Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Fassung 1.0 vom 23. September 2026

zwischen dem Kunden, der ImmoSync nutzt (im Folgenden „Verantwortlicher"), und Julian Schweizer, Schabringerstraße 2, 89407 Dillingen an der Donau, Anbieter von ImmoSync (im Folgenden „Auftragsverarbeiter").

Agenturen: Betreut der Kunde ImmoSync-Projekte im Auftrag Dritter, etwa als Agentur für Makler, handelt er diesen gegenüber selbst als Auftragsverarbeiter. Dann gilt dieser Vertrag als Vertrag über eine Unterauftragsverarbeitung nach Art. 28 Abs. 4 DSGVO: „Verantwortlicher" meint in diesem Fall den Kunden in seiner Rolle gegenüber seinen Auftraggebern, und der Kunde stellt sicher, dass diese dem Einsatz von ImmoSync zugestimmt haben. Die Pflichten aus diesem Vertrag gelten dann entsprechend auch zugunsten der Auftraggeber des Kunden.

Der Vertrag kommt zustande, indem der Verantwortliche ihm im Dashboard von ImmoSync zustimmt. Er gilt für alle Projekte seines Kontos. Die Zustimmung wird mit Zeitpunkt und Fassung gespeichert; das genügt der elektronischen Form nach Art. 28 Abs. 9 DSGVO.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt ImmoSync: Er nimmt Objektdaten entgegen, die die Maklersoftware des Verantwortlichen als OpenImmo-Export per FTP anliefert, bereitet sie auf und überträgt sie in das Framer-Projekt, das der Verantwortliche angibt. Er zeigt dem Verantwortlichen im Dashboard den Bestand, seine Veränderungen und ein Protokoll der Abgleiche.

(2) Der Vertrag gilt, solange der Verantwortliche ImmoSync nutzt, und endet mit der Löschung seines Kontos oder der Beendigung des Nutzungsverhältnisses.

§ 2 Art der Daten und betroffene Personen

(1) Verarbeitet werden die Daten, die der Export der Maklersoftware enthält. Personenbezogen sind darin typischerweise:

• Kontaktdaten von Ansprechpartnern (Name, Anrede, Telefon, E-Mail, Foto),
• Angaben zum Anbieter (Firma, Anschrift, Kontaktdaten),
• je nach Einstellung der Maklersoftware Objektadressen, die einer Person zuzuordnen sein können.

(2) Betroffen sind Mitarbeiter und Beauftragte des Verantwortlichen, gegebenenfalls Eigentümer von Objekten.

(3) Der Verantwortliche stellt sicher, dass der Export keine Daten enthält, die er nicht auf seiner Website veröffentlichen darf, und keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO).

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; dann teilt er dies vorher mit, soweit das Gesetz es nicht verbietet. Als Weisung gelten die Einstellungen im Dashboard (etwa Framer-Projekt, Feldzuordnung, Zeitplan) sowie Weisungen in Textform an hallo@getimmosync.de.

(2) Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, weist er unverzüglich darauf hin und darf ihre Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit hat ausschließlich der Auftragsverarbeiter selbst Zugang.

§ 5 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt den in Anlage 2 genannten Unterauftragsverarbeitern zu. Mit jedem besteht ein Vertrag, der ihm die Pflichten dieses Vertrags auferlegt.

(2) Einen neuen oder anderen Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist keine Einigung möglich, darf er das Nutzungsverhältnis zum Wechsel kündigen.

(3) Das Framer-Projekt des Verantwortlichen ist kein Unterauftrag: Die Übertragung dorthin erfolgt auf seine Weisung und mit seinem eigenen Zugangsschlüssel; Framer ist insoweit sein Dienstleister.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO). Anfragen, die ihn direkt erreichen, leitet er unverzüglich weiter.

(2) Er unterstützt ihn bei den Pflichten nach Art. 32–36 DSGVO, insbesondere bei der Meldung von Datenschutzverletzungen.

§ 8 Meldung von Verletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

§ 9 Löschung und Rückgabe

(1) Nach Ende der Verarbeitung löscht der Auftragsverarbeiter alle Daten des Verantwortlichen: übernommene Objekte, Abgleichsprotokolle und noch vorhandene Exporte. Löscht der Verantwortliche sein Konto im Dashboard, geschieht das sofort. In den nächtlichen Datensicherungen (Anlage 1) bleiben die Daten bis zu 14 Tage enthalten und werden dann mit der Sicherung gelöscht; sie werden in dieser Zeit nicht verwendet, außer um eine gestörte Datenbank wiederherzustellen.

(2) Auf Wunsch stellt der Auftragsverarbeiter die gespeicherten Objektdaten vor der Löschung in einem gängigen Format bereit. Die Daten auf der Website des Verantwortlichen in Framer sind davon nicht berührt; über sie verfügt er selbst.

(3) Server-Protokolle werden nach 14 Tagen gelöscht (siehe Anlage 1).

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung, in der Regel durch schriftliche Auskunft. Vor-Ort-Kontrollen beim Hosting-Anbieter richten sich nach dessen Bedingungen.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die gesetzlichen Bestimmungen.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen geht dieser Vertrag in Fragen des Datenschutzes vor.

(2) Änderungen werden als neue Fassung veröffentlicht und bedürfen der Zustimmung des Verantwortlichen im Dashboard.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Server bei Hetzner Online GmbH in Falkenstein (Deutschland), in einem Rechenzentrum mit Zutrittskontrolle des Anbieters.
• Firewall mit standardmäßiger Blockierung; von außen erreichbar sind nur Web (HTTPS), die Weiterleitung von HTTP auf HTTPS und der FTP-Eingang.
• Administrativer Zugang zum Server ausschließlich per SSH-Schlüssel.
• Dashboard nur nach Anmeldung; Passwörter werden als kryptografischer Hash gespeichert. Jedes Projekt hat eigene FTP-Zugangsdaten; auch deren Passwort wird nur als Hash gespeichert.
• Mandantentrennung: Jede Anfrage wird serverseitig darauf geprüft, ob das angemeldete Konto auf das jeweilige Projekt zugreifen darf.

Integrität

• Dashboard und Programmierschnittstelle ausschließlich über HTTPS (TLS).
• FTP-Eingang mit verschlüsselter Übertragung (FTPS, explizites TLS). Unterstützt eine Maklersoftware kein FTPS, ist die unverschlüsselte Übertragung derzeit noch möglich; der Verantwortliche sollte FTPS verwenden, wo seine Software es anbietet.
• Der Zugangsschlüssel zum Framer-Projekt wird serverseitig gespeichert und nie an den Browser ausgeliefert.
• Hochgeladene Dateien werden vor der Verarbeitung auf Größe und Format geprüft.

Verfügbarkeit und Belastbarkeit

• Automatische Sicherheitsupdates des Betriebssystems.
• Scheitert ein Abgleich, bleibt die Website auf dem letzten erfolgreichen Stand, und der Export bleibt für einen erneuten Abgleich gespeichert.
• Nächtliche Sicherung der Datenbank auf dem Server des Auftragsverarbeiters in Deutschland, nur für den Administrator lesbar, 14 Tage aufbewahrt. Die Wiederherstellung wurde erprobt. Die Sicherung liegt auf demselben Server wie die Anwendung.
• Die Objektdaten stammen aus der Maklersoftware des Verantwortlichen und lassen sich durch einen erneuten Export jederzeit wiederherstellen.

Löschung und Datensparsamkeit

• Exporte werden nach erfolgreichem Abgleich gelöscht.
• Server-Protokolle und Datensicherungen werden nach 14 Tagen automatisch gelöscht.
• Mit der Löschung eines Kontos werden alle Projekte, Objekte, Protokolle und Exporte gelöscht.

Überprüfung

• Vor jeder Änderung am System laufen automatische Prüfungen (Tests, Prüfung auf bekannte Sicherheitslücken in Abhängigkeiten, Suche nach versehentlich eingecheckten Schlüsseln).

Anlage 2 — Unterauftragsverarbeiter