// Rechtliches
Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO · Stand: Oktober 2026 · Version 2.1
Diese Fassung ist abgelöst. Am 06.10.2026 hat die
Standardfassung 2.2 sie abgelöst. Für einen Kunden
gilt die 2.2 ab seiner Zustimmung, die beim Anmelden eingeholt wird; bis dahin gilt für
ihn diese Fassung. Sie bleibt hier stehen, damit nachlesbar ist, was unter ihr galt.
Was die 2.2 ändert: Sie erlaubt die Nutzung der Unterlagen zur Fehleranalyse und
zum Testen neuer Versionen des Dienstes (§ 2 Abs. 2) und nennt Opper Technology AB
(Schweden) für die Erkennung des Dokumenttyps (§ 7).
Diese Fassung gilt für Kunden, die der Fassung 2.2 noch nicht zugestimmt haben. Hochgeladene Unterlagen werden in der EU gespeichert. Drei Vorgänge laufen über Anbieter, deren Verarbeitung nicht auf die EU beschränkt ist: die E-Mails an Nutzerkonten, die Entgegennahme von Antworten auf Nachforderungen und, bei Mietshäusern, die Inhaltsprüfung einzelner Belege. Alle drei sind in § 2 Abs. 3 und § 7 benannt.
Wer den optionalen Versand über ein eigenes Microsoft-Postfach nutzen möchte, benötigt dafür die geänderte Fassung microsoft-v1.2: Sie benennt Microsoft als Unterauftragsverarbeiter und weist die damit verbundene Übermittlung in die USA aus. Ohne ausdrückliche Zustimmung zu jener Fassung findet kein Versand über Microsoft statt und es bleibt bei dieser Fassung.
Rollenverteilung: Der Kunde (die Hausverwaltung, nachfolgend „Verantwortlicher") ist Verantwortlicher für die personenbezogenen Daten, die im Rahmen einer Verwaltungsübernahme verarbeitet werden. My Cortex (Inhaber Ben Ferenc Burian, Solquellstraße 13, 13467 Berlin, nachfolgend „Auftragsverarbeiter") verarbeitet diese Daten ausschließlich weisungsgebunden zur Erbringung des Dienstes.
Was sich gegenüber der Fassung 2.0 ändert
- § 2 Abs. 3 (Ort): Ein dritter Vorgang ist nicht auf die EU beschränkt: die Inhaltsprüfung bei Mietshäusern über Nebius B.V. Er betrifft Unterlagen, nämlich Übergabeschreiben, Kontoauszüge und Saldenbestätigungen, Mieterlisten und Kautionsnachweise. Die Aussage, hochgeladene Unterlagen würden in der EU ausgewertet, gilt für diesen Prüfschritt nicht.
- § 7 (Unterauftragsverarbeiter): Nebius B.V. (Niederlande) kommt hinzu. Der Anbieter ist seit dem 28.09.2026 für die Inhaltsprüfung bei Mietshäusern in der Anwendung eingebunden; die Fassung 2.0 nannte ihn nicht.
Alle übrigen Regelungen entsprechen wörtlich der Fassung 2.0. Diese bleibt unter /avv/standard/2.0 abrufbar, die Fassung 1.0 unter /avv/standard/1.0.
§ 1 Gegenstand und Dauer
(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zur Erbringung des Dienstes „My Cortex" (Erkennung, Kategorisierung, Auslesen und Vollständigkeitsprüfung von Übernahmeunterlagen, Erstellung von Nachforderungs-Entwürfen sowie Entgegennahme der Antworten darauf).
(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages (AGB) und endet automatisch mit dessen Beendigung.
§ 2 Art, Zweck und Ort der Verarbeitung
(1) Art: Erheben, Speichern, Auslesen (Extraktion), Verknüpfen und Abgleichen, Auswerten, Erstellen von Entwürfen und Reports, Bereitstellen zum Abruf, Löschen.
(2) Zweck: Vorprüfung und Vervollständigung von Verwaltungsübernahmen aus den vom Verantwortlichen bereitgestellten Unterlagen.
(3) Ort: Europäische Union. Die vom Verantwortlichen hochgeladenen Unterlagen werden in der EU gespeichert (Hosting in Frankreich) und, mit der Ausnahme im dritten Punkt unten, in der EU ausgewertet (KI-Dienste in Frankreich). Drei Vorgänge laufen über Unterauftragsverarbeiter, deren Verarbeitung nicht auf die EU beschränkt ist; alle drei sind in § 7 mit Sitz, Ort und Garantie benannt:
- E-Mails an Nutzerkonten (Einrichtung eines Zugangs, Zurücksetzen eines Passworts) versendet Sendinblue SAS von Servern in Frankreich und Deutschland; für einzelne Zusatzdienste setzt der Anbieter Unterauftragsverarbeiter außerhalb der EU ein. Inhalte hochgeladener Unterlagen sind davon nicht betroffen.
- Antworten auf Nachforderungen, die ein angeschriebener Dritter per E-Mail an die Antwortadresse des Dienstes schickt, nimmt AC PM LLC (Postmark) in den USA entgegen und übergibt sie an den Dienst in der EU. Das umfasst Absender, Betreff, Text und mitgesendete Anhänge, also auch nachgereichte Unterlagen. Der Anbieter hält die Nachricht nach eigenen Angaben 45 Tage vor.
- Inhaltsprüfung bei Mietshäusern: Ist eine Übernahme als Mietshaus angelegt, liest ein KI-Modell bei Nebius B.V. (Niederlande) aus Übergabeschreiben, Kontoauszügen und Saldenbestätigungen, Mieterlisten und Kautionsnachweisen die Angaben, an denen die Übergabe geprüft wird (Stichtag, Salden, Kautionen, Stand der Betriebskostenabrechnungen, Kontovollmacht). Übermittelt wird der ausgelesene Text des jeweiligen Dokuments, bis zu 40.000 Zeichen, also auch die darin genannten Mieter, Beträge und Kontonummern. Den Rechenort bestimmt der Anbieter selbst; er kann in der EU bzw. im EWR, im Vereinigten Königreich, in Israel oder in den USA liegen. Ohne die Kontoeinstellung „Zero Data Retention“ kann der Anbieter Eingaben und Ausgaben zur Beschleunigung der Antworten in Finnland speichern; eine Speicherdauer nennt er nicht. Zum Training von KI-Modellen verwendet er sie nach seinen Bedingungen nicht.
Weitere Übermittlungen in ein Drittland finden ohne gesonderte Zustimmung des Verantwortlichen nicht statt; die Fassungen für die optionalen Anbindungen regeln sie gesondert.
§ 3 Daten und betroffene Personen
Kategorien personenbezogener Daten:
- Stammdaten (Namen, Anschriften, Kontaktdaten)
- Vertrags- und Objektdaten (z. B. aus Teilungserklärung, Wirtschaftsplänen, Protokollen, Wartungs- und Versorgungsverträgen)
- Finanz- und Saldendaten
- weitere personenbezogene Daten, die in den hochgeladenen Unterlagen enthalten sind
Betroffene Personen: Wohnungseigentümer, Mieter, Beiräte, Vertragspartner (z. B. Versicherer, Versorger, Dienstleister) sowie deren Ansprechpartner, soweit deren Daten in den Unterlagen enthalten sind.
§ 4 Weisungsrecht
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht gesetzlich zu etwas anderem verpflichtet ist.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält.
§ 5 Pflichten des Auftragsverarbeiters
(1) Vertraulichkeit: Es werden nur zur Vertraulichkeit verpflichtete Personen eingesetzt (Art. 28, 29, 32 Abs. 4 DSGVO).
(2) Datensicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.
(3) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12-23 DSGVO) sowie bei den Pflichten nach Art. 32-36 DSGVO.
(4) Datenschutzverletzungen werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet.
(5) Ansprechpartner beim Auftragsverarbeiter für Datenschutzfragen: ferenc@my-cortex.de.
§ 6 Rückgabe und Löschung
Nach Beendigung des Hauptvertrages werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, spätestens nach einer Karenzzeit von 90 Tagen; innerhalb dieser Frist ist ein Export möglich. Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt und liegen beim Verantwortlichen.
§ 7 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:
| Dienstleister | Zweck | Ort | Garantie |
|---|---|---|---|
| Mistral AI SAS | KI-Modell / Textverarbeitung (LLM) | EU (Frankreich) | AVV nach Art. 28 DSGVO |
| Clever Cloud SAS | Hosting / Infrastruktur (PaaS), Datenbanken, Storage | EU (Frankreich) | AVV nach Art. 28 DSGVO |
| Scaleway SAS 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich |
KI-Modelle (LLM) für einzelne Prüfschritte der Auswertung, ergänzend oder als Alternative zu Mistral AI; Zwischenablage von Stapelaufträgen im Objektspeicher des Anbieters | EU (Frankreich, Region Paris) | AVV nach Art. 28 DSGVO |
| Sendinblue SAS (Marke „Brevo“) Paris, Frankreich |
Versand von E-Mails an Nutzerkonten (Zugang einrichten, Passwort zurücksetzen). Keine Inhalte hochgeladener Unterlagen | EU (Frankreich, Deutschland); für einzelne Zusatzdienste des Anbieters auch Drittland | AVV nach Art. 28 DSGVO; für Unterauftragsverarbeiter außerhalb der EU EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| AC PM LLC (Postmark) 1 N Dearborn Street, Suite 500, Chicago, IL 60602, USA; Tochtergesellschaft der ActiveCampaign, LLC |
Entgegennahme von E-Mail-Antworten auf Nachforderungen an der Antwortadresse des Dienstes und Übergabe an den Dienst, einschließlich mitgesendeter Anhänge (nachgereichte Unterlagen) | Drittland USA | Data Processing Addendum des Anbieters mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| Nebius B.V. Schiphol Boulevard 165, 1118 BG Schiphol, Niederlande; Tochtergesellschaft der Nebius Group N.V. |
KI-Modell für die Inhaltsprüfung bei Mietshäusern (Übergabeschreiben, Kontoauszüge und Saldenbestätigungen, Mieterlisten, Kautionsnachweise), über den öffentlichen Endpunkt der Nebius Token Factory | vom Anbieter bestimmt: EU bzw. EWR (u. a. Finnland, Frankreich, Island), Vereinigtes Königreich, Israel oder Drittland USA; Speicherung ohne Zero Data Retention in Finnland | AVV nach Art. 28 DSGVO (Data Processing Agreement des Anbieters); für die USA EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); für das Vereinigte Königreich und Israel Angemessenheitsbeschlüsse der Europäischen Kommission (Art. 45 DSGVO) |
AVV der Unterauftragsverarbeiter:
- Mistral AI: legal.mistral.ai/terms/data-processing-addendum
- Clever Cloud: Clever Cloud Data Processing Agreement
- Scaleway: Scaleway Data Processing Agreement (scaleway.com/en/contracts)
- Brevo: Brevo Terms of Use, Annex 2 Data Processing Agreement
- Postmark: postmarkapp.com/dpa
- Nebius: Data Processing Agreement for Nebius B.V., Anhang 1B Token Factory (docs.nebius.com/legal/dpa); Unterauftragsverarbeiter: docs.nebius.com/legal/sub-processors_tofa
(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Austausch von Unterauftragsverarbeitern) vorab; der Verantwortliche kann widersprechen (Art. 28 Abs. 2 DSGVO).
§ 8 Kontroll- und Nachweisrechte
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), z. B. durch Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen.
§ 9 Haftung und Schlussbestimmungen
(1) Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Nutzungsvertrages.
(2) Bei Widerspruch zwischen diesem AVV und dem Nutzungsvertrag gehen in Bezug auf die Datenverarbeitung die Regelungen dieses AVV vor.
(3) Es gilt deutsches Recht.
Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Vertraulichkeit: Zugriffskontrolle über authentifizierte Konten, rollenbasierte Zugriffe, Mandantentrennung (Multi-Tenant).
- Integrität & Verschlüsselung: TLS in Transit (HTTPS erzwungen); Verschlüsselung der Daten im Ruhezustand (at-rest).
- Verfügbarkeit: Hosting in der EU, regelmäßige Backups/Snapshots.
- Datenminimierung & Löschkonzept: nur erforderliche Daten; definierte Löschfristen.
- Menschliche Endkontrolle: Ergebnisse werden vor Versand durch einen Menschen geprüft.
- Protokollierung: Protokollierung sicherheitsrelevanter Zugriffe.
Stand: Oktober 2026 · Version 2.1 · gilt seit dem 01.10.2026, abgelöst durch die Version 2.2, für jeden Kunden ab seiner Zustimmung