Vertrag zur Auftragsverarbeitung

1. Parteien und Gegenstand

Auftraggeber und Verantwortlicher ist der Nutzer von ImmoFreak. Auftragnehmer und Auftragsverarbeiter ist die No Limit Club GmbH, Anna-Birle-Str. 3a, 55252 Mainz-Kastel. Gegenstand ist die Verarbeitung personenbezogener Daten, die der Nutzer im Rahmen des Nutzungsvertrags über die Software verarbeitet. Die Einzelheiten der Leistung ergeben sich aus den Nutzungsbedingungen.

Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags. Endet dieser, endet auch dieser Vertrag; Ziffer 9 bleibt davon unberührt.

2. Art, Zweck und Umfang der Verarbeitung

Wir verarbeiten die Daten ausschließlich, um die vertraglich vereinbarte Software bereitzustellen: Speichern, Anzeigen, Auswerten, Erzeugen von Dokumenten und Abrechnungen, Versand von Nachrichten, die der Nutzer auslöst, sowie Sicherung und Wiederherstellung.

Kategorien betroffener Personen: Mieter und deren Haushaltsangehörige, Kauf- und Mietinteressenten, Eigentümer, Verwalter, Handwerker und Dienstleister, Ansprechpartner von Behörden und Banken, Beschäftigte und Teammitglieder des Nutzers.

Kategorien personenbezogener Daten: Stammdaten (Name, Anschrift, Geburtsdatum), Kontaktdaten, Vertrags- und Abrechnungsdaten, Zahlungs- und Kontodaten aus der Bankanbindung, Kommunikationsinhalte aus Postfach, Nachrichten und Vorgängen, Dokumente und Belege, Angaben zur Identitätsprüfung nach dem Geldwäschegesetz sowie Protokolldaten.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Gibt der Nutzer solche Daten dennoch ein, verarbeiten wir sie technisch mit, ohne dass damit eine Erlaubnis oder eine Eignungszusage für diesen Zweck verbunden wäre.

3. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Nutzers. Als Weisung gelten dieser Vertrag, die Nutzungsbedingungen und die Bedienung der Software durch den Nutzer selbst. Weitere Weisungen sind in Textform an info@immofreak.de zu richten. Halten wir eine Weisung für rechtswidrig, teilen wir das mit und dürfen die Ausführung aussetzen.

Eine Übermittlung in ein Drittland findet nur statt, soweit sie in der Datenschutzerklärung beschrieben ist, und nur auf Grundlage der Standardvertragsklauseln der EU-Kommission oder eines Angemessenheitsbeschlusses.

4. Vertraulichkeit

Alle Personen, die auftragsgemäß Zugriff auf die Daten haben können, sind zur Vertraulichkeit verpflichtet und in die Anforderungen des Datenschutzes eingewiesen. Die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus fort.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Anwendung, Datenbank und Sicherungen laufen in Rechenzentren in Frankfurt am Main.
• Die Übertragung ist durchgehend mit TLS verschlüsselt.
• Zugangsdaten zu Integrationen und weitere besonders schützenswerte Felder liegen verschlüsselt (AES-256) in der Datenbank.
• Die Daten verschiedener Konten sind durch Zugriffsregeln der Datenbank getrennt, die bei jeder Abfrage greifen, auch für Administratoren.
• Zugriff durch uns nur für Personen, die ihn für Betrieb oder Support benötigen, und nur im erforderlichen Umfang.
• Anmeldungen und sicherheitsrelevante Vorgänge werden protokolliert; Sicherungen werden regelmäßig erstellt und auf Wiederherstellbarkeit geprüft.
• Der Nutzer kann seine Daten jederzeit vollständig exportieren und sein Konto selbst löschen.

Die Maßnahmen können im Lauf der Zeit angepasst werden. Das Schutzniveau darf dabei nicht unterschritten werden.

6. Unterauftragsverarbeiter

Der Nutzer erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Eingesetzt werden sie für folgende Leistungen: Betrieb von Anwendung, Datenbank und Sicherungen, Versand von E-Mails, Zahlungsabwicklung, Bankanbindung nach PSD2 sowie die KI-Funktionen der Software. Wir verpflichten jeden von ihnen auf ein Schutzniveau, das diesem Vertrag entspricht.

Die aktuelle Liste mit Namen, Sitz und Leistung stellen wir auf Anfrage in Textform zur Verfügung. Wechselt ein Unterauftragsverarbeiter oder kommt einer hinzu, teilen wir das vorher mit. Der Nutzer kann innerhalb von zwei Wochen aus datenschutzrechtlichen Gründen widersprechen; in diesem Fall kann jede Seite den Vertrag außerordentlich kündigen.

Integrationen, die der Nutzer selbst verbindet, etwa Google, Dropbox oder ein eigenes Postfach, sind keine Unterauftragsverarbeiter im Sinne dieses Vertrags. Für sie entscheidet der Nutzer selbst und schließt die nötigen Verträge mit dem jeweiligen Anbieter.

7. Unterstützung des Nutzers

Wir unterstützen den Nutzer bei der Beantwortung von Anfragen betroffener Personen, soweit das ohne Zugriff auf Inhalte nicht möglich ist. Auskunft, Berichtigung, Löschung und Export kann der Nutzer im Regelfall selbst in der Software erledigen.

Wir unterstützen außerdem bei der Einhaltung der Art. 32 bis 36 DSGVO und melden dem Nutzer jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, mit den Angaben, die er für seine eigene Meldung nach Art. 33 DSGVO braucht.

8. Nachweise und Kontrollen

Wir weisen die Einhaltung dieses Vertrags auf Anfrage nach, insbesondere durch Auskunft in Textform und durch Vorlage vorhandener Prüfberichte. Reicht das nicht aus, ermöglichen wir Überprüfungen nach vorheriger Abstimmung zu üblichen Geschäftszeiten und ohne Störung des Betriebs. Kosten für Prüfungen, die der Nutzer veranlasst, trägt der Nutzer.

9. Löschung und Rückgabe

Nach Ende des Nutzungsvertrags stellen wir die Daten noch 30 Tage zum Export bereit. Danach löschen wir sie einschließlich der Sicherungen im Rahmen der üblichen Löschzyklen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch bestätigen wir die Löschung in Textform.

10. Schlussbestimmungen

Widersprechen sich dieser Vertrag und die Nutzungsbedingungen, gilt für die Verarbeitung personenbezogener Daten im Auftrag dieser Vertrag. Änderungen bedürfen der Textform. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.