gemäß Art. 28 DS-GVO – Stand: Juni 2026 – Version 1.1
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") wird zwischen dem Kunden (nachfolgend „Verantwortlicher") und
Marco Frommholz
(handelnd unter: Piouswood Solution)
Eilbeker Weg 190
22089 Hamburg
Rechtsform: Einzelunternehmen
E-Mail: hello@valtio.de
(nachfolgend „Auftragsverarbeiter") geschlossen.
Der AVV wird durch Akzeptanz beim Onboarding (digitale Annahme mit Zeitstempel) abgeschlossen und ist Bestandteil des Hauptvertrags über die Nutzung der Software Valtio.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der cloudbasierten Hausverwaltungssoftware „Valtio". Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen.
Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Nach Vertragsende werden die Daten gemäß § 9 dieses AVV gelöscht oder zurückgegeben.
Die Verarbeitung dient der Erbringung der vertraglich vereinbarten SaaS-Leistungen, insbesondere:
Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:
Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO werden grundsätzlich nicht verarbeitet, es sei denn, der Verantwortliche gibt solche Daten in Freitextfeldern ein.
Der Auftragsverarbeiter verpflichtet sich:
Der Verantwortliche ist berechtigt, dem Auftragsverarbeiter jederzeit Weisungen zur Verarbeitung personenbezogener Daten zu erteilen. Weisungen erfolgen in der Regel durch Nutzung der Funktionen innerhalb der Software oder schriftlich per E-Mail an hello@valtio.de.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Ansicht gegen datenschutzrechtliche Vorschriften verstößt.
(1) Der Auftragsverarbeiter setzt zur Erbringung der vertraglichen Leistung folgende Unterauftragsverarbeiter ein. Mit Abschluss dieses AVV erteilt der Verantwortliche seine Zustimmung zur Beauftragung:
| Unterauftragnehmer | Funktion | Sitz / Datenverarbeitung | Garantien |
|---|---|---|---|
| Hetzner Online GmbH | Hosting der Anwendung und Datenbanken, Datensicherung | Deutschland (Falkenstein / Nürnberg) | AVV nach Art. 28 DS-GVO; ISO/IEC 27001 zertifiziert |
| Cloudflare Germany GmbH (Cloudflare, Inc.) | DNS-Auflösung, TLS-Terminierung, DDoS-Schutz | EU-Edge-Knoten primär; Backend USA | AVV; EU-Standardvertragsklauseln (SCC); EU-US Data Privacy Framework |
| Stripe Payments Europe Ltd. | Zahlungsabwicklung (nur bei kostenpflichtigen Tarifen) | Irland (Hauptverarbeitung in der EU) | AVV; SCC für etwaige Drittlandtransfers an Stripe Inc. (USA); PCI-DSS Level 1 |
| Resend, Inc. | Versand transaktionaler E-Mails (Mieter-Einladungen, Benachrichtigungen, Mahnungen) | USA, EU-Routing wo verfügbar | AVV; EU-Standardvertragsklauseln (SCC); EU-US Data Privacy Framework |
| Piouswood Solution / Woodwork (Marco Frommholz) | Verarbeitung von Fehlerberichten, Bug-Reports und Support-Tickets; Empfang und Speicherung von Auto-Bug-Reports der Anwendung (keine Mieter-/Eigentümer-Stammdaten) | Deutschland (Hetzner-Server in Falkenstein/Nürnberg) | Konzern-/interne Verarbeitung durch denselben Auftragsverarbeiter; identische TOMs wie Hauptanwendung; eigene Datenbank mit Schreibrechten ausschließlich für autorisierte Administratoren |
(2) Eine jeweils aktuelle Fassung dieser Liste wird unter dieser URL bereitgehalten. Der Auftragsverarbeiter informiert den Verantwortlichen über Änderungen mit einer Vorlauffrist von mindestens 30 Tagen vor der geplanten Beauftragung eines neuen Unterauftragsverarbeiters per E-Mail an die im System hinterlegte Kontaktadresse.
(3) Der Verantwortliche kann der Beauftragung neuer Unterauftragsverarbeiter aus wichtigem datenschutzrechtlichem Grund innerhalb von 30 Tagen nach Mitteilung widersprechen. Im Fall eines berechtigten Widerspruchs steht beiden Parteien ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.
(4) Der Auftragsverarbeiter stellt vertraglich sicher, dass alle Unterauftragsverarbeiter mindestens die in diesem AVV vereinbarten Datenschutzpflichten einhalten.
Soweit betroffene Personen ihre Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) gegenüber dem Auftragsverarbeiter geltend machen, leitet dieser die Anfragen unverzüglich an den Verantwortlichen weiter. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit technischen Mitteln bei der Erfüllung dieser Anfragen.
Der Auftragsverarbeiter darf für Zwecke des technischen Supports und der Fehlerbehebung mit Zustimmung des Verantwortlichen auf Daten des Verantwortlichen zugreifen. Dies umfasst insbesondere:
Protokollierung: Jeder Admin-Zugriff wird vollständig in einem Audit-Log protokolliert. Der Audit-Log enthält folgende Informationen:
Betroffenenrechte: Der Verantwortliche und betroffene Personen können jederzeit das Audit-Log einsehen, um zu sehen, wer Zugriff auf welche Daten hatte und welche Aktionen durchgeführt wurden. Betroffene Personen können auf Anfrage ein Audit-Log ihrer persönlichen Daten anfordern.
Beschränkung: Der Admin-Zugriff wird auf das zwingend notwendige Minimum beschränkt und nur mit vorheriger Zustimmung des Verantwortlichen durchgeführt. Der Verantwortliche kann den Admin-Zugriff jederzeit widerrufen.
Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen während einer Übergangsfrist von 60 Tagen alle verarbeiteten Daten in den Formaten CSV, JSON und XML zum Export zur Verfügung. Dies umfasst insbesondere Mieter- und Eigentümerdaten, Objekt- und Einheitendaten, Buchhaltungs- und Mietzahlungsdaten sowie hochgeladene Dokumente.
Nach Ablauf dieser Übergangsfrist werden sämtliche personenbezogenen Daten des Verantwortlichen unwiderruflich und datenschutzkonform gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Pflicht des Verantwortlichen zur Aufbewahrung von Buchhaltungs- und Steuerunterlagen (§§ 257 HGB, 147 AO) bleibt unberührt; der Verantwortliche ist gehalten, vor Ablauf der Übergangsfrist alle relevanten Daten zu exportieren. Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage schriftlich.
Der Verantwortliche ist berechtigt, die Einhaltung der Datenschutzvorschriften und die Umsetzung der technischen und organisatorischen Maßnahmen beim Auftragsverarbeiter zu überprüfen. Dies kann durch Einsicht in Dokumentationen, Fragebögen oder – nach vorheriger Ankündigung mit einer Frist von mindestens 14 Tagen – durch Audits vor Ort erfolgen.
Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen und Nachweise zur Verfügung.
Die Haftung der Parteien bestimmt sich nach den Regelungen der DSGVO sowie den Bestimmungen des Hauptvertrags. Jede Partei haftet gegenüber betroffenen Personen für Schäden, die durch eine nicht dieser Vereinbarung entsprechende Verarbeitung verursacht wurden.
Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG). Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit diesem AVV ist, soweit gesetzlich zulässig, Hamburg. Sollten einzelne Bestimmungen unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.
Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV vor, soweit datenschutzrechtliche Pflichten betroffen sind.
Der Auftragsverarbeiter trifft folgende Maßnahmen gemäß Art. 32 DSGVO: