Auftragsverarbeitungsvertrag

(1) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter (Estavo) im Auftrag und nach Weisung des Verantwortlichen (Kunden) im Rahmen der Bereitstellung und des Betriebs der Estavo-Plattform.

(2) Die Verarbeitung erfolgt für die Dauer des zwischen den Parteien geschlossenen Nutzungsvertrags. Nach dessen Beendigung gilt Art. 11 dieses AVV.

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten für folgende Zwecke:

• Speicherung und Verwaltung von Objektdaten und damit verbundenen Kontaktpersonen
• Verwaltung von Leads, Interessenten und Eigentümern (CRM-Funktionen)
• KI-gestützte Erstellung von Exposé-Texten auf Basis eingegebener Daten
• E-Mail-Kommunikation über die IMAP-Integration der Plattform
• Team-Management und Nutzerverwaltung innerhalb des Kundenkontos
• Bereitstellung von Auswertungen, Berichten und Analysen

(2) Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich gemäß den dokumentierten Weisungen des Verantwortlichen.

Im Rahmen der Auftragsverarbeitung werden folgende Kategorien personenbezogener Daten verarbeitet:

• Kontaktdaten: Name, Vorname, E-Mail-Adresse, Telefonnummer, Anschrift
• Kommunikationsdaten: E-Mail-Inhalte und -Metadaten aus der IMAP-Integration
• Vertragsdaten: Informationen zu Immobilientransaktionen, Kaufpreisen, Mietkonditionen
• Interessentenprofile: Suchprofile, Budgets, Präferenzen von Kaufinteressenten und Mietinteressenten
• Mitarbeiterdaten: Name, E-Mail-Adresse, Rolle und Berechtigungen der Nutzer des Kunden
• Hochgeladene Medien: Bilder und Dokumente im Zusammenhang mit Objekten

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden im Rahmen der regulären Nutzung der Plattform nicht verarbeitet. Sollte der Verantwortliche solche Daten dennoch einstellen, liegt die datenschutzrechtliche Verantwortung hierfür beim Verantwortlichen.

Von der Verarbeitung sind folgende Kategorien betroffener Personen umfasst:

• Kaufinteressenten und Mietinteressenten (Leads)
• Eigentümer von Immobilienobjekten
• Mitarbeiter und Nutzer des Kunden
• Sonstige Kontaktpersonen, die vom Kunden in der Plattform erfasst werden

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zur Verarbeitung verpflichtet; in diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit.

(2) Die Nutzung der Plattform durch den Kunden (Eingabe, Speicherung, Abruf und Löschung von Daten) gilt als dokumentierte Weisung im Sinne des Art. 28 Abs. 3 lit. a DSGVO.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zur Klärung der Rechtslage auszusetzen.

Der Auftragsverarbeiter verpflichtet sich:

• die personenbezogenen Daten ausschließlich im Rahmen dieses AVV und auf Weisung des Verantwortlichen zu verarbeiten;
• sicherzustellen, dass die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen (vgl. Art. 8 dieses AVV);
• die Bedingungen dieses AVV bei der Inanspruchnahme von Unterauftragsverarbeitern einzuhalten (vgl. Art. 9 dieses AVV);
• den Verantwortlichen unverzüglich zu informieren, wenn er der Ansicht ist, dass eine Weisung des Verantwortlichen gegen anwendbares Datenschutzrecht verstößt;
• den Verantwortlichen bei der Wahrnehmung der Rechte betroffener Personen und der Erfüllung seiner datenschutzrechtlichen Pflichten zu unterstützen;
• Datenschutzverletzungen gemäß Art. 33 DSGVO unverzüglich, spätestens innerhalb von 72 Stunden nach Bekanntwerden, an den Verantwortlichen zu melden.

(1) Der Auftragsverarbeiter stellt sicher, dass alle Personen, die personenbezogene Daten des Verantwortlichen verarbeiten, einer Verschwiegenheitspflicht unterliegen und über die datenschutzrechtlichen Anforderungen informiert sind.

(2) Der Zugriff auf die Daten des Verantwortlichen wird strikt auf diejenigen Mitarbeiter des Auftragsverarbeiters beschränkt, die diesen für die Erfüllung der Vertragspflichten benötigen (Need-to-know-Prinzip).

Der Auftragsverarbeiter hat die folgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO implementiert und aufrechthalten:

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Inanspruchnahme der nachfolgend aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über geplante Änderungen (Hinzufügen oder Ersetzen von Unterauftragsverarbeitern) mit einer Ankündigungsfrist von mindestens vier (4) Wochen. Der Verantwortliche kann berechtigte Einwände gegen neue Unterauftragsverarbeiter innerhalb dieser Frist schriftlich erheben.

(2) Der Auftragsverarbeiter schließt mit allen Unterauftragsverarbeitern Verträge ab, die dem Schutzstandard dieses AVV entsprechen. Bei Unterauftragsverarbeitern mit Sitz außerhalb der EU/des EWR werden geeignete Garantien gemäß Art. 46 DSGVO (z. B. EU-Standardvertragsklauseln) vereinbart.

(3) Aktuell beauftragte Unterauftragsverarbeiter:

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung folgender Pflichten:

• Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch)
• Meldung von Datenschutzverletzungen an die Aufsichtsbehörde gemäß Art. 33 DSGVO
• Benachrichtigung betroffener Personen bei Datenpannen gemäß Art. 34 DSGVO
• Durchführung von Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO

(2) Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, leitet dieser unverzüglich an den Verantwortlichen weiter.

(3) Die Unterstützungsleistungen nach Abs. 1 werden, soweit sie über den regulären Betrieb der Plattform hinausgehen, nach Aufwand in Rechnung gestellt. Für die Meldung von Datenschutzverletzungen innerhalb von 72 Stunden wird kein gesondertes Entgelt verlangt.

(1) Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen oder gibt sie an den Verantwortlichen zurück, sofern dieser nicht eine anderweitige Weisung erteilt hat.

(2) Die Löschung erfolgt durch Anonymisierung der Profildaten aller Nutzerkonten des Kunden (Ersetzen personenbezogener Felder durch neutrale Platzhalter). Inhalte wie Objektdaten und CRM-Einträge werden vollständig gelöscht.

(3) Dem Verantwortlichen wird auf Anfrage eine Frist von mindestens 14 Tagen nach Vertragsende eingeräumt, um seine Daten aus der Plattform zu exportieren. Nach Ablauf dieser Frist werden die Daten unwiderruflich gelöscht.

(4) Soweit eine Aufbewahrung der Daten durch das Recht der Europäischen Union oder der Mitgliedstaaten vorgeschrieben ist, verbleiben die Daten beim Auftragsverarbeiter. Der Auftragsverarbeiter teilt dem Verantwortlichen die betreffenden Pflichten vor der Löschung mit.

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Verantwortliche oder ein von ihm beauftragter Prüfer ist berechtigt, Überprüfungen einschließlich Inspektionen durchzuführen. Der Auftragsverarbeiter ist verpflichtet, diese zu ermöglichen und dabei mitzuwirken. Inspektionen sind rechtzeitig (mindestens 14 Tage im Voraus) schriftlich anzukündigen, auf das zur Prüfung erforderliche Maß zu beschränken und während der üblichen Geschäftszeiten durchzuführen.

(3) Als gleichwertige Prüfung anerkannt werden aktuelle Datenschutz-Zertifizierungen, Testate oder Prüfberichte qualifizierter Dritter (z. B. ISO 27001, SOC 2), sofern diese die relevanten Verarbeitungstätigkeiten abdecken.

(1) Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Ausschließlicher Gerichtsstand ist Köln.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.

(3) Dieser AVV kann von Estavo mit einer Ankündigungsfrist von vier (4) Wochen geändert werden, sofern die Änderungen erforderlich sind, um neue oder geänderte datenschutzrechtliche Anforderungen zu erfüllen. Der Verantwortliche wird über Änderungen per E-Mail informiert.

(4) Im Falle von Widersprüchen zwischen diesem AVV und dem Nutzungsvertrag bzw. den AGB von Estavo gehen die Regelungen dieses AVV vor, soweit es den Schutz personenbezogener Daten betrifft.