Auftragsverarbeitungsvertrag

gemäß Art. 28 DSGVO — Stand: 14. Juni 2026

§ 1 Gegenstand und Dauer

(1) Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Rechte und Pflichten im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen.

(2) Verantwortlicher (Auftraggeber): Die Hausverwaltung oder der Immobilienverwalter, der einen Verwalter-Account bei SchimmelCheck Pro nutzt.

(3) Auftragsverarbeiter (Auftragnehmer): SchimmelCheck Pro UG (haftungsbeschränkt) i. G., Auf dem Damm 32, 21647 Moisburg, E-Mail: kontakt@schimmelcheck.pro. Bis zur Eintragung der UG im Handelsregister wird der Dienst durch die K&S Farbkonzepte GmbH & Co. KG (AG Tostedt HRA 204138, USt-IdNr. DE317174756) getragen.

(4) Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Verwalter-Accounts gemäß den AGB.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Durchführung KI-gestützter Schimmelanalysen für Mietwohnungen, die der Verantwortliche über die Plattform SchimmelCheck Pro beauftragt.

(2) Die Verarbeitung umfasst:

• Entgegennahme und Speicherung von Falldaten (Adresse, Raumtyp, Baujahr, Lageplan)
• Entgegennahme und temporäre Verarbeitung von Fotos des Schimmelbefalls
• Durchführung bauphysikalischer Berechnungen und KI-gestützter Auswertung
• Erstellung und Bereitstellung des PDF-Analyseberichts
• Optionale Weitergabe an Fachbetriebe (nur bei ausdrücklicher Einwilligung)

§ 3 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Kategorien personenbezogener Daten:

• Kontaktdaten der Mieter (Name, E-Mail-Adresse, sofern angegeben)
• Adressdaten der betroffenen Wohnung
• Fotos der betroffenen Räume (können personenbezogene Inhalte enthalten)
• Angaben zu Wohnverhalten (Lüftung, Heizung, Nutzung)
• Korrespondenz über die Plattform

(2) Kategorien betroffener Personen: Mieter der vom Verantwortlichen verwalteten Wohnungen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem AVV, den AGB und der Nutzung der Plattformfunktionen. Darüber hinausgehende Weisungen bedürfen der Schriftform.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM). Die aktuellen Maßnahmen sind in Anlage 1 dokumentiert.

(4) Der Auftragsverarbeiter verwendet die Daten nicht für Werbung oder Profiling.

(5) Nutzung zur Modellverbesserung: Der Auftragsverarbeiter darf anonymisierte Analysedaten und Fotos zur Verbesserung der eigenen KI-Modelle verwenden. Vor der Verwendung werden alle personenbezogenen Merkmale entfernt (insbesondere Adressen, Namen, Gesichter, lesbare Dokumente). Der Verantwortliche kann dieser Nutzung jederzeit für seine Daten widersprechen (Opt-out per E-Mail an kontakt@schimmelcheck.pro). Die Daten werden in diesem Fall innerhalb von 30 Tagen aus den Trainingsdatensätzen entfernt.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem geplanten Einsatz eines neuen Unterauftragsverarbeiters per E-Mail. Der Verantwortliche kann dem Einsatz innerhalb von 14 Tagen schriftlich widersprechen. Erfolgt kein Widerspruch, gilt die Zustimmung als erteilt.

(3) Der Auftragsverarbeiter stellt sicher, dass Unterauftragsverarbeitern mindestens gleichwertige Datenschutzpflichten auferlegt werden.

§ 6 Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) durch geeignete technische und organisatorische Maßnahmen.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

§ 7 Meldepflichten bei Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnisnahme.

(2) Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und -umfang, wahrscheinliche Folgen sowie ergriffene Gegenmaßnahmen.

§ 8 Löschung und Rückgabe

(1) Nach Beendigung des Verwalter-Accounts löscht der Auftragsverarbeiter alle personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Auf Wunsch des Verantwortlichen stellt der Auftragsverarbeiter vor der Löschung einen Export der Falldaten im maschinenlesbaren Format (JSON oder CSV) bereit.

(3) Fotos werden in zwei Stufen verarbeitet: Nach 6 Monaten erfolgt die Anonymisierung (Entfernung aller personenbezogenen Zuordnungen wie Name, Adresse, Mieterbezug). Die anonymisierten Fotos können zur Verbesserung der Analysealgorithmen verwendet werden. Nach 24 Monaten werden die Fotos endgültig gelöscht.

§ 9 Nachweispflichten und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(2) Der Verantwortliche oder ein von ihm beauftragter Prüfer hat das Recht, Überprüfungen und Inspektionen durchzuführen. Der Auftragsverarbeiter unterstützt diese. Die Kosten trägt der Verantwortliche, sofern kein Verstoß festgestellt wird.

§ 10 Haftung und Schlussbestimmungen

(1) Die Haftung richtet sich nach den gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO.

(2) Änderungen dieses AVV bedürfen der Schriftform. Dies gilt auch für die Aufhebung des Schriftformerfordernisses.

(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland.

Stand: 14. Juni 2026