Vertrag zur Auftragsverarbeitung

Vertragsparteien

Zwischen

dem Kunden (Hausverwaltung) – im Folgenden Verantwortlicher –

und

HausChat, Inhaber Ali Hussein, Wilhelmsstraße 31, 34117 Kassel, Deutschland, Anbieter von HausChat – im Folgenden Auftragsverarbeiter.

Dieser Vertrag kommt mit Abschluss des Hauptvertrages (Allgemeine Geschäftsbedingungen) zustande und gilt für dessen gesamte Laufzeit.

1. Gegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Verantwortlichen die im Hauptvertrag beschriebene Leistung: die Bereitstellung der Software HausChat, mit der der Verantwortliche seine Kommunikation mit Mietern, Eigentümern, Dienstleistern und sonstigen Personen sammelt, auswertet, Objekten zuordnet, beantwortet und archiviert – über Post und E-Mail sowie, soweit der Verantwortliche die Zusatzmodule gebucht hat, über WhatsApp und Telefon.

Die Verarbeitung dauert so lange wie der Hauptvertrag. Sie endet mit dessen Beendigung; anschließend gilt Ziffer 9.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich, um die vereinbarte Leistung zu erbringen. Das umfasst:

• Entgegennahme eingescannter Briefe und Abruf eingehender E-Mails aus den vom Verantwortlichen verbundenen Postfächern,
• beim Zusatzmodul Post-Scan-Service: werktägliches Scannen der Briefe, Bereitstellung in HausChat und wöchentliche oder monatliche Weiterleitung der Originale an den Verantwortlichen,
• Empfang und Versand von WhatsApp-Nachrichten über die WhatsApp Business Platform sowie Verarbeitung von verpassten Anrufen, Mailbox-Nachrichten, Sprachaufnahmen und Transkripten, soweit der Verantwortliche die Zusatzmodule WhatsApp und Telefon-KI gebucht hat,
• maschinelle Texterkennung und inhaltliche Auswertung der Nachrichten mit KI (Zusammenfassung, Absender, Fristen, Zuordnung zu Objekten, Einheiten und Personen, Dringlichkeit und Kategorie),
• Erstellung von Antwortentwürfen, die von Personen des Verantwortlichen geprüft und versendet werden,
• Beantwortung von Nachrichten durch den KI-Assistenten, nur wenn der Verantwortliche ihn eingeschaltet hat und nur zu den von ihm festgelegten Themen,
• Versand von E-Mails, Briefen (auch als Einschreiben) und Rundschreiben im Namen des Verantwortlichen sowie die Aufbewahrung einer Kopie oder des Versandauftrags als Versandnachweis,
• Verwaltung von Aufgaben, Zuständigkeiten und internen Notizen,
• Speicherung und Archivierung der Nachrichten, Anhänge und Auswertungsergebnisse einschließlich Änderungsprotokoll, Aufbewahrungsfristen, Löschsperre und Export,
• Verwaltung der Nutzerkonten der Mitarbeiter und weiteren berechtigten Personen des Verantwortlichen,
• Bereitstellung der Oberfläche, über die der Verantwortliche und die von ihm berechtigten Personen darauf zugreifen.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Eine Verwendung der Inhalte zum Training von KI-Modellen findet nicht statt.

3. Art der Daten und Kreis der Betroffenen

Datenarten – je nach Inhalt der empfangenen und versendeten Nachrichten und den genutzten Kanälen:

• Kommunikationsinhalte: Briefe und Scans, E-Mails einschließlich Anhängen und Kopfzeilen, WhatsApp-Nachrichten einschließlich Fotos und Dateien, Rundschreiben, interne Notizen,
• Kontaktdaten: Name, Anschrift, E-Mail-Adresse, Telefonnummer, WhatsApp-Kennung,
• Objektdaten: Objekte, Einheiten und die Zuordnung von Personen zu Einheiten, etwa als Mieter oder Eigentümer,
• in der Korrespondenz enthaltene Vertrags-, Abrechnungs- und Zahlungsangaben einschließlich Bankverbindungen, Aktenzeichen und Vorgangsnummern,
• abgeleitete Daten: Zusammenfassungen, Kategorien, Dringlichkeit, Fristen, Aufgaben und Antwortentwürfe,
• bei Telefon (Zusatzmodul): Rufnummern, Zeitpunkte von Anrufen, Sprachaufnahmen und Transkripte,
• Nutzerkonten der berechtigten Personen (E-Mail-Adresse, Name, Berechtigungen) und Einträge im Änderungsprotokoll.

Betroffene Personen:

• Mieter,
• Eigentümer,
• Dienstleister und Handwerker sowie deren Beschäftigte,
• Mitarbeiter des Verantwortlichen und weitere von ihm berechtigte Personen,
• sonstige Absender und Empfänger von Nachrichten, etwa Behörden, Rechtsanwälte, Versorger oder Nachbarn.

Besondere Kategorien nach Art. 9 DSGVO können in Nachrichten enthalten sein, etwa Gesundheitsangaben in der Nachricht eines Mieters. Der Auftragsverarbeiter verarbeitet sie wie alle anderen Inhalte im Auftrag, ohne eigene Auswertung. Für die Rechtsgrundlage dieser Verarbeitung im Verhältnis zu den Betroffenen bleibt der Verantwortliche zuständig.

Sprachaufnahmen bei der Telefon-KI: Anrufer werden zu Beginn des Anrufs darauf hingewiesen, dass das Gespräch von einer KI entgegengenommen und transkribiert wird.

4. Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gilt insbesondere die Nutzung der Funktionen der Anwendung, etwa das Verbinden eines Postfachs, das Festlegen von Aufbewahrungsfristen und Löschsperren oder das Auslösen eines Versands.

Weisungen können über die im Hauptvertrag genannten Kontaktwege erteilt werden; mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung aussetzen.

Auf Inhalte des Verantwortlichen greift der Auftragsverarbeiter für Support nur auf Anfrage des Verantwortlichen zu. Jeder solche Zugriff wird protokolliert.

5. Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

7. Weitere Auftragsverarbeiter

Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Die zum Zeitpunkt des Vertragsschlusses eingesetzten sind in Anlage 1 aufgeführt.

Vor dem Hinzukommen oder dem Austausch eines weiteren Auftragsverarbeiters informiert der Auftragsverarbeiter mit einer Frist von vier Wochen in Textform. Das gilt auch für den Telefonanbieter und den Scan-Dienstleister. Sie sind in Anlage 1 als „wird vor Freischaltung des Zusatzmoduls benannt“ aufgeführt; der Auftragsverarbeiter informiert den Verantwortlichen vor der Freischaltung (Art. 28 Abs. 2 DSGVO). Der Verantwortliche kann innerhalb dieser Frist widersprechen. Bei einem Widerspruch, der auf datenschutzrechtliche Gründe gestützt ist und der Leistungserbringung entgegensteht, steht beiden Seiten ein Sonderkündigungsrecht zu.

Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit ihm möglich,

• bei Anfragen betroffener Personen nach Art. 15 bis 22 DSGVO, etwa von Mietern oder Eigentümern,
• bei der Meldung von Verletzungen des Schutzes personenbezogener Daten (Art. 33, 34 DSGVO); er meldet ihm bekannt gewordene Verletzungen unverzüglich, spätestens innerhalb von 24 Stunden,
• bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO).

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.

9. Löschung und Rückgabe

Während der Laufzeit richten sich Aufbewahrung und Löschung nach den vom Verantwortlichen festgelegten Aufbewahrungsfristen und Löschsperren.

Nach Beendigung des Hauptvertrages kann der Verantwortliche seine Daten noch 30 Tage vollständig exportieren – Nachrichten aller Kanäle, Anhänge, Archiv, Aufgaben, Kopien versendeter Nachrichten und Versandaufträge in gängigen, maschinenlesbaren Formaten. Danach löscht der Auftragsverarbeiter alle personenbezogenen Daten, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht.

Der Verantwortliche ist für die Erfüllung seiner eigenen handels- und steuerrechtlichen Aufbewahrungspflichten (§257 HGB, §147 AO) selbst verantwortlich; der Auftragsverarbeiter bewahrt die Daten hierfür nach Vertragsende nicht auf.

Sicherungskopien werden im Rahmen der üblichen Aufbewahrungszyklen gelöscht, spätestens 30 Tage nach der Löschung.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung dieses Vertrages auf Anfrage nach, insbesondere durch Auskunft, aktuelle Beschreibungen der Maßnahmen und vorhandene Zertifikate oder Prüfberichte seiner weiteren Auftragsverarbeiter.

Genügt das nicht, kann der Verantwortliche nach angemessener Vorankündigung während der üblichen Geschäftszeiten Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragsverarbeiters ist.

11. Ort der Verarbeitung

Die Verarbeitung findet in Mitgliedstaaten der Europäischen Union statt. Ausnahmen sind in Anlage 1 gekennzeichnet; für sie bestehen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO oder ein Angemessenheitsbeschluss nach Art. 45 DSGVO.

Die Datenbank und der Dateispeicher liegen bei Supabase in Frankfurt am Main. Alle KI-Funktionen – Auswertung, Antwortentwürfe, KI-Assistent und Telefon-KI – laufen über Google Gemini in Vertex AI in der Region europe-west4 (Niederlande). Die Inhalte werden nicht zum Training von KI-Modellen genutzt.

Die Web-App wird bei Vercel Inc., USA, betrieben; die Übermittlung erfolgt auf Grundlage des EU-US Data Privacy Framework und der Standardvertragsklauseln. Beim Zusatzmodul WhatsApp (Meta Platforms Ireland Ltd.) ist eine Übermittlung in die USA möglich; sie erfolgt auf Grundlage des EU-US Data Privacy Framework. Den Verarbeitungsort des Telefonanbieters und des Scan-Dienstleisters teilt der Auftragsverarbeiter mit ihrer Benennung mit.

12. Haftung und Schlussbestimmungen

Es gilt die Haftungsregelung des Hauptvertrages, im Übrigen Art. 82 DSGVO.

Änderungen bedürfen der Textform. Widerspricht eine Regelung dieses Vertrages dem Hauptvertrag, geht dieser Vertrag in Fragen des Datenschutzes vor.

Es gilt deutsches Recht.

---

Anlage 1 – Weitere Auftragsverarbeiter

Den Telefonanbieter und den Scan-Dienstleister benennt der Auftragsverarbeiter, bevor das jeweilige Zusatzmodul freigeschaltet wird. Er informiert den Verantwortlichen vorher; der Verantwortliche kann nach Ziffer 7 widersprechen.

---

Anlage 2 – Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen gelten für alle Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet.

Vertraulichkeit

Zutritt. Eigene Serverräume bestehen nicht. Alle Daten liegen in Rechenzentren der in Anlage 1 genannten Anbieter, die nach anerkannten Normen zertifiziert sind.

Zugang. Zugriff auf die Anwendung nur nach Anmeldung mit E-Mail und Passwort. Passwörter werden ausschließlich als Streuwert gespeichert. Die Sitzung in der Web-App wird über ein technisch notwendiges Cookie gehalten. Verwaltungszugänge von HausChat sind auf den Inhaber beschränkt und durch Zwei-Faktor-Authentifizierung geschützt.

Zugriff. Die Trennung der Daten verschiedener Kunden erfolgt in der Datenbank durch zeilenbasierte Sicherheitsregeln (Row Level Security), die bei jeder Abfrage greifen – nicht durch Programmlogik in der Anwendung. Dateien liegen in nicht öffentlichen Speicherbereichen und sind nur über zeitlich befristete, signierte Adressen erreichbar. Innerhalb einer Hausverwaltung legt der Verantwortliche fest, welche Mitarbeiter Zugang erhalten.

Zugangsdaten verbundener Postfächer. Der Verantwortliche verbindet seine eigenen Postfächer; eigene Eingangsadressen vergibt HausChat nicht. Die Zugangsdaten der verbundenen Postfächer werden verschlüsselt im Supabase Vault gespeichert.

Support-Zugriffe. Zugriffe auf Inhalte des Verantwortlichen erfolgen nur auf dessen Anfrage und werden protokolliert.

Integrität

Weitergabe. Übertragung ausschließlich über TLS. Systemmails von HausChat gehen von hauschat.de aus, mit DKIM-Signatur und DMARC. Antworten des Verantwortlichen gehen über dessen eigenes Postfach raus; dafür gelten dessen Einstellungen.

Eingabe. Änderungen an Nachrichten, Aufgaben und im Archiv werden mit Zeitstempel im Änderungsprotokoll festgehalten. Für jede versendete Nachricht wird eine unveränderte Kopie aufbewahrt. Der Weg eines Briefes wird mit jedem Zustandswechsel protokolliert.

Verfügbarkeit und Belastbarkeit

Tägliche Sicherungen der Datenbank durch den Anbieter mit Zeitpunkt-Wiederherstellung. Fehlgeschlagene Zustellungen werden erfasst und dem Verantwortlichen angezeigt.

Verfahren zur Überprüfung

Auftragskontrolle. Mit allen weiteren Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Trennung. Getrennte Umgebungen für Entwicklung und Betrieb. Zugangsdaten liegen ausschließlich in der Geheimnisverwaltung der jeweiligen Plattform, nicht im Quelltext.

Löschung. Nach Vertragsende kann der Verantwortliche 30 Tage lang einen vollständigen Export abrufen. Danach werden Konto, Nachrichten, Anhänge, Archiv, Versandnachweise und Versandaufträge entfernt, soweit diese nicht Teil einer Rechnung sind.