Vertrag zur Auftragsverarbeitung

Dieser Vertrag nach Art. 28 DSGVO gilt zwischen dem Kunden als Verantwortlichem (nachfolgend „Kunde“) und Objektano als Auftragsverarbeiter. Er wird mit den AGB bei der Registrierung geschlossen und gilt, solange Objektano personenbezogene Daten für den Kunden verarbeitet.

Objektano – Lennart Weglau
Berrenrather Straße 416
50354 Hürth
E-Mail: info@objektano.de

1. Gegenstand, Zweck und Dauer

Objektano stellt dem Kunden eine Software bereit, mit der er Objekte verwaltet und Schadensmeldungen seiner Mieterinnen und Mieter empfängt, bearbeitet und weitergibt sowie Prüftermine dokumentiert. Die Verarbeitung dient nur diesem Zweck. Sie dauert so lange wie der Hauptvertrag nach den AGB.

2. Art der Daten und betroffene Personen

• Mieterinnen und Mieter sowie andere meldende Personen: Name, Telefonnummer oder E-Mail-Adresse, Beschreibung des Schadens, Fotos, zugeordnete Einheit, optional vom Kunden hinterlegte Mieterdaten (Name, Kontakt, Einzugsdatum).
• Beschäftigte des Kunden: E-Mail-Adresse, Bearbeitungsvermerke, interne Notizen und Zeitpunkte von Statusänderungen.
• Dienstleister des Kunden: Namen von Handwerksbetrieben oder Prüfern, soweit der Kunde sie einträgt.

Besondere Kategorien von Daten nach Art. 9 DSGVO, etwa Gesundheitsangaben, sind nicht vorgesehen. Da Meldungen Freitext enthalten, lässt sich nicht ausschließen, dass Mieterinnen oder Mieter solche Angaben machen. Für sie gelten dieselben Schutzmaßnahmen. Der Kunde stellt selbst keine solchen Daten ein, wenn sie für die Bearbeitung nicht nötig sind.

3. Weisungen

Objektano verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland. Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in ein Drittland, auch durch Unterauftragsverarbeiter, erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Software durch den Kunden. Weitere Weisungen erteilt der Kunde in Textform. Hält Objektano eine Weisung für rechtswidrig, weist es den Kunden unverzüglich darauf hin. Ist Objektano gesetzlich zu einer anderen Verarbeitung verpflichtet, teilt es dies dem Kunden vorher mit, soweit das Gesetz das erlaubt.

4. Vertraulichkeit und Sicherheit

Alle Personen, die bei Objektano Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Objektano trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Speicherung in einem Rechenzentrum in Frankfurt am Main,
• verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung der Datenbank,
• strikte Trennung der Kunden auf Datenbankebene, sodass jeder Kunde nur seine eigenen Daten sieht,
• Fotos in einem nicht öffentlichen Speicher, Abruf nur über zeitlich begrenzte Links,
• Passwörter nur als sicherer Hash gespeichert,
• Zugriff durch Objektano selbst nur, soweit für Betrieb, Fehlerbehebung oder Support im Einzelfall nötig; Zugänge zu den Verwaltungsoberflächen der Dienstleister nur mit Zwei-Faktor-Anmeldung,
• regelmäßige Datensicherungen beim Datenbankanbieter.

Objektano darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

5. Unterauftragsverarbeiter

Der Kunde ist mit folgenden Unterauftragsverarbeitern einverstanden:

• Supabase, Inc.: Datenbank, Dateispeicher und Anmeldung, Rechenzentrum Frankfurt am Main, abgesichert durch Standardvertragsklauseln,
• Hosting der Anwendung: Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA, Rechenzentrum Frankfurt am Main, abgesichert durch Standardvertragsklauseln,
• E-Mail-Versand: Scaleway SAS, 8 rue de la Ville l’Evêque, 75008 Paris, Frankreich, Rechenzentrum Paris.

Objektano informiert den Kunden mindestens vier Wochen vorher in Textform, bevor es einen Unterauftragsverarbeiter hinzufügt oder ersetzt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann Objektano den Grund nicht ausräumen, darf der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen. Objektano verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten wie in diesem Vertrag und haftet gegenüber dem Kunden dafür, dass sie eingehalten werden (Art. 28 Abs. 4 DSGVO).

6. Unterstützung des Kunden

Objektano unterstützt den Kunden mit den Funktionen der Software und, soweit nötig, darüber hinaus, wenn betroffene Personen ihre Rechte geltend machen (Art. 15 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an Objektano, leitet Objektano die Anfrage unverzüglich an den Kunden weiter.

Bemerkt Objektano eine Verletzung des Schutzes personenbezogener Daten, informiert es den Kunden unverzüglich, spätestens innerhalb von 48 Stunden, mit allen Angaben, die der Kunde für eine Meldung an die Aufsichtsbehörde braucht.

7. Löschung und Rückgabe

Der Kunde weist Objektano an, abgeschlossene Meldungen zwei Jahre nach ihrem Abschluss automatisch zu löschen. Der Kunde kann Daten jederzeit selbst früher löschen. Nach Ende des Hauptvertrags kann der Kunde seine Daten noch 30 Tage lang exportieren. Danach löscht Objektano alle Daten des Kunden, auch in den Datensicherungen spätestens mit deren regulärem Ablauf, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

8. Nachweise und Kontrollen

Objektano stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Der Kunde kann Kontrollen nach vorheriger Anmeldung mit angemessener Frist selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, ohne den Betrieb unverhältnismäßig zu stören. Nachweise der Unterauftragsverarbeiter, etwa Zertifikate oder Prüfberichte, können dafür genutzt werden.

9. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, im Übrigen gelten die Regeln der AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Es gilt deutsches Recht.