Joint Controller Agreement (JCA) für assetbird Profiles

Vereinbarung gemäß Art. 26 Abs. 1 S. 2Datenschutz-Grundverordnung (DS-GVO)

‍zwischen  

assetbird GmbH, Rosenthaler Straße 36G, 10178 Berlin, Deutschland  (nachfolgend „Partei 1”) 

‍und  

dem angemeldeten Unternehmen mit seinen angemeldeten Nutzern. (nachfolgend „Partei 2”)     

‍§ 1 

‍(1) Diese Vereinbarung regelt die Rechte und Pflichten der Verantwortlichen (in Folge auch „Parteien“ genannt) bei der gemeinsamen Verarbeitung personenbezogener Daten. Diese Vereinbarung findet auf alle Tätigkeiten Anwendung, bei denen Beschäftigte der Parteien oder durch sie beauftragte Auftragsverarbeiter personenbezogene Daten für die Verantwortlichen verarbeiten. Die Parteien haben die Mittel und Zwecke der nachfolgend näherbeschriebenen Verarbeitungstätigkeiten gemeinsam festgelegt. 

(2) Personenbezogene Daten werden im Rahmen der Plattform „assetbird Profiles“ verarbeitet. Die Parteien legen hiermit fest, dass für die personenbezogenen Daten, die in den folgenden Systembereichen und Verfahren verarbeitet werden, eine gemeinsame Verantwortlichkeit gemäß Art. 26DSGVO besteht: 

- Profilerstellung und -verwaltung: Die Eingabe und Verwaltung von Geschäftsprofildaten durch den Nutzer und die anschließende Speicherung und technische Verwaltung dieser Datendurch assetbird innerhalb der Infrastruktur der Plattform.
- Gegenseitige Sichtbarkeit der Daten: Der technische Vorgang durch assetbird, bei dem die Profildaten eines Nutzers für andere registrierte Nutzer sichtbar gemacht werden, wie vertraglich vereinbart. Nicht alle Nutzer haben zwangsläufig Zugriff auf die Kontaktinformationen aller anderen Nutzer. Kontaktinformationen, die auf der Plattform öffentlich gemacht werden, können sowohl von anderen Nutzern der Plattform „assetbird Profiles“ als auch von jeder anderen Person, die auf die mit der Plattformverbundene Webseite zugreift, eingesehen werden.
- Datenzugriff zur Geschäftsanbahnung: Der Zugriff des Nutzers auf die Profildaten anderer Nutzer und deren Einsehen sowie die anschließende, unabhängige Verarbeitung dieser Daten zum Zweck der Kontaktaufnahme und der Prüfung potenzieller Geschäftsmöglichkeiten. Die Parteien legen dabei die Prozessabschnitte fest, in denen personenbezogene Daten in gemeinsamer Verantwortlichkeit verarbeitet werden (Art. 26 DS-GVO).  Für die übrigen Prozessabschnitte, bei denen keine gemeinsame Festlegung der Zwecke und Mittel einzelner Phasen der Datenverarbeitung besteht, ist jede Vertragspartei eigenständiger Verantwortlicher im Sinne des Art. 4 Nr. 7 DS-GVO. Soweit die Vertragsparteiendatenschutzrechtliche gemeinsam Verantwortliche im Sinne von Art. 26 DS-GVO sind, gelten die folgenden Vereinbarungen: 

‍§ 2 

(1) Im Rahmen der gemeinsamen Verantwortlichkeit für die Plattform „assetbird Profiles“ ist Partei 1 (assetbird) für Folgendesverantwortlich (Anwendungsbereich A): 

- Die sichere technische Bereitstellung, der Betrieb und die Wartung der Plattform „assetbird Profiles“ und ihrer zugrunde liegenden Infrastruktur.
- Die Implementierung der Funktionalitäten, die es den Nutzern ermöglichen, Profile zu erstellen, zu verwalten und einzusehen.
- Die Umsetzung und die Verwaltung von technischen und organisatorischen Maßnahmen (TOM), um die Vertraulichkeit, Integrität und Verfügbarkeit der in den Systemen der Plattformgespeicherten personenbezogenen Daten sicherzustellen.
- Die Erfüllung der Pflichten als zentrale Anlaufstelle für Betroffene, einschließlich der Verwaltung von Anträgen auf Wahrnehmung von Betroffenenrechten auf Plattformebene. 

Die folgenden personenbezogenen Daten werden in der Plattform „assetbird Profiles“ verarbeitet: 
- Foto (optional)
- Vor- und Nachname
- Telefonnummer
- E-Mail-Adresse
- Berufsbezeichnung 

Die Daten werden von dem als Partei 2 auftretenden Unternehmen in die Plattform eingegeben. Die betroffenen Personen sind deren gesetzliche Vertreter und/oder Mitarbeiter. 

Die Verantwortlichkeit von Partei 1 ist ausschließlich auf den technischen Betrieb der Plattform beschränkt. Partei 1ist nicht für die anschließende Nutzung personenbezogener Daten durch einen Nutzer gegenüber einem anderen außerhalb der direkten Funktionalitäten der Plattform verantwortlich. 

Zudem stimmt Partei 2 hiermit zu, dass die für die Plattform „assetbird Profiles“ bereitgestellten Kontaktdaten an alle potenziellen Kunden von Partei 1 auf der Plattform „assetbird Deals“, die von Kunden aus dem Immobiliensektor genutzt wird, weitergegeben werden. Das gilt auch für Software-Partner wie bspw. CRM-Systeme, die von Unternehmen mit Aktivitäten in der Immobilienbranche genutzt werden. Dazu gehören bspw. PropStack, Flowfact, On Office und Pipedrive, neben anderen. assetbird Kunden und Software-Partner bestätigen, dass die Kontaktdaten nur zum Zwecke der Kontaktaufnahme im geschäftlichen Kontext verwendet werden. assetbird kann aber keine Haftung für die Verwendung der Kontaktdaten durch diese Kunden und Partner übernehmen. Im Falle von Löschungsanfragen kann assetbird sicherstellen, dass die Kontaktdaten von den assetbird-Plattformengelöscht werden, jedoch nicht, dass die Daten auch aus den Systemen der Kunden und Software-Partner von assetbird gelöscht werden, da diese Software-Partner nicht an die Verarbeitungsanweisungen von assetbird gebunden sind  

(2) Im Rahmen der gemeinsamen Verantwortlichkeit ist Partei 2 (der Nutzer) für Folgendes verantwortlich (Anwendungsbereich B): 

- Die Richtigkeit und Rechtmäßigkeit der Inhalte, einschließlich aller personenbezogenen Daten, die der Nutzer für sein eigenes Profil bereitstellt.- Die Verarbeitung von personenbezogenen Daten, die von der Plattform bezogen wurden, zum Zweck der Anbahnung von Geschäftsmöglichkeiten zwischen den Teilnehmern. Dies schließt ausdrücklich die selbstständigen Aktivitäten des Nutzers zur Kontaktaufnahme mit anderen Nutzern per Telefon, E-Mail oder auf andere Weise ein, die auf der Grundlage der auf der Plattform zur Verfügung gestellten Informationenerfolgen.
- Die Sicherstellung, dass jede Kommunikation oder nachfolgende Verarbeitung der Daten eines anderen Nutzers allen anwendbaren Gesetzen entspricht, einschließlich der Datenschutz-und Wettbewerbsvorschriften. 

‍§ 3 

Jede Partei gewährleistet die Einhaltung der gesetzlichen Bestimmungen, insbesondere die Rechtmäßigkeit der durch sie auch im Rahmen der gemeinsamen Verantwortlichkeit durchgeführten Datenverarbeitungen. Die Parteien ergreifen alle erforderlichen technischen und organisatorischen Maßnahmen, damit die Rechte der betroffenen Personen, insbesondere nach den Art. 12 bis 22 DS-GVO, innerhalb der gesetzlichen Fristen jederzeit gewährleistet werden können bzw. sind.

‍§ 4

‍(1) Die Parteien speichern die personenbezogenen Daten in einem strukturierten gängigen und maschinenlesbaren Format.

(2) Beide Parteien tragen dafür Sorge, dass nur personenbezogene Daten erhobenwerden, die für die rechtmäßige Prozessabwicklung zwingend erforderlich sind. Im Übrigen beachten beide Vertragsparteien den Grundsatz der Datenminimierung im Sinne von Art. 5 Abs. 1 c DS-GVO.

‍§ 5

‍Die Parteien verpflichten sich, der betroffenen Person die gemäß Art. 13 und 14 DS-GVO erforderlichen Informationen in präziser, transparenter, verständlicher und leicht zugänglicher Form in einer klaren und einfachen Sprache unentgeltlich zur Verfügung zu stellen. Die Parteien sind sich einig, dass Partei 1 die Informationen zur Verarbeitung personenbezogener Daten im Wirkbereich A und Partei 2 die Informationen für die Verarbeitung der personenbezogenen Daten im Wirkbereich B bereitstellt.   

‍§ 6

‍Betroffene Personen können die ihnen aus Art. 15 bis22 DS-GVO zustehenden Rechte gegenüber beiden Vertragsparteien geltend machen.  

§ 7

(1) Beide Parteien verpflichten sich, der Auskunftspflicht gemäß Art. 15 DS-GVO nachzukommen. 

(2) Die Parteien verpflichten sich, den betroffenen Personen die diesen gemäß Art. 15 DS-GVO zustehenden Auskünfte auf Nachfrage zur Verfügung zu stellen.  

‍§ 8

‍(1) Soweit sich eine betroffene Person an eine der Parteien in Wahrnehmung ihrer Betroffenenrechte wendet, insbesondere wegen Auskunft oder Berichtigung und Löschung ihrer personenbezogenen Daten, verpflichten sich die Parteien, dieses Ersuchen unverzüglich unabhängig von der Pflicht zur Gewährleistung des Betroffenen rechtes an die andere Partei weiterzuleiten. Diese ist verpflichtet, der anfragenden Vertragspartei die zur Auskunftserteilung notwendigen Informationen aus ihrem Wirkbereich unverzüglich zur Verfügung zu stellen.

(2) Sollen personenbezogene Daten gelöscht werden, informieren sich die Parteienzuvor gegenseitig. Die jeweils andere Partei kann der Löschung aus berechtigtem Grund widersprechen, etwa sofern sie eine gesetzliche Aufbewahrungspflichttrifft.

‍§ 9

‍Die Parteien informieren sich gegenseitig unverzüglich und vollständig, wenn sie bei der Prüfung der Verarbeitungstätigkeiten Fehler oder Unregelmäßigkeiten hinsichtlich datenschutzrechtlicher Bestimmungen feststellen.

‍§ 10

‍Partei1 verpflichtet sich, den wesentlichen Inhalt der Vereinbarung über die gemeinsame datenschutzrechtliche Verantwortlichkeit den betroffenen Personen zur Verfügung zu stellen (Art. 26 Abs. 2 DS-GVO).

‍§ 11 Beiden Parteien obliegen die aus Art. 33, 34 DS-GVO resultierenden Melde- und Benachrichtigungspflichten gegenüber der Aufsichtsbehörde und den von einer Verletzung des Schutzes personenbezogener Daten betroffenen Personen für ihren jeweiligen Wirkbereich. Die Parteien informieren sich unverzüglich gegenseitig über die Meldung von Verletzungen des Schutzes personenbezogener Daten  an die Aufsichtsbehörde und leiten sich die zur Durchführung der Meldung erforderlichen Informationen jeweils unverzüglich zu.

‍§ 12

‍Dokumentationen im Sinne von Art. 5 Abs. 2 DS-GVO, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, werden durch jede Partei entsprechend den rechtlichen Befugnissen und Verpflichtungen über das Vertragsende hinaus aufbewahrt.

‍§ 13

‍(1) Die Parteien stellen innerhalb ihres Wirkbereiches sicher, dass alle mit der Datenverarbeitung befassten Mitarbeitenden die Vertraulichkeit der Daten gemäß den  Artikeln 28 Abs. 3, 29 und32 DS-GVO für die Zeit ihrer Tätigkeit wie auch nach Beendigung des Beschäftigungsverhältnisses wahren und dass diese vor Aufnahme ihrer Tätigkeitentsprechend auf das Datengeheimnis verpflichtet sowie in die für sie relevanten Bestimmungen zum Datenschutz eingewiesen werden.

(2) Die Parteien haben eigenständig dafür Sorge zu tragen, dass sie sämtliche in Bezug auf die Daten bestehenden gesetzlichen Aufbewahrungspflichten einhalten. Sie haben hierzu angemessene Datensicherheitsvorkehrungen (Art. 32 ff. DS-GVO)zu treffen. Dies gilt insbesondere im Falle der Beendigung der Zusammenarbeit.

(3) Die Implementierung, Voreinstellung und der Betrieb der Systeme sind unter Beachtung der Vorgaben der DS-GVO und anderer Regelungswerke, insbesondere unter Beachtung der Grundsätze des Datenschutzes durch Design und datenschutzfreundliche Voreinstellungen sowie unter Verwendung von dem Stand der Technik entsprechenden geeigneten technischen und organisatorischen Maßnahmen durchzuführen.

‍§ 14

‍Die Parteien nehmen die Verarbeitungstätigkeiten in das Verarbeitungsverzeichnisnach Art. 30 Abs. 1 DS-GVO auf, auch und insbesondere mit einem Vermerk zur Natur des Verarbeitungsverfahrens in gemeinsamer oder alleiniger Verantwortung.

‍§ 15

‍Unbeschadet der Regelungen dieses Vertrages haften die Parteien für den Schaden, der durch eine nicht der DS-GVO entsprechende Verarbeitung verursacht wird, im Außenverhältnis gemeinsam gegenüber den betroffenen Personen. Im Innenverhältnis haften die Parteien, unbeschadet der Regelungen dieses Vertrages, nur für Schäden, die innerhalb ihres jeweiligen Wirkbereiches entstanden sind. Das ist in Ordnung, aber damit der Vertrag gültig ist, muss er dem Unternehmen während des Vertragsabschlusses zur Verfügung gestellt werden (ähnlich wie es für die Gültigkeit von AGB erforderlich ist).Das passt, aber: Ihr benötigt noch einen zusätzlichen Schritt, um sicherzustellen, dass diese Informationen für die betroffene Person verständlich sind. Fügt hierfür die folgenden Informationen auf derselben Seite hinzu, auf der die Person ihre Kontaktdaten angibt: "Bitte beachten Sie, dass mit dem Klick auf' Bestätigen' Ihre Kontaktdaten an mehrere Kunden von assetbird und andere Partner als separate Verantwortliche weitergegeben werden. Die Bedingungen hierfür sind in der Datenschutzerklärung zu finden (Link zur Datenschutzerklärung). Diese Einwilligung ist freiwillig und kann jederzeit widerrufen werden."

‍
Stand: Juli 2025