Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO

Stand: 31.10.2026

zwischen

dem jeweiligen WOFLO-Kunden
– nachfolgend „Verantwortlicher“ –

und

Jannik Robin Jaeger, Einzelunternehmen
Hauptstraße 52
86480 Aletshausen/Winzer
Deutschland
– nachfolgend „Auftragsverarbeiter“ oder „WOFLO“ –

1. Gegenstand und Dauer

  1. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Nutzung von WOFLO, soweit WOFLO personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
  2. Die Auftragsverarbeitung beginnt mit Aktivierung der entsprechenden WOFLO-Funktionen und besteht für die Dauer des Hauptvertrags bzw. solange WOFLO im Auftrag personenbezogene Daten verarbeitet.

2. Art und Zweck der Verarbeitung

WOFLO verarbeitet personenbezogene Daten zur technischen Bereitstellung und Automatisierung von Vermietungsprozessen, insbesondere zur:

3. Kategorien betroffener Personen

Je nach Nutzung insbesondere:

4. Arten personenbezogener Daten

Je nach Nutzung insbesondere:

Die Erhebung wird entsprechend dem Verfahrensstadium begrenzt. WOFLO unterstützt zwei Phasen sowie konfigurierbare Anforderungen und einen einphasigen Modus; der Verantwortliche prüft die jeweilige Erforderlichkeit und ermöglicht Schwärzungen. Einkommens- und bereits vorhandene SCHUFA-Werte können aus Nachweisen übernommen werden. WOFLO erstellt keinen eigenen Eignungsscore.

Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sind nicht Gegenstand der regulären vorgesehenen Nutzung. Werden solche Daten dennoch durch Betroffene oder den Verantwortlichen übermittelt, hat der Verantwortliche sicherzustellen, dass hierfür eine zulässige Rechtsgrundlage besteht.

5. Weisungsgebundene Verarbeitung

  1. WOFLO verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer darüber hinausgehenden Verarbeitung besteht.
  2. Die Nutzung der im WOFLO-System bereitgestellten Funktionen und Einstellungen gilt als dokumentierte Weisung. Die einheitlichen Löschregeln nach Abschnitt 14 sind nicht durch individuelle Fristenkonfiguration ersetzbar. Konkret begründete Aufbewahrungsausnahmen müssen zweckgebunden und befristet dokumentiert werden.
  3. Hält WOFLO eine Weisung für datenschutzrechtlich unzulässig, informiert WOFLO den Verantwortlichen hierüber. WOFLO darf die Ausführung der betreffenden Weisung bis zur Klärung aussetzen.

6. Pflichten des Verantwortlichen

Der Verantwortliche:

7. Pflichten von WOFLO

WOFLO wird insbesondere:

  1. personenbezogene Daten nur weisungsgebunden verarbeiten,
  2. zur Vertraulichkeit verpflichtete Personen einsetzen,
  3. die in den TOM beschriebenen technischen und organisatorischen Maßnahmen umsetzen,
  4. den Verantwortlichen im erforderlichen Umfang bei der Erfüllung von Betroffenenrechten unterstützen,
  5. den Verantwortlichen bei Datenschutz-Folgenabschätzungen und Konsultationen unterstützen, soweit die Verarbeitung durch WOFLO betroffen ist und die Unterstützung angemessen erforderlich ist,
  6. Datenschutzverletzungen im Verantwortungsbereich von WOFLO unverzüglich nach Bekanntwerden an den Verantwortlichen melden,
  7. nach Ende der Verarbeitung personenbezogene Daten nach Maßgabe des Hauptvertrags und des Löschkonzepts löschen oder zurückgeben, soweit keine gesetzliche Pflicht zur weiteren Speicherung besteht; soweit keine automatische Löschung eingerichtet ist, erfolgt dies durch einen dokumentierten betrieblichen Löschlauf bzw. auf Anfrage.

8. Technische und organisatorische Maßnahmen

Die vereinbarten technischen und organisatorischen Maßnahmen ergeben sich aus den Technischen und organisatorischen Maßnahmen (TOMs) in ihrer bei Annahme geltenden Fassung.

WOFLO darf technische und organisatorische Maßnahmen weiterentwickeln, sofern das vereinbarte Schutzniveau nicht abgesenkt wird.

9. Unterauftragsverarbeiter

  1. Der Verantwortliche erteilt WOFLO eine allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.
  2. Die jeweils eingesetzten Unterauftragsverarbeiter ergeben sich aus der aktuellen Unterauftragsverarbeiterliste.
  3. WOFLO informiert über beabsichtigte wesentliche Änderungen der Unterauftragsverarbeiterliste in angemessener Weise.
  4. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund gegen einen neuen Unterauftragsverarbeiter Einwand erheben.
  5. WOFLO verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die dem erforderlichen Schutzniveau entsprechen.

10. Drittlandtransfers

Soweit ein Unterauftragsverarbeiter personenbezogene Daten in einem Drittland verarbeitet, stellt WOFLO sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt werden, beispielsweise durch:

11. Unterstützung bei Betroffenenrechten

  1. Wendet sich eine betroffene Person unmittelbar an WOFLO mit einem Begehren, das Daten des Verantwortlichen betrifft, wird WOFLO die Anfrage grundsätzlich an den Verantwortlichen weiterleiten bzw. die betroffene Person an diesen verweisen.
  2. WOFLO unterstützt den Verantwortlichen im Rahmen der verfügbaren technischen Funktionen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Der Verantwortliche prüft die gesetzlichen Voraussetzungen. Eine personenbezogene Einschränkung pausiert betroffene KI-, Dokument-, Einreichungs- und Versandabläufe innerhalb seines Mandanten; ihre Aufhebung erfordert eine berechtigte Prüfung. Sie ersetzt keine Aufbewahrungsausnahme und verlängert keine Löschfrist. Ein vollständiger automatischer Auskunfts-/Portabilitätsexport oder eine automatische vollständige Löschung vor Ablauf der Standardfrist wird nicht zugesichert; erforderliche Einzelfälle werden kontrolliert bearbeitet.

12. Meldung von Datenschutzverletzungen

WOFLO informiert den Verantwortlichen unverzüglich, nachdem WOFLO eine Verletzung des Schutzes personenbezogener Daten festgestellt hat, soweit Daten des Verantwortlichen betroffen sind.

Die Meldung enthält, soweit verfügbar:

13. Nachweise und Kontrollen

  1. WOFLO stellt dem Verantwortlichen auf Anfrage angemessene Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
  2. Soweit Dokumentationen, TOMs, Prüfberichte oder vergleichbare Nachweise zur Beurteilung ausreichen, sollen diese vorrangig genutzt werden.
  3. Vor-Ort-Kontrollen sind nach angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung der Vertraulichkeit möglich, soweit sie gesetzlich erforderlich und durch weniger eingriffsintensive Nachweise nicht ausreichend ersetzbar sind.
  4. Der Verantwortliche trägt angemessene zusätzliche Kosten einer Kontrolle, soweit diese nicht durch einen konkreten, von WOFLO zu vertretenden Datenschutzvorfall veranlasst ist.

14. Löschung und Rückgabe

  1. Bewerbungsdokumente einschließlich zugeordneter Nachweise und individualisierter Vertrags-/Signaturdateien werden unmittelbar nach Absage oder Rückzug beziehungsweise nach erfolgreichem Abschluss des Vermietungsprozesses gelöscht. Sonstige Bewerberdaten, Nachrichten, Reviews und Prozessinformationen werden grundsätzlich drei Kalendermonate nach dokumentierter Absage, Rücknahme oder Prozessabschluss gelöscht oder anonymisiert. Aktive Bewerbungen werden nicht allein wegen des Eingangsdatums gelöscht.
  2. Gesetzliche Pflichten und konkret erforderliche Rechtsanspruchsnachweise können eine dokumentierte, zweckgebundene und befristete Ausnahme erfordern. Die technische Befristung einer Ausnahme auf jeweils höchstens drei Kalendermonate bis zur erneuten Prüfung ersetzt keine gesetzliche Fristbestimmung. Es besteht keine pauschale dauerhafte Ausnahme für Mietverträge. Der Verantwortliche muss erforderliche Kopien vor dem Löschereignis zurücknehmen beziehungsweise sichern.
  3. Die Vertragsbeendigung ist unabhängig von offenen Rechnungen möglich und sperrt neue operative Verarbeitung. Die kontrollierte Abwicklung bestehender Prozesse und gesetzlich erforderliche Speicherung bleiben möglich. Die endgültige Kontoschließung setzt gesondert die Abwicklung offener Vorgänge voraus. Nach bestätigter Schließung des Mandantenkontos wird weitere operative Verarbeitung gesperrt und die kontrollierte Bereinigung nicht mehr benötigter Daten ausgelöst. Gesetzlich erforderliche Abrechnungsnachweise bleiben getrennt erhalten. Offene Prüf-/Aufbewahrungsfälle und technische Löschfehler werden dokumentiert und erneut bearbeitet; die Deaktivierung wird dadurch nicht aufgehoben. Andere Mandanten und gemeinsam genutzte Benutzerkonten werden nicht gelöscht.
  4. Physische Dateilöschungen erfolgen nach Datenbank-Commit mit persistenten Wiederholungsbelegen. Diese enthalten keine Dokumentinhalte. Nicht eindeutig zugeordnete oder gemeinsam genutzte Daten werden vor einem Eingriff geprüft.
  5. Gelöschte Daten können bis zur regulären Rotation in verschlüsselten Sicherungskopien vorhanden sein. Remote werden grundsätzlich 30 tägliche Sicherungsstände aufbewahrt; dies ist keine harte Frist von 30 Kalendertagen. Sicherungen dienen ausschließlich der Notfallwiederherstellung. Vor Wiederfreigabe sind neuere Löschungen, Kontoschließungen und Verarbeitungssperren anhand eines unabhängig verfügbaren geschützten Nachweises nachzuführen.

15. Rangfolge

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich der Auftragsverarbeitung die Regelungen dieses AVV vor.