Vertrag zur Auftragsverarbeitung

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Gegenstand ist die Bereitstellung der gebuchten MyInvest-Pro-Software einschließlich Hosting, Support, Wartung, Datensicherung und vertraglich vereinbarter Schnittstellen. Die Verarbeitung dauert grundsätzlich so lange wie der Nutzungsvertrag und endet nach Rückgabe beziehungsweise Löschung der Auftragsdaten.

MyInvest Pro speichert, strukturiert, übermittelt und sichert Daten ausschließlich, um die vom Kunden gewählten CRM-, Projekt-, Dokument-, Kommunikations-, Finanzierungsworkflow- und Provisionsfunktionen zu erbringen. MyInvest Pro trifft keine eigene Kreditentscheidung und nutzt Auftragsdaten nicht für eigene Werbung oder eigene Profile.

Betroffene Personen können insbesondere sein:

• Mitarbeiter, Nutzer, Handelsvertreter und Vertriebspartner des Kunden,
• Interessenten, Kunden, Eigentümer, Käufer und sonstige Geschäftskontakte,
• Ansprechpartner bei Bauträgern, Finanzierungs- und Projektpartnern.

Arten personenbezogener Daten können insbesondere sein:

• Stamm-, Kontakt-, Vertrags-, Objekt- und Kommunikationsdaten,
• Dokumente, Aufgaben, Notizen, Status- und Provisionsinformationen,
• vom Kunden eingegebene Finanzierungs- und Bonitätsangaben,
• Nutzer-, Rollen-, Protokoll- und Supportdaten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO dürfen nur verarbeitet werden, wenn der Kunde dies vorab freigegeben, eine Rechtsgrundlage dokumentiert und die erforderlichen zusätzlichen Schutzmaßnahmen vereinbart hat.

Der Kunde bleibt für Rechtmäßigkeit, Transparenz, Datenminimierung und Betroffenenrechte verantwortlich. MyInvest Pro verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden; dokumentierte Weisungen ergeben sich aus Vertrag, Produktkonfiguration und Supportanfragen.

Ist MyInvest Pro nach dem Recht der Europäischen Union oder eines Mitgliedstaats zu einer Verarbeitung ohne Weisung verpflichtet, teilt MyInvest Pro dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen zu Übermittlungen in ein Drittland oder an eine internationale Organisation bedürfen der dokumentierten Textform. Hält MyInvest Pro eine Weisung für rechtswidrig, wird der Kunde informiert und die Ausführung bis zur Klärung ausgesetzt, soweit keine gesetzliche Pflicht entgegensteht.

Zugriff auf Auftragsdaten erhalten nur autorisierte Personen, die vor dem Zugriff auf Vertraulichkeit verpflichtet und über die maßgeblichen Datenschutzanforderungen unterrichtet wurden.

MyInvest Pro hält risikoadäquate Maßnahmen nach Art. 32 DSGVO aufrecht und überprüft sie bei wesentlichen technischen Änderungen. Die Maßnahmen umfassen insbesondere:

• verschlüsselte Übertragung über aktuelle TLS-Verfahren,
• rollenbezogene Zugriffe, getrennte administrative Berechtigungen und Least Privilege,
• Protokollierung sicherheits- und vertragsrelevanter Vorgänge,
• Mandantentrennung und Schutz gegen unberechtigte Datenbankzugriffe,
• anbieterbasierte Verschlüsselung gespeicherter Daten und geregelte Backups,
• Patch-, Schwachstellen-, Incident- und Wiederherstellungsverfahren,
• Datenminimierung, Lösch- und Exportprozesse sowie regelmäßige Wirksamkeitskontrollen.

Maßnahmen dürfen technisch weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht abgesenkt wird.

Der Kunde erteilt eine allgemeine Genehmigung für die im /unterauftragsverarbeiter genannten Anbieter. Neue oder ersetzte Unterauftragsverarbeiter werden grundsätzlich mindestens 14 Tage vor ihrem Einsatz angekündigt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Parteien suchen dann eine zumutbare Alternative; ist dies nicht möglich, kann die betroffene Leistung beendet werden.

MyInvest Pro legt jedem Unterauftragsverarbeiter durch Vertrag mindestens dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Erfüllt der Unterauftragsverarbeiter seine Pflichten nicht, bleibt MyInvest Pro gegenüber dem Kunden für dessen Leistung voll verantwortlich.

MyInvest Pro unterstützt den Kunden im angemessenen Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Anfragen, die unmittelbar bei MyInvest Pro eingehen und Auftragsdaten betreffen, werden an den Kunden weitergeleitet, sofern keine gesetzliche Verpflichtung zur direkten Bearbeitung besteht.

Verletzungen des Schutzes von Auftragsdaten werden dem Kunden nach Bekanntwerden unverzüglich mit den verfügbaren Informationen gemeldet. MyInvest Pro unterstützt bei Meldepflichten, Risikoanalyse, Datenschutz-Folgenabschätzungen und vorheriger Konsultation, soweit die Verarbeitung durch MyInvest Pro betroffen ist.

MyInvest Pro stellt die für den Nachweis nach Art. 28 DSGVO erforderlichen Informationen bereit. Nach angemessener Vorankündigung sind dokumentenbasierte Kontrollen und, wenn diese nicht ausreichen, abgestimmte Vor-Ort-Prüfungen möglich. Betriebs- und Sicherheitsgeheimnisse anderer Kunden bleiben geschützt.

Der Kunde teilt spätestens bis zum Vertragsende in Textform mit, ob MyInvest Pro die Auftragsdaten zurückgeben oder löschen soll. Bei gewählter Rückgabe stellt MyInvest Pro einen Export bereit und löscht die verbleibenden Auftragsdaten nach Ablauf der vereinbarten Abruffrist. Bei gewählter Löschung werden die Auftragsdaten ohne vorherigen Export nach Ablauf der technisch erforderlichen Abwicklungsfrist gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Backup-Kopien bleiben bis zur planmäßigen Überschreibung gesperrt und werden nicht produktiv weiterverarbeitet. Einzelheiten enthält die Seite /datenportabilitaet.

Bei Widersprüchen gehen die Regelungen dieses AVV hinsichtlich der Auftragsverarbeitung den allgemeinen Vertragsbedingungen vor. Im Übrigen gelten Nutzungsvertrag und AGB fort.