Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „Vertrag" oder „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Software-as-a-Service-Plattform „RENTSTACK". Er gilt ergänzend zu den Allgemeinen Geschäftsbedingungen für alle Tätigkeiten, bei denen die RENTSTACK GmbH personenbezogene Daten im Auftrag des Kunden verarbeitet.

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde (nachfolgend „Verantwortlicher").

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist die RENTSTACK GmbH, Kerkrader Straße 9, 35394 Gießen, vertreten durch die Geschäftsführer Benjamin Kuckartz und Dr. Sascha Homfeld (nachfolgend „Auftragsverarbeiter").

§ 1 Gegenstand und Rangfolge

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten sowie die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Im Falle von Widersprüchen zwischen diesem AVV und anderen Vereinbarungen der Parteien gehen die Regelungen dieses AVV im Hinblick auf die Auftragsverarbeitung vor.

§ 2 Dauer

Die Laufzeit dieses AVV entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (Nutzungsvertrag über die Plattform), sofern sich aus den Bestimmungen dieses AVV keine darüber hinausgehenden Verpflichtungen ergeben (z. B. zur Löschung von Daten).

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen werden anfänglich durch diesen AVV und die Nutzung der Plattform festgelegt und können vom Verantwortlichen in Textform geändert, ergänzt oder ersetzt werden (Einzelweisungen).

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere,

• personenbezogene Daten nur weisungsgemäß und zu den vereinbarten Zwecken zu verarbeiten;
• die zur Verarbeitung befugten Personen zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
• die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO umzusetzen (siehe Anlage 2);
• die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern (§ 6) einzuhalten;
• den Verantwortlichen bei der Erfüllung seiner Pflichten zu unterstützen (§ 7);
• nach Wahl des Verantwortlichen die personenbezogenen Daten nach Abschluss der Verarbeitungsleistungen zu löschen oder zurückzugeben (§ 9);
• dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen und Überprüfungen zu ermöglichen (§ 10);
• einen etwaigen Datenschutzbeauftragten zu benennen bzw. eine verantwortliche Kontaktstelle für Datenschutzanfragen vorzuhalten.

§ 5 Technisch-organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Der Auftragsverarbeiter darf alternative, angemessene Maßnahmen umsetzen, sofern das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann einer solchen Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb einer angemessenen Frist widersprechen. Im Fall eines berechtigten Widerspruchs sind die Parteien berechtigt, den Vertrag hinsichtlich der betroffenen Leistung zu kündigen.

(3) Der Auftragsverarbeiter erlegt dem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind. Erfüllt der Unterauftragsverarbeiter seine Datenschutzpflichten nicht, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(4) Nicht als Unterauftragsverarbeitung im Sinne dieser Bestimmung gelten Nebenleistungen, die der Auftragsverarbeiter als Fremdleistung in Anspruch nimmt (z. B. Telekommunikations- oder Reinigungsleistungen).

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12–23 DSGVO), soweit dies dem Auftragsverarbeiter möglich ist.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der in den Art. 32–36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), unter Berücksichtigung der ihm zur Verfügung stehenden Informationen.

(3) Leitet eine betroffene Person Ansprüche unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich nach Bekanntwerden. Die Meldung enthält die dem Auftragsverarbeiter verfügbaren Informationen, die der Verantwortliche zur Erfüllung seiner Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) benötigt.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

(2) Der Verantwortliche ist gehalten, benötigte Daten rechtzeitig vor Vertragsende über die in der Plattform bereitgestellten Funktionen zu exportieren.

§ 10 Nachweise und Überprüfungen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der in diesem AVV festgelegten Pflichten erforderlichen Informationen zur Verfügung. Der Nachweis kann auch durch geeignete Zertifizierungen, aktuelle Testate oder Prüfberichte unabhängiger Stellen erbracht werden.

(2) Der Verantwortliche ist berechtigt, sich von der Einhaltung der Pflichten des Auftragsverarbeiters zu überzeugen. Kontrollen erfolgen mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs.

§ 11 Haftung

Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags (AGB), soweit sie mit den zwingenden Vorgaben der DSGVO vereinbar sind.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen mindestens der Textform.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Es gilt das Recht der Bundesrepublik Deutschland.

Anlage 1 – Gegenstand und Einzelheiten der Verarbeitung

Gegenstand und Zweck: Bereitstellung und Betrieb der Plattform RENTSTACK, insbesondere Betrieb des Mietkatalogs/Webshops des Verantwortlichen, Entgegennahme und Verwaltung von Buchungsanfragen sowie zugehöriger Kommunikations-, Import- und Auswertungsfunktionen.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Anpassen, Auslesen, Verwenden, Übermitteln (an Unterauftragsverarbeiter), Löschen und Vernichten personenbezogener Daten mittels der Plattform.

Kategorien betroffener Personen:

• Endkunden und Interessenten des Verantwortlichen (Anfragende);
• Mitarbeitende und Nutzer des Verantwortlichen;
• Ansprechpartner und sonstige Kontakte des Verantwortlichen.

Kategorien personenbezogener Daten:

• Stammdaten (z. B. Name, Firma, Anschrift);
• Kontaktdaten (z. B. E-Mail-Adresse, Telefonnummer);
• Anfrage- und Vertragsdaten (z. B. angefragte Artikel, Zeiträume, Nachrichten);
• Nutzungs- und Protokolldaten (z. B. Zugriffs- und Log-Daten);
• Zugangsdaten der Nutzer des Verantwortlichen (in verschlüsselter Form).

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Verantwortliche wird solche Daten nicht in die Plattform einstellen.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt – auch über seine Unterauftragsverarbeiter – insbesondere folgende Maßnahmen um:

• Vertraulichkeit: Zutrittskontrolle zu Rechenzentren über zertifizierte Betreiber; Zugangskontrolle über individuelle Benutzerkonten, Authentifizierung und rollenbasierte Berechtigungen; Zugriffskontrolle über Mandantentrennung (Row-Level-Security) und Need-to-know-Prinzip.
• Verschlüsselung: Transportverschlüsselung (TLS/HTTPS) bei der Datenübertragung sowie Verschlüsselung ruhender Daten auf Infrastrukturebene.
• Integrität: Weitergabe- und Eingabekontrolle durch Protokollierung sicherheitsrelevanter Vorgänge und abgesicherte Schnittstellen.
• Verfügbarkeit und Belastbarkeit: regelmäßige Datensicherungen, redundante Infrastruktur, Monitoring sowie Schutz vor unberechtigten Zugriffen.
• Verfahren zur Überprüfung und Bewertung: regelmäßige Überprüfung der Maßnahmen, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO), Auftragskontrolle gegenüber Unterauftragsverarbeitern.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Zum Zeitpunkt des Vertragsschlusses sind folgende Unterauftragsverarbeiter eingesetzt:

• Supabase – Hosting, Datenbank und Authentifizierung; Verarbeitung innerhalb der EU.
• Vercel – Hosting und Auslieferung der Anwendung (CDN).
• Stripe (Stripe Payments Europe, Limited) – Abwicklung von Zahlungen und Abonnements.
• Resend – Versand transaktionaler E-Mails (z. B. Bestätigungen, Benachrichtigungen).
• Rentman – optionale Anbindung an das Planungs-/ERP-System zur Synchronisation von Artikel- und Anfragedaten, sofern vom Verantwortlichen aktiviert.
• Anbieter von KI-Diensten – Erzeugung von Produkttexten und -inhalten, sofern der Verantwortliche entsprechende Funktionen nutzt.

Bei Übermittlungen in Drittländer stellt der Auftragsverarbeiter geeignete Garantien im Sinne der Art. 44 ff. DSGVO sicher (z. B. Angemessenheits­ beschluss oder Standardvertragsklauseln). Eine jeweils aktuelle Übersicht der Unterauftragsverarbeiter stellt der Auftragsverarbeiter auf Anfrage unter info@rentstack.de bereit.