Auftragsverarbeitungsvertrag

Präambel und Vertragsparteien

Dieser Vertrag zur Auftragsverarbeitung („AVV“) wird zwischen dem im Expona-Konto bezeichneten Unternehmenskunden („Verantwortlicher“) und der TheGroupMovement GmbH, Pestalozzistraße 21, 90429 Nürnberg („Auftragsverarbeiter“) geschlossen. Er ergänzt den Nutzungsvertrag für Expona und gilt, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Der AVV wird mit der elektronischen Zustimmung bei der Registrierung wirksam. Die angenommene Version und der Zeitpunkt werden im Unternehmenskonto gespeichert.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung der browserbasierten Expona-Plattform zur Verwaltung von Immobilien- und Kontaktdaten, zur Erstellung und Veröffentlichung von Exposés und Objekt-Websites, zur Verarbeitung von Anfragen sowie zur vom Verantwortlichen aktivierten Analyse. Die Verarbeitung dauert für die Laufzeit des Nutzungsvertrags und bis zur vertragsgemäßen Löschung oder Rückgabe der Auftragsdaten.

2. Art und Zweck der Verarbeitung

• Erfassen, Strukturieren und Speichern von Immobilien- und Kontaktdaten,
• Erstellen, Rendern, Speichern und Bereitstellen von Exposés und Medien,
• Veröffentlichen vom Verantwortlichen freigegebener Objektseiten,
• Entgegennehmen, Speichern und Weiterleiten von Interessentenanfragen,
• Verwalten von Benutzern, Rollen und Berechtigungen,
• Erfassen von Aufrufen, Downloads, Referrern und Zuordnungen nur, soweit hierfür eine wirksame Einwilligung vorliegt, sowie
• Sicherung, Wiederherstellung, Fehlerdiagnose und Missbrauchsabwehr.

Verarbeitungen für eigene Zwecke des Auftragsverarbeiters, etwa Vertragsverwaltung, Abrechnung und Sicherheit seiner Systeme, sind nicht Gegenstand dieses AVV. Für sie ist der Auftragsverarbeiter eigenständig verantwortlich.

3. Datenarten und betroffene Personen

Je nach Nutzung können verarbeitet werden:

• Stamm- und Kontaktdaten wie Name, geschäftliche Anschrift, Telefonnummer und E-Mail-Adresse,
• Benutzer-, Rollen-, Authentifizierungs- und Protokolldaten,
• Immobilien-, Eigentümer-, Mieter-, Interessenten- und Ansprechpartnerdaten,
• Nachrichten, Dokumente, Bilder, Grundrisse und sonstige Inhalte,
• Nutzungs- und Analysedaten wie Zeitpunkte, Referrer, Kampagnenparameter, technische Geräteinformationen und pseudonyme Sitzungskennungen sowie
• Support-, Fehler- und Sicherheitsinformationen.

Betroffene Personen können Beschäftigte und Beauftragte des Verantwortlichen, Eigentümer, Vermieter, Mieter, Kauf- und Mietinteressenten, Geschäftspartner, Ansprechpartner sowie Besucher veröffentlichter Objektseiten sein. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht zur planmäßigen Verarbeitung vorgesehen.

4. Weisungen und Verantwortlichkeit

Der Auftragsverarbeiter verarbeitet Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht. Die Nutzung der konfigurierbaren Funktionen der Plattform gilt als Weisung. Weitere Weisungen können in Textform an media@thegroupmovement.com gerichtet werden.

Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, weist er den Verantwortlichen unverzüglich darauf hin und darf die Umsetzung bis zur Klärung aussetzen. Der Verantwortliche bleibt für Zulässigkeit, Rechtsgrundlage, Betroffeneninformation und Richtigkeit der Auftragsdaten verantwortlich.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

• nur Personen einzusetzen, die auf Vertraulichkeit verpflichtet und angemessen geschult sind,
• die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen aufrechtzuerhalten,
• den Verantwortlichen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Konsultationen im erforderlichen Umfang zu unterstützen,
• Verletzungen des Schutzes von Auftragsdaten nach Bekanntwerden unverzüglich mit den verfügbaren Pflichtangaben zu melden,
• erforderliche Informationen zum Nachweis der Pflichten nach Art. 28 DSGVO bereitzustellen und zulässige Kontrollen zu ermöglichen sowie
• kein Eigentum oder eigenständiges Verwertungsrecht an den Auftragsdaten zu beanspruchen.

6. Betroffenenrechte

Richtet eine betroffene Person ein Ersuchen zu Auftragsdaten direkt an den Auftragsverarbeiter, leitet dieser es grundsätzlich an den Verantwortlichen weiter. Der Auftragsverarbeiter berichtigt, löscht, sperrt, exportiert oder beauskunftet Auftragsdaten nur auf Weisung, soweit nicht eine eigene gesetzliche Pflicht besteht.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mindestens 14 Tage vor dem Einsatz. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine zumutbare Lösung gefunden werden, darf jede Partei den betroffenen Dienst außerordentlich kündigen.

Die Identität des für die Produktivinstanz eingesetzten Hostinganbieters wird in der Auftragsbestätigung bezeichnet. Der Auftragsverarbeiter vereinbart mit jedem Unterauftragsverarbeiter Pflichten, die dem Schutzniveau dieses AVV entsprechen.

8. Drittlandübermittlungen

Übermittlungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur auf dokumentierte Weisung oder auf Grundlage der Art. 44 ff. DSGVO. Soweit kein Angemessenheitsbeschluss gilt, verwendet der Auftragsverarbeiter insbesondere EU-Standardvertragsklauseln und prüft erforderliche ergänzende Schutzmaßnahmen.

9. Löschung und Rückgabe

Nach Ende der Leistungen löscht oder gibt der Auftragsverarbeiter die Auftragsdaten nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Daten in Sicherungskopien werden bis zur Überschreibung gesperrt und innerhalb der dokumentierten Sicherungszyklen gelöscht. Gesetzlich aufzubewahrende Daten werden für andere Zwecke gesperrt.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt auf Anfrage geeignete Nachweise, Auskünfte und vorhandene Prüfberichte zur Verfügung. Vor-Ort-Kontrollen sind nach angemessener Vorankündigung während der üblichen Geschäftszeiten zulässig, sofern schutzwürdige Interessen anderer Kunden und die Systemsicherheit gewahrt bleiben. Verursacht eine Kontrolle einen unverhältnismäßigen Zusatzaufwand, kann dieser nach vorheriger Abstimmung zu angemessenen Sätzen berechnet werden.

Anlage 1: Technische und organisatorische Maßnahmen

• Transportverschlüsselung über HTTPS/TLS und verschlüsselte Verbindungen zu unterstützten Infrastrukturkomponenten,
• gehashte Passwörter, gehashte langlebige Sitzungstoken, zeitlich begrenzte Zugriffstoken und Schutz vor wiederholten Anmeldeversuchen,
• rollenbasierte Berechtigungen, getrennte Mandantenkennungen und serverseitige Mandantenfilter,
• Protokollierung sicherheits- und betriebsrelevanter Vorgänge sowie Reduktion von Formular-, Cookie- und Authentifizierungsdaten in Fehlerberichten,
• geregelte Entwicklungs-, Prüf-, Freigabe- und Sicherheitsaktualisierungsprozesse,
• Wiederherstellungs- und Sicherungsverfahren für die Produktivumgebung,
• Lösch- und Aufbewahrungsregeln; rohe Analyseereignisse werden standardmäßig höchstens 365 Tage vorgehalten, sowie
• vertragliche Bindung, Auswahl und regelmäßige Überprüfung von Unterauftragsverarbeitern.

Der Auftragsverarbeiter darf Maßnahmen dem technischen Fortschritt entsprechend weiterentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

Schlussbestimmungen und Rangfolge

Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV für Fragen der Auftragsverarbeitung vor. Änderungen bedürfen mindestens der Textform. Im Übrigen gelten die Rechtswahl- und Gerichtsstandsregelungen der AGB.

Stand

Version 2026-07-20 · Stand: 20. Juli 2026