Auftragsverarbeitung

Vorgesehener Auftragnehmer

NextGen-Immobilien-eGbR Hermannstraße 51 12049 Berlin Deutschland

support@hauspilot-verwaltung.de

Vertretung und Registerangaben: Impressum.

1. Beteiligte, Gegenstand und Dauer

Auftraggeber ist die in der endgültigen Vereinbarung bezeichnete Verwaltung beziehungsweise die für ihre Zwecke verantwortliche Person. Auftragnehmer ist der oben genannte HausPilot-Betreiber. Der Auftrag umfasst die Bereitstellung von HausPilot zum Erfassen, Ordnen, Berechnen, Speichern, Abrufen, Übermitteln, Exportieren und Löschen der vom Auftraggeber eingestellten Verwaltungsdaten. Die Verarbeitung ist an das vereinbarte Nutzungsverhältnis und die geregelte Abwicklung nach dessen Ende gebunden.

Verarbeitet werden insbesondere Namen, Kontakt- und Vertragsdaten, Wohnungs- und Objektzuordnungen, Miet- und Zahlungsdaten, Korrespondenz, Dokumente sowie Zugriffs- und Änderungsprotokolle. Betroffen sind je nach Nutzung Mieter, Mietinteressenten, Eigentümer, Bevollmächtigte, Dienstleister und Teammitglieder. Besondere Kategorien personenbezogener Daten werden nicht pauschal zum Vertragsgegenstand erklärt; vor einer erforderlichen Verarbeitung sind Zulässigkeit und Schutzmaßnahmen gesondert festzulegen.

2. Weisungen und Verantwortlichkeiten

Der Auftraggeber entscheidet über Zwecke, zulässige Inhalte, Empfänger, Berechtigungen und Aufbewahrungen seiner Verwaltungsdaten. Der Auftragnehmer verarbeitet diese Daten ausschließlich auf dokumentierte Weisung einschließlich der zulässigen Bedienhandlungen in HausPilot. Gesetzlich erzwungene Abweichungen sind vorab mitzuteilen, soweit das Gesetz die Mitteilung nicht verbietet. Eine für rechtswidrig gehaltene Weisung wird unverzüglich beanstandet; der betroffene Vorgang wird bis zur Klärung ausgesetzt.

Die Verantwortung des Betreibers für eigene Konto-, Support- und später erforderliche Abrechnungsdaten ist hiervon zu unterscheiden und in den Datenschutzhinweisen zu erläutern. Der Vertrag erlaubt keine eigenständige Werbung oder ein Training von KI-Modellen mit den Verwaltungsakten.

3. Vertraulichkeit und Schutzmaßnahmen

Mit der Verarbeitung betraute Personen werden zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Verpflichtung. Zugriffe werden auf das Erforderliche beschränkt. Technische und organisatorische Maßnahmen müssen ein dem Risiko angemessenes Schutzniveau sicherstellen und werden in einer verbindlichen Anlage dokumentiert. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

Die derzeit technisch vorgesehenen Schutzbereiche stehen weiter unten. Eine Beschreibung der Anwendung ersetzt nicht die Nachweise zu Personal, Verträgen, Dienstleistern, Wiederanlauf und organisatorischen Abläufen.

4. Weitere Auftragsverarbeiter

Weitere Auftragsverarbeiter dürfen nur auf der Grundlage einer konkreten oder allgemeinen schriftlichen Genehmigung eingesetzt werden. Die abschließende Dienstleisteranlage nennt den jeweiligen juristischen Vertragspartner, seine Aufgabe, Verarbeitungsorte und Übermittlungsgrundlagen. Bei allgemeiner Genehmigung informiert der Auftragnehmer vor beabsichtigten Änderungen und ermöglicht einen begründeten datenschutzbezogenen Widerspruch. Eine bloße, unangekündigt veränderbare Liste genügt nicht.

Weitere Auftragsverarbeiter werden vertraglich zu mindestens gleichwertigen Datenschutzpflichten verpflichtet. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für deren Erfüllung verantwortlich. Übermittlungen außerhalb des EWR setzen zusätzlich eine nachgewiesene zulässige Grundlage und erforderliche ergänzende Maßnahmen voraus.

5. Betroffenenrechte, Vorfälle und Unterstützung

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Direkt eingehende Betroffenenanfragen zu Verwaltungsdaten werden unverzüglich an den zuständigen Auftraggeber weitergeleitet; eine inhaltliche Antwort erfolgt nur auf Weisung oder aufgrund einer eigenen gesetzlichen Pflicht.

Bekannt gewordene Verletzungen des Schutzes personenbezogener Daten werden dem Auftraggeber unverzüglich mitgeteilt. Soweit bekannt, werden Art und Umfang, betroffene Daten und Personen, mögliche Folgen, Gegenmaßnahmen und ein Kontakt benannt. Fehlende Informationen werden nachgereicht. Der Auftragnehmer unterstützt außerdem bei Meldungen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen.

6. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der vereinbarten Pflichten erforderlichen Informationen zur Verfügung und ermöglicht erforderliche Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten unabhängigen Prüfer. Vertrauliche Daten anderer Kunden müssen geschützt bleiben. Termin- und Schutzabsprachen dürfen das Kontrollrecht nicht praktisch ausschließen. Auffälligkeiten und festgestellte Mängel werden dokumentiert und behoben.

7. Rückgabe und Löschung

Nach Ende der beauftragten Verarbeitung werden personenbezogene Daten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrung entgegensteht. Vor Löschung wird die vereinbarte Exportmöglichkeit eröffnet. Historien, Anmeldung, Protokolle und Sicherungskopien sind in die Abwicklung einzubeziehen. Aus zwingend aufbewahrten Daten darf keine weitere allgemeine Nutzung erfolgen.

Die konkreten Fristen, zuständigen Personen, Löschläufe und Nachweise müssen vor Vertragsabschluss in der Anlage festgelegt werden. Der laufende Dienst löscht derzeit nicht sämtliche Daten automatisch nach einer festen Frist. Eine solche Automatik wird mit diesem Entwurf nicht behauptet.

Anlage A · Technische Schutzbereiche

• Persönliche Anmeldung und optionale Zwei-Faktor-Authentifizierung; serverseitige Prüfung von Sitzungen und Berechtigungen.
• Trennung der Verwaltungen sowie hausbezogene Freigaben. Plattformrechte ersetzen keinen Zugriff auf fremde Verwaltungsakten.
• HTTPS für die Übertragung; serverseitiger Schutz von Zugangsschlüsseln. Keine Zusage einer vollständigen Ende-zu-Ende-Verschlüsselung der gesamten Anwendung.
• Virenscan und Dateiregeln für Upload und Download; Sperre bei fehlgeschlagener oder nicht möglicher Prüfung.
• Protokollierung relevanter Änderungen und begrenzte Supportzugriffe auf tatsächlich übermittelte Anfragen.
• Verschlüsselte Sicherungen und getrennte Wiederherstellungsprüfungen. Prüfumfang, Aktualität und Betriebsverfahren sind als Nachweise zu dokumentieren.
• KI-Anfragen nur im freigegebenen Umfang; keine allgemeine Durchsuchung der Hausakten durch die Bedienhilfe.

Die Ergänzung organisatorischer Maßnahmen und die Prüfung ihrer tatsächlichen Wirksamkeit bleiben erforderlich. Eine Zertifizierung oder uneingeschränkte Sicherheitsgarantie wird nicht erklärt.

Anlage B · Dienstleister und offene Ergänzungen

Technisch verwendet beziehungsweise vorgesehen sind Sites/Cloudflare für Betrieb und Speicher, Supabase für Anmeldung und Sicherungsaufrufe, Hetzner für Virenprüfung und externe Sicherung, OpenAI für optionale KI sowie Resend und Google Workspace für die jeweils beschriebenen E-Mail-Zwecke. Stripe ist für die künftige Zahlungsabwicklung vorgesehen; seine datenschutzrechtliche Rolle ist je Verarbeitung gesondert einzuordnen.

Für den Abschluss fehlen die zu den konkreten Konten gehörenden Vertragsparteien, Verträge zur Auftragsverarbeitung, Unterauftragnehmer, Standorte, zulässigen Drittlandgarantien und Löschfristen. Diese Angaben werden aus den tatsächlichen Vertragsunterlagen übernommen und nicht aus den Dienstnamen abgeleitet.

Eine Vereinbarung zur Verarbeitung von Verwaltungsdaten kannst du über support@hauspilot-verwaltung.de anfragen. Maßgeblich ist die anschließend ausgefüllte und verbindlich vereinbarte Fassung.