Auftragsverarbeitungsvertrag (AVV)

Letzte Aktualisierung: 2026-08-11

Wenn Sie als Arvivo-Kunde personenbezogene Daten Dritter (insbesondere Ihrer Mieter) in Arvivo verarbeiten, sind Sie insoweit „Verantwortlicher“ im Sinne von Art. 4 Nr. 7 DSGVO und Arvivo „Auftragsverarbeiter“ im Sinne von Art. 4 Nr. 8 DSGVO. Dieser Vertrag konkretisiert die beiderseitigen Pflichten aus Art. 28 DSGVO und wird mit Buchung eines kostenpflichtigen Tarifs Bestandteil des Hauptvertrags (AGB). Er basiert auf den Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Art. 28 Abs. 7 DSGVO (Durchführungsbeschluss (EU) 2021/915 der Kommission vom 4. Juni 2021), ergänzt um die nach Art. 28 Abs. 3, 4 DSGVO erforderlichen Anhänge.

Abschnitt I — Allgemeines

Klausel 1 — Zweck und Anwendungsbereich

Mit diesen Klauseln soll die Einhaltung von Art. 28 Abs. 3 und 4 DSGVO sichergestellt werden. Der in Anhang I genannte Verantwortliche und der in Anhang I genannte Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Art. 28 Abs. 3 und 4 DSGVO zu gewährleisten. Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II. Die Anhänge I bis IV sind Bestandteil der Klauseln. Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der DSGVO unterliegt. Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V DSGVO erfüllt werden.

Klausel 2 — Unabänderbarkeit der Klauseln

Die Parteien verpflichten sich, die Klauseln 1–10 dieses Vertrags nicht zu ändern, es sei denn zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen. Dies hindert die Parteien nicht daran, weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3 — Auslegung

Werden in diesen Klauseln die in der DSGVO definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der DSGVO. Diese Klauseln sind im Lichte der Bestimmungen der DSGVO auszulegen und dürfen nicht in einer Weise ausgelegt werden, die den in der DSGVO vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4 — Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen zwischen den Parteien (insbesondere den AGB) haben diese Klauseln in Bezug auf die Verarbeitung personenbezogener Daten Vorrang.

Abschnitt II — Pflichten der Parteien

Klausel 6 — Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7 — Pflichten der Parteien

7.1 Weisungen. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung weitere Weisungen erteilen; diese sind stets zu dokumentieren. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.

7.2 Zweckbindung. Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für die in Anhang II genannten Zwecke, sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3 Dauer der Verarbeitung. Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4 Sicherheit der Verarbeitung. Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen. Er gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist, und stellt sicher, dass sich die zugangsberechtigten Personen zur Vertraulichkeit verpflichtet haben.

7.5 Sensible Daten. Die im Rahmen von Arvivo vorgesehene Verarbeitung betrifft nach ihrem bestimmungsgemäßen Zweck keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten. Sollte der Verantwortliche entgegen der bestimmungsgemäßen Nutzung dennoch solche Daten eingeben, obliegt ihm die eigenständige Prüfung der Rechtsgrundlage; der Auftragsverarbeiter wendet in diesem Fall dieselben technischen und organisatorischen Maßnahmen wie für sonstige Daten an.

7.6 Dokumentation und Einhaltung der Klauseln. Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis erforderlichen Informationen zur Verfügung und gestattet die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung, mit angemessener Vorankündigung.

7.7 Einsatz von Unterauftragsverarbeitern. Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern gemäß der in Anhang IV geführten Liste. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens vier Wochen im Voraus in Textform (z. B. per E-Mail) über beabsichtigte Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um Einwände zu erheben. Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter, erfolgt dies im Wege eines Vertrags, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt wie dem Auftragsverarbeiter. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten nachkommt.

7.8 Internationale Datenübermittlungen. Jede Übermittlung von Daten durch den Auftragsverarbeiter oder einen Unterauftragsverarbeiter an ein Drittland erfolgt nur, soweit dies mit Kapitel V DSGVO im Einklang steht (insbesondere durch Angemessenheitsbeschluss oder EU-Standardvertragsklauseln für internationale Datenübermittlungen).

Klausel 8 — Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von einer betroffenen Person erhalten hat, und beantwortet diesen nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt. Er unterstützt den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen zu beantworten, sowie – unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen – bei der Einhaltung der Pflichten zur Datenschutz-Folgenabschätzung, zur Konsultation der Aufsichtsbehörde, zur Sicherstellung sachlich richtiger Daten und der Pflichten nach Art. 32 DSGVO. Die hierfür vorgesehenen technischen und organisatorischen Maßnahmen sind in Anhang III festgelegt.

Klausel 9 — Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Die Meldung enthält mindestens eine Beschreibung der Art der Verletzung (soweit möglich mit Angabe der Kategorien und der ungefähren Zahl betroffener Personen und Datensätze), Kontaktdaten einer Anlaufstelle sowie die voraussichtlichen Folgen und ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Können nicht alle Informationen gleichzeitig bereitgestellt werden, enthält die ursprüngliche Meldung die zu diesem Zeitpunkt verfügbaren Informationen; weitere Informationen folgen ohne unangemessene Verzögerung. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Übrigen bei der Erfüllung von dessen Pflichten nach Art. 33 und 34 DSGVO.

Abschnitt III — Schlussbestimmungen

Klausel 10 — Verstöße gegen die Klauseln und Beendigung des Vertrags

Kommt der Auftragsverarbeiter seinen Pflichten aus diesen Klauseln nicht nach, kann der Verantwortliche ihn anweisen, die Verarbeitung auszusetzen, bis die Einhaltung wiederhergestellt oder der Vertrag beendet ist. Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten betrifft, wenn die Einhaltung nach einer Aussetzung nicht innerhalb eines Monats wiederhergestellt wird, der Auftragsverarbeiter erheblich oder fortdauernd gegen diese Klauseln oder die DSGVO verstößt, oder er einer bindenden Entscheidung eines zuständigen Gerichts oder einer Aufsichtsbehörde nicht nachkommt. Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück und löscht bestehende Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Anhang I — Liste der Parteien

Auftragsverarbeiter:
Tim Boskugel
Spadenländer Hauptdeich 99, 21037 Hamburg
E-Mail: info@arvivo.de

Verantwortlicher: der jeweilige Arvivo-Kunde mit einem kostenpflichtigen Tarif, gemäß dessen bei der Registrierung und im Konto hinterlegten Namens-, Anschrifts- und Kontaktdaten.

Anhang II — Beschreibung der Verarbeitung

Kategorien betroffener Personen: Mieter und weitere im Mietverhältnis genannte Personen (z. B. Mitbewohner, Bürgen), deren Daten der Verantwortliche in Arvivo einträgt.

Kategorien personenbezogener Daten: Name und Kontaktdaten (Anschrift, E-Mail, Telefon), Mietvertragsdaten (Mietbeginn, Miethöhe, Mietperioden), Zahlungs- und Kontoverbindungsdaten (u. a. IBAN), sowie im Rahmen der Nebenkostenabrechnung erfasste Haushaltsangaben (z. B. Personenzahl). Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der bestimmungsgemäßen Nutzung.

Art der Verarbeitung: Erhebung, Speicherung, Organisation, Verwendung, Offenlegung durch Übermittlung (z. B. Erstellung von Abrechnungen und Mahnschreiben) und Löschung im Rahmen des Betriebs der SaaS-Anwendung Arvivo.

Zweck der Verarbeitung: Bereitstellung der SaaS-Anwendung Arvivo zur Verwaltung von Mietverhältnissen (Vertrags-, Zahlungs-, Dokumenten- und Nebenkostenverwaltung) im Auftrag des Verantwortlichen.

Dauer der Verarbeitung: Für die Dauer des Hauptvertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter, zzgl. der in der Datenschutzerklärung genannten Lösch- und Aufbewahrungsfristen nach Vertragsende.

Anhang III — Technische und organisatorische Maßnahmen

Verschlüsselte Übertragung sämtlicher Verbindungen per TLS/HTTPS.
Feldbasierte Verschlüsselung besonders sensibler Daten (u. a. Bankverbindungen) in der Datenbank mit authentifizierter Verschlüsselung (AES-GCM), zusätzlich zur Transportverschlüsselung.
Passwort-Hashing über ASP.NET Core Identity; Konto-Sperre nach mehreren fehlgeschlagenen Anmeldeversuchen.
Rollenbasierte Zugriffskontrolle sowie Mandantentrennung auf Datenbankebene, sodass Nutzer ausschließlich auf die ihrem eigenen Konto zugeordneten Daten zugreifen können.
Die Datenbank ist nicht öffentlich aus dem Internet erreichbar, sondern nur über ein internes Netzwerk für die Anwendung selbst.
Verwaltung von Zugangsdaten/Secrets über einen dedizierten Secret-Manager statt Ablage im Quellcode oder Container-Image.
Protokollierung sicherheitsrelevanter Vorgänge über strukturiertes Logging.

Noch zu ergänzen/bestätigen: konkrete Angaben zu Backup-Frequenz und -Aufbewahrung, physischer Standort und Absicherung der Hosting-Infrastruktur sowie etwaige Zertifizierungen des Hosting-Anbieters.

Anhang IV — Liste der Unterauftragsverarbeiter

Der Verantwortliche genehmigt die Inanspruchnahme folgender Unterauftragsverarbeiter:

Amazon Web Services (AWS) — Objektspeicher für hochgeladene Dokumente (Region eu-north-1, Stockholm, EU) sowie ggf. Server-Hosting der Anwendung.
STRATO AG (Deutschland) — Versand von System- und Benachrichtigungs-E-Mails (SMTP).
Stripe — Zahlungsabwicklung für kostenpflichtige Tarife. Stripe verarbeitet die hierfür erforderlichen Daten als eigenständiger Auftragsverarbeiter auf Grundlage seiner eigenen, gesondert abzuschließenden bzw. zu bestätigenden Datenverarbeitungsvereinbarung.