Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO zwischen

dem Kunden (Vermieter) – nachfolgend „Verantwortlicher"

und

immovio FlexCo
Wöhrlehenstraße 9
5324 Faistenau, Österreich
E-Mail: office@hey-franz.com

– nachfolgend „Auftragsverarbeiter", Betreiberin von heyFranz, einem Service der immovio FlexCo (nachfolgend „heyFranz") –

1. Gegenstand und Dauer der Verarbeitung

1.1 Gegenstand

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch heyFranz im Auftrag des Verantwortlichen im Rahmen der Nutzung der heyFranz-Plattform.

heyFranz stellt eine digitale Verwaltungsplattform für Mietverhältnisse zur Verfügung.

1.2 Dauer

Die Verarbeitung erfolgt:

für die Dauer des Nutzungsvertrages
sowie bis zu 12 Monate nach Beendigung zur Reaktivierung
anschließend Löschung oder Anonymisierung

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere:

Speicherung von Mieter- und Kontaktdaten
Verwaltung von Mietverträgen
Dokumentenspeicherung
Finanz- und Transaktionsübersicht
Fristenmanagement
KI-gestützte Dokumentenanalyse (optional)
KI-Assistent Franz (optional; Änderungen an Daten standardmäßig erst nach Bestätigung durch den Nutzer)
Arbeiten von Franz ohne zusätzliche Einzelbestätigung mit zusätzlicher Prüfung des Auftrags (optional; nur nach ausdrücklicher Aktivierung durch den Nutzer)
Websuche durch Franz (optional; nur nach ausdrücklicher Aktivierung durch den Nutzer)
Banktransaktionsdarstellung (Lesezugriff via finAPI)

Die Verarbeitung erfolgt ausschließlich zur Erbringung der vertraglich vereinbarten Leistungen.

3. Art der personenbezogenen Daten

Folgende Daten können im Rahmen der Nutzung verarbeitet werden:

Stammdaten (Name, Adresse, E-Mail, Telefonnummer)
Vertragsdaten
Mietvertragsinformationen
Zahlungs- und Transaktionsdaten
IBAN (nur bei Speicherung durch den Verantwortlichen)
Dokumenteninhalte
Kommunikationsinhalte
ggf. Ausweisdokumente (wenn vom Verantwortlichen gespeichert)

heyFranz speichert selbst keine Onlinebanking-Zugangsdaten.

4. Kategorien betroffener Personen

Mieter
ehemalige Mieter
Interessenten
Lieferanten / Dienstleister
sonstige Kontaktpersonen des Verantwortlichen

5. Pflichten des Auftragsverarbeiters

heyFranz verpflichtet sich:

Daten ausschließlich auf dokumentierte Weisung zu verarbeiten
Daten nicht für eigene Zwecke zu verwenden
Vertraulichkeit zu gewährleisten
geeignete technische und organisatorische Maßnahmen (TOMs) umzusetzen
bei Datenschutzverletzungen unverzüglich zu informieren
Betroffenenrechte zu unterstützen
keine unbefugte Weitergabe vorzunehmen

6. Technische und organisatorische Maßnahmen (TOMs)

heyFranz setzt insbesondere folgende Maßnahmen ein:

TLS/SSL-Verschlüsselung
Zugriffsbeschränkungen (Role-Based Access Control)
Regelmäßige Backups (ohne Zusage, einzelne Änderungen oder Daten wiederherzustellen)
Serverstandort EU
Trennung von Kundendaten
Monitoring und Angriffserkennung
DDoS-Schutz via Cloudflare

Details können gesondert angefordert werden.

7. Sub-Auftragsverarbeiter

heyFranz setzt folgende Sub-Auftragsverarbeiter ein:

Hosting & Infrastruktur
Hetzner Online GmbH (EU)

Zahlungsabwicklung
Stripe Payments Europe Ltd.

Bankdaten
finAPI GmbH (EU)

KI-Dienste (nur bei Nutzung der KI-Funktionen; die Modellanbieter speichern die Anfragen nicht)
OpenRouter, Inc. (USA): Vermittlung der KI-Anfragen
Mistral AI (Frankreich): Dokumentenanalyse, Verarbeitung in der EU
OpenAI (USA): Sprachmodell für Franz, Verarbeitung in der EU (In-Region-Routing)
Perplexity AI, Inc. (USA): Prüfung der Aufträge im Modus „Ohne Bestätigung“, Verarbeitung auch außerhalb der EU; nur nach ausdrücklicher Aktivierung durch den Nutzer
Exa Labs, Inc. (USA): Websuche durch Franz; nur nach ausdrücklicher Aktivierung durch den Nutzer
Eleven Labs, Inc. (USA): Umwandlung von Sprachaufnahmen in Text beim Diktieren in Franz; nur nach ausdrücklicher Aktivierung durch den Nutzer

Im Modus „Ohne Bestätigung“ werden der Auftrag des Nutzers, nötige Klarstellungen, die letzte Antwort von Franz vor dem Auftrag und die geplanten Änderungen mit den betroffenen Daten übermittelt; das können Namen, Adressen, Daten zu Mietverhältnissen und Zahlungsbeträge betroffener Personen sein. Der restliche Chat bleibt in der EU. Die Prüfung erfolgt nur, wenn der Nutzer den Modus ausdrücklich aktiviert hat; darin liegt die Weisung des Verantwortlichen.

Bei der Websuche durch Franz werden ausschließlich Suchbegriffe und Webadressen übermittelt, keine Mieter-, Objekt- oder Zahlungsdaten. Sie erfolgt nur, wenn der Nutzer sie ausdrücklich aktiviert hat; darin liegt die Weisung des Verantwortlichen.

Beim Diktieren in Franz wird ausschließlich die Sprachaufnahme übermittelt, die der Nutzer selbst beendet; sie kann alles enthalten, was der Nutzer ausspricht, etwa Namen betroffener Personen. Aufnahme und erkannter Text werden nicht gespeichert; der Text wird erst Teil des Chats, wenn der Nutzer ihn abschickt. Das Diktieren erfolgt nur, wenn der Nutzer es ausdrücklich aktiviert hat; darin liegt die Weisung des Verantwortlichen.

Für Sub-Auftragsverarbeiter mit Sitz in den USA bestehen Standardvertragsklauseln.

Sicherheit & CDN
Cloudflare

Analyse & Marketing (nur für Website, nicht Plattformdaten)
Google Analytics
Meta Pixel

Subunternehmer werden sorgfältig ausgewählt und vertraglich gemäß Art. 28 DSGVO verpflichtet. Der Verantwortliche stimmt dem Einsatz der genannten Sub-Auftragsverarbeiter zu.

8. Drittstaatentransfers

Eine Verarbeitung außerhalb der EU erfolgt nur:

wenn technisch erforderlich
unter Anwendung geeigneter Garantien
insbesondere EU-Standardvertragsklauseln

9. Unterstützungspflichten

heyFranz unterstützt den Verantwortlichen bei:

Auskunftsersuchen
Löschersuchen
Datenportabilität
Datenschutz-Folgenabschätzungen
Meldung von Datenschutzverletzungen

10. Kontrollrechte

Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu überprüfen.

Die Kontrolle erfolgt:

durch geeignete Nachweise
Dokumentationen
Zertifikate
oder Auditberichte

Vor-Ort-Kontrollen sind nur bei berechtigtem Anlass und mit angemessener Vorankündigung möglich.

11. Löschung und Rückgabe von Daten

Nach Beendigung des Vertragsverhältnisses:

kann der Verantwortliche seine Daten exportieren
werden Daten nach Ablauf der 12-Monats-Frist gelöscht
auf Wunsch erfolgt frühere Löschung

12. Haftung

Es gelten die Haftungsregelungen des Hauptvertrages.

13. Schlussbestimmungen

Es gilt österreichisches Recht. Gerichtsstand: Salzburg.

Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen unberührt.

Auftrags­verarbeitungs­vertrag (AVV)