Auftragsverarbeitungs­vertrag

Dieser Auftragsverarbeitungsvertrag („AVV") wird geschlossen zwischen dem Nutzer der Plattform „Immonerd" als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Kunde") und

Adrian Setka, handelnd unter „ImmoNerd", Bernshausener Ring 13, 13435 Berlin, Deutschland, als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Immonerd").

Der Kunde nutzt die SaaS-Plattform Immonerd zur Verwaltung von Immobilienprojekten und verarbeitet dabei personenbezogene Daten Dritter (z. B. von Mietern, Kaufinteressenten, Eigentümern und Geschäftspartnern). Insoweit wird Immonerd als Auftragsverarbeiter für den Kunden tätig. Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.

Der AVV wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Er wird mit der Registrierung bzw. der Annahme in der Anwendung Bestandteil des Nutzungsvertrags. Zeitpunkt und Version der Annahme werden von Immonerd protokolliert.

Gegenstand der Verarbeitung ist die Bereitstellung der cloudbasierten Plattform Immonerd einschließlich Datenbank, Datei-Speicher, E-Mail-Funktionen und Analyse-Funktionen gemäß dem Nutzungsvertrag (AGB).

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Sie endet mit dessen Beendigung, spätestens mit der vollständigen Löschung oder Rückgabe der Daten gemäß § 9 dieses AVV.

Art und Zweck: Speicherung, Organisation, Anzeige, Auswertung und Übermittlung der vom Kunden eingegebenen oder hochgeladenen Daten zum Zweck der Verwaltung von Immobilienprojekten (Ankauf, Bewirtschaftung, Sanierung, Verkauf), einschließlich automatisierter Dokumentenanalyse und E-Mail-Kommunikation.

Arten personenbezogener Daten:

• Kontakt- und Identifikationsdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer)
• Vertrags- und Finanzdaten (Mieten, Kautionen, Kaufpreise, Darlehens- und Zahlungsdaten)
• Objektbezogene Daten mit Personenbezug (Grundbuchangaben, Eigentümerdaten)
• Kommunikationsdaten (E-Mail-Inhalte und Metadaten aus der Plattform-Kommunikation)
• Dokumente und Uploads (z. B. Mietverträge, Exposés, Abrechnungen, Grundbuchauszüge)

Kategorien betroffener Personen:

• Mieter und Mietinteressenten
• Käufer und Kaufinteressenten
• Eigentümer und Verkäufer
• Geschäftspartner des Kunden (Makler, Handwerker, Hausverwaltungen, Finanzierungspartner)
• Mitarbeiter und Beauftragte des Kunden
• sonstige vom Kunden erfasste Kontakte

Der Kunde ist Verantwortlicher im Sinne der DSGVO. Er ist für die Rechtmäßigkeit der Erhebung und Verarbeitung der Daten sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage und die Erfüllung von Informationspflichten gegenüber den von ihm erfassten Personen.

Immonerd verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung der Plattform-Funktionen (Eingabe, Upload, Analyse-Aufruf, Versand) gilt als Weisung im Sinne des Art. 28 Abs. 3 lit. a DSGVO. Eine Verarbeitung zu eigenen Zwecken von Immonerd findet nicht statt.

Ist Immonerd der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert Immonerd den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Immonerd stellt sicher, dass sämtliche mit der Verarbeitung befasste Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht über das Ende des Vertrags hinaus fort.

Immonerd trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) und passt sie fortlaufend an den Stand der Technik an. Eine Änderung einzelner Maßnahmen ist zulässig, sofern das Schutzniveau insgesamt nicht unterschritten wird.

Immonerd unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung).

Der Kunde erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zur Einschaltung der in Anlage 2 aufgeführten Subunternehmer. Immonerd schließt mit jedem Subunternehmer einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diesem AVV.

Über die Aufnahme oder den Austausch von Subunternehmern informiert Immonerd den Kunden vorab in der Anwendung oder per E-Mail. Der Kunde kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichen Grund widersprechen. Ist eine einvernehmliche Lösung nicht möglich, steht beiden Parteien ein Sonderkündigungsrecht des Nutzungsvertrags zum Zeitpunkt des Wirksamwerdens der Änderung zu.

Bei Subunternehmern in Drittländern erfolgt die Übermittlung nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss — insbesondere EU-U.S. Data Privacy Framework — oder EU-Standardvertragsklauseln, ggf. mit ergänzenden Maßnahmen). Die jeweilige Garantie ist in Anlage 2 ausgewiesen.

Immonerd unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten. Die Plattform stellt hierfür Self-Service-Funktionen bereit (Einsicht, Bearbeitung, Löschung und Export der Daten durch den Kunden).

Wendet sich eine betroffene Person unmittelbar an Immonerd, leitet Immonerd den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, soweit keine gesetzliche Pflicht besteht.

Immonerd meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Die Meldung enthält — soweit bereits verfügbar — die in Art. 33 Abs. 3 DSGVO genannten Informationen (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen). Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegen dem Kunden als Verantwortlichem.

Der Kunde kann seine Daten während der Vertragslaufzeit jederzeit über die Plattform-Funktionen einsehen, exportieren und löschen.

• Mit Löschung des Kontos bzw. eines Workspaces werden die zugehörigen Auftragsdaten unmittelbar aus den Produktivsystemen gelöscht.
• Aus Sicherungskopien (Backups) entfallen die Daten automatisch mit deren Rotation, spätestens 30 Tage nach der Löschung. Eine Wiederherstellung gelöschter Daten aus Backups erfolgt nur zur Abwehr von Datenverlust-Vorfällen.
• Gesetzliche Aufbewahrungspflichten von Immonerd (z. B. handels- und steuerrechtliche Pflichten für eigene Abrechnungsunterlagen) bleiben unberührt; solche Daten werden für die weitere Verarbeitung gesperrt.

Auf Wunsch bestätigt Immonerd die Löschung in Textform.

Immonerd weist die Einhaltung der Pflichten aus diesem AVV durch geeignete Dokumentation nach, insbesondere durch die TOMs (Anlage 1), die Subunternehmerliste (Anlage 2) sowie vorhandene Zertifizierungen und Auditberichte der eingesetzten Infrastruktur-Anbieter.

Der Kunde kann darüber hinaus einmal jährlich — bei konkretem Anlass auch häufiger — weitere Auskünfte verlangen oder nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten eine Kontrolle durchführen bzw. durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen. Kosten einer Vor-Ort-Kontrolle trägt der Kunde; Geschäftsgeheimnisse von Immonerd und Daten anderer Kunden bleiben geschützt.

Für die Haftung der Parteien gelten die Regelungen des Nutzungsvertrags (AGB, § 10) sowie Art. 82 DSGVO. Im Innenverhältnis stellen sich die Parteien von Ansprüchen frei, soweit die jeweils andere Partei den Schaden nicht zu vertreten hat.

• Es gilt das Recht der Bundesrepublik Deutschland.
• Änderungen dieses AVV werden wie Änderungen der AGB in der Anwendung zur Annahme vorgelegt; die jeweils angenommene Version wird protokolliert.
• Bei Widersprüchen zwischen diesem AVV und den AGB gehen in datenschutzrechtlichen Fragen die Regelungen dieses AVV vor.
• Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Zugangs- und Zugriffskontrolle

• Betrieb auf professioneller Cloud-Infrastruktur (Supabase/AWS, Vercel) mit Rechenzentren-Sicherheit nach Industriestandard; Datenbank- und Storage-Hosting in der EU
• Administrativer Zugang ausschließlich über persönliche Accounts mit Zwei-Faktor-Authentifizierung; Least-Privilege-Prinzip
• Mandantentrennung auf Datenbankebene: Row-Level-Security-Policies je Workspace — jeder Datenzugriff wird serverseitig gegen die Workspace-Mitgliedschaft geprüft
• Rollenbasierte Berechtigungen innerhalb eines Workspace (Admin/Mitglied)
• Passwörter ausschließlich als Hash; hinterlegte SMTP-Zugangsdaten verschlüsselt

Übertragungs- und Speicherkontrolle

• TLS-Verschlüsselung für sämtliche Datenübertragungen
• Verschlüsselung der Daten im Ruhezustand (Encryption at Rest) auf Datenbank- und Storage-Ebene
• Content-Security-Policy und weitere Schutz-Header in der Anwendung

Verfügbarkeits- und Eingabekontrolle

• Automatische tägliche Datenbank-Backups mit begrenzter Aufbewahrung (Rotation)
• Monitoring des Plattformbetriebs; Protokollierung sicherheitsrelevanter Vorgänge
• Zeitstempel für Datenänderungen (Erstellungs-/Änderungsdaten auf Datensatzebene)

Organisatorische Maßnahmen

• Regelmäßige Aktualisierung der eingesetzten Software und Abhängigkeiten
• Datenschutz-Prüfung bei der Entwicklung neuer Funktionen (Privacy by Design)
• Auswahl von Subunternehmern nach Datenschutz- und Sicherheitskriterien; Abschluss von Auftragsverarbeitungsverträgen mit allen Subunternehmern
• Getrennte Umgebungen für Entwicklung und Produktivbetrieb

Hinweis: Die Zahlungsabwicklung über Stripe Payments Europe Ltd. betrifft ausschließlich die Abrechnungsdaten des Kunden selbst. Insoweit ist Immonerd Verantwortlicher und Stripe dessen Auftragsverarbeiter — sie ist nicht Teil der Auftragsverarbeitung nach diesem AVV (Details in der Datenschutzerklärung).

• Version 2026-08-03 (3. August 2026) — Erstfassung.