Auftragsverarbeitungsvertrag (AVV)

Stand: Juli 2026

Dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO ist Bestandteil der AGB und gilt zwischen dem Kunden als Verantwortlichem und Core Industry als Auftragsverarbeiter. Ein gesondert unterzeichnetes Exemplar stellen wir auf Anfrage unter info@coreindustry.de bereit.

1. Vertragsparteien und Rollen

Verantwortlicherim Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde, der die Plattform Core Estate nutzt und darin personenbezogene Daten Dritter (z. B. Mieter, Eigentümer, Interessenten, Geschäftspartner) verarbeitet.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist:

Core Industry — Inhaber Isam Al-Ani
Max Schwarze Weg 27A, 46236 Bottrop, Deutschland
E-Mail: info@coreindustry.de · Telefon: +49 2041 3894257

2. Gegenstand und Dauer der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung des Dienstes Core Estate (Objektverwaltung, Kontakt-CRM, digitale Übergabeprotokolle, Rechnungsstellung, KI-Assistent „Corie“, KI-Redesigns). Die Verarbeitung erfolgt für die Dauer des Hauptvertrags (AGB); sie endet mit dessen Beendigung, vorbehaltlich gesetzlicher Aufbewahrungspflichten.

3. Art der Daten und Kategorien betroffener Personen

• Datenarten: Stammdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Vertrags- und Objektdaten, Rechnungs- und Provisionsdaten, Inhalte von Übergabeprotokollen, hochgeladene Dokumente und Fotos.
• Betroffene Personen: Mieter, Eigentümer, Kauf- und Mietinteressenten, Geschäftspartner sowie Mitarbeitende des Kunden.

4. Weisungsgebundenheit

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten die Nutzung der Plattform gemäß ihrer bestimmungsgemäßen Funktion sowie gesondert erteilte Weisungen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

5. Ort der Verarbeitung

Die Verarbeitung findet ausschließlich innerhalb der EU/des EWR statt (Firebase europe-west1, Belgien; Backup-Hosting Hetzner, Deutschland). Eine Übermittlung in Drittländer erfolgt nur, soweit für einzelne Sub-Prozessoren geeignete Garantien nach Art. 46 DSGVO (EU-Standardvertragsklauseln) bestehen (siehe Abschnitt 8).

6. Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung (TLS) für alle Verbindungen; Verschlüsselung ruhender Daten beim Cloud-Anbieter.
• Rollenbasierte Zugriffskontrolle und strikte Mandantentrennung (Firestore Security Rules) — jeder Kunde sieht ausschließlich seine eigenen Daten.
• Authentifizierung per E-Mail-/Magic-Link sowie Single-Sign-on (Apple, Google).
• Server-seitige Durchsetzung von Rollen-, Abo- und Wallet-Prüfungen (Cloud Functions).
• Fehler-Monitoring ohne personenbezogene Klartextdaten (keine Speicherung von IP-Adressen, E-Mails oder Chat-Inhalten im Logging).
• Regelmäßige Backups; Wiederherstellbarkeit der Verfügbarkeit nach Zwischenfällen.

7. Unterstützungs- und Meldepflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Wahrung der Betroffenenrechte (Art. 15–22 DSGVO), bei Datenschutz-Folgenabschätzungen (Art. 35) und bei der Meldung von Datenschutzverletzungen. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragsverarbeiter unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an info@coreindustry.de.

8. Genehmigte Sub-Auftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz der folgenden Sub-Prozessoren. Über den Wechsel oder die Hinzunahme weiterer Sub-Prozessoren wird der Verantwortliche vorab informiert und kann widersprechen.

9. Kontrollrechte des Verantwortlichen

Der Verantwortliche ist berechtigt, sich von der Einhaltung der technisch-organisatorischen Maßnahmen zu überzeugen. Der Auftragsverarbeiter erbringt den Nachweis vorrangig durch Bereitstellung geeigneter Dokumentation (u. a. dieser TOM-Übersicht und der Sub-Prozessor-Liste). Vor-Ort-Kontrollen sind nach vorheriger Terminabstimmung und ohne Beeinträchtigung des Betriebs möglich.

10. Rückgabe und Löschung nach Vertragsende

Nach Beendigung des Hauptvertrags kann der Verantwortliche seine Daten über die DATEV-CSV- und OpenImmo-XML-Exporte selbst herunterladen. Der Auftragsverarbeiter löscht die verarbeiteten Daten innerhalb von 90 Tagen nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht (Rechnungen 8 Jahre gem. § 147 AO, Übergabeprotokolle 3 Jahre).

11. Schlussbestimmungen

Bei Widerspruch zwischen diesem AVV und den AGB gehen im Hinblick auf den Datenschutz die Regelungen dieses AVV vor. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.