// Rechtliches
Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO · Stand: September 2026 · Version 2.0
Diese Fassung gilt nicht mehr. Am 01.10.2026 hat die
Standardfassung 2.1 sie abgelöst. Sie steht hier
weiterhin, weil sie Teil bestehender Nutzungsverträge war und nachlesbar bleiben
muss, was unter ihr galt.
Was an ihr nicht mehr zutraf: Seit dem 28.09.2026 schickt die Anwendung bei
Mietshäusern den ausgelesenen Text von Übergabeschreiben, Kontoauszügen, Mieterlisten
und Kautionsnachweisen zur Inhaltsprüfung an Nebius B.V.; den Rechenort bestimmt der
Anbieter, auch außerhalb der EU. § 2 Abs. 3 und § 7 nannten den Anbieter nicht, und die
Aussage, hochgeladene Unterlagen würden in der EU ausgewertet, galt für diesen
Prüfschritt nicht. Die geltende Fassung benennt ihn.
Diese Fassung galt für alle Kunden. Hochgeladene Unterlagen werden in der EU gespeichert und ausgewertet. Zwei Vorgänge laufen über Anbieter, deren Verarbeitung nicht auf die EU beschränkt ist, die E-Mails an Nutzerkonten und die Entgegennahme von Antworten auf Nachforderungen; beide sind in § 2 Abs. 3 und § 7 benannt.
Wer den optionalen Versand über ein eigenes Microsoft-Postfach nutzen möchte, benötigt dafür die geänderte Fassung microsoft-v1.2: Sie benennt Microsoft als Unterauftragsverarbeiter und weist die damit verbundene Übermittlung in die USA aus. Ohne ausdrückliche Zustimmung zu jener Fassung findet kein Versand über Microsoft statt und es bleibt bei dieser Fassung.
Rollenverteilung: Der Kunde (die Hausverwaltung, nachfolgend „Verantwortlicher") ist Verantwortlicher für die personenbezogenen Daten, die im Rahmen einer Verwaltungsübernahme verarbeitet werden. My Cortex (Inhaber Ben Ferenc Burian, Solquellstraße 13, 13467 Berlin, nachfolgend „Auftragsverarbeiter") verarbeitet diese Daten ausschließlich weisungsgebunden zur Erbringung des Dienstes.
Was sich gegenüber der Fassung 1.0 ändert
- § 1 Abs. 1 (Gegenstand): Der Dienst nimmt auch die Antworten auf Nachforderungen entgegen, samt nachgereichter Unterlagen. Die Fassung 1.0 nannte nur den Entwurf der Nachforderung.
- § 2 Abs. 3 (Ort): Die Zusage, dass kein Drittlandbezug stattfindet, ist durch eine genaue Beschreibung ersetzt. Hochgeladene Unterlagen werden weiterhin in der EU gespeichert und ausgewertet. Zwei Vorgänge laufen über Anbieter, deren Verarbeitung nicht auf die EU beschränkt ist: die E-Mails an Nutzerkonten und die Entgegennahme von Antworten auf Nachforderungen.
- § 7 (Unterauftragsverarbeiter): Drei Einträge kommen hinzu. Scaleway SAS (Frankreich) stellt KI-Modelle für einzelne Prüfschritte bereit. Sendinblue SAS (Marke Brevo, Frankreich) versendet seit dem 30. August 2026 die E-Mails an Nutzerkonten; die Fassung 1.0 nannte den Anbieter nicht. AC PM LLC (Postmark, USA) nimmt seit dem 20. September 2026 die Antworten auf Nachforderungen entgegen; auch dieser Anbieter fehlte in der Fassung 1.0.
Alle übrigen Regelungen entsprechen wörtlich der Fassung 1.0. Diese bleibt unter /avv/standard/1.0 abrufbar.
§ 1 Gegenstand und Dauer
(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zur Erbringung des Dienstes „My Cortex" (Erkennung, Kategorisierung, Auslesen und Vollständigkeitsprüfung von Übernahmeunterlagen, Erstellung von Nachforderungs-Entwürfen sowie Entgegennahme der Antworten darauf).
(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages (AGB) und endet automatisch mit dessen Beendigung.
§ 2 Art, Zweck und Ort der Verarbeitung
(1) Art: Erheben, Speichern, Auslesen (Extraktion), Verknüpfen und Abgleichen, Auswerten, Erstellen von Entwürfen und Reports, Bereitstellen zum Abruf, Löschen.
(2) Zweck: Vorprüfung und Vervollständigung von Verwaltungsübernahmen aus den vom Verantwortlichen bereitgestellten Unterlagen.
(3) Ort: Europäische Union. Die vom Verantwortlichen hochgeladenen Unterlagen werden in der EU gespeichert (Hosting in Frankreich) und in der EU ausgewertet (KI-Dienste in Frankreich). Zwei Vorgänge laufen über Unterauftragsverarbeiter, deren Verarbeitung nicht auf die EU beschränkt ist; beide sind in § 7 mit Sitz, Ort und Garantie benannt:
- E-Mails an Nutzerkonten (Einrichtung eines Zugangs, Zurücksetzen eines Passworts) versendet Sendinblue SAS von Servern in Frankreich und Deutschland; für einzelne Zusatzdienste setzt der Anbieter Unterauftragsverarbeiter außerhalb der EU ein. Inhalte hochgeladener Unterlagen sind davon nicht betroffen.
- Antworten auf Nachforderungen, die ein angeschriebener Dritter per E-Mail an die Antwortadresse des Dienstes schickt, nimmt AC PM LLC (Postmark) in den USA entgegen und übergibt sie an den Dienst in der EU. Das umfasst Absender, Betreff, Text und mitgesendete Anhänge, also auch nachgereichte Unterlagen. Der Anbieter hält die Nachricht nach eigenen Angaben 45 Tage vor.
Weitere Übermittlungen in ein Drittland finden ohne gesonderte Zustimmung des Verantwortlichen nicht statt; die Fassungen für die optionalen Anbindungen regeln sie gesondert.
§ 3 Daten und betroffene Personen
Kategorien personenbezogener Daten:
- Stammdaten (Namen, Anschriften, Kontaktdaten)
- Vertrags- und Objektdaten (z. B. aus Teilungserklärung, Wirtschaftsplänen, Protokollen, Wartungs- und Versorgungsverträgen)
- Finanz- und Saldendaten
- weitere personenbezogene Daten, die in den hochgeladenen Unterlagen enthalten sind
Betroffene Personen: Wohnungseigentümer, Mieter, Beiräte, Vertragspartner (z. B. Versicherer, Versorger, Dienstleister) sowie deren Ansprechpartner, soweit deren Daten in den Unterlagen enthalten sind.
§ 4 Weisungsrecht
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht gesetzlich zu etwas anderem verpflichtet ist.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält.
§ 5 Pflichten des Auftragsverarbeiters
(1) Vertraulichkeit: Es werden nur zur Vertraulichkeit verpflichtete Personen eingesetzt (Art. 28, 29, 32 Abs. 4 DSGVO).
(2) Datensicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.
(3) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12-23 DSGVO) sowie bei den Pflichten nach Art. 32-36 DSGVO.
(4) Datenschutzverletzungen werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet.
(5) Ansprechpartner beim Auftragsverarbeiter für Datenschutzfragen: ferenc@my-cortex.de.
§ 6 Rückgabe und Löschung
Nach Beendigung des Hauptvertrages werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, spätestens nach einer Karenzzeit von 90 Tagen; innerhalb dieser Frist ist ein Export möglich. Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt und liegen beim Verantwortlichen.
§ 7 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:
| Dienstleister | Zweck | Ort | Garantie |
|---|---|---|---|
| Mistral AI SAS | KI-Modell / Textverarbeitung (LLM) | EU (Frankreich) | AVV nach Art. 28 DSGVO |
| Clever Cloud SAS | Hosting / Infrastruktur (PaaS), Datenbanken, Storage | EU (Frankreich) | AVV nach Art. 28 DSGVO |
| Scaleway SAS 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich |
KI-Modelle (LLM) für einzelne Prüfschritte der Auswertung, ergänzend oder als Alternative zu Mistral AI; Zwischenablage von Stapelaufträgen im Objektspeicher des Anbieters | EU (Frankreich, Region Paris) | AVV nach Art. 28 DSGVO |
| Sendinblue SAS (Marke „Brevo“) Paris, Frankreich |
Versand von E-Mails an Nutzerkonten (Zugang einrichten, Passwort zurücksetzen). Keine Inhalte hochgeladener Unterlagen | EU (Frankreich, Deutschland); für einzelne Zusatzdienste des Anbieters auch Drittland | AVV nach Art. 28 DSGVO; für Unterauftragsverarbeiter außerhalb der EU EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| AC PM LLC (Postmark) 1 N Dearborn Street, Suite 500, Chicago, IL 60602, USA; Tochtergesellschaft der ActiveCampaign, LLC |
Entgegennahme von E-Mail-Antworten auf Nachforderungen an der Antwortadresse des Dienstes und Übergabe an den Dienst, einschließlich mitgesendeter Anhänge (nachgereichte Unterlagen) | Drittland USA | Data Processing Addendum des Anbieters mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
AVV der Unterauftragsverarbeiter:
- Mistral AI: legal.mistral.ai/terms/data-processing-addendum
- Clever Cloud: Clever Cloud Data Processing Agreement
- Scaleway: Scaleway Data Processing Agreement (scaleway.com/en/contracts)
- Brevo: Brevo Terms of Use, Annex 2 Data Processing Agreement
- Postmark: postmarkapp.com/dpa
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Austausch von Unterauftragsverarbeitern) vorab; der Verantwortliche kann widersprechen (Art. 28 Abs. 2 DSGVO).
§ 8 Kontroll- und Nachweisrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), z. B. durch Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen.
§ 9 Haftung und Schlussbestimmungen
(1) Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Nutzungsvertrages.
(2) Bei Widerspruch zwischen diesem AVV und dem Nutzungsvertrag gehen in Bezug auf die Datenverarbeitung die Regelungen dieses AVV vor.
(3) Es gilt deutsches Recht.
Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Vertraulichkeit: Zugriffskontrolle über authentifizierte Konten, rollenbasierte Zugriffe, Mandantentrennung (Multi-Tenant).
- Integrität & Verschlüsselung: TLS in Transit (HTTPS erzwungen); Verschlüsselung der Daten im Ruhezustand (at-rest).
- Verfügbarkeit: Hosting in der EU, regelmäßige Backups/Snapshots.
- Datenminimierung & Löschkonzept: nur erforderliche Daten; definierte Löschfristen.
- Menschliche Endkontrolle: Ergebnisse werden vor Versand durch einen Menschen geprüft.
- Protokollierung: Protokollierung sicherheitsrelevanter Zugriffe.
Stand: September 2026 · Version 2.0 · galt vom 25.09.2026 bis zum 01.10.2026, abgelöst durch die Version 2.1