// Rechtliches

AVV für die Anzeige von Google-Bewertungen

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO · Stand: September 2026 · Fassung bewertungen-v1.0

Was sich gegenüber der Fassung 1.0 ändert

• § 2 Abs. 3 (Ort): Die Verarbeitung findet weiterhin in der EU statt; ausgenommen sind allein die Zuordnung und die Anzeige nach § 8.
• § 3: Ergänzt um Firmenname und Anschrift der Dienstleister sowie um die Verbindungsdaten des Nutzers beim Abruf im Browser.
• § 7: Google wird als zusätzlicher Unterauftragsverarbeiter benannt, einschließlich Drittlandbezug und Transfergrundlage.
• § 8 (neu): Regelt die Anzeige vollständig: Zustimmung, die zwei Vorgänge (Zuordnung und Anzeige), was nicht übermittelt wird, Transfergrundlage, Rollen, Inhalte Dritter, Datensparsamkeit, Widerruf und Nachweis. Die §§ 8 und 9 der Fassung 1.0 sind dadurch zu den §§ 9 und 10 geworden.
• Anlage 1: Ergänzt um die technischen Maßnahmen der Anzeige.

Alle übrigen Regelungen entsprechen wörtlich der Fassung 1.0.

Rollenverteilung

Der Kunde (die Hausverwaltung, nachfolgend „Verantwortlicher“) ist Verantwortlicher für die personenbezogenen Daten, die im Rahmen einer Verwaltungsübernahme verarbeitet werden. My Cortex (Inhaber Ben Ferenc Burian, Solquellstraße 13, 13467 Berlin, nachfolgend „Auftragsverarbeiter“) verarbeitet diese Daten ausschließlich weisungsgebunden zur Erbringung des Dienstes. Das gilt auch für die Zuordnung von Dienstleistern zu Google-Einträgen (§ 8 Abs. 2). Für die Anzeige im Browser gilt die Abgrenzung in § 8 Abs. 5.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zur Erbringung des Dienstes „My Cortex“ (Erkennung, Kategorisierung, Auslesen und Vollständigkeitsprüfung von Übernahmeunterlagen sowie Erstellung von Nachforderungs-Entwürfen).

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages (AGB) und endet automatisch mit dessen Beendigung.

§ 2 Art, Zweck und Ort der Verarbeitung

(1) Art: Erheben, Speichern, Auslesen (Extraktion), Verknüpfen und Abgleichen, Auswerten, Erstellen von Entwürfen und Reports, Bereitstellen zum Abruf, Löschen.

(2) Zweck: Vorprüfung und Vervollständigung von Verwaltungsübernahmen aus den vom Verantwortlichen bereitgestellten Unterlagen.

(3) Ort: Europäische Union (Hosting in der EU). Ausgenommen sind allein die Zuordnung und die Anzeige nach § 8: Für diese kann eine Übermittlung in die USA stattfinden.

§ 3 Daten und betroffene Personen

Kategorien personenbezogener Daten:

• Stammdaten (Namen, Anschriften, Kontaktdaten)
• Vertrags- und Objektdaten (z. B. aus Teilungserklärung, Wirtschaftsplänen, Protokollen, Wartungs- und Versorgungsverträgen)
• Finanz- und Saldendaten
• weitere personenbezogene Daten, die in den hochgeladenen Unterlagen enthalten sind
• bei der Zuordnung nach § 8 zusätzlich: Firmenname und Anschrift der Dienstleister, die in den Unterlagen des Verantwortlichen belegt sind oder aus dem Dienstleisterverzeichnis des Auftragsverarbeiters stammen. Bei Einzelunternehmern kann der Firmenname der Name einer Person sein
• bei der Anzeige nach § 8 zusätzlich: die Verbindungsdaten des abrufenden Browsers (IP-Adresse, Browserkennung, Sprache, Zeitpunkt), die der Browser des Nutzers beim Abruf an Google sendet

Betroffene Personen: Wohnungseigentümer, Mieter, Beiräte, Vertragspartner (z. B. Versicherer, Versorger, Dienstleister) sowie deren Ansprechpartner, soweit deren Daten in den Unterlagen enthalten sind; zusätzlich Inhaber von Dienstleistungsbetrieben und die Nutzer des Verantwortlichen.

§ 4 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht gesetzlich zu etwas anderem verpflichtet ist.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält.

§ 5 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Es werden nur zur Vertraulichkeit verpflichtete Personen eingesetzt (Art. 28, 29, 32 Abs. 4 DSGVO).

(2) Datensicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.

(3) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12-23 DSGVO) sowie bei den Pflichten nach Art. 32-36 DSGVO.

(4) Datenschutzverletzungen werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet.

(5) Ansprechpartner beim Auftragsverarbeiter für Datenschutzfragen: ferenc@my-cortex.de.

§ 6 Rückgabe und Löschung

Nach Beendigung des Hauptvertrages werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, spätestens nach einer Karenzzeit von 90 Tagen; innerhalb dieser Frist ist ein Export möglich. Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt und liegen beim Verantwortlichen.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Hat der Verantwortliche zusätzlich den optionalen Versand über ein eigenes Microsoft-Postfach oder die Anbindung an Google Drive eingeschaltet, gelten insoweit die Fassung microsoft-v1.1 und die Fassung google-v1.1.

Vertragsbedingungen der Unterauftragsverarbeiter:

• Mistral AI: legal.mistral.ai/terms/data-processing-addendum
• Clever Cloud: Clever Cloud Data Processing Agreement
• Google (Maps Platform Terms of Service): cloud.google.com/maps-platform/terms
• Google (Cloud Data Processing Addendum): cloud.google.com/terms/data-processing-addendum

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Austausch von Unterauftragsverarbeitern) vorab; der Verantwortliche kann widersprechen (Art. 28 Abs. 2 DSGVO). Abweichend hiervon wird Google nicht im Wege der Vorabinformation mit Widerspruchsrecht hinzugezogen, sondern ausschließlich durch die aktive Zustimmung des Verantwortlichen nach § 8 Abs. 1. Ohne diese Zustimmung wird Google nicht eingesetzt.

§ 8 Optionale Anzeige von Google-Bewertungen zu Dienstleistern

(1) Zustimmung (Opt-in)

Die Anzeige setzt voraus, dass der Verantwortliche sie in seinem Konto einschaltet und dabei dieser Fassung ausdrücklich zustimmt. Die Zustimmung erfolgt aktiv vor der ersten Zuordnung; ohne sie findet keine Zuordnung statt, und die Anwendung lädt keinen Bestandteil von Google in den Browser. Verantwortliche ohne Zustimmung bleiben vollständig unter der Standardfassung 1.0.

Das Einschalten gilt zugleich als dokumentierte Weisung im Sinne des § 4 Abs. 1, die in Absatz 2 beschriebene Zuordnung vorzunehmen und das Anzeigeelement auf Klick bereitzustellen.

(2) Die zwei Vorgänge

• Zuordnung (über den Server des Auftragsverarbeiters): Zu einem Dienstleister, der in den Unterlagen des Verantwortlichen belegt ist oder aus dem Dienstleisterverzeichnis des Auftragsverarbeiters stammt, übermittelt der Auftragsverarbeiter einmalig dessen Firmenname und Anschrift an Google und erhält die Kennung des zugehörigen Google-Eintrags (Ortskennung, „place_id“). Gespeichert wird allein diese Kennung. Alle übrigen Bestandteile der Antwort werden verworfen. Die Zuordnung erfolgt mit dem Schlüssel des Auftragsverarbeiters; Google erfährt dabei nicht, für welchen Verantwortlichen und für welche Übernahme sie erfolgt.
• Anzeige (im Browser des Nutzers): Erst wenn ein Nutzer des Verantwortlichen bei einem Dienstleister auf „Google-Bewertung anzeigen“ klickt, lädt sein Browser das Anzeigeelement von Google und ruft damit die Bewertung unmittelbar bei Google ab. Google erhält dabei vom Browser die Ortskennung, die IP-Adresse, die Browserkennung, die Sprache und den Zeitpunkt sowie den Schlüssel des Auftragsverarbeiters. Die Inhalte (Sternebewertung, Anzahl der Bewertungen, Branche, Öffnungszeiten, Kontaktdaten und gegebenenfalls Bewertungstexte) stellt Google unmittelbar im Browser dar. Der Auftragsverarbeiter erhält diese Inhalte nicht und speichert sie nicht. Vor dem Klick findet keine Verbindung zu Google statt.

(3) Was nicht übermittelt wird

An Google gehen keine hochgeladenen Unterlagen und keine Inhalte daraus, die über Firmenname und Anschrift des Dienstleisters hinausgehen. Nicht übermittelt werden Angaben zum Objekt (Anschrift, Lage, Einheiten), Daten von Eigentümern, Mietern und Beiräten, Vertragsinhalte, Beträge sowie die Angabe, um welchen Verantwortlichen oder welche Übernahme es geht. Die Zuordnung wird nicht anhand der Lage des Objekts vorgenommen, sondern anhand der Anschrift des Dienstleisters.

(4) Drittlandübermittlung und Transfergrundlage

Google ist ein Unternehmen mit Konzernsitz in den USA. Mit der Zuordnung und der Anzeige findet für die in Absatz 2 genannten Daten eine Übermittlung in ein Drittland im Sinne der Art. 44 ff. DSGVO statt.

Die Übermittlung wird gestützt auf:

• die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) nach Art. 46 Abs. 2 lit. c DSGVO, die Google in sein Cloud Data Processing Addendum einbezieht, samt der dort vereinbarten ergänzenden Schutzmaßnahmen; sowie
• ergänzend die Zertifizierung der Google LLC unter dem EU-U.S. Data Privacy Framework auf Grundlage des Angemessenheitsbeschlusses der Europäischen Kommission vom 10. Juli 2023 (Art. 45 DSGVO).

Der Auftragsverarbeiter überprüft in angemessenen Abständen, ob diese Grundlagen fortbestehen, und informiert den Verantwortlichen unverzüglich, wenn eine von ihnen entfällt. Entfallen sie sämtlich, wird die Anzeige ausgesetzt.

(5) Rollen und Abgrenzung

Bei der Zuordnung nach Absatz 2 handelt der Auftragsverarbeiter als Auftragsverarbeiter des Verantwortlichen; Google ist insoweit sein Unterauftragsverarbeiter (§ 7).

Bei der Anzeige nach Absatz 2 ruft der Browser des Nutzers das Anzeigeelement unmittelbar bei Google ab. Die Verarbeitung innerhalb dieses Elements, insbesondere die Verbindungsdaten des Browsers und die dargestellten Inhalte, nimmt Google nach seinen eigenen Nutzungs- und Datenschutzbestimmungen vor (policies.google.com/privacy). Der Auftragsverarbeiter hat auf diese Verarbeitung keinen Einfluss und erhält aus ihr keine Daten. Ob und wann ein Abruf stattfindet, entscheidet allein der Verantwortliche: mit dem Einschalten der Anzeige und mit jedem einzelnen Klick.

(6) Inhalte Dritter

Bewertungen sind Meinungsäußerungen Dritter, die bei Google liegen. Der Auftragsverarbeiter prüft sie nicht, macht sie sich nicht zu eigen, übernimmt sie nicht in Ergebnisdokumente und verwendet sie nicht bei der Prüfung der Unterlagen. Die Auswahl eines Dienstleisters bleibt eine Entscheidung des Verantwortlichen.

(7) Datensparsamkeit und Sicherheit

Der Auftragsverarbeiter speichert zu einem Dienstleister allein die Ortskennung. Bewertungsinhalte werden nicht gespeichert, nicht ausgewertet, nicht kundenübergreifend zusammengeführt und nicht zur Verbesserung des Dienstes oder zum Training von Modellen genutzt. Der Schlüssel des Auftragsverarbeiters ist an die Adresse der Anwendung gebunden. Das Anzeigeelement wird erst nach dem Klick geladen (Anlage 1).

(8) Ortskennungen nach dem Ende

Die gespeicherten Ortskennungen eines Verantwortlichen werden mit dem Widerruf nach Absatz 9 gelöscht, spätestens mit der Rückgabe oder Löschung nach § 6.

(9) Widerruf

Der Verantwortliche kann die Zustimmung jederzeit mit Wirkung für die Zukunft widerrufen, indem er die Anzeige in seinem Konto ausschaltet. Ab diesem Zeitpunkt findet keine Zuordnung mehr statt, kein Bestandteil von Google wird mehr geladen, die gespeicherten Ortskennungen werden gelöscht, und es gilt wieder die Standardfassung 1.0. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Übermittlungen bleibt unberührt.

(10) Nachweis

Zustimmung und Widerruf werden mit Zeitpunkt, Fassungsbezeichnung, dem zum Zeitpunkt der Zustimmung geltenden Link zu dieser Fassung sowie der IP-Adresse und der Browserkennung (User-Agent) des zustimmenden Zugangs protokolliert und dem Verantwortlichen auf Anfrage nachgewiesen.

Der Nachweis bleibt auch nach einem Widerruf erhalten. Für dieses Protokoll ist der Auftragsverarbeiter eigener Verantwortlicher, nicht Auftragsverarbeiter: Es dient allein dem Nachweis, dass die Zustimmung vorlag (Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO).

§ 9 Kontroll- und Nachweisrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), z. B. durch Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen sowie der Nachweise nach § 8 Abs. 10.

§ 10 Haftung, Fassungen und Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Nutzungsvertrages.

(2) Bei Widerspruch zwischen diesem AVV und dem Nutzungsvertrag gehen in Bezug auf die Datenverarbeitung die Regelungen dieses AVV vor.

(3) Fassungen. Diese Fassung trägt die Bezeichnung bewertungen-v1.0 und ist dauerhaft abrufbar unter https://my-cortex.de/avv/google/bewertungen-v1.0. Sie gilt nur für Verantwortliche mit aktivem Opt-in nach § 8; im Übrigen gilt die Standardfassung 1.0 unter https://my-cortex.de/avv. Für den optionalen Versand über ein verbundenes Microsoft-Postfach gilt daneben die Fassung microsoft-v1.1 unter https://my-cortex.de/avv/microsoft, für die Anbindung an Google Drive die Fassung google-v1.1 unter https://my-cortex.de/avv/google. Künftige Änderungen erhalten eine neue Fassungsbezeichnung; eine erteilte Zustimmung bezieht sich stets auf die zum Zeitpunkt der Zustimmung protokollierte Fassung.

(4) Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit: Zugriffskontrolle über authentifizierte Konten, rollenbasierte Zugriffe, Mandantentrennung (Multi-Tenant).
• Integrität & Verschlüsselung: TLS in Transit (HTTPS erzwungen); Verschlüsselung der Daten im Ruhezustand (at-rest).
• Verfügbarkeit: Hosting in der EU, regelmäßige Backups/Snapshots.
• Datenminimierung & Löschkonzept: nur erforderliche Daten; definierte Löschfristen.
• Menschliche Endkontrolle: Ergebnisse werden vor Versand durch einen Menschen geprüft.
• Protokollierung: Protokollierung sicherheitsrelevanter Zugriffe.
• Google-Bewertungen: Vor dem Klick auf „Google-Bewertung anzeigen“ lädt die Anwendung keinen Bestandteil von Google; es besteht keine Verbindung zu Google. Das Anzeigeelement wird je Klick geladen und mit dem Verlassen der Ansicht wieder entfernt. Der Schlüssel des Auftragsverarbeiters ist an die Adresse der Anwendung gebunden und auf die für Zuordnung und Anzeige nötigen Dienste beschränkt. Gespeichert wird je Dienstleister allein die Ortskennung; Bewertungsinhalte werden weder gespeichert noch protokolliert.
• Nachweis der Zustimmung: Protokollierung von Zustimmung und Widerruf mit Zeitpunkt, Fassung, Link, IP-Adresse und Browserkennung (§ 8 Abs. 10).

Stand: September 2026 · Fassung bewertungen-v1.0 · Gilt nur mit aktivem Opt-in; sonst gilt die Standardfassung 1.0.