Auftragsverarbeitungsvertrag (AVV)

Fassung 2026-10-04 · Stand 2026-10-04

Fassung 2026-10-04 · Stand 2026-10-04

Parteien, Gegenstand und Dauer

Auftraggeber ist der im Immovaro-Konto identifizierte Nutzer, soweit er über Zwecke und Mittel der Verarbeitung personenbezogener Daten Dritter entscheidet. Auftragnehmer ist Denis Panic unter der unten angegebenen Anschrift. Der Auftragnehmer verarbeitet diese Daten für die vereinbarten Portfolio-, Miet- und Analysefunktionen als Auftragsverarbeiter. Für eigene Konto-, Sicherheits- und rechtliche Nachweisdaten handelt er gesondert als Verantwortlicher. Diese Vereinbarung gilt für die Dauer der beauftragten Verarbeitung und ist Bestandteil des Nutzungsvertrags. Dokument-Uploads sind nicht Bestandteil des derzeit aktivierten Auftrags.

Art, Zweck, Daten und betroffene Personen

Die Verarbeitung dient der Speicherung, Zuordnung, Darstellung und Berechnung der vom Auftraggeber angeforderten Immobilien- und Mietanalysen. Sie umfasst Erfassung, Ordnung, Speicherung, Abruf, Änderung und Löschung strukturierter Daten. Betroffene Personen können Mieter, Vertragspartner und Darlehensbeteiligte sein. Datenkategorien sind vom Auftraggeber eingegebene Namen oder Bezeichnungen, Kontaktdaten sowie Objekt-, Miet-, Vertrags- und Finanzangaben. Der Auftraggeber beschränkt die Eingaben auf erforderliche Daten. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten über strafrechtliche Verurteilungen nach Art. 10 DSGVO sind vom vereinbarten Auftrag nicht umfasst.

Weisungen und Pflichten des Verantwortlichen

Die Verarbeitung erfolgt nur zu dokumentierten Weisungen aus dem vereinbarten Funktionsumfang und zulässigen ergänzenden Weisungen. Du verantwortest Rechtsgrundlage, Datenrichtigkeit und Informationspflichten. Der Betreiber informiert dich, wenn eine Weisung nach seiner Einschätzung Datenschutzrecht verletzt. Gesetzlich erzwungene Verarbeitung wird, soweit zulässig, vorab mitgeteilt.

Technische und organisatorische Maßnahmen

Der Auftragnehmer stellt Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitung durch risikogerechte Maßnahmen sicher. Hierzu gehören serverseitige Prüfung der Konto- und Portfoliozuordnung bei jedem Zugriff, ein getrennter Immovaro-Anmeldedienst, eine eigene Datenbank und Datenbankrolle, verschlüsselte Übertragung im produktiven Betrieb, auf befugte Personen beschränkte Betreiberzugriffe und eine zweckgebundene Protokollierung ohne Passwörter oder Dokumentinhalte. Berechtigte Personen werden zur Vertraulichkeit verpflichtet. Sicherungsverfahren, Wiederherstellungsprüfungen und regelmäßige Wirksamkeitsprüfungen müssen vor dem produktiven Einsatz eingerichtet und dokumentiert sein. Nach Wiederherstellung sind Löschungen und Zugriffssperren erneut anzuwenden. Maßnahmen dürfen weiterentwickelt werden, ohne das vereinbarte Schutzniveau abzusenken.

Genehmigte weitere Auftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz von Contabo GmbH, Welfenstraße 22, 81541 München, für VPS-Hosting, auf dem Anwendung, Datenbank und Keycloak betrieben werden, sowie STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, für Domain-/DNS- und E-Mail-Dienste im erforderlichen Umfang. Ein externer Dokumentenspeicher ist nicht beauftragt. Weitere oder ersetzende Auftragsverarbeiter werden mindestens dreißig Tage vor dem geplanten Einsatz mit Leistung und Verarbeitungsort angekündigt. Der Auftraggeber kann aus begründeten Datenschutzgründen widersprechen. Bis zur Klärung erfolgt die betroffene Verarbeitung nicht durch den neuen Anbieter; lässt sich keine geeignete Alternative vereinbaren, kann der betroffene Auftrag beendet werden. Dem weiteren Auftragsverarbeiter werden gleichwertige Datenschutzpflichten auferlegt; der Auftragnehmer bleibt für deren Einhaltung verantwortlich.

Unterstützung und Vorfälle

Der Betreiber unterstützt dich im vereinbarten Umfang bei Betroffenenrechten, Sicherheit, Datenschutzverletzungen sowie erforderlichen Folgenabschätzungen und Behördenkonsultationen. Bekannt gewordene Verletzungen des Schutzes der in deinem Auftrag verarbeiteten Daten werden dir unverzüglich mit den verfügbaren Angaben gemeldet. Anfragen Dritter werden nicht ohne geklärte Zuständigkeit eigenmächtig beantwortet.

Rückgabe und Löschung

Nach Ende der Verarbeitung werden personenbezogene Daten nach deiner rechtmäßigen Wahl zurückgegeben oder gelöscht, einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftragnehmer muss Rückgabeweg, Löschverfahren und Sicherungszyklen vor dem produktiven Einsatz dokumentieren und stellt die für den Auftrag geltenden Informationen auf Anfrage bereit. Während einer erforderlichen Aufbewahrung bleiben Daten zweckgebunden geschützt und werden nicht zur aktiven Nutzung bereitgestellt. Bei einer Wiederherstellung aus Sicherungen sind verifizierte Löschungen und Kontosperren erneut anzuwenden.

Nachweise und Kontrolle

Der Betreiber stellt erforderliche Informationen zum Nachweis dieser Pflichten bereit und ermöglicht im angemessenen, abgestimmten Rahmen die gesetzlich erforderliche Kontrolle. Die Kontrolle schützt zugleich fremde Konten, vertrauliche Infrastruktur und Zugangsdaten. Eine pauschale Verweigerung gesetzlicher Kontrollrechte wird nicht vereinbart.

Verarbeitungsorte und Drittlandübermittlungen

Anwendung, Datenbank und Keycloak werden auf dem Contabo-VPS in Frankfurt am Main, Deutschland, betrieben. STRATO erbringt die Domain-/DNS- und E-Mail-Dienste; die vertraglichen Verarbeitungsorte richten sich nach dem gebuchten STRATO-Dienst. Verarbeitung und Übermittlungen erfolgen nur im Rahmen der dokumentierten Weisungen. Eine Übermittlung in ein Drittland oder an eine internationale Organisation bedarf einer dokumentierten Weisung beziehungsweise gesetzlichen Verpflichtung und einer zulässigen Grundlage nach Kapitel V DSGVO. Auf Anfrage stellt der Auftragnehmer Informationen zu den für den Auftrag geltenden Verarbeitungsorten und etwaigen Übermittlungsgarantien zur Verfügung.

Betreiber und Verantwortlicher

Denis Panic

Fuchshofstr. 45

71638 Ludwigsburg