Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

zwischen dem Kunden von vermietnomade (Verantwortlicher, „Auftraggeber“)

und der Good Monday GmbH, Moorblick 5, 24329 Dannau, HRB 25438 KI, Amtsgericht Kiel (Auftragsverarbeiter, „Auftragnehmer“).

1. Gegenstand und Dauer

Der Auftragnehmer betreibt die webbasierte Software vermietnomade zur Verwaltung von Immobilien. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers.

Dieser Vertrag gilt, solange der Auftraggeber vermietnomade nutzt. Er endet mit der Löschung der Daten nach Ziffer 10.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst Erheben, Speichern, Ordnen, Auswerten, Bereitstellen, Übermitteln und Löschen von Daten. Sie dient folgenden Zwecken:

• Verwaltung von Objekten, Einheiten, Mietverhältnissen und Wohnungseigentümergemeinschaften,
• Führen von Mietkonten einschließlich Import von Kontoumsätzen,
• Erstellen von Betriebs- und Heizkostenabrechnungen, Mahnungen, Schreiben und Auswertungen,
• Versand von Dokumenten per E-Mail und, auf Veranlassung des Auftraggebers, per Post,
• Bereitstellung des Mieterportals,
• Datensicherung.

3. Art der Daten und Kategorien betroffener Personen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Auftraggeber erfasst sie nicht in Freitextfeldern oder Dokumenten, es sei denn, er hat dafür eine eigene Rechtsgrundlage.

4. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gilt die Bedienung der Software durch den Auftraggeber und seine Benutzer. Weitere Weisungen erteilt der Auftraggeber in Textform an info@vermietnomade.de.

Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO).

5. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Sie greifen nur auf Daten des Auftraggebers zu, soweit das für Betrieb, Support oder Fehlerbehebung erforderlich ist. Meldet sich ein Administrator für den Support mit der Ansicht eines Benutzers an, wird das mit Zeitpunkt und Administrator im Änderungsprotokoll des Auftraggebers vermerkt.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit:
  • Verschlüsselte Übertragung per TLS.
  • Mandantentrennung in der Anwendung.
  • Rollenbasierte Zugriffsrechte (Inhaber, Sachbearbeiter, lesende Rollen).
  • Passwörter nur als Hash gespeichert.
  • Zwei-Faktor-Anmeldung für alle Nutzer verfügbar und für Plattform-Administratoren verpflichtend.
  • Begrenzung von Anmeldeversuchen.
• Integrität:
  • Änderungsprotokoll mit Benutzer, Zeitpunkt und IP-Adresse.
  • Schutz vor Formularfälschung (CSRF).
  • Belege und Dokumente nicht öffentlich gespeichert, Auslieferung nur nach Berechtigungsprüfung.
• Verfügbarkeit:
  • Hosting in einem Rechenzentrum in Deutschland.
  • Tägliche Datensicherung, die letzten 14 Sicherungen werden aufbewahrt.
• Belastbarkeit und Wiederherstellung: Die Wiederherstellung aus der Datensicherung ist dokumentiert.
• Überprüfung: Die Maßnahmen werden regelmäßig und bei wesentlichen Änderungen der Software überprüft.

Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Der Auftragnehmer verpflichtet die Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags.

Über einen geplanten Wechsel oder neuen Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 4 Wochen vorher per E-Mail oder in der Anwendung. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine Einigung erzielt werden, darf er den Nutzungsvertrag außerordentlich kündigen.

8. Verarbeitung außerhalb der EU

Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nicht statt.

9. Unterstützung und Meldepflichten

Der Auftragnehmer unterstützt den Auftraggeber in folgenden Fällen:

• Anfragen betroffener Personen (Art. 15 bis 22 DSGVO): Die meisten Daten kann der Auftraggeber in der Software selbst einsehen, berichtigen, exportieren und löschen. Erreicht eine solche Anfrage den Auftragnehmer, leitet er sie unverzüglich weiter.
• Verletzungen des Schutzes personenbezogener Daten: Der Auftragnehmer meldet sie dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
• Datenschutz-Folgenabschätzung und Konsultation der Aufsichtsbehörde (Art. 35, 36 DSGVO): Der Auftragnehmer stellt die erforderlichen Informationen bereit.

10. Löschung und Rückgabe

Der Auftraggeber kann seine Daten während der Laufzeit jederzeit exportieren, zum Beispiel als DATEV-Export, PDF-Dokumente und Belege.

Nach Vertragsende löscht der Auftragnehmer die Daten des Auftraggebers innerhalb von 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. In den Datensicherungen werden sie mit deren regulärer Rotation nach spätestens 14 weiteren Tagen gelöscht.

Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

11. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Er ermöglicht Überprüfungen, auch Inspektionen, durch den Auftraggeber oder einen beauftragten Prüfer. Diese sind mit angemessener Frist anzukündigen und finden während der üblichen Geschäftszeiten statt.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Nutzungsbedingungen von vermietnomade.

Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Der Vertrag wird elektronisch geschlossen, indem der Auftraggeber in der Anwendung zustimmt. Version und Zeitpunkt der Zustimmung werden gespeichert.

Stand: Oktober 2026