Vertragsparteien
Auftragnehmer: Andreas Schmidtke, TriPrintSolution (Einzelunternehmen), Saarwerdenstraße 45, 41541 Dormagen, andreas.schmidtke@triprintsolution.com (Betreiber der Anwendung „Immo Management Solutions“, nachfolgend „Auftragnehmer“)
Auftraggeber: Die Hausverwaltung bzw. Firma, die sich bei der Anwendung registriert hat, mit den bei der Registrierung angegebenen Daten (nachfolgend „Auftraggeber“)
Als PDF herunterladen1.Gegenstand und Dauer
Der Auftragnehmer stellt dem Auftraggeber die Webanwendung zur Verwaltung von Immobilien bereit (Nutzungsvertrag). Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag konkretisiert die Pflichten beider Seiten nach Art. 28 DSGVO.
Die Laufzeit entspricht der Laufzeit des Nutzungsvertrags. Er endet automatisch mit dessen Ende.
2.Art, Zweck, Daten und Betroffene
Art und Zweck der Verarbeitung: Speicherung, Anzeige, Auswertung und Übermittlung der vom Auftraggeber und seinen Nutzern erfassten Daten zur Hausverwaltung (Stammdaten, Mietverhältnisse, Meldungen, Dokumente, Zählerstände, Abrechnungen, Abstimmungen, Kommunikation, digitale Unterschriften sowie die KI-gestützte Assistenzfunktion).
Kategorien betroffener Personen: Eigentümer, Mieter, sonstige Bewohner, Dienstleister und Beschäftigte des Auftraggebers.
- Stammdaten (Name, Anschrift, E-Mail, Telefon, Geburtsdatum soweit erfasst)
- Vertrags- und Abrechnungsdaten (Mietverträge, Mieten, Nebenkosten, Zahlungen, Bankumsätze soweit importiert)
- Kommunikations- und Meldungsdaten, Dokumente und Fotos
- Nutzungs- und Protokolldaten, bei digitaler Unterschrift zusätzlich Unterschriftsbild, IP-Adresse und Browserkennung
3.Weisungen
Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers; die Weisung ergibt sich aus diesem Vertrag, dem Nutzungsvertrag und der Bedienung der Anwendung durch den Auftraggeber. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, weist er unverzüglich darauf hin und ist berechtigt, ihre Ausführung bis zur Klärung auszusetzen.
4.Vertraulichkeit
Der Auftragnehmer verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit, soweit sie nicht bereits gesetzlich dazu verpflichtet sind.
5.Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft geeignete Maßnahmen nach Art. 32 DSGVO, insbesondere:
- Mandantentrennung auf Datenbankebene (Row Level Security): Nutzer sehen nur Daten ihres Mandanten und ihres Objekts
- Verschlüsselte Übertragung (TLS) und rollenbasierte Zugriffskontrolle; Passwörter werden nicht im Klartext gespeichert
- Unveränderbare Ablage unterschriebener Verträge (Prüfsummen, Schreibschutz in der Datenbank)
- Firewall und Angriffsabwehr am Server, regelmäßige Sicherheitsaktualisierungen und Schwachstellenprüfung
- Regelmäßige Datensicherung; Zugriff auf Produktivdaten nur für berechtigte Personen des Auftragnehmers
6.Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Der Auftragnehmer verpflichtet sie vertraglich auf ein diesem Vertrag entsprechendes Datenschutzniveau.
- Hostinger (Server-Hosting, Rechenzentrum Frankfurt am Main, Deutschland)
- Supabase (Datenbank, Anmeldung, Dateispeicher, Region EU/Irland)
- Resend (E-Mail-Versand, USA, Standardvertragsklauseln)
- Anthropic (KI-Assistent, nur bei Nutzung der Assistenzfunktion, USA, Standardvertragsklauseln)
7.Änderung von Unterauftragsverarbeitern
Der Auftragnehmer informiert den Auftraggeber in Textform (E-Mail) mindestens 14 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters. Der Auftraggeber kann aus wichtigem Grund innerhalb dieser Frist widersprechen; bleibt der Widerspruch unberücksichtigt, kann er den Nutzungsvertrag außerordentlich kündigen.
8.Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Beantwortung von Anträgen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch), bei der Datenschutz-Folgenabschätzung und bei Konsultationen der Aufsichtsbehörde.
Anfragen betroffener Personen, die den Auftraggeber betreffen, leitet der Auftragnehmer unverzüglich weiter.
9.Meldung von Datenschutzverletzungen
Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis und liefert die für die Meldepflichten nach Art. 33 und 34 DSGVO erforderlichen Informationen.
10.Löschung und Rückgabe
Nach Ende des Nutzungsvertrags löscht der Auftragnehmer die Daten des Auftraggebers nach dessen Wahl oder gibt sie heraus (Export), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber sichert benötigte Daten vor Vertragsende selbst über die Exportfunktionen.
11.Nachweise und Kontrolle
Der Auftragnehmer stellt dem Auftraggeber auf Anforderung die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen, die nach vorheriger Anmeldung und zu üblichen Geschäftszeiten erfolgen.
12.Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO sowie die Regelung im Nutzungsvertrag. Änderungen dieses Vertrags bedürfen der Textform. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Der Vertrag kommt zustande, indem der Auftraggeber bei der Registrierung der Auftragsverarbeitung zustimmt. Zeitpunkt und Fassung der Zustimmung werden gespeichert.