Auftragsverarbeitungsvertrag (AVV/DPA)

Versionscode: dpa_v2. Dieser Vertrag ist fester Bestandteil des İlancik CRM Dienstleistungsvertrags.

1. Parteien und Rollen

• Verantwortlicher — „Kunde“: das Maklerbüro oder der unabhängige Makler, der İlancik CRM nutzt. Der Kunde entscheidet, wessen Daten zu welchem Zweck verarbeitet werden.
• Auftragsverarbeiter — „İlancik“: APPLINEUM LTD (England und Wales, Gesellschaftsnr. 17275572, 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ). Support und operativer Teil des Dienstes werden auf Weisung von APPLINEUM LTD und mit denselben Pflichten von der gemeinsamen Betreiberin TRENDWAY TRADING LTD (Armutlu Sokak, Çarşı Selvi Plaza D Blok No 5, Ozanköy, Kyrenia, TRNZ) erbracht.

Dieser Vertrag beruht auf dem Gesetz Nr. 89/2007 der TRNZ zum Schutz personenbezogener Daten (Art. 12) und, soweit anwendbar, der UK GDPR und Art. 28 EU-DSGVO. Er tritt mit der elektronischen Annahme durch den Inhaber des Arbeitsbereichs beim ersten Aufruf des CRM in Kraft und gilt bis zum Abschluss des Verfahrens nach §11.

2. Art der Verarbeitung

3. Pflichten des Kunden

• Für alle erfassten Daten eine gültige Rechtsgrundlage haben (Vertrag, Anfrage, rechtliche Pflicht, berechtigtes Interesse oder Einwilligung).
• Die betroffenen Personen informieren und auf deren Anträge zur Ausübung ihrer Rechte antworten.
• Für Marketingnachrichten eine schriftliche Einwilligung einholen und den Nachweis im CRM-Feld „Marketing-Einwilligung“ festhalten.
• Rollen der Teammitglieder korrekt vergeben und ausgeschiedenen Mitarbeitern den Zugang entziehen.
• Eigene gesetzliche Pflichten erfüllen, z. B. Gästeregistrierung und Meldung an das Tourismusplanungsamt nach dem Ferienhausgesetz Nr. 54/2025; das CRM bietet Hilfswerkzeuge, übernimmt die Pflicht aber nicht.
• Auf eigener Seite erforderliche Meldungen vornehmen (z. B. Registrierung bei einer Datenschutzbehörde, falls nötig).

4. Pflichten von İlancik

• Personenbezogene Daten nur auf dokumentierte Weisung des Kunden verarbeiten. Als Weisung gelten dieser Vertrag sowie die Handlungen und Einstellungen des Kunden im CRM. Halten wir eine Weisung für rechtswidrig, informieren wir den Kunden.
• Die Daten nicht für eigene Zwecke nutzen, nicht verkaufen, nicht an andere Kunden weitergeben und nicht für Werbung verwenden.
• Sicherstellen, dass Personen mit Datenzugriff zur Vertraulichkeit verpflichtet sind.
• Die Sicherheitsmaßnahmen nach §6 umsetzen und aktuell halten.
• Dem Kunden Werkzeuge für Betroffenenanfragen bereitstellen (Export, Berichtigung, endgültige Löschung / Anonymisierung) und direkt bei İlancik eingehende Anfragen innerhalb von 5 Werktagen an den Kunden weiterleiten.
• Angemessene Informationen und Unterlagen zum Nachweis der Einhaltung dieses Vertrags bereitstellen und bei angemessener Ankündigung und Vertraulichkeit höchstens einmal jährlich Prüfungen unterstützen.
• Den Kunden über eine Datenschutzverletzung unverzüglich und spätestens innerhalb von 24 Stunden nach Kenntnis informieren (§8).

5. Supportzugriff

• Administratoren von İlancik sehen CRM-Kontaktdaten standardmäßig maskiert (z. B. „Ahmet Y.“, „+90 533 * 12“).
• Ein unmaskierter Zugriff ist nur auf Supportanfrage des Kunden, aufgrund gesetzlicher Pflicht oder bei einem Sicherheitsvorfall mit dokumentiertem Grund möglich und im CRM-Prüfprotokoll des Kunden sichtbar.
• Administratoren von İlancik können vertrauliche Dokumente des Kunden nicht herunterladen; sie sehen nur Dokumenttyp, Größe und Datum.

6. Technische und organisatorische Maßnahmen

• TLS-Verschlüsselung aller Verbindungen.
• AES-256-GCM-Verschlüsselung sensibler Felder wie Ausweis-/Passnummern, IBANs und Zugangsdaten; IP-Adressen werden nur als verschlüsselter Hash (HMAC) gespeichert.
• Vertrauliche Dokumente in einem separaten, nicht öffentlichen Speicher in der Europäischen Union (Cloudflare R2); nur persönliche, 5 Minuten gültige Links; jeder Download wird im Prüfprotokoll erfasst.
• Rollenbasierter Zugriff (Inhaber, Manager, Makler, Assistent) und logische Trennung der Arbeitsbereiche.
• Nicht vorhersagbare, befristete und widerrufbare Schlüssel für Portal-Links; keine Cookies oder Tracker auf Portalseiten.
• Prüfprotokoll (2 Jahre), automatische Durchsetzung der Speicherfristen und verschlüsselte Backups im Vereinigten Königreich.

7. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die nachstehenden Unterauftragsverarbeiter. İlancik schließt mit ihnen schriftliche Verträge mit gleichwertigem Schutz und haftet gegenüber dem Kunden für deren Handeln.

Über die Hinzunahme oder den Austausch eines Unterauftragsverarbeiters informieren wir den Kunden 30 Tage vorher per E-Mail und im CRM. Widerspricht der Kunde aus berechtigtem Grund, kann er die betreffende Funktion nicht nutzen oder den Vertrag mit anteiliger Erstattung für den Restzeitraum kündigen.

8. Datenschutzverletzungen

• Erfährt İlancik von einer Verletzung, die Kundendaten betrifft, informiert es den Kunden per E-Mail und In-App-Benachrichtigung unverzüglich und spätestens innerhalb von 24 Stunden.
• Die Meldung enthält Art der Verletzung, Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen und eine Kontaktperson. Sind noch nicht alle Informationen bekannt, werden sie schrittweise nachgereicht.
• Das Vorfallmanagement koordiniert TRENDWAY TRADING LTD. İlancik unterstützt den Kunden bei der Erfüllung seiner Meldepflichten gegenüber Behörde und Betroffenen.

9. Übermittlung in Drittländer

Einige Unterauftragsverarbeiter befinden sich außerhalb der TRNZ, des Vereinigten Königreichs oder der EU. İlancik übermittelt Daten nur im erforderlichen Umfang und stützt sich auf die Garantien des anwendbaren Rechts: Angemessenheitsbeschlüsse, Standardvertragsklauseln zusammen mit dem britischen IDTA bzw. Addendum und erforderlichenfalls Transfer-Risikobewertungen. Vertrauliche Dokumente werden nur in der EU gespeichert.

10. Plattformformulare und Lead-Pool

• Für die Formulare auf Inseratsseiten („Eigentümer fragen“, „Suchauftrag erstellen“, Buchungsanfrage, Karte „Rückruf?“) ist İlancik im Moment der Erhebung Verantwortlicher und holt die erforderliche Einwilligung ein.
• Werden die Daten mit Einwilligung der betroffenen Person an den Kunden übermittelt (Formularzustellung oder „Lead übernehmen“), werden sie zu einem CRM-Datensatz, für den der Kunde Verantwortlicher ist.
• Der Kunde verpflichtet sich, so erhaltene Personen nur zum Gegenstand ihrer Anfrage zu kontaktieren, sie ohne Einwilligung nicht in Marketinglisten aufzunehmen und Widerrufsmitteilungen zu beachten.

11. Speicherung, Rückgabe und Löschung

• Der Kunde kann einen Kontakt jederzeit mit „Endgültig löschen“ auf der Kontaktkarte löschen; besteht ein gesetzliches Aufbewahrungshindernis (z. B. Partei eines laufenden Mietvertrags, offener Buchungseintrag), wird der Kontakt anonymisiert und der Datensatz für die gesetzliche Frist aufbewahrt.
• Bei Schließung des Arbeitsbereichs kann der Kunde 45 Tage lang alle Daten (CSV/JSON + Dokumente) exportieren. Danach werden die Daten endgültig gelöscht; gesetzlich aufzubewahrende Datensätze werden nur für die jeweilige Frist gesperrt aufbewahrt.
• Kopien in Backups werden am Ende des Backup-Zyklus automatisch gelöscht.

12. Haftung und anwendbares Recht

• Die Haftung der Parteien unterliegt den Grenzen in §12 des İlancik CRM Dienstleistungsvertrags; für vorsätzliche oder grob fahrlässige Verletzungen der Datenschutzpflichten aus diesem Vertrag gilt keine Beschränkung.
• Dieser Vertrag unterliegt dem Recht der TRNZ; zuständig ist das Bezirksgericht Kyrenia (Girne). Die Rechte der betroffenen Personen nach anwendbarem Datenschutzrecht bleiben unberührt.
• Bei Widersprüchen zwischen diesem Vertrag und dem Dienstleistungsvertrag hinsichtlich personenbezogener Daten geht dieser Vertrag vor.

Kontakt und Meldung von Verletzungen: [email protected]