Beta-Hinweis: Wer als Vermieter Mieter-Daten in RENDIO verwaltet, ist aus DSGVO-Sicht Verantwortlicher; RENDIO ist Auftragsverarbeiter. Dieser AVV ist die Vorlage für den Vertragsschluss — vor dem ersten kostenpflichtigen Release wird er gegengezeichnet bereitgestellt.

Auftragsverarbeitungsvereinbarung (AVV)

RENDIO – Immobilien-Management-Plattform

Nach Artikel 28 der Europäischen Datenschutz-Grundverordnung (DSGVO)

Gültig ab: [Datum einfügen]

§ 1 Definitionen und Vertragsparteien

1.1 Parteien

Diese Auftragsverarbeitungsvereinbarung wird geschlossen zwischen:

Auftraggeber (Verantwortlicher):

Name: [Kundenname / Firmenname des Vermieters/Hausverwaltung]
Adresse: [Adresse des Kunden]
E-Mail: [E-Mail des Kunden]
(nachfolgend „Auftraggeber")

Auftragnehmer (Auftragsverarbeiter):

Name: [Firmenname]
Adresse: [Adresse]
E-Mail: [E-Mail]
Telefon: [Telefonnummer]
Datenschutzbeauftragter: [DSB-E-Mail]
(nachfolgend „Auftragnehmer" oder „RENDIO")

1.2 Definitionen

Personenbezogene Daten: Alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Verarbeitung: Alle Operationen, die mit personenbezogenen Daten durchgeführt werden (Erfassung, Speicherung, Abfrage, Änderung, Löschung, Übermittlung, etc.).

Auftraggeber: Die Person oder Organisation, die über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet.

Auftragnehmer: Der Auftragsverarbeiter, der Daten im Auftrag des Auftraggebers verarbeitet.

Betroffene Person: Die Person, deren personenbezogene Daten verarbeitet werden.

§ 2 Gegenstand und Umfang der Auftragsverarbeitung

2.1 Auftrag des Auftragnehmers

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf Weisung des Auftraggebers und im Umfang dieser Vereinbarung. Der Auftragnehmer darf Daten nicht für eigene Zwecke nutzen.

2.2 Leistungsgegenstand

Der Auftragnehmer erbringt folgende Dienstleistungen (SaaS):

Speicherung und Verwaltung von Immobiliendaten
Bereitstellung der RENDIO-Plattform (Software-as-a-Service)
Sicherung und Backup von Kundendaten
Technischer Support und Wartung
Bereitstellung von Reports und Auswertungen

2.3 Dauer der Verarbeitung

Beginn: Vertragsabschluss (Registrierung bei RENDIO) oder schriftliche Bestätigung

Ende: Ende des Servicevertrags oder Kündigung (mit Löschfrist, siehe § 8)

Verlängerung: Automatische Verlängerung, sofern der Auftrag nicht gekündigt wird

2.4 Art der Datenverarbeitung

Speicherung: Auf verschlüsselten Servern in der EU
Verarbeitung: Automatisierte Verarbeitung für Funktionalität
Abfrage: Manuell durch Nutzer oder automatisiert durch Plattform-Features
Übermittlung: Gemäß Weisungen des Auftraggebers
Änderung: Nur durch Nutzer oder auf schriftliche Weisung
Löschung: Auf Anfrage oder nach Speicherfrist

§ 3 Arten der verarbeiteten personenbezogenen Daten

3.1 Kategorien von Daten

Der Auftragnehmer verarbeitet folgende Arten personenbezogener Daten:

A. Vermieterdaten:

Name, E-Mail, Telefonnummer, Adresse
Bankverbindung (für Zahlungsabwicklung)
Identifikationsangaben (für KYC-Überprüfung)
Immobiliendaten (Adressen, Objektdetails, Bewertungen)
Verträge und Vereinbarungen
Finanzielle Daten (Mieteinnahmen, Nebenkosten)

B. Mieterdaten:

Name, E-Mail, Telefonnummer, Wohnort
Mietvertrag-Details (Mietbeginn, Mietdauer, Miethöhe)
SCHUFA-Abfrage (Score, Klasse, Adresshistorie)
Einkommensangaben (für Bonitätsprüfung)
Zahlungshistorie (Zahlungsverzüge, -ausfälle)
Schadensberichte (Fotos, Beschreibungen)
Kommunikation (Chat, Nachrichten)

C. Drittangaben (Bewerber, Dienstleister):

Name, Kontaktdaten, Qualifikationen
Referenzen und Bewertungen
Kommunikationsdaten

D. Metadaten:

IP-Adressen, User-Agent-Informationen
Login-Zeiten und -Orte
Aktivitätsprotokolle
Fehler und Warningslogs

3.2 Spezielle Datenkategorien

Falls der Auftraggeber SCHUFA-Daten verarbeitet:

Diese gehören zu den Kategorie "Betroffene Unternehmungen" nach Art. 9 DSGVO
Erfordert besondere Sicherheit und Geheimhaltung
Darf nur mit ausdrücklicher Zustimmung der betroffenen Person verarbeitet werden

3.3 Einsichtnahme in Daten durch Auftragnehmer

Der Auftragnehmer arbeitet mit folgenden Daten eigenständig:

Technische Logs (IP-Adressen, Zugriffsprotokolle, Fehler)
System-Monitoring (CPU, Speicher, Datenbankgröße)
Aggregierte, anonymisierte Statistiken

Der Auftragnehmer wird keine personenbezogenen Daten einsehen, sofern nicht technisch notwendig (z.B. zur Fehleranalyse).

§ 4 Kategorien betroffener Personen

Der Auftragnehmer verarbeitet Daten von folgenden Kategorien betroffener Personen:

| Kategorie | Anzahl (geschätzt) | Datentypen |

|-----------|-------------------|-----------|

| Vermieter / Immobilieneigentümer | Variabel | Bestandsdaten, Finanzielle Daten |

| Mieter und Wohnberechtigte | Variabel | Personenbezogene Daten, SCHUFA, Zahlungen |

| Mietbewerber | Variabel | Kontaktdaten, Bonitätsprüfung |

| Handwerker, Hausverwaltungen, Dienstleister | Variabel | Kontaktdaten, Kommunikation |

| Familienmitglieder und Bewohner | Variabel | Namen, Kontaktdaten (vom Vermieter eingetragen) |

§ 5 Pflichten des Auftragsnehmers

5.1 Grundprinzipien

Der Auftragnehmer verpflichtet sich, alle Daten zu verarbeiten:

Lawful (Rechtmäßig): Nur auf Basis von Eingaben des Auftraggebers
Fair (Fairness): Ohne Täuschung oder Manipulation
Transparent: Mit Wissen und Kontrolle des Auftraggebers

5.2 Verarbeitungsweisungen

Der Auftragnehmer verarbeitet Daten nur auf schriftliche Weisung des Auftraggebers:

Automatische Verarbeitung: Zur Erfüllung der Serviceleistung (bedarf keine einzelnen Weisungen)
Manuelle Weisungen: Wenn der Auftraggeber zusätzliche Verarbeitungen anfordert
Ablehnung: Der Auftragnehmer darf Weisungen ablehnen, die gegen Gesetze verstoßen

5.3 Geheimhaltung

Der Auftragnehmer verpflichtet sich, die Vertraulichkeit personenbezogener Daten zu wahren:

Mitarbeiter: Alle Mitarbeiter unterzeichnen Geheimhaltungsvereinbarungen
Dritte: Daten werden nicht an Unbefugte weitergegeben
Dauerhafte Geheimhaltung: Auch nach Beendigung der Zusammenarbeit
Ausnahmen: Nur bei Verpflichtung durch Gericht oder Behörde

5.4 Sicherheit der Verarbeitung

Der Auftragnehmer trifft technische und organisatorische Maßnahmen zum Schutz der Daten (siehe § 6).

5.5 Weitergabe an Dritte (Subprozessoren)

Der Auftragnehmer darf Subprozessoren nur einsetzen mit:

Vorherige Zustimmung: Des Auftraggeber (kann verweigert werden)
Schriftliche AVV: Zwischen Auftragnehmer und Subprozessor
Gleichwertige Sicherheit: Subprozessoren müssen gleiches Datenschutz-Niveau bieten
Liste: Der Auftragnehmer pflegt eine aktuelle Liste der Subprozessoren

Aktuelle Subprozessoren:

[Hosting-Anbieter z.B. base44 AG, Hetzner]
[E-Mail-Service z.B. SendGrid, Mailgun]
[Zahlungsabwickler z.B. Stripe, Adyen]
[Backup-Provider z.B. Acronis, Veeam]
[Analytics z.B. Google Analytics (optional)]

5.6 Änderungen der Subprozessoren

Falls der Auftragnehmer neue Subprozessoren einsetzt:

Ankündigung: Mindestens 30 Tage vorher per E-Mail
Widerspruchsrecht: Der Auftraggeber kann widersprechen
Alternativen: Falls Widersprechen, kann der Auftraggeber die Zusammenarbeit kündigen
Implementierung: Neue Subprozessoren sind ab der Ankündigungsfrist einsatzbereit

§ 6 Technische und Organisatorische Maßnahmen (TOMs)

6.1 Beschreibung der Sicherheitsmaßnahmen

Der Auftragnehmer setzt folgende Maßnahmen um:

6.1.1 Infrastruktur-Sicherheit

Hosting: Europäische Rechenzentren (Deutschland, Niederlande) mit ISO 27001 oder gleichwertig
Redundanz: Automatische Failover zu sekundärem Rechenzentrum
Firewalling: DDoS-Schutz und Web Application Firewall
Intrusion Detection: Überwachung auf unautorisierten Zugriff

6.1.2 Verschlüsselung

In Transit (TLS): Verschlüsselung aller Verbindungen (TLS 1.2+)
At Rest: AES-256 Verschlüsselung für Datenbanken und Dateispeicher
Key Management: Schlüssel werden separat von Daten gespeichert
Zertifikate: Regelmäßige Erneuerung und Validierung (HPKP, CAA)

6.1.3 Zugriffskontrolle

Authentifizierung: Username + Passwort (Bcrypt-Hashing)
Mehrstufige Authentifizierung (MFA): Optional für Nutzer aktivierbar
Authorization: Rollen-basierte Zugriffskontrolle (RBAC)
Admin: Vollständiger Zugriff auf alle Daten
Vermieter: Zugriff auf eigene Objekte
Mieter: Zugriff nur auf eigene Informationen
Support: Eingeschränkter Zugriff mit Audit-Log
API-Keys: Token-basiert, mit Expiration
Least Privilege: Mitarbeiter haben nur Zugriff auf nötige Daten

6.1.4 Datenbanken und Speicher

Datenbankenverschlüsselung: Sensible Spalten sind verschlüsselt (Field-Level)
Backup-Verschlüsselung: Alle Backups sind verschlüsselt
Segregation: Test-Daten sind getrennt von Produktivdaten
Purging: Gelöschte Daten werden sicher überschrieben (DOD 5220.22-M oder besser)

6.1.5 Logging und Monitoring

Audit-Logs: Alle administrativen Zugriffe werden protokolliert
Benutzer (wer)
Aktion (was)
Zeitstempel (wann)
IP-Adresse (woher)
Ergebnis (erfolgreich/fehlgeschlagen)
Aufbewahrung: Mindestens 90 Tage
Monitoring: 24/7 Überwachung auf verdächtige Aktivitäten
Alerting: Automatische Benachrichtigungen bei Anomalien

6.1.6 Mitarbeiterverwaltung

Background Checks: Überprüfung potentieller Mitarbeiter vor Einstellung
Schulung: Datenschutz-Training für alle Mitarbeiter mit Datenzugriff
NDA/Geheimhaltungsverträge: Alle Mitarbeiter unterzeichnen Geheimhaltungsvereinbarungen
Nur-Zugriff: Mitarbeiter erhalten Zugriff nur auf notwendige Daten
Beendigung: Sofortige Deaktivierung aller Zugriffe bei Kündigung

6.1.7 Netzwerk-Sicherheit

VPN/SSH: Sichere Verbindungen für administrative Zugriffe
IP-Whitelisting: Nur autorisierte IPs können auf Admin-Panels zugreifen
WAF (Web Application Firewall): Schutz vor OWASP Top 10
Rate Limiting: Schutz vor Brute-Force-Angriffen
Intrusion Prevention System (IPS): Automatische Blockierung verdächtiger Aktivitäten

6.1.8 Patch Management

Vulnerability Scanning: Wöchentliche Scans auf bekannte Schwachstellen
Patch Deployment: Automatische Sicherheits-Updates
Kernel Patches: Monatliche Aktualisierungen des Betriebssystems
Third-Party Libraries: Regelmäßige Updates von Dependencies

6.1.9 Sichere Entwicklung

Code Review: Vier-Augen-Prinzip für alle Code-Changes
Static Code Analysis: Automatische Überprüfung auf Sicherheitslöcher
Dependency Scanning: Überprüfung auf vulnerable Libraries
Penetration Testing: Mindestens jährlich durch externe Experten

6.1.10 Backup und Disaster Recovery

Backup-Häufigkeit: Täglich (inkrementell), wöchentlich (vollständig)
Backup-Speicherorte: Geografisch verteilt (mindestens 2 Standorte)
Backup-Verschlüsselung: Alle Backups sind verschlüsselt
Restore-Tests: Monatliche Tests der Wiederherstellung
Recovery Time Objective (RTO): 4 Stunden
Recovery Point Objective (RPO): 24 Stunden
Aufbewahrung: 90 Tage (ältere Backups werden gelöscht)

6.1.11 Physische Sicherheit

Rechenzentrum: Zutritt nur mit Authentifizierung
Videoüberwachung: 24/7 Überwachung
Umweltschutz: Brandschutz, Temperaturkontrolle, Stromversorgung
Abfallvernichtung: Sichere Entsorgung von Hardware mit Daten

6.1.12 Pseudonymisierung und Anonymisierung

Pseudonymisierung: Test-Daten verwenden Aliasnamen statt echter Namen
Anonymisierung: Aggregate Statistiken entfernen Identifikatoren
Hash-Funktionen: Nicht-umkehrbare Hashes für bestimmte Felder
Daten-Masking: In Test- und Development-Umgebungen werden Sensitive Daten maskiert

6.2 Angemessenheit der Maßnahmen

Die Sicherheitsmaßnahmen werden regelmäßig überprüft und angepasst:

Jährliche Audits: Durch unabhängige externe Prüfer
Penetration Tests: Mindestens jährlich
Vulnerability Assessments: Halbjährlich
Policy Updates: Bei Bedarf oder mindestens jährlich

6.3 Dokumentation der Maßnahmen

Der Auftragnehmer erstellt und pflegt eine aktuelle Dokumentation aller TOMs:

ISMS-Dokumentation: Informationssicherheit-Managementsystem
Security Policy: Interne Richtlinien
Incident Response Plan: Notfallmaßnahmen
Business Continuity Plan: Kontinuitätsplanung

Diese Dokumentation wird dem Auftraggeber auf Anfrage zur Verfügung gestellt (mit NDA).

§ 7 Unterstützung bei Betroffenenrechten

7.1 Recht auf Auskunft (Art. 15 DSGVO)

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Auskunftsanfragen:

Export: Auf Anfrage exportiert der Auftragnehmer Daten einer betroffenen Person
Format: CSV, JSON, oder XML
Frist: Innerhalb von 7 Arbeitstagen
Kosten: Kostenlos

Portal-Integration: Der Auftragnehmer stellt Tools bereit, die Nutzer ermöglichen, ihre Daten selbst zu exportieren.

7.2 Recht auf Berichtigung (Art. 16 DSGVO)

Der Auftragnehmer ermöglicht Datenberichtigung:

Nutzer-Interface: Benutzer können Fehler selbst korrigieren
Anfrage: Bei Bedarf können über Support Berichtigungen angefordert werden
Frist: Innerhalb von 7 Arbeitstagen
Bestätigung: Der Auftragnehmer bestätigt Berichtigungen schriftlich

7.3 Recht auf Löschung (Art. 17 DSGVO) – "Recht auf Vergessenwerden"

Der Auftragnehmer unterstützt das Löschrecht:

Anfrage: Schriftliche Anfrage erforderlich (E-Mail oder Support)
Prüfung: Der Auftragnehmer prüft auf rechtliche Aufbewahrungspflichten
Falls keine Aufbewahrungspflicht: Löschung innerhalb von 7 Arbeitstagen
Falls Aufbewahrungspflicht: Ablehnung mit Begründung
Subprozessoren: Löschung wird an Subprozessoren weitergegeben
Backups: Alte Daten werden aus Backups gelöscht (ab nächstem Backup-Zyklus)
Bestätigung: Schriftliche Bestätigung der Löschung

7.4 Recht auf Einschränkung (Art. 18 DSGVO)

Der Auftragnehmer markiert Daten als "eingeschränkt":

Flag: Daten werden mit Flag "restricted" markiert
Verarbeitung: Eingeschränkte Daten werden nicht mehr verarbeitet
Speicherung: Daten bleiben gespeichert, können aber nicht genutzt werden
Zeitrahmen: Einschränkung bleibt bis Konflikt gelöst ist

7.5 Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

Der Auftragnehmer stellt Daten in portablem Format bereit:

Format: Strukturierte, gängige, maschinenlesbare Formate (CSV, JSON, XML)
Timeliness: Innerhalb von 30 Tagen (verlängerbar auf 60 Tage)
Umfang: Alle Daten, die der Nutzer eingegeben hat
Direkter Transfer: Auf Anfrage kann der Auftragnehmer Daten direkt an einen anderen Anbieter transferieren
Kosten: Kostenlos

7.6 Widerspruch gegen Verarbeitung (Art. 21 DSGVO)

Für berechtigte Widerspruchsgründe:

Marketing: Der Auftragnehmer stoppt Marketing-Kommunikation sofort
Profiling: Der Auftragnehmer kann Profiling/Scoring einstellen
Wissenschaftliche Nutzung: Der Auftragnehmer stoppt anonymisierte Datennutzung
Bestätigung: Schriftliche Bestätigung des Widerspruchs

7.7 Unterstützung bei Datenschutz-Folgenabschätzung (DPIA)

Der Auftragnehmer unterstützt den Auftraggeber bei DPIA-Anforderungen:

Informationen: Bereitstellung von Sicherheits- und Datenschutz-Dokumentation
Bewertung: Unterstützung bei Risikobewertung
Massnahmen: Empfehlung zusätzlicher Datenschutzmassnahmen
Abfrage: Beantwortung detaillierter Sicherheitsfragen

§ 8 Löschung und Rückgabe von Daten

8.1 Nach Beendigung des Vertrags

Nach Kündigung oder Ende der Zusammenarbeit:

Zeitlinie:

1. Sofort: Kundenzugriff wird deaktiviert

2. Tag 1–30: Kunde kann Daten herunterladen und exportieren

3. Tag 31: Alle Daten werden gelöscht (außer rechtlich erforderliche Aufbewahrung)

8.2 Optionen

Der Auftraggeber kann wählen:

Option 1 – Löschung: Alle Daten sofort permanent löschen
Option 2 – Export: Daten exportieren (als CSV/JSON), dann löschen
Option 3 – Aufbewahrung: Daten auf Anfrage bis zu 6 Monate aufbewahren (kostenpflichtig, 100 EUR/Monat)

8.3 Sichere Löschung

Gelöschte Daten werden vernichtet durch:

Überschreiben: Mehrfaches Überschreiben mit Zufallsdaten (NIST SP 800-88)
Physische Vernichtung: Alte Festplatten werden physisch zerstört
Zertifikat: Auftraggeber erhält Lösch-Zertifikat auf Anfrage

8.4 Rechtlich erforderliche Aufbewahrung

Folgende Daten werden über die Kündigungsfrist hinaus aufbewahrt:

Rechnungen: 10 Jahre (Handelsgesetzbuch § 257)
Zahlungsbelege: 10 Jahre
Verträge: 7 Jahre (BGB § 195)
Kommunikation: 3 Jahre (für Litigation-Support)
Logs: 1 Jahr (für Sicherheitsaudits)

Diese Daten werden in verschlüsselter Form separat gelagert.

§ 9 Nachweispflichten und Kontrollrechte

9.1 Nachweispflichten des Auftragsnehmers

Der Auftragnehmer dokumentiert und belegt:

Weisungen: Alle erhaltenen Weisungen werden protokolliert
Konformität: Compliance mit dieser AVV
Subprozessoren: Liste aktueller Subprozessoren
TOMs: Dokumentation aller Sicherheitsmaßnahmen
Schulungen: Datenschutz-Schulungen für Mitarbeiter
Audit-Logs: Zugriffs- und Aktivitätsprotokolle

9.2 Kontrollrechte des Auftraggebers

Der Auftraggeber hat das Recht:

9.2.1 Inspektionsrecht

Ankündigung: 7 Tage vorher (außer Notfall)
Umfang: Überprüfung von Sicherheitsmaßnahmen, Dokumentation, Prozessen
Ort: Vor Ort beim Auftragnehmer oder remote
Kosten: Der Auftraggeber trägt seine eigenen Kosten; bei häufigen Audits (>2/Jahr) kann der Auftragnehmer Gebühren erheben (1.000 EUR/Tag)
Vertraulichkeit: Inspekteur muss NDA unterzeichnen

9.2.2 Audit und Zertifikation

SOC 2 Type II: Der Auftragnehmer veranlasst jährliche SOC 2 Type II Audits durch unabhängige Prüfer
Bericht: Auditergebnis wird dem Auftraggeber zur Verfügung gestellt
ISO 27001: Angestrebte Zertifizierung bis [Jahr]

9.2.3 Sicherheits-Fragebogen

Q&A: Der Auftraggeber kann Datenschutz-Fragen einreichen
Antwortfrist: 15 Arbeitstage
Häufigkeit: Maximal 2 Pro Jahr ohne Zusatzgebühren

9.2.4 Selbstbewertung

Fragebogen: Der Auftragnehmer beantwortet regelmäßige Selbstbewertungsfragebögen (z.B. auf Basis von Standard-Katalogen)

9.3 Haftung bei Verstößen

Falls der Auftragnehmer gegen Anforderungen dieser AVV verstößt:

Warnung: Der Auftraggeber teilt den Verstoß schriftlich mit
Abhilfefrist: Der Auftragnehmer hat 30 Tage, um Abhilfe zu schaffen
Fortbestand: Falls nicht behoben, kann der Auftraggeber die Zusammenarbeit kündigen
Schadensersatz: Der Auftragnehmer haftet für Schäden (siehe § 11)

§ 10 Bewältigung von Datenschutzvorfällen (Incidents)

10.1 Meldung von Datensicherheitsverletzungen

Falls eine Datensicherheitsverletzung (Hack, Malware, unautorisierten Zugriff, Datenverlust) auftritt:

Auftragnehmer → Auftraggeber Meldung:

Zeitrahmen: Ohne unnötige Verzögerung, spätestens 24 Stunden nach Entdeckung
Kanal: E-Mail oder Notfall-Telefonnummer
Inhalte:
Art der Verletzung (Was ist geschehen?)
Betroffene Daten (Welche Daten? Wie viele Personen?)
Zeitpunkt (Wann entdeckt? Wann aufgetreten?)
Erste Maßnahmen (Was wurde bereits getan?)
Kontaktperson des Auftragsnehmers für weitere Fragen

10.2 Notfall-Kommunikation

Notfall-Telefon: [Nummer, erreichbar 24/7]
Notfall-E-Mail: [E-Mail-Adresse]
Eskalation: Bei kritischen Vorfällen wird automatisch eskaliert

10.3 Gemeinsame Reaktion

Nach Meldung:

Auftraggeber trifft Entscheidungen (z.B. über Benachrichtigung Betroffener)
Auftragnehmer unterstützt (z.B. mit forensischen Daten)
Kommunikation: Regelmäßige Updates bis zur Behebung

10.4 Ursachenanalyse und Bericht

Innerhalb von 5 Arbeitstagen:

Forensik: Untersuchung der Ursache
Bericht: Detaillierter Incident Report
Root-Cause: Was war die Ursache?
Preventive Measures: Maßnahmen zur Verhinderung ähnlicher Vorfälle
Lessons Learned: Verbesserungen für die Zukunft

§ 11 Haftung

11.1 Haftung des Auftragsnehmers

Der Auftragnehmer haftet dem Auftraggeber für:

Verstöße gegen DSGVO: Besonders Art. 28, 32, 33, 34
Verstöße gegen diese AVV
Fahrlässigkeit: Unvorsichtige Umgang mit Daten
Sicherheitsmängel: Wenn TOM unzureichend sind

11.2 Haftungsobergrenze

Haftung ist begrenzt auf:

Direkte Schäden: Max. 3x die jährlichen Gebühren (minimum 10.000 EUR)
Indirekte Schäden: Keine Haftung
Begrenzung gilt nicht: Bei Vorsatz, grosser Fahrlässigkeit, oder DSGVO-Bußgelder

11.3 Versicherung

Der Auftragnehmer unterhält:

Cyber-Haftpflichtversicherung: Mindestens 5 Millionen EUR
Allgemeine Haftpflichtversicherung: Mindestens 2 Millionen EUR
Beweise: Versicherungspolice wird auf Anfrage übermittelt

§ 12 Internationale Datenübermittlungen

12.1 EU/EWR-Speicherung

Der Auftragnehmer speichert alle Daten in der EU oder im EWR:

Server: Deutschland, Niederlande, oder ähnlich
Kein Transfer: In die USA oder andere Drittländer ohne separate Vereinbarung

12.2 Ausnahmen (Subprozessoren)

Falls Subprozessoren in Drittländern tätig sind (z.B. USA-Zahlungsverarbeiter):

Standardvertragsklauseln (SCCs): EU-Standard-Vertragsklauseln werden vereinbart
Sicherheitsmaßnahmen: Zusätzliche Verschlüsselung und Anonymisierung
Zustimmung: Auftraggeber genehmigt solche Transfers ausdrücklich

12.3 Gesetzliche Verpflichtung

Falls eine Behörde die Herausgabe von Daten verlangt:

Notification: Der Auftragnehmer benachrichtigt den Auftraggeber, sofern rechtlich zulässig
Kooperation: Der Auftragnehmer versucht, die Anfrage zu verzögern oder zu begrenzen
Transparenz: Der Auftragnehmer teilt mit, welche Daten betroffen sind

§ 13 Dauer und Kündigung

13.1 Gültigkeitsdauer

Diese AVV tritt in Kraft am [Datum] und läuft parallel zum Kundenvertrag/SaaS-Service-Agreement.

13.2 Kündigung

Diese AVV kann gekündigt werden:

Mit Beendigung des Hauptvertrags: Automatisch
Außerordentliche Kündigung: Vom Auftraggeber, wenn Auftragnehmer gegen AVV verstößt (nach 30-Tage-Frist zur Behebung)

13.3 Fortbestand nach Kündigung

Nach Kündigung bleiben bestehen:

Geheimhaltungspflichten: Unbegrenzt
Daten-Rückgabe: 30-Tage-Frist (siehe § 8)
Schadensersatz: Ansprüche bleiben erhalten

§ 14 Besonderheiten für verschiedene Rollen

14.1 Vermieter/Eigentümer als Auftraggeber

Wenn der Auftraggeber ein Vermieter ist:

Der Vermieter ist Verantwortlicher für Mieter-Daten
Der Vermieter muss sicherstellen, dass Mieter informiert sind (Datenschutzerklärung)
Der Vermieter trägt Verantwortung für Zustimmung (z.B. SCHUFA-Abfrage)
RENDIO ist Auftragsverarbeiter

14.2 Hausverwaltung als Auftraggeber

Wenn der Auftraggeber eine Hausverwaltung ist:

Die Hausverwaltung kann mehrere Vermieter vertreten
Die Hausverwaltung muss AVVs von jedem Vermieter einholen (Weitergabe der Daten)
RENDIO bleibt Auftragsverarbeiter
Sub-Auftraggeber-Modell: Hausverwaltung handelt im Auftrag von Vermietern

§ 15 Anwendbares Recht und Gerichtsstand

15.1 Anwendbares Recht

Diese AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss von:

Konfliktnormen des internationalen Privatrechts
UN-Kaufrecht (CISG)

Gesetzliche Grundlagen:

Datenschutz-Grundverordnung (DSGVO)
Bundesdatenschutzgesetz (BDSG)
Bürgerliches Gesetzbuch (BGB)

15.2 Gerichtsstand und Dispute Resolution

Schriftlichkeit: Alle Streitigkeiten sollten zunächst schriftlich beigelegt werden (E-Mail)
Gerichtsstand: Ausschließlich Gerichte am Sitz des Auftragsnehmers ([Ort], Deutschland)
Schiedsverfahren: Auf beidseitige Vereinbarung hin, siehe separate Schiedsvereinbarung

§ 16 Besonderheiten dieser AVV

16.1 Eintritt in Kraft

Diese AVV wird Bestandteil des Service Agreement durch:

Automatischer Eintritt: Beim Abschluss des SaaS-Kundenvertrags
Keine separate Unterzeichnung: Erforderlich, sofern separate Unterzeichnung nicht angefordert wird
Bestätigung: Der Auftraggeber kann eine unterzeichnete Version anfordern

16.2 Anpassungen

Der Auftragnehmer darf diese AVV anpassen:

Grund: Neue Sicherheitsstandards, DSGVO-Anforderungen, organisatorische Änderungen
Ankündigung: Mindestens 60 Tage vorher
Widerspruchsrecht: Der Auftraggeber kann widersprechen oder kündigen

16.3 Gesamter Vertrag

Diese AVV zusammen mit dem Hauptvertrag und der Datenschutzerklärung bildet die gesamte Vereinbarung zwischen den Parteien.

§ 17 Kontaktinformationen

Für Fragen zu dieser AVV:

Auftragnehmer (RENDIO):

Datenschutzbeauftragter: [DSB-Name]
E-Mail: [DSB-E-Mail]
Adresse: [Firmenadresse]
Telefon: [Telefonnummer]

Auftraggeber:

Nutzen Sie das Support-Portal in der RENDIO-Plattform
E-Mail: [Support-E-Mail]
Telefon: [Support-Telefon, falls Business]

Gültig ab: [Datum einfügen]

Letzte Änderung: [Datum einfügen]

Anlage A: Subprozessoren

|------|--------|----------|----------|--------|

(Diese Liste wird regelmäßig aktualisiert)

Anlage B: Technische und Organisatorische Maßnahmen (TOMs) – Detaillierte Liste

[Siehe § 6 für detaillierte Beschreibung aller TOMs]