Vertrag zur Auftragsverarbeitung

1. Gegenstand, Rollen und Dauer

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien für die Verarbeitung personenbezogener Daten, die im Rahmen der Nutzung von „Torch Real Estate“ erfolgt. Er wird mit Abschluss des Nutzungsvertrags Bestandteil der Allgemeinen Geschäftsbedingungen.

Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist der Kunde (nachfolgend „Auftraggeber“). Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO ist die TORCHTECHNOLOGY LTD, 25 Martiou, 27, D. MICHAEL TOWER, Office 105A, Egkomi, 2408 Nicosia, Republik Zypern (nachfolgend „Auftragnehmer“).

Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags.

2. Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschliesslich zur Bereitstellung der vertraglich vereinbarten Software-Funktionen — insbesondere Verwaltung von Objekten, Einheiten, Mietverhältnissen und Abrechnungen, Kommunikation mit Mietern, Erzeugung von Dokumenten sowie Erinnerungs- und Auswertungsfunktionen.

3. Kategorien betroffener Personen und Daten

Betroffene Personen: Mieterinnen und Mieter, Wohnungsbewerberinnen und -bewerber, Eigentümerinnen und Eigentümer, Mitarbeitende des Auftraggebers, Handwerker und sonstige Dienstleister, Hausmeister.

Datenkategorien: Stammdaten (Name, Anschrift, Geburtsdatum), Kontaktdaten (E-Mail, Telefon, Messenger-Kennungen), Vertragsdaten (Mietverhältnis, Laufzeiten, Mieten, Kaution), Zahlungsdaten (Kontoinformationen, Zahlungseingänge, Rückstände), Abrechnungs- und Verbrauchsdaten, Kommunikationsinhalte, Schadensmeldungen einschliesslich Fotos, hochgeladene Dokumente sowie Bewerbungsunterlagen.

Der Auftraggeber entscheidet eigenverantwortlich, welche Daten er in die Software einstellt. Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Gegenstand dieses Vertrags; der Auftraggeber stellt solche Daten nicht ein.

4. Weisungsgebundenheit

Der Auftragnehmer verarbeitet die Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Software durch den Auftraggeber gilt als Weisung. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstösst, weist er den Auftraggeber darauf hin und darf die Ausführung aussetzen.

5. Vertraulichkeit

Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit und stellt sicher, dass sie über die einschlägigen Datenschutzpflichten unterrichtet sind.

6. Technische und organisatorische Massnahmen (Art. 32 DSGVO)

Der Auftragnehmer unterhält insbesondere folgende Massnahmen:

• Mandantentrennung: Strikte Trennung der Daten je Organisation über PostgreSQL Row-Level-Security auf jeder Tabelle mit Personenbezug.
• Verschlüsselung: Transportverschlüsselung (TLS) für alle Verbindungen; Verschlüsselung sensibler Geheimnisse und Tokens im Ruhezustand (AES-256).
• Zugriffskontrolle: Rollen- und organisationsbezogene Berechtigungen, Authentifizierung über Session-Cookies, getrennte Zugänge für Mieterportal und Verwaltung.
• Speicherort: Datenbank und Dateispeicher in einem Rechenzentrum in Frankfurt am Main.
• Belastbarkeit: Regelmässige Sicherungen der Datenbank durch den Hosting-Dienstleister.
• Protokollierung: Nachvollziehbarkeit sicherheitsrelevanter Vorgänge.

Der Auftragnehmer darf die Massnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt seine allgemeine Genehmigung zur Beauftragung der in Anlage 1 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen mindestens vier Wochen im Voraus in Textform. Der Auftraggeber kann einer Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall ist jede Partei berechtigt, den Vertrag zu kündigen.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

8. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie bei Meldungen an Aufsichtsbehörden. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

9. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden — in der Regel innerhalb von 48 Stunden — und stellt die zur Erfüllung der Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO erforderlichen Informationen bereit.

10. Löschung und Rückgabe

Der Auftraggeber kann seine Daten während der Vertragslaufzeit jederzeit über die vorhandenen Exportfunktionen ausleiten. Nach Beendigung des Vertrags stellt der Auftragnehmer die Daten für 30 Tage zum Export bereit und löscht sie anschliessend, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

11. Nachweise und Überprüfung

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereit. Überprüfungen vor Ort sind nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig; der Auftraggeber trägt die dabei entstehenden Kosten.

12. Schlussbestimmungen

Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags für die Auftragsverarbeitung vor. Im Übrigen gelten die Bestimmungen der Allgemeinen Geschäftsbedingungen.

Fragen zur Auftragsverarbeitung richten Sie bitte an hello@torchtechnology.de.

Anlage 1 — Unterauftragsverarbeiter

Für Übermittlungen in Drittländer werden die EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO zugrunde gelegt.