Auftragsverarbeitungsvertrag (AVV)

Sie (die Organisation, die ImmoBase nutzt) sind Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO für die von Ihnen eingegebenen Fachdaten, insbesondere zu Mietern, Eigentümern, Handwerkern, Mitarbeitern und sonstigen Dritten.

Wir (ImmoBase, Anbieter gemäß Impressum) sind Auftragsverarbeiter im Sinne von Art. 4 Nr. 8, Art. 28 DSGVO, soweit wir diese Daten in Ihrem Auftrag in der Anwendung hosten und verarbeiten.

Personenbezogene Daten, die wir als eigene Verantwortliche verarbeiten (Konto, Abrechnung, Support), sind in der Datenschutzerklärung geregelt und nicht Gegenstand dieses AVV.

Gegenstand ist die Bereitstellung der SaaS-Anwendung ImmoBase (Miet- und WEG-Verwaltung) einschließlich Speicherung, Anzeige, Export, Versand von Systemmails, optionaler KI-Unterstützung, optionaler Bild-Texterkennung und optionalem physischen Postversand.

Die Dauer entspricht der Laufzeit des Nutzungsvertrags zuzüglich der in der Datenschutzerklärung genannten Löschfristen (derzeit 14 Tage nach Löschanforderung der Organisation; Papierkorb 28 Tage).

Art der Daten: Stammdaten und Kontaktdaten von Mietern, Eigentümern und sonstigen Beteiligten; Vertrags-, Zahlungs- und Abrechnungsdaten; Dokumenteninhalte; E-Mail-Inhalte, wenn Sie ein Postfach anbinden; Chat-Eingaben und Anhänge, soweit Sie den KI-Assistenten nutzen; Empfänger- und Briefinhalte beim Postversand.

Betroffene: Ihre Mieter, Eigentümer, Mitarbeiter, Dienstleister und sonstige Personen, deren Daten Sie erfassen. Zweck: Durchführung der von Ihnen angestoßenen Verwaltungsvorgänge.

Wir verarbeiten die Daten nur auf dokumentierte Weisung, es sei denn, das Unionsrecht oder deutsches Recht verlangt etwas anderes. Weisungen erteilen Sie durch die Nutzung der Anwendung (Eingaben, Uploads, Einstellungen, Versandaktionen) sowie schriftlich an support@immobase.app.

Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das mit und setzen sie aus, bis sie bestätigt oder geändert ist.

Wir treffen geeignete TOMs nach Art. 32 DSGVO und halten sie dem Risiko angemessen aufrecht. Derzeit insbesondere: Mandantentrennung auf Datensatzebene (jede Fachtabelle trägt eine Organisationskennung); Transportverschlüsselung (HTTPS); Verschlüsselung von Mail- und Integrationsgeheimnissen (AES-256-GCM); Passwörter nur als PBKDF2-Hash; Rollen (Inhaber, Admin, Mitglied); httpOnly-Sitzungscookies; Aktivitätsprotokoll; Hosting von Datenbank, Dateien und Sitzungen in europäischen Rechenzentren bzw. mit EU-Jurisdiktion; Lösch- und Exportfunktionen in der Anwendung.

Eine detailliertere Beschreibung kann der Datenschutzerklärung und der technischen Dokumentation entnommen werden. Wesentliche Verschlechterungen der TOMs nehmen wir nicht ohne Information vor.

Sie genehmigen die Beauftragung der nachfolgend genannten Unterauftragsverarbeiter. Optional genannte Stellen werden nur tätig, wenn Sie die jeweilige Funktion aktivieren.

Cloudflare, Inc. / Cloudflare Germany GmbH: Hosting der Anwendung, Datenbank (D1), Dateispeicher (R2), Sitzungsspeicher (KV), Versand der Systemmails. Ort: EU-Rechenzentren bzw. EU-Jurisdiktion; Sitz u. a. San Francisco, EU-Niederlassung München. Zertifiziert unter dem EU-US Data Privacy Framework. Datenschutz: https://www.cloudflare.com/de-de/privacypolicy/

Stripe Payments Europe, Ltd.: Zahlungsabwicklung, Rechnungsstellung und Kundenportal für Abonnements. Ort: Irland (1 Grand Canal Street Lower, Dublin). Zahlungsdaten geben Sie direkt bei Stripe ein. Datenschutz: https://stripe.com/de/privacy

OpenRouter, Inc.: ImmoBase-KI (Chat, Werkzeuge) und optionale Bild-Texterkennung über den EU-Endpunkt. Ort: USA mit EU-Endpunkt eu.openrouter.ai. Übermittlung zur Bearbeitung der jeweiligen Anfrage. Datenschutz: https://openrouter.ai/privacy

Amplitude, Inc.: Produktanalytik, Session Replay und Agent Analytics (KI-Metadaten ohne Chat-Klartext). Ort: USA. Zertifiziert unter dem EU-US Data Privacy Framework; ergänzend Standardvertragsklauseln. Datenschutz: https://amplitude.com/privacy

LetterXpress (letterxpress.de): Physischer Druck, Kuvertierung und Postversand von Briefen, die Sie aus ImmoBase anstoßen (nur wenn Sie die Funktion aktivieren). Ort: Deutschland. Sie unterhalten zusätzlich ein eigenes Kundenkonto inkl. Porto bei LetterXpress. Datenschutz: https://www.letterxpress.de/datenschutz

Weitere Unterauftragsverarbeiter teilen wir Ihnen vorab mit (z. B. in der Datenschutzerklärung oder per E-Mail). Sie können aus wichtigem datenschutzrechtlichem Grund widersprechen. Widersprechen Sie und ist eine Fortsetzung ohne den Unterauftragnehmer nicht zumutbar, können beide Seiten den Vertrag kündigen.

Mit Unterauftragsverarbeitern schließen wir Vereinbarungen, die Art. 28 DSGVO genügen. Bei Drittlandtransfers nutzen wir – soweit erforderlich – Angemessenheitsbeschlüsse, das EU-US Data Privacy Framework oder Standardvertragsklauseln.

Wir unterstützen Sie mit geeigneten technischen und organisatorischen Maßnahmen, Anfragen Betroffener nachzukommen (Auskunft, Löschung, Berichtigung, Einschränkung, Datenübertragbarkeit, Widerspruch), soweit die Daten in ImmoBase liegen. Einen maschinenlesbaren Export und Löschfunktionen stellen wir in den Einstellungen bereit.

Einen uns bekannten Verletzungsvorfall (Art. 33/34 DSGVO), der Ihre Daten betrifft, melden wir Ihnen unverzüglich und geben die uns vorliegenden Informationen weiter.

Wir stellen Ihnen alle erforderlichen Informationen zum Nachweis der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglichen Überprüfungen – einschließlich Inspektionen – durch Sie oder einen von Ihnen beauftragten Prüfer.

Prüfungen werden mit angemessener Frist angekündigt, stören den Betrieb möglichst wenig und finden höchstens einmal jährlich statt, es sei denn, ein konkreter Anlass (etwa eine Aufsichtsbeschwerde) rechtfertigt mehr. Vertraulichkeit und Schutz der Daten anderer Kunden sind zu wahren. Zertifikate und Berichte anerkannter Stellen können eine Vor-Ort-Prüfung ersetzen, soweit sie die relevanten TOMs abdecken.

Sie können jederzeit einen JSON-Export Ihrer Organisationsdaten anstoßen und Dateien herunterladen. Nach Löschanforderung der Organisation folgt eine Frist von 14 Tagen, in der Sie widerrufen können; danach löschen wir Fachdaten und Dateien unwiderruflich, soweit keine gesetzliche Aufbewahrungspflicht (z. B. Rechnungsdaten uns gegenüber) entgegensteht.

Sicherungskopien in der Infrastruktur laufen im üblichen Turnus aus. Unterauftragsverarbeiter sind zur Löschung bzw. Rückgabe nach Auftragsende verpflichtet.

Aktivieren Sie im Tarif Business den MCP-Server oder einen eigenen KI-Endpunkt, verlassen Fachdaten ImmoBase in Richtung der von Ihnen gewählten Clients bzw. Endpunkte. Diese Stellen sind nicht unsere Unterauftragsverarbeiter, sondern von Ihnen ausgewählte Empfänger; die Verantwortung für Vertrag und Datenschutz liegt bei Ihnen. Sie können MCP und BYOK jederzeit abschalten.

LetterXpress wird nur tätig, wenn Sie die Integration einschalten und einen Versand auslösen. Empfängeradressen und Briefinhalt werden dann an LetterXpress übermittelt. Sie verfügen über einen eigenen Vertrag und eigenes Porto bei LetterXpress; ImmoBase speichert Ihre Zugangsdaten verschlüsselt.

Die Haftung der Parteien im Verhältnis der Auftragsverarbeitung richtet sich nach Art. 82 DSGVO und den Nutzungsbedingungen, soweit diese den zwingenden Datenschutz nicht unterlaufen.

Es gilt deutsches Recht. Gerichtsstand für Kaufleute ist der Sitz des Anbieters gemäß Impressum. Sollten einzelne Klauseln unwirksam sein, bleibt der AVV im Übrigen wirksam.

Die aktuelle Fassung ist unter /avv und als PDF unter /avv.pdf abrufbar. /dpa leitet auf /avv weiter.