Auftrags­verarbeitungs­vertrag (AVV)

1. Vertragsparteien

Verantwortlicher im Sinne der DSGVO ist der Kunde, der Oflio nutzt. Auftragsverarbeiter ist:

Kontakt für Datenschutzfragen: •••••@•••••.•• oder über das Kontaktformular.

Dieser Vertrag wird mit der Buchung eines Moduls sowie mit dem Start der Testphase geschlossen. Die Zustimmung wird mit Datum, Name und Fassung im Konto des Kunden dokumentiert und ist dort jederzeit abrufbar.

2. Gegenstand und Weisungsbindung

Oflio verarbeitet personenbezogene Daten ausschließlich zur Bereitstellung der gebuchten Module und nur auf dokumentierte Weisung des Kunden. Eine Nutzung für eigene Zwecke, insbesondere für Werbung, Profilbildung oder Weitergabe an Dritte, findet nicht statt. Weisungen erteilt der Kunde durch die Nutzung der Anwendung sowie in Textform an die oben genannte Adresse.

3. Art und Zweck der Verarbeitung

Verarbeitet werden Daten zur Objekt- und Mietverwaltung, insbesondere zur Erstellung von Übergabeprotokollen, zur Zähler- und Heizkostenverteiler-Dokumentation, zur Bearbeitung von Vorgängen und Nachrichten, zur Verwaltung von Verträgen und Beteiligten sowie zur Archivierung der erstellten Nachweise.

4. Kategorien personenbezogener Daten

• Stammdaten von Mietern, Eigentümern und Beteiligten (Name, Anschrift, E-Mail, optional Telefon)
• Vertrags- und Objektdaten (Einheiten, Verträge, Inventar, Zählernummern und Zählerstände)
• Protokoll- und Nachweisdaten (Übergabeprotokolle, Mängel, Fotos, Unterschriften, PDF-Dokumente)
• Kommunikationsdaten (Vorgänge, Nachrichten, Freigaben, Portalzugänge)
• Abrechnungs- und Nutzungsdaten innerhalb der gebuchten Module

5. Kreis der betroffenen Personen

• Mieter und ehemalige Mieter
• Eigentümer und Miteigentümer
• Handwerker, Dienstleister und Hausmeister
• Mitarbeitende und Portalgäste des Kunden

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung der Datenbank und der Dateien
• Mandantentrennung: jeder Datensatz ist einer Organisation zugeordnet und wird auf Datenbankebene je Organisation abgeschirmt
• Rollen- und Rechtekonzept für Team- und Portalzugänge, Freigaben erfolgen einzeln und widerrufbar
• Ausweis- und Visitenkartenfotos werden nur ausgelesen und nicht gespeichert
• Protokollierung sicherheitsrelevanter Zugriffe, Passwort-Hashing, Zwei-Faktor-Option der Anmeldedienste
• Regelmäßige Backups mit Wiederherstellungsprüfung, Löschkonzept mit Papierkorb (30 Tage) und endgültiger Löschung
• Verpflichtung aller eingesetzten Personen zur Vertraulichkeit, Datenverarbeitung ausschließlich auf Weisung des Kunden

7. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Änderungen werden mindestens 14 Tage vorher mitgeteilt; der Kunde kann widersprechen und den Vertrag in diesem Fall außerordentlich kündigen.

8. Vertraulichkeit und Mitarbeitende

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet und in den Datenschutzanforderungen unterwiesen. Zugriffe auf Kundendaten erfolgen nur, soweit sie für Betrieb, Fehlerbehebung oder Support auf Anfrage des Kunden erforderlich sind.

9. Unterstützung bei Rechten betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO)

Oflio unterstützt den Kunden bei der Erfüllung der Rechte betroffener Personen auf Auskunft, Berichtigung, Einschränkung, Löschung und Datenübertragbarkeit sowie bei Datenschutz-Folgenabschätzungen und Abstimmungen mit Aufsichtsbehörden. Die Anwendung stellt hierfür Export-, Korrektur- und Löschfunktionen bereit.

Wenden sich Mieter, Eigentümer oder andere betroffene Personen direkt an Oflio, beantworten wir das Anliegen nicht selbst, sondern leiten es unverzüglich an den Kunden als Verantwortlichen weiter und informieren die betroffene Person über die Zuständigkeit. Erforderliche technische Auskünfte erteilen wir dem Kunden auf Anfrage.

10. Meldung von Datenschutzverletzungen (Art. 33 DSGVO)

Oflio informiert den Kunden unverzüglich, in der Regel innerhalb von 24 Stunden und spätestens innerhalb von 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, die im Verantwortungsbereich von Oflio oder eines Unterauftragsverarbeiters eingetreten sind. Die Meldung erfolgt an die im Konto hinterlegte E-Mail-Adresse des Kunden.

Die Meldung enthält, soweit bekannt, die Art des Vorfalls, die betroffenen Datenkategorien und Personengruppen, den geschätzten Umfang, die ergriffenen und geplanten Gegenmaßnahmen sowie eine Ansprechstelle. Oflio unterstützt den Kunden dabei, seine eigene Meldepflicht gegenüber der Aufsichtsbehörde innerhalb von 72 Stunden sowie etwaige Benachrichtigungen betroffener Personen nach Art. 34 DSGVO zu erfüllen.

11. Nachweise und Kontrollrechte (Art. 28 Abs. 3 lit. h DSGVO)

Der Kunde ist berechtigt, die Einhaltung dieses Vertrags und der technischen und organisatorischen Maßnahmen zu überprüfen. Der Nachweis erfolgt vorrangig durch die Dokumentation der Maßnahmen, durch schriftliche Selbstauskunft sowie durch vorliegende Zertifikate oder Prüfberichte von Oflio und seinen Unterauftragsverarbeitern. Oflio beantwortet Prüffragen des Kunden in angemessener Frist.

Reichen diese Nachweise im Einzelfall nicht aus, sind Prüfungen vor Ort oder durch einen zur Vertraulichkeit verpflichteten, nicht mit Oflio im Wettbewerb stehenden Prüfer möglich. Sie erfolgen nach Ankündigung von mindestens 14 Tagen, zu üblichen Geschäftszeiten, ohne Betriebsstörung und in der Regel höchstens einmal je Kalenderjahr. Für Prüfungen, die über diesen Rahmen hinausgehen oder nicht auf einem Verdacht beruhen, kann Oflio den erforderlichen Mehraufwand nach Aufwand berechnen.

12. Löschung und Rückgabe

Gelöschte Datensätze wandern in den Papierkorb und werden nach 30 Tagen endgültig gelöscht. Nach Ende aller gebuchten Module steht das Konto 30 Tage zum Export bereit und wird danach einschließlich Archiv endgültig gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Ein Datenexport ist jederzeit während der Vertragslaufzeit möglich.

13. Schlussbestimmungen

Dieser Vertrag gilt für die Dauer der Nutzung von Oflio. Es gilt deutsches Recht. Im Übrigen gelten die AGB und die Datenschutzerklärung. Widersprechen sich die Dokumente hinsichtlich der Auftragsverarbeitung, gilt dieser Vertrag vorrangig.