Zum Inhalt springen
Immonavo.de

Vereinbarung zur Auftragsverarbeitung

nach Art. 28 DSGVO für die Nutzung der Immobilienverwaltungssoftware Immonavo

Fassung 1 · Stand 07.11.2026 · in Kraft seit 7.11.2026

Als PDF herunterladen

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über die Nutzung der Software Immonavo (Hauptvertrag). Auftragnehmer ist Uwe Effenberger, Immonavo – Software für Immobilienverwaltung, Gutenbergallee 91e, 63538 Großkrotzenburg, Deutschland, E-Mail: mail@immonavo.de, Telefon: 06186 9142090, USt-IdNr.: DE223634728. Auftraggeber ist der Kunde, der diese Vereinbarung im Kundenkonto abschließt. Sie gilt für alle Tätigkeiten, bei denen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet.

§ 1 Gegenstand und Dauer

  1. (1)
    Gegenstand dieser Vereinbarung ist die Bereitstellung, der Betrieb, die Wartung und der Support der Software Immonavo als cloudbasierter Online-Dienst einschließlich der Speicherung und Verarbeitung der vom Auftraggeber eingestellten personenbezogenen Daten.
  2. (2)
    Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers gemäß Art. 28 DSGVO. Der Auftraggeber bleibt für die Rechtmäßigkeit der von ihm veranlassten Datenverarbeitung verantwortlich, soweit die gesetzlichen Vorschriften keine eigenständige Verantwortung des Auftragnehmers begründen.
  3. (3)
    Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Hauptvertrags einschließlich eines kostenlosen Testzugangs und des vereinbarten Datenabrufzeitraums nach Vertragsende. Die Pflichten zur Rückgabe und Löschung gemäß § 9 bestehen darüber hinaus fort.
  4. (4)
    Personenbezogene Daten, die der Auftragnehmer für eigene Zwecke verarbeitet, insbesondere zur Vertragsverwaltung, Rechnungsstellung und Abonnementabrechnung, sind nicht Gegenstand dieser Vereinbarung, soweit der Auftragnehmer hierfür eigenständig Verantwortlicher ist.

§ 2 Art und Zweck der Verarbeitung, Datenkategorien, Betroffene

  1. (1)
    Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Strukturieren, Auslesen, Abfragen, Verwenden, Übermitteln im Auftrag, Abgleichen, Verknüpfen, Einschränken, Berichtigen und Löschen personenbezogener Daten innerhalb der vom Auftraggeber genutzten Funktionen.
  2. (2)
    Zweck der Verarbeitung: Durchführung und Unterstützung der Immobilienverwaltung des Auftraggebers mithilfe der Software Immonavo. Hierzu gehören insbesondere WEG-Verwaltung, Mietverwaltung, Sondereigentumsverwaltung, Buchhaltung, Jahresabrechnungen, Betriebskostenabrechnungen, Wirtschaftspläne, Zahlungsverkehr, Mahnwesen, Dokumentenverwaltung, Kommunikation, Eigentümer- und Mieterportale, Eigentümerversammlungen, Beschlussverwaltung sowie KI-gestützte Funktionen und Automatisierungen.
  3. (3)
    Kategorien personenbezogener Daten:
  4. (4)
    a) Stammdaten, insbesondere Namen, Anschriften, Geburtsdaten, soweit erfasst, und weitere Identifikationsdaten;
  5. (5)
    b) Kommunikationsdaten, insbesondere E-Mail-Adressen, Telefonnummern, Nachrichten und Korrespondenz;
  6. (6)
    c) Vertrags- und Objektdaten, insbesondere Eigentums- und Mietverhältnisse, Miteigentumsanteile, Wohnflächen, Personenzahlen und Vertragsinformationen;
  7. (7)
    d) Bank- und Zahlungsdaten, insbesondere IBAN, Kontoumsätze, SEPA-Mandate, offene Posten, Zahlungsvorgänge und Mahnungen;
  8. (8)
    e) Buchhaltungs- und Abrechnungsdaten, insbesondere Hausgeld, Betriebskosten, Verbrauchswerte, Rücklagen und Forderungen;
  9. (9)
    f) Inhalte hochgeladener Dokumente, Rechnungen, Verträge, Belege und sonstiger Dateien;
  10. (10)
    g) Zugangs-, Berechtigungs- und Protokolldaten, insbesondere Anmeldungen, Benutzerkennungen und Änderungsprotokolle;
  11. (11)
    h) Abstimmungs-, Beschluss- und Versammlungsdaten;
  12. (12)
    i) Sonstige personenbezogene Daten, die der Auftraggeber im Rahmen der vertragsgemäßen Nutzung in der Software verarbeitet.
  13. (13)
    Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sind nicht zur regulären Verarbeitung vorgesehen. Aufgrund frei eingebbarer Informationen und hochladbarer Dokumente kann jedoch nicht ausgeschlossen werden, dass solche Daten verarbeitet werden.
  14. (14)
    Der Auftraggeber ist für die Rechtmäßigkeit dieser Verarbeitung und das Vorliegen der erforderlichen Rechtsgrundlagen verantwortlich. Die gesetzlichen Schutzpflichten des Auftragnehmers bleiben unberührt.
  15. (15)
    Kategorien betroffener Personen: Wohnungseigentümer, Mieter, Bewohner, Verwaltungsbeiräte, Dienstleister, Handwerker, Ansprechpartner, Mitarbeiter, sonstige Nutzer des Auftraggebers sowie weitere Personen, deren Daten im Rahmen der Immobilienverwaltung verarbeitet werden.

§ 3 Weisungen

  1. (1)
    Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer abweichenden Verarbeitung besteht.
  2. (2)
    Die vertragsgemäße Nutzung der Funktionen der Software Immonavo durch den Auftraggeber gilt als dokumentierte Weisung.
  3. (3)
    Darüber hinausgehende Weisungen können in Textform, insbesondere per E-Mail oder über ein dafür vorgesehenes Supportsystem, erteilt werden.
  4. (4)
    Die Weisungsbindung umfasst auch die Übermittlung personenbezogener Daten an Drittländer oder internationale Organisationen.
  5. (5)
    Ist der Auftragnehmer gesetzlich zu einer Verarbeitung verpflichtet, informiert er den Auftraggeber vor der Verarbeitung, sofern dies nicht aus wichtigen Gründen des öffentlichen Interesses gesetzlich untersagt ist.
  6. (6)
    Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

§ 4 Vertraulichkeit

  1. (1)
    Der Auftragnehmer stellt sicher, dass ausschließlich berechtigte Personen Zugriff auf personenbezogene Daten des Auftraggebers erhalten.
  2. (2)
    Diese Personen müssen zur Vertraulichkeit verpflichtet sein oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
  3. (3)
    Zugriffe auf Kundendaten erfolgen ausschließlich, soweit dies für den vertragsgemäßen Betrieb, die Wartung, die Störungsbeseitigung, die Datensicherheit oder den vom Auftraggeber angeforderten Support erforderlich ist.
  4. (4)
    Der Auftragnehmer trifft angemessene organisatorische und technische Maßnahmen, um unberechtigte Zugriffe zu verhindern.
  5. (5)
    Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen

  1. (1)
    Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau für die verarbeiteten personenbezogenen Daten zu gewährleisten.
  2. (2)
    Die Maßnahmen werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere möglicher Risiken festgelegt.
  3. (3)
    Die Maßnahmen umfassen insbesondere:
  4. (4)
    a) Verschlüsselte Datenübertragung über HTTPS/TLS;
  5. (5)
    b) Sichere Speicherung von Passwörtern unter Verwendung geeigneter kryptografischer Hashverfahren;
  6. (6)
    c) Rollenbasierte Benutzerberechtigungen und Zugriffsbeschränkungen;
  7. (7)
    d) Technische Mandantentrennung zur Verhinderung unberechtigter Zugriffe auf Daten anderer Kunden;
  8. (8)
    e) Schutz sensibler Bank- und Zahlungsinformationen durch geeignete Verschlüsselungs- und Zugriffsschutzverfahren;
  9. (9)
    f) Protokollierung sicherheitsrelevanter Vorgänge;
  10. (10)
    g) Geeignete Maßnahmen zur Absicherung und Begrenzung von Benutzersitzungen;
  11. (11)
    h) Regelmäßige Datensicherungen und geeignete Wiederherstellungsverfahren;
  12. (12)
    i) Maßnahmen zum Schutz vor unberechtigten Zugriffen, Datenverlust und Manipulation;
  13. (13)
    j) Geeignete Verfahren zur Erkennung, Bewertung und Behandlung von Sicherheitsvorfällen;
  14. (14)
    k) Regelmäßige Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen;
  15. (15)
    l) Physische und organisatorische Sicherungsmaßnahmen des eingesetzten Rechenzentrums.
  16. (16)
    Das Hosting der Software erfolgt bei der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland.
  17. (17)
    Der Auftragnehmer stellt sicher, dass die für den vereinbarten Hostingbetrieb erforderlichen technischen und organisatorischen Maßnahmen umgesetzt werden.
  18. (18)
    Die konkret eingesetzten Verschlüsselungsverfahren, Backup-Intervalle, Aufbewahrungsfristen, Serverstandorte und Wiederherstellungsverfahren werden in einer gesonderten Dokumentation der technischen und organisatorischen Maßnahmen beschrieben.
  19. (19)
    Der Auftragnehmer ist berechtigt, die Sicherheitsmaßnahmen an den technischen Fortschritt anzupassen, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird.
  20. (20)
    Die in dieser Vereinbarung beschriebenen Maßnahmen sind vor ihrer verbindlichen Zusicherung anhand der tatsächlich eingesetzten Produktivsysteme zu überprüfen.

§ 6 Unterauftragsverarbeiter

  1. (1)
    Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter im Rahmen der vertraglich vereinbarten Leistungen.
  2. (2)
    Zu den eingesetzten beziehungsweise vor ihrem Einsatz zu dokumentierenden Unterauftragsverarbeitern gehören insbesondere:
  3. (3)
    a) Hosting und technische Infrastruktur: netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland. Zweck: Bereitstellung und Betrieb der Serverinfrastruktur sowie Speicherung der im Rahmen der Softwareverwendung verarbeiteten Daten;
  4. (4)
    b) KI-Funktionen: Anthropic, soweit dessen Dienste tatsächlich für Belegerkennung, automatisierte Vorschläge, Textentwürfe oder andere KI-Funktionen verwendet werden. Die vollständige Unternehmensbezeichnung, Verarbeitungsregion, vertraglichen Datenschutzbedingungen und möglichen Drittlandübermittlungen sind in der aktuellen Unterauftragsverarbeiterliste zu dokumentieren;
  5. (5)
    c) E-Mail-Dienste: Der tatsächlich eingesetzte Dienstleister, soweit dieser personenbezogene Daten im Auftrag des Auftragnehmers verarbeitet;
  6. (6)
    d) Externe Datensicherung: Der tatsächlich eingesetzte Dienstleister, sofern Datensicherungen außerhalb der Infrastruktur des Hostinganbieters erfolgen;
  7. (7)
    e) Weitere technische Dienstleister, soweit diese im Auftrag des Auftragnehmers personenbezogene Kundendaten verarbeiten.
  8. (8)
    Die jeweils aktuelle Liste der Unterauftragsverarbeiter mit Angaben zu Unternehmen, Sitz, Verarbeitungszweck, Verarbeitungsstandort und gegebenenfalls Drittlandübermittlung wird dem Auftraggeber in geeigneter Form zugänglich gemacht.
  9. (9)
    Der Auftragnehmer informiert den Auftraggeber vorab in Textform über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung weiterer Auftragsverarbeiter.
  10. (10)
    Der Auftraggeber kann innerhalb von 30 Tagen nach Zugang der Änderungsmitteilung aus einem wichtigen datenschutzrechtlichen Grund widersprechen.
  11. (11)
    Kommt keine einvernehmliche Lösung zustande, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der betreffenden Änderung kündigen, soweit ihm eine Fortsetzung des Vertrags nicht zumutbar ist.
  12. (12)
    Der Auftragnehmer verpflichtet eingesetzte Unterauftragsverarbeiter vertraglich zur Einhaltung der einschlägigen Datenschutzpflichten gemäß Art. 28 Abs. 4 DSGVO.
  13. (13)
    Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung dieser Pflichten durch seine Unterauftragsverarbeiter verantwortlich.
  14. (14)
    Nutzt der Auftraggeber eigene Konten oder API-Zugänge bei Drittanbietern, richtet sich deren datenschutzrechtliche Einordnung nach den tatsächlichen Vertragsbeziehungen und Datenverarbeitungsprozessen. Die Nutzung eines eigenen API-Schlüssels allein bestimmt nicht, ob ein Anbieter als Unterauftragsverarbeiter einzustufen ist.

§ 7 Übermittlung personenbezogener Daten in Drittländer

  1. (1)
    Eine Übermittlung personenbezogener Daten in Staaten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO.
  2. (2)
    Hierzu gehören insbesondere geeignete Angemessenheitsbeschlüsse der Europäischen Kommission oder geeignete Garantien, beispielsweise Standardvertragsklauseln gemäß Art. 46 DSGVO.
  3. (3)
    Soweit erforderlich, werden zusätzliche technische und organisatorische Schutzmaßnahmen getroffen.
  4. (4)
    Dies gilt auch für den Zugriff auf personenbezogene Daten aus Drittländern.
  5. (5)
    Bei der Verwendung externer KI-Dienste werden die tatsächlichen Verarbeitungsstandorte, Speicherfristen und vertraglichen Datenschutzbedingungen berücksichtigt.
  6. (6)
    Der Auftragnehmer dokumentiert die eingesetzten Dienste und die jeweiligen Übermittlungsgrundlagen und stellt dem Auftraggeber die erforderlichen Informationen zur Verfügung.
  7. (7)
    Eine Verwendung personenbezogener Kundendaten zum Training externer KI-Modelle erfolgt nicht ohne geeignete Rechtsgrundlage und entsprechende vertragliche beziehungsweise dokumentierte Weisungsgrundlage.

§ 8 Unterstützung des Auftraggebers

  1. (1)
    Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung seiner datenschutzrechtlichen Pflichten.
  2. (2)
    Dies umfasst insbesondere die Wahrnehmung der Betroffenenrechte gemäß Art. 12 bis 22 DSGVO.
  3. (3)
    Hierfür stellt der Auftragnehmer im Rahmen des vereinbarten Leistungsumfangs geeignete Funktionen zur Auskunft, Berichtigung, Einschränkung, Löschung und zum Export personenbezogener Daten bereit.
  4. (4)
    Der Auftragnehmer informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, möglichst innerhalb von 24 Stunden.
  5. (5)
    Die Mitteilung enthält die zu diesem Zeitpunkt verfügbaren Informationen über Art und Umfang der Verletzung, betroffene Daten, mögliche Auswirkungen sowie bereits ergriffene oder vorgesehene Gegenmaßnahmen.
  6. (6)
    Noch nicht verfügbare Informationen werden unverzüglich nachgereicht.
  7. (7)
    Der Auftragnehmer unterstützt den Auftraggeber im erforderlichen Umfang bei der Erfüllung seiner Pflichten gemäß Art. 32 bis 36 DSGVO, insbesondere bei der Meldung von Datenschutzverletzungen, der Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen von Aufsichtsbehörden.
  8. (8)
    Für zusätzliche Unterstützungsleistungen, die über die vertraglich vereinbarten Standardfunktionen hinausgehen und nicht durch eine Pflichtverletzung des Auftragnehmers verursacht wurden, kann eine angemessene Vergütung vereinbart werden, soweit dies rechtlich zulässig ist.

§ 9 Rückgabe und Löschung

  1. (1)
    Nach Beendigung der Auftragsverarbeitung hat der Auftraggeber gemäß Art. 28 Abs. 3 lit. g DSGVO grundsätzlich die Wahl, die in seinem Auftrag verarbeiteten personenbezogenen Daten zurückzuerhalten oder deren Löschung zu verlangen.
  2. (2)
    Der Auftragnehmer stellt geeignete Funktionen zur strukturierten Rückgabe der Daten zur Verfügung.
  3. (3)
    Der Datenexport soll insbesondere folgende Daten umfassen, soweit diese in der Software vorhanden und dem Auftraggeber zugeordnet sind:
  4. (4)
    a) Objekt- und Verwaltungsstammdaten;
  5. (5)
    b) Eigentümer- und Mieterdaten;
  6. (6)
    c) Vertragsdaten;
  7. (7)
    d) Buchhaltungsdaten und Buchungshistorien;
  8. (8)
    e) Offene Posten und Zahlungsinformationen;
  9. (9)
    f) Jahres- und Betriebskostenabrechnungen;
  10. (10)
    g) Wirtschaftspläne;
  11. (11)
    h) Dokumente, Rechnungen und Belege;
  12. (12)
    i) Beschluss- und Versammlungsdaten;
  13. (13)
    j) Sonstige dem Auftraggeber zugeordnete Verwaltungsdaten.
  14. (14)
    Die Daten werden innerhalb des vertraglich vereinbarten Datenabrufzeitraums in geeigneten, möglichst strukturierten und maschinenlesbaren Formaten bereitgestellt.
  15. (15)
    Die gesetzlichen Anforderungen an den Wechsel von Datenverarbeitungsdiensten, insbesondere nach dem EU Data Act, bleiben unberührt.
  16. (16)
    Nach Durchführung der vom Auftraggeber gewählten Maßnahme und Ablauf einschlägiger gesetzlicher oder vertraglich zulässiger Fristen löscht der Auftragnehmer die personenbezogenen Daten einschließlich vorhandener Kopien, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
  17. (17)
    Noch vorhandene Sicherungskopien werden bis zu ihrer Löschung geschützt und grundsätzlich nicht für andere Zwecke verarbeitet.
  18. (18)
    Die Löschung der Sicherungskopien erfolgt nach den dokumentierten Lösch- und Aufbewahrungsfristen des Sicherungskonzepts.
  19. (19)
    Der Auftragnehmer bestätigt die durchgeführte Löschung auf Anfrage in Textform.
  20. (20)
    Gesetzlich erforderliche Aufbewahrungen bleiben unberührt.

§ 10 Nachweise und Kontrollen

  1. (1)
    Der Auftragnehmer stellt dem Auftraggeber alle zum Nachweis der Einhaltung der Verpflichtungen aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung.
  2. (2)
    Der Auftraggeber ist berechtigt, die Einhaltung der vereinbarten Datenschutzpflichten im gesetzlich vorgesehenen Umfang zu überprüfen.
  3. (3)
    Dies umfasst auch Überprüfungen und Inspektionen durch den Auftraggeber oder einen von diesem beauftragten Prüfer.
  4. (4)
    Prüfungen sollen grundsätzlich mit angemessener Vorankündigung während üblicher Geschäftszeiten durchgeführt werden.
  5. (5)
    Bei dringenden datenschutzrechtlichen Anlässen können kürzere Fristen erforderlich sein.
  6. (6)
    Die Prüfungen erfolgen unter angemessener Berücksichtigung der Betriebs- und Geschäftsgeheimnisse des Auftragnehmers sowie der Vertraulichkeit der Daten anderer Kunden.
  7. (7)
    Die gesetzlichen Kontrollrechte dürfen durch diese organisatorischen Regelungen nicht unangemessen eingeschränkt werden.
  8. (8)
    Der Auftragnehmer unterstützt die erforderlichen Prüfungen und stellt geeignete Nachweise über die umgesetzten technischen und organisatorischen Maßnahmen zur Verfügung.

§ 11 Haftung und Schlussbestimmungen

  1. (1)
    Für Schadensersatzansprüche aufgrund von Verstößen gegen die Datenschutz-Grundverordnung gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO.
  2. (2)
    Die gesetzliche Haftung der Vertragsparteien sowie unmittelbar geltende datenschutzrechtliche Verpflichtungen bleiben unberührt.
  3. (3)
    Für sonstige vertragliche Schadensersatzansprüche gelten die wirksam vereinbarten Haftungsregelungen des Hauptvertrags, soweit zwingende gesetzliche Vorschriften nicht entgegenstehen.
  4. (4)
    Der Auftraggeber bleibt für die Rechtmäßigkeit der von ihm veranlassten Verarbeitung personenbezogener Daten verantwortlich, insbesondere für das Vorliegen einer geeigneten Rechtsgrundlage, die Erfüllung seiner Informationspflichten und die Einhaltung datenschutzrechtlicher Vorgaben bei der Immobilienverwaltung.
  5. (5)
    Der Auftragnehmer ist für die Einhaltung der ihm unmittelbar auferlegten datenschutzrechtlichen Pflichten und der Verpflichtungen aus dieser Vereinbarung verantwortlich.
  6. (6)
    Bei Widersprüchen zwischen dieser Vereinbarung und datenschutzrechtlichen Bestimmungen des Hauptvertrags gehen die Regelungen dieser Vereinbarung vor.
  7. (7)
    Änderungen und Ergänzungen dieser Vereinbarung bedürfen einer rechtlich zulässigen dokumentierten Vereinbarung der Vertragsparteien.
  8. (8)
    Die Vereinbarung wird gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen.
  9. (9)
    Es gilt deutsches Recht. Zwingende datenschutzrechtliche Vorschriften bleiben unberührt.

Weitere Informationen: Datenschutzerklärung · Impressum · Allgemeine Geschäftsbedingungen