Auftragsverarbeitungsvertrag

Anlage 1
AUFTRAGSVERARBEITUNGSVERTRAG (AVV) VON GIRAFFE360

1. Hintergrund

1. 1.1 Dieser Auftragsverarbeitungsvertrag einschließlich seiner Anlagen (der „AVV“) gilt für Kunden, die in Ländern des Europäischen Wirtschaftsraums (EWR) und im Vereinigten Königreich (UK) tätig sind, und gibt die Vereinbarung zwischen Giraffe360 und dem Kunden in Bezug auf die Verarbeitung von Kundendaten durch Giraffe360 als Auftragsverarbeiter im Auftrag des Kunden wieder, der als Verantwortlicher handelt.
2. 1.2 Dieser AVV ist in die Nutzungsbedingungen von Giraffe360 zwischen dem Kunden und Giraffe360 (der „Vertrag“) einbezogen und Bestandteil davon. Im Falle eines Widerspruchs zwischen Bestimmungen dieses AVV und den Bestimmungen des Vertrags haben die Bestimmungen dieses AVV Vorrang.

2. Begriffsbestimmungen

Sofern nachstehend nicht anders festgelegt, hat jeder in diesem AVV verwendete definierte Begriff die im Vertrag festgelegte Bedeutung, und die folgenden in diesem AVV verwendeten definierten Begriffe sind wie folgt definiert:

„Kundendaten“ bezeichnet alle personenbezogenen Daten, die in den Giraffe360-Inhalten enthalten sind, sowie alle sonstigen Inhalte oder Daten, die der Kunde Giraffe360 zur Verfügung stellt und die von Giraffe360 im Zusammenhang mit der Erbringung des Giraffe360-Dienstes gehostet werden, einschließlich Immobiliendaten, Kundenprofildaten und Endkundendaten, wie in Ziffer 3.1 dieses AVV näher beschrieben.

„Verantwortlicher“ bezeichnet die natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die allein oder gemeinsam mit anderen über die Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Für die Zwecke dieses AVV ist der Kunde der Verantwortliche.

„Datenschutzgesetze“ bezeichnet die DSGVO, alle nationalen Durchführungs- oder Ergänzungsgesetze sowie alle sonstigen anwendbaren Rechtsvorschriften zum Schutz der Grundrechte und Grundfreiheiten von Personen und ihres Rechts auf Privatsphäre im Hinblick auf die Verarbeitung von Kundendaten.

„Betroffene Person“ bezeichnet die natürliche Person, auf die sich die personenbezogenen Daten beziehen.

„Europäischer Wirtschaftsraum“ oder „EWR“ bezeichnet die Mitgliedstaaten der Europäischen Union zusammen mit Island, Norwegen und Liechtenstein.

„DSGVO“ bezeichnet die Datenschutz-Grundverordnung (EU) 2016/679 des Europäischen Parlaments und des Rates sowie gegebenenfalls die „UK GDPR“ im Sinne der Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

„Weisungen“ bezeichnet die schriftlichen, dokumentierten Weisungen, die der Kunde Giraffe360 erteilt und mit denen er Giraffe360 anweist, eine bestimmte oder allgemeine Handlung in Bezug auf Kundendaten vorzunehmen.

„Unterauftragsverarbeiter“ bezeichnet jeden von Giraffe360 beauftragten Auftragsverarbeiter, der Giraffe360-Kundendaten verarbeitet.

„Personenbezogene Daten“ bezeichnet alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, wie in den einschlägigen Datenschutzgesetzen definiert.

„Verletzung des Schutzes personenbezogener Daten“ bezeichnet eine unbeabsichtigte oder unrechtmäßige Vernichtung, einen Verlust, eine Veränderung, eine Beschädigung oder eine unbefugte Offenlegung von Kundendaten oder einen unbefugten Zugang zu Kundendaten, wie in den einschlägigen Datenschutzgesetzen definiert.

„Verarbeitung“ bezeichnet jeden mit personenbezogenen Daten ausgeführten Vorgang oder jede solche Vorgangsreihe, einschließlich des Erhebens, des Erfassens, der Organisation, des Ordnens, der Speicherung, der Anpassung oder Veränderung, des Auslesens, des Abfragens, der Verwendung, der Offenlegung durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, des Abgleichs oder der Verknüpfung, der Einschränkung, des Löschens oder der Vernichtung personenbezogener Daten. Die Begriffe „verarbeiten“, „verarbeitet“ und „verarbeitete“ sind entsprechend auszulegen.

„Auftragsverarbeiter“ bezeichnet eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Für die Zwecke dieses AVV ist Giraffe360 der Auftragsverarbeiter.

3. Datenverarbeitung

1. 3.1 Giraffe360 verarbeitet die folgenden Kategorien personenbezogener Daten der folgenden betroffenen Personen für die nachstehend beschriebenen Zwecke:
1. 1. Immobiliendaten: Dazu gehören Bilder, Videos, Punktwolken, virtuelle Rundgänge, Grundrisse, GPS-Standortdaten, auf der Landingpage zur Präsentation der Immobilie bereitgestellte Informationen und sonstige zugehörige Immobilieninformationen, die vom Kunden erfasst, aus der Giraffe360-Kamera extrahiert oder vom Kunden infolge seiner Nutzung des Giraffe360-Dienstes bereitgestellt werden. Obwohl diese Informationen in der Regel keine natürliche Person identifizieren, können sie in seltenen Fällen Immobilieneigentümer, Personen, deren Daten während eines Scans erfasst werden, oder den Kunden identifizieren. Es liegt in der Verantwortung des Kunden, sicherzustellen, dass die Aufnahmedateien keine Verbotenen personenbezogenen Informationen im Sinne der Nutzungsbedingungen enthalten. Immobiliendaten werden verarbeitet, um Giraffe360-Inhalte zu erstellen.
   2. Kundenprofildaten: Dazu gehören personenbezogene Daten über den Kunden, seine Vertreter oder Mitarbeiter, wie Vornamen, Nachnamen, E-Mail-Adressen, Telefonnummern, Fotos, Slogans und Hyperlinks zu Social-Media-Konten, die der Kunde während der Nutzung des Giraffe360-Dienstes über das Dashboard bereitstellt. Diese Daten werden verarbeitet, um Folgendes zu ermöglichen: die Erstellung von Dashboard-Profilen für den Kunden, seine Vertreter oder Mitarbeiter; den Zugriff auf Giraffe360-Inhalte im Dashboard; die Weitergabe von Giraffe360-Inhalten sowie die Bereitstellung von Informationen über den Kunden, seine Vertreter oder Mitarbeiter über den Giraffe360-Dienst.
   3. Endkundendaten: Dazu gehören die personenbezogenen Daten der Kunden des Kunden, wie Vornamen, Nachnamen, E-Mail-Adressen, Telefonnummern und Nachrichten potenzieller Immobilienkäufer oder Mieter. Diese Daten werden dem Kunden über das Dashboard zur Verfügung gestellt. Sie werden erfasst, wenn der Kunde die Leads-Funktion aktiviert, die es den Kunden des Kunden ermöglicht, ihre Kontaktdaten zu hinterlassen, damit der Kunde mit ihnen in Kontakt treten kann. Diese Funktion kann vom Kunden im Dashboard deaktiviert werden.
2. 3.2 Die Kundendaten werden im Zusammenhang mit der Erbringung der Dienste gemäß dem Vertrag und diesem AVV bis zur Beendigung des Vertrags fortlaufend übermittelt.

4. Pflichten des Kunden

1. 4.1 Der Kunde ist für die Einhaltung aller Anforderungen verantwortlich, die nach den Datenschutzgesetzen in Bezug auf die Verarbeitung personenbezogener Daten durch den Kunden für ihn gelten.
2. 4.2 Insbesondere, jedoch unbeschadet der Allgemeingültigkeit des Vorstehenden, erkennt der Kunde an und erklärt sich damit einverstanden, dass er allein verantwortlich ist für:
2. 1. die Richtigkeit, Qualität und Rechtmäßigkeit der Kundendaten und der Mittel, mit denen der Kunde diese Daten erlangt hat;
   2. die Einhaltung aller erforderlichen Transparenz- und Rechtmäßigkeitsanforderungen nach den Datenschutzgesetzen für die Erhebung und Nutzung von Kundendaten, einschließlich der Bereitstellung angemessener Hinweise, der Einholung aller erforderlichen Einwilligungen und Genehmigungen und der Berücksichtigung von Opt-out-Präferenzen (insbesondere bei der Nutzung durch den Kunden für Marketingzwecke); und
   3. die Sicherstellung, dass er berechtigt ist, die Kundendaten zur Verarbeitung gemäß den Bedingungen des Vertrags (einschließlich dieses AVV) an Giraffe360 zu übermitteln oder Giraffe360 Zugang zu ihnen zu gewähren.
3. 4.3 Der Kunde hat Giraffe360 unverzüglich zu informieren, wenn er seinen Pflichten aus diesem Abschnitt oder den Datenschutzgesetzen nicht nachkommen kann.
4. 4.4 Der Kunde ist dafür verantwortlich, sicherzustellen, dass seine Weisungen an Giraffe360 in Bezug auf die Verarbeitung von Kundendaten dem geltenden Recht, einschließlich der Datenschutzgesetze, entsprechen.
5. 4.5 Die Parteien vereinbaren, dass der Vertrag (einschließlich dieses AVV) zusammen mit der vertragsgemäßen Nutzung des Giraffe360-Dienstes durch den Kunden die vollständigen Weisungen des Kunden an Giraffe360 in Bezug auf die Verarbeitung von Kundendaten durch Giraffe360 darstellt, wobei der Kunde während der Vertragslaufzeit zusätzliche Weisungen erteilen kann, die mit dem Vertrag sowie der Art und der rechtmäßigen Nutzung des Giraffe360-Dienstes vereinbar sind.
6. 4.6 Der Kunde ist dafür verantwortlich, eigenständig zu beurteilen, ob die im Giraffe360-Dienst vorgesehene Datensicherheit seinen Pflichten nach den Datenschutzgesetzen angemessen gerecht wird. Der Kunde ist außerdem für seine sichere Nutzung des Giraffe360-Dienstes verantwortlich.

5. Pflichten von Giraffe360

1. 5.1 Als Auftragsverarbeiter personenbezogener Daten verarbeitet Giraffe360 Kundendaten nur für die in diesem AVV beschriebenen Zwecke oder wie anderweitig im Rahmen der rechtmäßigen Weisungen des Kunden vereinbart, außer wenn und soweit nach geltendem Recht etwas anderes erforderlich ist; in diesem Fall teilt Giraffe360 dem Kunden diese rechtliche Anforderung vor der Verarbeitung dieser Kundendaten mit, soweit dies nach geltendem Recht zulässig ist. Giraffe360 ist nicht für die Einhaltung von Datenschutzgesetzen verantwortlich, die für den Kunden oder die Branche des Kunden gelten und nicht allgemein auf Giraffe360 anwendbar sind.
2. 5.2 Giraffe360 wird geeignete technische und organisatorische Maßnahmen zum Schutz der Kundendaten gemäß den Anforderungen der Datenschutzgesetze umsetzen und aufrechterhalten („Sicherheitsmaßnahmen“). Ungeachtet gegenteiliger Bestimmungen kann Giraffe360 die Sicherheitsmaßnahmen nach eigenem Ermessen ändern oder aktualisieren, sofern eine solche Änderung oder Aktualisierung nicht zu einer wesentlichen Verschlechterung des durch die Sicherheitsmaßnahmen gebotenen Schutzes führt.
3. 5.3 Unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen treffen der Verantwortliche und der Auftragsverarbeiter Sicherheitsmaßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten; diese Maßnahmen schließen unter anderem gegebenenfalls Folgendes ein:
3. 1. die Pseudonymisierung und Verschlüsselung personenbezogener Daten;
   2. geeignete Sicherheitsmaßnahmen zur Aufrechterhaltung der Fähigkeit, die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen;
   3. geeignete Sicherheitsmaßnahmen zur Aufrechterhaltung der Fähigkeit, die Verfügbarkeit der personenbezogenen Daten und den Zugang zu ihnen bei einem physischen oder technischen Zwischenfall rasch wiederherzustellen;
   4. ein Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Sicherheitsmaßnahmen zur Gewährleistung der Sicherheit der Verarbeitung.
4. 5.4 Giraffe360 stellt sicher, dass alle Personen, die befugt sind, Kundendaten im Auftrag von Giraffe360 zu verarbeiten, in Bezug auf die Kundendaten angemessenen Vertraulichkeitsverpflichtungen unterliegen.
5. 5.5 Innerhalb von 30 Tagen nach Beendigung des Vertrags löscht Giraffe360 alle Kopien der von Giraffe360 im Rahmen dieses AVV verarbeiteten Kundendaten oder gibt sie nach Wahl des Kunden zurück. Der Kunde hat Giraffe360 seine Wahl innerhalb von 14 Geschäftstagen nach Beendigung des Vertrags mitzuteilen. Diese Frist von 30 Tagen gilt, sofern wir nicht nach geltendem Recht verpflichtet sind, einige oder alle Kundendaten aufzubewahren.
6. 5.6 Giraffe360 darf Immobiliendaten sowohl während als auch nach der Beendigung des Vertrags für Zwecke des maschinellen Lernens und des Trainings künstlicher Intelligenz sowie zur Verbesserung der Dienste aufbewahren und nutzen. Diese Verarbeitung erfolgt durch Giraffe360 als Verantwortlicher und gemäß der Datenschutzerklärung von Giraffe360.
7. 5.7 Giraffe360 darf Kundendaten aufbewahren, soweit Giraffe360 dies zur Verfolgung oder Abwehr von Rechtsansprüchen für erforderlich hält, sofern diese Kundendaten nur in dem Umfang und für den Zeitraum aufbewahrt werden, der nach geltendem Recht erforderlich ist oder bis zur Klärung einer Angelegenheit andauert, und stets vorausgesetzt, dass Giraffe360 die Vertraulichkeit all dieser Kundendaten sicherstellt.

6. Unterauftragsverarbeiter

1. 6.1 Der Kunde erteilt Giraffe360 hiermit eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter zur Unterstützung bei der Erbringung des Giraffe360-Dienstes hinzuzuziehen. Giraffe360 stellt sicher, dass alle Unterauftragsverarbeiter an vertragliche Pflichten gebunden sind, die mindestens das gleiche Datenschutzniveau bieten, wie es dieser AVV und die anwendbaren Datenschutzgesetze verlangen. Eine aktuelle Liste der Unterauftragsverarbeiter, einschließlich ihres Namens, Standorts und Zwecks, wird auf der Giraffe360-Website geführt („Liste der Unterauftragsverarbeiter“).
2. 6.2 Giraffe360 behält sich das Recht vor, die Liste der Unterauftragsverarbeiter bei Bedarf zu aktualisieren. Alle Ergänzungen oder Ersetzungen in der Liste der Unterauftragsverarbeiter werden mindestens 15 Tage, bevor der neue Unterauftragsverarbeiter zur Verarbeitung von Kundendaten befugt wird, auf der Website veröffentlicht. Kunden wird empfohlen, die Liste der Unterauftragsverarbeiter regelmäßig zu überprüfen.
3. 6.3 Erhebt ein Kunde aufgrund berechtigter datenschutzrechtlicher Bedenken einen begründeten Einwand gegen einen neuen Unterauftragsverarbeiter, muss der Kunde Giraffe360 innerhalb von 15 Tagen nach Veröffentlichung der Aktualisierung schriftlich benachrichtigen. Nach Eingang eines Einwands wird Giraffe360 die Bedenken des Kunden erörtern und sich nach Treu und Glauben um eine für beide Seiten annehmbare Lösung bemühen. Geht innerhalb der Benachrichtigungsfrist von 15 Tagen kein Einwand ein, gilt der aktualisierte Unterauftragsverarbeiter als vom Kunden akzeptiert.
4. 6.4 Giraffe360 bleibt jederzeit für die Erfüllung seiner Pflichten aus dem AVV verantwortlich und haftet gegenüber dem Kunden für die Handlungen und Unterlassungen jedes Unterauftragsverarbeiters so, als wären es Handlungen und Unterlassungen von Giraffe360.

7. Internationale Übermittlungen

1. 7.1 Giraffe360 übermittelt Kundendaten nur dann an einen Empfänger in einem Land oder Gebiet außerhalb des EWR oder des Vereinigten Königreichs, wenn:
1. 1. der Empfänger oder das Land oder Gebiet, in dem er Kundendaten verarbeitet oder auf sie zugreift, nach Feststellung der Europäischen Kommission ein angemessenes Schutzniveau für die Rechte und Freiheiten der betroffenen Personen in Bezug auf die Verarbeitung von Kundendaten bietet; oder
   2. die Übermittlung auf den mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission genehmigten Standardvertragsklauseln (Auftragsverarbeiter) oder einer späteren Fassung davon oder einem anderen rechtlich anerkannten Übermittlungsmechanismus beruht.

8. Datensicherheit, Audits und Sicherheitsbenachrichtigungen

1. 8.1 Der Kunde kann nach angemessener Vorankündigung und zu angemessenen Zeiten die Einhaltung der Sicherheitsmaßnahmen durch Giraffe360 prüfen (entweder selbst oder durch unabhängige externe Prüfer), auch durch die Durchführung von Audits der Datenverarbeitungseinrichtungen von Giraffe360. Giraffe360 unterstützt alle gemäß diesem AVV durchgeführten Audits und trägt zu ihnen bei, sofern solche Audits nicht häufiger als einmal jährlich durchgeführt werden.
2. 8.2 Auf Verlangen des Kunden stellt Giraffe360 alle Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV und der Datenschutzgesetze nachzuweisen.
3. 8.3 Soweit nach Artikel 28 Absatz 3 Buchstabe h DSGVO erforderlich, informiert Giraffe360 den Kunden unverzüglich, wenn Giraffe360 der Auffassung ist, dass Weisungen des Kunden gegen Anforderungen der Datenschutzgesetze oder anderer Rechtsvorschriften der EU, des Vereinigten Königreichs oder eines EWR-Mitgliedstaats verstoßen.
4. 8.4 Giraffe360 benachrichtigt den Kunden unverzüglich schriftlich, sobald Giraffe360 von einer Verletzung des Schutzes personenbezogener Daten in Bezug auf Kundendaten und die gemäß diesem AVV durchgeführte Verarbeitung Kenntnis erlangt. Giraffe360 leistet dem Kunden angemessene Unterstützung, um die Einhaltung der anwendbaren Datenschutzgesetze in Bezug auf die Verletzung des Schutzes personenbezogener Daten sicherzustellen, einschließlich Unterstützung bei behördlichen Untersuchungen sowie bei Meldungen an Aufsichtsbehörden und/oder Benachrichtigungen betroffener Personen.
5. 8.5 Bei der Meldung einer Verletzung des Schutzes personenbezogener Daten teilt Giraffe360 in klarer und einfacher Sprache mindestens und soweit angesichts der verfügbaren Informationen möglich Folgendes mit: eine Erläuterung der Art der Datenschutzverletzung, den Namen und die Kontaktdaten des Datenschutzbeauftragten („DSB“) oder einer sonstigen Anlaufstelle für weitere Informationen, eine Beschreibung der möglichen Folgen der Verletzung des Schutzes personenbezogener Daten sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich gegebenenfalls der Maßnahmen zur Abmilderung möglicher nachteiliger Auswirkungen.

9. Auskunftsersuchen und Rechte der betroffenen Personen

1. 9.1 Sofern nach geltendem Recht nicht anders vorgeschrieben (oder verboten), benachrichtigt Giraffe360 den Kunden über jede Anfrage, die Giraffe360 direkt oder über einen Unterauftragsverarbeiter von einer betroffenen Person in Bezug auf ihre in den Kundendaten enthaltenen personenbezogenen Daten erhält, und beantwortet die Anfrage der betroffenen Person nicht.
2. 9.2 Giraffe360 ermöglicht es dem Kunden, die Kundendaten im Einklang mit der Funktionalität des Giraffe360-Dienstes und soweit diese es zulässt zu berichtigen, zu löschen, zu sperren, abzurufen oder zu kopieren.
3. 9.3 Giraffe360 benachrichtigt den Kunden über jedes Ersuchen einer staatlichen Stelle, einer Aufsichtsbehörde oder einer Strafverfolgungsbehörde (einschließlich einer Datenschutzaufsichtsbehörde) um Offenlegung von Kundendaten, sofern dies nicht gesetzlich oder durch eine rechtsverbindliche Anordnung dieser Stelle oder Behörde untersagt ist.
4. 9.4 Soweit zutreffend, unter Berücksichtigung der Art der Verarbeitung und soweit nach den anwendbaren Datenschutzgesetzen erforderlich, wird Giraffe360:
4. 1. alle angemessenen Anstrengungen unternehmen, um den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in der DSGVO niedergelegten Rechte der betroffenen Personen zu unterstützen; und
   2. den Kunden bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen einer Aufsichtsbehörde des Kunden angemessen unterstützen, jeweils ausschließlich in Bezug auf die Verarbeitung von Kundendaten und unter Berücksichtigung der Giraffe360 zur Verfügung stehenden Informationen.