Recht & Datenschutz
Auftragsverarbeitungsvertrag (AVV)
Gemäß Art. 28 DSGVO – Anlage zum Verwaltervertrag der Chili Immo GmbH.
Stand: 2026-08-18 · Version 2026-08
Die Chili Immo GmbH (Lameystraße 41, 75173 Pforzheim) verarbeitet als Auftragnehmer personenbezogene Daten im Auftrag des jeweiligen Eigentümers (Auftraggeber) wie nachfolgend beschrieben. Im konkreten Verwaltervertrag werden Auftraggeber und Auftragnehmer namentlich benannt; die Bedingungen dieser AVV-Fassung bleiben unverändert.
§ 1 Gegenstand und Dauer
(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Mietverwaltung gemäß dem Verwaltervertrag.
(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Verwaltervertrages.
§ 2 Art und Zweck der Verarbeitung
Die Verarbeitung dient der Erfüllung des Verwaltervertrages, insbesondere:
- Führung der Mieterstammdaten sowie Kommunikation mit Mietern und Auftraggeber
- Mietbuchhaltung (Mietzahlungen, Sollstellung, OP-Verwaltung) und Mahnwesen
- Verwaltung von Mietsicherheiten (Kaution) soweit vereinbart
- Betriebskostenabrechnung und unterjährige Verbrauchs-/Kostenkommunikation soweit vereinbart
- Organisation von Mieterwechseln (Übergabe/Rückgabe, Protokolle) soweit beauftragt
- Koordination von Instandhaltungs- und Instandsetzungsmaßnahmen
- Versicherungs- und Schadenmanagement
- Dokumentenmanagement und Archivierung
§ 3 Art der personenbezogenen Daten
Verarbeitet werden:
| Kategorie | Beispiele |
|---|---|
| Stammdaten | Name, Anschrift, E-Mail, Telefon |
| Objektdaten | Objektadresse, Einheits-/Wohnungsbezeichnung, Flächen |
| Finanzdaten | Miete, Nebenkostenvorauszahlungen, Nachzahlungen/Guthaben aus Betriebskostenabrechnung, Kaution, Bankverbindungen |
| Vertragsdaten | Mietverträge, Nachträge, Übergabe-/Rückgabeprotokolle, SEPA-Mandate, Vollmachten, Dienstleisterverträge |
| Kommunikationsdaten | E-Mail-Korrespondenz, Protokolle |
| Technische Daten | Log-Daten bei Portalnutzung |
§ 4 Kategorien betroffener Personen
- Auftraggeber (Eigentümer/Vermieter) und deren Vertreter/Bevollmächtigte
- Mieter (inkl. Mitmieter) und ggf. sonstige nutzungsberechtigte Personen
- Interessenten/Bewerber (nur soweit Vermietungsleistungen beauftragt sind)
- Handwerker und Dienstleister
- Sonstige Dritte (z. B. Behörden, Versicherungen)
§ 5 Pflichten des Auftragnehmers
(1) Weisungsgebundenheit – Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, Unionsrecht oder deutsches Recht schreibt die Verarbeitung vor. Weisungen können in Textform (E-Mail, Portal) erteilt werden.
(2) Vertraulichkeit – Der Auftragnehmer stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind.
(3) Sicherheit – Der Auftragnehmer trifft die erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO (siehe Anlage: TOM).
(4) Unterauftragsverarbeiter – Der Auftragnehmer bedient sich nur der in Anlage: Unterauftragsverarbeiter genannten Unterauftragnehmer. Der Auftraggeber stimmt deren Einsatz mit Unterzeichnung dieses Vertrages zu. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Textform; der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Falle eines berechtigten Widerspruchs wird der Auftragnehmer den betreffenden Unterauftragsverarbeiter nicht einsetzen. Kann die Leistung ohne diesen Unterauftragsverarbeiter nicht erbracht werden, steht beiden Parteien ein Sonderkündigungsrecht zu.
(5) Unterstützung bei Betroffenenrechten – Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Betroffenenanfragen (Art. 15–22 DSGVO).
(6) Unterstützung bei Sicherheit und Meldepflichten – Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Art. 32–36 DSGVO. Datenschutzverletzungen meldet der Auftragnehmer dem Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, um dem Auftraggeber die Einhaltung der 72-Stunden-Frist nach Art. 33 DSGVO zu ermöglichen.
(7) Löschung und Rückgabe – Nach Beendigung des Verwaltervertrages gibt der Auftragnehmer alle Daten heraus. Kopien werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Auftragnehmer bestätigt die vollständige Löschung auf Verlangen in Textform.
(8) Nachweispflicht – Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen.
(9) Drittlandübermittlung – Personenbezogene Daten werden in der vertraglich gewählten Region gespeichert und primär verarbeitet. Zugriffe oder weitere Verarbeitungen außerhalb der EU/des EWR können durch Unterauftragsverarbeiter und deren Unterauftragnehmer erfolgen. Sie sind nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Soweit kein Angemessenheitsbeschluss besteht, erfolgt die Absicherung insbesondere durch EU-Standardvertragsklauseln. Für die Übermittlung vom Auftragnehmer als Auftragsverarbeiter an einen Unterauftragsverarbeiter gilt das einschlägige Modul 3 (Processor-to-Processor).
§ 6 Rechte und Pflichten des Auftraggebers
(1) Der Auftraggeber ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich.
(2) Der Auftraggeber erteilt alle Weisungen in Textform. Mündliche Weisungen sind unverzüglich zu bestätigen.
(3) Der Auftraggeber benennt die weisungsberechtigten Personen (i. d. R. der Auftraggeber selbst sowie ggf. ein benannter Ansprechpartner/Bevollmächtigter).
(4) Der Auftraggeber informiert den Auftragnehmer unverzüglich über Fehler oder Unregelmäßigkeiten.
§ 7 Kontrollrechte
(1) Der Auftraggeber kann die Einhaltung dieses Vertrages und der datenschutzrechtlichen Vorschriften überprüfen.
(2) Kontrollen sind mit angemessener Frist (mindestens 14 Tage) anzukündigen und so durchzuführen, dass der Betriebsablauf nicht unverhältnismäßig gestört wird.
(3) Der Auftragnehmer kann die Kontrolle durch Vorlage geeigneter Nachweise (z. B. Zertifikate, Auditberichte, Dokumentation der TOM) ersetzen.
(4) Jede Partei trägt ihre eigenen Kosten für die Durchführung von Kontrollen.
§ 8 Haftung
Die Haftung richtet sich nach Art. 82 DSGVO und den Regelungen des Verwaltervertrages.
§ 9 Ansprechpartner Datenschutz
Ansprechpartner für Datenschutzangelegenheiten beim Auftragnehmer ist die Geschäftsführung, erreichbar unter gf@chili-immo.de.
§ 10 Schlussbestimmungen
(1) Dieser AVV ist Bestandteil des Verwaltervertrages. Bei Widersprüchen geht der AVV vor.
(2) Änderungen bedürfen der Textform.
(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Anlage: Technische und organisatorische Maßnahmen (TOM)
gemäß Art. 32 DSGVO
| Maßnahme | Umsetzung |
|---|---|
| 1. Vertraulichkeit | |
| Zutrittskontrolle | Serverinfrastruktur in zertifizierten Rechenzentren (ISO 27001); kein physischer Zugang durch Auftragnehmer |
| Zugangskontrolle | Authentifizierung mit Benutzername/Passwort; JWT-Token-basierte Sessions; automatische Sitzungsbeendigung |
| Zugriffskontrolle | Rollenbasiertes Berechtigungskonzept (Operator, Eigentümer, Mieter); Row Level Security (RLS) auf Datenbankebene; Zugriff nur auf mandantenbezogene Daten |
| Trennungskontrolle | Logische Mandantentrennung durch Vertragszuordnung; getrennte Test- und Produktivumgebungen |
| 2. Integrität | |
| Weitergabekontrolle | Verschlüsselte Datenübertragung (TLS/HTTPS); E-Mail-Versand über TLS-gesicherten SMTP |
| Eingabekontrolle | Protokollierung von Dateneingaben, -änderungen und -löschungen; nachvollziehbare Benutzeraktionen |
| 3. Verfügbarkeit und Belastbarkeit | |
| Verfügbarkeitskontrolle | Automatische Datenbank-Backups; redundante Cloud-Infrastruktur; Notfallwiederherstellung |
| Belastbarkeit | Skalierbare Cloud-Architektur; Fehlerüberwachung und Alerting |
| 4. Verfahren zur regelmäßigen Überprüfung | |
| Datenschutz-Management | Dokumentierte Datenschutzprozesse; Schulung der Mitarbeiter |
| Incident-Response | Dokumentierter Prozess zur Erkennung und Meldung von Datenschutzverletzungen |
| Auftragskontrolle | AVV mit allen Unterauftragsverarbeitern; regelmäßige Überprüfung |
Anlage: Unterauftragsverarbeiter
Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein:
| Unterauftragnehmer | Rolle | Leistung | Datenstandort | Rechtsgrundlage Drittland |
|---|---|---|---|---|
| Supabase Pte. Ltd. (Singapur) | Unterauftragsverarbeiter | Datenbank, Authentifizierung, Dateispeicherung und Support | Frankfurt, Deutschland (Speicherung und primäre Verarbeitung); mögliche Drittlandzugriffe an Standorten von Supabase und Unterauftragnehmern | EU-Standardvertragsklauseln, Modul 3 (Processor-to-Processor) |
| Scalingo SAS (Frankreich) | Unterauftragsverarbeiter | Anwendungshosting | Frankreich | – (EU-Anbieter) |
| Brevo GmbH (Deutschland) | Unterauftragsverarbeiter | E-Mail-Versand, eingehende E-Mails und CRM | Deutschland, Frankreich, Belgien (EU) | – (EU-Anbieter) |
| Google Ireland Ltd. | Unterauftragsverarbeiter | Google Cloud Vertex AI für KI-gestützte Textanalyse | EU-Multi-Region, Frankfurt und Niederlande | – (EU-Anbieter; Verarbeitung für diesen Dienst in der EU) |
| PostHog Inc. (USA) | Unterauftragsverarbeiter | Produktanalytik | Frankfurt, Deutschland | EU-US Data Privacy Framework |
| Supabase, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Support-Leistungen | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Active Campaign, LLC d/b/a Postmark | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Kommunikation mit autorisierten Nutzern und Support | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Amazon Web Services, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Hosting | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Atlassian Corporation Plc | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Statusseiten | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Braintrust Data, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Monitoring und Tracing | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Clay Labs Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Kundeneinblicke | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Clazar, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Marktplatzdienste | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Cloudflare, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Hosting | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| ConfigCat Korlátolt Felelősségű Társaság | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Feature-Flags | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Google LLC | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Hosting | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Fly.io, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Hosting | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| FrontApp, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Kommunikation mit autorisierten Nutzern und Support | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Functional Software, Inc. d/b/a Sentry | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Fehlerüberwachung und Tracing | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| GitHub, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Authentifizierung autorisierter Nutzer | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Hex Technologies, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Datenanalyse | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| HubSpot, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Kommunikation mit autorisierten Nutzern und Support | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Notion Labs, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Kommunikation mit autorisierten Nutzern und Support | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Sublime Security Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | E-Mail-Sicherheit | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Latacora, LLC | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Managed Security Services | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| OpenAI, LLC | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Sprachverarbeitung und Textgenerierung | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| PandaDoc, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Kommunikation mit autorisierten Nutzern und Support | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Slack Technologies, LLC | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Kommunikation mit autorisierten Nutzern und Support | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Upstash, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Serverloses Datenhosting | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
| Vercel, Inc. | Sub-Unterauftragsverarbeiter von Supabase Pte. Ltd. | Hosting | Nach Supabase-DPA weltweit möglich; Speicherung und primäre Verarbeitung in der gewählten Region, soweit Projektdaten verarbeitet werden | Vertraglich gleichwertige Datenschutzpflichten unter der Supabase-DPA; Drittlandtransfers nur nach Kapitel V DSGVO |
Erläuterungen:
- Datenstandorte: Die Kernspeicherung bei Supabase erfolgt in der gewählten Region Frankfurt. Scalingo verarbeitet in Frankreich, Brevo in Deutschland, Frankreich und Belgien, Google Cloud Vertex AI in der EU-Multi-Region einschließlich Frankfurt und Niederlande und PostHog in Frankfurt.
- Drittlandzugriffe: Supabase Pte. Ltd. hat seinen Sitz in Singapur und kann zusammen mit seinen Unterauftragnehmern Daten an Standorten außerhalb der EU/des EWR verarbeiten. Die Übermittlung ist durch die EU-Standardvertragsklauseln, Modul 3 (Processor-to-Processor), und die technischen und organisatorischen Maßnahmen abgesichert.
- Supabase-Unterauftragnehmer: Die Tabelle enthält die vollständige Supabase-Unterauftragsverarbeiterliste mit Stand 1. Juni 2026. Spätere Änderungen richten sich nach § 5 Abs. 4.
- Vertragliche Absicherung: Mit allen unmittelbaren Unterauftragsverarbeitern bestehen Vereinbarungen gemäß Art. 28 DSGVO. Diese verpflichten weitere Unterauftragnehmer zu einem gleichwertigen Datenschutzniveau.