Oasify

Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden (nachfolgend "Verantwortlicher" oder "Auftraggeber")
und
Oasis Appart GmbH
Gustav-Becker-Straße 4
01979 Lauchhammer
Deutschland
E-Mail: info@oasify.de
(nachfolgend "Auftragsverarbeiter")

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der SaaS-Plattform "Oasify" (nachfolgend "Plattform"). Art, Umfang und Zweck der Datenverarbeitung ergeben sich aus dem zugrunde liegenden Nutzungsvertrag sowie aus diesem Auftragsverarbeitungsvertrag.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags zwischen Auftraggeber und Auftragsverarbeiter. Sie beginnt mit der Registrierung auf der Plattform und endet mit der vollständigen Löschung des Kundenkontos.

(3) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums, sofern in § 7 dieses Vertrags nichts anderes bestimmt ist.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt ausschließlich zur Erbringung der folgenden Leistungen:

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung sind folgende Kategorien personenbezogener Daten:

§ 4 Kategorien betroffener Personen

Von der Datenverarbeitung sind folgende Kategorien betroffener Personen betroffen:

§ 5 Pflichten des Auftragsverarbeiters

(1) Weisungsgebundenheit: Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Technische und organisatorische Maßnahmen: Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Die konkreten Maßnahmen sind in § 6 dieses Vertrags beschrieben.

(4) Unterauftragsverarbeiter: Der Auftragsverarbeiter nimmt keinen weiteren Auftragsverarbeiter ohne vorherige gesonderte oder allgemeine schriftliche Genehmigung des Verantwortlichen in Anspruch. Die derzeit eingesetzten Unterauftragsverarbeiter sind in § 7 aufgeführt. Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung für den Einsatz dieser Unterauftragsverarbeiter.

(5) Unterstützungspflicht: Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflichten gemäß Art. 12–22 DSGVO (Betroffenenrechte) sowie Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldepflichten, Datenschutz-Folgenabschätzung).

(6) Löschung: Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen und löscht vorhandene Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (siehe § 9).

(7) Nachweispflicht: Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht und trägt zu Überprüfungen einschließlich Inspektionen bei (siehe § 8).

(8) Meldepflicht bei Datenschutzverletzungen: Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Die Benachrichtigung erfolgt innerhalb von 24 Stunden nach Kenntniserlangung und enthält mindestens: Art der Verletzung, betroffene Datenkategorien, voraussichtliche Folgen und ergriffene Abhilfemaßnahmen.

§ 6 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter hat folgende technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO implementiert:

6.1 Verschlüsselung

6.2 Zugriffskontrolle

6.3 Pseudonymisierung

6.4 Verfügbarkeit und Belastbarkeit

6.5 Verfahren zur regelmäßigen Überprüfung

§ 7 Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt zur Erfüllung seiner vertraglichen Pflichten die folgenden Unterauftragsverarbeiter ein. Der Verantwortliche stimmt dem Einsatz dieser Unterauftragsverarbeiter zu:

7.1 Supabase Inc.

7.2 Vercel Inc.

7.3 Resend Inc.

7.4 Stripe Payments Europe Ltd. / Stripe Inc.

7.5 OCR- und KI-Verarbeitung (Microsoft Azure OpenAI EU; Fallback OpenAI)

Aktiver Auftragsverarbeiter seit 05.06.2026: Microsoft Ireland Operations Limited (Microsoft Azure OpenAI Service, EU):

Inaktiver technischer Fallback (OpenAI Ireland Limited): erhält im Regelbetrieb keine Daten und ist nur bei Ausfall des Azure-Dienstes konfigurativ aktivierbar. Vertragspartei OpenAI Ireland Limited (Dublin, Irland, EWR); Unterauftragsverarbeiter OpenAI OpCo, LLC (San Francisco, USA), abgesichert über OpenAI DPA v.010126 (19.04.2026, Contract-ID 5b42f56a-eda0-4c09-9182-391d9ba34be7) inkl. EU-SCCs und DPF. Subprozessoren unter platform.openai.com/subprocessors. Eine Aktivierung dieses Fallbacks würde hier aktualisiert und den Bestandskunden mitgeteilt.

7.6 Nuki Home Solutions GmbH

7.7 Smoobu GmbH

7.8 Functional Software Inc. (Sentry)

7.9 Meta Platforms Ireland Ltd. / Meta Platforms Inc. (optional)

7.10 Minut Inc. (optional)

7.11 Haufe-Lexware GmbH & Co. KG (lexoffice, optional)

7.12 sevDesk GmbH (optional)

7.13 Expo, Inc. (Mobile App Build, OTA, Push)

7.14 Anthropic, PBC

7.15 Slack Technologies LLC (optional)

Der Auftragsverarbeiter wird den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern per E-Mail informieren. Der Verantwortliche hat die Möglichkeit, gegen derartige Änderungen Einspruch zu erheben. Erhebt der Verantwortliche innerhalb von 14 Tagen nach Benachrichtigung keinen Einspruch, gilt die Zustimmung als erteilt.

7.16 Maschinenlesbare Liste

Die in § 7 aufgeführten Unterauftragsverarbeiter sind zusätzlich in einer maschinenlesbaren Form unter den folgenden URLs öffentlich abrufbar, geeignet für DSGVO-Audit-Tools, automatisierte Compliance-Reviews und interne Prüfprozesse des Verantwortlichen:

Die Liste enthält pro Unterauftragsverarbeiter: Bezeichnung, Standort, Datenkategorien, Übermittlungsmechanismus (EU-only / SCC / DPF), Verweis auf den jeweiligen Datenverarbeitungsvertrag des Anbieters sowie eine eindeutige ID. Sie ist via Schema- und Inhaltsversion (`spec`, `version`) eindeutig referenzierbar.

§ 8 Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, die Einhaltung der Bestimmungen dieses Vertrags und der DSGVO durch den Auftragsverarbeiter zu überprüfen. Dies kann durch Selbstauskünfte, Vorlage von Zertifizierungen oder Audits vor Ort erfolgen.

(2) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem Vertrag und Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(3) Inspektionen und Audits vor Ort werden mit einer angemessenen Vorankündigungsfrist von mindestens 14 Werktagen durchgeführt. Der Auftragsverarbeiter kann verlangen, dass Audits von einem unabhängigen, vom Verantwortlichen beauftragten und vom Auftragsverarbeiter akzeptierten Prüfer durchgeführt werden.

(4) Die Kosten einer Überprüfung trägt der Verantwortliche, es sei denn, die Überprüfung ergibt wesentliche Verstöße des Auftragsverarbeiters gegen diesen Vertrag.

§ 9 Löschung und Rückgabe personenbezogener Daten

(1) Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht gesetzliche Aufbewahrungspflichten bestehen. Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende. Während dieser Frist kann der Verantwortliche seine Daten exportieren.

(2) Der Verantwortliche kann vor Vertragsende die Herausgabe aller im Auftrag verarbeiteten Daten in einem gängigen, maschinenlesbaren Format verlangen (JSON, CSV). Der Auftragsverarbeiter stellt hierfür eine Export-Funktion über die Plattform bereit.

(3) Gespeicherte Ausweisdokumente werden gemäß der konfigurierbaren Datenaufbewahrungsfrist (Standard: 14 Tage nach Checkout) automatisch gelöscht. Der Verantwortliche kann diese Frist in den Plattform-Einstellungen anpassen.

(4) Rechnungsdaten werden nach Ablauf der steuerrechtlichen Aufbewahrungsfrist (8 Jahre gemäß § 257 HGB, § 147 AO) pseudonymisiert. Personenbezogene Daten werden entfernt, Rechnungsnummern und Beträge bleiben erhalten (GoBD-Konformität).

(5) Die Löschung wird dem Verantwortlichen auf Anfrage schriftlich bestätigt.

§ 10 Haftung

(1) Die Haftung der Vertragsparteien richtet sich nach den gesetzlichen Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO.

(2) Der Auftragsverarbeiter haftet für Schäden, die durch eine nicht den Vorgaben der DSGVO entsprechende Verarbeitung oder durch ein Handeln entgegen den rechtmäßigen Weisungen des Verantwortlichen verursacht wurden.

(3) Der Auftragsverarbeiter wird von der Haftung befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

(4) Im Innenverhältnis zwischen Verantwortlichem und Auftragsverarbeiter haftet jede Partei für den Anteil des Schadens, der ihrem jeweiligen Verantwortungsbereich zuzurechnen ist.

§ 11 Schlussbestimmungen

(1) Dieser Auftragsverarbeitungsvertrag unterliegt dem Recht der Bundesrepublik Deutschland.

(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt. Die unwirksame Bestimmung ist durch eine Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(3) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform (§ 126b BGB). Dies gilt auch für die Änderung dieser Formklausel.

(4) Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Cottbus, Deutschland.

(5) Dieser Auftragsverarbeitungsvertrag tritt mit der Registrierung des Verantwortlichen auf der Plattform in Kraft und gilt für die gesamte Dauer der Nutzung der Plattform.

Stand: November 2026
Oasis Appart GmbH, Gustav-Becker-Straße 4, 01979 Lauchhammer, Deutschland