Vereinbarung zur Auftragsverarbeitung

§ 1 Gegenstand, Rollen und Dauer

(1) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Partners beim Betrieb des Netzwerks nach dem Hauptvertrag. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen beschreibt Anlage 1.

(2) Der Partner ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO, der Anbieter Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO. Der Partner ist dafür verantwortlich, dass die Verarbeitung, mit der er den Anbieter beauftragt, rechtmäßig ist; die Pflichten, die der Hauptvertrag dem Anbieter für die Gestaltung der Anfrageformulare und die Information der Interessenten auferlegt, bleiben unberührt.

(3) Die Vereinbarung gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange der Anbieter personenbezogene Daten im Auftrag des Partners verarbeitet, bis zum Abschluss der Löschung oder Rückgabe nach § 10. Sie endet mit dem Hauptvertrag. Das Recht zur außerordentlichen Kündigung bleibt unberührt.

§ 2 Ort der Verarbeitung; Übermittlung in Drittländer

(1) Der Anbieter verarbeitet die Daten in der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum. Die Unterauftragsverarbeiter nach Anlage 3 verarbeiten sie an den dort genannten Orten.

(2) Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Partners oder soweit das Recht der Union oder eines Mitgliedstaats, dem der Anbieter unterliegt, ihn dazu verpflichtet, und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

(3) Vor einer solchen Übermittlung teilt der Anbieter dem Partner das Drittland und die Garantie mit, auf die sie gestützt wird, etwa einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, und weist die Garantie auf Verlangen nach.

§ 3 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Partners, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Partner diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen ergeben sich aus dem Hauptvertrag und dieser Vereinbarung. Der Partner kann sie durch Einzelweisungen in Textform ändern, ergänzen oder ersetzen. Einstellungen, die der Partner im Partnerbereich vornimmt, etwa die Empfänger von Benachrichtigungen oder die Anbindung eines eigenen CRM, gelten als Weisungen. Mündliche Weisungen bestätigt der Partner unverzüglich in Textform. Weisungen, die über die Leistungen des Hauptvertrags hinausgehen, behandeln die Vertragsparteien als Antrag auf eine Leistungsänderung.

(3) Ist der Anbieter der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert er den Partner unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Partner sie bestätigt oder ändert.

§ 4 Vertraulichkeit

(1) Der Anbieter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und mit den für sie maßgeblichen Bestimmungen zum Datenschutz vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO).

(2) Die Pflicht zur Vertraulichkeit besteht nach dem Ende dieser Vereinbarung fort.

§ 5 Sicherheit der Verarbeitung

(1) Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 2 beschreibt. Sie gewährleisten ein dem Risiko angemessenes Schutzniveau, insbesondere die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Anbieter darf sie durch gleichwertige oder wirksamere Maßnahmen ersetzen; das in Anlage 2 beschriebene Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Partner in Textform mit.

(3) Der Anbieter überprüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens einmal im Kalenderjahr, und dokumentiert das Ergebnis.

§ 6 Unterauftragsverarbeiter

(1) Der Partner erteilt dem Anbieter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) in Anspruch zu nehmen (Art. 28 Abs. 2 DSGVO). Die in Anlage 3 genannten Unterauftragsverarbeiter gelten als genehmigt.

(2) Der Anbieter informiert den Partner mindestens vierzehn Tage im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Partner kann der Änderung innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen; ohne Widerspruch gilt sie als genehmigt. Finden die Vertragsparteien nach einem Widerspruch keine einvernehmliche Lösung, kann jede von ihnen den Hauptvertrag mit einer Frist von einem Monat außerordentlich kündigen.

(3) Erfordern es außergewöhnliche Umstände, etwa der Ausfall eines Unterauftragsverarbeiters oder die Sicherheit der Verarbeitung, verkürzt sich die Frist nach Absatz 2 angemessen.

(4) Der Anbieter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die diese Vereinbarung festlegt, insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen getroffen werden (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter dem Partner gegenüber für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

(5) Keine Unterauftragsverarbeitung im Sinne dieser Vereinbarung sind Leistungen, die der Anbieter als reine Nebenleistung in Anspruch nimmt, etwa Telekommunikations- und Transportleistungen. Ebenso wenig sind es Dienste, die der Partner selbst beauftragt und an die der Anbieter Daten auf dessen Weisung übermittelt, etwa ein CRM des Partners.

§ 7 Rechte der betroffenen Personen

(1) Der Anbieter unterstützt den Partner angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, die Rechte der betroffenen Personen nach Kapitel III der DSGVO zu erfüllen (Art. 28 Abs. 3 lit. e DSGVO), insbesondere Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

(2) Wendet sich eine betroffene Person mit einem Anliegen zu dieser Verarbeitung an den Anbieter, leitet er es unverzüglich an den Partner weiter und verweist die Person an ihn. Er beantwortet es nur auf Weisung des Partners.

§ 8 Unterstützung nach Art. 32 bis 36 DSGVO; Verletzungen des Schutzes

(1) Der Anbieter unterstützt den Partner unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO): bei der Sicherheit der Verarbeitung, bei Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde.

(2) Der Anbieter meldet dem Partner jede Verletzung des Schutzes personenbezogener Daten, die Daten des Partners betrifft, unverzüglich, nachdem sie ihm bekannt geworden ist, möglichst innerhalb von 24 Stunden (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: die Art der Verletzung mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, eine Anlaufstelle für weitere Informationen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Was noch nicht bekannt ist, reicht er unverzüglich nach.

(3) Der Anbieter trifft unverzüglich die Maßnahmen, die zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die betroffenen Personen erforderlich sind, und stimmt sie mit dem Partner ab.

(4) Der Anbieter informiert den Partner unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diese Verarbeitung betreffen, und unterstützt ihn bei Verfahren einer Aufsichtsbehörde, bei Ansprüchen betroffener Personen und bei anderen Verfahren, die diese Verarbeitung betreffen.

§ 9 Nachweise und Überprüfungen

(1) Der Anbieter stellt dem Partner alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in dieser Vereinbarung festgelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen.

(2) Der Partner kann die Einhaltung durch Überprüfungen einschließlich Inspektionen kontrollieren, selbst oder durch einen von ihm beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist und nicht im Wettbewerb mit dem Anbieter steht. Inspektionen kündigt er mit angemessener Frist, in der Regel vierzehn Tage, in Textform an; sie finden während der üblichen Geschäftszeiten statt, stören den Betrieb nicht unangemessen und wahren die Vertraulichkeit gegenüber anderen Partnern. Soweit Systeme bei einem Unterauftragsverarbeiter betrieben werden, erbringt der Anbieter den Nachweis durch dessen Nachweise, etwa Zertifizierungen und Prüfberichte.

(3) Mehr als eine Inspektion je Kalenderjahr findet nur aus konkretem Anlass statt. Den Aufwand für eine weitere Überprüfung im selben Kalenderjahr, die keinen Verstoß des Anbieters ergibt, kann der Anbieter dem Partner in angemessener Höhe berechnen.

§ 10 Löschung und Rückgabe

(1) Während der Laufzeit löscht der Anbieter Daten auf Weisung des Partners. Kopien oder Duplikate der Daten erstellt er ohne Wissen des Partners nicht; ausgenommen sind Sicherungskopien, soweit sie zur ordnungsgemäßen Verarbeitung erforderlich sind, und Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.

(2) Nach dem Ende der Leistungen löscht der Anbieter nach Wahl des Partners alle personenbezogenen Daten, die er im Auftrag des Partners verarbeitet hat, oder gibt sie ihm zurück und löscht danach die vorhandenen Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format. Trifft der Partner seine Wahl nicht innerhalb von vier Wochen nach dem Ende der Leistungen, löscht der Anbieter die Daten.

(3) Datensicherungen werden in ihrem regelmäßigen Turnus überschrieben, wie Anlage 2 ihn beschreibt. Bis dahin bleiben sie verschlüsselt und gegen Zugriff geschützt und werden nur wiederhergestellt, um eine Löschung zu vollziehen.

(4) Der Anbieter bestätigt die Löschung auf Verlangen in Textform. Unterlagen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, bewahrt er nach den jeweiligen Aufbewahrungsfristen über das Ende dieser Vereinbarung hinaus auf.

§ 11 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Vertragsparteien gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nichts anderes bestimmt.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform; das gilt auch für den Verzicht auf dieses Formerfordernis. Ein elektronisches Format genügt (Art. 28 Abs. 9 DSGVO).

(2) Werden die Daten des Partners beim Anbieter durch Pfändung oder Beschlagnahme, durch ein Insolvenzverfahren oder durch andere Ereignisse oder Maßnahmen Dritter gefährdet, informiert der Anbieter den Partner unverzüglich und weist alle Beteiligten darauf hin, dass die Verantwortung für die Daten beim Partner als Verantwortlichem liegt.

(3) Bei Widersprüchen gehen die Regelungen dieser Vereinbarung zum Schutz personenbezogener Daten denen des Hauptvertrags vor.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt der Hauptvertrag.

(5) Ist oder wird eine Bestimmung dieser Vereinbarung unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Gegenstand, Art und Zweck der Verarbeitung; Arten der Daten; betroffene Personen

1. Gegenstand und Zweck

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Partners, um das Netzwerk nach dem Hauptvertrag zu betreiben:

• Entgegennahme von Anfragen über die Websites, Formulare und Werkzeuge des Netzwerks, etwa Kontakt-, Rückruf-, Bewertungs- und Verkaufsanfragen und die Eingaben in Rechen- und Bewertungswerkzeuge;
• Prüfung eingehender Anfragen zum Schutz vor Spam und Missbrauch;
• Speicherung der Anfragen und ihre Bereitstellung im Partnerbereich, einschließlich der Bearbeitungsschritte, die der Partner dort vornimmt;
• Benachrichtigung des Partners und der von ihm benannten Empfänger über neue Anfragen per E-Mail;
• auf Weisung des Partners die Übermittlung an von ihm benannte Empfänger oder Systeme, etwa ein CRM des Partners;
• Verwaltung der Zugänge der Beschäftigten und Beauftragten des Partners zum Partnerbereich;
• technischer Betrieb, Sicherung und Wiederherstellung, Fehleranalyse und Missbrauchsabwehr;
• Löschung und Rückgabe nach § 10 der Vereinbarung.

Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Einschränken und Löschen (Art. 4 Nr. 2 DSGVO).

2. Arten personenbezogener Daten

Die Vereinbarung erfasst alle Daten, die das Netzwerk für den Partner entgegennimmt, heute und künftig, insbesondere:

• Identitäts- und Kontaktdaten: Anrede, Vor- und Nachname, Firma und Funktion, E-Mail-Adresse, Telefonnummer, Postanschrift, bevorzugte Kontaktzeiten und -wege;
• Immobiliendaten: Anschrift und Lage, Objektart, Wohn- und Grundstücksfläche, Zimmerzahl, Baujahr, Zustand, Ausstattung, Nutzung, Miet- und Preisvorstellungen sowie die Eingaben und Ergebnisse der Rechen- und Bewertungswerkzeuge;
• Angaben zur Lebens- und Verkaufssituation, etwa Erbschaft, Scheidung oder Trennung, Pflegebedürftigkeit oder Umzug in eine Pflegeeinrichtung, Insolvenz oder Zwangsversteigerung, Zeitrahmen und Beweggründe;
• Inhalte von Anfragen und Nachrichten: Formulareingaben und E-Mails, und, sobald sie angebunden werden, Telefon- und Messenger-Nachrichten, etwa über WhatsApp;
• hochgeladene Dokumente und Fotos, etwa Grundrisse, Exposés und Objektfotos;
• Termindaten, etwa für Besichtigungen und Beratungsgespräche;
• Einwilligungs- und Nachweisdaten: Zeitpunkt und Inhalt erteilter Einwilligungen und Bestätigungen;
• technische Metadaten zum Schutz vor Missbrauch und für den Betrieb: die IP-Adresse des aufrufenden Geräts und der Zeitpunkt in den Protokolldateien des Webservers (nach 14 Tagen gelöscht), der Nachweis der Missbrauchsprüfung und die Seite, auf der die Anfrage gestellt wurde;
• Daten der Beschäftigten und Beauftragten des Partners im Partnerbereich: Name, E-Mail-Adresse, Rolle, Anmelde- und Bearbeitungsprotokolle;
• alle weiteren Angaben, die Interessenten in Freitextfeldern oder Nachrichten von sich aus machen.

3. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO)

Die Formulare des Netzwerks fragen keine Gesundheitsdaten oder anderen besonderen Kategorien personenbezogener Daten ab. Interessenten können solche Daten jedoch von sich aus mitteilen, etwa wenn sie eine Pflegesituation als Anlass für einen Verkauf nennen. Der Anbieter verarbeitet solche Angaben ausschließlich, um die Anfrage an den Partner weiterzuleiten und bereitzustellen; er wertet sie nicht aus. Über ihre weitere Verarbeitung entscheidet der Partner als Verantwortlicher.

4. Kategorien betroffener Personen

• Eigentümerinnen und Eigentümer von Immobilien, die verkaufen, vermieten oder bewerten lassen möchten;
• Erbinnen und Erben sowie Erbengemeinschaften;
• Kauf- und Mietinteressentinnen und -interessenten;
• Familienangehörige, Betreuerinnen und Betreuer, Bevollmächtigte und andere Vertreterinnen und Vertreter, die in einer Anfrage genannt werden oder sie stellen;
• Ansprechpartnerinnen und Ansprechpartner bei Unternehmen, etwa Bauträgern, Hausverwaltungen und Sachverständigen;
• Besucherinnen und Besucher der Websites des Netzwerks: die Protokolldaten jedes Aufrufs, eine Reichweitenmessung ohne Cookies und ohne gespeicherte IP-Adresse und, soweit sie eine Anfrage stellen oder ein Werkzeug nutzen, deren Angaben;
• Beschäftigte und Beauftragte des Partners, die den Partnerbereich nutzen.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Anbieter betreibt das Netzwerk auf einem eigenen Server in einem Rechenzentrum in Deutschland. Die folgenden Maßnahmen gelten für diesen Server, die Anwendungen des Netzwerks und den Partnerbereich; für die Systeme der Unterauftragsverarbeiter gelten deren Maßnahmen nach Anlage 3.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Der Partner genehmigt die folgenden Unterauftragsverarbeiter (§ 6 Abs. 1 der Vereinbarung). Keine Unterauftragsverarbeiter sind Dienste, die der Anbieter auf seinem eigenen Server selbst betreibt, etwa die Missbrauchsprüfung, die Reichweitenmessung und die Fehlererfassung, sowie die Namensauflösung der Domains (§ 6 Abs. 5).