Auftragsverarbeitungsvertrag (AV-Vertrag)
Nach Art. 28 DSGVO · Stand: 20.09.2026
Kundinnen und Kunden können diesen Vertrag mit ihren eigenen Angaben und zum Unterschreiben vorbereitet als PDF herunterladen – in den Einstellungen unter „Daten & Konto“.
1. Gegenstand und Dauer
Dieser Vertrag konkretisiert die Pflichten aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die der Auftraggeber im Rahmen der Nutzung von immofrog einstellt. Auftraggeber und damit Verantwortlicher ist der Kunde; wir sind Auftragsverarbeiter.
Der Vertrag beginnt mit der Nutzung von immofrog und läuft, solange der zugrunde liegende Nutzungsvertrag besteht. Er endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf.
2. Art und Zweck der Verarbeitung
Wir verarbeiten die Daten ausschließlich, um die vertraglich vereinbarte Leistung zu erbringen. Das umfasst:
- Speichern, Ordnen und Auswerten von Objekt-, Vertrags-, Kontakt-, Buchungs- und Abrechnungsdaten
- Erstellen von Dokumenten wie Nebenkostenabrechnungen, Mahnungen und Schreiben an Mieter
- Versand von E-Mails im Auftrag des Auftraggebers
- Auslesen hochgeladener Belege, Kontoauszüge und Dokumente mit Unterstützung künstlicher Intelligenz, sofern der Auftraggeber diese Funktion nutzt
- Ermitteln von Kartenkoordinaten zu Objektadressen
- Bereitstellen eines Mieterportals, sofern der Auftraggeber es einsetzt
3. Art der Daten und Kreis der Betroffenen
Verarbeitet werden die Datenarten, die der Auftraggeber einstellt: Stamm- und Kontaktdaten, Vertrags- und Abrechnungsdaten, Bankverbindungen und Zahlungsbewegungen, Zählerstände sowie Belege, Dokumente und Fotos.
Betroffen sind Mieterinnen und Mieter des Auftraggebers, deren Haushaltsangehörige, Dienstleister und Handwerksbetriebe, weitere vom Auftraggeber erfasste Kontakte sowie die Nutzerinnen und Nutzer seines Kontos.
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Der Auftraggeber stellt solche Daten nicht in immofrog ein.
4. Weisungsbindung
Wir verarbeiten die Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Auftraggebers. Die Nutzung der Anwendung durch den Auftraggeber gilt als Weisung; darüber hinausgehende Weisungen erteilt er in Textform an die im Impressum genannte Adresse.
Sind wir der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weisen wir den Auftraggeber darauf hin und dürfen die Ausführung aussetzen, bis er sie bestätigt oder ändert.
Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werten wir Inhalte des Auftraggebers nicht aus, um daraus eigene Dienste zu entwickeln oder Modelle zu trainieren.
5. Vertraulichkeit
Alle Personen, die auftragsgemäß Zugang zu den Daten haben können, sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort.
Ein Zugriff auf das Konto des Auftraggebers durch den Support erfolgt nur, soweit er zur Bearbeitung einer Anfrage oder zur Fehlerbehebung erforderlich ist. Jeder solche Zugriff wird protokolliert und ist für den Auftraggeber in seinem Konto einsehbar.
6. Technische und organisatorische Maßnahmen
Wir treffen die nach Art. 32 DSGVO erforderlichen Maßnahmen und halten sie auf dem Stand der Technik. Im Einzelnen:
- Betrieb von Anwendung, Datenbank und Dateien ausschließlich in Rechenzentren in Deutschland
- Verschlüsselte Übertragung aller Daten über HTTPS
- Strikte Trennung der Daten verschiedener Kundenkonten, abgesichert durch automatisierte Tests für jeden Zugriffspunkt
- Auslieferung von Dateien nur über signierte Links mit 15 Minuten Gültigkeit
- Rollen- und Rechtesystem innerhalb des Kundenkontos, vom Auftraggeber selbst verwaltet
- Optionale Zwei-Faktor-Anmeldung und Anmeldung per Passkey, Begrenzung von Anmeldeversuchen, Abgleich von Passwörtern mit bekannten Datenlecks
- Speicherung von Passwörtern ausschließlich als nicht umkehrbarer Hashwert
- Protokollierung von Löschungen, Rechteänderungen, Exporten und Supportzugriffen
- Regelmäßige Datensicherung
- Wiederherstellbarkeit gelöschter Datensätze über einen Papierkorb
7. Unterauftragsverarbeiter
Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Mit allen bestehen Verträge nach Art. 28 DSGVO; alle verarbeiten innerhalb der Europäischen Union.
- Hetzner Online GmbH, Gunzenhausen, Deutschland – Betrieb von Anwendung, Datenbank und Dateien
- Sendinblue GmbH (Brevo), Berlin, Deutschland – Versand von E-Mails
- Mistral AI SAS, Paris, Frankreich – Auslesen hochgeladener Dokumente, Formulieren der Tageszusammenfassung und Beantworten von Fragen im Hilfe-Chat, ohne Nutzung zum Training und ohne dauerhafte Speicherung nach der Verarbeitung
- OpenStreetMap Foundation, Vereinigtes Königreich – Ermitteln von Koordinaten zu Objektadressen; übermittelt wird ausschließlich die Adresse
8. Wechsel von Unterauftragsverarbeitern
Einen beabsichtigten Wechsel oder die Hinzunahme eines weiteren Unterauftragsverarbeiters teilen wir dem Auftraggeber mindestens vier Wochen vorher in Textform mit.
Der Auftraggeber kann innerhalb von zwei Wochen ab Zugang der Mitteilung aus wichtigem Grund widersprechen. Widerspricht er, können wir den Nutzungsvertrag zum Zeitpunkt der geplanten Änderung kündigen; bereits im Voraus gezahlte Vergütungen erstatten wir anteilig.
9. Unterstützung des Auftraggebers
Wir unterstützen den Auftraggeber im erforderlichen Umfang dabei, Anfragen betroffener Personen zu beantworten sowie seinen Pflichten aus Art. 32 bis 36 DSGVO nachzukommen.
Ein großer Teil davon steht dem Auftraggeber unmittelbar in der Anwendung zur Verfügung: Auskunft über gespeicherte Daten, Berichtigung, Löschung und der vollständige Export aller Daten und Dateien.
Wendet sich eine betroffene Person unmittelbar an uns, leiten wir die Anfrage unverzüglich an den Auftraggeber weiter und beantworten sie nicht selbst.
10. Meldung von Verletzungen des Schutzes personenbezogener Daten
Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Auftraggebers betrifft, informieren wir ihn unverzüglich in Textform – mit den uns bekannten Angaben zu Art und Umfang, den betroffenen Datenarten und den ergriffenen Maßnahmen.
Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und gegebenenfalls an die betroffenen Personen nach Art. 34 DSGVO obliegt dem Auftraggeber.
11. Nachweise und Kontrollen
Wir weisen die Einhaltung dieses Vertrags auf Anfrage in Textform nach. Der Auftraggeber kann sich darüber hinaus nach vorheriger Ankündigung mit angemessener Frist und zu üblichen Geschäftszeiten von der Einhaltung überzeugen.
Kontrollen dürfen den Betrieb nicht unangemessen stören. Für den Aufwand über eine Kontrolle im Kalenderjahr hinaus können wir eine angemessene Vergütung verlangen.
12. Löschung und Rückgabe
Der Auftraggeber kann seine Daten jederzeit selbst vollständig exportieren. Diese Möglichkeit steht ihm bis zum Ende des Nutzungsvertrags zur Verfügung.
Nach Beendigung des Nutzungsvertrags löschen wir die Daten des Auftraggebers. Beantragt er die Löschung seines Kontos, erfolgt sie endgültig nach einer Frist von 30 Tagen; innerhalb dieser Frist kann er sie widerrufen.
Unberührt bleiben gesetzliche Aufbewahrungspflichten, insbesondere für Rechnungen und steuerrelevante Unterlagen. Für deren Dauer bleibt die Verarbeitung auf die Aufbewahrung beschränkt.
13. Haftung und Schlussbestimmungen
Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Nutzungsvertrags.
Änderungen dieses Vertrags bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.
Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten im Auftrag betreffen. Stand: 20.09.2026.