Vereinbarung zur Auftragsverarbeitung (AVV)
Diese Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO wird automatisch Bestandteil des Hauptvertrags (Abonnement), sobald ein Kunde HouseControl.at zur Verwaltung personenbezogener Daten Dritter — etwa Bewohner, Eigentümer oder Dienstleister — nutzt und dabei als datenschutzrechtlich Verantwortlicher auftritt. Der Anbieter (Ing. Stephan Rudolf Landsteiner, Online-Agentur Landsteiner) verarbeitet diese Daten dabei als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.
Stand: August 2026
1. Gegenstand und Dauer der Verarbeitung
Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Kunden im Zusammenhang mit der Nutzung der Software-as-a-Service-Plattform HouseControl.at zur digitalen Verwaltung von Wohnanlagen.
Die Dauer dieser Vereinbarung entspricht der Laufzeit des zwischen den Parteien bestehenden Hauptvertrags.
2. Art und Zweck der Verarbeitung
Der Anbieter verarbeitet personenbezogene Daten zum Zweck der Bereitstellung der HouseControl.at-Plattform, insbesondere für:
- die Verwaltung von Wohnanlagen, Einheiten und Bewohnerzuordnungen,
- die Bearbeitung von Schadensmeldungen und Kommunikation zwischen Hausverwaltung, Eigentümern, Mietern und Dienstleistern,
- die Durchführung digitaler Abstimmungen und Umfragen,
- die Erstellung und Bereitstellung von Dokumenten und Betriebskostenabrechnungen,
- Kalenderfunktionen und Terminverwaltung,
- technisch notwendige Sicherheits-, Support- und Administrationsprozesse.
3. Art der personenbezogenen Daten
Insbesondere: Name, Kontaktdaten (E-Mail, Telefon, Anschrift), Zugangsdaten, Rollen- und Zuordnungsdaten zu Wohneinheiten, Kommunikationsinhalte (Meldungen, Kommentare), Abstimmungs- und Signaturdaten, Dokumente, technische Nutzungsdaten (IP-Adresse, Log-Daten).
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für die Nutzung der Plattform nicht vorgesehen und sollen vom Kunden nicht in die Plattform eingegeben werden.
4. Kategorien betroffener Personen
Bewohner (Mieter, Eigentümer), Verwaltungsmitarbeiter, Dienstleister/Auftragnehmer, sowie sonstige Personen, deren Daten im Rahmen der Hausverwaltung durch den Kunden in die Plattform eingegeben werden.
5. Pflichten des Anbieters
Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet; in einem solchen Fall teilt der Anbieter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
Der Anbieter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Anbieter ergreift die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO.
6. Weisungsrecht des Kunden
Der Kunde ist berechtigt, dem Anbieter jederzeit Weisungen zu Art, Umfang und Verfahren der Verarbeitung zu erteilen. Weisungen sind grundsätzlich schriftlich (auch per E-Mail) zu erteilen. Der Anbieter informiert den Kunden unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt.
7. Vertraulichkeit
Der Anbieter stellt sicher, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind und ihre Aufgaben nur im Rahmen der jeweils erforderlichen Berechtigungen wahrnehmen.
8. Unterauftragsverarbeiter
Der Kunde erteilt hiermit seine allgemeine Genehmigung zum Einsatz folgender Unterauftragsverarbeiter (Stand: August 2026):
| Unterauftragsverarbeiter | Zweck | Sitz / Verarbeitungsort |
|---|---|---|
| IONOS SE | Hosting der Plattform (Server) | Deutschland (EU) |
| Contabo GmbH | Windows-Server für Entwicklung, Automatisierung und administrativen Zugriff | Deutschland (EU) |
| ALL-INKL.COM — Neue Medien Münnich | Versand transaktionaler E-Mails | Deutschland (EU) |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung | Irland (EU); Datenverarbeitung teils durch verbundene Unternehmen in den USA |
| Google Ireland Ltd. | Login (Google-Anmeldung), Übersetzung, KI-Textfunktionen | Irland (EU); Datenverarbeitung teils durch verbundene Unternehmen in den USA |
| Cloudflare, Inc. | Bot- und Missbrauchsschutz | USA, mit EU-Auftragsverarbeitung über Cloudflare Germany GmbH |
| UptimeRobot | Erreichbarkeits-Monitoring des öffentlichen Health-Check-Endpunkts — ruft keine personenbezogenen Daten ab | International |
Der Anbieter informiert den Kunden über die beabsichtigte Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter. Der Kunde kann der Änderung innerhalb von 14 Tagen aus wichtigem Grund widersprechen.
9. Unterstützung des Kunden
Der Anbieter unterstützt den Kunden, soweit möglich, mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte betroffener Personen.
Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, damit der Kunde seiner Meldepflicht nach Art. 33 DSGVO fristgerecht nachkommen kann.
10. Löschung und Rückgabe nach Vertragsende
Nach Beendigung der Erbringung der Verarbeitungsleistungen löscht der Anbieter alle personenbezogenen Daten, die im Auftrag des Kunden verarbeitet wurden, oder gibt sie nach Wahl des Kunden zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht (z. B. steuer- und handelsrechtliche Aufbewahrungspflichten).
11. Kontrollrechte des Kunden
Der Anbieter stellt dem Kunden auf Anfrage alle zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen, die von dem Kunden oder einem anderen von ihm beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.
12. Haftung
Für Schäden aus der Verletzung von Pflichten aus dieser Vereinbarung haftet der Anbieter nach den gesetzlichen Bestimmungen für Vorsatz und grobe Fahrlässigkeit unbeschränkt. Für leichte Fahrlässigkeit haftet der Anbieter nur bei Verletzung wesentlicher Pflichten aus dieser Vereinbarung und der Höhe nach begrenzt auf den vertragstypischen, vorhersehbaren Schaden, soweit gesetzlich zulässig.
Die Haftung für Schäden, die durch vom Kunden selbst zu verantwortende Umstände entstehen — insbesondere durch unzulässige Weisungen, unrichtige oder unvollständige Angaben, oder durch die Eingabe von Daten, für deren Verarbeitung keine ausreichende Rechtsgrundlage besteht — ist ausgeschlossen, soweit gesetzlich zulässig.
Verpflichtungen aus Art. 82 DSGVO und ein etwaiger Ausgleich zwischen den Parteien im Innenverhältnis bleiben von dieser Regelung unberührt.
13. Laufzeit und Kündigung
Diese Vereinbarung gilt für die Dauer des Hauptvertrags. Eine gesonderte Kündigung ist nicht erforderlich; sie endet automatisch mit Beendigung des Hauptvertrags, vorbehaltlich der in Punkt 10 genannten Löschungs- und Rückgabepflichten.
14. Schlussbestimmungen
Es gilt österreichisches Recht. Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Bestimmungen dieser Vereinbarung in Bezug auf die Verarbeitung personenbezogener Daten vor.
Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Vertraulichkeit: Zugriffskontrolle über rollenbasierte Berechtigungen, verschlüsselte Passwortspeicherung, optionale Zwei-Faktor-Authentifizierung (TOTP), verschlüsselte Übertragung (TLS/HTTPS).
- Integrität: Protokollierung sicherheitsrelevanter Ereignisse (Audit-Log), CSRF-Schutz, serverseitige Validierung von Datei-Uploads.
- Verfügbarkeit und Belastbarkeit: Tägliche automatisierte Backups von Datenbank und Dateispeicher, regelmäßig getestete Wiederherstellung, Uptime-Monitoring, Error-Monitoring.
- Verfahren zur Überprüfung: Automatisierte Testsuite und CI-Pipeline vor jedem Deployment, dokumentierte Deploy- und Rollback-Prozesse.
Kontakt
Fragen zu dieser Vereinbarung können an stephan@landsteiner.info gerichtet werden.
