Auftragsverarbeitungsvertrag

Parteien und Rollen

Der Kunde bestimmt die Zwecke und Mittel der Verarbeitung und ist Verantwortlicher. Protiva B.V. (Goudstraat 2, 2718 RC Zoetermeer, Niederlande, Handelsregister 42132675) verarbeitet die personenbezogenen Daten ausschließlich für den Kunden und ist Auftragsverarbeiter. Dieser Vertrag geht den übrigen Dokumenten vor, soweit es um die Verarbeitung personenbezogener Daten geht.

Gegenstand, Art und Zweck der Verarbeitung

Die Verarbeitung betrifft die Verwaltung von Objekt- und Mieterdaten im Auftrag des Kunden. Ihre Art umfasst das Speichern, Anzeigen, Ordnen und Verarbeiten von Daten für die Immobilienverwaltung, Mietverträge, Rechnungsstellung und Einzug, Dokumentenverwaltung und KI-Analyse. Ihr Zweck ist die Erbringung des im Vertrag beschriebenen Dienstes.

Dauer

Die Verarbeitung dauert, solange der Vertrag in Kraft ist. Nach Beendigung gelten die untenstehenden Regelungen zu Rückgabe und Löschung.

Arten personenbezogener Daten und Kategorien betroffener Personen

Je nach Nutzung durch den Kunden werden unter anderem verarbeitet:

• Datenarten: Name, Anschrift und Kontaktdaten, Miet- und Zahlungsdaten, Korrespondenz und — sofern der Kunde davon Gebrauch macht — Identitätsdaten wie Ausweisscans.
• Kategorien betroffener Personen: die Mieter, Miteigentümer, Ansprechpartner und Dienstleister oder Beteiligten des Kunden.

Verarbeitung auf Weisung

Protiva verarbeitet personenbezogene Daten ausschließlich auf Grundlage der dokumentierten Weisungen des Kunden, wie sie im Vertrag und in der Nutzung der Plattform festgehalten sind, es sei denn, eine rechtliche Verpflichtung verlangt etwas anderes. In diesem Fall informiert Protiva den Kunden vorab, soweit dies zulässig ist.

Vertraulichkeit

Protiva stellt sicher, dass die Personen, die die personenbezogenen Daten verarbeiten, zur Vertraulichkeit verpflichtet sind und nur insoweit Zugang haben, wie ihre Arbeit es erfordert.

Sicherheitsmaßnahmen (Art. 32 DSGVO)

Protiva trifft angemessene technische und organisatorische Maßnahmen, darunter:

• Verschlüsselung der Daten im Ruhezustand und bei der Übertragung.
• Zugriffsverwaltung nach Rollen und nach dem Prinzip der geringsten Rechte.
• Strikte Trennung der Kundenumgebungen (Mandantentrennung).
• Protokollierung sensibler Aktionen und regelmäßige Überprüfung der Sicherheit.
• Sicherungskopien und Maßnahmen zur Wiederherstellung nach Vorfällen.

Unterauftragsverarbeiter

Der Kunde erteilt Protiva die allgemeine Genehmigung, für die Erbringung des Dienstes Unterauftragsverarbeiter einzusetzen, etwa für das Hosting (AWS, eu-central-1), die KI-Verarbeitung von Dokumenten und Texten (Amazon Web Services über Amazon Bedrock, eu-central-1) sowie Dienste für E-Mail, SMS und Analyse. Protiva legt Unterauftragsverarbeitern dieselben Pflichten auf wie in diesem Vertrag und informiert den Kunden über beabsichtigte Änderungen, damit er ihnen widersprechen kann.

Internationale Übermittlungen

Die gesamte Verarbeitung findet innerhalb des Europäischen Wirtschaftsraums statt. Protiva übermittelt keine personenbezogenen Daten in Länder außerhalb des EWR. Sollte dies künftig erforderlich werden, geschieht es nur mit geeigneten Garantien (etwa den Standardvertragsklauseln der Europäischen Kommission) und nach vorheriger Information.

Unterstützung des Verantwortlichen

Unter Berücksichtigung der Art der Verarbeitung unterstützt Protiva den Kunden bei der Beantwortung von Anfragen betroffener Personen (etwa Auskunft, Berichtigung und Löschung) sowie bei Pflichten in Bezug auf Sicherheit, Datenschutz-Folgenabschätzungen (DSFA) und die vorherige Konsultation.

Datenschutzverletzungen

Bei einer Verletzung des Schutzes personenbezogener Daten informiert Protiva den Kunden unverzüglich, nachdem sie davon Kenntnis erlangt hat, mit den Informationen, die der Kunde zur Erfüllung seiner Meldepflicht benötigt, und wirkt daran mit, die Folgen zu begrenzen.

Kontrolle und Audits

Protiva stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen — durch Berichte und, soweit angemessen, Audits — unter Wahrung der Vertraulichkeit und der Kontinuität des Dienstes.

Rückgabe und Löschung bei Beendigung

Nach Beendigung des Vertrags löscht oder übergibt Protiva die personenbezogenen Daten nach Wahl des Kunden und löscht vorhandene Kopien, sofern nicht eine gesetzliche Aufbewahrungspflicht etwas anderes verlangt. Dokumente haben einen Lebenszyklus von sieben Jahren; Identitätsdaten (Ausweisscans) werden deutlich kürzer aufbewahrt (höchstens rund 30 Tage).