immobooks
Vertragsbestandteil

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Fassung 2026-08-05

Dieser Vertrag ist nach § 3 Abs 4 der AGB Bestandteil Ihres Vertrags über die Nutzung von ImmoBooks. Einer gesonderten Unterzeichnung bedarf es nicht. Benötigen Sie ein unterzeichnetes Exemplar für Ihre Unterlagen, fordern Sie es unter hello@immobooks.at an.

§ 1 Vertragsparteien und Rollen

  1. Verantwortlicher im Sinne des Art. 4 Z 7 DSGVO sind Sie als Kunde für alle personenbezogenen Daten, die Sie in ImmoBooks verarbeiten.
  2. Auftragsverarbeiter im Sinne des Art. 4 Z 8 DSGVO ist RiFa Holding & Advertising GmbH, Emil-v.-Behring-Straße 14, 9500 Villach, Österreich, erreichbar unter hello@immobooks.at (im Folgenden „Auftragsverarbeiter").
  3. Für die Website, Ihr Kundenkonto und die Abrechnung ist der Auftragsverarbeiter selbst Verantwortlicher. Insoweit gilt die Datenschutzerklärung, nicht dieser Vertrag.
  4. Bei Widersprüchen zwischen diesem Vertrag und den AGB gilt § 3 Abs 4 der AGB: In datenschutzrechtlichen Fragen geht dieser Vertrag vor, soweit er nicht hinter dem in den AGB zugesagten Schutzniveau zurückbleibt.

§ 2 Gegenstand, Art, Zweck und Dauer der Verarbeitung

  1. Gegenstand ist die Bereitstellung und der Betrieb der Anwendung ImmoBooks für die Haus- und Mietverwaltung sowie die Buchhaltung nach österreichischem Recht.
  2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die von Ihnen bestimmten Empfänger, Abgleichen, Einschränken, Löschen und Vernichten.
  3. Zweck ist ausschließlich die Erfüllung des Hauptvertrags: die Verwaltung von Objekten, Einheiten und Mietverhältnissen, die Betriebskostenabrechnung nach § 21 MRG und die Abrechnung nach § 34 WEG, der Betrieb des Mieterportals, die doppelte Buchhaltung sowie die Erstellung der vereinbarten Auswertungen, Meldungen und Exporte.
  4. Dauer ist die Laufzeit des Hauptvertrags, verlängert um den Abrufzeitraum und die Fristen nach § 10 dieses Vertrags.
  5. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Ihre Inhalte werden nicht zum Training oder zur Verbesserung von KI-Modellen verwendet (§ 14 Abs 7, § 16 Abs 2 AGB).

§ 3 Art der Daten und Kategorien betroffener Personen

  1. Kategorien betroffener Personen: Mieter und deren Haushaltsangehörige, Wohnungseigentümer, Interessenten, Lieferanten und Dienstleister, Hausbetreuer, von Ihnen beauftragte Berufsberechtigte sowie Ihre eigenen Beschäftigten als Benutzer der Anwendung.
  2. Arten personenbezogener Daten: Stamm- und Kontaktdaten, Vertragsdaten einschließlich Mietzins, Indexierung und Befristung, Abrechnungs- und Zahlungsdaten, Bankverbindungen und Kontoumsätze, Kautionsdaten, Belege und Rechnungsinhalte, Korrespondenz, Schadensmeldungen samt Anhängen, Zugangs- und Protokolldaten.
  3. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Bringen Sie solche Daten dennoch ein — etwa in Schadensmeldungen oder Korrespondenz —, geschieht das in Ihrer Verantwortung.

§ 4 Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

  1. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf Ihre dokumentierte Weisung, auch hinsichtlich einer Übermittlung in Drittländer. Der Hauptvertrag samt diesem Vertrag und Ihre Nutzung der Funktionen der Anwendung gelten als Ihre Weisung.
  2. Einzelweisungen erteilen Sie in Textform an hello@immobooks.at. Weisungen, die über den vertraglich geschuldeten Leistungsumfang hinausgehen, werden nach Aufwand vergütet; der Auftragsverarbeiter weist vorher darauf hin.
  3. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er Ihnen das unverzüglich mit und darf ihre Ausführung bis zu Ihrer Bestätigung aussetzen.
  4. Ist der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, unterrichtet er Sie vor der Verarbeitung darüber, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

  1. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.
  2. Der Zugriff ist auf die Personen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen. Zugriffe auf Kundendaten werden protokolliert.
  3. Der Auftragsverarbeiter berücksichtigt, dass ein Teil seiner Kunden eigenen berufsrechtlichen Verschwiegenheitspflichten unterliegt (§ 18 Abs 4 AGB).

§ 6 Technische und organisatorische Maßnahmen (Art. 32, Art. 28 Abs. 3 lit. c DSGVO)

  1. Der Auftragsverarbeiter trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen Maßnahmen. Dazu zählen insbesondere:
    • Verarbeitungsort: Anwendung, Datenbank und Dokumentenspeicher werden in Amsterdam betrieben, die Weboberfläche wird aus Frankfurt am Main ausgeliefert — Verarbeitung ausschließlich innerhalb des Europäischen Wirtschaftsraums (§ 16 Abs 3 AGB).
    • Transportverschlüsselung: ausschließlich TLS 1.3.
    • Verschlüsselung ruhender Daten in Datenbank und Dokumentenspeicher.
    • Passwortsicherung mit Argon2id nach dem OWASP-Standard.
    • Zwei-Faktor-Anmeldung (TOTP) für alle Konten verfügbar.
    • Mandantentrennung je Organisation.
    • Rollenbasierte Zugriffssteuerung mit abgestuften Berechtigungen.
    • Protokollierung sicherheitsrelevanter Ereignisse; die Protokolle sind gegen Änderung und Löschung geschützt.
    • Unveränderlichkeit des Buchungsjournals (Append-only, § 131 BAO).
    • Datensicherung täglich und verschlüsselt, aufbewahrt innerhalb des EWR.
    • Wiederherstellbarkeit der Verfügbarkeit und des Zugangs nach einem Zwischenfall.
  2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen teilt er Ihnen auf Anfrage mit.
  3. Ein aktueller Stand der Maßnahmen wird Ihnen auf Verlangen in Textform zur Verfügung gestellt.

§ 7 Weitere Auftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

  1. Sie erteilen die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Die maßgebliche Liste ist unter /legal/subprocessors abrufbar. Derzeit sind das:
    • Railway Corporation — Betrieb der Anwendung, Datenbank, Dokumentenspeicher und Identitätsdienst (Amsterdam (NL) — Region europe-west4)
    • Vercel Inc. — Auslieferung und serverseitiges Rendern der Weboberfläche (Frankfurt am Main (DE) — Region fra1)
    • Stripe Payments Europe Ltd. — Zahlungsabwicklung und Verwaltung der Abonnements (Dublin (IE))
    • Resend — Versand von Transaktions-E-Mails (Anmeldung, Passwort, Benachrichtigungen) (Vereinigte Staaten)
    • Anthropic, PBC — KI-Auswertung für Belegerkennung, Mietvertragserkennung und MRG-Chat (Vereinigte Staaten)
    • finAPI GmbH — Anbindung von Bankkonten und Abruf von Kontoumsätzen (München (DE))
  2. Über die Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters informiert der Auftragsverarbeiter Sie mindestens 14 Tage im Voraus per E-Mail an die im Konto hinterlegte Adresse.
  3. Sie können der Änderung innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Im Fall eines begründeten Widerspruchs verzichtet der Auftragsverarbeiter entweder auf den betreffenden Dienstleister oder räumt Ihnen ein außerordentliches Kündigungsrecht zum geplanten Wechselzeitpunkt ein; bereits im Voraus bezahlte Entgelte werden anteilig erstattet. Ein Kündigungsrecht des Auftragsverarbeiters entsteht durch Ihren Widerspruch nicht (§ 16 Abs 7 AGB).
  4. Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter vertraglich auf Schutzpflichten, die denen dieses Vertrags entsprechen, und haftet für dessen Verhalten wie für eigenes.

§ 8 Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO)

  1. Anfragen betroffener Personen richten sich an Sie als Verantwortlichen. Erreicht eine solche Anfrage den Auftragsverarbeiter, leitet er sie unverzüglich an Sie weiter und beantwortet sie nicht selbst.
  2. Der Auftragsverarbeiter unterstützt Sie mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung Ihrer Pflichten nach Kapitel III DSGVO — Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Soweit die Anwendung dafür Funktionen bereitstellt, nutzen Sie diese selbst.
  3. Löschungen und Einschränkungen setzt der Auftragsverarbeiter auf Ihre Weisung in den Produktivsystemen um. Aus technisch bedingten Sicherungskopien werden die Daten mit deren turnusmäßiger Überschreibung entfernt, längstens binnen 35 Tagen; bis dahin sind sie gesperrt und werden ausschließlich zur Wiederherstellung des Dienstes verarbeitet.

§ 9 Unterstützung nach Art. 32 bis 36, Meldung von Verletzungen

  1. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter Ihnen unverzüglich, jedenfalls innerhalb von 24 Stunden ab seiner Kenntnis. Die kurze Frist stellt sicher, dass Sie Ihre eigene Meldepflicht nach Art. 33 Abs. 1 DSGVO innerhalb von 72 Stunden erfüllen können.
  2. Die Meldung enthält die Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen (Art. 33 Abs. 3 DSGVO). Sind nicht alle Angaben sofort verfügbar, werden sie unverzüglich nachgereicht.
  3. Der Auftragsverarbeiter unterstützt Sie bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde, soweit die dafür erforderlichen Informationen seiner Sphäre entstammen.
  4. Meldungen an die Aufsichtsbehörde oder an betroffene Personen nimmt der Auftragsverarbeiter nicht selbst vor; das obliegt Ihnen als Verantwortlichem.

§ 10 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

  1. Nach Ende des Hauptvertrags steht Ihnen ein Abrufzeitraum von 90 Kalendertagen im Lesemodus zu, in dem sämtliche Exportfunktionen unentgeltlich nutzbar bleiben. Endet der Vertrag, weil in der Testphase kein Plan gewählt wurde, beträgt er 30 Kalendertage. Geht ein Übergangszeitraum wegen eines Anbieterwechsels voraus, beginnt er mit dessen Ende (§ 26, § 27 AGB).
  2. Nach Ablauf des Abrufzeitraums löscht der Auftragsverarbeiter Ihre Daten aus den Produktivsystemen vollständig, soweit Sie als Verantwortlicher nichts anderes angewiesen haben und keine gesetzliche Aufbewahrungspflicht entgegensteht.
  3. Weisen Sie eine Archivierung an, werden die betroffenen Daten für die Dauer der abgabenrechtlichen Aufbewahrungsfrist nach § 132 BAO archiviert, für jede weitere Verarbeitung gesperrt und ausschließlich zu diesem Zweck verwendet; danach werden sie gelöscht. Der Auftragsverarbeiter fordert Sie spätestens 14 Tage vor Ablauf des Abrufzeitraums auf, zwischen Löschung und Archivierung zu wählen; treffen Sie keine Wahl, wird gelöscht.
  4. Eine eigene abgabenrechtliche Aufbewahrungspflicht hinsichtlich Ihrer Daten trifft den Auftragsverarbeiter nicht. Ausgenommen von der Löschung sind allein jene Daten, die er zur Erfüllung eigener gesetzlicher Pflichten benötigt — insbesondere seine Rechnungen und Zahlungsbelege gegenüber Ihnen.
  5. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung oder Archivierung in Textform unter Angabe des Zeitpunkts der Produktiv- und der Sicherungslöschung.
  6. Die Herausgabe und der Export Ihrer Daten werden in keinem Fall von der Begleichung offener Forderungen abhängig gemacht (§ 20 Abs 4, § 27 Abs 6 AGB).

§ 11 Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO)

  1. Der Auftragsverarbeiter stellt Ihnen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen.
  2. Überprüfungen kündigen Sie mit angemessener Frist, mindestens zwei Wochen, in Textform an. Sie finden während der üblichen Geschäftszeiten statt, dürfen den Betrieb nicht unverhältnismäßig stören und erfolgen höchstens einmal jährlich — es sei denn, es besteht ein konkreter Anlass, etwa eine Verletzung nach § 9.
  3. Der Nachweis kann auch durch aktuelle Testate, Zertifikate oder Berichte unabhängiger Stellen geführt werden, soweit diese die Prüfung Ihrer Anforderungen erlauben.
  4. Personen, die die Überprüfung durchführen, sind zur Vertraulichkeit zu verpflichten. Steht eine von Ihnen beauftragte Person im Wettbewerb zum Auftragsverarbeiter, kann er sie begründet ablehnen.

§ 12 Übermittlung in Drittländer

  1. Eine Übermittlung an Empfänger außerhalb des Europäischen Wirtschaftsraums findet nur statt, soweit sie in der Liste unter /legal/subprocessors ausgewiesen ist, und ausschließlich auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914.
  2. Betroffen sind die KI-Auswertungen, der Versand von E-Mails und die Zahlungsabwicklung. Die jeweilige Grundlage ist in der Liste je Empfänger ausgewiesen (§ 16 Abs 3 AGB).
  3. Ihre Objekt-, Mieter-, Beleg- und Buchhaltungsdaten werden dauerhaft ausschließlich innerhalb des Europäischen Wirtschaftsraums gespeichert.

§ 13 Haftung

Es gilt Art. 82 DSGVO. Die Haftungsregelung des § 29 der AGB lässt die Haftung nach Art. 82 DSGVO unberührt (§ 29 Abs 1 lit d AGB).

§ 14 Schlussbestimmungen

  1. Dieser Vertrag gilt für die Dauer des Hauptvertrags. Er endet mit ihm, soweit nicht einzelne Pflichten — insbesondere nach § 5 und § 10 — darüber hinaus fortbestehen.
  2. Änderungen bedürfen der Textform. Für Änderungen gilt § 23 der AGB; Änderungen, die das Schutzniveau verringern würden, können nicht im Weg der Zustimmungsfiktion wirksam werden.
  3. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. An die Stelle der unwirksamen Bestimmung treten die gesetzlichen Bestimmungen.
  4. Es gilt österreichisches Recht. Der Gerichtsstand richtet sich nach § 36 der AGB.

Kontakt

Fragen zu diesem Vertrag, Weisungen und Anforderungen eines unterzeichneten Exemplars: hello@immobooks.at. Ein Datenschutzbeauftragter ist nicht bestellt, da keine Pflicht nach Art. 37 DSGVO besteht.