Vertrag über die Auftragsverarbeitung
nach Art. 28 DSGVO

§ 1 Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist der Betrieb der Software-as-a-Service-Plattform „Casalis“ für den Auftraggeber, einschließlich der Speicherung und Verarbeitung der vom Auftraggeber eingestellten personenbezogenen Daten. Der Vertrag beginnt mit der Registrierung des Auftraggebers und endet mit der Beendigung des Nutzungsverhältnisses (Löschung des Kontos).

§ 2 Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten für den Auftraggeber zu folgenden Zwecken: Speicherung und Verwaltung hochgeladener Dateien und Dokumente (z. B. Objektfotos, Exposés), KI-gestützte Text- und Bildverarbeitung (Exposé-Analyse, Homestaging, Dokumentenerstellung, Chat), Bereitstellung von Markt- und Inseratsdaten sowie Team- und Kontoverwaltung. Die Verarbeitung erfolgt ausschließlich zur Erbringung der vereinbarten Leistungen.

§ 3 Kategorien personenbezogener Daten

• Stammdaten der Nutzer des Auftraggebers (Name, E-Mail-Adresse, Rolle im Büro),
• Inhaltsdaten aus hochgeladenen Dokumenten und Dateien (z. B. Namen und Kontaktdaten von Eigentümern, Kauf- und Mietinteressenten in Exposés, Verträgen und Objektunterlagen),
• Objekt- und Adressdaten,
• Nutzungs- und Protokolldaten (Jobs, Zeitstempel, technische Logs).

§ 4 Kategorien betroffener Personen

• Mitarbeiter und Nutzer des Auftraggebers,
• Kunden des Auftraggebers (Eigentümer, Verkäufer, Käufer, Mieter, Interessenten),
• sonstige in hochgeladenen Dokumenten genannte Personen.

§ 5 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Plattform-Funktionen durch den Auftraggeber gilt als Weisung. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich. Weisungen außerhalb des Funktionsumfangs sind an kontakt@casalis.ai zu richten.

§ 6 Vertraulichkeit

Der Auftragnehmer setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Vertrags fort.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer trifft mindestens die folgenden Maßnahmen nach Art. 32 DSGVO und passt sie fortlaufend dem Stand der Technik an:

• Transportverschlüsselung: sämtliche Verbindungen ausschließlich über TLS (HTTPS).
• Verschlüsselung ruhender Daten: tägliche Backups von Datenbank und Datei-Speicher als verschlüsselte Borg-Repositories (Verschlüsselung at rest).
• Zugriffskontrolle: rollenbasierte Berechtigungen in der Anwendung (Inhaber, Makler, Assistenz), Passwörter ausschließlich als bcrypt-Hashes, Server-Zugriff nur per SSH-Schlüssel für die Gesellschafter.
• Mandantentrennung: strikte Isolation der Daten je Büro (Organisation) auf Datenbankebene — jeder Zugriff wird serverseitig gegen die Organisation des angemeldeten Nutzers geprüft.
• Verfügbarkeitskontrolle: tägliche automatisierte Backups mit Aufbewahrung mehrerer Generationen; Server-Standort in einem deutschen Rechenzentrum (ISO-27001-zertifizierter Betreiber).

§ 8 Subunternehmer (weitere Auftragsverarbeiter)

Der Auftraggeber genehmigt den Einsatz der folgenden Subunternehmer (Art. 28 Abs. 2, 4 DSGVO). Über beabsichtigte Änderungen informiert der Auftragnehmer vorab; der Auftraggeber kann aus wichtigem Grund widersprechen. Bei Subunternehmern in Drittländern bestehen geeignete Garantien nach Kap. V DSGVO (EU-US Data Privacy Framework bzw. Standardvertragsklauseln).

§ 9 Löschung nach Vertragsende

Nach Beendigung des Nutzungsverhältnisses löscht der Auftragnehmer sämtliche für den Auftraggeber verarbeiteten personenbezogenen Daten einschließlich hochgeladener Dateien und erstellter Ergebnisse, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Daten in verschlüsselten Backups werden mit dem regulären Rotationszyklus der Backups überschrieben. Auf Wunsch bestätigt der Auftragnehmer die Löschung schriftlich.

§ 10 Unterstützungs- und Nachweispflichten

Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung, bei der Meldung von Datenschutzverletzungen (Art. 33, 34 DSGVO) und bei Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 lit. e und f DSGVO). Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO); Kontrollen erfolgen in der Regel durch Beantwortung schriftlicher Anfragen oder Vorlage geeigneter Nachweise.