Vertrag zur Auftragsverarbeitung
Anlage 1 zu den AGB · Fassung 1.0, gültig ab 12. September 2026
Dieser Vertrag nach Art. 28 Abs. 3 DSGVO wird geschlossen zwischen dem Nutzer als Verantwortlichem und
Philipp Rothe, Semperstraße 15, 22303 Hamburg, hello@myimmoexpert.de
als Auftragsverarbeiter.
1. Wann dieser Vertrag gilt
Er gilt, sobald der Nutzer in Immo.Expert personenbezogene Daten Dritter erfasst – etwa Namen, Anschriften, Telefonnummern, E‑Mail‑Adressen oder Vertragsdaten von Mieterinnen und Mietern, Hausverwaltungen, Handwerksbetrieben oder Maklerbüros – oder Dokumente hochlädt, die solche Daten enthalten.
Für die Daten des Nutzers selbst (Kontodaten, Nutzungsdaten) gilt dieser Vertrag nicht; dort ist der Anbieter eigener Verantwortlicher. Was insoweit gilt, steht in der Datenschutzerklärung.
2. Gegenstand, Art und Zweck der Verarbeitung
Der Auftragsverarbeiter betreibt eine Webanwendung, in der der Verantwortliche seinen Immobilienbestand verwaltet. Die Verarbeitung umfasst das Speichern, Ordnen, Anzeigen, Auswerten, Sichern und Löschen der eingegebenen und hochgeladenen Daten sowie die Erzeugung von Schreiben aus diesen Daten. Sie erfolgt ausschließlich zum Zweck der Bereitstellung dieser Funktionen und für die Dauer des Nutzungsvertrags.
3. Kategorien betroffener Personen und Daten
| Betroffene Personen | Mieterinnen und Mieter des Verantwortlichen, Kontaktpersonen bei Hausverwaltungen, Dienstleistern, Banken und Maklerbüros |
|---|---|
| Datenkategorien | Name, Anschrift, Telefonnummer, E‑Mail‑Adresse, Beginn und Ende des Mietverhältnisses, Miet- und Zahlungsdaten, Angaben aus Nebenkostenabrechnungen, Wirtschaftsplänen und Protokollen sowie sonstige Inhalte hochgeladener Dokumente |
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verantwortliche stellt sicher, dass er solche Daten nicht in die Anwendung einstellt.
4. Weisungsbindung
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen der Anwendung durch den Verantwortlichen gilt als seine Weisung. Weitergehende Weisungen sind in Textform an hello@myimmoexpert.de zu richten.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen. Eine Verarbeitung zu eigenen Zwecken, insbesondere zum Training von KI‑Modellen oder zu Werbezwecken, findet nicht statt.
5. Vertraulichkeit
Alle Personen, die auftragsgemäß Zugang zu den Daten haben können, sind zur Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzvorschriften unterrichtet. Der Kreis dieser Personen ist auf das Erforderliche beschränkt; ein Zugriff erfolgt nur zur Störungsbeseitigung und nur, soweit unvermeidbar.
6. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Diese umfassen insbesondere:
- Zugangskontrolle: Anmeldung über einen etablierten Authentifizierungsdienst, Passwörter ausschließlich als kryptografischer Hashwert gespeichert, Zugänge zu den eingesetzten Plattformen mit Zwei‑Faktor‑Authentisierung gesichert.
- Zugriffskontrolle: Trennung der Daten nach Konto durch Zugriffsregeln auf Datenbankebene (Row Level Security). Ein Zugriff auf Daten anderer Konten ist technisch ausgeschlossen. Die Dateiablage ist nach Konto getrennt; Dateien werden ausschließlich über zeitlich befristete, signierte Adressen ausgeliefert.
- Verschlüsselung: Übertragung ausschließlich über TLS, Speicherung verschlüsselt im Ruhezustand.
- Trennungskontrolle: produktive Daten getrennt von Test- und Entwicklungsdaten.
- Verfügbarkeitskontrolle: automatische tägliche Sicherung der Datenbank durch den Plattformbetreiber.
- Eingabekontrolle: Protokollierung der Anmeldungen und der Aufrufe der Serverfunktionen.
- Datenminimierung: keine Analyse‑ oder Werbedienste, keine Reichweitenmessung, keine Weitergabe an Dritte außerhalb der in Abschnitt 7 genannten Unterauftragsverarbeiter.
Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst. Ein Absinken unter das hier beschriebene Niveau ist ausgeschlossen.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz der folgenden Unterauftragsverarbeiter:
| Unternehmen | Leistung | Ort | Transfergrundlage |
|---|---|---|---|
| Supabase Inc., USA | Datenbank, Anmeldung, Dateiablage, Serverfunktionen | Irland (EU) | Verarbeitung in der EU |
| Netlify Inc., USA | Auslieferung der Anwendung | USA | Standardvertragsklauseln |
| Anthropic PBC, USA | KI‑Auswertung von Inseraten und Abrechnungen, Erstellung von Textentwürfen | USA | Standardvertragsklauseln |
| ScrapingBee SAS, Frankreich | Abruf öffentlich zugänglicher Inserate | EU | Verarbeitung in der EU |
Mit allen Unterauftragsverarbeitern bestehen Verträge, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen. Eine Änderung oder Aufnahme weiterer Unterauftragsverarbeiter teilt der Auftragsverarbeiter mindestens 30 Tage vorher per E‑Mail mit. Der Verantwortliche kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen; in diesem Fall kann jede Partei den Vertrag zum Zeitpunkt der Umstellung beenden.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Die Anwendung stellt hierfür unmittelbar nutzbare Funktionen bereit: Bearbeiten und Löschen einzelner Einträge, vollständiger Export aller Daten in einem maschinenlesbaren Format sowie Löschung des gesamten Kontos.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
9. Meldung von Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, per E‑Mail an die im Konto hinterlegte Adresse. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit sie vorliegen. Der Auftragsverarbeiter unterstützt bei der Aufklärung und bei den erforderlichen Meldungen.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung der Pflichten auf Anfrage in Textform nach, insbesondere durch Beschreibung der Maßnahmen nach Abschnitt 6 und durch die Nachweise der Unterauftragsverarbeiter. Reichen diese Nachweise im Einzelfall nicht aus, ist eine Kontrolle nach vorheriger Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebsablaufs möglich.
11. Löschung und Rückgabe
Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter alle verarbeiteten Daten einschließlich der abgelegten Dateien. Die Löschung erfolgt unverzüglich, in Sicherungskopien spätestens innerhalb von 30 Tagen. Vor der Löschung kann der Verantwortliche seine Daten über die Exportfunktion selbst sichern; eine gesonderte Rückgabe erfolgt nicht. Eine gesetzliche Aufbewahrungspflicht bleibt unberührt.
12. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gilt ergänzend § 10 der AGB. Es gilt deutsches Recht. Änderungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags hinsichtlich der Auftragsverarbeitung vor.