Auftragsverarbeitungsvertrag (AVV)
1. Präambel und Gegenstand
Verantwortlicher im Sinne der Datenschutz-Grundverordnung (DSGVO) ist der Kunde (Hausverwaltung bzw. Vermieterin oder Vermieter). Auftragsverarbeiter sind gemeinsam ONSTUDIO (Louis Maurice Dietl, Am Schoolkamp 104, 46238 Bottrop) und Services Cologne (Mehmet Ayan, Vogelsanger Straße 197c, 50825 Köln). Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Nutzung von EasyTenant und geht in Datenschutzfragen abweichenden Regelungen des Nutzungsvertrags (AGB) vor.
2. Dauer
Die Laufzeit dieses AVV entspricht der Laufzeit des Nutzungsvertrags (AGB) zwischen den Parteien und endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.
3. Art, Umfang und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erbringung der im Nutzungsvertrag vereinbarten EasyTenant-Leistungen (Entgegennahme und Kategorisierung von Mieteranliegen, Beauftragung von Dienstleistern, Versand von Willkommensbriefen, Bereitstellung des Dashboards) und nur auf dokumentierte Weisung des Verantwortlichen. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt.
4. Art der Daten und Kategorien betroffener Personen
Verarbeitet werden insbesondere Stammdaten und Meldungsinhalte von Mieterinnen und Mietern (Name, Anschrift der Wohn- bzw. Nutzeinheit, Kontaktdaten, persönliche Kundennummer, Inhalte der über WhatsApp, SMS oder E-Mail übermittelten Nachrichten) sowie Stammdaten der vom Verantwortlichen beauftragten Dienstleister. Betroffene Personen sind die Mieterinnen und Mieter sowie die Dienstleister des Verantwortlichen.
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet. Er verpflichtet alle zur Verarbeitung befugten Personen auf Vertraulichkeit oder unterwirft sie einer angemessenen gesetzlichen Verschwiegenheitspflicht. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen hierüber unverzüglich.
6. Technisch-organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die erforderlichen technischen und organisatorischen Maßnahmen im Sinne des Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen sind in Anlage 1 beschrieben und werden bei Bedarf an den Stand der Technik angepasst.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Einbindung der in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder des Austauschs von Unterauftragsverarbeitern informiert der Auftragsverarbeiter den Verantwortlichen rechtzeitig im Voraus; der Verantwortliche kann einer solchen Änderung aus wichtigem Grund widersprechen. Der Auftragsverarbeiter erlegt allen Unterauftragsverarbeitern im Wege vertraglicher Vereinbarung dieselben Datenschutzpflichten auf, die diesem AVV zugrunde liegen.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Art. 12 bis 23 DSGVO sowie bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere der Meldung und Dokumentation von Datenschutzverletzungen sowie gegebenenfalls erforderlicher Datenschutz-Folgenabschätzungen.
9. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, über Verletzungen des Schutzes personenbezogener Daten, die die im Rahmen dieses AVV verarbeiteten Daten betreffen, und unterstützt ihn bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen.
10. Löschung und Rückgabe
Nach Beendigung der Erbringung der vertraglich vereinbarten Leistungen löscht oder retourniert der Auftragsverarbeiter sämtliche im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen, soweit dem keine gesetzliche Pflicht zur weiteren Aufbewahrung entgegensteht.
11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen von diesem beauftragten Prüfer. Solche Überprüfungen sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten anzukündigen und unter Berücksichtigung der Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters durchzuführen.
12. Haftung und Sonstiges
Für die Haftung der Parteien gilt die Regelung des Art. 82 DSGVO. Änderungen und Ergänzungen dieses AVV bedürfen der Textform; dies gilt auch für einen Verzicht auf dieses Formerfordernis. Es gilt das Recht der Bundesrepublik Deutschland. Stand: Juli 2026.
Anlage 1 — Technisch-organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft insbesondere folgende technische und organisatorische Maßnahmen im Sinne des Art. 32 DSGVO: • Vertraulichkeit: verschlüsselte Datenübertragung über TLS/HTTPS sowie Verschlüsselung ruhender Daten (Encryption at Rest). • Zutritts-, Zugangs- und Zugriffskontrolle: Beschränkung des Zugriffs auf Systeme und Daten auf befugte Personen mittels individueller Zugangsberechtigungen. • Trennungskontrolle: mandantengetrennte Datenhaltung durch Trennung der Daten nach Organisation (orgId), sodass Kunden ausschließlich auf die eigenen Daten zugreifen können. • Pseudonymisierung, soweit dies nach Art und Zweck der Verarbeitung möglich ist und der Verarbeitungszweck dadurch nicht gefährdet wird. • Verfügbarkeit und Wiederherstellbarkeit: Betrieb der Anwendung bei Hosting-Anbietern mit regelmäßigen Backups und Notfallwiederherstellungsverfahren. • Belastbarkeit der eingesetzten Systeme und Dienste, auch bei erhöhter Auslastung. • Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen. • Verpflichtung aller Mitarbeiter und eingesetzten Personen auf Vertraulichkeit und Datenschutz.
Anlage 2 — Unterauftragsverarbeiter
Der Auftragsverarbeiter setzt zur Erbringung der vertraglich vereinbarten Leistungen die nachfolgend genannten Unterauftragsverarbeiter ein: • Vercel Inc. (USA) — Hosting von Website und Anwendung; Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln. • Neon Inc. (USA) — Datenbank (Serverless-PostgreSQL); Datenhaltung in der EU-Region Frankfurt am Main. • SendSeven GmbH (Augsburg, Deutschland) — Messaging-Dienstleister für WhatsApp und SMS; setzt ihrerseits ein: Meta Platforms Ireland Ltd. (WhatsApp), seven communications GmbH & Co. KG, Kiel (SMS-Gateway, EU) und Google Vertex AI (KI-gestützte Kategorisierung, EU-Region europe-west4, Niederlande). • Resend, Inc. (USA) — Versand von E-Mails; Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln. • Stripe Payments Europe, Ltd. (Irland) — Zahlungsabwicklung. • A&O Fischer GmbH & Co. KG (Winsen/Luhe, Deutschland) — Druck und Versand der Willkommensbriefe.