Auftragsverarbeitungsvertrag

Dieser Vertrag gilt zwischen dem Kunden von Wohnify als Verantwortlichem (nachfolgend „Kunde“) und der FLOWBRICKS LTD, 95 E. Venizelou, Office 102, 8026 Anavargos, Paphos, Zypern, Registernummer HE 496317, als Auftragsverarbeiter (nachfolgend „Anbieter“).

Er wird mit der Registrierung bzw. der Bestätigung in der App in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO) und ergänzt die AGB. In Fragen des Datenschutzes geht dieser Vertrag den AGB vor.

1. Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, um ihm die Software Wohnify zur Verwaltung von Immobilien bereitzustellen. Gegenstand, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1.
2. Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags. Pflichten, die über das Vertragsende hinaus wirken (insbesondere § 10), bleiben bestehen.

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, einschließlich Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Weisungen sind dieser Vertrag, die Einstellungen und Aktionen des Kunden im Dienst (z. B. Hochladen, Freigeben, Versenden, Löschen) sowie Einzelweisungen in Textform.
3. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt ihnen Zugriff nur, soweit es für ihre Aufgabe erforderlich ist. Supportzugriffe auf Daten eines Kunden erfolgen nur auf dessen Anfrage.

Der Anbieter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und aktualisiert Anlage 2.

1. Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter.
2. Über beabsichtigte Hinzuziehungen oder Ersetzungen informiert der Anbieter mindestens vier Wochen vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Anbieter dem Widerspruch nicht abhelfen, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen.
3. Der Anbieter erlegt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf, die ihn nach diesem Vertrag treffen, und bleibt dem Kunden gegenüber für deren Einhaltung verantwortlich.

1. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
2. Der Anbieter verarbeitet die Daten des Kunden, einschließlich der Verarbeitung durch das Sprachmodell, auf Servern in der Europäischen Union (Anlage 3). Eine Verlagerung in ein Drittland kündigt er nach § 5 Abs. 2 an.

Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 15 bis 22 DSGVO). Der Dienst bietet dafür Export-, Berichtigungs- und Löschfunktionen. Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst.

1. Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
2. Er unterstützt den Kunden unter Berücksichtigung der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen an die Aufsichtsbehörde, der Benachrichtigung Betroffener und einer Datenschutz-Folgenabschätzung.
3. Für Unterstützungsleistungen, die über die Funktionen des Dienstes hinausgehen und nicht durch ein Fehlverhalten des Anbieters veranlasst sind, kann der Anbieter eine angemessene Vergütung verlangen.

Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Der Kunde kann Überprüfungen, auch Inspektionen, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung (in der Regel vier Wochen) während der Geschäftszeiten durchführen. Aktuelle Prüfberichte oder Zertifikate des Anbieters oder seiner Unterauftragsverarbeiter können eine Vor-Ort-Prüfung ersetzen, soweit sie aussagekräftig sind.

Nach Vertragsende kann der Kunde seine Daten 30 Tage lang exportieren. Danach löscht der Anbieter alle personenbezogenen Daten des Kunden, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Datensicherungen werden im regulären Rotationszyklus von 30 Tagen überschrieben. Die Löschung bestätigt der Anbieter auf Anfrage in Textform.

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.
2. Änderungen dieses Vertrags erfolgen nach dem Verfahren in § 14 der AGB, Änderungen der Anlage 3 nach § 5 Abs. 2 dieses Vertrags.
3. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt das Recht der Bundesrepublik Deutschland, soweit die DSGVO keine Regelung trifft.

Gegenstand und Zweck

Bereitstellung einer Software zur Verwaltung von Mietobjekten: Bestandsführung, Mietverhältnisse, Sollstellungen und Zahlungsabgleich, Nebenkosten- und Heizkostenabrechnung, Mahnwesen, Dokumentenablage und -auslesung, Kommunikation mit Mietern (Mieterportal, E-Mail, Brief), Auswertungen und Exporte.

Art der Verarbeitung

Erheben (Upload, Import von Kontoauszügen und Messdienst-Dateien, E-Mail-Eingang), Speichern, Texterkennung, Auslesen und Klassifizieren mit einem Sprachmodell, Abgleichen, Berechnen, Anzeigen, Übermitteln (E-Mail- und Briefversand, Mieterportal), Exportieren, Löschen.

Arten personenbezogener Daten

• Stamm- und Kontaktdaten (Name, Anschrift, E-Mail, Telefon, Geburtsdatum soweit im Vertrag enthalten)
• Vertragsdaten (Mietvertrag, Nachträge, Miethöhe, Kaution, Laufzeiten, Kündigungen)
• Zahlungs- und Bankdaten (IBAN, Kontoinhaber, Umsätze aus importierten Kontoauszügen, Rückstände, Mahnungen)
• Verbrauchs- und Abrechnungsdaten (Zählerstände, Messdienst-Abrechnungen, Nebenkostenabrechnungen)
• Kommunikationsdaten (E-Mails, Briefe, Portal-Nachrichten, Schadensmeldungen inkl. Fotos)
• Dokumente mit den darin enthaltenen Angaben (z. B. Selbstauskünfte, Grundbuchauszüge, Bescheide)
• Nutzungs- und Protokolldaten der Nutzer des Kunden und der Mieter im Portal

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Kunde lädt solche Daten nur hoch, wenn er dafür eine Rechtsgrundlage hat.

Kategorien betroffener Personen

• Mieter, Mitbewohner, Mietinteressenten und Bürgen
• Eigentümer und Miteigentümer der verwalteten Objekte
• Handwerker, Dienstleister, Versorger und deren Ansprechpartner
• Nutzer des Kunden (Mitarbeiter, Steuerberater, sonstige eingeladene Personen)

Die Übersicht nennt die Maßnahmen, die der Anbieter getroffen hat. Was noch nicht umgesetzt ist, steht dabei.