Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: August 2026

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AV-Vertrag") konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen bestehenden Vertrag über die Nutzung der Software „Nodely" (nachfolgend „Hauptvertrag"). Er gilt für alle Tätigkeiten, bei denen der Auftragnehmer personenbezogene Daten für den Auftraggeber verarbeitet.

§ 1 Parteien und Rollen

(1) Auftraggeber (Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO) ist der Kunde, der die Software nutzt.

(2) Auftragnehmer (Auftragsverarbeiter i. S. d. Art. 4 Nr. 8 DSGVO) ist die VRAH GmbH, Ziegelgasse 5b, 68307 Mannheim.

(3) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich weisungsgebunden.

§ 2 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung und des Betriebs der Software zur Immobilienverwaltung.

(2) Die Dauer entspricht der Laufzeit des Hauptvertrages.

§ 3 Art, Zweck und Umfang der Verarbeitung

Verarbeitet werden Daten, die der Auftraggeber in die Software einstellt oder die dort im Rahmen der Nutzung entstehen. Die Verarbeitung umfasst insbesondere Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an vom Auftraggeber bestimmte Empfänger und Löschen.

§ 4 Art der Daten

• Stammdaten (Namen, Anschriften, Kontaktdaten)
• Vertragsdaten (Mietverträge, Konditionen, Laufzeiten)
• Abrechnungs- und Zahlungsdaten (Forderungen, Zahlungen, Bankverbindungen)
• Verbrauchsdaten (Zählerstände, Ablesungen)
• Korrespondenz und Dokumente
• Nutzungsdaten der Anwendung (Anmeldungen, Protokolle)

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Stellt der Auftraggeber solche Daten dennoch ein, geschieht dies in seiner Verantwortung.

§ 5 Kreis der betroffenen Personen

• Mieterinnen und Mieter sowie deren Haushaltsangehörige
• Mietinteressenten
• Eigentümer und Verwaltungsbeiräte
• Dienstleister, Lieferanten und Handwerker
• Beschäftigte des Auftraggebers als Nutzer der Software

§ 6 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Software durch den Auftraggeber gilt als Weisung.

(2) Einzelweisungen erfolgen in Textform an kontakt@vrah.de.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.

§ 7 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut gemacht wurden.

§ 8 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragnehmer trifft insbesondere folgende Maßnahmen:

• Zutrittskontrolle: Betrieb in einem zertifizierten Rechenzentrum in Deutschland mit Zutrittssicherung rund um die Uhr.
• Zugangskontrolle: persönliche Benutzerkonten, Passwortschutz, optionale Zwei-Faktor-Authentisierung.
• Zugriffskontrolle: abgestufte Rollen- und Rechtevergabe; Beschränkung des Dokumentenzugriffs nach Mandant und Aufgabe.
• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (TLS).
• Eingabekontrolle: Protokollierung von Änderungen und Dokumentzugriffen.
• Verfügbarkeitskontrolle: arbeitstägliche Sicherung, räumlich getrennte Aufbewahrung der Sicherungen, regelmäßige Rückhol-Proben.
• Trennungskontrolle: mandantenweise Trennung der Daten auf Datenbankebene.
• Belastbarkeit: Überwachung des Betriebs, automatische Prüfungen der Datenintegrität.

Der Auftragnehmer darf die Maßnahmen fortentwickeln, sofern das Schutzniveau nicht unterschritten wird.

§ 9 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen — Betrieb der Server (Rechenzentrum Nürnberg, Deutschland).

(2) Weitere Unterauftragsverarbeiter teilt der Auftragnehmer mindestens vier Wochen vor dem Einsatz in Textform mit. Der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall kann jede Partei den Hauptvertrag zum vorgesehenen Wechselzeitpunkt kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 10 Unterstützungspflichten

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO), insbesondere durch Auskunfts-, Export- und Löschfunktionen der Software.

(2) Er unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

§ 11 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

§ 12 Kontrollrechte

(1) Der Auftraggeber kann sich von der Einhaltung dieses Vertrages überzeugen. Der Auftragnehmer erteilt hierzu Auskunft und legt geeignete Nachweise vor.

(2) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Auftragnehmer kann für den Aufwand eine angemessene Vergütung verlangen.

§ 13 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrages stellt der Auftragnehmer die Daten für 30 Tage zum Export bereit.

(2) Danach löscht er die Daten einschließlich vorhandener Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Für die Dauer einer Aufbewahrungspflicht wird die Verarbeitung eingeschränkt.

(3) Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben.

§ 14 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland statt. Eine Verarbeitung in einem Drittland erfolgt nur nach vorheriger Zustimmung des Auftraggebers und bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.

§ 15 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser AV-Vertrag dem Hauptvertrag in datenschutzrechtlichen Fragen vor.

(2) Änderungen bedürfen der Textform.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.