Vereinbarung zur Auftragsverarbeitung

1. Die Rollen

Wenn Sie im COLYO Eigentümerportal eigene Immobilien pflegen, geben Sie Daten Ihrer Mieterinnen und Mieter ein — Namen, Anschriften, Vertrags- und Zahlungsdaten. Für diese Daten sind Sie der Verantwortliche im Sinne von Art. 4 Nr. 7 DSGVO. Wir stellen Ihnen lediglich das Werkzeug und verarbeiten die Daten in Ihrem Auftrag; wir sind Auftragsverarbeiter nach Art. 4 Nr. 8 DSGVO.

Auftragsverarbeiter ist:
BM Property Partners GmbH
Kirchenstraße 86, 81675 München
E-Mail: info@colyo.de

COLYO ist eine Marke der BM Property Partners GmbH.

Diese Vereinbarung gilt nicht für Immobilien, die wir für Sie verwalten. Dort handeln wir aufgrund des Verwaltungsvertrags und tragen eigene Pflichten.

Die Nutzung des Portals selbst richtet sich nach unseren Nutzungsbedingungen; wie wir mit Ihren eigenen Daten umgehen, steht in der Datenschutzerklärung.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Speicherung und Verarbeitung der von Ihnen eingegebenen Daten zum Zweck der Verwaltung Ihrer Immobilien im Portal: Mietverhältnisse, Zahlungen, Belege, Dokumente und daraus erzeugte Auswertungen und Schreiben.

Die Vereinbarung läuft, solange Ihr Portalkonto besteht, und endet mit dessen Löschung.

3. Art der Daten und betroffene Personen

Datenarten: Stammdaten (Name, Anschrift, Kontaktdaten), Vertragsdaten (Mietbeginn und -ende, Miete, Nebenkosten, Kaution), Zahlungsdaten (Eingänge, Rückstände, Bankverbindung), Korrespondenz sowie Dokumente, die Sie hochladen.

Betroffene Personen: Ihre Mieterinnen und Mieter, deren Haushaltsangehörige, von Ihnen hinterlegte Ansprechpartner wie Hausverwaltung oder Handwerksbetriebe.

Besondere Kategorien nach Art. 9 DSGVO — etwa Gesundheitsdaten — sind nicht Gegenstand dieser Vereinbarung. Bitte geben Sie solche Daten nicht ein.

4. Weisungsbindung

Wir verarbeiten die Daten ausschließlich auf Ihre dokumentierte Weisung. Ihre Nutzung des Portals gilt als solche Weisung. Darüber hinausgehende Weisungen richten Sie bitte in Textform an die oben genannte Adresse. Sind wir gesetzlich zu einer Verarbeitung verpflichtet, informieren wir Sie vorher, soweit das Gesetz das nicht verbietet.

Halten wir eine Weisung für rechtswidrig, weisen wir Sie darauf hin und dürfen deren Ausführung aussetzen.

5. Vertraulichkeit

Alle Personen, die auftragsgemäß auf diese Daten zugreifen können, sind zur Vertraulichkeit verpflichtet und in den Anforderungen des Datenschutzes unterwiesen. Die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus fort.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Übertragung ausschließlich verschlüsselt über TLS.
• Verschlüsselte Speicherung der Datenbank und der hochgeladenen Dateien.
• Zugriffstrennung auf Datenbankebene: Jeder Zugriff ist an die angemeldete Identität gebunden, sodass Nutzer ausschließlich ihre eigenen Daten sehen. Mitarbeiter des Auftragsverarbeiters können zur Fehlerbehebung, zum Support und auf Ihre Weisung auf die Daten zugreifen — vertraulich (Abschnitt 5), zweckgebunden und nur, soweit es dafür erforderlich ist.
• Zugang nur nach Anmeldung; Passwörter werden ausschließlich als Hash gespeichert.
• Protokollierung sicherheitsrelevanter Vorgänge, regelmäßige Sicherungen.
• Rechenzentren innerhalb der Europäischen Union.

7. Unterauftragsverarbeiter

Sie stimmen dem Einsatz der folgenden Unterauftragsverarbeiter zu. Mit jedem bestehen die nach Art. 28 Abs. 4 DSGVO erforderlichen Vereinbarungen.

• Supabase Inc. (USA; Datenhaltung in der EU, Irland) — Datenbank, Dateiablage und Anmeldung
• Vercel Inc. (USA; Anwendung läuft in der EU-Region Frankfurt am Main) — Betrieb der Anwendung
• Resend (USA) — Versand der System-E-Mails. Drittland: USA (EU-Standardvertragsklauseln)
• Stripe (Irland; Konzernmutter in den USA) — Zahlungsabwicklung kostenpflichtiger Leistungen. Drittland: USA (EU-Standardvertragsklauseln)
• Anthropic PBC (USA) — KI-gestütztes Auslesen hochgeladener Unterlagen, soweit Sie diese Funktion nutzen. Drittland: USA (EU-Standardvertragsklauseln bzw. EU-US Data Privacy Framework, soweit zertifiziert)

Soweit ein Unterauftragsverarbeiter Daten außerhalb der EU verarbeitet, geschieht das auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) oder — bei zertifizierten Empfängern — des EU-US Data Privacy Framework.

Einen Wechsel oder die Aufnahme weiterer Unterauftragsverarbeiter teilen wir Ihnen mit angemessener Frist mit. Sie können widersprechen; in diesem Fall können Sie diese Vereinbarung außerordentlich kündigen.

8. Unterstützung und Betroffenenrechte

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs- oder Löschersuchen an uns, verweisen wir sie an Sie und leiten das Anliegen unverzüglich weiter. Wir unterstützen Sie mit geeigneten Mitteln bei der Erfüllung dieser Rechte sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 32 bis 36 DSGVO.

Von einer Verletzung des Schutzes personenbezogener Daten unterrichten wir Sie unverzüglich, damit Sie Ihre Meldefrist nach Art. 33 DSGVO einhalten können.

9. Löschung und Rückgabe

Sie können Ihre Daten jederzeit aus dem Portal exportieren. Nach Beendigung löschen wir die Daten oder geben sie zurück — nach Ihrer Wahl —, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Für steuerlich relevante Belege gelten die handels- und steuerrechtlichen Fristen.

10. Nachweise und Kontrollen

Wir stellen Ihnen auf Anfrage die Informationen bereit, die zum Nachweis der Einhaltung dieser Pflichten erforderlich sind, und ermöglichen Überprüfungen nach vorheriger Abstimmung und in einem den laufenden Betrieb schonenden Rahmen.