Vereinbarung zur Auftragsverarbeitung

1. Parteien und Gegenstand

(1) Diese AVV besteht zwischen dem Kunden als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend „Auftraggeber“) und Locato, Inh. Lukas Mayr, Riesenburgstraße 16, 81249 München als Auftragsverarbeiterin im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend „Locato“).

(2) Gegenstand der Verarbeitung ist die Bereitstellung von Locato Verwaltung und Locato Ferienwohnung als Software über das Internet nach Maßgabe des Hauptvertrags. Locato verarbeitet die personenbezogenen Daten des Auftraggebers ausschließlich zu dem Zweck, diese Leistung zu erbringen.

(3) Die Verarbeitung findet ausschließlich in der Europäischen Union und im Europäischen Wirtschaftsraum statt; Server und Speicherung erfolgen in Deutschland. Zur Ausnahme siehe Abschnitt 10.

(4) Diese AVV geht abweichenden Regelungen zum Datenschutz in anderen Vereinbarungen zwischen den Parteien vor, sofern die Parteien nicht ausdrücklich etwas anderes vereinbaren.

2. Umfang der Verarbeitung (Anlage 1)

(1) Art der Verarbeitung. Locato verarbeitet die Daten fortlaufend in elektronischer Form. Zulässige Verarbeitungsvorgänge sind Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die vom Auftraggeber bestimmten Empfänger, Einschränken, Löschen und Vernichten.

(2) Zweck. Betrieb der Software, Speicherung und Sicherung der Daten, Erzeugung der vom Auftraggeber angeforderten Dokumente und Auswertungen, Zustellung der vom Auftraggeber veranlassten Nachrichten, Störungsbeseitigung und Support.

(3) Dauer. Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags und anschließend bis zur Löschung oder Rückgabe nach Abschnitt 12.

a) Locato Verwaltung

Kategorien betroffener Personen:

• Wohnungseigentümer und Bevollmächtigte
• Mieter und Mitbewohner
• Mietinteressenten (Selbstauskunft)
• Mitglieder des Verwaltungsbeirats
• Dienstleister, Handwerker und Lieferanten
• Mitarbeitende des Kunden mit Systemzugang
• Zahlungsbeteiligte aus Kontoumsätzen
• Absender eingehender E-Mails

Kategorien personenbezogener Daten:

• Stammdaten (Anrede, Name, Firmenname, Anschrift)
• Kontaktdaten (E-Mail, Telefon, Mobiltelefon)
• Bankdaten (IBAN, BIC, Bankname, SEPA-Mandate)
• Vertragsdaten (Miet- und Verwaltungsverträge, Kaution, Mietanpassungen, Eigentumsanteile)
• Abrechnungs- und Zahlungsdaten (Sollstellungen, offene Posten, Mahnstufen, Rückstände, Abrechnungsergebnisse)
• Verbrauchsdaten (Zählernummern und Zählerstände)
• Angaben aus der Mieterselbstauskunft (Geburtsdatum, Haushaltsgröße, Nettoeinkommen, Arbeitgeber, Beschäftigungsart, Haustiere, Raucherstatus)
• Versammlungsdaten (Anwesenheit, Vollmachten, Stimmgewichte, Beschlüsse)
• Vorgangsdaten (Anliegen und Schadensmeldungen, Kommentare, Fotos, Wartungshistorie)
• Dokumente und Uploads einschließlich Übergabeprotokollen mit Unterschriftenbild
• Kommunikationsdaten (versandte E-Mails, eingegangene E-Mails mit Anhängen, Lesebestätigungen im Dokumentenpostfach)
• Nutzungs- und Protokolldaten (Anmeldungen, Änderungsprotokoll mit IP-Adresse)
• Freitextangaben in Notiz- und Beschreibungsfeldern

b) Locato Ferienwohnung

Kategorien betroffener Personen:

• Gäste und Buchende
• Personen, die über die öffentliche Gästemappe eine Leistung anfragen, ohne Gast zu sein
• Absender eingehender E-Mails an das angebundene Postfach des Kunden
• Mitarbeitende des Kunden mit Systemzugang
• Steuerberatung des Kunden mit Lesezugang

Kategorien personenbezogener Daten:

• Stammdaten (Vor- und Nachname, Anschrift, Land, Sprache)
• Kontaktdaten (E-Mail, Telefon)
• Buchungsdaten (An- und Abreise, Personenzahl, Kanal, Buchungsreferenz, Zahlungsstatus)
• Rechnungsdaten (Empfängername, Empfängeranschrift, Positionen, Beträge)
• Kommunikationsdaten (Nachrichteninhalte im Postfach, geplante und versandte Nachrichten)
• Eingehende E-Mails aus dem angebundenen Postfach des Kunden (Absenderadresse, Absendername, Betreff und Nachrichtentext; Anhänge werden nicht gespeichert)
• Anfragen aus der öffentlichen Gästemappe (Name, E-Mail, Telefon, Wunschtermin, Anzahl und Freitext)
• Vom Buchungsportal empfangene Gastkontaktdaten (Vor- und Nachname, E-Mail, Telefon)
• Nutzungs- und Protokolldaten (Anmeldungen, Änderungsprotokoll mit IP-Adresse)
• Freitextangaben in Notizfeldern zu Gästen und Buchungen

c) Besondere Kategorien

Eine Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Gegenstand dieser AVV und für den Betrieb von Locato nicht erforderlich. Die Software erhebt solche Daten nicht. Trägt der Auftraggeber sie dennoch in Freitextfelder oder Uploads ein, geschieht dies in seiner Verantwortung; er stellt sicher, dass er dafür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO hat.

3. Weisungsrecht

(1) Locato verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, Locato ist nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilt Locato dem Auftraggeber vor der Verarbeitung die rechtlichen Anforderungen mit, sofern das Gesetz dies nicht verbietet.

(2) Die anfänglichen Weisungen ergeben sich aus dem Hauptvertrag, dieser AVV sowie den Einstellungen, die der Auftraggeber in der Software vornimmt. Weitere Weisungen erteilt er in Textform an datenschutz@locato.immo; mündliche Weisungen bestätigt er unverzüglich in Textform.

(3) Hält Locato eine Weisung für rechtswidrig, teilt sie dies dem Auftraggeber unverzüglich mit und darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(4) Kosten, die dem Auftragsverarbeiter durch Weisungen entstehen, die über den im Hauptvertrag vereinbarten Leistungsumfang hinausgehen, trägt der Auftraggeber nach vorheriger Ankündigung.

4. Pflichten von Locato

Locato verpflichtet sich:

• die Daten nur im Rahmen dieser AVV und der Weisungen des Auftraggebers zu verarbeiten und sie nicht für eigene Zwecke zu nutzen,
• nur Personen mit der Verarbeitung zu befassen, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorgaben vertraut gemacht worden sind (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO),
• die Sicherheit der Verarbeitung nach Art. 32 DSGVO herzustellen und aufrechtzuerhalten (Abschnitt 6),
• den Auftraggeber bei der Wahrnehmung der Betroffenenrechte zu unterstützen (Abschnitt 7),
• den Auftraggeber bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO zu unterstützen, soweit dies unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen möglich ist,
• Verletzungen des Schutzes personenbezogener Daten unverzüglich zu melden (Abschnitt 8),
• den Auftraggeber unverzüglich zu informieren, wenn eine Aufsichtsbehörde oder eine Ermittlungsbehörde bei Locato in Bezug auf diese Verarbeitung tätig wird,
• nicht ohne Weisung des Auftraggebers mit Aufsichtsbehörden, betroffenen Personen oder Medien über Vorfälle zu kommunizieren, die Daten des Auftraggebers betreffen, es sei denn, Locato ist dazu rechtlich verpflichtet,
• die internen Prozesse und die getroffenen Maßnahmen regelmäßig zu überprüfen und die Einhaltung nachweisen zu können (Abschnitt 11),
• ein Verzeichnis aller Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen.

5. Pflichten des Auftraggebers

Der Auftraggeber ist verantwortlich dafür:

• dass für jede Verarbeitung, die er über Locato durchführt, eine Rechtsgrundlage besteht,
• die betroffenen Personen nach Art. 13 und 14 DSGVO über die Verarbeitung zu informieren — insbesondere Eigentümer, Mieter, Mietinteressenten, Beiräte, Dienstleister und Gäste,
• die Rechtmäßigkeit, Richtigkeit und Erforderlichkeit der von ihm erfassten Daten sicherzustellen und Datenminimierung zu beachten,
• die Zugänge seiner Nutzer und die vergebenen Rechte sorgfältig zu verwalten und Zugänge entzogener Mitarbeitender unverzüglich zu deaktivieren,
• Locato unverzüglich zu informieren, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt,
• zu entscheiden, welche Inhalte er über die öffentlich abrufbaren Funktionen von Locato Ferienwohnung bereitstellt, und dabei zu berücksichtigen, dass der Export-Kalender den Namen des Gastes enthalten kann,
• seine eigenen gesetzlichen Aufbewahrungspflichten zu erfüllen und die benötigten Unterlagen rechtzeitig auszugeben.

6. Technische und organisatorische Maßnahmen

(1) Locato trifft die zum Schutz der Daten erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Sie sind in der Anlage 2 (TOM) beschrieben, die Bestandteil dieser AVV ist.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Locato darf sie durch gleichwertige oder besser geeignete Maßnahmen ersetzen; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert Locato und teilt sie dem Auftraggeber mit.

(3) Ergibt eine Prüfung des Auftraggebers einen Anpassungsbedarf, setzen die Parteien diesen einvernehmlich um.

7. Rechte der betroffenen Personen

(1) Locato unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Mitteln dabei, Anträge betroffener Personen zu beantworten und umzusetzen.

(2) Locato beauskunftet, berichtigt, übermittelt, löscht oder schränkt die Daten nicht eigenmächtig ein, sondern nur nach dokumentierter Weisung des Auftraggebers.

(3) Wendet sich eine betroffene Person unmittelbar an Locato, leitet Locato das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst. Locato weist die betroffene Person darauf hin, dass der Auftraggeber verantwortlich ist.

(4) Der Auftraggeber kann folgende Rechte unmittelbar in der Software wahrnehmen:

• Auskunft (Art. 15): bei Locato Verwaltung eine kontaktbezogene Auskunft als Datei und als PDF; bei Locato Ferienwohnung eine gastbezogene Auskunft einschließlich Buchungen, Nachrichten und Rechnungen als Datei,
• Berichtigung (Art. 16): durch Bearbeiten der jeweiligen Datensätze,
• Löschung (Art. 17): durch Löschen des Datensatzes oder — wo Aufbewahrungspflichten entgegenstehen — durch die vorgesehene Anonymisierung, bei der die personenbezogenen Merkmale entfernt und die buchhalterisch erforderlichen Strukturdaten erhalten bleiben.

(5) Benötigt der Auftraggeber Unterstützung, die über diese Funktionen hinausgeht, leistet Locato sie. Der dadurch entstehende Aufwand wird nach der jeweils gültigen Preisliste vergütet.

8. Verletzungen des Schutzes personenbezogener Daten

(1) Locato meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, an die im Konto hinterlegte Adresse.

(2) Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die Kategorien und die annähernde Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Gegenmaßnahmen sowie eine Ansprechperson. Fehlende Angaben liefert Locato unverzüglich nach.

(3) Locato dokumentiert den Vorgang vollständig und stellt die Dokumentation dem Auftraggeber zur Verfügung, damit dieser seinen Pflichten nach Art. 33 und 34 DSGVO nachkommen kann.

(4) Locato ergreift unverzüglich die zur Begrenzung des Schadens erforderlichen Maßnahmen.

9. Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt Locato die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der Anlage 3 aufgeführt; der Auftraggeber genehmigt sie mit Abschluss des Hauptvertrags.

(2) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die Locato in Anspruch nimmt, ohne dass ein Zugang zu den Daten des Auftraggebers vorgesehen ist — etwa Telekommunikations-, Post-, Reinigungs- und Bewachungsleistungen. Auch für diese trifft Locato angemessene Vorkehrungen zum Schutz der Daten.

(3) Locato schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der die Anforderungen des Art. 28 Abs. 2 bis 4 DSGVO erfüllt und keine geringeren Pflichten vorsieht als diese AVV. Auf Anforderung legt Locato die datenschutzrelevanten Teile dieses Vertrags vor.

(4) Beabsichtigt Locato, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt Locato dies dem Auftraggeber mindestens 30 Tage vorher in Textform mit. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang der Mitteilung aus einem datenschutzrechtlichen Grund widersprechen.

(5) Widerspricht der Auftraggeber begründet, suchen die Parteien eine einvernehmliche Lösung. Ist die Leistung ohne den Unterauftragsverarbeiter nicht in zumutbarer Weise zu erbringen, kann jede Partei den Hauptvertrag zum geplanten Zeitpunkt des Wechsels kündigen. Bereits im Voraus gezahlte Vergütung erstattet Locato anteilig.

(6) Locato prüft die Einhaltung der technischen und organisatorischen Maßnahmen bei jedem Unterauftragsverarbeiter vor Beginn der Verarbeitung und danach in angemessenen Abständen, jeweils risikoangemessen.

10. Übermittlung in Drittländer

(1) Eine Verarbeitung der Daten des Auftraggebers findet ausschließlich in der Europäischen Union und im Europäischen Wirtschaftsraum statt. Eine Übermittlung in ein Drittland oder an eine internationale Organisation findet nicht statt.

(2) Das gilt auch für mittelbare Übermittlungen durch Bestandteile der Benutzeroberfläche: Schriftarten, Stylesheets und Skripte werden ausschließlich von eigenen Servern ausgeliefert. Ein Schriften-Netzwerk, ein Auslieferungsnetzwerk oder externe Skripte sind in keinem Produkt eingebunden.

(3) Weist der Auftraggeber eine Übermittlung in ein Drittland an — etwa durch Einrichten einer Schnittstelle zu einem dort ansässigen Anbieter —, ist er für die Einhaltung des Kapitels V der DSGVO verantwortlich.

(4) Soweit künftig eine Übermittlung in ein Drittland erforderlich wird, teilt Locato dies nach Abschnitt 9 Absatz 4 vorher mit und stellt die Zulässigkeit durch geeignete Garantien sicher, insbesondere durch einen Angemessenheitsbeschluss oder durch die Standarddatenschutzklauseln nach Art. 46 Abs. 2 lit. c DSGVO nebst Prüfung der Wirksamkeit im Empfängerland; die Garantien werden dann in Anlage 3 ausgewiesen.

11. Kontrollrechte und Nachweise

(1) Locato weist die Einhaltung der Pflichten nach Art. 28 DSGVO auf Anforderung nach. Der Nachweis erfolgt vorrangig durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen, durch Beantwortung eines Fragebogens des Auftraggebers oder durch Berichte unabhängiger Stellen und Prüfberichte.

(2) Genügen diese Nachweise nicht, kann der Auftraggeber Kontrollen vor Ort durchführen oder durch einen unabhängigen, nicht mit Locato im Wettbewerb stehenden Prüfer durchführen lassen. Der Auftraggeber kündigt eine Kontrolle mindestens 14 Tage vorher in Textform an, benennt Umfang und Ablauf und führt sie während der üblichen Geschäftszeiten so durch, dass der Betrieb nicht unangemessen beeinträchtigt wird. Der Prüfer verpflichtet sich zur Vertraulichkeit.

(3) Für den Aufwand einer Kontrolle nach Absatz 2 kann Locato eine angemessene Vergütung verlangen; sie wird vorab mitgeteilt. Für die erste Kontrolle im Kalenderjahr sowie für Kontrollen, die durch einen Vorfall bei Locato veranlasst sind, entsteht kein Entgelt.

(4) Auf Verlangen der Aufsichtsbehörde arbeitet Locato mit dieser zusammen und unterstützt den Auftraggeber, wenn dieser einer Kontrolle, einem Verfahren oder einem Anspruch im Zusammenhang mit dieser Verarbeitung ausgesetzt ist.

12. Löschung und Rückgabe

(1) Kopien der Daten erstellt Locato nur, soweit dies zur ordnungsgemäßen Verarbeitung erforderlich ist — insbesondere als Sicherungskopien — oder soweit gesetzliche Aufbewahrungspflichten dies verlangen.

(2) Nach Beendigung des Hauptvertrags bleibt der Zugang des Auftraggebers für 30 Tage in einem auf Lesen und Export beschränkten Umfang erhalten, damit er seine Daten sichern und seinen Aufbewahrungspflichten genügen kann.

(3) Anschließend wird der Zugang geschlossen und die Verarbeitung auf die Aufbewahrung beschränkt (Art. 18 DSGVO). Nach weiteren 90 Tagen löscht Locato die Daten, sofern der Auftraggeber nichts anderes anweist und keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Auftraggeber weist Locato mit Abschluss dieser AVV an, nach Ablauf dieser Fristen in dieser Weise zu verfahren. Vor jedem der beiden Schritte erhält der Auftraggeber eine Ankündigung in Textform.

(4) Daten in Sicherungskopien werden im Rahmen des Sicherungszyklus überschrieben. Bis dahin sind sie nicht in Benutzung, und der Zugriff ist streng beschränkt.

(5) Auf Anforderung des Auftraggebers bestätigt Locato die Löschung in Textform.

(6) Auf Wunsch des Auftraggebers verlängert Locato die Aufbewahrung gegen eine angemessene Vergütung oder gibt die Daten in einem gängigen, maschinenlesbaren Format heraus.

13. Haftung

(1) Für die Haftung gilt Art. 82 DSGVO. Die Haftungsregelung des Hauptvertrags gilt ergänzend, soweit sie nicht hinter Art. 82 DSGVO zurückbleibt; zwingende Ansprüche betroffener Personen bleiben in jedem Fall unberührt.

(2) Locato stellt den Auftraggeber von unmittelbaren Schäden frei, die diesem durch einen Verstoß von Locato oder eines ihrer Unterauftragsverarbeiter gegen diese AVV entstehen. Dies gilt nicht, soweit der Schaden auf der Befolgung einer Weisung des Auftraggebers beruht.

14. Laufzeit und Schlussbestimmungen

(1) Diese AVV gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange Locato Daten des Auftraggebers verarbeitet. Mit der Beendigung des Hauptvertrags endet auch diese AVV, unbeschadet des Abschnitts 12.

(2) Der Auftraggeber kann diese AVV mit sofortiger Wirkung kündigen, wenn Locato oder einer ihrer Unterauftragsverarbeiter erheblich gegen diese AVV oder gegen datenschutzrechtliche Vorschriften verstößt und den Verstoß nicht innerhalb einer angemessenen Frist abstellt.

(3) Jede Partei kann Änderungen vorschlagen, die aufgrund geänderter rechtlicher Anforderungen, behördlicher Vorgaben oder Entscheidungen erforderlich sind. Die Parteien wirken an einer entsprechenden Anpassung mit.

(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt; anstelle der unwirksamen Bestimmung gelten die gesetzlichen Vorschriften.

(5) Es gilt deutsches Recht. Für den Gerichtsstand gilt die Regelung des Hauptvertrags.

(6) Anfragen zu dieser AVV richtet der Auftraggeber an datenschutz@locato.immo.

Anlagen

• Anlage 1 — Umfang der Verarbeitung: Abschnitt 2 dieser AVV
• Anlage 2 — Technische und organisatorische Maßnahmen
• Anlage 3 — Genehmigte Unterauftragsverarbeiter