(1) Der Auftragnehmer stellt dem Auftraggeber die Webanwendung Eloora für die Verwaltung vermieteter Garagen und Stellplätze bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die Rechte und Pflichten beider Seiten dazu nach Art. 28 DSGVO.

(2) Der Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet, also für die Dauer des Nutzungsvertrags und bis zur Löschung nach § 9.

(3) Der Vertrag wird mit der Zustimmung zu den Nutzungsbedingungen in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO) und gilt für den Kunden und jede seiner Gesellschaften. Die Parteien können ihn zusätzlich unterschreiben; es gilt derselbe Text.

(1) Zweck der Verarbeitung ist die Verwaltung der Mietverhältnisse des Auftraggebers: Stammdaten von Gesellschaften, Standorten, Einheiten und Mietern, Mietverträge, Forderungen, Zahlungseingänge und ihre Zuordnung, Kautionen, Dokumente und Schreiben einschließlich ihres Versands per E-Mail und per Post, Lieferantenrechnungen, die Bankanbindung oder der Import von Kontoauszügen sowie der KI-Assistent Eloora.

(2) Art der Verarbeitung: Erheben, Erfassen, Ordnen, Speichern, Abgleichen, Auslesen, Abfragen, Verwenden, Übermitteln an Empfänger, die der Auftraggeber bestimmt, Einschränken und Löschen.

(3) Arten der Daten: Namen, Anschriften und Kontaktdaten; Bankverbindungen (IBAN, Kontoinhaber); Vertragsdaten (Mietgegenstand, Laufzeit, Miete, Kaution); Forderungs- und Zahlungsdaten; Kontoumsätze (Gegenseite, Betrag, Verwendungszweck, Datum); Dokumente und Schreiben (etwa Mietverträge, Mahnungen, Übergabeprotokolle, Rechnungen); Angaben zu Vertretung und Vollmachten; Nachrichten an den Assistenten Eloora und seine Antworten.

(4) Kategorien betroffener Personen: Mieter und ihre Ansprechpartner; Personen, die Mieten zahlen, und andere Gegenseiten von Kontoumsätzen; Vertreter und Ansprechpartner der Gesellschaften des Auftraggebers; Lieferanten und Dienstleister; Mitglieder der Organisation des Auftraggebers.

(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber gibt sie nicht in Eloora ein.

(6) Die Verarbeitung findet in der Europäischen Union statt, ausgenommen bei den Unterauftragsverarbeitern, die Anlage 2 mit einer Verarbeitung oder einem Sitz außerhalb der EU nennt. Für sie gelten die Garantien nach § 5 Abs. 4.

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet. Dann teilt er dem Auftraggeber die Verpflichtung vorher mit, sofern das Recht dies nicht verbietet.

(2) Weisungen sind die Nutzungsbedingungen, dieser Vertrag und das, was Mitglieder des Auftraggebers in Eloora eingeben, freigeben und einstellen. Weitere Weisungen erteilt der Auftraggeber in Textform an team@eloora.io.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit. Er darf die Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Der Auftragnehmer verwendet die Daten für keine eigenen Zwecke. Er nutzt sie insbesondere nicht, um KI-Modelle zu trainieren, und gibt sie nicht an Dritte weiter, außer an Unterauftragsverarbeiter nach § 5 und an Empfänger, die der Auftraggeber bestimmt.

(1) Personen, die beim Auftragnehmer Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff auf die Produktionsdaten hat derzeit nur der Auftragnehmer selbst.

(2) Der Auftragnehmer greift auf die Daten des Auftraggebers nur zu, soweit es für den Betrieb, die Behebung von Fehlern, die Datensicherung oder eine Anfrage des Auftraggebers erforderlich ist.

(3) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 1 beschreibt. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

(4) Der Auftragnehmer unterstützt den Auftraggeber bei dessen Pflichten nach Art. 32 bis 36 DSGVO, soweit es um die Verarbeitung in Eloora geht.

(5) Einen Datenschutzbeauftragten hat der Auftragnehmer nicht benannt, weil keine Pflicht dazu besteht. Ansprechpartner für den Datenschutz ist Janik Dietz, team@eloora.io.

(1) Der Auftraggeber genehmigt die Unterauftragsverarbeiter, die Anlage 2 nennt.

(2) Der Auftraggeber erteilt eine allgemeine Genehmigung für weitere Unterauftragsverarbeiter. Der Auftragnehmer kündigt einen neuen oder ersetzten Unterauftragsverarbeiter mindestens vier Wochen vorher per E-Mail an. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann jede Seite den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen.

(3) Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser Vertrag ihm selbst auferlegt (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für dessen Einhaltung.

(4) Eine Übermittlung in ein Land außerhalb der EU und des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere mit den Standardvertragsklauseln der EU-Kommission.

(5) Keine Unterauftragsverarbeitung sind Leistungen, die der Auftraggeber selbst wählt und die Dritte in eigener Verantwortung erbringen, etwa die Bank des Auftraggebers, die Post bei der Zustellung eines Briefs oder die BANKSapi Technology GmbH, die Kontoinformations- und Zahlungsauslösedienste als eigenständig verantwortlicher Zahlungsdienstleister erbringt.

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen nach Art. 12 bis 22 DSGVO zu beantworten. Daten berichtigen, exportieren und löschen kann der Auftraggeber in Eloora weitgehend selbst.

(2) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem er davon erfahren hat.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Auftragnehmer ergänzt sie, sobald er mehr weiß, und unterstützt den Auftraggeber bei dessen Meldung an die Aufsichtsbehörde und bei der Benachrichtigung betroffener Personen.

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen.

(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung prüfen. Eine Prüfung vor Ort wird mindestens zwei Wochen vorher angemeldet, findet zu Geschäftszeiten statt und stört den Betrieb so wenig wie möglich. Ohne besonderen Anlass genügt eine Prüfung im Jahr.

(1) Bis zum Ende des Nutzungsvertrags kann der Auftraggeber seine Daten aus Eloora exportieren. Auf Verlangen stellt der Auftragnehmer sie ihm in einem gängigen Format bereit.

(2) Nach dem Ende löscht der Auftragnehmer die Daten des Auftraggebers innerhalb von 30 Tagen, es sei denn, das Recht der Union oder eines Mitgliedstaats verpflichtet ihn zur weiteren Speicherung. Löscht der Auftraggeber seine Organisation in Eloora selbst, werden ihre Daten sofort gelöscht.

(3) Gelöschte Daten können noch bis zu 30 Tage in den verschlüsselten nächtlichen Datensicherungen enthalten sein. Diese werden nach 30 Tagen gelöscht und nur genutzt, um Eloora nach einem Ausfall wiederherzustellen.

(4) Mit den Daten lässt der Auftragnehmer auch die Bankzugänge und Bankdaten des Auftraggebers bei BANKSapi löschen.

(1) In Fragen des Datenschutzes geht dieser Vertrag den Nutzungsbedingungen vor.

(2) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen.

(3) Der Auftragnehmer kann diesen Vertrag an geänderte Gesetze, Rechtsprechung oder Unterauftragsverarbeiter anpassen. Für wesentliche Änderungen gilt dasselbe Verfahren wie für die Nutzungsbedingungen: Sie werden erst wirksam, wenn der Auftraggeber zustimmt. Für Unterauftragsverarbeiter gilt § 5 Abs. 2.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach den Nutzungsbedingungen.

(5) Ist eine Bestimmung dieses Vertrags unwirksam, bleiben die übrigen wirksam. An die Stelle der unwirksamen tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.