Auftragsverarbeitungsvertrag

1. Gegenstand und Laufzeit

1.1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter für den
Verantwortlichen gemäß Artikel 28 der Datenschutz-Grundverordnung („DSGVO“ bzw. „GDPR“).

1.2. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags (einschließlich der
Softwarelizenz und der Allgemeinen Geschäftsbedingungen). Die Verarbeitung beginnt mit der Aktivierung der Leistungen und endet mit der Löschung oder Rückgabe sämtlicher personenbezogener Daten gemäß Artikel 12.

2. Beschreibung der Verarbeitung

2.1. Kategorien betroffener Personen

Die Verarbeitung kann insbesondere folgende Kategorien betroffener Personen betreffen:

• Mieter und Mitmieter;
• Eigentümer und Vermieter;
• Inspektoren und Mitarbeitende des Verantwortlichen;
• Lieferanten und externe Kontaktpersonen im Rahmen von Inspektionen;
• Kontaktpersonen bei Wohnungseigentümergemeinschaften, Sozialwohnungsunternehmen oder Behörden.

2.2. Kategorien personenbezogener Daten

Die konkreten Daten werden vom Verantwortlichen festgelegt und können insbesondere umfassen:

• Identifikationsdaten (Name, Vorname, Anschrift, Kontaktdaten);
• Daten zu zu inspizierenden Objekten und Standorten;
• Fotos, Videos und Inspektionsberichte;
• digitale Unterschriften;
• interne Vermerke und Referenzen;
• Benutzerkonten und Log-/Protokolldaten.

2.3. Arten der Verarbeitung

• Erheben, Erfassen und Speichern;
• Abfragen, Verwenden und Verarbeiten zu Inspektionszwecken;
• Ordnen, Strukturieren und Berichten;
• Übermitteln an den Verantwortlichen oder dessen Systeme;
• Backup, Archivierung und sichere Löschung.

2.4. Zwecke der Verarbeitung

• Durchführung, Dokumentation und Nachverfolgung digitaler Inspektionen und Inspektionsberichte;
• Verwaltung und Nachverfolgung von Immobilien;
• Erfüllung gesetzlicher Verpflichtungen im Zusammenhang mit Inspektionen und Dokumentation;
• Beweisführung im Zusammenhang mit Vermietung und Verwaltung von Immobilien.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• 3.1. personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten,
  sofern nicht eine rechtliche Verpflichtung etwas anderes erfordert;
• 3.2. personenbezogene Daten nicht für eigene Zwecke zu nutzen;
• 3.3. alle Personen, die unter seiner Verantwortung Zugang zu personenbezogenen Daten haben,
  vertraglich zur Vertraulichkeit zu verpflichten;
• 3.4. angemessene technische und organisatorische Maßnahmen im Sinne von Artikel 32 DSGVO zu treffen, einschließlich unter anderem:
  • Verschlüsselung der Daten bei der Übertragung und – soweit möglich – im Ruhezustand;
  • Zugriffssteuerung und Protokollierung (Logging);
  • Nutzung sicherer Rechenzentren;
  • Schutz vor Malware und unbefugtem Zugriff;
  • Überwachung der Systeme und Sicherheitsvorfälle;
• 3.5. den Verantwortlichen bei der Beantwortung von Betroffenenanfragen (Auskunft, Berichtigung, Löschung,
  Einschränkung, Datenübertragbarkeit, Widerspruch) zu unterstützen;
• 3.6. erforderlichenfalls bei Datenschutz-Folgenabschätzungen (DPIA) sowie bei der Zusammenarbeit mit
  Aufsichtsbehörden mitzuwirken;
• 3.7. keine Verarbeitung außerhalb der EU/des EWR vorzunehmen, sofern nicht die Voraussetzungen des Kapitels V DSGVO erfüllt sind;
• 3.8. ein aktuelles Verzeichnis der Verarbeitungstätigkeiten für die im Auftrag des Verantwortlichen
  durchgeführten Verarbeitungen zu führen.

4. Verletzungen des Schutzes personenbezogener Daten (Datenpannen)

4.1. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich und spätestens innerhalb von
24 Stunden schriftlich über jede festgestellte oder hinreichend wahrscheinlich vermutete Verletzung des Schutzes
personenbezogener Daten, die im Rahmen dieses Vertrags verarbeitete Daten betrifft.

4.2. Die Meldung enthält, soweit möglich, mindestens:

• die Art der Verletzung des Schutzes personenbezogener Daten und, sofern möglich, die Kategorien und die ungefähre
  Zahl der betroffenen Personen sowie der betroffenen Datensätze;
• die wahrscheinlichen Folgen der Verletzung;
• die bereits ergriffenen und/oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Minderung ihrer
  möglichen nachteiligen Auswirkungen.

4.3. Der Auftragsverarbeiter arbeitet in vollem Umfang mit dem Verantwortlichen zusammen bei der Bewertung
der Verletzung, bei etwaigen Meldungen an Aufsichtsbehörden und – sofern erforderlich – an betroffene Personen
sowie bei weiteren Untersuchungen und Abhilfemaßnahmen.

5. Unterauftragsverarbeiter

5.1. Der Auftragsverarbeiter ist berechtigt, Unterauftragsverarbeiter zur Erfüllung dieses Vertrags
einzusetzen, sofern diese Unterauftragsverarbeiter vertraglich an dieselben Datenschutz- und Sicherheitsverpflichtungen
gebunden werden, wie sie in diesem Vertrag festgelegt sind, gemäß Artikel 28 Absatz 4 DSGVO.

5.2. Der Auftragsverarbeiter führt eine aktuelle Liste der Unterauftragsverarbeiter (siehe
Anlage I – Liste der Unterauftragsverarbeiter). Diese Liste enthält mindestens:

• die juristische Person;
• den Zweck der Verarbeitung;
• den Hosting- bzw. Verarbeitungsstandort;
• die Anschrift des Unterauftragsverarbeiters.

5.3. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Einsatz oder
Austausch eines Unterauftragsverarbeiters. Die Mitteilung erfolgt per E-Mail oder mittels einer Benachrichtigung in
der Applikation.

5.4. Der Verantwortliche ist berechtigt, innerhalb dieser Frist begründet Widerspruch einzulegen, wenn:

• der Unterauftragsverarbeiter keine ausreichenden Garantien im Hinblick auf Datenschutz und Informationssicherheit bietet; oder
• der Unterauftragsverarbeiter personenbezogene Daten in einem Land ohne angemessenes Schutzniveau und ohne gültigen
  Übermittlungsmechanismus verarbeitet.

5.5. Ist ein Widerspruch zulässig, werden die Parteien versuchen, eine angemessene Lösung zu finden.
Kommt innerhalb von 15 Tagen keine Lösung zustande, ist der Verantwortliche berechtigt:

• die betroffene Leistung zu beenden; oder
• die Verarbeitung so zu beschränken, dass der betreffende Unterauftragsverarbeiter nicht eingesetzt wird.

5.6. Der Auftragsverarbeiter bleibt in vollem Umfang für die Handlungen und Unterlassungen aller
Unterauftragsverarbeiter verantwortlich. Ein Verstoß eines Unterauftragsverarbeiters gilt als Verstoß des
Auftragsverarbeiters.

5.7. Verarbeitet ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU/des EWR, stellt
der Auftragsverarbeiter sicher, dass:

• ein gültiger Mechanismus für die internationale Datenübermittlung (z. B. EU-Standardvertragsklauseln oder ein
  Angemessenheitsbeschluss) genutzt wird; und
• erforderlichenfalls zusätzliche Maßnahmen getroffen werden (z. B. Verschlüsselung, Pseudonymisierung, vertragliche
  Sicherheitsauflagen).

5.8. Der Verantwortliche kann auf Anfrage eine Kopie der relevanten Datenverarbeitungsvereinbarungen
zwischen dem Auftragsverarbeiter und dessen Unterauftragsverarbeitern erhalten, wobei vertrauliche geschäftliche
Informationen unkenntlich gemacht werden dürfen.

5.9. Der Auftragsverarbeiter setzt Unterauftragsverarbeiter ausschließlich insoweit ein, wie dies für
die Erbringung der Chapps-Leistungen erforderlich ist.

6. Internationale Datenübermittlungen

6.1. Werden personenbezogene Daten im Rahmen dieses Vertrags außerhalb der EU/des EWR verarbeitet,
stellen die Parteien sicher, dass die Übermittlung den Vorgaben des Kapitels V DSGVO entspricht (insbesondere
Angemessenheitsbeschlüsse, EU-Standardvertragsklauseln oder andere von der Europäischen Kommission genehmigte Mechanismen).

6.2. Der Auftragsverarbeiter informiert den Verantwortlichen auf Anfrage transparent über die Länder,
in denen personenbezogene Daten gespeichert oder verarbeitet werden.

7. Rechte betroffener Personen

7.1. Der Verantwortliche ist primär zuständig für die Bearbeitung von Anfragen betroffener Personen in
Bezug auf deren Rechte nach der DSGVO.

7.2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unentgeltlich und innerhalb einer angemessenen Frist (maximal 5 Arbeitstage) bei:

• Auskunfts- und Berichtigungsersuchen;
• Anträgen auf Löschung oder Einschränkung der Verarbeitung;
• Anträgen auf Datenübertragbarkeit;
• Widersprüchen gegen bestimmte Verarbeitungen.

8. Sicherheit der Verarbeitung

8.1. Der Auftragsverarbeiter implementiert Sicherheitsmaßnahmen, die dem Risiko angemessen sind, darunter insbesondere:

• Zugriffssteuerung nach dem Prinzip „Need-to-know“ und „Least Privilege“;
• starkes Passwort- und Authentifizierungskonzept;
• verschlüsselte Kommunikation (z. B. TLS) und – soweit möglich – verschlüsselte Speicherung;
• Firewalls, Netzwerksegmentierung und Monitoring;
• regelmäßige Überprüfung und Anpassung der Sicherheitsmaßnahmen.

8.2. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage eine Beschreibung der wichtigsten
technischen und organisatorischen Sicherheitsmaßnahmen zur Verfügung.

9. Audit und Inspektion

9.1. Der Verantwortliche ist berechtigt, höchstens einmal jährlich oder bei begründetem Verdacht auf
einen Verstoß ein Audit oder eine Inspektion in Bezug auf die Einhaltung dieses Vertrags durchführen zu lassen.

9.2. Audits erfolgen mit angemessener vorheriger Ankündigung und dürfen die Geschäftstätigkeit des
Auftragsverarbeiters nicht unangemessen stören.

9.3. Der Auftragsverarbeiter kann alternative Nachweise vorlegen, etwa aktuelle externe Prüfberichte
oder Zertifizierungen, sofern diese die relevanten Sicherheitsaspekte ausreichend abdecken.

10. Vertraulichkeit

10.1. Der Auftragsverarbeiter behandelt alle personenbezogenen Daten, die er im Auftrag des
Verantwortlichen verarbeitet, streng vertraulich.

10.2. Der Auftragsverarbeiter stellt sicher, dass alle Mitarbeiter, Berater oder sonstige Personen, die
unter seiner Verantwortung handeln und Zugriff auf personenbezogene Daten haben, einer angemessenen
Vertraulichkeitsverpflichtung unterliegen.

11. Haftung

11.1. Jede Partei haftet für Schäden, die aus eigenen Verstößen gegen die DSGVO oder diesen Vertrag entstehen,
soweit diese ihr zuzurechnen sind.

11.2. Außer bei Vorsatz oder grober Fahrlässigkeit ist die Gesamthaftung des Auftragsverarbeiters aus
oder im Zusammenhang mit diesem Vertrag auf die Beträge begrenzt, die der Verantwortliche für die betreffenden
Leistungen in den letzten zwölf (12) Monaten vor dem schadensauslösenden Ereignis tatsächlich an den
Auftragsverarbeiter gezahlt hat.

11.3. Keine Partei haftet für indirekte Schäden, Folgeschäden, entgangenen Gewinn oder entgangene
Chancen, soweit zwingendes Recht nichts anderes vorsieht.

12. Beendigung der Verarbeitung

12.1. Bei Beendigung des Hauptvertrags oder auf ausdrücklichen schriftlichen Wunsch des Verantwortlichen
wird der Auftragsverarbeiter nach Wahl des Verantwortlichen:

• alle personenbezogenen Daten löschen; oder
• alle personenbezogenen Daten an den Verantwortlichen zurückgeben; oder
• die Daten zunächst zurückgeben und anschließend löschen.

12.2. Der Auftragsverarbeiter löscht sämtliche personenbezogenen Daten endgültig spätestens 30 Tage
nach Ende des Abonnements oder der Leistungen, sofern keine gesetzliche Aufbewahrungspflicht eine längere
Speicherung erfordert.

12.3. Der Auftragsverarbeiter kann dem Verantwortlichen auf Anfrage eine schriftliche Bestätigung der
Löschung zur Verfügung stellen.

13. Anwendbares Recht und Gerichtsstand

13.1. Für diesen Vertrag gilt ausschließlich belgisches Recht.

13.2. Alle Streitigkeiten, die sich aus oder im Zusammenhang mit diesem Vertrag ergeben, unterliegen der
ausschließlichen Zuständigkeit der Gerichte des Gerichtsbezirks Halle-Vilvoorde (Belgien).

14. Rangfolge und Verhältnis zu anderen Dokumenten

14.1. Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und dem Hauptvertrag gilt folgende Reihenfolge:

1. dieser Auftragsverarbeitungsvertrag;
2. die Softwarelizenz;
3. die Allgemeinen Geschäftsbedingungen;
4. das vom Kunden akzeptierte Angebot bzw. Service-Proposal.

14.2. Dieser Vertrag ersetzt alle früheren Auftragsverarbeitungsverträge zwischen den Parteien in Bezug
auf dieselben Leistungen.

15. Änderungen

15.1. Der Auftragsverarbeiter kann diesen Vertrag ändern, sofern dies aufgrund von Gesetzesänderungen,
Sicherheitsanforderungen oder betrieblichen Erfordernissen notwendig ist.

15.2. Änderungen werden, soweit zumutbar, mindestens 30 Tage im Voraus über die Website von Chapps oder
andere übliche Kommunikationskanäle bekanntgegeben.

15.3. Hat eine Änderung wesentliche Auswirkungen auf die Rechte oder Pflichten des Verantwortlichen, kann
der Verantwortliche den Vertrag hinsichtlich der betroffenen Leistungen vor dem Inkrafttreten der Änderung kündigen.

16. Sprache und Auslegung

Dieser Auftragsverarbeitungsvertrag kann in mehreren Sprachen zur Verfügung gestellt werden. Im Falle von
Widersprüchen, Auslegungsunterschieden oder Unstimmigkeiten zwischen einer übersetzten Fassung und der
niederländischsprachigen Fassung gilt ausschließlich die niederländische Fassung als maßgeblich.

Anlage I – Liste der Unterauftragsverarbeiter

Nachfolgend die Liste der von Chapps AG eingesetzten und sorgfältig ausgewählten Unterauftragsverarbeiter, die den
hohen Anforderungen von Chapps in Bezug auf Sicherheit und Datenschutz genügen.