Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO · Stand: 1. September 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Kunden als Auftraggeber und Verantwortlichem („Auftraggeber“) und der Curalex GmbH, Frauenstraße 32, 80469 München, als Auftragnehmer und Auftragsverarbeiter („Curalex“) geschlossen. Er ist Bestandteil des Vertrags über die Nutzung von Curalex, sobald der Auftraggeber ihn im Registrierungs- oder Bestellprozess akzeptiert oder die Parteien ihn auf andere Weise vereinbaren.

Soweit Curalex personenbezogene Daten für eigene Zwecke verarbeitet, insbesondere Vertrags-, Abrechnungs-, Sicherheits- und Ansprechpartnerdaten, handelt Curalex insoweit als eigener Verantwortlicher; hierfür gilt dieser AVV nicht.

1. Gegenstand, Umfang und Dauer

Curalex verarbeitet personenbezogene Daten im Auftrag, soweit dies für Bereitstellung, Betrieb, Support, Wartung und Absicherung der Curalex-Plattform, für beauftragte Datenübernahmen sowie für vom Auftraggeber aktivierte Funktionen erforderlich ist. Gegenstand, Art, Zweck, Datenarten und Kategorien betroffener Personen sind in Anlage 1 beschrieben.

Die Auftragsverarbeitung beginnt mit der erstmaligen Verarbeitung von Auftragsdaten und dauert für die Laufzeit des Hauptvertrags. Pflichten, die ihrer Natur nach fortgelten, insbesondere Vertraulichkeits-, Löschungs- und Nachweispflichten, bestehen darüber hinaus bis zur vollständigen Rückgabe oder Löschung der Auftragsdaten.

2. Verantwortlichkeit und Weisungen

Der Auftraggeber ist für die Rechtmäßigkeit der Erhebung und Verarbeitung der Auftragsdaten, die Wahrung der Rechte betroffener Personen sowie die Zulässigkeit der Weisungen verantwortlich. Er stellt Curalex nur Daten bereit, die für die vereinbarten Zwecke erforderlich sind.

Curalex verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern keine gesetzliche Verpflichtung zu einer anderen Verarbeitung besteht. In diesem Fall informiert Curalex den Auftraggeber vor der Verarbeitung, soweit das betreffende Recht dies zulässt.

Als dokumentierte Weisungen gelten insbesondere der Hauptvertrag, dieser AVV, die vom Auftraggeber vorgenommene Konfiguration und Nutzung der Plattform, Supportanfragen sowie ausdrücklich erteilte Aufträge zur Datenübernahme. Zusätzliche Weisungen können in Textform an kontakt@curalex.cloud gerichtet werden. Verursachen Weisungen zusätzlichen, nicht vom Leistungsumfang gedeckten Aufwand, informiert Curalex vorab über die voraussichtlichen Kosten.

Hält Curalex eine Weisung für datenschutzrechtswidrig, informiert Curalex den Auftraggeber unverzüglich. Curalex darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen, soweit dies erforderlich ist, um einen möglichen Datenschutzverstoß zu vermeiden.

3. Pflichten von Curalex

Curalex verpflichtet sich insbesondere,

• Auftragsdaten nur im vereinbarten Umfang und nach dokumentierten Weisungen zu verarbeiten,
• nur Personen mit Auftragsdaten arbeiten zu lassen, die auf Vertraulichkeit verpflichtet und über die maßgeblichen Datenschutzanforderungen unterrichtet wurden,
• die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und Anlage 2 umzusetzen und ihre Wirksamkeit regelmäßig zu überprüfen,
• den Auftraggeber nach Maßgabe dieses AVV bei seinen gesetzlichen Datenschutzpflichten zu unterstützen,
• ein Verzeichnis der für den Auftraggeber durchgeführten Verarbeitungstätigkeiten zu führen, soweit gesetzlich verlangt,
• mit der zuständigen Aufsichtsbehörde im gesetzlich erforderlichen Umfang zusammenzuarbeiten und
• dem Auftraggeber die zur Erfüllung der Nachweis- und Kontrollpflichten erforderlichen Informationen bereitzustellen.

4. Sicherheit der Verarbeitung

Curalex trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie der Risiken für betroffene Personen angemessene technische und organisatorische Maßnahmen. Die bei Vertragsschluss geltenden Maßnahmen sind in Anlage 2 beschrieben. Eine ausführlichere aktuelle TOM-Dokumentation und geeignete Nachweise stellt Curalex berechtigten Auftraggebern auf Anfrage in angemessenem Umfang zur Verfügung. Sicherheitskritische Einzelheiten können unter Vertraulichkeit oder in geschützter Form bereitgestellt werden.

Curalex darf Maßnahmen an technische Entwicklungen und veränderte Risiken anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber auf Anfrage mitgeteilt.

5. Unterauftragsverarbeiter

Der Auftraggeber erteilt Curalex die allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen. Curalex schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der diesem im Wesentlichen dieselben Datenschutzpflichten auferlegt, die Curalex nach diesem AVV treffen. Curalex bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

Curalex informiert den Auftraggeber mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters über die im Kundenkonto hinterlegte Kontaktadresse. Der Auftraggeber kann innerhalb von 14 Tagen aus nachweisbaren datenschutzrechtlichen Gründen widersprechen. Die Parteien bemühen sich um eine zumutbare Alternative. Ist keine Lösung möglich, kann jede Partei den von der Änderung betroffenen Leistungsteil zum Änderungszeitpunkt kündigen; zwingende Rechte bleiben unberührt.

Reine Nebenleistungen ohne Zugriff auf Auftragsdaten, etwa Telekommunikation, Post, Gebäudereinigung oder allgemeine Wartung, gelten nicht als Unterauftragsverarbeitung. Curalex stellt dennoch sicher, dass hierbei ein angemessener Schutz der Daten gewährleistet ist.

6. Internationale Datenübermittlungen

Curalex verarbeitet Auftragsdaten grundsätzlich in der Europäischen Union. Soweit ein genehmigter Unterauftragsverarbeiter Daten in einem Drittland verarbeitet, stellt Curalex die Einhaltung der Art. 44 ff. DSGVO sicher. Hierfür können insbesondere ein Angemessenheitsbeschluss, die von der Europäischen Kommission erlassenen Standardvertragsklauseln einschließlich erforderlicher zusätzlicher Maßnahmen oder ein anderer gesetzlich zulässiger Übermittlungsmechanismus eingesetzt werden.

Curalex stellt dem Auftraggeber Informationen über den einschlägigen Übermittlungsmechanismus auf Anfrage zur Verfügung, soweit keine Rechte Dritter oder Sicherheitsinteressen entgegenstehen.

7. Rechte betroffener Personen

Wendet sich eine betroffene Person mit einem Antrag auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch unmittelbar an Curalex und betrifft der Antrag Auftragsdaten, leitet Curalex ihn unverzüglich an den Auftraggeber weiter und antwortet nicht eigenständig, sofern Curalex hierzu nicht gesetzlich verpflichtet oder vom Auftraggeber angewiesen ist.

Curalex unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Bearbeitung solcher Anträge, soweit dies unter Berücksichtigung der Art der Verarbeitung möglich ist. Außergewöhnlicher, nicht vom üblichen Leistungsumfang gedeckter Aufwand kann nach vorheriger Abstimmung angemessen vergütet werden, sofern die Unterstützung nicht auf einem von Curalex zu vertretenden Umstand beruht.

8. Datenschutzverletzungen

Curalex informiert den Auftraggeber unverzüglich, nachdem Curalex eine Verletzung des Schutzes von Auftragsdaten bekannt geworden ist. Die Mitteilung enthält, soweit verfügbar, die Art der Verletzung, betroffene Daten und Personengruppen, voraussichtliche Folgen, bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen sowie eine Kontaktstelle für Rückfragen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.

Curalex unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Risikobewertung, Meldungen an Aufsichtsbehörden, Benachrichtigung betroffener Personen und Datenschutz-Folgenabschätzungen.

9. Nachweise und Kontrollen

Curalex stellt dem Auftraggeber auf Anfrage geeignete Nachweise zur Verfügung, etwa aktuelle TOM-Dokumentation, Zertifizierungen, Prüfberichte oder beantwortete Sicherheitsfragebögen. Der Auftraggeber darf die Einhaltung dieses AVV selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer kontrollieren.

Kontrollen sind grundsätzlich mit mindestens 14 Tagen Vorlauf, während üblicher Geschäftszeiten und ohne unangemessene Beeinträchtigung des Betriebs durchzuführen. Regelmäßige Vor-Ort-Prüfungen sind auf einmal pro Kalenderjahr beschränkt, sofern kein Sicherheitsvorfall, begründeter Verdacht oder eine behördliche Anordnung eine zusätzliche Prüfung rechtfertigt. Vertrauliche Informationen anderer Kunden und sicherheitskritische Details sind zu schützen. Kosten einer vom Auftraggeber veranlassten Prüfung trägt der Auftraggeber, es sei denn, die Prüfung ergibt einen wesentlichen von Curalex zu vertretenden Verstoß.

10. Rückgabe und Löschung

Nach Beendigung der Auftragsverarbeitung gibt Curalex nach Wahl des Auftraggebers die Auftragsdaten in einem vereinbarten, gängigen Format heraus oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Auftraggeber teilt seine Wahl rechtzeitig mit und sichert zuvor die benötigten Daten. Ohne abweichende Weisung löscht Curalex die produktiven Auftragsdaten nach Ablauf der vertraglich vorgesehenen Übergangsfrist.

Daten in Sicherungskopien werden im Rahmen der regulären Backup-Zyklen überschrieben oder gelöscht. Solange eine vollständige technische Löschung aus Sicherungskopien noch nicht möglich ist, bleiben die Daten gesperrt und dürfen nur zur Wiederherstellung sowie zur Erfüllung gesetzlicher Pflichten verarbeitet werden. Gesetzlich aufzubewahrende Daten werden von sonstigen Verarbeitungen isoliert und nach Fristablauf gelöscht.

11. Vertraulichkeit

Beide Parteien behandeln die im Zusammenhang mit diesem AVV erlangten vertraulichen Informationen der anderen Partei vertraulich. Gesetzliche Offenlegungspflichten bleiben unberührt; die betroffene Partei wird vor einer Offenlegung informiert, soweit dies rechtlich zulässig ist.

12. Haftung und Schlussbestimmungen

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags, soweit sie den gesetzlichen Verantwortungsanteilen und zwingendem Recht nicht widersprechen.

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV hinsichtlich des Schutzes personenbezogener Auftragsdaten vor. Änderungen dieses AVV bedürfen der Textform, soweit nicht eine strengere Form gesetzlich vorgeschrieben ist. Im Übrigen gelten Rechtswahl und Gerichtsstand des Hauptvertrags.

Anlage 1 – Beschreibung der Verarbeitung

1. Gegenstand und Zwecke

• Bereitstellung und Betrieb der cloudbasierten Immobilienverwaltungssoftware Curalex,
• Speicherung, Organisation, Verknüpfung und Anzeige der vom Auftraggeber eingestellten Daten,
• Verwaltung von Objekten, Einheiten, Mietverhältnissen, Kontakten, Dokumenten, Zahlungen und Vorgängen,
• Benutzerverwaltung, Authentifizierung, Berechtigungen und Mandantentrennung,
• Support, Fehleranalyse, Wartung, Datensicherung und Wiederherstellung,
• beauftragte Migration, Extraktion und Übernahme von Bestandsunterlagen sowie
• vom Auftraggeber aktivierte Bank-, Kommunikations- und KI-Funktionen.

2. Art der Verarbeitung

Erheben, Erfassen, Ordnen, Strukturieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Verknüpfen, Abgleichen, Übermitteln, Bereitstellen, Einschränken, Sichern, Wiederherstellen, Exportieren und Löschen. Bei KI-gestützten Funktionen zusätzlich Extraktion, Klassifikation, Zusammenfassung, Plausibilisierung und Generierung von Vorschlägen.

3. Kategorien betroffener Personen

• Kunden, Nutzer und Beschäftigte des Auftraggebers,
• Mieter, Mietinteressenten, Mitbewohner, Bürgen und sonstige Kontaktpersonen,
• Eigentümer, Mitglieder von Eigentümergemeinschaften und Bevollmächtigte,
• Dienstleister, Handwerker, Lieferanten und deren Beschäftigte sowie
• sonstige Personen, deren Daten der Auftraggeber in Curalex verarbeitet.

4. Arten personenbezogener Daten

• Stamm-, Kontakt-, Adress- und Kommunikationsdaten,
• Objekt-, Einheiten-, Eigentums-, Vertrags- und Mietverhältnisdaten,
• Zahlungs-, Forderungs-, Bankumsatz- und Abrechnungsdaten,
• Dokumente, Korrespondenz, Tickets, Notizen, Termine und Aufgaben,
• Benutzer-, Rollen-, Authentifizierungs- und Berechtigungsdaten sowie
• Protokoll-, Geräte-, Nutzungs-, Support- und Sicherheitsdaten.

Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO oder von Daten über strafrechtliche Verurteilungen ist nicht als Regelfall vorgesehen. Können solche Angaben in unstrukturierten Dokumenten oder Kommunikationsinhalten enthalten sein, trägt der Auftraggeber die Verantwortung für ihre Erforderlichkeit und weist Curalex bei planmäßiger Verarbeitung vorab darauf hin.

5. Dauer

Für die Dauer des Hauptvertrags einschließlich einer vereinbarten Übergangs-, Rückgabe- und Löschphase. Einzelne Verarbeitungsvorgänge können entsprechend der Konfiguration, Weisung oder gesetzlichen Aufbewahrungsfristen kürzer oder länger dauern.

Anlage 2 – Technische und organisatorische Maßnahmen

• Zutritts- und Infrastrukturkontrolle: Betrieb in kontrollierten Rechenzentren vertraglich gebundener Cloudanbieter; physischer Zutritt liegt in deren gesicherten Verantwortungsbereichen.
• Zugangskontrolle: individuelle Benutzerkonten, sichere Authentifizierung, verfügbare Mehrfaktor-Authentifizierung, administrative Berechtigungsbeschränkung und Verfahren zum Entzug von Zugängen.
• Zugriffskontrolle: rollenbasierte Rechte, Need-to-know-Prinzip, serverseitige Mandantentrennung und Row-Level-Security in der Datenbank.
• Übertragungs- und Speicherschutz: TLS/HTTPS bei Übertragungen, zeitlich und sachlich beschränkte Uploadberechtigungen sowie Verschlüsselung ruhender Daten nach den Standards der Infrastrukturpartner.
• Protokollierung: Protokollierung sicherheitsrelevanter System- und Verwaltungsaktionen, Schutz der Protokolle vor unberechtigter Veränderung und zweckgebundene Aufbewahrung.
• Verfügbarkeit: automatisierte Datensicherungen, Wiederherstellungsverfahren, Monitoring, Fehlerbehandlung und Maßnahmen zur Aufrechterhaltung beziehungsweise Wiederherstellung des Betriebs.
• Trennung und Datenminimierung: logische Trennung von Kundenbereichen, getrennte Umgebungen und Beschränkung von KI-Anfragen auf die für den jeweiligen Zweck erforderlichen Daten.
• Organisationsmaßnahmen: Vertraulichkeitsverpflichtungen, Berechtigungskonzepte, Datenschutz- und Sicherheitsvorgaben, Lieferantenprüfung, Incident-Response- und Löschprozesse sowie regelmäßige Überprüfung der Maßnahmen.

Eine ausführlichere aktuelle TOM-Dokumentation und geeignete Nachweise stellt Curalex dem Auftraggeber auf berechtigte Anfrage in angemessenem Umfang zur Verfügung. Sie konkretisieren die zugesagten Maßnahmen. Sicherheitskritische Einzelheiten dürfen zum Schutz der Systeme und aller Mandanten geschwärzt oder in kontrollierter Form nach Vertraulichkeitszusage offengelegt werden.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Funktionsabhängige Anbieter erhalten nur dann Auftragsdaten, wenn der Auftraggeber die jeweilige Funktion nutzt oder die betreffende Verarbeitung beauftragt. Curalex führt die jeweils aktuelle Liste und Änderungsmitteilungen über die im Kundenkonto hinterlegte Kontaktadresse.