Vertrag zur Auftragsverarbeitung

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die HeicoSan Rheinland GmbH, Regentenstraße 88, 51063 Köln (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher) bei der Nutzung von idaimmo nach Art. 28 DSGVO.

Er wird mit der Registrierung geschlossen, gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Auftragsverarbeiter Daten des Kunden verarbeitet. Bei Widersprüchen geht er den Nutzungsbedingungen vor.

Zweck ist die Bereitstellung der Plattform für die Verwaltung von Immobilien durch den Kunden: Objekte, Einheiten, Mietverträge, Sollstellungen und Mieterkonten, Übernahme von Kontoumsätzen (Datei-Import und Abruf über vom Kunden angebundene Bankzugänge) und ihre Zuordnung zu Mietverträgen, Ablage und Erzeugung von Dokumenten, Kundenportal für Mieter und Eigentümer, Mailversand aus der Anwendung sowie Speicherung, Sicherung und Wiederherstellung dieser Daten.

Betroffene sind Mieter, Mitmieter und Bürgen, Eigentümer, Ansprechpartner von Firmen und Dienstleistern, Mitarbeitende und Benutzer des Kunden, Nutzer des Kundenportals sowie Personen und Stellen, die auf Konten des Kunden zahlen oder Zahlungen von dort erhalten.

Datenarten sind Stammdaten (Name, Anschrift, Kontaktdaten, Geburtsdatum), Vertragsdaten (Mietvertrag, Mietbestandteile, Kaution, Kündigung), Zahlungsdaten (Kontoumsätze mit Name und IBAN der Gegenseite, Verwendungszweck, Beträge, Salden), Dokumente (z. B. Mietvertrag, Übergabeprotokoll mit Fotos, Wohnungsgeberbestätigung, Schriftverkehr), Zugangs- und Nutzungsdaten der Anwendung und des Portals (Anmeldungen, IP-Adresse als Hash) sowie Protokolldaten (Änderungsprotokoll). Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen; erfasst der Kunde sie dennoch, verarbeitet sie der Auftragsverarbeiter mit denselben Maßnahmen.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vorher mit, sofern das Gesetz das nicht verbietet. Die Nutzung und die Einstellungen der Plattform durch den Kunden gelten als Weisung; weitere Weisungen erteilt der Kunde in Textform.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Kunden unverzüglich mit und darf ihre Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit und trifft die technischen und organisatorischen Maßnahmen nach der Anlage (Art. 32 DSGVO). Er darf sie dem technischen Fortschritt anpassen, sofern das Schutzniveau nicht sinkt.

Er unterstützt den Kunden bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Anträge, die ihn direkt erreichen, leitet er unverzüglich an den Kunden weiter.

Verletzungen des Schutzes personenbezogener Daten meldet er dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

Ansprechpartner für den Datenschutz beim Auftragsverarbeiter: info@heicosan.de, Telefon 0221 863382.

Der Kunde genehmigt folgende Unterauftragsverarbeiter: Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland (Betrieb der Server in Rechenzentren in Falkenstein und Nürnberg, Deutschland, sowie der verschlüsselten Sicherung in Helsinki, Finnland) und Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland (Versand der Mails der Plattform über Microsoft 365, Rechenzentren in der EU).

Der Auftragsverarbeiter erlegt seinen Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, die in diesem Vertrag vereinbart sind. Über die Hinzuziehung oder den Austausch eines Unterauftragsverarbeiters informiert er den Kunden mindestens vier Wochen vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

Bindet der Kunde eigene Dienste an (eigenes Microsoft-365-Konto für Anmeldung, Mailversand oder SharePoint-Ablage, eigener Zugang beim Kontoinformationsdienst BANKSapi für den Abruf von Kontoumsätzen, Zugänge zu anderer Software für die Datenübernahme), übermittelt die Plattform Daten auf seine Weisung an diese Dienste bzw. ruft sie dort ab. Deren Anbieter sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; der Kunde schließt mit ihnen eigene Verträge.

Die Verarbeitung findet in Deutschland statt, die verschlüsselte Sicherung in Finnland, der Mailversand in Rechenzentren in der EU. Der Auftragsverarbeiter übermittelt keine Daten in Länder außerhalb der EU und des EWR. Soweit Microsoft im Rahmen seiner Dienste Daten in die USA übermittelt, stützt sich das auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem Microsoft zertifiziert ist, und ergänzend auf die Standardvertragsklauseln der EU-Kommission.

Der Auftragsverarbeiter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Der Kunde kann die Einhaltung durch Auskünfte, Einsicht in Nachweise (etwa Zertifikate der Rechenzentren) und, nach rechtzeitiger Ankündigung während der Geschäftszeiten und ohne Störung des Betriebs, durch Prüfungen vor Ort kontrollieren. Der Auftragsverarbeiter unterstützt Prüfungen durch Aufsichtsbehörden.

Der Kunde kann jederzeit selbst einen Export aller Daten erstellen (Nutzungsbedingungen Ziffer 12). Nach Ende des Nutzungsvertrags können seine Administratoren das noch 30 Tage tun; danach löscht der Auftragsverarbeiter alle Daten des Mandanten einschließlich der Dateien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Sicherungen werden nach ihrem Aufbewahrungsplan überschrieben, spätestens nach zwölf Monaten. Die Löschung bestätigt er auf Anfrage in Textform.

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.

Zutritt: Die Server stehen in Rechenzentren der Hetzner Online GmbH mit elektronischer Zutrittskontrolle, Videoüberwachung und Zertifizierung nach ISO/IEC 27001.

Zugang: Administrativer Zugang zu den Servern nur für einen eng begrenzten Kreis berechtigter Personen über verschlüsselte Verbindungen mit Schlüsselauthentifizierung. Benutzerpasswörter werden ausschließlich als bcrypt-Hash gespeichert; Codes für Einladungen und neue Passwörter nur als Hash, mit begrenzter Gültigkeit und einmal verwendbar. Zwei-Faktor-Anmeldung mit Einmalcodes (TOTP), Pflicht für Administratoren und den Plattform-Zugang; Sperre nach wiederholten Fehlversuchen je E-Mail-Adresse und Anschluss. Optional Anmeldung über Microsoft mit den Richtlinien des Kunden, etwa Mehrfaktor-Anmeldung.

Zugriff: Rollen je Benutzer (Administration, Verwaltung, Nur lesen) und Zusatzrechte, bei jeder Anfrage gegen die Datenbank geprüft; deaktivierte Benutzer verlieren den Zugang sofort. Portal-Nutzer sehen ausschließlich ihr eigenes Mietverhältnis und ausdrücklich freigegebene Unterlagen.

Trennung: Jeder Kunde arbeitet in einem eigenen Mandanten. Jede Datenbankabfrage wird technisch auf den Mandanten der Sitzung begrenzt; eine Abfrage ohne Mandantenbezug wird abgelehnt. Automatische Tests prüfen diese Begrenzung bei jeder Änderung am Code, auch gegen eine Datenbank mit zwei Mandanten. Dateien sind nur über die Datensätze des Mandanten erreichbar.

Weitergabe: Alle Verbindungen sind per TLS verschlüsselt, der Browser wird per HSTS auf verschlüsselte Verbindungen festgelegt, fremde Seiten dürfen die Anwendung nicht einbetten. Sicherungen werden vor der Übertragung mit AES-256 verschlüsselt; Zugangsdaten zu angebundenen Diensten und Schlüssel der Zwei-Faktor-Anmeldung liegen mit AES-256-GCM verschlüsselt in der Datenbank. Datenexporte sind nur für Administratoren des Mandanten abrufbar und werden nach sieben Tagen gelöscht.

Eingabekontrolle: Ein Änderungsprotokoll hält jede Änderung an Objekten, Verträgen, Kontakten, Benutzern und Einstellungen mit Person, Zeitpunkt und den Werten vorher und nachher fest.

Verfügbarkeit und Belastbarkeit: Stündliche verschlüsselte Sicherung von Datenbank und Dateien in ein zweites Rechenzentrum (Helsinki), nächtliche Prüfung der Sicherung, wöchentlicher automatischer Wiederherstellungstest, zusätzliche Sicherung vor jeder Softwareaktualisierung; Dienste mit Zustandsüberwachung und automatischem Neustart.

Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; Mitarbeitende sind auf die Vertraulichkeit verpflichtet und greifen auf Mandantendaten nur zu, soweit es für Betrieb, Störungsbehebung oder auf Anfrage des Kunden erforderlich ist.

Überprüfung: Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen bei neuen Funktionen; die Maßnahmen werden regelmäßig, mindestens jährlich und bei wesentlichen Änderungen, überprüft und angepasst.