Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand, Rollen und Dauer

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Der im individuellen Angebot bezeichnete Kunde handelt grundsätzlich als Verantwortlicher; die Ihmora GmbH handelt als Auftragsverarbeiter (Art. 28 Abs. 1 DSGVO). Soweit der Kunde die Plattform auf Basis einer ausdrücklichen vertraglichen Gestattung (White-Label-Partnermodell) für eigene Mandanten einsetzt und hierbei selbst als Auftragsverarbeiter des Mandanten agiert, wird die Ihmora GmbH rechtlich als Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO) des Kunden tätig. In diesem Fall sichert der Kunde zu, dass er über die erforderliche Unterbeauftragungsbefugnis des Mandanten verfügt.

(2) Er gilt für die Verarbeitung personenbezogener Daten zur Bereitstellung der gebuchten Ihmora-Module. Er beginnt mit der ersten Verarbeitung und endet mit Abschluss von Rückgabe oder Löschung nach Beendigung des zugrunde liegenden Hauptvertrags; dieser besteht aus dem individuellen Angebot und den AGB des Auftragnehmers.

(3) Für eigene Zwecke des Auftragnehmers, insbesondere Vertragsverwaltung, Abrechnung, IT-Sicherheit und Rechtsverteidigung, handelt dieser als eigener Verantwortlicher; insoweit gelten die Datenschutzhinweise.

(4) Soweit der Kunde als Partner Mandate anlegt, gilt zusätzlich: Der Kunde ist gegenüber seinen Mandanten Verantwortlicher oder deren Auftragsverarbeiter; die Ihmora GmbH ist insoweit ausschließlich Unterauftragsverarbeiter. Der Kunde garantiert, dass vor der technischen Aktivierung eines Mandats ein wirksamer AVV nach Art. 28 DSGVO mit dem Mandanten besteht, der die Ihmora GmbH mit Name, Anschrift, Handelsregister und Rolle als genehmigten Unterauftragsverarbeiter ausweist. Die Plattform nimmt eine solche Aktivierung nur nach dokumentierter Bestätigung des Kunden entgegen. Der Kunde stellt den Auftragnehmer von Ansprüchen frei, die darauf beruhen, dass diese Garantie unzutreffend war, soweit der Auftragnehmer den Umstand nicht selbst zu vertreten hat.

§ 2 Art, Umfang und Zweck der Verarbeitung

(1) Je nach gebuchten Modulen umfasst die Verarbeitung Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Abgleichen, Bereitstellen, Übermitteln auf Weisung, Einschränken, Exportieren und Löschen.

(2) Zwecke sind Authentifizierung, Mandanten- und Rollenverwaltung, Immobilien- und Kontaktverwaltung, Buchhaltung und Abrechnung, Dokumenten- und Kommunikationsmanagement, Portale, Compliance- und Hinweisgeberprozesse, Signaturen, Support, Sicherung sowie ausdrücklich aktivierte KI-Analysen.

(3) Umfang und konkrete Funktionen ergeben sich aus Angebot und Leistungsbeschreibung. Eine Verarbeitung von Kundendaten zu eigenen Werbezwecken oder zum eigenen Training von KI-Modellen durch den Auftragnehmer ist ausgeschlossen. Der Auftragnehmer stellt zudem durch entsprechende API-Verträge (Zero-Data-Retention / No-Training-Agreements) technisch und rechtlich sicher, dass die eingesetzten KI-Unterauftragsverarbeiter die übermittelten Kundendaten nicht zum Training oder zur Verbesserung ihrer eigenen Modelle verwenden.

§ 3 Datenarten und betroffene Personen

(1) Verarbeitet werden können Stammdaten, Kontakt- und Kommunikationsdaten, Vertrags- und Objektdaten, Miet- und Eigentümerdaten, Buchungs-, Bank-, Zahlungs-, Steuer- und Abrechnungsdaten, Verbrauchs- und Energiedaten, Beschäftigten- und Lohndaten, Dokumentinhalte, Bilddaten, Nutzungs-, Geräte-, Sicherheits- und Auditdaten.

(2) Abhängig von Kundeneingaben können besondere Kategorien nach Art. 9 DSGVO enthalten sein, insbesondere Gesundheits-, Gewerkschafts-, Religions- oder Sozialdaten, sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO, etwa in Beschäftigten-, Schadens-, Hinweisgeber- oder Compliancevorgängen. Der Kunde darf solche Daten nur bei bestehender Rechtsgrundlage und erforderlichen Schutzmaßnahmen einstellen.

(3) Betroffene Personen sind insbesondere Nutzer und Beschäftigte des Kunden, Bewerber, Mieter und Haushaltsangehörige, Eigentümer und WEG-Mitglieder, Interessenten, Investoren, Dienstleister, Lieferanten, Hinweisgeber, beschuldigte oder in Meldungen genannte Personen, Kommunikationspartner und sonstige Personen in Dokumenten.

§ 4 Weisungen und Verantwortlichkeit

(1) Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung, einschließlich in Bezug auf Drittlandübermittlungen, soweit Unions- oder Mitgliedstaatenrecht keine Verarbeitung verlangt. Gesetzliche Verarbeitungspflichten werden vorab mitgeteilt, soweit zulässig.

(2) Konfiguration, Nutzung der Funktionen und Supportanfragen gelten als dokumentierte Weisungen. Weitergehende Weisungen erfolgen in Textform über die vereinbarten Kontaktwege.

(3) Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Kunden unverzüglich und darf ihre Ausführung bis zur Klärung aussetzen. Die Rechtmäßigkeit der Verarbeitung, Informationspflichten und Betroffenenrechte im Verantwortungsbereich des Kunden verbleiben bei diesem.

(4) Soweit der Auftragnehmer als Unterauftragsverarbeiter für Mandantendaten des Kunden tätig ist, nimmt er Weisungen zu diesen Daten ausschließlich vom Kunden entgegen, nicht unmittelbar vom Endmandanten. Anfragen von Endmandanten oder deren Betroffenen leitet er an den Kunden weiter, soweit keine eigene gesetzliche Antwortpflicht besteht.

§ 5 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verpflichtet befugte Personen auf Vertraulichkeit, beschränkt Zugriffe nach dem Need-to-know-Prinzip und setzt die vereinbarten TOMs um.

(2) Er unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung bei Betroffenenanfragen sowie bei Pflichten aus Art. 32 bis 36 DSGVO, einschließlich Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation.

(3) Anfragen betroffener Personen oder Behörden zum Auftragsbestand werden unverzüglich an den Kunden weitergeleitet, soweit keine eigene gesetzliche Antwortpflicht besteht.

(4) Der Auftragnehmer führt die nach Art. 30 Abs. 2 DSGVO erforderlichen Verzeichnisse und arbeitet mit zuständigen Aufsichtsbehörden zusammen.

(5) Klarstellung zu den Kosten der Unterstützung nach Absatz 2: Diese Leistungen sind mit dem vereinbarten Entgelt abgegolten, soweit sie sich über die bereitgestellten Plattformfunktionen, Standardexporte und vorhandenen Nachweise erbringen lassen oder auf einem vom Auftragnehmer zu vertretenden Umstand beruhen. Verlangt der Kunde darüber hinaus erheblichen manuellen Zusatzaufwand, insbesondere Einzelrecherchen im Auftragsbestand, Sonderauswertungen, individuell aufgebaute Exporte oder eine über die Bereitstellung von Informationen hinausgehende Mitwirkung an Datenschutz-Folgenabschätzung oder vorheriger Konsultation, kann der Auftragnehmer den angemessenen Aufwand zu den jeweils gültigen Sätzen berechnen. Er weist vorher auf Umfang und voraussichtliche Kosten hin und beginnt erst nach Freigabe durch den Kunden; für die Kostentragung gilt § 9 Abs. 3 entsprechend. Gesetzlich zwingende Unterstützung, insbesondere innerhalb der Fristen des Art. 33 DSGVO, wird nicht von einer Kostenzusage abhängig gemacht.

§ 6 Sicherheit und Datenschutzverletzungen

(1) Die bei Vertragsschluss geltenden TOMs sind Bestandteil dieses AVV. Der Auftragnehmer darf sie entsprechend dem Stand der Technik weiterentwickeln, wenn das vereinbarte Schutzniveau nicht abgesenkt wird.

(2) Verletzungen des Schutzes personenbezogener Daten im Auftragsbestand werden dem Kunden unverzüglich nach Bekanntwerden gemeldet, angestrebt innerhalb von 24 Stunden. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO verfügbaren Angaben und wird erforderlichenfalls schrittweise ergänzt.

(3) Der Auftragnehmer trifft unverzüglich angemessene Eindämmungs-, Abhilfe- und Beweissicherungsmaßnahmen und unterstützt die Risikoanalyse. Die Entscheidung über Meldungen an Aufsicht und Betroffene verbleibt beim Kunden, soweit ihn die gesetzliche Pflicht trifft.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz der in der Anlage 1 (Verzeichnis der Unterauftragsverarbeiter) zu diesem Vertrag aufgeführten Unterauftragsverarbeiter. Maßgeblich ist die zusammen mit dem Angebot als PDF bereitgestellte Fassung der Anlage 1.

(2) Zahlungsdienstleister, Banken oder vom Kunden selbst angebundene Systeme handeln nur dann als Unterauftragsverarbeiter des Anbieters, wenn sie personenbezogene Daten tatsächlich im Auftrag des Anbieters für die geschuldete SaaS-Leistung verarbeiten. Eigenständig Verantwortliche und unmittelbare Vertragspartner des Kunden werden gesondert ausgewiesen.

(3) Neue oder ersetzte Unterauftragsverarbeiter werden grundsätzlich mindestens 30 Tage vor ihrem Einsatz in Textform angekündigt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können die Parteien keine zumutbare Lösung finden, kann der betroffene Leistungsteil außerordentlich beendet werden.

(4) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO mindestens gleichwertig und bleibt gegenüber dem Kunden verantwortlich.

§ 8 Drittlandübermittlungen

(1) Verarbeitungen außerhalb EU/EWR erfolgen nur auf dokumentierte Weisung oder soweit für genehmigte Unterauftragsverarbeiter erforderlich und unter Einhaltung der Art. 44 ff. DSGVO.

(2) Je nach Anbieter werden Angemessenheitsbeschlüsse, insbesondere das EU-U.S. Data Privacy Framework für wirksam zertifizierte Empfänger, oder EU-Standardvertragsklauseln einschließlich erforderlicher ergänzender Maßnahmen eingesetzt. Regionale Speicherung schließt technisch notwendige Fernzugriffe oder Metadatenverarbeitung nicht pauschal aus.

(3) Die jeweils einschlägigen Garantien und Verarbeitungsorte werden in Anlage 1 dokumentiert.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt die erforderlichen Informationen zum Nachweis der Art.-28-Pflichten bereit und ermöglicht angemessene Kontrollen.

(2) Vorrang haben aktuelle Zertifikate, Prüfberichte, Dokumentationen und Remote-Audits. Vor-Ort-Prüfungen erfolgen bei berechtigtem Anlass oder unzureichenden Nachweisen mit angemessener Vorankündigung während der Geschäftszeiten, unter Schutz anderer Mandanten und ohne vermeidbare Betriebsstörung.

(3) Jede Partei trägt ihre eigenen Prüfungskosten. Verursacht eine Prüfung aufgrund eines vom Auftragnehmer zu vertretenden wesentlichen Verstoßes zusätzlichen Aufwand, trägt der Auftragnehmer die angemessenen Kosten; andernfalls kann außergewöhnlicher Zusatzaufwand nach vorheriger Abstimmung berechnet werden. Für Unterstützungsleistungen nach § 5 Abs. 2 gilt die Kostenregelung des § 5 Abs. 5.

§ 10 Rückgabe und Löschung

(1) Nach Ende der Leistungen löscht oder gibt der Auftragnehmer nach Wahl des Kunden personenbezogene Daten zurück und löscht vorhandene Kopien, soweit Unions- oder Mitgliedstaatenrecht keine Aufbewahrung verlangt.

(2) Der Kunde kann während der Laufzeit und grundsätzlich 30 Tage nach Vertragsende einen Export in einem strukturierten, gängigen und maschinenlesbaren Format abrufen. Backups werden im Rahmen dokumentierter Löschzyklen überschrieben und bis dahin gesperrt weiter aufbewahrt.

(3) Die Ausführung wird auf Anfrage bestätigt. Eigene gesetzliche Nachweis- und Abrechnungsdaten des Auftragnehmers bleiben unberührt und werden getrennt verarbeitet.

§ 11 Haftung, Rangfolge und Schlussbestimmungen

(1) Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung erleidet, haften die Parteien im Außenverhältnis gemäß Art. 82 DSGVO. Im Innenverhältnis zwischen den Parteien richten sich Haftung, Freistellungsansprüche und etwaige summenmäßige Begrenzungen – soweit rechtlich zulässig – nach den Haftungsbestimmungen des Hauptvertrags.

(2) Bei Widersprüchen geht dieser AVV in Fragen der Auftragsverarbeitung dem Hauptvertrag vor. Die EU-Standardvertragsklauseln gehen im Anwendungsbereich ihrerseits vor.

(3) Es gilt deutsches Recht. Gerichtsstand wird nur im gesetzlich zulässigen Umfang vereinbart. Änderungen dieses AVV einschließlich Anlagen werden in Textform dokumentiert.

Anlage 1: Verzeichnis der Unterauftragsverarbeiter

Die nachfolgend bezeichneten Unterauftragsverarbeiter sind nach § 7 Abs. 1 allgemein genehmigt. Maßgeblich ist die zusammen mit dem Angebot als PDF bereitgestellte Fassung dieser Anlage.

Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland. Leistung: Bereitstellung der Cloud-Infrastruktur und KI-Dienste (Google Cloud Platform, Firebase Authentication, Firestore, Cloud Storage, Cloud Functions, Cloud Run, Gemini / Vertex AI für ausdrücklich aktivierte KI-Funktionen). Verarbeitet werden Plattform-, Konto-, Dokument-, Protokoll- und Metadaten sowie bei aktivierter KI die für den jeweiligen Vorgang erforderlichen Eingaben, Dokumentauszüge, Kontext- und technische Nutzungsdaten. Verarbeitungsort: EU (Region europe-west3 / Frankfurt), soweit der Dienst Regionalisierung unterstützt. Grundlage ist das Google Cloud Data Processing Addendum mit Regionenbeschränkung auf EU-Standorte, soweit der Dienst Regionalisierung unterstützt. Erforderliche Fernzugriffe für Supportzwecke durch verbundene Unternehmen (z. B. Google LLC, USA) sind durch Angemessenheitsbeschluss, EU-Standardvertragsklauseln und ergänzende Maßnahmen abgesichert. Das DPA ist im GCP-Konto zu aktivieren und als Nachweis abzulegen: https://cloud.google.com/terms/data-processing-addendum

STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Leistung: SMTP-Versand von Transaktions-, Termin-, Signatur-, Support- und Vertrags-E-Mails. Verarbeitet werden Absender, Empfänger, Betreff, Nachricht, Anhänge und technische Zustelldaten. Verarbeitungsort: Deutschland. Bei einem vom Kunden konfigurierten eigenen Postfach wird stattdessen der vom Kunden bestimmte Mailanbieter auf dessen Weisung genutzt; dieser ist kein Unterauftragsverarbeiter der Ihmora GmbH.