# Vereinbarung über die Auftragsverarbeitung
## gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)
zwischen
**dem im Sondereigentumsverwaltungsvertrag bezeichneten Eigentümer bzw. den dort bezeichneten Eigentümern**
– nachfolgend **„Verantwortlicher“** –
und
**Wissen Immobilien-Hausverwaltungs GmbH**
Telegrafenstraße 36, Bad Neuenahr-Ahrweiler
AG Koblenz, HRB 31036
– nachfolgend **„Auftragsverarbeiter“** –
gemeinsam auch **„Parteien“**.
Diese Vereinbarung ergänzt den zwischen den Parteien geschlossenen Sondereigentumsverwaltungsvertrag (nachfolgend „Hauptvertrag“). Bei Widersprüchen zu datenschutzrechtlichen Fragen geht diese Vereinbarung vor.
## 1. Gegenstand, Dauer, Art und Zweck der Verarbeitung
1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dies zur Erbringung der im Hauptvertrag vereinbarten Sondereigentumsverwaltung erforderlich ist.
2. Gegenstand, Art und Zweck der Verarbeitung, die Kategorien betroffener Personen sowie die Datenarten ergeben sich aus **Anlage 1**.
3. Die Verarbeitung beginnt mit dem Wirksamwerden des Hauptvertrags und dauert grundsätzlich bis zur vollständigen Beendigung und Abwicklung des Hauptvertrags. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
4. Nicht von dieser Vereinbarung erfasst sind Verarbeitungen, für die der Auftragsverarbeiter aufgrund eigener gesetzlicher Pflichten oder für eigene, rechtlich zulässige Zwecke selbst Verantwortlicher ist. Dazu können insbesondere handels- und steuerrechtliche Dokumentationspflichten, die Abwehr oder Geltendmachung eigener Ansprüche sowie die Erfüllung behördlicher Anordnungen gehören. Der Auftragsverarbeiter informiert betroffene Personen insoweit nach den gesetzlichen Vorgaben.
## 2. Weisungen des Verantwortlichen
1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall informiert er den Verantwortlichen vor der Verarbeitung über die rechtliche Verpflichtung, sofern das betreffende Recht dies nicht verbietet.
2. Der Hauptvertrag, die Verwaltervollmacht, diese Vereinbarung und dokumentierte Einzelanweisungen bilden die Weisungen des Verantwortlichen. Weisungen können mindestens in Textform erteilt werden.
3. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungen, die den vereinbarten Leistungsumfang ändern, können eine gesonderte Vergütungs- oder Leistungsvereinbarung erfordern.
4. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich. Er darf die Durchführung der betroffenen Weisung aussetzen, bis sie bestätigt, geändert oder zurückgenommen wurde.
## 3. Pflichten des Verantwortlichen
1. Der Verantwortliche ist insbesondere verantwortlich für:
– die Rechtmäßigkeit der Erhebung und Übermittlung der Daten an den Auftragsverarbeiter,
– die Festlegung der zulässigen Zwecke und des erforderlichen Umfangs der Verarbeitung,
– die Erfüllung der Informationspflichten gegenüber Mietern und sonstigen betroffenen Personen, insbesondere nach Art. 13 und 14 DSGVO,
– die Bearbeitung von Betroffenenrechten und
– die Rechtmäßigkeit seiner Weisungen.
2. Der Verantwortliche übermittelt nur Daten, die für die vereinbarte Verwaltung erforderlich sind. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen nur übermittelt werden, wenn dies erforderlich und rechtlich zulässig ist und der Auftragsverarbeiter vorab hierüber informiert wurde.
3. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich über Fehler, Unregelmäßigkeiten oder Änderungen, die für die Verarbeitung erheblich sind.
## 4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich insbesondere,
1. Daten nur im Rahmen der dokumentierten Weisungen zu verarbeiten;
2. nur Personen einzusetzen, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
3. den Zugriff auf Daten nach dem Erforderlichkeitsprinzip zu beschränken;
4. die in **Anlage 2** beschriebenen technischen und organisatorischen Maßnahmen aufrechtzuerhalten und dem Risiko entsprechend fortzuentwickeln;
5. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung angemessen bei der Erfüllung der Betroffenenrechte sowie der Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen;
6. Anfragen betroffener Personen, die den Verantwortlichen betreffen, unverzüglich an diesen weiterzuleiten, sofern keine Weisung zur eigenständigen Bearbeitung vorliegt;
7. die nach Art. 28 Abs. 3 DSGVO erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung bereitzustellen und Überprüfungen nach Ziffer 9 zu ermöglichen;
8. ein Verzeichnis der Kategorien der im Auftrag ausgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen, soweit dies gesetzlich erforderlich ist.
## 5. Sicherheit der Verarbeitung
1. Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der Risiken geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
2. Die zum Zeitpunkt des Vertragsschlusses vereinbarten Maßnahmen sind in **Anlage 2** beschrieben. Änderungen sind zulässig, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
3. Der Auftragsverarbeiter überprüft die Wirksamkeit seiner Maßnahmen regelmäßig und passt sie bei Bedarf an.
## 6. Meldung von Datenschutzverletzungen
1. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten bekannt geworden ist.
2. Die Meldung enthält, soweit zu diesem Zeitpunkt verfügbar:
– Art und Umfang der Verletzung,
– betroffene Daten und Personengruppen,
– wahrscheinliche Folgen,
– bereits ergriffene oder vorgeschlagene Gegenmaßnahmen sowie
– eine Ansprechperson für Rückfragen.
3. Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht. Die Verantwortung für Meldungen an Aufsichtsbehörden und Benachrichtigungen betroffener Personen verbleibt beim Verantwortlichen, soweit der Auftragsverarbeiter hierzu nicht ausdrücklich angewiesen oder selbst gesetzlich verpflichtet ist.
## 7. Unterauftragsverarbeiter
1. Der Verantwortliche erteilt die allgemeine Genehmigung, die in **Anlage 3** bezeichneten Unterauftragsverarbeiter einzusetzen.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können die Parteien keine zumutbare Lösung finden, gelten die Kündigungsregelungen des Hauptvertrags.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich mindestens zu denselben Datenschutzpflichten, die ihm nach dieser Vereinbarung obliegen. Er bleibt gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten verantwortlich.
4. Keine Unterauftragsverarbeitung liegt vor, wenn eine Stelle ihre Leistung in eigener datenschutzrechtlicher Verantwortung erbringt. Dies kann insbesondere bei Kreditinstituten, Rechtsanwälten, Steuerberatern, Behörden und eigenständig beauftragten Handwerks- oder Fachunternehmen der Fall sein. Eine notwendige Übermittlung an solche Empfänger erfolgt nur im erforderlichen Umfang und auf geeigneter Rechtsgrundlage bzw. Weisung.
## 8. Drittlandübermittlungen
1. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums darf nur auf dokumentierte Weisung oder mit Zustimmung des Verantwortlichen und unter Einhaltung der Art. 44 ff. DSGVO erfolgen.
2. Soweit kein Angemessenheitsbeschluss besteht, stellt der Auftragsverarbeiter vor Beginn der Übermittlung ein zulässiges Übermittlungsinstrument und erforderliche ergänzende Schutzmaßnahmen sicher.
## 9. Nachweise und Kontrollen
1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage geeignete Nachweise zur Einhaltung dieser Vereinbarung zur Verfügung. Zertifizierungen, Prüfberichte oder aktuelle Datenschutz- und Sicherheitsdokumentationen können vorrangig als Nachweis dienen.
2. Der Verantwortliche darf bei berechtigtem Anlass oder in angemessenen Abständen Kontrollen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Kontrollen sind grundsätzlich mindestens 14 Tage vorher anzukündigen und so durchzuführen, dass Betriebsabläufe sowie Rechte anderer Auftraggeber nicht unangemessen beeinträchtigt werden.
3. Der Verantwortliche trägt die angemessenen Kosten einer Kontrolle, sofern die Kontrolle keinen erheblichen Verstoß des Auftragsverarbeiters ergibt.
## 10. Rückgabe und Löschung
1. Nach Abschluss der vertraglichen Leistungen löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten personenbezogenen Daten und vorhandenen Kopien zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
2. Daten, die gesetzlichen Aufbewahrungspflichten unterliegen, werden gesperrt bzw. in ihrer Verarbeitung auf die Erfüllung dieser Pflichten beschränkt und nach Fristablauf gelöscht.
3. Daten in Sicherungskopien dürfen im Rahmen festgelegter Lösch- und Überschreibzyklen gelöscht werden, sofern sie bis dahin vor einer produktiven Verwendung geschützt bleiben.
## 11. Haftung und Schlussbestimmungen
1. Für die Haftung gelten Art. 82 DSGVO sowie die Bestimmungen des Hauptvertrags und die gesetzlichen Vorschriften.
2. Änderungen und Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform. Dies gilt auch für Änderungen der Anlagen.
3. Sollte eine Bestimmung unwirksam sein oder werden, bleiben die übrigen Bestimmungen unberührt. An ihre Stelle tritt die gesetzliche Regelung.
4. Es gilt deutsches Recht. Zwingende gesetzliche Zuständigkeiten bleiben unberührt.
—
**Ort, Datum:** ______________________________
**Verantwortlicher / Auftraggeber:**
Name: ______________________________________
Unterschrift: _______________________________
**Wissen Immobilien-Hausverwaltungs GmbH:**
Vertreten durch: ____________________________
Unterschrift: _______________________________
—
# Anlage 1 – Beschreibung der Auftragsverarbeitung
## 1. Gegenstand und Zwecke
Verarbeitung personenbezogener Daten zur Durchführung der im Hauptvertrag vereinbarten Verwaltung eines bestehenden Mietverhältnisses, insbesondere:
– laufende Mieterbetreuung und Kommunikation in gewöhnlichen Angelegenheiten;
– Verwaltung von Kontakt- und Vertragsdaten;
– Überwachung und Zuordnung von Mietzahlungen;
– außergerichtliches Mahnwesen;
– Erstellung der jährlichen Betriebskostenabrechnung;
– Überwachung, Dokumentation und Verwaltung der Mietkaution;
– Organisation und Abwicklung von Reparaturen im vereinbarten Umfang;
– Dokumentation der Verwaltungstätigkeit und Rechenschaft gegenüber dem Verantwortlichen;
– Übergabe bzw. geordnete Abwicklung bei Vertragsende.
Nicht umfasst sind Tätigkeiten, die nach dem Hauptvertrag nicht beauftragt oder nur aufgrund einer gesonderten Vereinbarung ausgeführt werden.
## 2. Art der Verarbeitung
Erheben bzw. Entgegennehmen, Erfassen, Ordnen, Speichern, Anpassen, Abfragen, Verwenden, Übermitteln an zulässige Empfänger, Abgleichen, Einschränken, Archivieren, Löschen und Vernichten.
## 3. Kategorien betroffener Personen
– gegenwärtige und ehemalige Mieter;
– Mitmieter und sonstige berechtigte Bewohner;
– Bürgen, Bevollmächtigte, gesetzliche Vertreter und benannte Kontaktpersonen;
– Dienstleister und Ansprechpartner, soweit deren Daten Bestandteil der Verwaltungsunterlagen sind;
– der Verantwortliche, soweit dessen Daten gemeinsam mit den Mietverwaltungsdaten verarbeitet werden.
## 4. Datenkategorien
– Stamm- und Identifikationsdaten, insbesondere Name, Anschrift und Wohnungszuordnung;
– Kontakt- und Kommunikationsdaten, insbesondere Telefonnummer, E-Mail-Adresse und Schriftverkehr;
– Mietvertrags- und Objektdaten, insbesondere Vertragsbeginn, Miethöhe, Vorauszahlungen, Umlageschlüssel und sonstige Vertragsinhalte;
– Zahlungs- und Kontodaten, insbesondere Mieteingänge, Rückstände, Bankverbindung und Kautionsdaten;
– Abrechnungs- und Verbrauchsdaten, soweit sie für die Betriebskostenabrechnung erforderlich sind;
– Vorgangs-, Mangel-, Reparatur- und Schadensdaten einschließlich notwendiger Terminabsprachen;
– Vollmachts-, Vertretungs- und Bürgschaftsdaten;
– Dokumentations- und Protokolldaten der Verwaltungskommunikation.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht planmäßig Gegenstand der Verarbeitung. Werden sie ausnahmsweise in Mitteilungen oder Unterlagen bekannt, sind sie besonders zu schützen und nur im erforderlichen rechtlich zulässigen Umfang zu verarbeiten.
## 5. Verantwortungs- und Weisungsrahmen
Der Verantwortliche bleibt Vermieter und entscheidet insbesondere über Angelegenheiten außerhalb der Verwaltervollmacht und der vereinbarten Freigabegrenzen. Der Auftragsverarbeiter handelt im Rahmen des Hauptvertrags und der Verwaltervollmacht. Gewöhnliche organisatorische Entscheidungen über sichere Arbeitsabläufe und eingesetzte Arbeitsmittel darf der Auftragsverarbeiter selbst treffen, soweit dadurch Zwecke und wesentliche Mittel der Verarbeitung nicht verändert werden.
# Anlage 2 – Technische und organisatorische Maßnahmen
Die folgende Anlage ist vor Verwendung anhand der tatsächlich umgesetzten Maßnahmen zu prüfen und zu vervollständigen.
## 1. Vertraulichkeit
– dokumentiertes Berechtigungs- und Rollenkonzept;
– individuelle Benutzerkonten; keine gemeinsam genutzten Standardzugänge;
– sichere Passwortrichtlinie und Mehrfaktor-Authentifizierung, soweit verfügbar;
– Verpflichtung der Beschäftigten auf Vertraulichkeit;
– regelmäßige Datenschutz- und Sicherheitsunterweisungen;
– Schutz von Büroräumen, Akten und Schlüsseln vor unbefugtem Zugriff;
– Clean-Desk- und datenschutzgerechte Entsorgungsregeln;
– Verschlüsselung mobiler Endgeräte und angemessene Absicherung mobiler Arbeit.
## 2. Integrität
– verschlüsselte Übertragung über aktuelle Transportverschlüsselung;
– Schutz vor unbefugter Veränderung durch abgestufte Schreib- und Administrationsrechte;
– Protokollierung sicherheitsrelevanter Zugriffe und Änderungen, soweit technisch vorgesehen;
– Viren- und Schadsoftwareschutz sowie zeitnahe Sicherheitsaktualisierungen;
– geregelte Freigabe und Kontrolle von Datenübermittlungen.
## 3. Verfügbarkeit und Belastbarkeit
– regelmäßige, getrennt aufbewahrte Sicherungskopien relevanter Systeme und Daten;
– Wiederherstellungs- und Notfallverfahren;
– angemessener Schutz vor Stromausfall, Geräteverlust und technischen Störungen;
– regelmäßige Aktualisierung und Wartung der eingesetzten Systeme.
## 4. Verfahren zur regelmäßigen Überprüfung
– regelmäßige Überprüfung von Zugriffsberechtigungen;
– dokumentierter Prozess für Datenschutzverletzungen;
– regelmäßige Prüfung von Aufbewahrungs- und Löschfristen;
– Datenschutzprüfung neuer oder wesentlich geänderter Systeme und Dienstleister;
– regelmäßige Kontrolle der Unterauftragsverarbeiter und ihrer Garantien.
## 5. Trennung und Datenminimierung
– logische bzw. organisatorische Trennung der Daten verschiedener Auftraggeber und Verwaltungsobjekte;
– Beschränkung der Eingabefelder und Unterlagen auf erforderliche Informationen;
– zweckgebundene Ablage und Weitergabe;
– Lösch- und Aufbewahrungskonzept;
– soweit angemessen, Pseudonymisierung oder Schwärzung nicht erforderlicher Angaben.
# Anlage 3 – Genehmigte Unterauftragsverarbeiter
Vor Vertragseinsatz sind hier alle Anbieter einzutragen, die im Auftrag Zugriff auf Mieterdaten erhalten oder diese speichern können.
| Anbieter und Anschrift | Leistung | Verarbeitungsort | Drittlandgrundlage, falls einschlägig |
|—|—|—|—|
| **IONOS SE**, Elgendorfer Straße 57, 56410 Montabaur | Webhosting und technischer Betrieb des Online-Vertragsschlusses; Entgegennahme und Übermittlung der im Buchungs- bzw. Onboardingprozess eingegebenen Daten | Deutschland/EU gemäß gewähltem IONOS-Produkt, IONOS-AVV und aktueller Unterauftragnehmerliste | Soweit im Einzelfall Drittlandzugriffe stattfinden: nur nach dem IONOS-AVV und einem zulässigen Instrument nach Art. 44 ff. DSGVO |
| **Impower GmbH**, Arnulfstraße 58, 80335 München | Cloudbasierte Hausverwaltungssoftware; Verwaltung von Objekt-, Vertrags-, Mieter-, Zahlungs- und Abrechnungsdaten; Support | EU/EWR gemäß der mit Impower geschlossenen Vereinbarung zur Auftragsverarbeitung und deren aktueller Unterauftragnehmerliste | Soweit im Einzelfall ein Drittlandzugriff stattfindet: nur nach Maßgabe des Impower-AVV und eines zulässigen Instruments nach Art. 44 ff. DSGVO |
| **facilioo GmbH**, Kurfürstendamm 92, 10709 Berlin | Cloudbasierte Kommunikations-, Vorgangs- und Dokumentationsplattform für Immobilienverwaltung; Mieter-/Kundenportal und Bearbeitung von Reparatur- und Servicevorgängen | Deutschland nach Anbieterangaben; maßgeblich bleiben der geschlossene AVV und die aktuelle Unterauftragnehmerliste | Derzeit kein planmäßiger Drittlandtransfer für die Datenhaltung; etwaige Support-, Analyse- oder Unterauftragnehmerzugriffe nur nach Art. 44 ff. DSGVO |
| **Microsoft Ireland Operations Limited**, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland | Microsoft 365, insbesondere E-Mail, Kalender, Dateiablage, Zusammenarbeit und gegebenenfalls Teams | EU/EWR im Rahmen der Microsoft EU Data Boundary, abhängig von Tenant, Lizenz, Dienst und Konfiguration; begrenzte Zugriffe oder Übermittlungen außerhalb der EU/EWR sind möglich | Microsoft Products and Services Data Protection Addendum; EU-Standardvertragsklauseln 2021 und – soweit anwendbar – EU-US Data Privacy Framework sowie ergänzende Maßnahmen
