Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 DSGVO · Stand: Oktober 2026 · Version 2.2

Standardfassung 2.2 Standardfassung 2.1, abgelöst Standardfassung 2.0, abgelöst Standardfassung 1.0 (nur EU), abgelöst Fassung microsoft-v1.2 (Microsoft-Versand) Fassung google-v1.2 (Google Drive) Fassung bewertungen-v1.1 (Google-Bewertungen) Fassung casavi-v1.1 (casavi-Übertragung)

Diese Fassung gilt für jeden Kunden ab seiner Zustimmung. Die Zustimmung wird beim Anmelden eingeholt; bis dahin gilt die Fassung 2.1. Hochgeladene Unterlagen werden in der EU gespeichert. Drei Vorgänge laufen über Anbieter, deren Verarbeitung nicht auf die EU beschränkt ist: die E-Mails an Nutzerkonten, die Entgegennahme von Antworten auf Nachforderungen und, bei Mietshäusern, die Inhaltsprüfung einzelner Belege. Alle drei sind in § 2 Abs. 3 und § 7 benannt.

Wer den optionalen Versand über ein eigenes Microsoft-Postfach nutzen möchte, benötigt dafür die geänderte Fassung microsoft-v1.2: Sie benennt Microsoft als Unterauftragsverarbeiter und weist die damit verbundene Übermittlung in die USA aus. Ohne ausdrückliche Zustimmung zu jener Fassung findet kein Versand über Microsoft statt und es bleibt bei dieser Fassung.

Rollenverteilung: Der Kunde (die Hausverwaltung, nachfolgend „Verantwortlicher") ist Verantwortlicher für die personenbezogenen Daten, die im Rahmen einer Verwaltungsübernahme verarbeitet werden. My Cortex (Inhaber Ben Ferenc Burian, Solquellstraße 13, 13467 Berlin, nachfolgend „Auftragsverarbeiter") verarbeitet diese Daten ausschließlich weisungsgebunden zur Erbringung des Dienstes einschließlich der Fehleranalyse und Tests nach § 2 Abs. 2.

Was sich gegenüber der Fassung 2.1 ändert

Rollenverteilung, § 1 Abs. 1 und § 2 Abs. 2 (Zweck): Der Auftragsverarbeiter darf die Unterlagen des Verantwortlichen zur Fehleranalyse und zum Testen neuer Versionen des Dienstes nutzen. Sie bleiben im Dienst, nur My Cortex hat Zugriff, und sie werden mit der Übernahme gelöscht.
§ 2 Abs. 3 und § 7 (Unterauftragsverarbeiter): Opper Technology AB (Schweden) kommt hinzu, für die Erkennung des Dokumenttyps und die Zuordnung zur Übernahme-Checkliste mit dem KI-Modell Kev 4B. Verarbeitet wird in der EU (Irland und Schweden). Bis der Auftragsverarbeiter diesen Schritt im Dienst einschaltet, findet keine Übermittlung an den Anbieter statt.
Geltung: Diese Fassung gilt für einen Kunden ab seiner Zustimmung, die beim Anmelden eingeholt wird. Fassung, Zeitpunkt und Link werden dabei gespeichert. Bis dahin gilt die Fassung 2.1, und die Unterlagen werden nicht zum Testen genutzt.

Alle übrigen Regelungen entsprechen wörtlich der Fassung 2.1. Diese bleibt unter /avv/standard/2.1 abrufbar, die Fassung 2.0 unter /avv/standard/2.0 und die Fassung 1.0 unter /avv/standard/1.0.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zur Erbringung des Dienstes „My Cortex" (Erkennung, Kategorisierung, Auslesen und Vollständigkeitsprüfung von Übernahmeunterlagen, Erstellung von Nachforderungs-Entwürfen sowie Entgegennahme der Antworten darauf) sowie zur Fehleranalyse und zum Testen neuer Versionen des Dienstes nach § 2 Abs. 2.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages (AGB) und endet automatisch mit dessen Beendigung.

§ 2 Art, Zweck und Ort der Verarbeitung

(1) Art: Erheben, Speichern, Auslesen (Extraktion), Verknüpfen und Abgleichen, Auswerten, Erstellen von Entwürfen und Reports, Bereitstellen zum Abruf, Löschen.

(2) Zweck: Vorprüfung und Vervollständigung von Verwaltungsübernahmen aus den vom Verantwortlichen bereitgestellten Unterlagen. Der Verantwortliche weist den Auftragsverarbeiter außerdem an, diese Unterlagen zur Fehleranalyse und zum Testen neuer Versionen des Dienstes zu nutzen. Dabei gilt:

Die Unterlagen bleiben im Dienst. Sie durchlaufen dieselben Verarbeitungsschritte und Unterauftragsverarbeiter wie im laufenden Betrieb (Abs. 3, § 7) und werden an keine weitere Stelle gegeben.
Zugriff haben nur zur Vertraulichkeit verpflichtete Personen bei My Cortex (§ 5 Abs. 1).
Die Unterlagen und alles, was beim Testen aus ihnen entsteht, werden mit der Übernahme gelöscht, spätestens nach § 6.

(3) Ort: Europäische Union. Die vom Verantwortlichen hochgeladenen Unterlagen werden in der EU gespeichert (Hosting in Frankreich) und, mit der Ausnahme im dritten Punkt unten, in der EU ausgewertet (KI-Dienste in Frankreich, für die Erkennung des Dokumenttyps in Irland und Schweden). Drei Vorgänge laufen über Unterauftragsverarbeiter, deren Verarbeitung nicht auf die EU beschränkt ist; alle drei sind in § 7 mit Sitz, Ort und Garantie benannt:

E-Mails an Nutzerkonten (Einrichtung eines Zugangs, Zurücksetzen eines Passworts) versendet Sendinblue SAS von Servern in Frankreich und Deutschland; für einzelne Zusatzdienste setzt der Anbieter Unterauftragsverarbeiter außerhalb der EU ein. Inhalte hochgeladener Unterlagen sind davon nicht betroffen.
Antworten auf Nachforderungen, die ein angeschriebener Dritter per E-Mail an die Antwortadresse des Dienstes schickt, nimmt AC PM LLC (Postmark) in den USA entgegen und übergibt sie an den Dienst in der EU. Das umfasst Absender, Betreff, Text und mitgesendete Anhänge, also auch nachgereichte Unterlagen. Der Anbieter hält die Nachricht nach eigenen Angaben 45 Tage vor.
Inhaltsprüfung bei Mietshäusern: Ist eine Übernahme als Mietshaus angelegt, liest ein KI-Modell bei Nebius B.V. (Niederlande) aus Übergabeschreiben, Kontoauszügen und Saldenbestätigungen, Mieterlisten und Kautionsnachweisen die Angaben, an denen die Übergabe geprüft wird (Stichtag, Salden, Kautionen, Stand der Betriebskostenabrechnungen, Kontovollmacht). Übermittelt wird der ausgelesene Text des jeweiligen Dokuments, bis zu 40.000 Zeichen, also auch die darin genannten Mieter, Beträge und Kontonummern. Den Rechenort bestimmt der Anbieter selbst; er kann in der EU bzw. im EWR, im Vereinigten Königreich, in Israel oder in den USA liegen. Ohne die Kontoeinstellung „Zero Data Retention“ kann der Anbieter Eingaben und Ausgaben zur Beschleunigung der Antworten in Finnland speichern; eine Speicherdauer nennt er nicht. Zum Training von KI-Modellen verwendet er sie nach seinen Bedingungen nicht.

Weitere Übermittlungen in ein Drittland finden ohne gesonderte Zustimmung des Verantwortlichen nicht statt; die Fassungen für die optionalen Anbindungen regeln sie gesondert.

§ 3 Daten und betroffene Personen

Kategorien personenbezogener Daten:

Stammdaten (Namen, Anschriften, Kontaktdaten)
Vertrags- und Objektdaten (z. B. aus Teilungserklärung, Wirtschaftsplänen, Protokollen, Wartungs- und Versorgungsverträgen)
Finanz- und Saldendaten
weitere personenbezogene Daten, die in den hochgeladenen Unterlagen enthalten sind

Betroffene Personen: Wohnungseigentümer, Mieter, Beiräte, Vertragspartner (z. B. Versicherer, Versorger, Dienstleister) sowie deren Ansprechpartner, soweit deren Daten in den Unterlagen enthalten sind.

§ 4 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht gesetzlich zu etwas anderem verpflichtet ist.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält.

§ 5 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Es werden nur zur Vertraulichkeit verpflichtete Personen eingesetzt (Art. 28, 29, 32 Abs. 4 DSGVO).

(2) Datensicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.

(3) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12-23 DSGVO) sowie bei den Pflichten nach Art. 32-36 DSGVO.

(4) Datenschutzverletzungen werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet.

(5) Ansprechpartner beim Auftragsverarbeiter für Datenschutzfragen: ferenc@my-cortex.de.

§ 6 Rückgabe und Löschung

Nach Beendigung des Hauptvertrages werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, spätestens nach einer Karenzzeit von 90 Tagen; innerhalb dieser Frist ist ein Export möglich. Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt und liegen beim Verantwortlichen.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Dienstleister	Zweck	Ort	Garantie
Mistral AI SAS	KI-Modell / Textverarbeitung (LLM)	EU (Frankreich)	AVV nach Art. 28 DSGVO
Clever Cloud SAS	Hosting / Infrastruktur (PaaS), Datenbanken, Storage	EU (Frankreich)	AVV nach Art. 28 DSGVO
Scaleway SAS 8 rue de la Ville l'Evêque, 75008 Paris, Frankreich	KI-Modelle (LLM) für einzelne Prüfschritte der Auswertung, ergänzend oder als Alternative zu Mistral AI; Zwischenablage von Stapelaufträgen im Objektspeicher des Anbieters	EU (Frankreich, Region Paris)	AVV nach Art. 28 DSGVO
Sendinblue SAS (Marke „Brevo“) Paris, Frankreich	Versand von E-Mails an Nutzerkonten (Zugang einrichten, Passwort zurücksetzen). Keine Inhalte hochgeladener Unterlagen	EU (Frankreich, Deutschland); für einzelne Zusatzdienste des Anbieters auch Drittland	AVV nach Art. 28 DSGVO; für Unterauftragsverarbeiter außerhalb der EU EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
AC PM LLC (Postmark) 1 N Dearborn Street, Suite 500, Chicago, IL 60602, USA; Tochtergesellschaft der ActiveCampaign, LLC	Entgegennahme von E-Mail-Antworten auf Nachforderungen an der Antwortadresse des Dienstes und Übergabe an den Dienst, einschließlich mitgesendeter Anhänge (nachgereichte Unterlagen)	Drittland USA	Data Processing Addendum des Anbieters mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Nebius B.V. Schiphol Boulevard 165, 1118 BG Schiphol, Niederlande; Tochtergesellschaft der Nebius Group N.V.	KI-Modell für die Inhaltsprüfung bei Mietshäusern (Übergabeschreiben, Kontoauszüge und Saldenbestätigungen, Mieterlisten, Kautionsnachweise), über den öffentlichen Endpunkt der Nebius Token Factory	vom Anbieter bestimmt: EU bzw. EWR (u. a. Finnland, Frankreich, Island), Vereinigtes Königreich, Israel oder Drittland USA; Speicherung ohne Zero Data Retention in Finnland	AVV nach Art. 28 DSGVO (Data Processing Agreement des Anbieters); für die USA EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO); für das Vereinigte Königreich und Israel Angemessenheitsbeschlüsse der Europäischen Kommission (Art. 45 DSGVO)
Opper Technology AB (Marke „Opper“) Västerängsvägen 51 A, 182 47 Enebyberg, Schweden; Org.-Nr. 559446-3720	KI-Modell Kev 4B für die Erkennung des Dokumenttyps und die Zuordnung zu einem Punkt der Übernahme-Checkliste, als Zusatzsignal zur Klassifikation oder an ihrer Stelle. Übermittelt werden die ersten 2.500 Zeichen des ausgelesenen Textes je Dokument, bei langen Dokumenten je Textabschnitt. Nach Angaben des Anbieters werden Inhalte bei diesem Modell weder gespeichert noch zum Training verwendet; Nutzungsdaten ohne Inhalte hält er bis zu fünf Jahre vor. Außerdem das KI-Modell GLM-5.3-Flash für die Inhaltsprüfung bei Mietshäusern (ausgelesener Text je Dokument, bis zu 40.000 Zeichen) und für den Assistenten (Frage und Unterlagen der Übernahme), fest gerechnet bei Berget AI AB (Stockholm, Schweden; Org.-Nr. 559504-7522) als Unterauftragsverarbeiter des Anbieters, ohne Ausweichen auf andere Rechenorte. Nach Angaben des Anbieters speichert Berget Inhalte nicht und verwendet sie nicht zum Training; Nutzungsdaten ohne Inhalte hält Opper auch hier bis zu fünf Jahre vor	EU (Rechnen in Irland, Plattform in Schweden); GLM-5.3-Flash: Rechnen bei Berget in Schweden	AVV nach Art. 28 DSGVO (Data Processing Agreement des Anbieters, Teil seiner Nutzungsbedingungen)

AVV der Unterauftragsverarbeiter:

Mistral AI: legal.mistral.ai/terms/data-processing-addendum
Clever Cloud: Clever Cloud Data Processing Agreement
Scaleway: Scaleway Data Processing Agreement (scaleway.com/en/contracts)
Brevo: Brevo Terms of Use, Annex 2 Data Processing Agreement
Postmark: postmarkapp.com/dpa
Nebius: Data Processing Agreement for Nebius B.V., Anhang 1B Token Factory (docs.nebius.com/legal/dpa); Unterauftragsverarbeiter: docs.nebius.com/legal/sub-processors_tofa
Opper: opper.ai/data-processing-agreement; Unterauftragsverarbeiter: opper.ai/sub-processors

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Austausch von Unterauftragsverarbeitern) vorab; der Verantwortliche kann widersprechen (Art. 28 Abs. 2 DSGVO).

§ 8 Kontroll- und Nachweisrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), z. B. durch Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen.

§ 9 Haftung und Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Nutzungsvertrages.

(2) Bei Widerspruch zwischen diesem AVV und dem Nutzungsvertrag gehen in Bezug auf die Datenverarbeitung die Regelungen dieses AVV vor.

(3) Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit: Zugriffskontrolle über authentifizierte Konten, rollenbasierte Zugriffe, Mandantentrennung (Multi-Tenant).
Integrität & Verschlüsselung: TLS in Transit (HTTPS erzwungen); Verschlüsselung der Daten im Ruhezustand (at-rest).
Verfügbarkeit: Hosting in der EU, regelmäßige Backups/Snapshots.
Datenminimierung & Löschkonzept: nur erforderliche Daten; definierte Löschfristen.
Menschliche Endkontrolle: Ergebnisse werden vor Versand durch einen Menschen geprüft.
Protokollierung: Protokollierung sicherheitsrelevanter Zugriffe.

Stand: Oktober 2026 · Version 2.2 · gilt für jeden Kunden ab seiner Zustimmung, frühestens ab dem 06.10.2026