Zum Inhalt springen
SA

Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

Stand: Juni 2026 · Version 1.0

Vereinbarung zur Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO.

Vertragsparteien

Verantwortlicher (Auftraggeber): Der die Plattform nutzende Makler bzw. das von ihm vertretene Unternehmen (im Folgenden „Auftraggeber“). Die Identifizierung erfolgt über die im Maklerkonto hinterlegten Stammdaten.

Auftragsverarbeiter (Auftragnehmer): EDEL Investment GmbH, Marienburger Str. 2D, 40789 Monheim am Rhein, vertreten durch den Geschäftsführer Muhsin Bayar (im Folgenden „Auftragnehmer“), Betreiber der Plattform „Selbstauskunft“ (myn.credit).

Präambel

Der Auftraggeber nutzt die Plattform des Auftragnehmers, um Selbstauskünfte und Unterlagen seiner Miet- bzw. Kaufinteressenten zu erfassen und zu verwalten. Dabei verarbeitet der Auftragnehmer personenbezogene Daten dieser betroffenen Personen ausschließlich im Auftrag und nach Weisung des Auftraggebers. Der Auftraggeber bleibt Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung und des Betriebs der Plattform „Selbstauskunft“ für den Auftraggeber.

(2) Die Dauer dieses Vertrages entspricht der Laufzeit des zugrunde liegenden Nutzungsvertrages (Hauptvertrag). Er endet mit dessen Beendigung, unbeschadet fortwirkender Pflichten (insbesondere zur Löschung).

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Verwenden, Bereitstellen (als PDF), Einschränken und Löschen im Rahmen der Plattformfunktionen.

(2) Zweck: Digitale Erfassung, Verwaltung und Dokumentation von Selbstauskünften für Zwecke der Anbahnung und Abwicklung von Miet- bzw. Kaufverhältnissen durch den Auftraggeber.

(3) Ort der Verarbeitung: Innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums, vorbehaltlich der in § 7 genannten Unterauftragnehmer.

§ 3 Kategorien betroffener Personen und Datenarten

(1) Kategorien betroffener Personen: Miet- bzw. Kaufinteressenten des Auftraggebers sowie ggf. deren Haushaltsangehörige/Mitbewerber.

(2) Kategorien personenbezogener Daten: insbesondere Stammdaten (Name, Anschrift, Kontaktdaten, Geburtsdatum), Beschäftigungs- und Einkommensdaten, bonitätsrelevante Angaben sowie vom Auftraggeber bzw. den betroffenen Personen hochgeladene Nachweisdokumente. Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen; der Auftraggeber stellt sicher, dass solche Daten nicht ohne eigene Rechtsgrundlage eingestellt werden.

§ 4 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern er nicht durch das Recht der EU oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist.

(2) Die Nutzung der Plattformfunktionen durch den Auftraggeber gilt als Weisung. Ergänzende Einzelweisungen sind in Textform zu erteilen.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich; er ist berechtigt, deren Ausführung bis zur Bestätigung auszusetzen.

§ 5 Pflichten des Auftragnehmers

(1) Vertraulichkeit: Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheit unterliegen.

(2) Datensicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (vgl. Anlage TOM).

(3) Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Betroffenenrechte (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO.

(4) Meldung von Verletzungen: Der Auftragnehmer informiert den Auftraggeber unverzüglich über Verletzungen des Schutzes personenbezogener Daten, die die verarbeiteten Daten betreffen.

(5) Datenschutzbeauftragter / Ansprechpartner: Der Auftragnehmer benennt einen Ansprechpartner für den Datenschutz (Kontakt siehe Impressum).

(6) Nachweis: Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung.

§ 6 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung und für die Wahrung der Betroffenenrechte verantwortlich.

(2) Der Auftraggeber teilt dem Auftragnehmer Weisungen rechtzeitig mit und benennt etwaige berechtigte Personen.

(3) Der Auftraggeber stellt sicher, dass er über eine ausreichende Rechtsgrundlage für die Eingabe und Verarbeitung der Daten betroffener Personen verfügt und diese ordnungsgemäß informiert hat.

§ 7 Unterauftragsverhältnisse

(1) Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

  • Hosting/Rechenzentrum (Betrieb der Server, EU/EWR),
  • Stripe (Stripe, Inc., USA, bzw. zuständige europäische Stripe-Gesellschaft – Zahlungsabwicklung),
  • E-Mail-Versanddienst (SMTP) (transaktionaler E-Mail-Versand),
  • Content Delivery Network (Auslieferung von Darstellungs-Ressourcen).

(2) Der Auftragnehmer stellt sicher, dass mit jedem Unterauftragnehmer die datenschutzrechtlich erforderlichen Vereinbarungen (insb. Art. 28 Abs. 4 DSGVO) geschlossen werden, und schließt – soweit eine Übermittlung in ein Drittland erfolgt – geeignete Garantien (z. B. EU-Standardvertragsklauseln) ab.

(3) Über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragnehmern informiert der Auftragnehmer den Auftraggeber; dieser kann begründet widersprechen.

§ 8 Betroffenenrechte

Wendet sich eine betroffene Person mit Anliegen zur Wahrnehmung ihrer Rechte unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, sofern keine anderslautende Weisung vorliegt.

§ 9 Löschung und Rückgabe nach Beendigung

Nach Abschluss der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle verarbeiteten personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 10 Kontroll- und Auditrechte

Der Auftraggeber hat das Recht, sich von der Einhaltung der vereinbarten Maßnahmen zu überzeugen. Der Auftragnehmer kann den Nachweis vorrangig durch geeignete Dokumentation, Selbstauskünfte oder Zertifikate/Testate erbringen. Vor-Ort-Kontrollen sind rechtzeitig anzukündigen und auf das Erforderliche zu beschränken.

§ 11 Haftung

Für die Haftung gelten die Bestimmungen des Art. 82 DSGVO sowie die Regelungen des Hauptvertrages, soweit zulässig.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage: Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

1. Vertraulichkeit

  • Zutrittskontrolle: Serverbetrieb in zugangsgesicherten Rechenzentren innerhalb der EU/des EWR.
  • Zugangskontrolle: Authentifizierung über persönliche Konten; Passwörter werden ausschließlich als sicherer Hash (Argon2id) gespeichert; Schutz vor automatisierten Anmeldeversuchen (Rate-Limiting).
  • Zugriffskontrolle: Rollen- und rechtebasierte Zugriffe; strikte Mandantentrennung; hochgeladene Dokumente werden außerhalb des öffentlich erreichbaren Bereichs gespeichert und nur über authentifizierte, geprüfte Zugriffe ausgeliefert.
  • Trennungskontrolle: Logische Trennung der Mandantendaten (tenant-Bezug).

2. Integrität

  • Weitergabekontrolle: Transportverschlüsselung (TLS/SSL); serverseitige Anbindung von Dienstleistern; CSRF-Schutz bei Formularen.
  • Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge (Audit-Log) mit Maskierung sensibler Felder; Integritätsprüfung von Uploads über Prüfsummen (SHA-256); optionale Schadsoftware-Prüfung.

3. Verfügbarkeit und Belastbarkeit

  • Verfügbarkeitskontrolle: regelmäßige Datensicherungen; Schutz vor Datenverlust.
  • Rasche Wiederherstellbarkeit nach einem physischen oder technischen Zwischenfall.

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

  • Datenschutz-Management und Reaktionsprozesse für Datenschutzvorfälle.
  • Datenschutzfreundliche Voreinstellungen und Datensparsamkeit (Art. 25 DSGVO).
  • Auftragskontrolle: Steuerung der Unterauftragnehmer über vertragliche Vereinbarungen (vgl. § 7).