Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO — EstateAbly

Stand: 07.06.2026 · Version: 1.0

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen geschlossenen Hauptvertrag über die Nutzung der Software „EstateAbly" (nachfolgend „Hauptvertrag").

Bei der Nutzung von EstateAbly verarbeitet der Anbieter personenbezogene Daten im Auftrag und nach Weisung des Kunden. Der Kunde ist datenschutzrechtlich Verantwortlicher (Art. 4 Nr. 7 DSGVO), der Anbieter Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

Verantwortlicher (Auftraggeber): der Kunde gemäß Hauptvertrag (nachfolgend „Verantwortlicher").

Auftragsverarbeiter (Auftragnehmer):

§ 1 — Gegenstand und Dauer

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der Software gemäß Hauptvertrag. Art, Umfang und Zweck der Verarbeitung, die Art der Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1.

Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrages. Endet der Hauptvertrag, endet auch dieser AVV; die Pflichten zur Löschung/Rückgabe (§ 9) bleiben bestehen.

§ 2 — Weisungsrecht des Verantwortlichen

Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.

Die Nutzung der Software durch den Verantwortlichen und die im Hauptvertrag beschriebenen Funktionen stellen die maßgeblichen Weisungen dar. Ergänzende Einzelweisungen erfolgen in Textform.

Der Auftragnehmer informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.

§ 3 — Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich insbesondere,

• Daten nur im Rahmen des Auftrags und der Weisungen zu verarbeiten;
• alle zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO);
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2 umzusetzen und während der Vertragslaufzeit aufrechtzuerhalten;
• den Verantwortlichen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) angemessen zu unterstützen (Art. 28 Abs. 3 lit. e, f DSGVO);
• den Verantwortlichen unverzüglich, in der Regel innerhalb von 24 Stunden nach Bekanntwerden, über eine Verletzung des Schutzes personenbezogener Daten zu informieren und bei den Pflichten nach Art. 33, 34 DSGVO zu unterstützen (Art der Verletzung, betroffene Datenkategorien, voraussichtliche Folgen, ergriffene Maßnahmen);
• ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen.

Datenschutzbeauftragter. Eine Pflicht zur Benennung eines Datenschutzbeauftragten nach Art. 37 DSGVO / § 38 BDSG besteht aufseiten des Auftragnehmers derzeit nicht (zwei Gesellschafter ohne weitere mit der Datenverarbeitung ständig befasste Personen). Datenschutzanfragen können an info@estateably.de gerichtet werden.

§ 4 — Technisch-organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

Die Maßnahmen können im Lauf der Zeit weiterentwickelt werden, dürfen das vereinbarte Schutzniveau jedoch nicht unterschreiten. Wesentliche Änderungen werden dokumentiert.

§ 5 — Unterauftragsverarbeiter (Subunternehmer)

Der Verantwortliche erteilt dem Auftragnehmer die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs. 2 Satz 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

Der Auftragnehmer informiert den Verantwortlichen rechtzeitig (mindestens 14 Tage vorher) über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann der Änderung aus wichtigem datenschutzrechtlichen Grund innerhalb von 14 Tagen in Textform widersprechen. Im Falle eines berechtigten Widerspruchs, der nicht ausgeräumt werden kann, ist der Verantwortliche zur außerordentlichen Kündigung des Hauptvertrages berechtigt.

Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.

Nicht als Unterauftragsverarbeiter im Sinne dieser Vorschrift gelten Nebenleistungen, die der Auftragnehmer als reine Hilfsleistung in Anspruch nimmt (z. B. Telekommunikations- oder Postdienste), sofern dabei keine auftragsbezogene Verarbeitung personenbezogener Daten erfolgt.

§ 6 — Übermittlung in Drittländer

Eine Verarbeitung personenbezogener Daten in einem Drittland findet nur statt, soweit die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Soweit eingesetzte Unterauftragsverarbeiter ihren Unternehmenssitz in den USA haben (siehe Anlage 3 — Vercel, Supabase), stützt sich die Übermittlung auf folgende Garantien:

• vorrangig: Zertifizierung des jeweiligen Anbieters unter dem EU-US Data Privacy Framework (Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023), soweit für die betreffende Verarbeitung einschlägig;
• ergänzend bzw. ersatzweise: Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) nebst erforderlicher zusätzlicher Schutzmaßnahmen;
• soweit möglich, Nutzung von Verarbeitungsregionen innerhalb der EU bzw. des EWR (Vercel: Frankfurt am Main; Supabase: Paris).

Stripe verarbeitet Zahlungsdaten über Stripe Payments Europe, Ltd. (Dublin, EU). Soweit Daten in die USA übermittelt werden, ist Stripe DPF-zertifiziert und setzt SCC ein.

§ 7 — Rechte betroffener Personen

Wendet sich eine betroffene Person mit einem Anliegen (Auskunft, Berichtigung, Löschung etc.) unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern er nicht vom Verantwortlichen dazu angewiesen wurde. Er unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Betroffenenrechte.

§ 8 — Nachweis- und Kontrollrechte

Der Auftragnehmer weist dem Verantwortlichen die Einhaltung der Pflichten aus diesem AVV auf Anfrage in geeigneter Weise nach, insbesondere durch Vorlage geeigneter Dokumentation, Zertifikate oder Berichte (z. B. aktuelle Nachweise/Zertifizierungen der eingesetzten Rechenzentren bzw. Unterauftragsverarbeiter).

Der Verantwortliche ist berechtigt, sich von der Einhaltung der getroffenen Maßnahmen zu überzeugen. Kontrollen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebsablaufs. Vor-Ort-Kontrollen kommen nur in Betracht, soweit dokumentenbasierte Nachweise nicht ausreichen.

§ 9 — Löschung und Rückgabe nach Vertragsende

Nach Abschluss der Verarbeitungstätigkeit löscht der Auftragnehmer nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach Unions- oder mitgliedstaatlichem Recht eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

Dem Verantwortlichen wird vor der Löschung für einen Zeitraum von 30 Tagen die Möglichkeit zum Export seiner Daten eingeräumt. Die Löschung wird auf Verlangen in Textform bestätigt.

§ 10 — Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrages, soweit sie zwingenden datenschutzrechtlichen Vorschriften nicht entgegenstehen.

§ 11 — Schlussbestimmungen

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf die Auftragsverarbeitung vor.

Änderungen bedürfen der Textform. Es gilt deutsches Recht. Ausschließlicher Gerichtsstand für Streitigkeiten aus diesem AVV ist — soweit gesetzlich zulässig — der Sitz des Auftragnehmers (München).

Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; es gelten die gesetzlichen Vorschriften.

Anlage 1 — Gegenstand und Einzelheiten der Verarbeitung

Gegenstand der Verarbeitung: Bereitstellung und Betrieb der SaaS-Anwendung EstateAbly zur Verwaltung und Auswertung von Immobilien-Portfoliodaten.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Auslesen, Verwenden (Anzeigen, Auswerten, Berichte erstellen), Löschen.

Zweck der Verarbeitung: Vertragsgemäße Nutzung der Software durch den Verantwortlichen, insbesondere Pflege von Objekt-, Mieter-, Darlehens- und Finanzdaten sowie Erstellung von Factbooks und Auswertungen.

Art der personenbezogenen Daten:

• Stammdaten von Mieterinnen/Mietern (Name, Anschrift, Geburtsdatum, Kontaktdaten)
• Vertragsdaten (Mietvertragsbeginn/-ende, Miethöhe, Kaution, Staffel-/Indexangaben)
• Zahlungs-/Kontodaten im Zusammenhang mit Mietzahlungen
• Korrespondenz und Dokumente mit Personenbezug
• Ggf. Bonitäts-/Selbstauskunftsdaten, Zählerstände

Besondere Datenkategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) werden im Rahmen der Software nicht erfasst.

Kategorien betroffener Personen:

• aktuelle, frühere und potenzielle Mieterinnen/Mieter
• ggf. Bürgen, Mitbewohner, Ansprechpartner
• ggf. Ansprechpartner von Dienstleistern, Handwerkern, Hausverwaltungen

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Hosting in zertifizierten Rechenzentren der Unterauftragsverarbeiter — Vercel: SOC 2 Type II + ISO 27001 (Vercel Trust Center); Supabase: SOC 2 Type II + ISO 27001 (Supabase Trust Report); Stripe: PCI DSS Level 1, SOC 1/2 Type II, ISO 27001.
• Zugangskontrolle: Individuelle Benutzerkonten, Passwort-Mindestanforderungen (≥ 8 Zeichen) durch Supabase Auth, Mehr-Faktor-Authentifizierung für administrative Zugänge der Anbieterseite (Vercel, Supabase, Stripe, GitHub) aktiviert.
• Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept (RBAC: Owner / Editor / Viewer), Mandantentrennung über Row-Level-Security (Supabase RLS) auf Datenbankebene.
• Trennungskontrolle: Logische Trennung der Daten verschiedener Verantwortlicher durch Workspace-ID-Scoping in allen Datenbank-Abfragen plus RLS-Policies.
• Verschlüsselung: TLS 1.2+ bei Datenübertragung; Encryption at Rest auf Datenbankebene (Supabase: AES-256) sowie auf Speicherebene (Supabase Storage: AES-256).

2. Integrität

• Audit-Logging aller datenschutzrelevanten Aktionen (Account- Löschung, Daten-Export, Checkout-Consent, Kündigung) in dedizierten Tabellen mit IP-Adresse und User-Agent.
• Schutz vor unbefugter Veränderung durch das Berechtigungskonzept.

3. Verfügbarkeit und Belastbarkeit

• Automatisierte Backups durch den Datenbankanbieter (Supabase: tägliche Backups, Aufbewahrung 7 Tage im Pro-Plan; Point-in-Time-Recovery innerhalb von 24 Stunden).
• DDoS-Schutz auf Layer 3/4/7 sowie Edge-Netzwerk durch Vercel (Vercel Firewall).
• Maßnahmen zur raschen Wiederherstellung nach physischem oder technischem Zwischenfall durch die zugrundeliegenden Cloud-Plattformen (Art. 32 Abs. 1 lit. c DSGVO).

4. Verfahren zur regelmäßigen Überprüfung

• Jährliche Überprüfung der TOM und Aktualisierung dieses AVV.
• Vertragliche Bindung der Unterauftragsverarbeiter über deren DPAs (Vercel DPA, Supabase DPA, Stripe DPA) mit Back-to-Back-Pflichten.
• Incident-Response-Verfahren für Datenschutzvorfälle.

Anlage 3 — Genehmigte Unterauftragsverarbeiter

Stand: 07.06.2026 · Version: 1.0 · Auftragnehmer: Patrick Hümmer Max Strobel GbR