Auftragsverarbeitungsvereinbarung

1.1 Auftraggeber (Verantwortlicher)

Der jeweilige Kunde der Software „Verwaltio“, der personenbezogene Daten in die Anwendung eingibt oder dort verarbeiten lässt.

1.2 Auftragnehmer (Auftragsverarbeiter)

Verwaltio UG (haftungsbeschränkt)

Am Lippeglacis 2, 46483 Wesel, Deutschland

Vertreten durch: Daniel Fischer und Jan Martin Jaletzke

E-Mail: info@verwaltio.de

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung der SaaS-Anwendung „Verwaltio“ gemäß Art. 28 DSGVO. Art und Zweck ergeben sich aus der Nutzung der Software zur Immobilienverwaltung (insbesondere Verwaltung von Objekten, Einheiten, Kontakten, Verträgen, Buchhaltung, Zahlungsabgleich, Kommunikation, Dokumenten- und Belegverwaltung sowie KI-gestützter Funktionen). Die Verarbeitung erfolgt für die Dauer des Nutzungs- bzw. Hauptvertrags.

3.1 Datenarten

• Stamm- und Kontaktdaten (Namen, Anschriften, Kommunikationsdaten),
• Vertrags- und Abrechnungsdaten (Mietverträge, Zahlungen, Forderungen),
• Bank- und Zahlungsdaten (IBAN/BIC, Umsätze),
• Dokumente, Belege und Schriftverkehr sowie deren extrahierte Inhalte,
• im Vermietungsprozess ggf. Bewerber-/Bonitätsdaten.

3.2 Betroffene Personen

• Mieter und Mietinteressenten/Bewerber,
• Eigentümer und Wohnungseigentümer,
• Dienstleister, Lieferanten und sonstige Geschäftspartner des Auftraggebers,
• Beschäftigte/Ansprechpersonen des Auftraggebers.

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers und nur im Rahmen der vertraglich vereinbarten Leistungen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zu einer Verarbeitung verpflichtet ist. Die Nutzung der Software und ihrer Funktionen durch den Auftraggeber gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber.

• Wahrung der Vertraulichkeit; zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet,
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (Anlage 1),
• Unterstützung des Auftraggebers bei der Beantwortung von Betroffenenanfragen (Art. 12 bis 23 DSGVO) im Rahmen der Funktionen der Software,
• Unterstützung bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung),
• Bereitstellung der für den Nachweis erforderlichen Informationen.

Der Auftraggeber erteilt seine allgemeine Genehmigung zur Hinzuziehung der in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet diese auf ein angemessenes, den Anforderungen des Art. 28 DSGVO entsprechendes Datenschutzniveau. Über beabsichtigte Änderungen (Hinzuziehung oder Austausch) informiert der Auftragnehmer den Auftraggeber rechtzeitig; der Auftraggeber kann aus wichtigem datenschutzrechtlichen Grund widersprechen.

Die Kern-Verarbeitung erfolgt in Deutschland bzw. der EU. Soweit einzelne, vom Auftraggeber aktivierte Dienste eine Übermittlung in ein Drittland bewirken, erfolgt diese nur auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien (insbesondere Standardvertragsklauseln) oder einer Ausnahme nach Art. 49 DSGVO.

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und unterstützt ihn bei dessen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, im erforderlichen und betrieblich zumutbaren Umfang. Nachweise können auch durch aktuelle Bescheinigungen, Zertifizierungen oder Berichte erbracht werden.

Nach Abschluss der Verarbeitung löscht der Auftragnehmer die personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Dem Auftraggeber stehen vor Beendigung Export-Funktionen zur Verfügung. Die Löschung der Daten erfolgt regelmäßig innerhalb von 30 Tagen nach Vertragsbeendigung; Backups werden nach einem Rotationszyklus überschrieben.

Für die Haftung gelten die Regelungen des Hauptvertrags (AGB bzw. Individualvertrag) sowie Art. 82 DSGVO. Im Falle von Widersprüchen zwischen dieser AVV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieser AVV vor. Es gilt deutsches Recht.

• Vertraulichkeit: Zugriffs- und Berechtigungskonzept, strikte Mandantentrennung, Verschlüsselung sensibler Zugangsdaten,
• Integrität: TLS-Verschlüsselung der Übertragung, Protokollierung sicherheitsrelevanter Ereignisse, Virenscan von Uploads,
• Verfügbarkeit und Belastbarkeit: Hosting in deutschen Rechenzentren, regelmäßige Backups, Firewall und Rate Limiting,
• Verfahren zur Überprüfung: regelmäßige Sicherheitsupdates, Wiederherstellbarkeit aus Backups, interne Kontrolle der Maßnahmen,
• Authentifizierung: Passwort-Hashing, tokenbasierte Anmeldung, optionale Zwei-Faktor-Authentifizierung.

Stand: Juli 2026.

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Hosting von Anwendung, Datenbank und Dateispeicher sowie Betrieb des Video-Servers für die Bild-/Tonübertragung digitaler Eigentümerversammlungen (selbst betriebene Infrastruktur, Serverstandort Deutschland).
• Mistral AI SAS, Paris, Frankreich (EU): KI-gestützte Funktionen (OCR, Assistenz, Dokumentenanalyse).
• BANKSapi Technology GmbH, Pettenkoferstr. 35, 80336 München, Deutschland: Kontoinformations- und Zahlungsauslösedienst (Bankanbindung).
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland (EU): Zahlungsabwicklung des Abonnements.
• Deutsche Post AG, Bonn, Deutschland: postalischer Versand (E-POST).
• LetterXpress (A&O Fischer GmbH & Co. KG), Maybachstraße 9, 21423 Winsen (Luhe), Deutschland: Druck- und Briefversand.
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland: Versand von System-E-Mails (Gmail / Google Workspace); möglicher Drittlandtransfer in die USA (EU-US Data Privacy Framework, Standardvertragsklauseln).
• Nur bei aktiver Verbindung durch den Auftraggeber: Google Ireland Limited (Drive/Calendar), pCloud AG (Schweiz), DocuWare GmbH (Deutschland), Nevi (workingbits GmbH, Bonn), Immobilien Scout GmbH (Deutschland), DATEV/lexoffice (Export).