Vereinbarung zur Auftragsverarbeitung personenbezogener Daten

Parteien

Auftraggeber

Der jeweilige gewerbliche Kunde, der wohnen.cc nutzt und über Zweck und Mittel der Verarbeitung seiner Daten entscheidet.

Auftragnehmer

raumFrei Software GmbH, Wedekindstraße 18, 10243 Berlin, Deutschland, vertreten durch Geschäftsführer Fabian Lurz.

Kontakt

Datenschutz- und Vertragsfragen zur Auftragsverarbeitung richten Sie an support@wohnen.cc.

1. Einleitung, Geltungsbereich und Definitionen

Diese Vereinbarung regelt die Rechte und Pflichten der Parteien, soweit raumFrei personenbezogene Daten im Auftrag des Kunden verarbeitet. Der Kunde ist Verantwortlicher im Sinne der Datenschutz-Grundverordnung. raumFrei ist Auftragsverarbeiter.

Die Vereinbarung gilt für alle Verarbeitungstätigkeiten, bei denen Beschäftigte von raumFrei oder zugelassene Unterauftragsverarbeiter personenbezogene Daten des Kunden im Rahmen von wohnen.cc verarbeiten. Begriffe dieser Vereinbarung haben die Bedeutung der DSGVO.

2. Gegenstand und Dauer der Verarbeitung

2.1 Gegenstand

Gegenstand der Auftragsverarbeitung ist die Bereitstellung, der Betrieb, die Absicherung, die Wartung und die Weiterentwicklung der Software wohnen.cc als Plattform für Bestandshalter mit eigenem Team. Umfang, Art und Zweck ergeben sich aus dem Hauptvertrag, den vereinbarten Leistungsbestandteilen, der Nutzung durch den Kunden und dieser Vereinbarung.

2.2 Dauer

Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet auch diese Vereinbarung, soweit nachvertragliche Rückgabe-, Lösch-, Nachweis- oder Aufbewahrungspflichten nichts anderes erfordern.

3. Art, Zweck und Betroffene der Datenverarbeitung

3.1 Umfang, Art und Zweck

Die Verarbeitung erfolgt elektronisch über die von raumFrei bereitgestellten Dienste. Sie umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Auslesen, Abfragen, Verwenden, Bereitstellen, Übermitteln, Abgleichen, Einschränken, Löschen und Vernichten personenbezogener Daten, soweit dies für die Nutzung von wohnen.cc erforderlich ist.

Zweck ist die digitale Selbstverwaltung von Immobilienbeständen durch den Kunden. Dazu gehören Stammdatenverwaltung, Vermietung, Mieterkommunikation, Aufgaben, Dokumente, Briefe, Finanzen, Abrechnung, Support, Integrationen und die technische Bereitstellung der Plattform.

3.2 Arten personenbezogener Daten

• Nutzer- und Organisationsdaten, insbesondere Namen, E-Mail-Adressen, Rollen, Berechtigungen, Organisationszuordnung und technische Nutzungsdaten.
• Objekt-, Einheits- und Vertragsdaten, insbesondere Adressen, Stammdaten, Mietvertragsdaten, Zuordnungen, Fristen und wirtschaftliche Eckdaten.
• Kontakt- und Kommunikationsdaten von Mietern, Mietinteressenten, Bewerbern, Dienstleistern, Eigentümerkontakten und sonstigen vom Kunden angelegten Personen.
• Bewerbungen, Selbstauskünfte, Terminanfragen, Schadensmeldungen, Übergabeprotokolle, Aufgaben, Kommentare und vergleichbare Vorgänge der Bestandsverwaltung.
• Dateien und Dokumente, insbesondere Fotos, PDF-Dateien, Schriftstücke, Belege, Rechnungen, Mietdokumente, Schreiben und erzeugte Dokumente.
• Zahlungs-, Bank-, Abrechnungs- und Buchungsdaten, insbesondere Kontoinformationen, Transaktionen, offene Posten, Belege und Abrechnungspositionen.
• Technische Betriebsdaten, insbesondere Protokolle, Fehlerdaten, Sicherheitsereignisse, Zeitstempel, Geräte- und Sitzungsinformationen.

3.3 Kategorien betroffener Personen

• Mitarbeiter, Nutzer und Beauftragte des Kunden.
• Mieter, ehemalige Mieter, Mietinteressenten, Bewerber und deren Ansprechpartner.
• Eigentümer-, Organisations-, Lieferanten-, Dienstleister- und Geschäftskontakte des Kunden.
• Empfänger von Schreiben, Beteiligte an Vorgängen, Aufgaben, Schäden, Terminen, Übergaben und sonstige vom Kunden im System angelegte Personen.

4. Pflichten des Auftragnehmers

raumFrei verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, auf Grundlage dieser Vereinbarung oder soweit eine gesetzliche Pflicht besteht. Eine Verarbeitung zu eigenen Zwecken findet nicht statt, soweit raumFrei als Auftragsverarbeiter tätig wird.

raumFrei verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, wahrt die Grundsätze ordnungsgemäßer Datenverarbeitung und setzt geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO um.

raumFrei unterstützt den Kunden im angemessenen Umfang bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Konsultationen mit Aufsichtsbehörden, Nachweisen und Sicherheitsfragen, soweit die Verarbeitung im Auftrag betroffen ist und die Informationen raumFrei zur Verfügung stehen.

5. Kontrollrechte des Auftraggebers

Der Kunde kann die Einhaltung dieser Vereinbarung durch geeignete Nachweise überprüfen. raumFrei stellt auf Anfrage angemessene Informationen bereit, zum Beispiel Beschreibungen von Maßnahmen, Auskünfte zu Unterauftragsverarbeitern oder einschlägige Sicherheitsnachweise.

Vor-Ort-Prüfungen oder vergleichbare intensive Prüfhandlungen sind mit angemessener Frist anzukündigen, auf die Verarbeitung im Auftrag zu begrenzen und so durchzuführen, dass Betriebsabläufe, Sicherheit, Vertraulichkeit und Rechte anderer Kunden geschützt bleiben.

6. Sicherheit der Verarbeitung nach Art. 32 DSGVO

Die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen sind verbindlicher Bestandteil dieser Vereinbarung. raumFrei darf diese Maßnahmen technisch weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

Kopien und Duplikate personenbezogener Daten werden nur erstellt, soweit sie für Betrieb, Sicherung, Fehleranalyse, Wiederherstellung, gesetzliche Pflichten oder die vertragsgemäße Leistungserbringung erforderlich sind.

7. Berichtigung, Löschung und Einschränkung

raumFrei berichtigt, löscht oder sperrt im Auftrag verarbeitete Daten nur nach vertraglicher Regelung, durch Funktionen der Plattform oder nach dokumentierter Weisung des Kunden. Soweit der Kunde Daten selbst in der Plattform verwaltet, ist er für fachliche Richtigkeit, Aktualisierung und Löschentscheidungen verantwortlich.

8. Unterauftragsverarbeiter

Der Kunde erteilt raumFrei die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen. raumFrei verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das den Anforderungen dieser Vereinbarung im Wesentlichen entspricht.

Änderungen an Unterauftragsverarbeitern werden über eine geeignete Kontakt- oder Veröffentlichungsstelle mitgeteilt. Der Kunde kann innerhalb von 14 Kalendertagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich der Widerspruch nicht auflösen, können die Parteien den betroffenen Leistungsbestandteil oder den Hauptvertrag nach Maßgabe der vertraglichen Regelungen beenden.

9. Mitteilungspflichten

raumFrei informiert den Kunden unverzüglich über bekannte oder begründet vermutete Verletzungen des Schutzes personenbezogener Daten, soweit Kundendaten im Auftrag betroffen sind. Die Mitteilung enthält die raumFrei verfügbaren Informationen, die der Kunde für seine Bewertung und etwaige Meldepflichten benötigt.

Direkt an raumFrei gerichtete Anfragen betroffener Personen oder Behörden, die Kundendaten im Auftrag betreffen, werden an den Kunden weitergeleitet, soweit keine gesetzliche Pflicht zu einem anderen Vorgehen besteht.

10. Weisungen

Die Nutzung der Plattform, der Hauptvertrag und diese Vereinbarung bilden die anfängliche Weisung des Kunden. Zusätzliche Weisungen müssen dokumentiert erfolgen, zum Beispiel per E-Mail an die in Anlage 3 genannte Kontaktstelle.

Hält raumFrei eine Weisung für rechtswidrig, unklar oder technisch nicht umsetzbar, weist raumFrei den Kunden darauf hin und setzt die betroffene Weisung aus, soweit dies datenschutzrechtlich oder technisch erforderlich ist.

11. Haftung

Für Haftung und Schadensersatz gelten die gesetzlichen Regelungen und die vertraglichen Haftungsvereinbarungen des Hauptvertrags. Die Verantwortlichkeit des Kunden für Rechtmäßigkeit, Zwecke, Rechtsgrundlagen, Informationspflichten und Weisungen bleibt unberührt.

12. Beendigung des Auftrags

Nach Ende des Hauptvertrags löscht oder gibt raumFrei personenbezogene Daten nach Wahl des Kunden zurück, soweit keine gesetzlichen Aufbewahrungspflichten, Nachweisinteressen oder technisch zwingenden Backup-Zyklen entgegenstehen. Verbleibende Sicherungskopien werden nach Ablauf der vorgesehenen Sicherungsfristen gelöscht oder überschrieben.

13. Schlussbestimmungen

Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen Vertragsunterlagen gehen die Regelungen dieser Vereinbarung für die Auftragsverarbeitung vor. Änderungen und Ergänzungen können in elektronischer Form vereinbart werden.

Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen unwirksame Regelungen durch eine wirksame Regelung, die dem datenschutzrechtlichen Zweck möglichst nahekommt.

Anlage 1 - technische und organisatorische Maßnahmen

Zutrittskontrolle

• Der produktive Betrieb erfolgt in professionellen Rechenzentren der eingesetzten Infrastruktur-Dienstleister. raumFrei betreibt keine eigenen öffentlich zugänglichen Serverräume für Kundendaten.
• Physische Zutritte zu Rechenzentren werden durch die jeweiligen Betreiber abgesichert. Administrative Zugänge zu Cloud-Ressourcen werden getrennt von fachlichen Nutzerzugängen verwaltet.

Zugangskontrolle

• Administrative Zugänge werden personenbezogen vergeben und nach dem Erforderlichkeitsprinzip beschränkt.
• Produktzugänge werden authentifiziert, Sitzungen abgesichert und Berechtigungen rollen- und organisationsbezogen geprüft.
• Geheimnisse, API-Schlüssel, Refresh Tokens und vergleichbare Zugangsdaten werden nicht im Klartext protokolliert und werden nach Schutzbedarf verschlüsselt gespeichert.

Zugriffskontrolle

• Kundendaten werden organisationsbezogen getrennt und über serverseitige Berechtigungsprüfungen, Modulzugriffe und rollenbasierte Rechte begrenzt.
• Besonders sensible Felder und Zugangsdaten werden nach dem KMS-Envelope-Prinzip geschützt, soweit sie der dafür vorgesehenen Schutzklasse unterfallen.
• Interne Dateien und Bilder werden nicht direkt über öffentliche Storage-URLs ausgeliefert, sondern über serverseitig geprüfte Auslieferungspfade.

Weitergabekontrolle

• Die Übertragung zwischen Browser, Anwendung und Dienstleistern erfolgt über transportverschlüsselte Verbindungen.
• Daten werden nur an die in dieser Vereinbarung zugelassenen Unterauftragsverarbeiter oder auf Weisung des Kunden an Empfänger übermittelt.
• Protokolle werden so gestaltet, dass rohe Passwörter, Tokens, Bankdaten und vergleichbare sensible Inhalte nicht geloggt werden.

Eingabekontrolle

• Fachliche Änderungen werden mit Zeitstempeln, Organisationsbezug und soweit vorgesehen mit handelndem Nutzer gespeichert.
• Administrative Änderungen an Berechtigungen, Integrationen und sicherheitsrelevanten Einstellungen werden nachvollziehbar begrenzt und überprüfbar gehalten.

Verfügbarkeitskontrolle

• Die Plattform nutzt verwaltete Datenbank-, Speicher-, Netzwerk- und Laufzeitdienste mit Backup-, Monitoring- und Wiederherstellungsmechanismen.
• Produktive Dienste werden überwacht. Störungen werden priorisiert bearbeitet, damit Verfügbarkeit und Integrität der Verarbeitung wiederhergestellt werden.
• Backups, technische Replikation und Wiederanlaufverfahren werden am Schutzbedarf der verarbeiteten Daten ausgerichtet.

Trennungskontrolle

• Produktive, Entwicklungs- und Testumgebungen werden logisch getrennt betrieben.
• Öffentliche Anfragen, Eigentümer-Websites, Supportfälle, Admin-Flächen und tenant-aware Produktdaten haben getrennte fachliche Daten- und Service-Grenzen.
• Mandanten- und organisationsbezogene Daten werden auf API- und Datenbankebene strikt über Organisationskontexte abgegrenzt.

Incident Response

• Sicherheits- und Datenschutzvorfälle werden intern bewertet, priorisiert und mit geeigneten technischen und organisatorischen Maßnahmen behandelt.
• Soweit ein Vorfall Kundendaten im Auftrag betrifft, informiert raumFrei den betroffenen Kunden unverzüglich mit den für dessen Bewertung erforderlichen Informationen.

Anlage 2 - Zugelassene Unterauftragsverarbeiter

Die folgenden Dienstleister sind für die genannte Verarbeitung zugelassen. Integrationsbezogene Dienstleister werden nur eingesetzt, wenn der Kunde die jeweilige Funktion aktiviert oder deren Einsatz zur vertragsgemäßen Abwicklung erforderlich ist.

Scaleway

Hosting, Kubernetes-Laufzeit, verwaltete Datenbanken, Redis, Object Storage, KMS, Transaktions-E-Mail, Logs, Traces, Monitoring und Generative APIs.

Verarbeitungsort: Frankreich und Europäische Union; konkrete Verarbeitung richtet sich nach den produktiv genutzten Scaleway-Diensten.

Einsatz: Basisbetrieb der Plattform.

BANKSapi

Bankzugang, Kontoinformationen, Zahlungs- und Transaktionsabruf für aktivierte Finanzfunktionen.

Verarbeitungsort: Europäische Union.

Einsatz: Nur bei aktivierter Bankintegration.

eBrief/PINAG

Elektronische Briefübergabe, Druck, Versandstatus und Zustellung von vom Kunden ausgelösten Schreiben.

Verarbeitungsort: Deutschland.

Einsatz: Nur bei aktivierter Briefzustellung.

HERE

Adresssuche, Geocoding und strukturierte Adressvorschläge.

Verarbeitungsort: Europäische Union und weitere Anbieterstandorte mit geeigneten Garantien für Drittlandübermittlungen.

Einsatz: Nur bei Nutzung adressbezogener Such- und Kartenfunktionen.

Frisbii

Abonnement-, Rechnungs- und Zahlungsverwaltung für platformbezogene Abrechnung.

Verarbeitungsort: Europäische Union und weitere Anbieterstandorte mit geeigneten Garantien für Drittlandübermittlungen.

Einsatz: Nur für abrechnungsbezogene Plattformprozesse.

Ohne-makler

Übertragung und Verwaltung von Inseratsdaten bei aktivierter Vermarktungsintegration.

Verarbeitungsort: Deutschland.

Einsatz: Nur bei aktivierter Ohne-makler-Integration.

Google

E-Mail-Abruf und E-Mail-Versand für vom Kunden verbundene Google-Konten.

Verarbeitungsort: Europäische Union und weitere Anbieterstandorte mit geeigneten Garantien für Drittlandübermittlungen.

Einsatz: Nur bei aktivierter Google-E-Mail-Integration.

Microsoft

E-Mail-Abruf und E-Mail-Versand für vom Kunden verbundene Microsoft-Konten.

Verarbeitungsort: Europäische Union und weitere Anbieterstandorte mit geeigneten Garantien für Drittlandübermittlungen.

Einsatz: Nur bei aktivierter Microsoft-E-Mail-Integration.

Soweit bei einzelnen Dienstleistern eine Übermittlung in Drittländer stattfindet, stellt raumFrei geeignete Garantien nach Art. 44 ff. DSGVO sicher, insbesondere Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln oder gleichwertige Schutzmechanismen.

Anlage 3 - Kontakt und Kommunikation

Für Weisungen, Datenschutzfragen, Mitteilungen zu Unterauftragsverarbeitern und Meldungen zu Datenschutzvorfällen ist die zentrale Kontaktstelle support@wohnen.cc. Ein Datenschutzbeauftragter ist für wohnen.cc derzeit nicht öffentlich benannt; es wird keine Person als Datenschutzbeauftragter ausgewiesen.

Mitteilungen des Kunden müssen den betroffenen Vertrag, die Organisation, die betroffenen Verarbeitungstätigkeiten und die gewünschte Maßnahme so konkret bezeichnen, dass raumFrei die Anfrage sicher zuordnen und bearbeiten kann.