Zum Inhalt springen
Wohnungsübergabe24
Jetzt ausprobieren
Menü

Vertrag zur Auftragsverarbeitung (AVV)

Stand: 27. Oktober 2026, Fassung AVV-0.3

Vertrag zur Auftragsverarbeitung gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen

dem Nutzer der Web-App „wohnungsuebergabe24.de“ (app.wohnungsuebergabe24.de), der bei der Registrierung bzw. im Nutzerkonto angegeben ist,
– nachfolgend „Verantwortlicher“ –

und

Tillmann Solutions, Inhaber Till Tristan Graf, Südanlage 16B, 35390 Gießen, Deutschland
USt-IdNr.: DE459178029, E-Mail: kontakt@wohnungsuebergabe24.de
– nachfolgend „Auftragsverarbeiter“ –

(gemeinsam „Parteien“)

Präambel

Der Auftragsverarbeiter betreibt die Web-App „wohnungsuebergabe24.de“ (nachfolgend „App“). Mit der App erstellt der Verantwortliche Wohnungsübergabeprotokolle, Wohnungsgeberbestätigungen und zugehörige PDF-Dokumente und speichert diese in seinem Nutzerkonto. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen, insbesondere Daten von Mietern, Vermietern, Eigentümern und weiteren an der Übergabe beteiligten Personen.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Er gilt für alle Tätigkeiten, bei denen der Auftragsverarbeiter, seine Beschäftigten oder Unterauftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeiten. Grundlage der Leistung ist das Nutzungsverhältnis über die App in ihrem jeweiligen Tarif (Gratis, Klassik oder Pro) samt der dazugehörigen Nutzungsbedingungen (nachfolgend „Hauptvertrag“).

§ 1 Gegenstand und Dauer

(1) Gegenstand des Auftrags ist die Bereitstellung der App als Online-Dienst (Software as a Service), insbesondere die Speicherung, Synchronisierung, Anzeige und Bereitstellung der vom Verantwortlichen erfassten Protokolldaten in seinem Nutzerkonto. Einzelheiten zu Art und Zweck der Verarbeitung, zu den Datenarten und den betroffenen Personen ergeben sich aus Anlage 1.

(2) Nicht Gegenstand dieses Vertrages ist die Verarbeitung der Konto- und Vertragsdaten des Verantwortlichen selbst (z. B. E-Mail-Adresse, Passwort-Hash, Tarif, Anmelde- und Versanddaten der System-E-Mails). Hierfür ist der Auftragsverarbeiter selbst Verantwortlicher; es gilt seine Datenschutzerklärung.

(3) Die App erzeugt PDF-Dokumente im Browser des Verantwortlichen und legt Arbeitskopien der Protokolle im Speicher des vom Verantwortlichen genutzten Endgeräts ab. Daten, die ausschließlich auf dem Endgerät des Verantwortlichen liegen oder die der Verantwortliche selbst weitergibt (z. B. Teilen, Drucken oder Versenden eines PDF), verarbeitet der Auftragsverarbeiter nicht; dafür ist allein der Verantwortliche zuständig.

(4) Der Vertrag beginnt mit seiner Annahme durch den Verantwortlichen bei der Registrierung oder im Nutzerkonto und läuft auf unbestimmte Zeit. Er endet automatisch mit dem Ende des Hauptvertrages, spätestens mit der Löschung des Nutzerkontos. Die Pflichten nach § 12 bestehen darüber hinaus fort, bis alle Daten gelöscht sind.

§ 2 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats hierzu verpflichtet. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen des Verantwortlichen werden abschließend durch diesen Vertrag, den Hauptvertrag und die Nutzung der Funktionen der App (z. B. Anlegen, Ändern, Löschen, Wiederherstellen, Exportieren und Teilen von Protokollen) erteilt. Darüber hinausgehende Einzelweisungen erteilt der Verantwortliche in Textform (z. B. E-Mail) an die in Anlage 4 genannte Adresse. Einzelweisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er ist berechtigt, die Durchführung der Weisung so lange auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Der Auftragsverarbeiter verwendet die Daten für keine anderen Zwecke, insbesondere nicht für Werbung, Profilbildung, Weiterverkauf oder das Training von Systemen künstlicher Intelligenz. Kopien oder Duplikate werden ohne Wissen des Verantwortlichen nicht erstellt; ausgenommen sind technisch notwendige Kopien zur ordnungsgemäßen Erbringung des Dienstes und, soweit eingerichtet, Datensicherungen.

§ 3 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit. Der Auftragsverarbeiter gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Derzeit hat ausschließlich der Inhaber Till Tristan Graf administrativen Zugang. Werden weitere Personen eingesetzt, werden sie vor Aufnahme der Tätigkeit schriftlich oder in Textform auf die Vertraulichkeit verpflichtet und in den Datenschutz eingewiesen.

(2) Kein Einblick ohne Anlass. Der Auftragsverarbeiter greift auf Inhalte der Protokolle nur zu, soweit dies zur Erbringung des Dienstes, zur Fehlerbehebung auf Bitte des Verantwortlichen, zur Abwehr von Sicherheitsvorfällen oder aufgrund gesetzlicher Pflicht erforderlich ist. Solche Zugriffe werden dokumentiert.

(3) Sicherheit. Der Auftragsverarbeiter ergreift alle nach Art. 32 DSGVO erforderlichen Maßnahmen (§ 4, Anlage 2).

(4) Verzeichnis. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag durchführt (Art. 30 Abs. 2 DSGVO).

(5) Datenschutzbeauftragter. Der Auftragsverarbeiter ist nach derzeitigem Stand nicht zur Benennung eines Datenschutzbeauftragten verpflichtet (Art. 37 DSGVO, § 38 BDSG). Ansprechpartner für Datenschutzfragen ist der Inhaber (Anlage 4).

(6) Ort der Verarbeitung. Die Protokolldaten werden in einem Rechenzentrum in Frankfurt am Main (Deutschland) gespeichert. Zu Zugriffen aus Drittländern siehe § 6.

(7) Behördenanfragen. Wendet sich eine Aufsichtsbehörde, ein Gericht oder eine andere Stelle wegen Daten des Verantwortlichen an den Auftragsverarbeiter, informiert dieser den Verantwortlichen unverzüglich, soweit rechtlich zulässig, und gibt Daten nur heraus, wenn er hierzu rechtlich verpflichtet ist.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Sie berücksichtigen den Stand der Technik, die Implementierungskosten, die Art, den Umfang, die Umstände und Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten der betroffenen Personen.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das in Anlage 2 beschriebene Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen durch eine aktualisierte Fassung der Anlage 2 zugänglich gemacht.

(3) Der Auftragsverarbeiter überprüft die Wirksamkeit der Maßnahmen regelmäßig, mindestens jährlich und vor jeder wesentlichen Änderung der App.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt hiermit die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 Satz 1 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform (E-Mail an die im Nutzerkonto hinterlegte Adresse oder Hinweis in der App). Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine Einigung zustande, kann jede Partei den Hauptvertrag und diesen Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen; der Verantwortliche kann seine Daten zuvor nach § 12 exportieren.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Bei großen Anbietern geschieht dies durch deren standardisierte Auftragsverarbeitungsverträge; der Auftragsverarbeiter prüft diese vor Einsatz auf Gleichwertigkeit.

(4) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten jenes Unterauftragsverarbeiters (Art. 28 Abs. 4 Satz 2 DSGVO).

(5) Keine Unterauftragsverarbeitung im Sinne dieses Vertrages sind Nebenleistungen, bei denen keine personenbezogenen Daten des Verantwortlichen verarbeitet werden, z. B. reine Telekommunikations-, Post- oder Bankdienstleistungen. Der Auftragsverarbeiter trifft auch hierfür angemessene Vorkehrungen zum Schutz der Daten.

§ 6 Verarbeitung außerhalb der EU / des EWR

(1) Die Protokolldaten werden innerhalb der Europäischen Union gespeichert (Rechenzentrum Frankfurt am Main, Amazon Web Services Region eu-central-1, betrieben über Supabase).

(2) Der Verantwortliche nimmt zur Kenntnis, dass Vertragspartner des Datenbankanbieters die Supabase Pte. Ltd. mit Sitz in Singapur ist und dass Supabase für Support, Betrieb, Sicherheit und Überwachung Konzerngesellschaften und weitere Unterauftragsverarbeiter in den USA und in Singapur einsetzt (Anlage 3). Dabei ist ein Zugriff auf Daten aus diesen Drittländern im Einzelfall möglich, insbesondere bei Support- oder Sicherheitsvorfällen. Diese Übermittlungen sind durch die von der EU-Kommission erlassenen Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3 „Auftragsverarbeiter an Auftragsverarbeiter“) abgesichert, die Bestandteil des Auftragsverarbeitungsvertrages von Supabase sind, ergänzt um zusätzliche Schutzmaßnahmen und eine Bewertung der Übermittlungsrisiken (Transfer Impact Assessment) des Anbieters. Soweit Empfänger in den USA nach dem EU-US Data Privacy Framework zertifiziert sind, kann die Übermittlung zusätzlich auf den Angemessenheitsbeschluss der EU-Kommission vom 10.07.2023 gestützt werden.

(3) Eine darüber hinausgehende Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Mit Annahme dieses Vertrages erteilt der Verantwortliche die Weisung für die in Absatz 2 und Anlage 3 beschriebenen Übermittlungen.

§ 7 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), Art. 28 Abs. 3 lit. e DSGVO.

(2) Der Verantwortliche kann diese Rechte in erster Linie selbst über die Funktionen der App umsetzen: Protokolle ansehen, als PDF oder Exportdatei ausgeben, ändern und löschen. Reichen die Funktionen nicht aus, unterstützt der Auftragsverarbeiter auf Anfrage in Textform.

(3) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, verweist er sie an den Verantwortlichen, soweit ihm eine Zuordnung möglich ist, und leitet das Ersuchen unverzüglich an den Verantwortlichen weiter. Er beantwortet das Ersuchen nicht selbst, es sei denn, der Verantwortliche weist ihn hierzu an.

§ 8 Meldung von Datenschutzverletzungen und weitere Unterstützung

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die Daten des Verantwortlichen betrifft, unverzüglich, möglichst innerhalb von 48 Stunden nachdem sie ihm bekannt geworden ist, an die im Nutzerkonto hinterlegte E-Mail-Adresse (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit bekannt: die Art der Verletzung, soweit möglich mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze; den Namen und die Kontaktdaten der Anlaufstelle; die wahrscheinlichen Folgen; die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht.

(3) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierzu, soweit möglich, mit dem Verantwortlichen ab.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung an die Aufsichtsbehörde, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung, vorherige Konsultation), Art. 28 Abs. 3 lit. f DSGVO.

(5) Für Unterstützungsleistungen nach §§ 7 und 8, die nicht auf einem Fehler oder Verstoß des Auftragsverarbeiters beruhen und über die Funktionen der App hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, sofern er dies vorher ankündigt.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Den Nachweis erbringt der Auftragsverarbeiter vorrangig durch diesen Vertrag samt Anlagen, eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen, Selbstauskünfte sowie die Nachweise und Zertifikate seiner Unterauftragsverarbeiter (z. B. SOC 2, ISO 27001), soweit verfügbar.

(3) Hält der Verantwortliche dies nicht für ausreichend, kann er nach rechtzeitiger Anmeldung (in der Regel mindestens 14 Tage), während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb mit dem Auftragsverarbeiter stehenden Prüfer durchführen lassen. Vor-Ort-Prüfungen beim Auftragsverarbeiter erstrecken sich nicht auf Rechenzentren von Unterauftragsverarbeitern; insoweit gelten deren Prüfberichte. Die Kosten einer Prüfung trägt der Verantwortliche, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß des Auftragsverarbeiters.

(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen oder Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.

§ 10 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO). Dazu gehört, Mieter, Eigentümer und weitere Beteiligte über die Verarbeitung ihrer Daten zu informieren (Art. 13, 14 DSGVO).

(2) Der Verantwortliche erfasst nur Daten, die für die Dokumentation der Wohnungsübergabe oder für die Wohnungsgeberbestätigung erforderlich sind. Er erfasst keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten, religiöse Überzeugungen) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO), auch nicht in Freitextfeldern oder auf Fotos, soweit sich das vermeiden lässt (z. B. keine Aufnahmen von Personen, Medikamenten oder Ausweisen).

(3) Der Verantwortliche schützt seine Zugangsdaten und das Endgerät, auf dem die App lokale Kopien der Protokolle speichert, vor unbefugtem Zugriff (z. B. Gerätesperre, Abmelden auf fremden Geräten) und verwahrt Exportdateien und PDFs sicher.

(4) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(5) Der Verantwortliche nimmt zur Kenntnis, dass der Auftragsverarbeiter im derzeitigen Ausbau keine automatische Datensicherung der Cloud-Daten durchführt. Für die Aufbewahrung der Protokolle über die Nutzung der App hinaus (z. B. für Beweis- oder Aufbewahrungszwecke) sorgt der Verantwortliche selbst, etwa durch Speichern der PDF-Dokumente oder der Exportdatei.

§ 11 Löschung und Rückgabe

(1) Löscht der Verantwortliche ein Protokoll, wird es zunächst in den Papierkorb der App verschoben und kann dort 7 Tage lang wiederhergestellt werden. Danach oder bei manuellem Leeren des Papierkorbs wird es endgültig aus der Datenbank gelöscht.

(2) Nach Beendigung dieses Vertrages oder des Hauptvertrages löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Löscht der Verantwortliche sein Nutzerkonto über die App, werden das Konto und alle in der Cloud gespeicherten Protokolle sofort gelöscht. Endet der Hauptvertrag auf andere Weise, erfolgt die Löschung spätestens 30 Tage nach Vertragsende.

(3) Vor der Löschung kann der Verantwortliche seine Daten jederzeit selbst über die Export- und PDF-Funktionen der App sichern („Rückgabe“). Eine darüber hinausgehende Herausgabe erfolgt auf Anfrage in einem gängigen, maschinenlesbaren Format (JSON), soweit die Daten noch vorhanden sind.

(4) Lokale Kopien auf den Endgeräten des Verantwortlichen werden durch die Löschung in der Cloud nicht automatisch entfernt. Ihre Löschung (z. B. über die App oder durch Löschen der Browserdaten) obliegt dem Verantwortlichen.

(5) Daten in Protokoll- und Sicherungssystemen der Unterauftragsverarbeiter werden nach deren Fristen überschrieben oder gelöscht. Die Löschung wird auf Verlangen in Textform bestätigt.

§ 12 Haftung

(1) Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Innenverhältnis haften die Parteien nach den gesetzlichen Vorschriften. Haftungsbeschränkungen des Hauptvertrages gelten auch für diesen Vertrag, soweit gesetzlich zulässig; sie gelten nicht für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, bei Vorsatz und grober Fahrlässigkeit sowie nicht gegenüber Ansprüchen betroffener Personen nach Art. 82 DSGVO.

§ 13 Schlussbestimmungen

(1) Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Der Auftragsverarbeiter speichert Zeitpunkt und Fassung der Annahme. Der Verantwortliche kann den Vertrag jederzeit in der App aufrufen, speichern und ausdrucken.

(2) Änderungen dieses Vertrages teilt der Auftragsverarbeiter mindestens 30 Tage vor ihrem Wirksamwerden in Textform mit. Ist eine Änderung nicht gesetzlich oder behördlich vorgeschrieben und benachteiligt sie den Verantwortlichen, bedarf sie seiner Zustimmung; verweigert er sie, kann jede Partei den Hauptvertrag kündigen.

(3) Bei Widersprüchen geht dieser Vertrag den Regelungen des Hauptvertrages vor, soweit es um den Schutz personenbezogener Daten geht.

(4) Sollten Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet werden, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und weist die Dritten darauf hin, dass die Hoheit über die Daten beim Verantwortlichen liegt.

(5) Sollte eine Bestimmung dieses Vertrages unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(6) Es gilt das Recht der Bundesrepublik Deutschland. Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand Gießen. Zwingende Gerichtsstände bleiben unberührt.

Anlagen
Anlage 1 – Beschreibung der Verarbeitung
Anlage 2 – Technische und organisatorische Maßnahmen
Anlage 3 – Unterauftragsverarbeiter
Anlage 4 – Kontakt und Weisungsempfänger

Anlage 1 – Beschreibung der Verarbeitung

1. Art und Zweck der Verarbeitung
Erheben (durch Eingabe des Verantwortlichen), Speichern, Synchronisieren zwischen Geräten, Anzeigen, Ändern, Verschieben in den Papierkorb, Wiederherstellen und Löschen von Protokolldaten. Zweck ist die digitale Dokumentation von Wohnungsübergaben (Einzug, Auszug, Vorabnahme) und von Übergaben beim Verkauf von Haus oder Wohnung sowie die Erstellung von Wohnungsgeberbestätigungen (§ 19 Bundesmeldegesetz) für den Verantwortlichen. PDF-Dokumente werden im Browser des Verantwortlichen erzeugt; sie werden vom Auftragsverarbeiter nicht gespeichert. Keine automatisierte Auswertung, keine KI-Verarbeitung, kein Tracking, keine Werbung.

2. Kategorien betroffener Personen

3. Arten personenbezogener Daten

Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen (siehe § 10 Abs. 2). Die Bilder der Unterschriften werden nicht mit technischen Mitteln zur eindeutigen Identifizierung ausgewertet und sind daher keine biometrischen Daten im Sinne von Art. 4 Nr. 14 DSGVO.

4. Speicherdauer
Bis zur Löschung durch den Verantwortlichen (zuzüglich 7 Tage Papierkorb) bzw. nach § 11.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle (Räume): Die Server werden nicht selbst betrieben. Die Daten liegen in Rechenzentren von Amazon Web Services in Frankfurt am Main (über Supabase) bzw. bei Hostinger; deren physische Sicherung ist durch Zertifizierungen der Anbieter belegt (z. B. ISO 27001, SOC 2). Der Arbeitsplatz des Inhabers befindet sich in einem abgeschlossenen privaten Raum.

Zugangskontrolle (Systeme):

Zugriffskontrolle (Daten):

Trennungskontrolle: Logische Trennung der Daten je Nutzerkonto durch Row Level Security; getrennte Entwicklungsstände in der Code-Verwaltung; Tests nur mit Testdaten, nicht mit echten Nutzerdaten.

Pseudonymisierung: Datensätze sind über zufällige Kennungen (UUID) dem Konto zugeordnet. Eine weitergehende Pseudonymisierung ist wegen des Zwecks (namentliche Übergabeprotokolle) nicht möglich.

2. Integrität

Weitergabekontrolle: Alle Verbindungen zwischen App, Webserver und Datenbank sind per TLS (HTTPS) verschlüsselt. Die Daten im Rechenzentrum sind nach Angaben von Supabase im Ruhezustand verschlüsselt (AES-256). Keine Weitergabe an Dritte außer an die Unterauftragsverarbeiter nach Anlage 3. PDF-Dokumente entstehen im Browser und werden nicht über den Server versendet.

Eingabekontrolle: Änderungszeitpunkte der Protokolle werden gespeichert. Zugriffe auf die Datenbank werden durch den Anbieter protokolliert (Supabase-Logs).

Schutz der Anwendung: Sicherheits-Kopfzeilen der Webseite (u. a. X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy); keine Einbindung fremder Skripte, Schriften oder Tracking-Dienste; keine unsichere Ausgabe von HTML. Inhaltsrichtlinie (Content-Security-Policy) und HSTS für App und Webseite.

3. Verfügbarkeit und Belastbarkeit

4. Verfahren zur regelmäßigen Überprüfung

Anlage 3 – Unterauftragsverarbeiter

Nur zur Information, keine Unterauftragsverarbeiter dieses Vertrages:

Anlage 4 – Kontakt und Weisungsempfänger

Auftragsverarbeiter: Tillmann Solutions, Till Tristan Graf, Südanlage 16B, 35390 Gießen
Weisungen, Datenschutzfragen und Meldungen: kontakt@wohnungsuebergabe24.de

Verantwortlicher: die Person bzw. das Unternehmen des Nutzerkontos; Mitteilungen an die im Nutzerkonto hinterlegte E-Mail-Adresse. Weisungsberechtigt ist der Kontoinhaber.

Zuständige Aufsichtsbehörde für den Auftragsverarbeiter: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Gustav-Stresemann-Ring 1, 65189 Wiesbaden.