Vertrag zur Auftragsverarbeitung

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AV-Vertrag") regelt den Datenschutz zwischen Ihnen als Vermieter oder Hausverwaltung und dem Betreiber des Online-Portals, soweit im Portal personenbezogene Daten Ihrer Mieter in Ihrem Auftrag verarbeitet werden. Er ergänzt den Nutzungsvertrag über das Online-Portal (nachfolgend „Hauptvertrag") und ist Teil davon. Für die Verarbeitung Ihrer eigenen Konto- und Nutzungsdaten (dort ist der Betreiber selbst Verantwortlicher) gilt die Datenschutzerklärung des Portals.

Vertragsparteien

Auftraggeber (Verantwortlicher): der Inhaber des Vermieter- bzw. Hausverwaltungs-Kontos im Portal, identifiziert durch die bei der Registrierung angegebenen Kontodaten. Der Auftraggeber schließt diesen AV-Vertrag im Rahmen des Onboardings elektronisch; Zeitpunkt und Kontobezug des Abschlusses werden dokumentiert.

Auftragnehmer (Auftragsverarbeiter):

Präambel

Der Auftraggeber nutzt das vom Auftragnehmer betriebene Online-Portal (Hauptvertrag), um Objekte, Mieter und Nebenkostenabrechnungen zu verwalten. Teil der Vertragsdurchführung ist die Verarbeitung personenbezogener Daten, insbesondere der Mieter des Auftraggebers. Art. 28 DSGVO stellt an eine solche Auftragsverarbeitung bestimmte Anforderungen. Zur Wahrung dieser Anforderungen schließen die Parteien die nachfolgende Vereinbarung, deren Erfüllung nicht gesondert vergütet wird.

§ 1 Begriffsbestimmungen

In diesem Vertrag verwendete Begriffe, die in Art. 4, 9 und 10 DSGVO definiert werden, sind im Sinne dieser gesetzlichen Definitionen zu verstehen.

§ 2 Vertragsgegenstand, Art und Zweck der Verarbeitung

(1) Der Auftragnehmer stellt dem Auftraggeber das Online-Portal zur Verwaltung von Objekten, Mietern und Nebenkostenabrechnungen bereit. Dabei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist. Art, Umfang und Zweck der Verarbeitung sowie die Kategorien betroffener Personen und Daten ergeben sich aus dem Hauptvertrag und aus Anlage 1.

(2) Dem Auftraggeber obliegt die alleinige Beurteilung der Zulässigkeit der Datenverarbeitung nach Art. 6 Abs. 1 DSGVO sowie die Wahrung der Rechte der betroffenen Personen. Die Regelungen dieses AV-Vertrags gehen im Zweifel den Regelungen des Hauptvertrags vor.

(3) Die Verarbeitung findet grundsätzlich in einem Mitgliedstaat der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Der Auftragnehmer setzt einzelne, in Anlage 3 namentlich benannte Unterauftragsverarbeiter ein, die personenbezogene Daten auch in einem Drittland (insbesondere den USA) verarbeiten können; dies erfolgt ausschließlich auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO (EU-Standardvertragsklauseln und - soweit einschlägig - EU-US Data Privacy Framework). Der Auftraggeber genehmigt diese Übermittlungen durch den Abschluss dieses Vertrags einschließlich Anlage 3.

(4) Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrags, sofern sich aus den nachfolgenden Bestimmungen keine darüber hinausgehenden Verpflichtungen ergeben.

§ 3 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Daten nur im Rahmen des Hauptvertrags und nach den dokumentierten Weisungen des Auftraggebers; dies gilt insbesondere für eine Übermittlung in ein Drittland. Wird der Auftragnehmer gesetzlich zu weiteren Verarbeitungen verpflichtet, teilt er dies dem Auftraggeber vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen werden anfänglich durch diesen Vertrag festgelegt. Die im Portal bereitgestellten Funktionen (z. B. Anlegen, Berichtigen, Löschen von Daten, Freigabe von Dokumenten an Mieter, Aktivierung der KI-Beleganalyse) gelten als dokumentierte Einzelweisungen des Auftraggebers. Weitergehende Weisungen erteilt der Auftraggeber in Textform an die im Impressum bzw. in Anlage 4 genannte Kontaktadresse.

(3) Hält der Auftragnehmer eine Weisung für datenschutzrechtlich unzulässig, weist er den Auftraggeber unverzüglich darauf hin. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen, und darf die Durchführung einer offensichtlich rechtswidrigen Weisung ablehnen.

§ 4 Schutzmaßnahmen des Auftragnehmers (Art. 32 DSGVO)

(1) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Daten des Auftraggebers gemäß Art. 32 DSGVO, mindestens die in Anlage 2 beschriebenen Maßnahmen, und hält sie auf dem Stand der Technik. Änderungen bleiben zulässig, solange das vereinbarte Schutzniveau nicht unterschritten wird.

(2) Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO), soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen, und belehrt sie über die Weisungs- und Zweckbindung. Diese Verpflichtungen bestehen auch nach Beendigung des Vertrags fort.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) im Rahmen seiner Möglichkeiten.

§ 5 Informations- und Meldepflichten (Art. 33/34 DSGVO)

(1) Bei einer Verletzung des Schutzes personenbezogener Daten des Auftraggebers, bei Störungen oder bei einem sicherheitsrelevanten Verdacht informiert der Auftragnehmer den Auftraggeber unverzüglich in Textform. Die Meldung enthält, soweit möglich, eine Beschreibung der Art der Verletzung, der wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Gegenmaßnahmen.

(2) Die Pflicht zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und ggf. an die betroffenen Personen (Art. 34 DSGVO) trifft den Auftraggeber als Verantwortlichen; der Auftragnehmer unterstützt ihn hierbei mit den erforderlichen Informationen.

§ 6 Kontrollrechte des Auftraggebers

(1) Der Auftragnehmer weist dem Auftraggeber auf Anforderung die Einhaltung der in diesem Vertrag festgelegten Pflichten in geeigneter Weise nach, insbesondere durch Auskunft und Vorlage einer aktuellen Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 2).

(2) Der Auftraggeber ist berechtigt, sich von der Einhaltung im erforderlichen Umfang zu überzeugen. Kontrollen sind rechtzeitig anzukündigen und so durchzuführen, dass der Betrieb des Auftragnehmers und die Sicherheit der Daten anderer Auftraggeber nicht beeinträchtigt werden.

§ 7 Einsatz von Unterauftragsverarbeitern

(1) Der Auftraggeber erteilt seine allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. Diese werden für Hosting, E-Mail-Versand und die optionale KI-gestützte Belegauslese eingesetzt.

(2) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und stellt bei Drittlandsbezug geeignete Garantien nach Art. 44 ff. DSGVO sicher.

(3) Beabsichtigt der Auftragnehmer einen Wechsel oder die Hinzunahme eines weiteren Unterauftragsverarbeiters, informiert er den Auftraggeber vorab (z. B. per E-Mail oder Hinweis im Portal). Der Auftraggeber kann dem aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen widersprechen; im Widerspruchsfall sind die Parteien um eine einvernehmliche Lösung bemüht, andernfalls besteht ein Kündigungsrecht nach § 9.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen, die der Auftragnehmer als Fremdleistung in Anspruch nimmt (z. B. Telekommunikation, Wartung von Endgeräten), sofern der Auftragnehmer angemessene Vorkehrungen zum Schutz der Daten trifft.

§ 8 Unterstützung bei Betroffenenrechten (Art. 12-23 DSGVO)

(1) Wenden sich betroffene Personen (Mieter) mit Anliegen zu Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit oder Widerspruch unmittelbar an den Auftragnehmer, leitet er diese unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, sofern keine anderslautende Weisung vorliegt.

(2) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung solcher Anträge nachzukommen (Art. 28 Abs. 3 lit. e DSGVO), soweit dem Auftraggeber dies nicht bereits über die Funktionen des Portals selbst möglich ist.

§ 9 Kündigung

Neben den Kündigungsrechten des Hauptvertrags kann der Auftraggeber diesen AV-Vertrag aus wichtigem Grund kündigen, insbesondere bei einem schweren Verstoß des Auftragnehmers gegen datenschutzrechtliche Vorschriften oder gegen diesen Vertrag oder wenn der Auftragnehmer eine rechtmäßige Weisung nicht ausführt. Eine Kündigung dieses Vertrags berührt den Bestand des Hauptvertrags nur, soweit dessen Durchführung ohne die Verarbeitung nicht mehr möglich ist.

§ 10 Löschung und Rückgabe nach Beendigung

(1) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht die weitere Speicherung erfordert. Der Auftraggeber kann seine Daten während der Vertragslaufzeit jederzeit über die Export-/Löschfunktionen des Portals herausführen bzw. löschen.

(2) Bestehende Backups werden im Rahmen der regulären Backup-Zyklen überschrieben. Bis zur endgültigen Löschung bleiben die Daten den vereinbarten Schutzmaßnahmen unterworfen.

§ 11 Haftung

Für die Haftung gelten die Regelungen des Hauptvertrags sowie Art. 82 DSGVO. Im Verhältnis der Parteien trägt jede Partei die Verantwortung für die Erfüllung der ihr nach der DSGVO und diesem Vertrag obliegenden Pflichten.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

(2) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.

---

Anlage 1 - Gegenstand, betroffene Personen und Datenarten

Gegenstand und Zweck: Bereitstellung eines Online-Portals zur Verwaltung von Objekten, Mietern und der Erstellung von Nebenkosten-/Heizkostenabrechnungen, einschließlich Dokumentenablage und - soweit vom Auftraggeber aktiviert - eines Mieterportals sowie einer KI-gestützten Belegauslese.

Betroffene Personen: Mieter des Auftraggebers sowie ggf. weitere im Haushalt lebende Personen und vom Auftraggeber erfasste Kontaktpersonen.

Art der verarbeiteten Daten:

Kategorie	Beispiele
Stamm- und Kontaktdaten	Name, Postanschrift, ggf. weitere Bewohner, Etage/Wohnung, Wohnfläche, Personenzahl
Mietverhältnis	Ein-/Auszugsdatum, Nutzungszeiträume, Vorauszahlungen
Verbrauchs- und Abrechnungsdaten	Zählerstände, Verbräuche, Kostenanteile, Abrechnungsergebnisse
Zahlungsdaten	Bankverbindung/IBAN, Kautionsangaben (soweit vom Auftraggeber erfasst)
Hochgeladene Dokumente	vom Auftraggeber bereitgestellte Unterlagen; diese können - je nach Nutzung durch den Auftraggeber - besonders sensible Angaben enthalten (z. B. Bonitäts-/SCHUFA-Auskünfte, Einkommens-/Lohnnachweise)
Kommunikation	Nachrichten zwischen Auftraggeber und Mieter im Portal, Zeitstempel

Besondere Kategorien (Art. 9 DSGVO): Eine Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht vorgesehen. Lädt der Auftraggeber Dokumente mit solchen Angaben hoch, geschieht dies in seiner Verantwortung; er stellt die dafür erforderliche Rechtsgrundlage sicher.

Anlage 2 - Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung: Die Datenübertragung zwischen Browser und Portal erfolgt ausschließlich verschlüsselt (HTTPS/TLS).
• Passwortschutz: Passwörter werden ausschließlich als kryptografischer Hash gespeichert, niemals im Klartext.
• Rollen- und objektbezogene Zugriffskontrolle: Jeder Nutzer sieht nur die Daten, für die er berechtigt ist. Mieter sehen ausschließlich ihre eigenen Abrechnungen und Dokumente; die Daten anderer Mieter desselben Objekts sind technisch abgeschirmt.
• Erhöhter Schutz sensibler Dokumente: Besonders schützenswerte Uploads (z. B. Bonitäts-/Einkommensnachweise) sind zugriffsbeschränkt und für Mieter standardmäßig nicht sichtbar.
• Einwilligungs-Gate für Mieter-Versand: Der Versand von Abrechnungen/Nachrichten an Mieter setzt eine dokumentierte Einwilligung voraus.
• Missbrauchsschutz: Fehlgeschlagene Anmeldeversuche werden begrenzt, abgelaufene Sitzungen automatisch beendet, auffällige Zugriffe abgewehrt (Rate-Limiting, Angriffserkennung).
• Serverstandort Deutschland: Konten, Objekt-/Mieterdaten und hochgeladene Dokumente werden auf Servern innerhalb Deutschlands (Rechenzentrum Frankfurt am Main) gespeichert. Der Hosting-Anbieter hat vertraglich keinen inhaltlichen Zugriff auf die Daten.
• Datensparsame Wartung: Wartung, Fehleranalyse und Weiterentwicklung erfolgen grundsätzlich auf anonymisierten oder synthetischen Daten. Werden dabei KI-gestützte Werkzeuge eingesetzt, gilt der in Anlage 3 genannte Unterauftragsverarbeiter mit der Maßgabe, dass keine identifizierenden Mieterdaten übermittelt werden, sofern der Auftraggeber dem nicht ausdrücklich für einen konkreten Vorfall zustimmt.
• Löschkonzept: Aufbewahrungsfristen mit automatischer Löschung abgelaufener Sitzungen und turnusmäßiger Backup-Überschreibung.

Anlage 3 - Genehmigte Unterauftragsverarbeiter

Anbieter	Leistung	Standort / Drittland-Garantie
Bieber IT GmbH (Marke Host-Unlimited.de), Braunschweiger Straße 22, 38518 Gifhorn (AG Hildesheim, HRB 207358)	Hosting / Server-Infrastruktur des Portals	Deutschland (Rechenzentrum Frankfurt am Main); kein Drittland. AV nach Art. 28 DSGVO.
Resend (Plus Five Five, Inc.), USA	Versand von System-E-Mails (Kontobestätigung, Passwort-Zurücksetzung, Benachrichtigungen sowie - bei Einwilligung - Abrechnungen/Nachrichten an Mieter)	USA; EU-Standardvertragsklauseln (SCC) sowie EU-US Data Privacy Framework. DPA vorhanden.
Anthropic, PBC (bzw. europäische Konzerngesellschaft), USA	Optionale KI-gestützte Auslese hochgeladener Belege/Rechnungen; ggf. KI-gestützte technische Wartung nach Maßgabe von Anlage 2	USA; EU-Standardvertragsklauseln (SCC) sowie EU-US Data Privacy Framework. Keine Nutzung der Inhalte zum Training. DPA (Data Processing Addendum) vorhanden.

Die KI-gestützte Belegauslese ist eine optionale Funktion; sie wird nur ausgelöst, wenn der Auftraggeber sie im Einzelfall aktiv nutzt.

Anlage 4 - Weisungsberechtigte Personen und Kommunikationsweg

Auf Seiten des Auftraggebers: der Inhaber des Portal-Kontos bzw. die von ihm im Konto hinterlegte verantwortliche Kontaktperson. Weisungen und Mitteilungen erfolgen über die im Konto hinterlegte E-Mail-Adresse.

Auf Seiten des Auftragnehmers: die im Impressum genannte Kontaktadresse, info@nebenkosten-guru.de.

Dieser AV-Vertrag wird beim Onboarding elektronisch geschlossen; der Zeitpunkt des Abschlusses wird Ihrem Konto zugeordnet und dokumentiert. Sie können diese Seite jederzeit über die App erneut aufrufen und für Ihre Unterlagen speichern oder ausdrucken.

Stand: 31.07.2026.