Vertrag über die Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

1. Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Web-Anwendung „Leichtvermietet“ bereit. Der Verantwortliche erfasst darin Immobilien, Mietverhältnisse, Kosten und Zählerstände und erstellt daraus Betriebskostenabrechnungen. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten der Mieter des Verantwortlichen in dessen Auftrag.

Der Vertrag gilt, solange der Verantwortliche ein Konto bei Leichtvermietet hat. Er endet mit der Löschung des Kontos oder mit dem Ende der Nutzung nach den Nutzungsbedingungen.

2. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

Zweck ist die Erstellung von Betriebskostenabrechnungen und die Verwaltung der dafür nötigen Daten. Die Verarbeitung umfasst Speichern, Berechnen, Anzeigen, Auswerten von hochgeladenen Unterlagen und Löschen. Datenarten und betroffene Personen sind in Anlage 1 beschrieben.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Die Nutzung der Anwendung selbst ist die Weisung: Was der Verantwortliche eingibt, hochlädt, lesen lässt, berechnet oder löscht, ist seine Anweisung. Darüber hinausgehende Weisungen erteilt er in Textform (E-Mail genügt).

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragsverarbeiters

• Er verarbeitet die Daten nur für die Zwecke dieses Vertrags und nicht für eigene Zwecke; insbesondere nutzt er sie nicht zur Werbung und gibt sie nicht an Dritte weiter, außer wie in Anlage 3 beschrieben.
• Er stellt sicher, dass nur Personen Zugang zu den Daten haben, die zur Vertraulichkeit verpflichtet sind. Derzeit ist das ausschließlich der Geschäftsführer.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Verantwortlichen dabei, Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Datenübertragbarkeit) zu beantworten. Die Anwendung stellt dafür Ansicht, Änderung, Export und Löschung der Daten bereit.
• Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem sie ihm bekannt wurde, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
• Er unterstützt den Verantwortlichen bei einer Datenschutz-Folgenabschätzung und bei der Zusammenarbeit mit der Aufsichtsbehörde, soweit es diese Verarbeitung betrifft.
• Er verarbeitet die Daten in Deutschland. Eine Verarbeitung außerhalb der EU oder des EWR findet nur statt, wenn sie in Anlage 3 genannt und nach Kapitel V DSGVO abgesichert ist.

5. Unterauftragsverarbeiter

Die eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Der Verantwortliche stimmt ihrem Einsatz zu. Will der Auftragsverarbeiter einen weiteren einsetzen oder einen ersetzen, informiert er den Verantwortlichen mindestens vier Wochen vorher in der Anwendung oder per E-Mail. Der Verantwortliche kann aus wichtigem Grund widersprechen; dann kann jede Seite den Vertrag mit Wirkung zum Zeitpunkt der Änderung beenden. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein vergleichbares Schutzniveau.

6. Kontrollrechte

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen: durch Auskünfte des Auftragsverarbeiters, durch Vorlage geeigneter Nachweise oder, nach Ankündigung mit angemessener Frist, durch eine Prüfung während der üblichen Geschäftszeiten. Der Auftragsverarbeiter wirkt daran mit.

7. Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit in der Anwendung exportieren. Mit der Löschung seines Kontos löscht der Auftragsverarbeiter alle Daten und Unterlagen des Kontos. Verschlüsselte Sicherungen, die diese Daten noch enthalten, werden spätestens 14 Tage danach überschrieben. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt; in dem Umfang bleiben die Daten gesperrt.

8. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt die Haftungsregelung der Nutzungsbedingungen.

9. Schlussbestimmungen

Dieser Vertrag geht bei Widersprüchen den Nutzungsbedingungen vor, soweit es die Verarbeitung personenbezogener Daten der Mieter betrifft. Änderungen bedürfen der Textform. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen wirksam.

10. Abschluss

Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Der Verantwortliche bestätigt ihn bei der Einrichtung seines Leichtvermietet-Kontos durch Setzen eines Häkchens. Der Auftragsverarbeiter protokolliert Zeitpunkt, Fassung und anmeldenden Benutzer und hält den Vertrag hier zum Abruf bereit. Eine Unterschrift auf Papier ist nicht erforderlich.

Anlage 1 — Daten und betroffene Personen

Betroffene Personen

• Mieter und Mitbewohner in den Wohnungen des Verantwortlichen, auch ehemalige.
• Ansprechpartner bei Hausverwaltung, Messdienst, Versicherung oder Handwerkern, soweit sie auf hochgeladenen Unterlagen stehen.

Datenarten

• Name, Anschrift, E-Mail und Telefon der Mieter; Zahl der im Haushalt lebenden Personen.
• Mietverhältnis: Beginn, Ende, Kaltmiete, Vorauszahlungen, Mietstufen, Kaution.
• Verbrauch: Zählerstände, Verbrauchsanteile aus Messdienstabrechnungen.
• Abrechnung: Kostenanteile, Nachzahlung oder Guthaben, Versandvermerk.
• Unterlagen: Mietverträge, Hausgeld- und Messdienstabrechnungen, Bescheide, Rechnungen, Fotos von Zählern — mit allem, was darauf steht.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche lädt keine Unterlagen hoch, die solche Daten enthalten.

Anlage 2 — Technische und organisatorische Maßnahmen

Zugang und Zugriff

• Anmeldung mit E-Mail und Passwort von mindestens 12 Zeichen; Passwörter werden nur als Hash gespeichert. Sitzungen laufen nach sieben Tagen ab.
• Mandantentrennung in der Datenbank: Jede Zeile trägt die Kennung des Kontos, und die Datenbank selbst lässt nur Zugriffe auf das eigene Konto zu (Row-Level-Security). Die Anwendung arbeitet mit einer Datenbankrolle, die keine Tabellen ändern kann.
• Hochgeladene Unterlagen liegen außerhalb des Webordners unter zufälligem Dateinamen und sind nur nach Anmeldung und nur für das eigene Konto abrufbar.
• Zugang zum Rechner nur für den Geschäftsführer, mit Passwort und Bildschirmsperre.

Verfügbarkeit und Wiederherstellung

• Tägliche Sicherung von Datenbank und Unterlagen, verschlüsselt mit AES-256; der Schlüssel liegt nur beim Auftragsverarbeiter. Jede Sicherung wird nach dem Erstellen gegengelesen; die letzten 14 werden aufbewahrt.
• Die Wiederherstellung aus einer Sicherung ist dokumentiert und erprobt.

Übertragung und Trennung

• In der Testphase läuft die Anwendung auf einem Rechner des Auftragsverarbeiters in Preetz; der Verantwortliche nutzt sie vor Ort. Bei Betrieb auf einem Server erfolgt jede Übertragung verschlüsselt (HTTPS).
• Die Datenbank ist nur vom Rechner selbst erreichbar, nicht aus dem Netz.
• Technische Protokolle werden nach spätestens 14 Tagen gelöscht.

Verfahren

• Was die Anwendung aus Unterlagen liest, ist ein Vorschlag; übernommen wird nichts ohne Bestätigung des Verantwortlichen.
• Löschung von Konto, Mietverhältnissen und Unterlagen durch den Verantwortlichen selbst in der Anwendung.

Anlage 3 — Unterauftragsverarbeiter

• Dropbox, Inc., 1800 Owens Street, San Francisco, USA — Speicherung der verschlüsselten Sicherungen. Dropbox erhält ausschließlich verschlüsselte Dateien; der Schlüssel verlässt den Auftragsverarbeiter nicht. Übermittlung in die USA abgesichert über das EU-U.S. Data Privacy Framework und Standardvertragsklauseln.
• Anthropic (Anthropic PBC, USA, bzw. Anthropic Ireland Limited) — Auswertung hochgeladener Unterlagen durch ein KI-Modell. Derzeit nicht im Einsatz: In der Testphase wertet der Auftragsverarbeiter Unterlagen selbst aus. Vor dem Einsatz informiert der Auftragsverarbeiter nach Ziffer 5; Grundlage sind dann der Auftragsverarbeitungsvertrag von Anthropic mit Standardvertragsklauseln und die Zusicherung, dass Inhalte nicht zum Training genutzt werden.
• Rechenzentrum in Deutschland für den Betrieb der Anwendung — derzeit nicht im Einsatz. Anbieter und Standort werden nach Ziffer 5 vor dem Umzug mitgeteilt.

Fassung vom 06.09.2026