// Rechtliches

AVV für die casavi-Übertragung

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO · Stand: September 2026 · Fassung casavi-v1.0

Was sich gegenüber der Fassung 1.0 ändert

• § 2 Abs. 3 (Ort): Die Verarbeitung findet weiterhin in der EU statt; hinzu kommt die Übertragung in das casavi-Konto des Verantwortlichen.
• § 3: Ergänzt um die übertragenen Daten. Anders als beim Nachrichtenversand gehen hier vollständige Unterlagen hinaus, nicht einzelne Angaben daraus.
• § 6: Ergänzt um die Löschregeln für bereits übertragene Unterlagen. Sie liegen im Konto des Verantwortlichen, und der Auftragsverarbeiter kann sie dort nicht löschen.
• § 7: casavi wird als zusätzlicher Unterauftragsverarbeiter benannt, mit Sitz, Verarbeitungsort und Garantie.
• § 8 (neu): Regelt die Übertragung vollständig: Zustimmung, Umfang beider Vorgänge, Ort, Rollen, Zugangsdaten, Widerruf und Nachweis. Die §§ 8 und 9 der Fassung 1.0 sind dadurch zu den §§ 9 und 10 geworden.
• Anlage 1: Ergänzt um die technischen Maßnahmen der casavi-Anbindung.

Alle übrigen Regelungen entsprechen wörtlich der Fassung 1.0.

Rollenverteilung

Der Kunde (die Hausverwaltung, nachfolgend „Verantwortlicher") ist Verantwortlicher für die personenbezogenen Daten, die im Rahmen einer Verwaltungsübernahme verarbeitet werden. My Cortex (Inhaber Ben Ferenc Burian, Solquellstraße 13, 13467 Berlin, nachfolgend „Auftragsverarbeiter") verarbeitet diese Daten ausschließlich weisungsgebunden zur Erbringung des Dienstes. Das gilt auch für die Übertragung in ein verbundenes casavi-Konto (§ 8).

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zur Erbringung des Dienstes „My Cortex" (Erkennung, Kategorisierung, Auslesen und Vollständigkeitsprüfung von Übernahmeunterlagen sowie Erstellung und Versand von Nachforderungen).

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages (AGB) und endet automatisch mit dessen Beendigung.

§ 2 Art, Zweck und Ort der Verarbeitung

(1) Art: Erheben, Speichern, Auslesen (Extraktion), Verknüpfen und Abgleichen, Auswerten, Erstellen von Entwürfen und Reports, Bereitstellen zum Abruf, Versenden von Nachrichten, Löschen.

(2) Zweck: Vorprüfung und Vervollständigung von Verwaltungsübernahmen aus den vom Verantwortlichen bereitgestellten Unterlagen sowie die Nachforderung fehlender Unterlagen bei Dritten.

(3) Ort: Europäische Union (Hosting in der EU). Die zur Analyse hochgeladenen Unterlagen sowie deren Auswertung und Speicherung verbleiben vollständig in der EU. Hinzu kommt die Übertragung an casavi, wenn der Verantwortliche sie einschaltet: Die freigegebenen Unterlagen werden dabei in sein eigenes casavi-Konto übertragen und dort vom Betreiber der casavi-Plattform gespeichert (Ort und Firmierung: § 7). Ohne diese Zustimmung findet keine Übertragung statt (§ 8).

§ 3 Daten und betroffene Personen

Kategorien personenbezogener Daten:

• Stammdaten (Namen, Anschriften, Kontaktdaten)
• Vertrags- und Objektdaten (z. B. aus Teilungserklärung, Wirtschaftsplänen, Protokollen, Wartungs- und Versorgungsverträgen)
• Finanz- und Saldendaten
• weitere personenbezogene Daten, die in den hochgeladenen Unterlagen enthalten sind
• bei eingeschalteter casavi-Übertragung zusätzlich: die vom Verantwortlichen freigegebenen Übernahmeunterlagen im Volltext, also Objektunterlagen (z. B. Teilungserklärung, Wirtschaftspläne, Protokolle, Wartungs-, Versorgungs- und Versicherungsverträge) und Mieterunterlagen (z. B. Mietverträge, Nachträge, Betriebskostenabrechnungen, Kautionsnachweise, Schriftwechsel), jeweils samt der darin enthaltenen personenbezogenen Daten, dazu Titel, Dateiname, Dokumenttyp, Dokumentdatum und Größe sowie die Referenz-ID des casavi-Objekts, dem sie zugeordnet werden

Betroffene Personen: Wohnungseigentümer, Mieter, Beiräte, Vertragspartner (z. B. Versicherer, Versorger, Dienstleister) sowie deren Ansprechpartner, soweit deren Daten in den Unterlagen enthalten sind. Bei eingeschalteter casavi-Übertragung sind dieselben Personen betroffen; der Unterschied liegt nicht im Personenkreis, sondern im Umfang: Übertragen werden vollständige Unterlagen und nicht nur einzelne Angaben daraus.

§ 4 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht gesetzlich zu etwas anderem verpflichtet ist.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält.

(3) Das Einschalten der casavi-Übertragung durch den Verantwortlichen (§ 8) gilt als dokumentierte Weisung, die von ihm freigegebenen Unterlagen in sein casavi-Konto zu übertragen.

§ 5 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Es werden nur zur Vertraulichkeit verpflichtete Personen eingesetzt (Art. 28, 29, 32 Abs. 4 DSGVO).

(2) Datensicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.

(3) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12-23 DSGVO) sowie bei den Pflichten nach Art. 32-36 DSGVO.

(4) Datenschutzverletzungen werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet.

(5) Ansprechpartner beim Auftragsverarbeiter für Datenschutzfragen: ferenc@my-cortex.de.

§ 6 Rückgabe und Löschung

Nach Beendigung des Hauptvertrages werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, spätestens nach einer Karenzzeit von 90 Tagen; innerhalb dieser Frist ist ein Export möglich. Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt und liegen beim Verantwortlichen.

Bereits nach casavi übertragene Unterlagen liegen im casavi-Konto des Verantwortlichen und unterliegen dessen Kontrolle. Sie werden von einer Löschung beim Auftragsverarbeiter nicht erfasst. Der Auftragsverarbeiter kann sie dort auch nicht löschen: Die Schnittstelle sieht das Anlegen und Aktualisieren von Dokumenten vor, nicht deren Entfernung. Für Löschung, Aufbewahrung und Betroffenenrechte im casavi-Konto gilt das Vertragsverhältnis des Verantwortlichen mit dem Betreiber der casavi-Plattform.

Das Trennen der Anbindung (§ 8 Abs. 6) beendet die Übertragung für die Zukunft und löscht die beim Auftragsverarbeiter gespeicherten Zugangsdaten. Es wirkt nicht auf bereits übertragene Unterlagen zurück.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Vertragsbedingungen der Unterauftragsverarbeiter:

• Mistral AI: legal.mistral.ai/terms/data-processing-addendum
• Clever Cloud: Clever Cloud Data Processing Agreement
• casavi: AVV zwischen dem Verwalter und casavi

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Austausch von Unterauftragsverarbeitern) vorab; der Verantwortliche kann widersprechen (Art. 28 Abs. 2 DSGVO). Abweichend hiervon wird casavi nicht im Wege der Vorabinformation mit Widerspruchsrecht hinzugezogen, sondern ausschließlich durch die aktive Zustimmung des Verantwortlichen nach § 8 Abs. 1. Ohne diese Zustimmung wird casavi nicht eingesetzt.

(3) Sonderfall casavi. Betreibt der Verantwortliche sein casavi-Konto aufgrund eines eigenen Vertrages mit dem Plattformbetreiber, so ist dieser ihm gegenüber nicht Unterauftragsverarbeiter des Auftragsverarbeiters, sondern sein eigener Auftragsverarbeiter. Die Einordnung in der Tabelle betrifft allein den Übertragungsvorgang, den der Auftragsverarbeiter ausführt. Für die Speicherung im Konto selbst gilt der Vertrag des Verantwortlichen mit dem Betreiber.

§ 8 Optionale Übertragung in ein verbundenes casavi-Konto

(1) Zustimmung (Opt-in)

Die Übertragung setzt voraus, dass der Verantwortliche sein eigenes casavi-Konto in der Anwendung verbindet und dabei dieser Fassung ausdrücklich zustimmt. Die Zustimmung erfolgt aktiv (Bestätigung vor dem Verbinden); ohne sie wird die Verbindung nicht hergestellt, es werden keine Zugangsdaten gespeichert und es findet keine Übertragung statt. Verantwortliche ohne Zustimmung bleiben vollständig unter der Standardfassung 1.0.

(2) Umfang der Übertragung

Die Anbindung hat zwei Vorgänge, und nur einer davon überträgt Unterlagen.

• Objektliste lesen: Einmal je Übernahme wird die Liste der Objekte des verbundenen Kontos abgerufen, damit der Verantwortliche das Zielobjekt auswählen kann. Gelesen werden dabei Stammdaten der Objekte (Bezeichnung, Anschrift, Referenz-ID), keine Unterlagen und keine Dokumentinhalte.
• Unterlagen übertragen: Übertragen werden ausschließlich die vom Verantwortlichen zuvor freigegebenen Dokumente der jeweiligen Übernahme, jeweils mit Dateiinhalt, Titel, Dateiname, Dokumenttyp, Dokumentdatum, Größe und der Referenz-ID des gewählten Zielobjekts.

Die Übertragung läuft in eine Richtung. Der Auftragsverarbeiter ruft aus dem casavi-Konto keine Dokumente ab. Die Schnittstelle sieht dafür weder eine Dokumentliste noch einen Abruf des Inhalts vor; lesbar ist zu einer bekannten Kennung allein die Metadatenzeile.

Vor jeder Übertragung zeigt die Anwendung, was übertragen wird, und benennt namentlich, was nicht übertragen werden kann, etwa weil eine Datei die Größengrenze der Schnittstelle überschreitet. Ein stillschweigendes Auslassen findet nicht statt.

(3) Ort der Verarbeitung

Die übertragenen Unterlagen werden vom Betreiber der casavi-Plattform gespeichert. Firmierung, Sitz und Verarbeitungsort sind in § 7 benannt; die dort genannte Garantie ist die Grundlage der Übermittlung. Findet dabei eine Übermittlung in ein Drittland im Sinne der Art. 44 ff. DSGVO statt, so ergibt sich die Transfergrundlage ebenfalls aus § 7. Der Auftragsverarbeiter überprüft in angemessenen Abständen, ob diese Grundlage fortbesteht, und informiert den Verantwortlichen unverzüglich, wenn sie entfällt. Entfällt sie, wird die Übertragung ausgesetzt.

(4) Rollen und Abgrenzung

Bei der Übertragung handelt der Auftragsverarbeiter weiterhin als Auftragsverarbeiter des Verantwortlichen: Er übergibt die vom Verantwortlichen freigegebenen Unterlagen an dessen eigenes casavi-Konto. Das Verhältnis zwischen dem Verantwortlichen und dem Betreiber der casavi-Plattform in Bezug auf das Konto selbst (Bereitstellung, Speicherung, Betrieb) richtet sich ausschließlich nach dem eigenen Vertrag des Verantwortlichen mit diesem Betreiber und ist nicht Gegenstand dieses Vertrages. Der Auftragsverarbeiter hat auf dieses Vertragsverhältnis keinen Einfluss.

(5) Zugangsdaten, Datensparsamkeit und Sicherheit

Die Zugangsdaten gelten für ein ganzes casavi-Konto. Die Schnittstelle kennt weder eine Anmeldung einzelner Personen noch abgestufte Berechtigungen: Schlüssel und Geheimnis eröffnen den Zugriff auf das Konto als Ganzes. Der Auftragsverarbeiter trägt dem dadurch Rechnung, dass er sie verschlüsselt speichert (symmetrische Verschlüsselung, Schlüssel ausschließlich aus der Betriebsumgebung, nie in Datenbank oder Protokoll), sie niemandem anzeigt und sie ausschließlich für die beiden in Absatz 2 genannten Vorgänge verwendet.

Es werden nur die für den jeweiligen Vorgang erforderlichen Daten übertragen. Eine Nutzung der übertragenen Inhalte zu eigenen Zwecken des Auftragsverarbeiters, kundenübergreifend oder zum Training von Modellen, findet nicht statt. Die Übertragung erfolgt ausschließlich über transportverschlüsselte Verbindungen.

(6) Widerruf

Die Zustimmung kann jederzeit mit Wirkung für die Zukunft widerrufen werden, indem der Verantwortliche die Anbindung in der Anwendung trennt. Mit dem Trennen werden die gespeicherten Zugangsdaten gelöscht und es findet keine weitere Übertragung statt; es gilt wieder die Standardfassung 1.0. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Übertragungen bleibt unberührt. Für bereits übertragene Unterlagen gilt § 6.

(7) Nachweis

Zustimmung und Widerruf werden mit Zeitpunkt, Fassungsbezeichnung, Link auf genau diese Fassung, IP-Adresse und Browserkennung protokolliert. Der Nachweis bleibt nach einem Widerruf erhalten; vermerkt wird allein der Zeitpunkt des Widerrufs. Zu jeder Übertragung wird zusätzlich festgehalten, welche Dokumente an welches Zielobjekt gegangen sind und welche abgelehnt wurden.

§ 9 Kontroll- und Nachweisrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), z. B. durch Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen sowie der Nachweise nach § 8 Abs. 7.

§ 10 Haftung, Fassungen und Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Nutzungsvertrages.

(2) Bei Widerspruch zwischen diesem AVV und dem Nutzungsvertrag gehen in Bezug auf die Datenverarbeitung die Regelungen dieses AVV vor.

(3) Fassungen. Diese Fassung trägt die Bezeichnung casavi-v1.0 und ist dauerhaft abrufbar unter https://my-cortex.de/avv/casavi. Sie gilt nur für Verantwortliche mit aktivem Opt-in nach § 8; im Übrigen gilt die Standardfassung 1.0 unter https://my-cortex.de/avv. Künftige Änderungen erhalten eine neue Fassungsbezeichnung; eine erteilte Zustimmung bezieht sich stets auf die zum Zeitpunkt der Zustimmung protokollierte Fassung.

(4) Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit: Zugriffskontrolle über authentifizierte Konten, rollenbasierte Zugriffe, Mandantentrennung (Multi-Tenant).
• Integrität & Verschlüsselung: TLS in Transit (HTTPS erzwungen); Verschlüsselung der Daten im Ruhezustand (at-rest).
• Verfügbarkeit: Hosting in der EU, regelmäßige Backups/Snapshots.
• Datenminimierung & Löschkonzept: nur erforderliche Daten; definierte Löschfristen.
• Menschliche Endkontrolle: Ergebnisse werden vor Versand durch einen Menschen geprüft.
• Protokollierung: Protokollierung sicherheitsrelevanter Zugriffe.
• casavi-Anbindung: Schlüssel und Geheimnis des casavi-Kontos werden symmetrisch verschlüsselt gespeichert; der Schlüssel dafür stammt ausschließlich aus der Betriebsumgebung und liegt nie in Datenbank oder Protokoll. Ohne gesetzten Schlüssel wird gar nicht gespeichert, statt im Klartext. Die Zugangsdaten werden nirgends angezeigt und ausschließlich für die beiden Vorgänge nach § 8 Abs. 2 verwendet. Übertragung nur über transportverschlüsselte Verbindungen. Mit dem Trennen der Anbindung werden sie gelöscht.
• Protokoll je Übertragung: Festgehalten wird, welche Dokumente an welches Zielobjekt übertragen und welche abgelehnt wurden, damit ein abgebrochener Lauf fortgesetzt werden kann und nachvollziehbar bleibt, was hinausgegangen ist.
• Nachweis der Zustimmung: Protokollierung von Zustimmung und Widerruf mit Zeitpunkt, Fassung, Link, IP-Adresse und Browserkennung (§ 8 Abs. 7).

Stand: September 2026 · Fassung casavi-v1.0 · Gilt nur mit aktivem Opt-in; sonst gilt die Standardfassung 1.0.