Auftragsverarbeitungsvertrag (AVV)

Version 2.2 · Stand: 16.10.2026

zwischen dem registrierten Nutzer der Plattform Tenew als Auftraggeber (Verantwortlicher im Sinne der DSGVO, nachfolgend „Vermieter“) und
Georg Langolf, Timphorst 24, 48653 Coesfeld, als Auftragsverarbeiter (nachfolgend „Betreiber“).

Dieser Vertrag wird elektronisch geschlossen: Der Vermieter akzeptiert ihn bei der Registrierung (Art. 28 Abs. 9 DSGVO, elektronisches Format). Zeitpunkt, Version und IP-Adresse der Zustimmung werden gespeichert. Eine gesonderte Unterschrift ist nicht nötig.

§ 1 Gegenstand und Dauer

(1) Der Betreiber verarbeitet personenbezogene Daten im Auftrag des Vermieters, soweit der Vermieter die Plattform für die Vermietung von Wohnungen nutzt.

(2) Der Vertrag gilt für die Dauer des Nutzungsvertrags (Nutzungsbedingungen). Die Pflichten nach § 11 gelten über das Vertragsende hinaus, bis alle Auftragsdaten gelöscht oder zurückgegeben sind.

§ 2 Art und Zweck der Verarbeitung

Der Betreiber stellt die Plattform bereit und verarbeitet die Daten zu folgenden Zwecken: Organisation von Besichtigungen, Entgegennahme und Verwaltung von Bewerbungen, Kommunikation mit den beteiligten Personen per E-Mail, Durchführung und Dokumentation von Wohnungsabnahmen und Wohnungsübergaben sowie Aufbewahrung und Löschung dieser Daten. Die Verarbeitung umfasst insbesondere das Erheben, Speichern, Anzeigen, Übermitteln per E-Mail und Löschen.

§ 3 Arten der Daten

• Stammdaten und Kontaktdaten,
• Angaben aus der Bewerbung (Selbstauskunft) und hochgeladene Nachweise,
• Termin- und Vorgangsdaten einschließlich der Notizen des Vermieters,
• Dokumentation von Abnahme und Übergabe einschließlich Fotos und elektronischer Unterschriften,
• technische Daten, die bei der Nutzung anfallen (etwa IP-Adressen zu Nachweiszwecken).

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden von der Plattform nicht gezielt erhoben.

§ 4 Kategorien betroffener Personen

Mietinteressenten und Bewerber einschließlich der mit ihnen einziehenden Personen, aktuelle Mieter, künftige Mieter sowie weitere Personen, die an einem Termin teilnehmen (etwa Bevollmächtigte).

§ 5 Weisungen

(1) Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung des Vermieters. Die Weisungen sind grundsätzlich in den Funktionen und Einstellungen der Plattform abgebildet; weitere Weisungen erteilt der Vermieter in Textform.

(2) Hält der Betreiber eine Weisung für rechtswidrig, teilt er das dem Vermieter unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

(3) Eine Verarbeitung zu eigenen Zwecken des Betreibers findet nicht statt, soweit sie nicht gesetzlich vorgeschrieben ist.

§ 6 Vertraulichkeit

Der Betreiber setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 7 Technische und organisatorische Maßnahmen

Der Betreiber trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Er darf sie dem technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

§ 8 Unterauftragsverarbeiter

(1) Der Vermieter genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Über die Hinzunahme oder den Austausch eines Unterauftragsverarbeiters informiert der Betreiber den Vermieter vorab in Textform. Der Vermieter kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund Einspruch erheben. Finden beide Seiten keine Lösung, kann jede Seite den Nutzungsvertrag außerordentlich kündigen.

(3) Der Betreiber verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die denen dieses Vertrags entsprechen. Bei einer Übermittlung in ein Drittland sorgt er für geeignete Garantien nach Art. 44 ff. DSGVO.

§ 9 Unterstützung bei Betroffenenrechten

(1) Der Betreiber unterstützt den Vermieter mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO).

(2) Wendet sich eine betroffene Person unmittelbar an den Betreiber, leitet er das Anliegen unverzüglich an den Vermieter weiter.

§ 10 Meldepflichten und weitere Unterstützung

(1) Der Betreiber meldet dem Vermieter eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, und stellt die Informationen bereit, die der Vermieter für seine Meldungen nach Art. 33 und 34 DSGVO braucht.

(2) Der Betreiber unterstützt den Vermieter im Übrigen bei den Pflichten aus Art. 32 bis 36 DSGVO, soweit ihm die nötigen Informationen vorliegen.

§ 11 Löschung und Rückgabe

(1) Der Betreiber löscht personenbezogene Daten nach den im Dienst eingestellten oder in der Leistungsbeschreibung genannten Fristen, auf Weisung des Vermieters und spätestens nach Ende des Vertrags, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Die geltenden Fristen beschreibt die Hilfe unter Aufbewahrung und Löschung.

(2) Vor dem Ende des Vertrags kann der Vermieter die Daten über die Funktionen der Plattform herunterladen (etwa Protokolle als PDF).

(3) Sicherungskopien werden nach ihrer Aufbewahrungsfrist überschrieben; bis dahin können gelöschte Daten noch in ihnen enthalten sein.

§ 12 Nachweise und Kontrollen

(1) Der Betreiber stellt dem Vermieter die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind.

(2) Kontrollen erfolgen vorrangig durch Auskünfte und Unterlagen. Darüber hinaus kann der Vermieter nach angemessener Ankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebs Prüfungen vornehmen oder durch einen zur Verschwiegenheit verpflichteten Prüfer vornehmen lassen.

§ 13 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen der Nutzungsbedingungen.

§ 14 Schlussbestimmungen

(1) In Fragen des Datenschutzes geht dieser Vertrag den Nutzungsbedingungen vor.

(2) Die Anlagen sind Bestandteil dieses Vertrags. Anlage 1 darf der Betreiber nach § 7 fortschreiben, Anlage 2 nach § 8. Die Hilfe zu Aufbewahrung und Löschung beschreibt die im Dienst geltenden Fristen; ändern sie sich, wird der Vermieter vorab informiert.

(3) Änderungen dieses Vertrags werden wie Änderungen der Nutzungsbedingungen angekündigt. Version und Stand stehen oben.

(4) Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

• Hosting und Erreichbarkeit: Die Anwendung läuft auf einem gemieteten Server (siehe Anlage 2). Sie nimmt Verbindungen nur intern an; von außen ist sie nur über einen vorgeschalteten Proxy erreichbar.
• Verschlüsselung der Verbindung: Alle Seiten und Zugänge laufen über HTTPS (TLS).
• Zugangsschutz: Anmeldung mit Passwort; Passwörter werden nur als Hash (argon2id) gespeichert; nach mehreren Fehlversuchen wird die Anmeldung für 15 Minuten gesperrt; Sitzungen werden nur als Prüfwert (SHA-256) gespeichert, das Sitzungs-Cookie ist für Skripte nicht lesbar und wird nur über gesicherte Verbindungen gesendet; neue Konten werden per E-Mail bestätigt und vom Betreiber freigeschaltet.
• Zugriffsschutz: Rollen innerhalb eines Kontos (Inhaber und Mitarbeiter); Mietinteressenten und Mietparteien erreichen ihre Seiten nur über lange, zufällig erzeugte Links; Dokumente werden nur an angemeldete, berechtigte Nutzer ausgeliefert, mit der Anweisung, sie nicht zwischenzuspeichern (Cache-Control: no-store).
• Mandantentrennung: Die Daten jedes Kontos sind in der Datenbank seinem Konto zugeordnet und werden nur für dieses Konto abgefragt; hochgeladene Dateien liegen in einem eigenen Verzeichnis je Konto.
• Integrität: Jedes Foto und jedes abgeschlossene Protokoll erhält einen Prüfwert (SHA-256); abgeschlossene Protokolle sind unveränderlich; wichtige Vorgänge werden in einem Ereignisprotokoll festgehalten.
• Sicherungen: tägliche Sicherung der Datenbank und der hochgeladenen Dateien, lokal 14 Tage aufbewahrt, zusätzlich eine Kopie bei einem externen Speicherdienst (siehe Anlage 2), dort 30 Tage aufbewahrt. Die externe Kopie wird vor der Übertragung auf dem Server verschlüsselt; der Speicherdienst erhält Dateinamen und Inhalte nur verschlüsselt, der Schlüssel liegt nicht bei ihm. Sicherungen der Datenbank vor Wartungsarbeiten lokal bis zu 90 Tage.
• Verfügbarkeit: transaktionssichere Datenbank; die Anwendung wird von einer Prozessüberwachung bei einem Absturz neu gestartet.
• Schutz im Browser: Content-Security-Policy und weitere Sicherheits-Header; keine Skripte, Schriften oder Analysedienste von Dritten.
• Datensparsamkeit: IP-Adressen werden nur zu Nachweiszwecken gespeichert (Anmeldung, Abgabe einer Bewerbung, elektronische Unterschrift); Daten werden nach den Fristen der Hilfe automatisch gelöscht.

Anlage 2: Unterauftragsverarbeiter

Nicht in dieser Liste: Der Zahlungsdienst Stripe verarbeitet nur Daten des Vermieters selbst beim Kauf von Guthaben; dafür ist der Betreiber selbst verantwortlich. Erklärvideos von YouTube werden nur im Konto des Vermieters und erst nach einem Klick geladen. Beide verarbeiten keine Auftragsdaten.