Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Vertragsparteien

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden, der immonum nutzt (Verantwortlicher, „Kunde“), und KIWAX Thomas Wachsmuth, Inhaber: Thomas Wachsmuth, Kantstr. 27, 10623 Berlin (E-Mail: info@kiwax.de; Auftragsverarbeiter, „Anbieter“). Er ist Bestandteil des Vertrags über die Nutzung von immonum nach den Allgemeinen Geschäftsbedingungen (AGB, „Hauptvertrag“) und kommt mit diesem zustande.

§ 1 Gegenstand und Dauer

(1) Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit der Kunde und seine Benutzer solche Daten in immonum eingeben, hochladen oder dort erzeugen.

(2) Der Vertrag gilt für die Laufzeit des Hauptvertrags. Die Pflichten des Anbieters gelten darüber hinaus, bis alle Daten nach § 11 gelöscht sind.

§ 2 Art und Zweck der Verarbeitung

(1) Art der Verarbeitung: Speichern, Ordnen, Auslesen, Abfragen, Verwenden und Darstellen der Daten, ihre Ausgabe als PDF und Export, die Übermittlung an die Empfänger, die der Kunde bestimmt (etwa über Kunden-Links oder E-Mail), sowie Sichern, Wiederherstellen und Löschen.

(2) Zweck: Bereitstellung von immonum als Webanwendung, Hosting und Speicherung der Daten, Datensicherung, Wartung und Betrieb sowie Unterstützung des Kunden (Support) bei Fragen und Störungen.

(3) Der Anbieter greift auf Inhalte der Firma des Kunden nur zu, soweit es für diese Zwecke nötig ist, etwa auf Bitte des Kunden im Support. Wechselt der Anbieter dafür in die Firma des Kunden, wird das protokolliert; die Administratoren des Kunden sehen diese Einträge.

(4) Der Anbieter verwendet die Daten nicht für eigene Zwecke und gibt sie nur nach diesem Vertrag an Dritte weiter.

§ 3 Arten der Daten und betroffene Personen

(1) Arten der Daten: – Stamm- und Kontaktdaten von Interessenten und Kunden des Kunden und ihrer Ehe- oder Lebenspartner (Anrede, Titel, Name, Anschrift, Telefon, E-Mail); – Steuer- und Einkommensangaben (zu versteuerndes Einkommen und seine Entwicklung, Art der Veranlagung, Kirchensteuermerkmal); – Vermögen und Verbindlichkeiten; – Kontaktverlauf, Notizen, Wiedervorlagen und Suchprofile; – Reservierungen, Verkaufsvorgänge, Verkäufe und Provisionen; – Dateien, die der Kunde hochlädt, sowie Berechnungen und PDFs; – Daten der Benutzer des Kunden (Name, Benutzername, E-Mail-Adresse, Rolle, Anmeldedaten in gehashter Form, Einträge im Protokoll).

(2) Das Kirchensteuermerkmal lässt auf die Zugehörigkeit zu einer Religionsgemeinschaft schließen. Es gehört damit zu den besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO. Der Kunde stellt sicher, dass er es nach Art. 9 Abs. 2 DSGVO verarbeiten darf, und gibt es nur ein, wenn er es für die Berechnung braucht. Weitere besondere Kategorien, etwa Gesundheitsdaten, sieht immonum nicht vor; gibt der Kunde sie trotzdem ein, etwa in Notizen oder Dateien, ist er für die Rechtmäßigkeit verantwortlich.

(3) Betroffene Personen: Interessenten und Kunden des Kunden sowie deren Ehe- oder Lebenspartner, Mitarbeiter des Kunden und externe Vertriebspartner des Kunden.

§ 4 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind dieser Vertrag, der Hauptvertrag, die Nutzung der Funktionen von immonum durch den Kunden und seine Benutzer sowie einzelne Weisungen in Textform.

(2) Ist der Anbieter nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er dem Kunden das vorher mit, sofern dieses Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

(4) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten beim Datenschutz feststellt.

§ 5 Vertraulichkeit

(1) Der Anbieter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und die mit den Vorschriften zum Datenschutz vertraut sind. Die Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit.

§ 6 Sicherheit der Verarbeitung

(1) Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.

(2) Die Maßnahmen entwickeln sich mit dem Stand der Technik weiter. Der Anbieter darf sie durch gleichwertige oder bessere ersetzen; das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen hält er in Anlage 1 fest.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, Unterauftragsverarbeiter hinzuzuziehen (Art. 28 Abs. 2 DSGVO). Bei Vertragsschluss sind das die in Anlage 2 genannten.

(2) Der Anbieter informiert den Kunden mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Muss ein Dienstleister kurzfristig ersetzt werden, etwa weil er ausfällt, informiert der Anbieter so früh wie möglich.

(3) Der Kunde kann der Änderung innerhalb von zwei Wochen nach Zugang der Information in Textform widersprechen. Widerspricht er, verzichtet der Anbieter für ihn auf die Änderung; ist das nicht zumutbar, können beide Seiten den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

(4) Der Anbieter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter dem Kunden dafür (Art. 28 Abs. 4 DSGVO).

§ 8 Ort der Verarbeitung

(1) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder in anderen Vertragsstaaten des Abkommens über den Europäischen Wirtschaftsraum statt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Kunden in Textform und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 9 Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Kapitel III DSGVO) zu beantworten. Vieles kann der Kunde selbst in immonum erledigen: Daten ansehen und exportieren, berichtigen und endgültig löschen.

(2) Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter. Er beantwortet sie nur auf Weisung des Kunden.

(3) Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 10 Meldung von Verletzungen

(1) Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem er davon Kenntnis erlangt hat, in Textform an die ihm bekannte Kontaktadresse des Kunden.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Was noch nicht bekannt ist, reicht der Anbieter unverzüglich nach.

(3) Der Anbieter ergreift unverzüglich die nötigen Maßnahmen, um die Daten zu schützen und mögliche nachteilige Folgen zu mindern. Er unterstützt den Kunden bei der Meldung an die Aufsichtsbehörde und bei der Benachrichtigung der betroffenen Personen.

§ 11 Löschung und Rückgabe

(1) Bis zum Ende der Laufzeit kann der Kunde alle Daten seiner Firma selbst herunterladen (Firmensicherung, CSV-Exporte); damit erhält er sie zurück. Innerhalb der Frist nach Absatz 2 stellt der Anbieter dem Kunden auf Anfrage eine Firmensicherung bereit.

(2) 30 Tage nach dem Ende des Hauptvertrags löscht der Anbieter alle Daten der Firma des Kunden endgültig, soweit nicht nach dem Recht der Union oder der Mitgliedstaaten eine Pflicht zur Speicherung besteht.

(3) Kopien in Sicherungen werden mit der regelmäßigen Sicherungsrotation gelöscht: Von den automatischen Sicherungen, die immonum einmal täglich anlegt, bleiben nur die 7 neuesten erhalten; ältere werden gelöscht, in der Regel also nach 7 Tagen. Sicherheitskopien vor Programm-Updates und die Kopie einer gelöschten Firma werden nach 30 Tagen gelöscht. Bis dahin werden die Kopien nur zur Wiederherstellung nach einem Ausfall verwendet; muss eine Sicherung eingespielt werden, löscht der Anbieter die Daten danach erneut. Sicherungen, die der Anbieter zusätzlich außerhalb des Servers aufbewahrt, unterliegen denselben Pflichten und werden mit ihrer Rotation gelöscht.

(4) Einträge im Protokoll, die die Firma betreffen (Anmeldungen, Änderungen an Benutzern, Löschungen), bleiben als Nachweis bis zum Ablauf ihrer Aufbewahrungsfrist von 2 Jahren erhalten und werden dann automatisch gelöscht.

(5) Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

§ 12 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1.

(2) Der Anbieter ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und trägt dazu bei. Kontrollen vor Ort finden nach Ankündigung mit angemessener Frist zu den üblichen Geschäftszeiten statt, ohne den Betrieb unverhältnismäßig zu stören. Prüfer müssen zur Vertraulichkeit verpflichtet sein und dürfen nicht im Wettbewerb mit dem Anbieter stehen.

(3) Das Rechenzentrum betreibt der Hosting-Anbieter (Anlage 2). Kontrollen dort richten sich nach dessen Regeln; der Anbieter stellt dafür die Nachweise des Hosting-Anbieters bereit, soweit er sie erhält.

(4) Jede Seite trägt ihre eigenen Kosten einer Kontrolle.

(5) Der Anbieter informiert den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie die Verarbeitung für den Kunden betreffen.

§ 13 Haftung

(1) Art. 82 DSGVO bleibt unberührt.

(2) Im Übrigen gilt für die Haftung zwischen Kunde und Anbieter § 13 der AGB.

§ 14 Schlussbestimmungen

(1) Widersprechen sich dieser Vertrag und die AGB, geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen dieses Vertrags werden nur mit Zustimmung beider Seiten in Textform wirksam. § 6 Abs. 2 (Weiterentwicklung der Maßnahmen) und § 7 (Unterauftragsverarbeiter) bleiben unberührt.

(3) Für Erklärungen nach diesem Vertrag genügt die Textform. Im Übrigen gelten die AGB, insbesondere zu anwendbarem Recht und Gerichtsstand.

(4) Kontakt für Weisungen, Meldungen und Fragen zum Datenschutz: info@kiwax.de.

Anlage 1: Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die Maßnahmen nach Art. 32 DSGVO, die immonum und der Anbieter umsetzen.

Zutrittskontrolle: Der Server steht im Rechenzentrum des Hosting-Anbieters (Anlage 2). Für den physischen Schutz – Zutritt, Brandschutz, Stromversorgung und Klimatisierung – gelten dessen Maßnahmen.

Zugangskontrolle: Zugang nur mit persönlichem Benutzerkonto. Passwörter haben mindestens 10 Zeichen und werden nur als Argon2-Hash gespeichert. Nach 5 Fehlversuchen in Folge wird ein Konto für 15 Minuten gesperrt; zusätzlich bremst eine Drossel je IP-Adresse wiederholte Anmeldeversuche. Die Zwei-Faktor-Anmeldung mit Einmalcodes aus einer Authenticator-App (TOTP) steht allen Benutzern zur Verfügung; jede Firma kann sie für ihre Administratoren verpflichtend machen. Ein Gerät kann auf Wunsch des Benutzers 30 Tage als vertraut gelten. Sitzungen enden nach 12 Stunden oder beim Abmelden. Das Sitzungscookie ist für Skripte nicht lesbar (HttpOnly) und wird im Betrieb über HTTPS nur verschlüsselt übertragen (Secure).

Zugriffskontrolle: Rollen (Administrator, Berater), Freigaben für Projekte und Gruppen legen fest, wer welche Daten sieht und ändert. Berater sehen nur die Projekte, die für sie freigegeben sind, und die Kunden, die sie betreuen. Datensicherungen können nur Administratoren herunterladen.

Trennungskontrolle: Die Daten jeder Firma sind voneinander getrennt; jede Anfrage wird auf die Firma des angemeldeten Benutzers geprüft. Ein automatischer Test ruft bei jeder Änderung am Programm alle Seiten mit Kennungen einer fremden Firma auf und schlägt fehl, wenn fremde Daten erreichbar sind. Der Demo-Zugang ist eine eigene Firma.

Weitergabekontrolle: Betrieb nur über HTTPS (TLS-Verschlüsselung), mit HSTS. Eine Inhaltssicherheitsrichtlinie (CSP) lässt nur Skripte vom eigenen Server zu; immonum bindet im Browser keine Drittdienste ein (keine Analyse-, Werbe- oder Schriftartendienste) und lässt sich nicht in fremde Seiten einbetten. Kunden-Links enthalten einen langen Zufallsschlüssel, laufen nach 7, 30 oder 90 Tagen ab, lassen sich widerrufen und werden von Suchmaschinen nicht aufgenommen.

Eingabekontrolle: Ein Protokoll hält sicherheitsrelevante Vorgänge mit Zeitpunkt und handelndem Benutzer fest: Anmeldungen, Kontosperren, Anlegen und Ändern von Benutzern, Zurücksetzen von Passwörtern, Zugriffe des Anbieters auf eine Firma, Herunterladen von Sicherungen und endgültige Löschungen. IP-Adressen und Passwörter werden nicht protokolliert. Administratoren sehen die Einträge ihrer Firma. Die Einträge werden nach 2 Jahren gelöscht.

Verfügbarkeit und Wiederherstellung: immonum legt einmal täglich automatisch eine Sicherung der Datenbank an, prüft sie auf Fehler und bewahrt die 7 neuesten auf. Vor jeder Änderung der Datenbankstruktur bei einem Update entsteht zuerst eine geprüfte Kopie (30 Tage aufbewahrt); misslingt sie, wird das Update nicht eingespielt. Der Anbieter wird gewarnt, wenn die letzte automatische Sicherung älter als 36 Stunden ist. Administratoren können jederzeit eine Firmensicherung und CSV-Exporte herunterladen; eine Firma lässt sich einzeln aus ihrer Firmensicherung wiederherstellen.

Regelmäßige Überprüfung: Jede Änderung am Programm durchläuft automatische Prüfungen (Formatierung, statische Analyse, automatische Tests einschließlich des Trenntests). Updates spielt der Anbieter zeitnah ein.

Organisatorische Maßnahmen: Verpflichtung der eingesetzten Personen auf Vertraulichkeit (§ 5); Zugriffe des Anbieters auf die Daten einer Firma nur für Betrieb und Support, protokolliert und für die Administratoren der Firma sichtbar.

Anlage 2: Unterauftragsverarbeiter

1. Hosting: Host Europe GmbH, Hansestr. 111, 51149 Köln. Leistung: Betrieb des Servers im Rechenzentrum, Speicherung der Datenbank, der Dateien und der Sicherungen. Ort der Verarbeitung: EU bzw. EWR.

2. E-Mail-Versand: Benachrichtigungen aus immonum (etwa Erinnerungen an Wiedervorlagen, Rückrufwünsche aus Kunden-Links und Links zum Zurücksetzen des Passworts) versendet der Anbieter über seinen Mailserver – beim Hosting-Anbieter nach Nr. 1 oder bei einem anderen Dienstleister in der EU, den der Anbieter auf Anfrage nennt. Die Nachrichten können Namen von Endkunden enthalten.

Keine Unterauftragsverarbeiter des Anbieters sind: – Lagekarten: Für die Lagekarten zu Projekten sendet der Server nur die Projektanschrift an den Geokodierdienst photon.komoot.io (Photon von komoot, Daten von OpenStreetMap) und ruft Kartenausschnitte bei der OpenStreetMap Foundation (tile.openstreetmap.org) ab. Personenbezogene Daten von Endkunden werden dabei nicht übermittelt. – Kalender- und E-Mail-Anbieter der Benutzer: Abonniert ein Benutzer seine Wiedervorlagen als Kalender oder erhält er E-Mails, gelangen die Inhalte zu den Anbietern, die der Kunde und seine Benutzer selbst gewählt haben. Diese handeln nicht im Auftrag des Anbieters.

Stand: Oktober 2026