assetcode.AI

Auftragsverarbeitung (AVV)

Stand: Juli 2026

Auf Basis der Standardvertragsklauseln des Durchführungsbeschlusses (EU) 2021/915 (Art. 28 Abs. 7 DSGVO). assetcode stellt diesen AVV seinen Kunden zur Verfügung.

Parteien

Verantwortlicher: der Kunde (z. B. Hausverwaltung oder Eigentümer) — mit den Angaben aus dem Kundenkonto.
Auftragsverarbeiter: Andreas Acker, assetcode, Oranienstr. 5, 65812 Bad Soden am Taunus.

1. Gegenstand & Dauer

Verarbeitung personenbezogener Daten im Rahmen der Plattform assetcode.ai (Speicherung, Strukturierung sowie auf aktiven Klick abrufbare KI-gestützte Auswertung von Dokumenten und Objektdaten). Die Verarbeitung dauert für die Laufzeit des Hauptvertrags.

2. Art, Zweck, Datenarten, Betroffene

  • Art/Zweck: Hosting, Verschlüsselung, Klassifikation und auf Klick abrufbare Auswertung der vom Verantwortlichen eingestellten Dokumente.
  • Datenarten: in den Dokumenten enthaltene Daten (Objekt-/Anlagendaten, ggf. personenbezogene Daten von Dienstleistern, Mietern, Ansprechpartnern) sowie Metadaten.
  • Betroffene: Mitarbeiter und Ansprechpartner des Verantwortlichen sowie Dritter, soweit in Dokumenten enthalten.

2a. Automatik-Aufträge

Aktiviert der Verantwortliche für ein Objekt einen Automatik-Auftrag, werden neu eingestellte, dem Objekt zugeordnete Dokumente passenden Typs automatisch ausgewertet. Die Verarbeitung entspricht der manuellen Auswertung (gleiche Datenarten, gleicher Unterauftragsverarbeiter für die KI-Auswertung, Ziff. 5); sie stellt keine automatisierte Entscheidung im Einzelfall im Sinne von Art. 22 DSGVO dar. Die Aktivierung erfolgt durch eine bewusste Handlung des Verantwortlichen und ist jederzeit widerrufbar. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO — etwa Gesundheitsangaben in Mieterschriftverkehr) sind nicht Gegenstand der beauftragten Automatik; der Verantwortliche stellt vor dem Hochladen solcher Unterlagen sicher, dass dafür eine gesonderte Rechtsgrundlage (Art. 9 Abs. 2 DSGVO) besteht. Ob die automatisierte Auswertung in seinem Einsatz eine Datenschutz-Folgenabschätzung (Art. 35 DSGVO) erfordert, prüft der Verantwortliche in eigener Zuständigkeit; die dafür nötige Beschreibung der Verarbeitung stellt der Auftragsverarbeiter auf Anfrage bereit (Art. 28 Abs. 3 lit. f DSGVO).

3. Weisungsbindung

Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen. Die Bedienung der Plattform (Upload, Auslösen einer Auswertung, Aktivierung eines Automatik-Auftrags, Freigaben) gilt als Weisung. Es findet keine Verarbeitung zu eigenen Zwecken statt.

4. Technische & organisatorische Maßnahmen (Art. 32)

Es gelten die Maßnahmen aus Anlage 1 — siehe TOMs: insbesondere Verschlüsselung mit einem Datenschlüssel je Mandant (AES-256-GCM, Envelope), strikte Mandantentrennung, keine Dokumenteninhalte in Logs, Audit-Log.

5. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter; Änderungen werden mit Widerspruchsrecht angekündigt. Eine Drittlandübermittlung findet nur bei der KI-Auswertung statt und ist über die EU-Standardvertragsklauseln (Art. 46 DSGVO) abgesichert.
  • Hostinger International Ltd. — Server-Hosting, Datenbank- und Dateispeicher. Standort: Rechenzentrum Frankfurt am Main, Deutschland (EU).
  • Anthropic PBC — KI-Auswertung ausschließlich der für eine Prüfung aktiv ausgewählten bzw. – bei aktiviertem Automatik-Auftrag – der dem Objekt automatisch zugeordneten Dokumente; keine Nutzung zum Training von KI-Modellen (vertraglich zugesichert). Standort: USA. Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln (Art. 46 DSGVO).
  • Stripe Payments Europe Ltd. — Zahlungsabwicklung der Guthaben-Aufladung (nur Zahlungsdaten, keine Akten-Dokumente). Standort: Dublin, Irland (EU). ggf. Übermittlung an Stripe, Inc. (USA) auf Grundlage der EU-Standardvertragsklauseln.
  • E-Mail-/SMTP-Versanddienst — Versand von Transaktions- und Benachrichtigungs-E-Mails (Registrierung, Einladungen). Standort: EU.

6. Mögliche weitere Empfänger (optionale Eigentümer-Freigabe)

Sofern der Verantwortliche die optionale Freigabe einer gefilterten Objektakte-Sicht an einen von ihm benannten Immobilienmakler nutzt, ist dieser Makler ein zusätzlicher Empfänger. Die Weitergabe wird ausschließlich durch den Verantwortlichen ausgelöst (dokumentierte Eigentümer-Freigabe), ist auf ausdrücklich freigegebene Dokumentkategorien beschränkt (Default-Deny/Whitelist), befristet und jederzeit widerrufbar; Dokumente mit personenbezogenen Daten Dritter sind ausgeschlossen. assetcode stellt diese Sicht nur technisch bereit und entscheidet nie selbst über den Inhalt der Freigabe. Jeder Zugriff wird protokolliert.

7. Betroffenenrechte & Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Meldepflichten (Art. 33/34 DSGVO) und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich.

8. Löschung / Rückgabe

Nach Vertragsende werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, vorbehaltlich gesetzlicher Aufbewahrungspflichten. Das Löschkonzept ist dokumentiert.

9. Nachweise / Audit

Der Auftragsverarbeiter stellt die erforderlichen Nachweise bereit und ermöglicht Überprüfungen im zumutbaren Rahmen.

10. Freistellung bei unzutreffenden Bestätigungen

Die Freischaltung von Automatik-Aufträgen setzt Bestätigungen des Verantwortlichen voraus (insbesondere: gültige Rechtsgrundlage nach Art. 6 DSGVO und Information der betroffenen Personen nach Art. 13/14 DSGVO). Erweist sich eine dieser Bestätigungen als unzutreffend und wird der Auftragsverarbeiter deswegen von betroffenen Personen oder Dritten in Anspruch genommen (einschließlich Ansprüchen nach Art. 82 DSGVO), stellt der Verantwortliche den Auftragsverarbeiter von diesen Ansprüchen einschließlich der Kosten einer angemessenen Rechtsverteidigung frei. Dies gilt nicht, soweit der Auftragsverarbeiter den Schaden durch eigene Verstöße gegen diesen Vertrag oder gegen die ihm als Auftragsverarbeiter obliegenden Pflichten der DSGVO selbst zu verantworten hat (vgl. Art. 82 Abs. 2 und Abs. 5 DSGVO). Die Parteien informieren einander unverzüglich über geltend gemachte Ansprüche und stimmen die Rechtsverteidigung untereinander ab.

Anlage 3 — Mieter-/Beschwerde-/Schadensmeldungen (Beschwerden-Reiter)

Diese Anlage konkretisiert die Verarbeitung im portfolioweiten Beschwerden-Reiter (Mieter-, Beschwerde- und Schadensmeldungen). Sie ergänzt die Ziff. 1–9 dieses AVV; im Übrigen gelten diese unverändert.

  • Gegenstand: Erfassung, Anzeige und Statusverwaltung von Mieter-, Beschwerde- und Schadensmeldungen über alle Objekte des Verantwortlichen hinweg. Eingabe und Bearbeitung erfolgen ausschließlich durch berechtigte Nutzer des Verantwortlichen mit der Rolle owner oder admin; Nutzer mit den Rollen member oder readonly haben keinen Schreibzugriff auf diesen Reiter.
  • Art & Zweck: Hosting, Speicherung, Strukturierung und tabellarische Darstellung der Meldungen samt Bearbeitungsstand und Reaktionsfrist, damit der Verantwortliche seine Objektbewirtschaftung organisieren kann. Es findet keine KI-Auswertung der Meldungen statt; die Funktion löst weder eine Auswertung aus noch verbraucht sie Guthaben.
  • Datenarten: Objektzuordnung (betroffenes Gebäude); sofern eine Einheit zugeordnet ist, deren Bezeichnung als Label (z. B. Wohnungs-/Lagebezeichnung); Kategorie der Meldung (Heizung, Wasser, Aufzug, Lärm, Allgemein, Feuchte, Außenanlage, Tür); Titel/Meldungsinhalt als Freitext; Priorität; Bearbeitungsstatus; Melde-, Reaktions- und Erledigungsdatum sowie Audit-Metadaten (Nutzer, Aktion, Objektbezug, Zeit, ggf. IP-Adresse) ohne Meldungsinhalte. Die Meldungsliste führt keinen Mieter-Klarnamen; ein etwaiger in den Einheiten-Stammdaten hinterlegter Mieter-Klarname wird in dieser Ansicht nicht angezeigt und nicht mitverarbeitet (Pseudonymisierung).
  • Betroffene: Mieter und Bewohner, deren Meldung erfasst wird, sowie Mitarbeiter und Ansprechpartner des Verantwortlichen, soweit in einer Meldung benannt.
  • Bezug zu Unterauftragsverarbeitern: Die Meldungen werden ausschließlich auf der in Ziff. 5 genannten, verschlüsselt betriebenen und mandantengetrennten Infrastruktur der Hostinger International Ltd. (Rechenzentrum Frankfurt am Main, Deutschland) verarbeitet; zu den technischen Maßnahmen siehe Anlage 1 (TOMs). Eine Übermittlung an Anthropic PBC (USA) findet für diese Funktion nichtstatt; eine Drittlandübermittlung erfolgt im Beschwerden-Reiter nicht. Zahlungsdienstleister sind nicht beteiligt.
  • Dauer / Löschung: Verarbeitung für die Dauer der Bearbeitung der Meldung und der Vertragslaufzeit. Nach Vertragsende werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, vorbehaltlich gesetzlicher Aufbewahrungspflichten; im Übrigen erfolgt Löschung auf Weisung des Verantwortlichen. Audit-Log-Einträge (ohne Meldungsinhalte) bleiben zur Nachvollziehbarkeit erhalten.

Anlage 4 — KI-gestützte Mieter-/Einheitenzuordnung (Aufnahme-Assistent)

Diese Anlage konkretisiert die KI-gestützte Zuordnung von Dokumenten zu Mietern und Einheiten im Aufnahme-Assistenten. Sie ergänzt die Ziff. 1–9 dieses AVV; im Übrigen gelten diese unverändert.

  • Gegenstand & Zweck: KI-gestützte Auswertung hochgeladener Objektunterlagen, um vorzuschlagen, welchem Mieter und welcher Wohn-/Nutzeinheit ein Dokument zuzuordnen ist. Die verbindliche Zuordnung erfolgt ausschließlich durch ausdrückliche, dokumentierte Bestätigung eines berechtigten Nutzers des Verantwortlichen (Rolle owner oder admin) — keine ausschließlich automatisierte Einzelentscheidung i. S. d. Art. 22 DSGVO.
  • Datenarten: Mietername und Einheitsbezeichnung sowie die inhaltlich betroffenen Dokumente. Anders als im Beschwerden-Reiter werden hier Mieter-Klarnamen verarbeitet.
  • Betroffene: Mieter und Bewohner der vom Verantwortlichen verwalteten Objekte.
  • Weisung / Aktivierung: Die Funktion wird nur auf Veranlassung des Verantwortlichen aktiviert. Ohne Aktivierung werden zu diesem Zweck keine personenbezogenen Mieterdaten gespeichert (Datenminimierung).
  • Unterauftragsverarbeiter: Die KI-Auswertung erfolgt über Anthropic PBC (USA) auf Grundlage der EU-Standardvertragsklauseln; eine Nutzung der Inhalte zum Training der Modelle findet nicht statt. Im Übrigen gilt die verschlüsselt betriebene, mandantengetrennte Infrastruktur nach Ziff. 5.
  • Dauer / Löschung: Die zugeordneten Daten hängen an Einheit und Dokument und werden mit diesen gelöscht bzw. auf Weisung des Verantwortlichen, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

Anlage 5 — Bewohner-App (Meldungen, Fotos & Kommunikation der Bewohner)

Diese Anlage konkretisiert die Verarbeitung der über die Bewohner-App eingehenden Meldungen, Fotos und Kommunikation. Sie ergänzt die Ziff. 1–9 dieses AVV; im Übrigen gelten diese unverändert.

  • Gegenstand: Bereitstellung eines vom Verwaltungsportal getrennten Zugangs, über den vom Verantwortlichen eingeladene Bewohner (Mieter/Eigentümer) Störungen und Anliegen melden, Fotos beifügen und mit der Verwaltung Nachrichten austauschen. Zugänge werden ausschließlich durch berechtigte Nutzer des Verantwortlichen (Rolle owner oder admin) je Wohneinheit eingeladen und können durch diese gesperrt werden.
  • Art & Zweck: Hosting, Speicherung, Strukturierung und Anzeige der Meldungen samt Bearbeitungsstand sowie Zustellung der Nachrichten zwischen Bewohner und Verwaltung, damit der Verantwortliche seine Objektbewirtschaftung organisieren kann. Es findet keine KI-Auswertung der Meldungen, Melderangaben oder Fotos statt.
  • Datenarten: Objekt- und Einheitenzuordnung; Art der Meldung (Störung/Frage), Kategorie und Dringlichkeit; Meldungstext als Freitext; beigefügte Fotos (können personenbezogene Daten enthalten); Nachrichten zwischen Bewohner und Verwaltung; Anmelde-/Kontaktdaten des Bewohner-Zugangs (E-Mail als Kennung, Passwort-Hash, freiwilliger Name) sowie Audit-Metadaten ohne Meldungsinhalte.
  • Betroffene: Vom Verantwortlichen eingeladene Bewohner (Mieter/Eigentümer) der Objekte des Verantwortlichen sowie in einer Meldung benannte Personen.
  • Bezug zu Unterauftragsverarbeitern: Verarbeitung ausschließlich auf der in Ziff. 5 genannten, verschlüsselt betriebenen und mandantengetrennten Infrastruktur der Hostinger International Ltd. (Rechenzentrum Frankfurt am Main, Deutschland; TOMs siehe Anlage 1). Eine Übermittlung an Anthropic PBC (USA) findet für die Bewohner-App nicht statt; eine Drittlandübermittlung erfolgt nicht. Benachrichtigungs-E-Mails (ohne Meldungsinhalte) werden über den in Ziff. 5 genannten E-Mail-Dienstleister (EU) versandt.
  • Dauer / Löschung: Verarbeitung für die Dauer der Bearbeitung der Meldung und der Vertragslaufzeit. Nach Vertragsende Löschung oder Rückgabe nach Wahl des Verantwortlichen, vorbehaltlich gesetzlicher Aufbewahrungspflichten; im Übrigen Löschung auf Weisung. Ein Bewohner-Zugang wird auf Weisung des Verantwortlichen gesperrt oder gelöscht.

Anlagen

  • Anlage 1: Technische & organisatorische Maßnahmen
  • Anlage 2: Liste der Unterauftragsverarbeiter (Ziff. 5)
  • Anlage 3: Mieter-/Beschwerde-/Schadensmeldungen (Beschwerden-Reiter)
  • Anlage 4: KI-gestützte Mieter-/Einheitenzuordnung (Aufnahme-Assistent)
  • Anlage 5: Bewohner-App (Meldungen, Fotos & Kommunikation der Bewohner)