Auftragsverarbeitungs-Vertrag (AVV)

Parteien

Dieser Auftragsverarbeitungs-Vertrag (AVV) wird geschlossen zwischen dir als Verantwortlichem (Vermieter im Sinne der DSGVO) und

Manuel Heider
Im Steinig 9
97877 Wertheim
E-Mail: info@manuel-heider.com
(nachfolgend „Vecura“ oder „Auftragsverarbeiter“)

§ 1 Gegenstand und Zweck

(1) Vecura verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen gemäß Art. 28 DSGVO.

(2) Zweck der Verarbeitung ist die Bereitstellung der Vecura-Plattform zur Verwaltung von Immobilien, Mietverhältnissen und damit zusammenhängenden Geschäftsvorgängen.

(3) Verarbeitungstypen: Speichern, Auslesen, Anpassen, Verändern, Übermitteln, Löschen, automatisierte Texterstellung (KI-gestützt) auf ausdrückliche Weisung des Verantwortlichen.

§ 2 Art der Daten und Kategorien betroffener Personen

Betroffene Personen sind insbesondere:

• Mieter (Stammdaten, Kontaktdaten, Zahlungsdaten, Vertragsdaten)
• Wohnungseigentümer in WEG-Kontexten
• Handwerker und Dienstleister
• Mitarbeiter des Verantwortlichen

Datenkategorien: Stammdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Vertragsdaten (Mietverhältnis), Zahlungsdaten (Miete, Mahnungen), Inhaltsdaten (Korrespondenz, Tickets, hochgeladene Dokumente).

§ 3 Pflichten des Auftragsverarbeiters

Vecura verpflichtet sich, die personenbezogenen Daten nur im Rahmen der Weisungen des Verantwortlichen zu verarbeiten. Vecura informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von Vecura gegen geltendes Datenschutzrecht verstößt.

Vecura stellt sicher, dass alle zur Verarbeitung berechtigten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 4 Technische und organisatorische Maßnahmen (TOMs)

Vecura trifft die folgenden TOMs gemäß Art. 32 DSGVO:

• Verschlüsselung der Übertragung (TLS 1.2+, HSTS preload)
• Verschlüsselung der Datenbank (at-rest, Supabase EU Frankfurt)
• Pseudonymisierung personenbezogener Daten vor KI-Verarbeitung
• Row-Level-Security (RLS) auf allen Datenbank-Tabellen
• Mehr-Faktor-Authentifizierung für administrative Zugänge
• Strikte Zugriffstrennung pro Mandant (User-ID-basiert)
• Regelmäßige Sicherheits-Updates und Penetrations-Tests
• Tägliche Backups mit Point-in-Time-Recovery
• Protokollierung sicherheitsrelevanter Ereignisse

§ 5 Unterauftragsverarbeiter

Der Verantwortliche stimmt zu, dass Vecura die folgenden Unterauftragsverarbeiter einsetzt:

• Supabase Inc. (Datenbank, Auth, Storage) - Region: EU Frankfurt
• Vercel Inc. (Hosting, CDN) - Region: EU Frankfurt
• Anthropic PBC (KI-Sprachmodelle) - Region: USA, EU-Standard­vertrags­klauseln
• OpenAI L.L.C. (Embeddings für Suche) - Region: USA, EU-Standard­vertrags­klauseln
• Resend Inc. (E-Mail-Versand) - Region: EU/USA, EU-Standard­vertrags­klauseln
• Cloudflare Inc. (DDoS-Schutz, DNS) - Region: global, EU-Standard­vertrags­klauseln
• Stripe Payments Europe Ltd. (Zahlungsabwicklung) - Region: EU
• Functional Software, Inc. / Sentry (Fehleranalyse) - Region: EU (de.sentry.io)

Eine Änderung dieser Liste wird dem Verantwortlichen mit einer Frist von 30 Tagen vorab per E-Mail mitgeteilt. Widerspricht der Verantwortliche nicht innerhalb dieser Frist, gilt die Änderung als genehmigt.

§ 6 Unterstützung des Verantwortlichen

Vecura unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

Bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) unterstützt Vecura den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, insbesondere durch Bereitstellung von Daten-Export und Account-Löschung in der Plattform.

§ 7 Meldung von Datenschutz-Verletzungen

Vecura informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme, über jede Verletzung des Schutzes personenbezogener Daten.

§ 8 Kontrollrechte des Verantwortlichen

Der Verantwortliche kann sich von der Einhaltung dieser Vereinbarung durch Vecura überzeugen. Vecura stellt hierzu auf Anfrage geeignete Nachweise zur Verfügung, insbesondere Auditberichte oder Zertifizierungen der eingesetzten Unterauftragsverarbeiter.

§ 9 Löschung und Rückgabe

Nach Beendigung der Auftragsverarbeitung löscht Vecura sämtliche personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück. Eine darüber hinausgehende Speicherung erfolgt nur im Rahmen gesetzlicher Aufbewahrungspflichten (z.B. § 147 AO).

§ 10 Schlussbestimmungen

Es gilt deutsches Recht. Erfüllungsort ist Wertheim. Gerichtsstand ist, sofern der Verantwortliche Unternehmer ist, Wertheim. Änderungen dieser Vereinbarung bedürfen der Textform (E-Mail genügt).