Auftragsverarbeitungsvertrag (AVV)
Stand: Juli 2026 | gemäß Art. 28 DSGVO
Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen der FloriCore Software UG (haftungsbeschränkt) (nachfolgend „Auftragsverarbeiter" oder „Anbieter") und dem jeweiligen Kunden von dooyah house (nachfolgend „Auftraggeber" oder „Verantwortlicher"). Der AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit Vertragsschluss wirksam.
§ 1 Gegenstand und Dauer der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Bereitstellung von dooyah house (eine Software-as-a-Service-Lösung für Eigentümergemeinschaften in Eigenverwaltung). Die Verarbeitung erfolgt für die Dauer des Hauptvertrages sowie gemäß den in § 9 geregelten Löschfristen nach Vertragsende.
§ 2 Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten zum Zweck der Bereitstellung, des Betriebs und der Wartung von dooyah house. Die Verarbeitung erfolgt ausschließlich auf Weisung des Auftraggebers und nicht für eigene Zwecke des Auftragsverarbeiters.
Art der Verarbeitung: Speicherung, Übermittlung, Abruf, Verwendung, Abgleich, Verknüpfung, Einschränkung und Löschung personenbezogener Daten.
§ 3 Kategorien betroffener Personen und Datenkategorien
Die verarbeiteten Datenkategorien richten sich nach dem Nutzungsumfang durch den Auftraggeber. Typischerweise verarbeitet werden Daten folgender Kategorien:
- Stammdaten (Name, Anschrift, Kontaktdaten)
- Nutzungsdaten (Login-Zeiten, Aktivitätsprotokolle)
- Vom Auftraggeber eingegebene Inhaltsdaten
- Finanzbezogene Daten (manuell eingegeben oder per CSV-Import)
- Dokument-, Rechnungs-, Vertrags- und Heizkostenabrechnungsdaten
- Protokollnotizen und Kommunikationsdaten, soweit der Auftraggeber diese Funktionen nutzt
Besondere Datenkategorien (Art. 9 DSGVO): Der Auftraggeber bestätigt und versichert, dass für jede Verarbeitung besonderer Datenkategorien im Sinne von Art. 9 Abs. 1 DSGVO eine geeignete Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO vorliegt. Sofern der Auftraggeber besondere Datenkategorien in dooyah house verarbeitet, stellt er sicher, dass die betroffenen Personen über die Verarbeitung informiert wurden und eine Rechtsgrundlage nachweisbar ist.
§ 4 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers zu verarbeiten.
- Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben.
- Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen.
- Die Bedingungen dieses AVV bei der Hinzuziehung von Unterauftragsverarbeitern einzuhalten.
- Den Auftraggeber bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) zu unterstützen.
- Den Auftraggeber bei der Erfüllung der Pflichten nach Art. 32–36 DSGVO zu unterstützen.
- Nach Abschluss der Erbringung der Verarbeitungsleistungen alle personenbezogenen Daten zu löschen; Einzelheiten sowie das Recht des Auftraggebers, einzelne Objekte bereits während der Vertragslaufzeit auf Weisung zu löschen, regelt § 9.
- Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV bereitzustellen.
§ 5 Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter hat geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO getroffen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Diese umfassen insbesondere:
- Vertraulichkeit: Zugriffskontrolle, Passwortschutz, verschlüsselte Übertragung (TLS 1.2+)
- Integrität: Datenbankintegrität, Eingabevalidierung, CSRF-Schutz
- Verfügbarkeit: Regelmäßige Backups, Monitoring
- Belastbarkeit: Cloudflare CDN als Schutz- und Ausfallsicherungsschicht
- Datenminimierung und Pseudonymisierung: Direkte Konto-, Kontakt- und Referenzkennungen werden in KI- und Telemetriepfaden soweit fachlich möglich maskiert; technische Logs werden auf erforderliche Fehlerklassen und pseudonyme Referenzen begrenzt und regelmäßig gelöscht.
- Wiederherstellung: Verfahren zur Wiederherstellung von Daten und Diensten nach Vorfällen
§ 6 Unterauftragsverarbeiter
Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern aus folgenden Kategorien:
- Cloud-/Hosting-Auftragsverarbeiter: Cloud-Hosting und Datenspeicherung der Anwendung. Verarbeitung in Deutschland bzw. der EU.
- KI-/Cloud-Auftragsverarbeiter: Zweckgebundene Dokumentenauslesung, Zuordnungsvorschläge und Entwurfserstellung. Verarbeitung in einer europäischen Datenzone; keine Nutzung von Eingaben oder Ausgaben zum Modelltraining.
- CDN-/Sicherheitsdienstleister: Content Delivery Network, DDoS-Schutz und Web Application Firewall. Drittlandübermittlungen erfolgen, soweit erforderlich, auf Grundlage eines Angemessenheitsbeschlusses, des EU-U.S. Data Privacy Framework oder EU-Standardvertragsklauseln.
- E-Mail-Dienstleister: Versand transaktionaler E-Mails wie Registrierung, Benachrichtigungen und Systemmeldungen. Verarbeitung in der EU bzw. mit AVV gemäß Art. 28 DSGVO.
Eine öffentliche Kategorieübersicht ist unter /subprocessor abrufbar. Eine detaillierte, aktuelle Liste der konkreten Unterauftragsverarbeiter stellen wir Auftraggebern auf Anfrage oder im Vertrags-/Security-Review bereit.
Zahlungsdienstleister, die personenbezogene Daten als eigenständig Verantwortliche verarbeiten (z. B. Mollie B.V. für die Zahlungsabwicklung), sind nicht Gegenstand dieses AVV. Details werden unter /subprocessor in der Sektion „Weitere Empfänger / Eigenständig Verantwortliche" geführt.
Änderungen an der Liste der Unterauftragsverarbeiter werden dem Auftraggeber mit einer Vorankündigungsfrist von 30 Tagen per E-Mail mitgeteilt. Der Auftraggeber hat das Recht, gegen den Einsatz neuer Unterauftragsverarbeiter innerhalb von 14 Tagen nach Bekanntmachung Einspruch zu erheben.
§ 7 Weisungsrecht des Auftraggebers
Der Auftraggeber hat das Recht, dem Auftragsverarbeiter Weisungen zur Verarbeitung personenbezogener Daten zu erteilen. Weisungen werden schriftlich (per E-Mail) erteilt. Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich.
§ 8 Unterstützung des Auftraggebers
Der Auftragsverarbeiter unterstützt den Auftraggeber nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Art. 15–22 DSGVO) sowie bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO. Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO verstößt.
§ 9 Löschung, Datenexport und Aufbewahrung
Löschung einzelner Objekte auf Weisung (während der Vertragslaufzeit): Der Auftraggeber (Verantwortlicher) kann einzelne Eigentümergemeinschaften (WEGs) jederzeit selbst in der Anwendung löschen. Eine solche Löschung gilt als dokumentierte Weisung des Verantwortlichen im Sinne von Art. 28 Abs. 3 lit. g DSGVO. Die betroffene WEG wird zunächst für dreißig (30) Tage in einen wiederherstellbaren Zustand („Papierkorb") versetzt und kann in dieser Frist vom Auftraggeber ohne Mitwirkung des Auftragsverarbeiters selbst wiederhergestellt werden. Nach Ablauf der dreißig Tage werden sämtliche Fachdaten der WEG (u. a. Buchungen, Belege, Bankdaten, Jahresabrechnungen, Wirtschaftspläne, Protokolle und Beschlüsse) endgültig und unwiderruflich gelöscht.
Eigenverantwortung für gesetzliche Aufbewahrungspflichten: Der Auftraggeber ist für die Einhaltung der ihn treffenden gesetzlichen Aufbewahrungspflichten (insbesondere § 147 AO sowie § 28 und § 23 WEG) selbst verantwortlich. Er hat vor jeder Löschung die vom Auftragsverarbeiter bereitgestellte Exportfunktion (siehe unten) zu nutzen und die exportierten Daten eigenverantwortlich aufzubewahren. Der Auftragsverarbeiter ist nach Ablauf der Wiederherstellungsfrist nicht mehr in der Lage, gelöschte Fachdaten wiederherzustellen.
Löschung nach Vertragsende: Nach Kündigung des Hauptvertrages werden die Daten des Auftraggebers 30 Tage für eine mögliche Reaktivierung aufbewahrt. Danach werden alle personenbezogenen Daten unwiderruflich gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.
Datenexport (Self-Service): Der Auftraggeber kann jederzeit selbst über die Anwendung — in den Einstellungen sowie unmittelbar im Löschdialog — einen vollständigen Export aller WEG-Daten (u. a. Buchungen, Bankdaten, Belege und Berichte) in einem gängigen, maschinenlesbaren Format anstoßen (EU Data Act). Der Download wird über einen signierten, zeitlich befristeten Link (sieben Tage gültig) per E-Mail bereitgestellt. Ein gesonderter Antrag beim Auftragsverarbeiter ist hierfür nicht erforderlich.
Eigene Unterlagen des Auftragsverarbeiters: Nach der Löschung bewahrt der Auftragsverarbeiter ausschließlich seine eigenen abrechnungsbezogenen Unterlagen (insbesondere die an den Kunden gestellten Abo-Rechnungen) im gesetzlich gebotenen Umfang auf (§ 147 AO, § 14 UStG). Diese Verarbeitung erfolgt in eigener Verantwortung des Auftragsverarbeiters und nicht als Auftragsverarbeitung.
§ 10 Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugang zu den personenbezogenen Daten des Auftraggebers haben, einer Vertraulichkeitspflicht unterliegen oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
§ 11 Meldepflichten bei Datenpannen
Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden, wenn ihm eine Verletzung des Schutzes personenbezogener Daten (Datenpanne) bekannt wird. Die Information erfolgt per E-Mail und enthält alle nach Art. 33 Abs. 3 DSGVO erforderlichen Angaben, soweit diese zu diesem Zeitpunkt verfügbar sind.
§ 12 Haftung und Schadensersatz
Die Haftung der Parteien richtet sich nach den Bestimmungen der DSGVO (Art. 82) und den Regelungen des Hauptvertrages. Jede Partei haftet für Schäden, die durch eine nicht DSGVO-konforme Verarbeitung verursacht wurden, soweit sie für diese Verarbeitung verantwortlich ist.
§ 13 Kontakt und Anfragen
Anfragen zur Datenverarbeitung, Weisungen sowie Meldungen über Datenpannen sind zu richten an:
§ 14 Zuständige Datenschutz-Aufsichtsbehörde
Die für den Auftragsverarbeiter zuständige Datenschutz-Aufsichtsbehörde ist nach dem Sitz des Auftragsverarbeiters bestimmt (Art. 55 Abs. 1 DSGVO). Für die Geltendmachung von Betroffenenrechten gegenüber dem Auftraggeber gilt zusätzlich die für den Auftraggeber zuständige Landes-Aufsichtsbehörde nach dem Sitz des Auftraggebers (Art. 13 Abs. 2 lit. d DSGVO).
Zuständige Aufsichtsbehörde:
Bayerisches Landesamt für Datenschutzaufsicht (BayLDA)
Promenade 18, 91522 Ansbach
Postfach 1349, 91504 Ansbach
Telefon: +49 981 180093-0
E-Mail: poststelle@lda.bayern.de | Web: https://www.lda.bayern.de
Zuständig für den nicht-öffentlichen Bereich (Unternehmen, Vereine). Für bayerische Behörden ist der Bayerische Landesbeauftragte für den Datenschutz (BayLfD) zuständig.
Eine vollständige Übersicht der Aufsichtsbehörden in Deutschland (Bundesbeauftragte für den Datenschutz und die Informationsfreiheit sowie die Landesdatenschutzbehörden der 16 Bundesländer) steht beim Auftragsverarbeiter auf Anfrage zur Verfügung.