Allgemeine Geschäftsbedingungen für Geschäftskunden

(1) Diese AGB gelten für alle Verträge zwischen Firas Yakoub, Taborstraße 6, c/o Zenker, 10997 Berlin (nachfolgend „Anbieter") und Unternehmern im Sinne des § 14 BGB, juristischen Personen des öffentlichen Rechts oder öffentlich-rechtlichen Sondervermögen (nachfolgend „Kunde") über die Nutzung des Dienstes WohnAutopilot (nachfolgend „Dienst").

(2) Der Vertrag richtet sich nicht an Verbraucher. Ein Widerrufsrecht besteht nicht; die Vorschriften über Fernabsatzverträge mit Verbrauchern finden keine Anwendung. Die Pflichten aus § 312i Abs. 1 Satz 1 Nr. 1 bis 3 und Satz 2 BGB werden gemäß § 312i Abs. 2 BGB abbedungen.

(3) Abweichende, entgegenstehende oder ergänzende Geschäftsbedingungen des Kunden werden nicht Vertragsbestandteil, auch wenn der Anbieter ihnen nicht gesondert widerspricht oder die Leistung in Kenntnis dieser Bedingungen vorbehaltlos erbringt.

(4) „Endnutzer" sind natürliche Personen, die der Kunde im Dienst anlegt oder importiert und für die der Dienst Wohnungsangebote überwacht und Bewerbungen übermittelt. Endnutzer sind nicht Vertragspartner des Anbieters.

(1) Der Anbieter stellt dem Kunden eine Software as a Service zur Verfügung, die öffentlich zugängliche Wohnungsangebote Berliner Anbieter automatisiert überwacht, diese mit den vom Kunden hinterlegten Suchkriterien seiner Endnutzer abgleicht und im Namen der jeweiligen Endnutzer Bewerbungen übermittelt.

(2) Der Kunde kann Endnutzer anlegen, deren Profil- und Suchdaten pflegen, Endnutzer per Datei-Import übernehmen und den Status übermittelter Bewerbungen einsehen.

(3) Die Leistung des Anbieters ist eine Dienstleistung, kein Werkerfolg. Der Anbieter schuldet insbesondere nicht die Erlangung eines Besichtigungstermins, eines Mietvertrages oder einer Wohnung. Der Anbieter hat keinen Einfluss auf Verfügbarkeit, Vollständigkeit oder Richtigkeit der Angebote der überwachten Anbieter und darauf, ob und wie diese auf Bewerbungen reagieren.

(4) Der Anbieter erbringt keine Wohnungsvermittlung im Sinne des Wohnungsvermittlungsgesetzes und keine Rechts-, Steuer- oder Mietberatung.

(1) Der Vertrag kommt mit Freischaltung des Geschäftskundenkontos durch den Anbieter oder mit Beginn der Leistungserbringung zustande.

(2) Der Kunde hat bei der Registrierung vollständige und zutreffende Angaben zu machen und Änderungen unverzüglich mitzuteilen.

(3) Der Kunde hat Zugangsdaten geheim zu halten und vor dem Zugriff Dritter zu schützen. Der Kunde teilt dem Anbieter unverzüglich mit, wenn Anhaltspunkte für einen Missbrauch bestehen. Der Kunde ist für alle Handlungen verantwortlich, die über sein Konto vorgenommen werden.

(1) Der Umfang der Nutzung richtet sich nach dem gebuchten Tarif, insbesondere nach der Höchstzahl gleichzeitig aktiver Endnutzer.

(2) Wird das Kontingent überschritten, kann der Anbieter das Anlegen weiterer Endnutzer sperren oder — nach vorheriger Mitteilung in Textform — auf den nächsthöheren Tarif umstellen.

(3) Ein Wechsel in einen höheren Tarif ist jederzeit möglich und wird sofort wirksam; ein Wechsel in einen niedrigeren Tarif wird zum Ende der laufenden Abrechnungsperiode wirksam.

(1) Der Kunde sichert zu, dass er für jeden Endnutzer über eine wirksame Rechtsgrundlage zur Verarbeitung und Übermittlung von dessen personenbezogenen Daten an den Anbieter verfügt.

(2) Der Kunde sichert zu, dass er von jedem Endnutzer eine wirksame Bevollmächtigung eingeholt hat, in dessen Namen Wohnungsbewerbungen abzugeben. Ohne diese Bevollmächtigung darf der Kunde den Endnutzer nicht anlegen.

(3) Werden Daten besonderer Kategorien im Sinne des Art. 9 DSGVO verarbeitet — insbesondere Angaben zu einem besonderen Wohnbedarf, die Rückschlüsse auf Gesundheitsdaten zulassen — sichert der Kunde zu, hierfür die ausdrückliche Einwilligung des Endnutzers nach Art. 9 Abs. 2 lit. a DSGVO eingeholt zu haben und diese nachweisen zu können.

(3a) Wird die Einwilligung nach Absatz 3 in Papierform eingeholt, obliegt dem Kunden die Aufbewahrung des unterzeichneten Originals. Der Kunde bewahrt die Formulare gegen unbefugten Zugriff gesichert auf, löscht bzw. vernichtet sie datenschutzgerecht nach Wegfall des Zwecks und legt sie auf Verlangen der Aufsichtsbehörde oder des Endnutzers vor. Die Nachweispflicht nach Art. 7 Abs. 1 DSGVO trägt ausschließlich der Kunde; der Anbieter speichert lediglich das Datum, die Fassung des verwendeten Formulars und das erfassende Kundenkonto.

(3b) Der Kunde stellt sicher, dass der Endnutzer die Einwilligungserklärung sprachlich versteht. Der Anbieter stellt ein Muster in deutscher Sprache bereit; verstehen Endnutzer diese Sprache nicht hinreichend, hat der Kunde für eine Übersetzung oder eine anderweitig nachweisbar informierte Einwilligung zu sorgen.

(3c) Der Kunde stellt sicher, dass der Endnutzer seine Einwilligung jederzeit ebenso einfach widerrufen kann, wie er sie erteilt hat (Art. 7 Abs. 3 DSGVO), und teilt dem Anbieter einen Widerruf unverzüglich mit.

(4) Der Kunde erfüllt gegenüber seinen Endnutzern die Informationspflichten nach Art. 13 und Art. 14 DSGVO, einschließlich der Information über die Einschaltung des Anbieters als Auftragsverarbeiter.

(5) Der Kunde sichert zu, über sämtliche für seine eigene Tätigkeit erforderlichen Erlaubnisse zu verfügen, insbesondere — soweit einschlägig — über eine Erlaubnis nach § 34c GewO, und die Vorgaben des Wohnungsvermittlungsgesetzes einzuhalten.

(6) Der Kunde wird den Dienst nicht missbräuchlich nutzen, insbesondere keine Endnutzer ohne deren Kenntnis anlegen, keine unzutreffenden Angaben zu Endnutzern hinterlegen und keine automatisierten Zugriffe außerhalb der bereitgestellten Schnittstellen vornehmen.

(1) Die Vergütung richtet sich nach dem bei Vertragsschluss gültigen Tarif. Sie ist im Voraus für die jeweilige Abrechnungsperiode fällig.

(2) Der Anbieter ist Kleinunternehmer im Sinne des § 19 Abs. 1 UStG; Umsatzsteuer wird nicht ausgewiesen. Entfällt die Kleinunternehmereigenschaft, wird die gesetzliche Umsatzsteuer zusätzlich ausgewiesen und geschuldet; der Anbieter zeigt dies vorab in Textform an.

(3) Die Zahlungsabwicklung erfolgt über den in § 13 genannten Zahlungsdienstleister. Bei Zahlungsverzug kann der Anbieter den Zugang nach vorheriger Mahnung und angemessener Fristsetzung sperren; die Vergütungspflicht bleibt bestehen.

(4) Der Anbieter kann die Vergütung mit einer Frist von sechs Wochen zum Ende einer Abrechnungsperiode in Textform ändern. Dem Kunden steht in diesem Fall ein Sonderkündigungsrecht zum Wirksamwerden der Änderung zu.

(1) Der Vertrag läuft auf unbestimmte Zeit und kann von beiden Seiten mit einer Frist von einem Monat zum Ende der jeweiligen Abrechnungsperiode in Textform gekündigt werden.

(2) Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund liegt für den Anbieter insbesondere vor, wenn der Kunde gegen § 5 verstößt.

(3) Nach Vertragsende verfährt der Anbieter mit den Daten der Endnutzer nach Ziffer 10 der Anlage 1.

(1) Der Anbieter bemüht sich um eine hohe Verfügbarkeit, schuldet diese jedoch nicht in einem bestimmten Umfang. Eine Verfügbarkeitszusage (SLA) besteht nicht.

(2) Wartungsarbeiten und Störungen bei überwachten Anbietern, Hosting- oder Kommunikationsdienstleistern können zu vorübergehenden Einschränkungen führen.

(3) Der Anbieter darf den Dienst weiterentwickeln und einzelne Funktionen ändern oder einstellen, soweit der Vertragszweck nicht gefährdet wird und dies für den Kunden zumutbar ist. Wesentliche Einschränkungen zeigt der Anbieter mit angemessener Frist in Textform an.

Der Kunde erhält für die Vertragslaufzeit ein einfaches, nicht übertragbares und nicht unterlizenzierbares Recht, den Dienst im vertraglich vereinbarten Umfang für eigene geschäftliche Zwecke zu nutzen. Eine Weitergabe des Zugangs an Dritte, die nicht Endnutzer im Sinne des § 1 Abs. 4 sind, ist unzulässig.

(1) Der Anbieter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei arglistig verschwiegenen Mängeln, im Rahmen einer übernommenen Garantie sowie bei der Verletzung des Lebens, des Körpers oder der Gesundheit und nach dem Produkthaftungsgesetz.

(2) Bei leicht fahrlässiger Verletzung einer wesentlichen Vertragspflicht (Kardinalpflicht) ist die Haftung auf den bei Vertragsschluss vorhersehbaren, vertragstypischen Schaden begrenzt, höchstens jedoch auf die vom Kunden in den zwölf Monaten vor dem schadensauslösenden Ereignis gezahlte Vergütung.

(3) Im Übrigen ist die Haftung ausgeschlossen, insbesondere für entgangenen Gewinn und mittelbare Schäden.

(4) Der Anbieter haftet nicht dafür, dass eine Bewerbung zu einer Besichtigung oder zu einem Mietvertrag führt, dass überwachte Anbieter erreichbar sind oder dass deren Angaben zutreffen.

(5) Die vorstehenden Beschränkungen gelten nicht für Ansprüche nach Art. 82 DSGVO; insoweit gilt Ziffer 11 der Anlage 1.

Der Kunde stellt den Anbieter von sämtlichen Ansprüchen Dritter — insbesondere von Endnutzern, Vermietern und Aufsichtsbehörden — frei, die darauf beruhen, dass der Kunde seine Pflichten oder Zusicherungen aus § 5 verletzt hat. Der Kunde trägt insoweit auch die Kosten einer angemessenen Rechtsverteidigung.

Beide Parteien behandeln vertrauliche Informationen der jeweils anderen Partei vertraulich und nutzen sie nur zur Vertragsdurchführung. Die Pflicht besteht für die Dauer des Vertrages und drei Jahre darüber hinaus fort. Ausgenommen sind Informationen, die offenkundig sind, unabhängig entwickelt wurden oder aufgrund Gesetzes oder behördlicher Anordnung offenzulegen sind.

(1) Verarbeitet der Anbieter personenbezogene Daten von Endnutzern im Auftrag des Kunden, gilt ergänzend der Auftragsverarbeitungsvertrag in Anlage 1, der mit diesen AGB geschlossen wird. Eine gesonderte Unterzeichnung ist nicht erforderlich.

(2) Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Daten der Endnutzer ist der Kunde.

(3) Für die Verarbeitung der Daten des Kunden selbst — Bestands-, Vertrags- und Abrechnungsdaten — ist der Anbieter Verantwortlicher; es gilt die Datenschutzerklärung.

Der Anbieter kann diese AGB mit einer Frist von sechs Wochen in Textform ändern. Widerspricht der Kunde nicht bis zum Wirksamwerden, gelten die Änderungen als angenommen; auf diese Folge weist der Anbieter in der Änderungsmitteilung gesondert hin. Im Falle des Widerspruchs kann jede Partei den Vertrag zum Wirksamwerden der Änderung kündigen.

(1) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts.

(2) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist Berlin, soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

(3) Änderungen und Ergänzungen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.

(4) Der Kunde kann Rechte aus diesem Vertrag nur mit vorheriger Zustimmung des Anbieters auf Dritte übertragen.

(5) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Gegenstand ist die Verarbeitung personenbezogener Daten der Endnutzer durch den Anbieter zur Erbringung der in § 2 der AGB beschriebenen Leistungen. Die Dauer entspricht der Laufzeit des Hauptvertrages.

Zweck: Überwachung von Wohnungsangeboten, Abgleich mit den Suchkriterien der Endnutzer und Übermittlung von Bewerbungen im Namen der Endnutzer.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an die jeweiligen Wohnungsanbieter, Löschen.

Datenarten: Stammdaten (Name, Anschrift, Geburtsdatum), Kontaktdaten (E-Mail, Telefonnummer), Suchkriterien und Wohnungspräferenzen, Angaben zu Haushalt und Einkommen, WBS-Angaben, Bewerbungs- und Protokolldaten. Sofern der Kunde Angaben zu einem besonderen Wohnbedarf hinterlegt, können hiervon Daten besonderer Kategorien nach Art. 9 DSGVO umfasst sein.

Betroffene Personen: die vom Kunden angelegten Endnutzer.

(1) Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Nutzung der Funktionen des Dienstes durch den Kunden gilt als Weisung; weitere Weisungen erfolgen in Textform.

(2) Der Anbieter informiert den Kunden unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Der Anbieter darf die Ausführung bis zur Bestätigung durch den Kunden aussetzen.

(3) Ist der Anbieter aufgrund Unionsrechts oder mitgliedstaatlichen Rechts zur Verarbeitung verpflichtet, informiert er den Kunden vor der Verarbeitung, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(1) Der Anbieter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 2.

(3) Der Anbieter unterstützt den Kunden im Rahmen des Zumutbaren bei der Erfüllung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und Meldepflichten.

(4) Der Anbieter stellt dem Kunden auf Anforderung die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung.

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Betroffenenrechte verantwortlich. Er erteilt Weisungen ausschließlich über die benannten Ansprechpartner und informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Ergebnisse feststellt.

(1) Der Kunde erteilt dem Anbieter die allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen.

(2) Der Anbieter informiert den Kunden mindestens vier Wochen vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Der Kunde kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Falle eines berechtigten Widerspruchs, dem nicht abgeholfen werden kann, steht dem Kunden ein Sonderkündigungsrecht zu.

(3) Der Anbieter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

(4) Nebenleistungen wie Telekommunikations-, Post- und Transportdienste sowie reine Wartungs- und Prüfleistungen gelten nicht als Unterauftragsverarbeitung.

(1) Der Anbieter verarbeitet die Daten zur Erbringung und Absicherung des Dienstes, insbesondere zur Protokollierung von Fehlern, zur Überwachung des Betriebs, zur Störungsbeseitigung und zur Erfüllung der Pflichten aus Art. 32 DSGVO. Diese Verarbeitung erfolgt zur Vertragsdurchführung und begründet keinen eigenen Zweck des Anbieters.

(2) Protokolldaten enthalten grundsätzlich nur technische Kennungen (insbesondere interne Nutzer- und Angebotskennungen, Zeitpunkte, Fehlercodes), nicht jedoch Klardaten wie Namen, Kontaktdaten oder Angaben zu Einkommen oder Gesundheit. Protokolldaten werden nach 90 Tagen gelöscht, sofern sie nicht zur Aufklärung eines konkreten Vorfalls weiter benötigt werden.

(3) Der Kunde weist den Anbieter an, aggregierte und nicht personenbezogene Statistiken (z. B. Fehlerquoten je Wohnungsanbieter, Laufzeiten, Trefferzahlen) zur Überwachung, Fehlerbehebung und Verbesserung des Dienstes zu bilden und zu nutzen. Ein Personenbezug darf hierbei nicht wiederhergestellt werden können.

(4) Eine Nutzung der Daten für eigene Zwecke des Anbieters — insbesondere für Werbung, für die Bildung von Profilen über Endnutzer, für kundenübergreifende Auswertungen mit Personenbezug oder für eine Weitergabe an Dritte zu deren eigenen Zwecken — findet nicht statt.

Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst.

Der Anbieter meldet dem Kunden jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, und stellt die zur Erfüllung der Art. 33 und 34 DSGVO erforderlichen Informationen bereit. Die Meldung an die Aufsichtsbehörde obliegt dem Kunden.

(1) Der Kunde hat das Recht, die Einhaltung dieses Vertrages zu überprüfen. Der Nachweis erfolgt vorrangig durch Selbstauskunft, aktuelle Testate oder Berichte.

(2) Genügen diese nicht, kann der Kunde nach rechtzeitiger Ankündigung von in der Regel vier Wochen während der üblichen Geschäftszeiten eine Vor-Ort-Kontrolle durchführen, höchstens einmal jährlich und ohne Störung des Betriebsablaufs. Bei konkretem Anlass ist eine kurzfristigere Kontrolle zulässig.

(3) Der Anbieter kann einen angemessenen Aufwandsersatz verlangen, sofern die Kontrolle über den gesetzlich geschuldeten Umfang hinausgeht.

(1) Nach Beendigung des Hauptvertrages löscht der Anbieter die im Auftrag verarbeiteten Daten binnen 30 Tagen oder gibt sie nach Wahl des Kunden heraus, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Der Kunde kann die Daten bis zum Ablauf dieser Frist exportieren. Gesetzliche Aufbewahrungsfristen bleiben unberührt; insoweit werden die Daten in der Verarbeitung eingeschränkt.

(2) Während der Vertragslaufzeit legt der Kunde im Kundenbereich eine Aufbewahrungsdauer zwischen 6 und 36 Monaten fest (Voreinstellung: 24 Monate). Diese Festlegung ist eine dokumentierte Weisung im Sinne des Art. 28 Abs. 3 lit. a DSGVO. Der Anbieter löscht Endnutzerdatensätze, die während dieser Dauer keine Aktivität aufweisen, vollständig; eine Anonymisierung erfolgt nicht. Maßgeblich für den Fristbeginn ist die letzte Aktivität — Anlage des Datensatzes, letzter Treffer oder letzte Bewerbung —, damit laufende Wohnungssuchen nicht vorzeitig beendet werden.

Für die Haftung im Verhältnis der Parteien gilt Art. 82 DSGVO. Die Haftungsbeschränkungen des § 10 der AGB gelten insoweit nicht.

Eine Verarbeitung außerhalb der EU/des EWR findet nur statt, soweit in Anlage 3 angegeben, und nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO (Standardvertragsklauseln) nebst erforderlicher zusätzlicher Maßnahmen.

Zutrittskontrolle: Die Server werden in zertifizierten Rechenzentren eines Auftragsverarbeiters (Region Frankfurt am Main) betrieben. Der Anbieter selbst unterhält keine eigenen Serverräume.

Zugangskontrolle: Authentifizierung der Endnutzer und Geschäftskunden über einen Identitätsdienst; administrativer Zugang zu den Systemen ausschließlich über SSH mit Public-Key-Verfahren, kein Passwort-Login, kein Root-Login. Zugang zum Verwaltungsbereich ist gesondert geschützt.

Zugriffskontrolle: Rollentrennung zwischen Endnutzern, Geschäftskunden und Administration. Ein Geschäftskunde kann ausschließlich auf die von ihm angelegten Endnutzer zugreifen. Die Anwendung läuft in Containern ohne Root-Rechte.

Trennungskontrolle: Datensätze der Endnutzer sind ihrem Geschäftskunden über eine Mandantenkennung zugeordnet; Abfragen sind serverseitig auf diese Kennung eingeschränkt. Produktiv- und Entwicklungsumgebung sind getrennt.

Pseudonymisierung und Verschlüsselung: Transportverschlüsselung (TLS) für sämtliche Verbindungen, Verschlüsselung der Datenbank im Ruhezustand, Zugangsdaten und Schlüssel ausschließlich in serverseitigen Umgebungsvariablen.

Weitergabekontrolle: Übermittlung an Wohnungsanbieter, Mail- und Zahlungsdienstleister ausschließlich über TLS-gesicherte Verbindungen.

Eingabekontrolle: Protokollierung der übermittelten Bewerbungen mit Zeitpunkt und Auslöser sowie der automatisierten Verarbeitungsentscheidungen, sodass nachvollziehbar bleibt, welche Bewerbung wann und aufgrund welcher Kriterien abgesendet wurde.

Automatisierte tägliche Sicherungen der Datenbank durch den Hosting-Auftragsverarbeiter mit Point-in-Time-Recovery; regelmäßige Prüfung der Wiederherstellbarkeit. Automatischer Neustart der Dienste im Fehlerfall. Verschlüsselte Verbindungen über einen vorgelagerten Reverse Proxy mit automatisierter Zertifikatserneuerung.

Dokumentiertes Verfahren zur Meldung von Datenschutzverletzungen (Art. 33/34 DSGVO), Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO), Datenschutz-Folgenabschätzung (Art. 35 DSGVO), Auftragsverarbeitungsverträge mit allen Dienstleistern, Löschkonzept mit definierten Aufbewahrungsfristen sowie datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO), insbesondere die Deaktivierung der automatisierten Bewerbung als Standard.