Auftragsverarbeitung

Vertragsparteien

Dieser Vertrag gilt zwischen dem Kunden von REALONAUT 360 („Verantwortlicher“) und der REALONAUT GmbH, Feldgasse 12, 1080 Wien, FN 467668y, Handelsgericht Wien, UID ATU72214846 („Auftragsverarbeiter“). Er ergänzt den Vertrag über die Nutzung von REALONAUT 360 nach Teil B der AGB von REALONAUT („Hauptvertrag“).

Vertrag

1 Gegenstand, Abschluss und Dauer

1.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit dieser die Plattform REALONAUT 360 nutzt, um virtuelle Rundgänge anzulegen, zu veröffentlichen, zu teilen und einzubetten.

1.2 Der Vertrag wird mit der Annahme der AGB bei der Registrierung geschlossen; der Verantwortliche bestätigt ihn mit dem Pflicht-Häkchen, das auch die Unternehmereigenschaft und die AGB umfasst. Für Kunden, die vor dem 17.10.2026 einen Vertrag über REALONAUT 360 geschlossen haben, gilt er ab ihrer Zustimmung, insbesondere mit dem Häkchen, das der Owner oder ein Admin der Firma beim ersten Anmelden auf der neuen Plattform einmal für die Firma setzt.

1.3 Der Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus, bis alle Daten nach Punkt 10 gelöscht sind.

2 Art und Zweck der Verarbeitung

2.1 Art der Verarbeitung: Speichern, technisches Aufbereiten (z. B. Kacheln, Vorschaubilder, Größenanpassung, Bearbeiten von Bildern im Editor, Unkenntlichmachen von Bereichen auf Anweisung), Bereitstellen und öffentliches Zugänglichmachen von Rundgängen auf Anweisung des Verantwortlichen, Auswertung der Aufrufe ohne Cookies und ohne Speicherung von IP-Adressen, Sicherung und Löschung.

2.2 Zweck: Erstellung, Veröffentlichung und Einbettung von 360-Grad-Rundgängen, vor allem für die Vermarktung von Immobilien, und Auswertung, wie oft und wie lange sie angesehen werden.

3 Kategorien der Daten und der Betroffenen

3.1 Kategorien der Daten:

• Bilddaten: 360-Grad-Panoramen, Detailfotos und Grundrisse der Immobilien mit ihren Metadaten (einschließlich Aufnahmeort); auf Bildern können Personen, Gegenstände oder Dokumente erkennbar sein.
• Stammdaten: Angaben zum Objekt, die der Verantwortliche einträgt (z. B. Titel, Adresse, Objektnummer, Eckdaten wie Kauf oder Miete, Preis, Wohnfläche, Zimmer), Name, Titel und Profilbild der betreuenden Mitarbeiter, Name und Logo der Firma, soweit sie im Rundgang erscheinen.
• Kommunikationsdaten: Telefonnummern und E-Mail-Adressen der Mitarbeiter und der Firma, die im Rundgang für Anfragen gezeigt werden.
• Protokolldaten: technische Zugriffsdaten beim Aufruf eines Rundgangs (z. B. IP-Adresse zur Auslieferung, Zeitpunkt, Browserkennung, einbettende Website) und daraus gebildete Aufrufstatistiken; IP-Adressen werden für die Statistik nicht gespeichert.

3.2 Kategorien der Betroffenen:

• Kunden und deren Mitarbeiter, soweit ihre Daten in Rundgängen erscheinen;
• Besucher der veröffentlichten Rundgänge;
• auf Fotos abgebildete Personen;
• Eigentümer, Mieter und Bewohner der gezeigten Immobilien.

3.3 Nicht Gegenstand dieses Vertrags sind Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet, insbesondere Konten und Anmeldung der Nutzer, Vertrags-, Zahlungs- und Rechnungsdaten, Support-Anfragen, das Protokoll wichtiger Änderungen und Server-Protokolle zur Sicherheit des Betriebs. Dafür gilt die Datenschutzerklärung unter realonaut.com/datenschutz/.

4 Weisungen

4.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind insbesondere die Einstellungen und Aktionen, die der Verantwortliche oder seine Nutzer in der Plattform vornehmen (z. B. Rundgang veröffentlichen, offline nehmen, löschen, Bereiche unkenntlich machen, Rundgang übergeben), sowie Weisungen in Textform.

4.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.

4.3 Ist der Auftragsverarbeiter gesetzlich zu einer anderen Verarbeitung verpflichtet (z. B. nach B10 der AGB bei rechtswidrigen Inhalten), teilt er dies dem Verantwortlichen vorher mit, soweit das Gesetz es nicht verbietet.

5 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er Fotos und Angaben veröffentlichen darf (B5.4 und B5.5 der AGB) und Besucher seiner eigenen Website über eingebettete Rundgänge informiert (B5.9). Erkennbare Personen und Dokumente macht er vor der Veröffentlichung unkenntlich, soweit keine Einwilligung vorliegt; eine automatische Erkennung bietet die Plattform nicht.

6 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind (§ 6 DSG). Zugriff auf Daten des Verantwortlichen haben bei REALONAUT nur Plattform-Administratoren, soweit es für Betrieb und Support nötig ist; jede Änderung durch sie wird protokolliert (Anlage 1).

7 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO in Anlage 1. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

8 Unterauftragsverarbeiter

8.1 Der Verantwortliche erlaubt den Einsatz der Unterauftragsverarbeiter in Anlage 2.

8.2 Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund widersprechen; kommt keine Einigung zustande, kann er den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

8.3 Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags. Übermittlungen in Länder außerhalb der EU erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

8.4 Bilder übermittelt der Auftragsverarbeiter nur dann an externe Dienste für künstliche Intelligenz, wenn der Verantwortliche eine entsprechende Zusatzleistung beauftragt und der Dienst in Anlage 2 steht. REALONAUT 360 setzt keine solchen Dienste ein.

9 Unterstützung und Meldung von Verletzungen

9.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anträgen Betroffener (Art. 12 bis 22 DSGVO). Viele Anträge kann der Verantwortliche selbst in der Plattform erfüllen (Inhalte ändern, Bereiche unkenntlich machen, Rundgänge offline nehmen oder löschen, Nutzer löschen). Anträge, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich weiter.

9.2 Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit es die ihm vorliegenden Informationen erlauben.

9.3 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

10 Löschung und Rückgabe

10.1 Nach Ende des Hauptvertrags löscht der Auftragsverarbeiter die Daten des Verantwortlichen 14 Tage nach der Löschung der Firma bzw. des Kontos (B12.6 der AGB), sofern keine Pflicht zur Aufbewahrung besteht. Endet nur ein bezahlter Tarif, fällt das Konto nach B12.3 der AGB in das Gratis-Paket zurück; die Daten bleiben dann gespeichert. Auf Anfrage an support@realonaut.com übergibt der Auftragsverarbeiter vor der Löschung die Originalbilder der Rundgänge als Download.

10.2 Weitere Fristen stehen in Anlage 3. Daten in Sicherungen werden mit dem Ablauf der Sicherungsstände gelöscht (Anlage 1).

11 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die Informationen zur Verfügung, die zum Nachweis der Pflichten nötig sind, und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung. Der Nachweis erfolgt in erster Linie durch Unterlagen, insbesondere Anlage 1 und die Nachweise der Unterauftragsverarbeiter. Prüfungen vor Ort finden höchstens einmal im Jahr statt, mit mindestens vier Wochen Vorankündigung und ohne Störung des Betriebs; den dafür entstehenden Aufwand verrechnet der Auftragsverarbeiter nach Aufwand.

12 Schlussbestimmungen

12.1 Für die Haftung gilt Art. 82 DSGVO, im Übrigen gelten die Haftungsregeln der AGB.

12.2 Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht.

12.3 Es gilt österreichisches Recht. Gerichtsstand wie in den AGB (A8).

Anlage 1: Technische und organisatorische Maßnahmen

Beschrieben sind die Maßnahmen der Plattform REALONAUT 360.

Vertraulichkeit

• Trennung der Mandanten: Jede Firma sieht nur ihre eigenen Daten. Die Trennung wird in der Anwendung bei jeder Abfrage erzwungen und zusätzlich teilweise in der Datenbank abgesichert.
• Rollen und Rechte innerhalb der Firma (Owner, Admin, Teamleiter, Makler) nach einer festen Rechte-Tabelle; jede Aktion wird auf dem Server geprüft.
• Passwörter nur als Prüfwert (Hash), mindestens zehn Zeichen; Begrenzung der Anmeldeversuche; Einladungen ohne Versand von Zugangsdaten; zeitlich begrenzte Links zum Zurücksetzen.
• Zweiter Faktor per E-Mail-Code oder Authenticator-App für alle Nutzer verfügbar und für Plattform-Administratoren verpflichtend.
• Der Aufnahmeort aus Bildmetadaten wird nie öffentlich ausgeliefert.
• Unkenntlichmachen von Bereichen auf dem eigenen Server ohne externe Dienste; das Original bleibt privat.
• Statistik der Rundgänge ohne Cookies und ohne Speicherung von IP-Adressen; der Player setzt keine Cookies und lädt keine Inhalte von fremden Servern.
• Testsysteme nur im internen Netz erreichbar.

Integrität

• Protokoll wichtiger Änderungen und aller Änderungen durch Plattform-Administratoren, auch bei der Anmeldung als Nutzer, (wer, wann, was, Zustand vorher und nachher, ohne Passwörter und Schlüssel), Aufbewahrung drei Jahre.
• Übergabe-Protokoll für jeden Wechsel der Zuständigkeit eines Rundgangs.
• Alle Verbindungen über öffentliche Netze sind verschlüsselt (TLS bzw. SSH).

Verfügbarkeit und Belastbarkeit

• Hosting in der Europäischen Union (Anlage 2).
• Überwachung der Dienste mit Benachrichtigung bei Ausfällen; über den Benachrichtigungsdienst laufen nur Dienstnamen, keine Kundendaten.
• Sicherungen auf einen getrennten Speicher beim Hosting-Anbieter in der Europäischen Union (Hetzner Storage Box): Datenbank stündlich, Bilder täglich; aufbewahrt werden 48 stündliche (nur Datenbank), 14 tägliche, 8 wöchentliche und 6 monatliche Stände. Zusätzlich Abbilder der Server beim Hosting-Anbieter und ein täglich abgeglichener Spiegel der Bilder auf einem getrennten Speicher beim Hosting-Anbieter am selben Standort. Bilder im Objektspeicher sind versioniert; ältere Versionen bleiben 30 Tage.
• Die Wiederherstellung aus den Sicherungen wird regelmäßig getestet.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests für erlaubte und verbotene Aktionen jeder Rolle und für die Trennung der Mandanten, die vor jeder Änderung laufen.
• Dokumentation jeder Änderung an System und Konfiguration.
• Sicherheitsupdates für Betriebssystem und Software spielt REALONAUT laufend ein, mindestens monatlich, bei kritischen Lücken unverzüglich.

Physische Sicherheit

• Zutritt und physische Sicherheit der Rechenzentren nach den Maßnahmen des Hosting-Anbieters (Anlage 2), wie im Vertrag zur Auftragsverarbeitung mit Hetzner beschrieben.

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Server und Objektspeicher; Ort der Verarbeitung Nürnberg, Deutschland; Verarbeitung nur in der EU; Vertrag zur Auftragsverarbeitung abgeschlossen am 10.10.2026. Dazu Sicherungen auf einer Hetzner Storage Box (Anlage 1).
• easyname GmbH, Wien, Österreich: Versand der E-Mails der Plattform (z. B. Einladung, Code für den zweiten Faktor) über ein Postfach von realonaut.com. Rechenzentren in Österreich und Deutschland; Vertrag zur Auftragsverarbeitung abgeschlossen am 12.10.2026.
• ipax, Wien, Österreich: Betrieb des bisherigen Systems mit den Daten aus der Zeit vor dem 17.10.2026, solange einzelne Kunden es noch nutzen. Eine Kopie dieser Daten bewahrt der Auftragsverarbeiter zur Absicherung des Umzugs auf einem eigenen Server in Wien auf, nur für Plattform-Administratoren zugänglich. Beides wird gelöscht, sobald es nicht mehr benötigt wird.
• Dienste für künstliche Intelligenz: keine. Werden Zusatzleistungen mit KI angeboten, wird der Dienst vorher nach Punkt 8.2 hier ergänzt.

Stripe verarbeitet Zahlungsdaten für die Abrechnung des Hauptvertrags und ist kein Unterauftragsverarbeiter für die Inhalte der Rundgänge.

Anlage 3: Speicher- und Löschfristen

• Rundgänge, Bilder und Angaben zum Objekt: bis zur Löschung durch den Verantwortlichen; nach Vertragsende nach Punkt 10.1.
• Original eines Bildes nach dem Unkenntlichmachen: bleibt privat gespeichert, bis der Raum gelöscht wird.
• Nutzer des Verantwortlichen: Wird ein Nutzer gelöscht, wird sein Konto gelöscht; seine Rundgänge bleiben beim Verantwortlichen und zeigen dessen Kontaktdaten.
• Einzelne Aufrufe der Statistik: sieben Tage, danach nur Tageswerte ohne Personenbezug.
• Protokoll wichtiger Änderungen: drei Jahre (Verarbeitung als eigener Verantwortlicher, zur Information).
• Support-Anfragen: gelten 30 Tage nach unserer Antwort ohne Reaktion als erledigt und werden drei Jahre danach samt Verlauf gelöscht (Verarbeitung als eigener Verantwortlicher, zur Information).
• Sicherungen: bis zum Ablauf der Sicherungsstände (Anlage 1), längstens sechs Monate. Gelöschte Inhalte können so lange noch in Sicherungen enthalten sein.