Auftragsverarbeitungsvertrag

Version 2026-10-draft · zuletzt aktualisiert: 27 Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Kot360-Bedingungen zwischen dem Vermieter, der Kot360 nutzt („Sie“, der Verantwortliche), und Ulixes Consulting GmbH, Elegemstraat 186, 1700 Dilbeek, Unternehmensnummer 0795.420.685 („Kot360“, der Auftragsverarbeiter). Er legt die Verpflichtungen fest, die Artikel 28 der DSGVO (Datenschutz-Grundverordnung, Verordnung (EU) 2016/679) vorschreibt. Sie akzeptieren ihn, wenn Sie Ihr Vermieterkonto einrichten.

1. Gegenstand, Dauer und Zweck

• Gegenstand: Kot360 verarbeitet personenbezogene Daten in Ihrem Auftrag, um die Kot360-Dienste zu erbringen, die Sie nutzen: Marktplatz und Vermieterseite, Besichtigungen, Bewerbungen und Wartelisten, Studentenakten, Mietverträge und Unterschriften, Miete, Bankverbindung, Kautionen, Reparaturen, Bestandsaufnahmen und die Studenten-App.
• Dauer: solange Sie Kot360 nutzen, und danach so lange, wie es zum Löschen oder Zurückgeben der Daten erforderlich ist (Artikel 9).
• Art: Speichern, Ordnen, Anzeigen, Versenden (E-Mail und Push), Erstellen von Dokumenten, Abgleich von Banktransaktionen mit der Miete und Löschen von Daten.

2. Betroffene Personen und Daten

Kot360 verarbeitet für Sie keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO). Tragen Sie solche Daten (zum Beispiel Gesundheitsdaten) nicht in Freitextfelder ein.

3. Ihre Weisungen

Kot360 verarbeitet die Daten nur auf Ihre dokumentierten Weisungen: diese Bedingungen, diesen AVV sowie die Einstellungen und Aktionen, die Sie in Kot360 vornehmen. Ist Kot360 gesetzlich verpflichtet, Daten anders zu verarbeiten, informieren wir Sie vorher, es sei denn, das Gesetz verbietet dies. Wir teilen Ihnen mit, wenn wir der Auffassung sind, dass eine Weisung gegen Datenschutzrecht verstößt.

4. Vertraulichkeit

Alle Personen bei Kot360, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Mitarbeiter greifen nur auf Ihr Konto zu, um den Dienst zu erbringen oder zu unterstützen; jede Support-Sitzung wird protokolliert.

5. Sicherheit (Artikel 32 DSGVO)

Kot360 trifft geeignete technische und organisatorische Maßnahmen, darunter:

• Verschlüsselung bei der Übertragung (HTTPS) und verschlüsselte Speicherung von Nationalregisternummern, Kontonummern und Bankzugangstokens;
• Trennung der Vermieter, die in der Datenbank selbst durchgesetzt wird (Row-Level Security);
• rollenbasierter Zugriff für Ihre Teammitglieder sowie eine separate Anmeldung mit verpflichtender Zwei-Faktor-Authentifizierung für Mitarbeiter von Kot360;
• ein Audit-Protokoll wichtiger Aktionen, das 12 Monate aufbewahrt wird;
• tägliche Sicherungskopien in der EU;
• automatische Löschung von Gastdaten, die nie zu einem Kontakt geführt haben, 12 Monate nach der letzten Aktivität.

6. Unterauftragsverarbeiter

Sie erteilen Kot360 eine allgemeine Genehmigung, die folgenden Unterauftragsverarbeiter einzusetzen. Kot360 erlegt ihnen vertraglich dieselben Datenschutzpflichten auf und bleibt für sie verantwortlich.

Wir informieren Sie mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen. Sie können aus berechtigten datenschutzrechtlichen Gründen widersprechen; wenn wir keine Lösung finden, können Sie den Vertrag beenden, bevor die Änderung gilt.

7. Übermittlungen außerhalb des EWR

Kot360 übermittelt personenbezogene Daten nur dann außerhalb des Europäischen Wirtschaftsraums, wenn ein Angemessenheitsbeschluss gilt (zum Beispiel für das Vereinigte Königreich) oder geeignete Garantien bestehen, etwa der EU-US-Datenschutzrahmen (Data Privacy Framework) oder die Standardvertragsklauseln der Europäischen Kommission.

8. Unterstützung

Kot360 unterstützt Sie, soweit vernünftigerweise möglich:

• bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) – Kot360 leitet Anfragen zu Ihren Daten, die bei uns eingehen, unverzüglich an Sie weiter;
• bei Sicherheit, Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Behörde (Artikel 32 bis 36 DSGVO).

Datenschutzverletzungen: Kot360 informiert Sie unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Ihre Daten betrifft, mit den Informationen, die Sie benötigen, um die Datenschutzbehörde innerhalb von 72 Stunden zu benachrichtigen.

9. Ende des Vertrags

Wenn Sie die Nutzung von Kot360 beenden, löscht Kot360 die personenbezogenen Daten, die es für Sie verarbeitet hat, innerhalb von [DELETION DAYS] Tagen oder gibt sie Ihnen vorher zurück, wenn Sie dies vor dem Ende verlangen, sofern das Gesetz Kot360 nicht zur Aufbewahrung verpflichtet. Sicherungskopien werden in ihrem normalen Zyklus überschrieben.

10. Audits

Kot360 stellt Ihnen die Informationen zur Verfügung, die Sie benötigen, um die Einhaltung von Artikel 28 DSGVO nachzuweisen, und ermöglicht Audits durch Sie oder einen von Ihnen beauftragten, zur Vertraulichkeit verpflichteten Prüfer, mit einer Vorankündigung von mindestens 30 Tagen und höchstens einmal pro Jahr, außer bei einer Datenschutzverletzung oder auf Verlangen der Behörde. Sie tragen die Kosten des Audits.

11. Haftung und anwendbares Recht

Es gelten die Haftungsregeln der Kot360-Bedingungen. Dieser AVV unterliegt belgischem Recht. Widersprechen sich dieser AVV und die Bedingungen in Fragen des Datenschutzes, hat dieser AVV Vorrang.