Vertrag zur Auftragsverarbeitung

Die Auftragnehmerin speichert und verarbeitet im Auftrag des Auftraggebers die Daten, die dieser in seinem Konto ablegt, und stellt sie ihm über die Web-App bereit. Der Vertrag gilt, solange ein Konto besteht und Daten gespeichert sind.

• Zweck: Betriebskosten- und Heizkostenabrechnung, Verwaltung von Liegenschaften und Mietverhältnissen, Abgleich zwischen Geräten, Sicherung.
• Datenarten: Stammdaten der Mieter (Name, Anschrift, Vertragsdaten), Verbrauchs- und Zählerwerte, Zahlungsdaten aus Mietverhältnissen (z. B. Vorauszahlungen, IBAN, falls erfasst), Kosten- und Abrechnungsdaten, Dokumententexte.
• Betroffene: Mieter und Bewohner, Eigentümer, Handwerker und sonstige im Konto erfasste Personen sowie der Auftraggeber selbst.
• Art der Verarbeitung: Speichern (verschlüsselt), Abrufen, Versionsverlauf, Sichern, Löschen.

Die Auftragnehmerin verarbeitet die Daten nur nach dokumentierter Weisung des Auftraggebers. Weisung ist die Nutzung der App-Funktionen sowie dieser Vertrag; weitere Weisungen erteilt der Auftraggeber in Textform. Hält die Auftragnehmerin eine Weisung für rechtswidrig, weist sie darauf hin.

Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.

• Die Daten des Auftraggebers werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel liegt nur in der Server-Umgebung.
• Passwörter werden mit Argon2id gehasht; Einmal-Links (Bestätigung, Passwort zurücksetzen) sind kurz gültig.
• Anmeldung über Sitzungs-Cookie (HttpOnly, Secure), Schutz gegen Fremdanfragen (CSRF-Token, Origin-Prüfung), Begrenzung von Anfragen.
• Die API ist nur lokal am Server erreichbar und wird über den Webserver ausgeliefert; Zugriff über TLS.
• Tägliche lokale Sicherung der Datenbank (14 Tage); die Sicherungen enthalten nur verschlüsselte Zustände.
• Die Logs enthalten keine Inhalte der Daten des Auftraggebers.

Die Maßnahmen werden fortgeschrieben. [PLATZHALTER: Offsite-Sicherung und weitere Maßnahmen nach Festlegung des Betreibers ergänzen]

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Microsoft Azure (Microsoft) – Server-Infrastruktur, Region Deutschland. [PLATZHALTER: Vertragsgesellschaft und Auftragsverarbeitungsbedingungen von Microsoft prüfen]
• E-Mail-Versand: [PLATZHALTER: E-Mail-Dienstleister – noch offen] (verarbeitet nur die E-Mail-Adresse und den Nachrichtentext, keine Daten des Auftraggebers).

Nicht beteiligt: Stripe (Zahlungsabwicklung) erhält keine Daten des Auftraggebers. Über Änderungen der Unterauftragsverarbeiter informiert die Auftragnehmerin vorab in Textform; der Auftraggeber kann widersprechen.

Die Server stehen in Deutschland; eine Übermittlung der Daten des Auftraggebers in Drittländer ist nicht vorgesehen. [PLATZHALTER: Zugriffsmöglichkeiten des Infrastrukturanbieters aus Drittländern prüfen] Die optionalen KI-Funktionen laufen über den Browser des Auftraggebers und sind nicht Teil dieser Auftragsverarbeitung.

Die Auftragnehmerin unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung), insbesondere über den Datenexport und die Löschfunktion der App, sowie bei Datenschutz-Folgenabschätzungen, soweit erforderlich und mit angemessenem Aufwand.

Die Auftragnehmerin meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, damit dieser seine Pflichten nach Art. 33 und 34 DSGVO erfüllen kann.

Der Auftraggeber kann seine Daten jederzeit exportieren und sein Konto löschen. Nach Vertragsende löscht die Auftragnehmerin die Daten; Sicherungskopien laufen nach 14 Tagen aus. [PLATZHALTER: Aufbewahrungsdauer der Kontodaten nach Vertragsende – Betreiber legt fest]

Die Auftragnehmerin stellt dem Auftraggeber auf Anfrage die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen im angemessenen Rahmen.