Zum Inhalt springen

AVV für den Microsoft-Versand

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO · Stand: September 2026 · Fassung microsoft-v1.2

Standardfassung 2.2 Standardfassung 2.1, abgelöst Standardfassung 2.0, abgelöst Standardfassung 1.0 (nur EU), abgelöst Fassung microsoft-v1.2 (Microsoft-Versand) Fassung google-v1.2 (Google Drive) Fassung bewertungen-v1.1 (Google-Bewertungen) Fassung casavi-v1.1 (casavi-Übertragung)

Wofür diese Fassung gilt. Sie gilt ausschließlich dann, wenn der Verantwortliche den optionalen Versand über ein eigenes Microsoft-Postfach aktiv eingeschaltet hat. In diesem Fall verlässt der Inhalt der versendeten E-Mails beim Senden die EU (Übermittlung an Microsoft, USA).

Ohne diese Zustimmung gilt unverändert die Standardfassung 2.0. Nach ihr bleiben hochgeladene Unterlagen in der EU; über Anbieter außerhalb der EU laufen allein die E-Mails an Nutzerkonten und die Antworten auf Nachforderungen (§ 2 Abs. 3). Die Zustimmung kann jederzeit für die Zukunft widerrufen werden (§ 8 Abs. 6).

Hinweis vom 01.10.2026. Die Standardfassung 2.0 ist an diesem Tag durch die Standardfassung 2.1 abgelöst worden. Wo diese Fassung von der Standardfassung 2.0 spricht, gilt seither die 2.1. Sie nennt in § 2 Abs. 3 und § 7 zusätzlich Nebius B.V. (Niederlande) für die Inhaltsprüfung bei Mietshäusern; den Rechenort bestimmt dieser Anbieter, auch außerhalb der EU. Der Text dieser Fassung bleibt unverändert, weil Zustimmungen unter ihm erteilt wurden. Der Verantwortliche kann der Hinzuziehung nach § 7 Abs. 2 widersprechen.

Hinweis vom 06.10.2026. Die Standardfassung 2.1 ist an diesem Tag durch die Standardfassung 2.2 abgelöst worden; für einen Kunden gilt sie ab seiner Zustimmung, die beim Anmelden eingeholt wird. Wo diese Fassung von der Standardfassung spricht, gilt für ihn ab dann die 2.2. Sie erlaubt zusätzlich die Nutzung der Unterlagen zur Fehleranalyse und zum Testen neuer Versionen des Dienstes (§ 2 Abs. 2) und nennt Opper Technology AB (Schweden) für die Erkennung des Dokumenttyps (§ 7). Mit der Zustimmung zur Standardfassung 2.2 gelten deren § 2 Abs. 2 und die Zeile Opper Technology AB in § 7 auch für diese Fassung. Der Text dieser Fassung bleibt unverändert, weil Zustimmungen unter ihm erteilt wurden.

Was sich gegenüber der Standardfassung 2.0 ändert

Alle übrigen Regelungen entsprechen wörtlich der Standardfassung 2.0.

Diese Fassung löst die Fassung microsoft-v1.1 ab, die unter /avv/microsoft/microsoft-v1.1 abrufbar bleibt. Gegenüber ihr ist allein nachgezogen, was die Standardfassung 2.0 am 25.09.2026 geändert hat: § 1 nennt die Entgegennahme der Antworten auf Nachforderungen, § 2 Abs. 3 beschreibt die zwei Wege außerhalb der EU, § 7 führt Scaleway SAS, Sendinblue SAS und AC PM LLC. An den Regelungen zum Microsoft-Versand ändert sich nichts.

Rollenverteilung

Der Kunde (die Hausverwaltung, nachfolgend „Verantwortlicher") ist Verantwortlicher für die personenbezogenen Daten, die im Rahmen einer Verwaltungsübernahme verarbeitet werden. My Cortex (Inhaber Ben Ferenc Burian, Solquellstraße 13, 13467 Berlin, nachfolgend „Auftragsverarbeiter") verarbeitet diese Daten ausschließlich weisungsgebunden zur Erbringung des Dienstes. Das gilt auch für den Versand über ein verbundenes Microsoft-Postfach (§ 8).

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen zur Erbringung des Dienstes „My Cortex" (Erkennung, Kategorisierung, Auslesen und Vollständigkeitsprüfung von Übernahmeunterlagen, Erstellung und Versand von Nachforderungen sowie Entgegennahme der Antworten darauf).

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages (AGB) und endet automatisch mit dessen Beendigung.

§ 2 Art, Zweck und Ort der Verarbeitung

(1) Art: Erheben, Speichern, Auslesen (Extraktion), Verknüpfen und Abgleichen, Auswerten, Erstellen von Entwürfen und Reports, Bereitstellen zum Abruf, Versenden von Nachrichten, Löschen.

(2) Zweck: Vorprüfung und Vervollständigung von Verwaltungsübernahmen aus den vom Verantwortlichen bereitgestellten Unterlagen sowie die Nachforderung fehlender Unterlagen bei Dritten.

(3) Ort: Europäische Union. Die zur Analyse hochgeladenen Unterlagen werden in der EU gespeichert (Hosting in Frankreich) und in der EU ausgewertet (KI-Dienste in Frankreich). Wie in der Standardfassung 2.0 laufen zwei Vorgänge über Unterauftragsverarbeiter, deren Verarbeitung nicht auf die EU beschränkt ist: die E-Mails an Nutzerkonten (Sendinblue SAS, Frankreich und Deutschland, für einzelne Zusatzdienste Unterauftragsverarbeiter außerhalb der EU) und die Antworten auf Nachforderungen samt Anhängen (AC PM LLC, USA, 45 Tage Vorhaltung). Alle sind in § 7 mit Sitz, Ort und Garantie benannt. Hinzu kommt allein der Versandvorgang über ein vom Verantwortlichen verbundenes Microsoft-Postfach: Für diesen Vorgang findet eine Übermittlung in die USA statt (§ 8).

§ 3 Daten und betroffene Personen

Kategorien personenbezogener Daten:

Betroffene Personen: Wohnungseigentümer, Mieter, Beiräte, Vertragspartner (z. B. Versicherer, Versorger, Dienstleister) sowie deren Ansprechpartner, soweit deren Daten in den Unterlagen enthalten sind; beim Versand zusätzlich die Empfänger der jeweiligen Nachricht.

§ 4 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit er nicht gesetzlich zu etwas anderem verpflichtet ist.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält.

(3) Das Einschalten des Microsoft-Versands durch den Verantwortlichen (§ 8) gilt als dokumentierte Weisung, Nachrichten über das verbundene Postfach zu versenden.

§ 5 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Es werden nur zur Vertraulichkeit verpflichtete Personen eingesetzt (Art. 28, 29, 32 Abs. 4 DSGVO).

(2) Datensicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.

(3) Unterstützung: Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12-23 DSGVO) sowie bei den Pflichten nach Art. 32-36 DSGVO.

(4) Datenschutzverletzungen werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet.

(5) Ansprechpartner beim Auftragsverarbeiter für Datenschutzfragen: ferenc@my-cortex.de.

§ 6 Rückgabe und Löschung

Nach Beendigung des Hauptvertrages werden die im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen zurückgegeben oder gelöscht, spätestens nach einer Karenzzeit von 90 Tagen; innerhalb dieser Frist ist ein Export möglich. Gesetzliche Aufbewahrungspflichten des Verantwortlichen bleiben unberührt und liegen beim Verantwortlichen. Bereits über das Postfach des Verantwortlichen versendete Nachrichten liegen in dessen eigenem Postfach und unterliegen dessen Kontrolle.

§ 7 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Dienstleister Zweck Ort Garantie
Mistral AI SAS KI-Modell / Textverarbeitung (LLM) EU (Frankreich) AVV nach Art. 28 DSGVO
Clever Cloud SAS Hosting / Infrastruktur (PaaS), Datenbanken, Storage EU (Frankreich) AVV nach Art. 28 DSGVO
Scaleway SAS
8 rue de la Ville l'Evêque, 75008 Paris, Frankreich		 KI-Modelle (LLM) für einzelne Prüfschritte der Auswertung, ergänzend oder als Alternative zu Mistral AI; Zwischenablage von Stapelaufträgen im Objektspeicher des Anbieters EU (Frankreich, Region Paris) AVV nach Art. 28 DSGVO
Sendinblue SAS (Marke „Brevo“)
Paris, Frankreich		 Versand von E-Mails an Nutzerkonten (Zugang einrichten, Passwort zurücksetzen). Keine Inhalte hochgeladener Unterlagen EU (Frankreich, Deutschland); für einzelne Zusatzdienste des Anbieters auch Drittland AVV nach Art. 28 DSGVO; für Unterauftragsverarbeiter außerhalb der EU EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
AC PM LLC (Postmark)
1 N Dearborn Street, Suite 500, Chicago, IL 60602, USA; Tochtergesellschaft der ActiveCampaign, LLC		 Entgegennahme von E-Mail-Antworten auf Nachforderungen an der Antwortadresse des Dienstes und Übergabe an den Dienst, einschließlich mitgesendeter Anhänge (nachgereichte Unterlagen) Drittland USA Data Processing Addendum des Anbieters mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)
Microsoft Ireland Operations Limited
One Microsoft Place, South County Business Park, Leopardstown,
Dublin 18, D18 P521, Irland
nebst verbundenen Unternehmen, insbesondere Microsoft Corporation, One Microsoft Way, Redmond, WA 98052, USA 		Versand der vom Verantwortlichen freigegebenen Nachrichten über dessen verbundenes Microsoft-Postfach (Microsoft-Graph-Schnittstelle, Mail.Send). Nur bei aktivem Opt-in (§ 8). EU (Irland) und Drittland USA Auftragsverarbeitungsbedingungen des Microsoft-DPA, einschließlich der darin einbezogenen EU-Standardvertragsklauseln; ergänzend Zertifizierung unter dem EU-U.S. Data Privacy Framework (§ 8 Abs. 3)

Vertragsbedingungen der Unterauftragsverarbeiter:

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Austausch von Unterauftragsverarbeitern) vorab; der Verantwortliche kann widersprechen (Art. 28 Abs. 2 DSGVO). Abweichend hiervon wird Microsoft nicht im Wege der Vorabinformation mit Widerspruchsrecht hinzugezogen, sondern ausschließlich durch die aktive Zustimmung des Verantwortlichen nach § 8 Abs. 1. Ohne diese Zustimmung wird Microsoft nicht eingesetzt.

§ 8 Optionaler Versand über ein verbundenes Microsoft-Postfach

(1) Zustimmung (Opt-in)

Der Versand über ein Microsoft-Postfach setzt voraus, dass der Verantwortliche sein eigenes Microsoft- bzw. Microsoft-365-Postfach in der Anwendung verbindet und dabei dieser Fassung ausdrücklich zustimmt. Die Zustimmung erfolgt aktiv (Bestätigung vor dem Verbinden); ohne sie wird der Verbindungsvorgang nicht gestartet und es findet kein Versand über Microsoft statt. Verantwortliche ohne Zustimmung bleiben vollständig unter der Standardfassung 2.0.

(2) Umfang der Übermittlung

An Microsoft übermittelt werden ausschließlich die Daten, die für den jeweiligen Versandvorgang erforderlich sind:

Nicht übermittelt werden die zur Analyse hochgeladenen Übernahmeunterlagen, die daraus gewonnenen Auswertungen und die in der Anwendung gespeicherten Projektdaten. Diese verbleiben vollständig in der EU (§ 2 Abs. 3).

(3) Drittlandübermittlung und Transfergrundlage

Microsoft ist ein Unternehmen mit Konzernsitz in den USA. Mit dem Versand über das verbundene Postfach findet für die in Absatz 2 genannten Daten eine Übermittlung in ein Drittland im Sinne der Art. 44 ff. DSGVO statt.

Die Übermittlung wird gestützt auf:

Der Auftragsverarbeiter überprüft in angemessenen Abständen, ob diese Grundlagen fortbestehen, und informiert den Verantwortlichen unverzüglich, wenn eine von ihnen entfällt. Entfallen sie sämtlich, wird der Microsoft-Versand ausgesetzt.

(4) Rollen und Abgrenzung

Beim Versand handelt der Auftragsverarbeiter weiterhin als Auftragsverarbeiter des Verantwortlichen: Er übergibt die vom Verantwortlichen freigegebene Nachricht an dessen eigenes Postfach zur Zustellung.

Das Verhältnis zwischen dem Verantwortlichen und Microsoft in Bezug auf das Postfach selbst (Bereitstellung, Speicherung im Postfach, Betrieb des Microsoft-365-Kontos) richtet sich ausschließlich nach dem eigenen Vertrag des Verantwortlichen mit Microsoft und ist nicht Gegenstand dieses Vertrages. Der Auftragsverarbeiter hat auf dieses Vertragsverhältnis keinen Einfluss und keinen Zugriff auf das Postfach über die Versandfunktion hinaus.

(5) Datensparsamkeit und Sicherheit

Es werden nur die für den Versand erforderlichen Berechtigungen angefordert (Senden im Namen des verbundenen Kontos). Zugangsdaten des Verantwortlichen werden nicht im Klartext gespeichert; die zur Erneuerung des Zugriffs erforderlichen Token werden verschlüsselt abgelegt (Anlage 1).

(6) Widerruf

Der Verantwortliche kann die Zustimmung jederzeit mit Wirkung für die Zukunft widerrufen, indem er die Postfach-Anbindung in der Anwendung trennt. Ab diesem Zeitpunkt findet kein Versand über Microsoft mehr statt und es gilt wieder die Standardfassung 2.0. Die Rechtmäßigkeit der bis zum Widerruf erfolgten Übermittlungen bleibt unberührt. Bereits versendete Nachrichten befinden sich im Postfach des Verantwortlichen und können vom Auftragsverarbeiter nicht zurückgeholt werden.

(7) Nachweis

Zustimmung und Widerruf werden mit Zeitpunkt, Fassungsbezeichnung und dem zum Zeitpunkt der Zustimmung geltenden Link zu dieser Fassung protokolliert und dem Verantwortlichen auf Anfrage nachgewiesen.

§ 9 Kontroll- und Nachweisrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), z. B. durch Bereitstellung der Dokumentation der technischen und organisatorischen Maßnahmen sowie der Nachweise nach § 8 Abs. 7.

§ 10 Haftung, Fassungen und Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie die Regelungen des Nutzungsvertrages.

(2) Bei Widerspruch zwischen diesem AVV und dem Nutzungsvertrag gehen in Bezug auf die Datenverarbeitung die Regelungen dieses AVV vor.

(3) Fassungen. Diese Fassung trägt die Bezeichnung microsoft-v1.2 und ist dauerhaft abrufbar unter https://staging.my-cortex.de/avv/microsoft/microsoft-v1.2. Sie löst die Fassung microsoft-v1.1 ab, die unter https://staging.my-cortex.de/avv/microsoft/microsoft-v1.1 abrufbar bleibt: Wer ihr zugestimmt hat, muss nachlesen können, was er gelesen hat. Geändert ist gegenüber ihr allein, was die Standardfassung 2.0 geändert hat (§ 1, § 2 Abs. 3, § 7). Sie gilt nur für Verantwortliche mit aktivem Opt-in nach § 8; im Übrigen gilt die Standardfassung 2.0 unter https://staging.my-cortex.de/avv/standard/2.0. Künftige Änderungen erhalten eine neue Fassungsbezeichnung; eine erteilte Zustimmung bezieht sich stets auf die zum Zeitpunkt der Zustimmung protokollierte Fassung.

(4) Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: September 2026 · Fassung microsoft-v1.2 · Gilt nur mit aktivem Opt-in; sonst gilt die Standardfassung 2.0.