind in dieser Anlage nur dann als Unterauftragsverarbeiter aufzuführen, wenn sie personenbezogene Daten im Auftrag der MDG Immobilien GmbH verarbeiten.

Vor ihrem Einsatz sind der Anbieter, der Verarbeitungszweck und die betroffenen Daten zu prüfen. Erforderliche Ergänzungen dieser Anlage erfolgen vor dem Einsatz unter Beachtung von § 5 dieses Vertrags.

4. Aktualisierung

Die Angaben in dieser Anlage werden bei Änderungen der tatsächlich eingesetzten Dienstleister überprüft und erforderlichenfalls aktualisiert. Änderungen bei Unterauftragsverarbeitern werden dem Verantwortlichen nach Maßgabe von § 5 mitgeteilt.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Die konkreten technischen und organisatorischen Maßnahmen des Auftragsverarbeiters sind gesondert zu dokumentieren und diesem Vertrag als Anlage beizufügen. Die Dokumentation soll insbesondere folgende Bereiche abdecken:

1. Zutrittskontrolle zu Räumlichkeiten und technischen Einrichtungen;

2. Zugangskontrolle zu Systemen und Nutzerkonten;

3. Zugriffskontrolle und Berechtigungskonzepte;

4. Maßnahmen zur Weitergabe- und Übertragungssicherheit;

5. Maßnahmen zur Sicherstellung der Eingabe- und Änderungskontrolle;

6. Auftragskontrolle und Weisungsmanagement;

7. Verfügbarkeitskontrolle, Datensicherung und Wiederherstellung;

8. Trennung unterschiedlicher Datenbestände und Mandanten;

9. regelmäßige Überprüfung und Bewertung der Wirksamkeit der Maßnahmen.

Die tatsächlich umgesetzten Maßnahmen sind vom Auftragsverarbeiter entsprechend seiner Systeme und Prozesse zu dokumentieren. Diese Aufstellung ersetzt keine konkrete TOM-Dokumentation.