Auftragsverarbeitung

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Anbieter, also das Büro, das Athaus nutzt. Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist die Andrual Technologies UG (haftungsbeschränkt), Torstraße 166, 10115 Berlin (Athaus).

Diese Vereinbarung gilt für alle personenbezogenen Daten Dritter, die der Anbieter in Athaus verarbeitet oder verarbeiten lässt (Nr. 3). Für das, was Athaus im eigenen Namen verarbeitet, etwa das Konto des Nutzers, die Abrechnung und die Suche auf athaus.ai, ist Athaus selbst verantwortlich; das steht in der Datenschutzerklärung.

Gegenstand ist der Betrieb der Software Athaus für den Anbieter: Speichern, Ordnen, Anzeigen, Durchsuchen, Versenden und Löschen der Daten nach Nr. 3, das Einlesen aus Dateien und anderen Systemen, das Zurückschreiben in ein angebundenes System, das Entwerfen von Texten und das Auslesen von Unterlagen mit Sprachmodellen. Zweck ist die Vermarktung der Immobilien des Anbieters und die Pflege seiner Kontakte.

Die Vereinbarung läuft, solange das Büro des Anbieters bei Athaus besteht. Eine gesonderte Kündigung ist weder möglich noch nötig.

Betroffen sind:

• Interessenten, Käufer und Mieter, mit oder ohne Konto bei Athaus,
• Eigentümer, Verkäufer, Vermieter und ihre Vertreter,
• alle weiteren Kontakte, die der Anbieter anlegt, aus einer Datei einliest oder aus einem anderen System übernimmt,
• Menschen, die mit den sozialen Netzen, Anzeigen oder der Website des Anbieters in Kontakt treten.

Verarbeitet werden:

• Name, E-Mail-Adresse, Telefonnummer, Anschrift, Sprache,
• Nachrichten, Anfragen, Notizen, Termine und ihr Verlauf,
• Angaben aus einer Selbstauskunft, soweit der Anbieter sie anfordert, etwa Beruf, Einkommen, Haushaltsgröße und Einzugstermin,
• Suchwünsche, Unterlagen und Dateien, die der Anbieter oder der Betroffene hochlädt,
• Einwilligungen und ihr Widerruf, Herkunft eines Kontakts,
• Angaben zu Immobilien, soweit sie sich auf eine Person beziehen.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Lädt der Anbieter sie dennoch hoch, braucht er dafür eine eigene Rechtsgrundlage.

Athaus verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Anbieters, auch bei einer Übermittlung in ein Drittland, es sei denn, das Recht der Union oder Deutschlands verlangt etwas anderes; dann teilt Athaus das vorher mit, soweit das Recht es erlaubt. Weisungen sind diese Vereinbarung, die AGB und alles, was der Anbieter im Dienst einstellt oder auslöst. Weitere Weisungen erfolgen in Textform an kontakt@athaus.ai.

Hält Athaus eine Weisung für rechtswidrig, weist Athaus den Anbieter unverzüglich darauf hin und darf die Ausführung bis zu seiner Bestätigung aussetzen.

Alle Personen, die bei Athaus Zugang zu diesen Daten haben, sind zur Vertraulichkeit verpflichtet und über die einschlägigen Pflichten unterrichtet. Athaus greift auf die Daten eines Anbieters nur zu, soweit es für den Betrieb, die Fehlersuche oder eine Anfrage des Anbieters nötig ist.

Athaus hält nach Art. 32 DSGVO insbesondere folgende Maßnahmen vor:

• Server, Datenbank und hochgeladene Dateien in der Europäischen Union (Google Cloud, Region europe-west10, Berlin); Datenträger von Google Cloud verschlüsselt gespeichert.
• Verschlüsselung auf dem Transportweg (TLS) für jede Verbindung von außen.
• Trennung der Mandanten: jede Abfrage ist an das Büro gebunden, dem die Daten gehören.
• Zugangsdaten zu fremden Systemen, die der Anbieter hinterlegt, liegen verschlüsselt und werden nur für die Dauer eines Aufrufs entschlüsselt.
• Anmeldung ohne Passwort, mit einem Code per E-Mail oder über Google; Sitzungen nur in geschützten Cookies (HttpOnly, Secure).
• Begrenzung der Aufrufe je Konto und je Absender gegen Missbrauch.
• Tägliche Sicherung der Datenbank mit begrenzter Aufbewahrung.
• Trennung von Produktiv- und Testdaten.
• Sprachmodelle nur über Google Vertex AI im EU-Verbund; Google verwendet die Daten nach seinen Bedingungen nicht zum Trainieren von Modellen.

Athaus passt die Maßnahmen dem Stand der Technik an, ohne das Schutzniveau zu senken.

Der Anbieter stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Athaus verpflichtet jeden von ihnen vertraglich auf dieselben Datenschutzpflichten wie sich selbst (Art. 28 Abs. 4 DSGVO).

• Google Cloud EMEA Limited, Dublin, Irland: Server, Datenbank und Dateien in Berlin, Sprachmodelle über Vertex AI im EU-Verbund.
• Plus Five Five, Inc. (Resend), San Francisco, USA: Versand von E-Mails, etwa an Interessenten. Protokolle der Mails liegen in den USA.
• Vercel Inc., Covina, USA: Auslieferung der Oberfläche und Weiterleitung der Anfragen zwischen Browser und Server.
• Zernio Software SL, Palamós, Spanien: nur wenn der Anbieter soziale Netze oder Anzeigen verbindet; Beiträge, Kommentare, Nachrichten und Leads aus Formularen. Protokolle liegen in den USA.
• Issoudun Pte. Ltd. (UserCheck), Singapur: Prüfung, ob die Domain einer E-Mail-Adresse Post annimmt, wenn jemand ohne Konto eine Anfrage stellt. Übermittelt wird nur der Teil nach dem @.

Zur Prüfung und Verortung von Anschriften fragt Athaus öffentliche Geodienste ab (Nominatim der OpenStreetMap Foundation, Photon von komoot, OpenPLZ). Dabei geht nur die Anschrift hinaus, ohne Namen oder andere Angaben zu einer Person.

Über einen neuen oder ersetzten Unterauftragsverarbeiter unterrichtet Athaus mindestens vier Wochen vorher in Textform. Der Anbieter kann aus wichtigem datenschutzrechtlichem Grund widersprechen; gibt es dann keinen gleichwertigen Weg, den Dienst zu erbringen, kann jede Seite außerordentlich kündigen.

Wo ein Unterauftragsverarbeiter Daten in einem Land außerhalb der Europäischen Union verarbeitet, geschieht das auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission (für zertifizierte Unternehmen in den USA das EU-US Data Privacy Framework) oder der Standardvertragsklauseln der Kommission (Art. 46 Abs. 2 Buchst. c DSGVO). Wo beides möglich ist, gelten die Standardvertragsklauseln zusätzlich.

Verbindet der Anbieter Athaus mit eigenen Konten oder Diensten, überträgt Athaus Daten dorthin auf seine Weisung: in seinen Kalender bei Google oder Microsoft, in sein CRM (etwa onOffice oder Propstack), in seine sozialen Netze und Werbekonten, an eine KI-Anwendung, die er über die Schnittstelle von Athaus anbindet. Diese Dienste sind Dienste des Anbieters und keine Unterauftragsverarbeiter von Athaus; für die Verarbeitung dort gelten seine Verträge mit ihren Betreibern.

Wendet sich ein Betroffener mit einem Anliegen nach Art. 15 bis 22 DSGVO an Athaus, leitet Athaus es unverzüglich an den Anbieter weiter. Athaus unterstützt den Anbieter mit geeigneten Maßnahmen dabei, diesen Rechten nachzukommen, und bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit es die Verarbeitung bei Athaus betrifft.

Wird eine Verletzung des Schutzes dieser Daten bekannt, unterrichtet Athaus den Anbieter unverzüglich, spätestens 48 Stunden nach Kenntnis, und stellt die Angaben bereit, die er für seine Meldung nach Art. 33 und 34 DSGVO braucht.

Athaus stellt dem Anbieter auf Anfrage die Angaben bereit, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind, und ermöglicht Überprüfungen durch den Anbieter oder einen von ihm beauftragten Prüfer. Kontrollen vor Ort erfolgen nach Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs.

Schließt der Anbieter sein Büro, löscht Athaus die im Auftrag verarbeiteten Daten, es sei denn, eine gesetzliche Aufbewahrungspflicht steht dem entgegen; auf Wunsch gibt Athaus sie vorher heraus. Sicherungskopien laufen nach wenigen Tagen aus.