Auftragsverarbeitungsvertrag
Stand: Oktober 2026 (Version 1.4)
Abgeschlossen wird der Vertrag bei der Einrichtung Ihrer Firma bzw. in Flotthaus unter Organisation → AVV.
Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO
zwischen
dem Kunden (nachfolgend „Auftraggeber")
und
Xelamit UG (haftungsbeschränkt), Pastor-Dahlmann-Straße 25a, 46244 Bottrop, Deutschland
Handelsregister: Amtsgericht Gelsenkirchen, HRB 18918
Geschäftsführer: Tim Kamphausen
(nachfolgend „Auftragnehmer")
§ 1 Gegenstand und Dauer der Auftragsverarbeitung
(1) Gegenstand, Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer richten sich nach diesem Vertrag und dem Hauptvertrag (Nutzungsbedingungen) zur Nutzung der Flotthaus-Software-as-a-Service-Plattform (nachfolgend „Hauptvertrag").
(2) Die Verarbeitung umfasst insbesondere: Speicherung, Organisation und Verwaltung von Daten, die der Auftraggeber im Rahmen der Nutzung der Flotthaus-Plattform eingibt, einschließlich Mieterdaten, Objektdaten, Aufgaben, Dokumenten und Kommunikationsdaten.
(3) Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrages.
§ 2 Weisungsbefugnis
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers.
(2) Der Auftraggeber erteilt alle Weisungen über die bereitgestellten Funktionen der Flotthaus-Plattform oder schriftlich.
§ 3 Pflichten des Auftragnehmers
Der Auftragnehmer verpflichtet sich:
a) personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten;
b) sicherzustellen, dass sich zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
c) alle erforderlichen Maßnahmen gemäß Art. 32 DSGVO zur Sicherheit der Verarbeitung zu ergreifen;
d) die in §§ 4 und 5 genannten Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern einzuhalten;
e) alle erforderlichen Maßnahmen zu ergreifen, um den Auftraggeber bei der Einhaltung der Rechte betroffener Personen nach Kapitel III DSGVO zu unterstützen;
f) den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO zu unterstützen;
g) nach Abschluss der Verarbeitung alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben und bestehende Kopien zu löschen;
h) dem Auftraggeber alle erforderlichen Informationen zur Verfügung zu stellen, um die Einhaltung der in diesem Artikel niedergelegten Pflichten nachzuweisen.
§ 4 Unterauftragsverarbeiter
(2) Der Auftraggeber erteilt hiermit seine allgemeine Genehmigung zum Einsatz der oben genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragnehmer den Auftraggeber vorab; der Auftraggeber kann ihnen aus wichtigem datenschutzrechtlichem Grund widersprechen.
| Unternehmen | Zweck | Sitz |
|---|---|---|
| Alexander Kott Consulting | Server-Hosting, Infrastruktur und Dateiablage (eigene Server) | Deutschland |
| Cloudflare, Inc. | Verschlüsselte Weiterleitung aller Verbindungen zu unseren Servern und Schutz vor Angriffen (Inhalte nur während der Übertragung) | EU / USA (DPF, SCC) |
| Stripe, Inc. | Zahlungsabwicklung | USA (SCC) |
| Mailjet SAS | Transaktionaler E-Mail-Versand | Frankreich (EU) |
| Functional Software, Inc. (Sentry) | Fehlerüberwachung (technische Fehlerberichte) | EU-Rechenzentrum Frankfurt |
| OpenAI Ireland Ltd. | KI-Funktionen, nur bei deren Nutzung (z. B. Auftrag aus E-Mail, Checkliste aus Dokument) | EU / USA (SCC) |
§ 5 Technische und organisatorische Maßnahmen (TOM)
- Verschlüsselung:Datenübertragungen erfolgen verschlüsselt (TLS).
- Zugriffskontrolle:Rollenbasierte Zugriffsrechte und Trennung der Daten verschiedener Kunden (Mandantentrennung).
- Verfügbarkeit:Regelmäßige Datensicherungen. Der Auftragnehmer bemüht sich um eine hohe Verfügbarkeit; eine bestimmte Verfügbarkeit wird nicht zugesichert.
- Datenschutzverletzungen:Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, damit dieser seine Pflichten nach Art. 33/34 DSGVO erfüllen kann.
- Protokollierung:Wesentliche Änderungen und Zugriffe werden protokolliert.
- Serverstandort:Die Plattform und die gespeicherten Daten werden auf Servern in Deutschland betrieben. Für einzelne Dienste (siehe § 4) können Daten auch an andere Standorte übermittelt werden.
§ 6 Haftung
Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrages sowie den gesetzlichen Bestimmungen der DSGVO.
§ 7 Schlussbestimmungen
(1) Dieser Vertrag unterliegt deutschem Recht.
(2) Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.