Auftragsverarbeitungsvertrag (AVV)

§1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter (Alpine Digital Solutions Ltd, nachfolgend "Auftragnehmer") verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen (Kunde, nachfolgend "Auftraggeber").

(2) Die Verarbeitung beginnt mit der Nutzung der ImmoStage-Dienste und endet mit Beendigung des Vertragsverhältnisses und Löschung aller Daten.

§2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Verarbeitung von Immobilienbildern
• KI-gestützte Bildbearbeitung (Virtual Staging)
• Erstellung von 3D-Grundrissen
• Generierung von Marketingvideos
• Temporäre Speicherung der Ergebnisse zum Download

§3 Art der personenbezogenen Daten

• Bilddaten von Immobilien (können Metadaten enthalten)
• Grundrissdaten
• Technische Nutzungsdaten

Hinweis: Es werden keine sensiblen personenbezogenen Daten gemäß Art. 9 DSGVO verarbeitet. Bilder mit erkennbaren Personen sollten nicht hochgeladen werden.

§4 Kategorien betroffener Personen

• Mitarbeiter des Auftraggebers (nur technische Daten)
• Fotografen (nur Metadaten in Bildern)

§5 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

• Daten nur gemäß den dokumentierten Weisungen des Auftraggebers zu verarbeiten
• Zur Verschwiegenheit verpflichtete Mitarbeiter einzusetzen
• Angemessene technische und organisatorische Maßnahmen zu ergreifen
• Bei der Beauftragung von Unterauftragnehmern die Anforderungen des Art. 28 DSGVO einzuhalten
• Den Auftraggeber bei Betroffenenanfragen zu unterstützen
• Bei Datenschutzverletzungen unverzüglich zu informieren
• Nach Beendigung alle personenbezogenen Daten zu löschen

§6 Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter sind bereits genehmigt:

Der Auftragnehmer wird den Auftraggeber über beabsichtigte Änderungen bei Unterauftragnehmern informieren. Der Auftraggeber kann innerhalb von 14 Tagen widersprechen.

§7 Technische und organisatorische Maßnahmen

Der Auftragnehmer gewährleistet folgende Maßnahmen gemäß Art. 32 DSGVO:

Vertraulichkeit

• Zutrittskontrolle zu Rechenzentren
• Zugriffskontrolle auf Daten durch Authentifizierung
• Trennungskontrolle (mandantenfähiges System)

Integrität

• Verschlüsselung aller Datenübertragungen (TLS 1.3)
• Verschlüsselte Speicherung sensibler Daten
• Regelmäßige Sicherheitsupdates

Verfügbarkeit und Belastbarkeit

• Redundante Systeme
• Regelmäßige Backups
• Notfallwiederherstellungsplan

Überprüfung

• Regelmäßige Überprüfung der Maßnahmen
• Dokumentation aller Verarbeitungstätigkeiten
• Schulung der Mitarbeiter

§8 Kontrollrechte

(1) Der Auftraggeber hat das Recht, die Einhaltung der Datenschutzvorschriften zu überprüfen.

(2) Prüfungen sind mit angemessener Vorlaufzeit (mindestens 14 Tage) anzukündigen und dürfen den Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigen.

§9 Datenlöschung

(1) Bilddaten werden automatisch 30 Tage nach Verarbeitung gelöscht.

(2) Nach Beendigung des Vertragsverhältnisses werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

§10 Mitteilungspflichten

Der Auftragnehmer informiert den Auftraggeber unverzüglich über:

• Datenschutzverletzungen (innerhalb von 24 Stunden)
• Behördliche Anfragen zu Daten des Auftraggebers
• Wesentliche Änderungen der technischen und organisatorischen Maßnahmen