Vertrag zur Auftragsverarbeitung (AVV)

Präambel & Vertragsparteien

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Nukelo-Dienste. Er wird geschlossen zwischen

dem Nutzer — der die Nukelo-App bzw. -Dienste als Vermieter zur Verarbeitung personenbezogener Daten Dritter (insbesondere seiner Mieter) einsetzt — nachfolgend „Verantwortlicher" —

und

Edin Čaušević – Managerial, Fleetrade 34, 28207 Bremen, E-Mail: [email protected] — nachfolgend „Auftragsverarbeiter" (Nukelo) —.

Dieser AVV wird mit der Nutzung der Nukelo-Dienste durch den Verantwortlichen wirksam und ist Bestandteil der zwischen den Parteien geltenden Nutzungsbedingungen (AGB). Er geht bei Widersprüchen den AGB in datenschutzrechtlichen Fragen vor.

§ 1 Gegenstand und Dauer

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag und nach Weisung des Verantwortlichen zum Zweck der Bereitstellung der Nukelo-Dienste (Immobilien- und Mietverwaltung).

(2) Die Dauer dieses AVV entspricht der Laufzeit des Nutzungsverhältnisses (Hauptvertrag). Er endet automatisch mit dessen Beendigung, unbeschadet fortbestehender Pflichten (z. B. Löschung, § 9).

§ 2 Art, Zweck und Umfang der Verarbeitung

Art, Umfang, Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1 zu diesem Vertrag.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, sofern er nicht durch das Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist.

(2) Die Nutzung der Dienste durch den Verantwortlichen gilt als seine Weisung. Einzelweisungen sind in Textform (z. B. per E-Mail an [email protected]) zu erteilen.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 S. 3 DSGVO).

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere (Art. 28 Abs. 3 DSGVO):

• Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten;
• zur Vertraulichkeit verpflichtete Personen einzusetzen, die zur Verschwiegenheit verpflichtet wurden;
• die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO zu treffen (siehe Anlage 2);
• die Bedingungen für die Inanspruchnahme weiterer Auftragsverarbeiter einzuhalten (§ 6);
• den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen (§ 7);
• den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO zu unterstützen (u. a. Meldung von Datenschutzverletzungen, § 8);
• nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Abschluss der Erbringung zu löschen oder zurückzugeben (§ 9);
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 10).

Ein etwaig bestellter Datenschutzbeauftragter bzw. eine datenschutzverantwortliche Kontaktstelle ist erreichbar unter [email protected].

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten. Die konkreten Maßnahmen sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf die Maßnahmen im Laufe des Vertragsverhältnisses an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann berechtigten Einwänden innerhalb von 14 Tagen in Textform widersprechen.

(3) Der Auftragsverarbeiter verpflichtet den Unterauftragsverarbeiter auf dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Erfüllt der Unterauftragsverarbeiter seine Pflichten nicht, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen.

§ 7 Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch; Art. 12–23 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) und unterstützt ihn bei den Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

§ 9 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen oder gibt sie zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht.

(2) Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit über die Export- und Löschfunktionen der App selbst exportieren bzw. sein Konto löschen. Nach Kontolöschung werden die Daten innerhalb von 30 Tagen gelöscht, vorbehaltlich gesetzlicher Aufbewahrungsfristen.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). Nachweise können auch durch aktuelle Testate, Zertifizierungen oder Berichte unabhängiger Stellen erbracht werden. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung und ohne Störung des Betriebsablaufs zulässig.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags (AGB), soweit dieser AVV nichts Abweichendes bestimmt.

§ 12 Schlussbestimmungen

(1) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(2) Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in datenschutzrechtlichen Fragen vor.

Anlage 1 — Gegenstand der Verarbeitung

• Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln (an genehmigte Unterauftragsverarbeiter), Löschen — zur Bereitstellung der App-Funktionen.
• Zweck: Verwaltung von Immobilien, Mietverhältnissen, Zahlungen, Nebenkosten, Dokumenten, Kommunikation und optionalen Zusatzfunktionen.
• Art der Daten: Stammdaten (Name, Anschrift, Kontaktdaten), Vertrags- und Mietdaten, Zahlungs-/Kontodaten (z. B. IBAN), Kommunikationsinhalte, hochgeladene Dokumente, Nutzungs-/Metadaten.
• Kategorien betroffener Personen: Mieter des Verantwortlichen, ggf. weitere vom Verantwortlichen erfasste Personen (z. B. Kontakte).
• Dauer: für die Laufzeit des Nutzungsverhältnisses zzgl. gesetzlicher Aufbewahrungsfristen.

Anlage 2 — Technische und organisatorische Maßnahmen (TOM)

• Serverstandort: Deutschland; Betrieb am Standort des Anbieters.
• Zutrittskontrolle (physisch): Videoüberwachung (außen und innen), abschließbarer Serverraum, abschließbarer Serverschrank.
• Zugangs- und Zugriffskontrolle: Zwei-Faktor-Authentifizierung (2FA); Zugriffsberechtigungen nach Minimalprinzip; strikte Mandantentrennung mit serverseitiger Zugriffsprüfung je Anfrage (Nutzer sehen ausschließlich eigene Daten).
• Verschlüsselung: TLS/HTTPS für alle Datenübertragungen; Passwörter ausschließlich als bcrypt-Hash gespeichert.
• Integrität: Prüfung von Datei-Uploads (Whitelist zulässiger Dateitypen, Virenscan).
• Verfügbarkeit & Belastbarkeit: unterbrechungsfreie Stromversorgung (USV) an allen IT-Komponenten; redundante Internetanbindung mit LTE-Failover; redundante Hardware inkl. RAID-Datenspeicher.
• Datensicherung: regelmäßige, verschlüsselte Off-Site-Backups (außerhalb des Serverstandorts).
• Verfahren zur regelmäßigen Überprüfung: Aktualisierung der Maßnahmen nach Stand der Technik.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Apple und Google fungieren bei der Abwicklung von In-App-Käufen als eigenständig Verantwortliche für die Zahlungsdaten und sind insoweit keine Unterauftragsverarbeiter von Nukelo.