Auftragsverarbeitung und Datenschutzmaßnahmen

1. Parteien und Rollen

Verantwortlicher ist der im Hauptvertrag bezeichnete Geschäftskunde. Auftragsverarbeiter ist die PLUGO Europe GmbH, Industriestraße 10, 59192 Bergkamen, Deutschland.

PLUGO verarbeitet die vom Kunden bereitgestellten Protokolldaten ausschließlich auf dokumentierte Weisung, soweit keine gesetzliche Verarbeitungspflicht besteht. Hält PLUGO eine Weisung für datenschutzrechtlich unzulässig, wird der Kunde unverzüglich informiert und die betroffene Ausführung, soweit rechtlich möglich, bis zur Klärung ausgesetzt.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung einer webbasierten Lösung zur Vorbereitung, Erfassung, Prüfung, Finalisierung, Aufbewahrung, geschützten Zustellung und Ausgabe von Wohnungsübergabeprotokollen. Welche Funktionen und Datenarten verarbeitet werden, bestimmt der Hauptvertrag und die vom Kunden gewählte Konfiguration.

Die Auftragsverarbeitung dauert grundsätzlich für die Laufzeit des Hauptvertrags und anschließend bis zur vereinbarten Rückgabe oder Löschung, soweit keine gesetzliche Pflicht eine weitere Speicherung verlangt.

3. Betroffene Personen und Datenarten

Betroffen sein können Vermieter, Mieter, Eigentümer, Verwalter, Beschäftigte, Dienstleister, Vertreter, Zeugen, eingeladene Parteien und weitere vom Kunden zulässig erfasste Personen.

• Stamm-, Kontakt-, Rollen-, Vertretungs- und Einladungsdaten;
• Objekt-, Termin-, Raum-, Ausstattungs-, Zustands-, Schaden-, Zähler-, Schlüssel- und Vereinbarungsdaten;
• Fotos und – nur bei ausdrücklich vereinbarter Funktion – Video, Audio, Transkripte und ausgewählte Einzelbilder;
• einfache elektronische Bestätigungen, Klarname, Rolle, Zeitpunkt, Dokumentversion, Integritäts-, Zugriffs- und Zustellereignisse;
• Support-, Export-, Lösch- und Weisungsdaten.

Ausweiskopien, Zahlungsdaten, Zugangscodes, biometrische Identifikation und nicht erforderliche besondere Kategorien personenbezogener Daten sind nicht Gegenstand der Leistung und dürfen nicht ohne gesonderte Vereinbarung und ausreichende Rechtsgrundlage erfasst werden.

4. Vertraulichkeit

Nur autorisierte Personen erhalten im für ihre Aufgabe erforderlichen Umfang Zugriff. Sie werden zur Vertraulichkeit verpflichtet und zu Datenschutz und Informationssicherheit unterwiesen. Berechtigungen werden rollenbezogen vergeben, überprüft und nach Aufgabenende entzogen.

5. Sicherheit der Verarbeitung

PLUGO trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umständen, Zwecken und Risiken angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die verbindliche Anlage beschreibt die für den gebuchten Dienst geltenden Maßnahmen. Gleichwertige oder bessere Anpassungen bleiben möglich; das vereinbarte Schutzniveau darf nicht unterschritten werden.

6. Unterauftragnehmer

Weitere Auftragsverarbeiter werden nur auf Grundlage eines Vertrags mit mindestens gleichwertigen Datenschutzpflichten eingesetzt. Die verbindliche Unterauftragnehmerliste bezeichnet Unternehmen, Leistung, Verarbeitungsort und gegebenenfalls die Grundlage einer Drittlandübermittlung.

Der Kunde wird nach der im AVV vereinbarten Frist über beabsichtigte wesentliche Änderungen informiert und kann aus sachlich begründeten Datenschutzgründen widersprechen. Führt ein Widerspruch zu keiner zumutbaren Lösung, gelten die im AVV vereinbarten Beendigungsrechte.

7. Unterstützung des Kunden

PLUGO unterstützt den Kunden im angemessenen Umfang bei Betroffenenrechten, Sicherheitsbewertungen, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen von Aufsichtsbehörden. Anfragen betroffener Personen werden an den Kunden weitergeleitet, soweit PLUGO nicht für den betreffenden Vorgang selbst verantwortlich ist.

8. Datenschutzverletzungen

Eine bekannt gewordene Verletzung des Schutzes von Kundendaten wird dem Kunden unverzüglich mit den verfügbaren Informationen gemeldet. Art des Vorfalls, betroffene Daten und Systeme, Zeitraum, mögliche Folgen, bereits ergriffene Maßnahmen und weitere Aktualisierungen werden nachvollziehbar dokumentiert.

9. Rückgabe und Löschung

Nach Ende des Auftrags werden Kundendaten nach Wahl des Kunden in einem vereinbarten Format zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien laufen nach dem dokumentierten Sicherungszyklus aus und bleiben bis dahin gegen operative Nutzung gesperrt. Löschung und begründete Ausnahmen werden nachvollziehbar dokumentiert.

10. Nachweise und Audits

PLUGO stellt die zur Prüfung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht angemessene Kontrollen. Prüfungen können insbesondere durch aktuelle Nachweise, Fragebögen, technische Berichte oder unabhängige Testate erfolgen. Vor-Ort-Prüfungen bleiben bei berechtigtem Anlass möglich; dabei werden Betriebsgeheimnisse, Sicherheit und Rechte anderer Kunden geschützt.

11. Drittlandübermittlungen

Verarbeitungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur auf dokumentierter Grundlage und unter den Voraussetzungen der Art. 44 ff. DSGVO. Soweit erforderlich, werden Angemessenheitsbeschluss, Standardvertragsklauseln, Transferbewertung und zusätzliche Schutzmaßnahmen anbieterbezogen dokumentiert.

12. Pflichten des Kunden

Der Kunde bleibt verantwortlich für Rechtsgrundlagen, Informationspflichten, zulässige Weisungen, Rollen, Berechtigungen und die Rechtmäßigkeit von Foto-, Video- oder Tonaufnahmen. Er beschränkt die Erfassung auf erforderliche Daten, informiert Beteiligte und übermittelt Lösch- oder Korrekturweisungen rechtzeitig.

13. Technische und organisatorische Maßnahmen

Zutritt, Zugang und Berechtigungen

• Rechenzentrumsbetrieb mit geregeltem physischem Zutritt;
• organisations-, rollen- und protokollbezogene serverseitige Zugriffsprüfung;
• kurzlebige und widerrufbare Sitzungen, Einladungen und Dokumentzugänge;
• passwortlose E-Mail-Codes nur als HMAC-Prüfwert, höchstens zehn Minuten gültig und mit begrenzten Fehlversuchen;
• minimale administrative Berechtigungen und protokollierte privilegierte Vorgänge.

Verschlüsselung und Integrität

• verschlüsselte Übertragung über TLS;
• verschlüsselte Speicherung schutzbedürftiger Felder mit getrenntem Schlüsselkontext;
• Einmalcodes werden nicht im Klartext gespeichert;
• Hash- und HMAC-Verfahren für Integritäts-, Idempotenz- und Referenzprüfungen;
• versionierte Finalisierung; Korrekturen erzeugen eine neue nachvollziehbare Fassung.

Mandantentrennung und Medien

• Tenant-ID und serverseitige Zugriffsprüfung bei Inhaltsoperationen;
• protokollbezogene, zeitlich begrenzte Medien- und Dokumentzugänge;
• serverseitige Prüfung von Dateityp, Größe und Signatur beziehungsweise Magic Bytes;
• keine automatische Protokollfinalisierung durch eine KI;
• keine öffentliche Bereitstellung geschützter Protokollmedien.

Verfügbarkeit, Sicherung und Wiederherstellung

• getrennte Sicherung der vertraglich erfassten Datenbestände nach vereinbartem Sicherungszyklus;
• überwachte Wiederanlauf- und Wiederherstellungsverfahren;
• regelmäßige Restore-Tests in einem für den Schutzbedarf angemessenen Umfang;
• Schutz der Sicherungskopien gegen unberechtigten Zugriff und Veränderung.

Protokollierung, Entwicklung und Löschung

• datensparsame Sicherheits-, Zugriffs- und Änderungsprotokolle;
• keine Einmalcodes, Secrets, Rohmedien oder vollständigen Dokumente in Anwendungsprotokollen;
• Codeprüfung, automatisierte Tests und kontrollierte Änderungen mit Rollback;
• versionierte Aufbewahrungsregeln, widerrufbare Zugänge und nachvollziehbare Löschvorgänge;
• Incident-Response-Verfahren mit Eindämmung, Beweissicherung und Benachrichtigung.

14. Aktuell eingesetzte Hosting-Unterauftragnehmer

• STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland – Webserver, TLS-Auslieferung und technische Zugriffsprotokolle; Primärverarbeitung in Deutschland.
• Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland – Anwendungsinfrastruktur am Standort Nürnberg; Primärverarbeitung in Deutschland.

Die für den jeweiligen Hauptvertrag maßgebliche Liste einschließlich weiterer Leistungserbringer und Unterauftragnehmerketten wird als versionierte Anlage zum AVV bereitgestellt. Zahlungsdienste, die Zahlungsdaten in eigener Verantwortlichkeit verarbeiten, sind nicht allein deshalb Unterauftragnehmer für Protokollinhalte.

15. Versionsstand

Stand: 10. August 2026