Vertrag über die Auftragsverarbeitung

nach Art. 28 DSGVO · Fassung 2026-08-10

Zwischen dir als Auftraggeber – dem Inhaber des Vermieterklar-Kontos – und Thimo Stender Digital Solutions, Inhaber: Thimo Stender, Klaus-Groth-Straße 5, 21244 Buchholz in der Nordheide, als Auftragnehmer.

Warum du diesen Vertrag brauchst

Sobald du Daten deiner Mieter in Vermieterklar erfasst, bist du dafür Verantwortlicher im Sinne der DSGVO und wir verarbeiten sie in deinem Auftrag. Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag – auch bei einer einzigen vermieteten Wohnung. Die Ausnahme für persönliche Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO) greift nicht, weil Vermieten eine wirtschaftliche Tätigkeit ist. Der Vertrag kommt bei der Registrierung elektronisch zustande; Art. 28 Abs. 9 DSGVO lässt das ausdrücklich zu.

§ 1 Gegenstand und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber im Rahmen der Nutzung von Vermieterklar (vermieterklar.de).

(2) Der Vertrag beginnt mit seiner Annahme und läuft, solange das Nutzerkonto besteht. Er endet mit der Löschung des Kontos, ohne dass es einer Kündigung bedarf.

(3) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO, der Auftragnehmer Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

§ 2 Art und Zweck der Verarbeitung

(1) Der Auftragnehmer stellt eine Anwendung zur Verwaltung vermieteter Immobilien bereit. Verarbeitet wird, was für den Betrieb dieser Anwendung erforderlich ist: Speichern, Ordnen, Auslesen, Berechnen, Erzeugen von Schreiben sowie – auf Veranlassung des Auftraggebers – deren Versand.

(2) Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Insbesondere werden die Daten nicht ausgewertet, nicht zu Werbezwecken genutzt und nicht an Dritte verkauft.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Verarbeitet werden: Stammdaten der Mietverhältnisse (Name, Anschrift, E-Mail-Adresse), Vertragsdaten (Ein- und Auszug, Miete, Vorauszahlung, Kaution), Abrechnungs- und Zahlungsdaten, Zählerstände und Verbrauchswerte, Angaben aus Übergabeprotokollen sowie Inhalte hochgeladener Belege.

(2) Betroffene Personen sind die Mieterinnen und Mieter des Auftraggebers, deren Haushaltsangehörige, soweit erfasst, sowie Geschäftspartner des Auftraggebers, die er im Kontaktbuch anlegt.

§ 4 Weisungsgebundenheit (Art. 28 Abs. 3 lit. a)

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als Weisung gilt die Nutzung der Anwendung durch den Auftraggeber; darüber hinausgehende Weisungen sind in Textform an kontakt@vermieterklar.de zu richten.

(2) Ist der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, unterrichtet er den Auftraggeber vorher darüber, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die Datenschutz-Grundverordnung oder andere Datenschutzbestimmungen verstößt.

§ 5 Vertraulichkeit (Art. 28 Abs. 3 lit. b)

(1) Der Auftragnehmer ist ein Einzelunternehmen ohne Beschäftigte. Der Inhaber ist auf die Vertraulichkeit verpflichtet; die Verpflichtung besteht auch nach Beendigung dieses Vertrags fort.

(2) Sollten künftig Beschäftigte hinzukommen, werden sie vor der Aufnahme ihrer Tätigkeit auf die Vertraulichkeit verpflichtet und in den Anforderungen des Datenschutzes unterwiesen.

§ 6 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

(1) Der Auftragnehmer trifft die in Anlage 1 beschriebenen Maßnahmen. Er darf sie fortentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 7 Unterauftragnehmer (Art. 28 Abs. 2 und 4)

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragnehmer einzusetzen.

(2) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragnehmer hinzuzuziehen oder einen bestehenden zu ersetzen, unterrichtet er den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann jede Seite den Vertrag zum Zeitpunkt der beabsichtigten Änderung kündigen.

(3) Der Auftragnehmer erlegt jedem Unterauftragnehmer dieselben Datenschutzpflichten auf, die ihn nach diesem Vertrag treffen, und bleibt dem Auftraggeber gegenüber für deren Erfüllung verantwortlich.

§ 8 Rechte der betroffenen Personen (Art. 28 Abs. 3 lit. e)

(1) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

(2) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit zu erfüllen. Insbesondere steht in der Anwendung jederzeit ein vollständiger Datenexport in einem gängigen, maschinenlesbaren Format bereit.

§ 9 Unterstützung des Auftraggebers (Art. 28 Abs. 3 lit. f)

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten und einer etwaigen Datenschutz-Folgenabschätzung.

(2) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, spätestens innerhalb von 24 Stunden, in Textform. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl der Betroffenen sowie die ergriffenen Gegenmaßnahmen.

§ 10 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

(1) Nach Beendigung der Verarbeitung löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Der Auftraggeber kann seine Daten jederzeit selbst und ohne Mitwirkung des Auftragnehmers vollständig exportieren. Nach Löschung des Kontos werden die Daten binnen 30 Tagen aus den aktiven Systemen entfernt; Sicherungskopien laufen nach spätestens 30 weiteren Tagen aus.

(3) Rechnungen und Buchungsbelege des Vertragsverhältnisses zwischen Auftraggeber und Auftragnehmer bleiben von der Löschung unberührt; für sie gelten die handels- und steuerrechtlichen Aufbewahrungsfristen.

§ 11 Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h)

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Auftraggeber ist berechtigt, die Einhaltung zu überprüfen oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer überprüfen zu lassen. Überprüfungen vor Ort sind mit angemessener Vorankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs durchzuführen.

§ 12 Ort der Verarbeitung

(1) Die Verarbeitung findet in der Europäischen Union statt. Ausgenommen ist das Auslesen von Belegen, das der Auftraggeber freiwillig nutzt; hierfür werden Daten in die USA übermittelt. Grundlage sind Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

(2) Der Auftraggeber kann auf diese Funktion verzichten und Belege von Hand erfassen. Die Anwendung ist ohne sie vollständig nutzbar.

§ 13 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO.

(2) Änderungen dieses Vertrags bedürfen der Textform. Widersprechen sich dieser Vertrag und die Allgemeinen Geschäftsbedingungen, geht dieser Vertrag vor.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zugangskontrolle: Der Zugang setzt E-Mail und Passwort voraus. Passwörter werden ausschließlich als Hash gespeichert und sind auch für uns nicht lesbar.
Zugriffskontrolle: Jede Datenbankabfrage läuft über Zugriffsregeln auf Zeilenebene (Row Level Security). Ein Konto kann technisch nur die eigenen Daten lesen und schreiben – nicht durch Programmlogik, sondern durch die Datenbank selbst erzwungen.
Verschlüsselung: Übertragung ausschließlich über TLS. Datenbank und Dateispeicher sind im Ruhezustand verschlüsselt.
Trennungskontrolle: Die Daten verschiedener Kunden liegen in derselben Datenbank, sind aber über die Kontokennung getrennt und durch die Zugriffsregeln gegeneinander abgeschottet. Hochgeladene Dateien liegen in kontoeigenen Pfaden und sind nur über zeitlich befristete, signierte Verweise abrufbar.
Verfügbarkeit: Tägliche Sicherung der Datenbank durch den Unterauftragnehmer Supabase mit Wiederherstellungsmöglichkeit.
Eingabekontrolle: Änderungen an Objekten, Wohnungen und Mietverhältnissen werden mit Zeitpunkt und handelndem Konto protokolliert und sind im Änderungsprotokoll einsehbar.
Weisungskontrolle: Der Auftragnehmer ist ein Einzelunternehmen ohne Beschäftigte. Zugriff auf Kundendaten hat allein der Inhaber, und zwar ausschließlich zur Fehlersuche auf Anforderung des Kunden.

Anlage 2: Unterauftragnehmer

Diesen Unterauftragnehmern stimmst du mit dem Vertrag zu (§ 7). Neue werden dir mindestens vier Wochen vorher in Textform angekündigt.

Unternehmen	Leistung	Ort der Verarbeitung
Supabase Inc. San Francisco, USA	Datenbank, Anmeldung und Dateispeicher	Frankfurt am Main (AWS eu-central-1) Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO; Speicherung ausschließlich in der EU
Railway Corporation San Francisco, USA	Betrieb der Anwendung (Hosting)	Amsterdam, Niederlande Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO; Zugriff aus den USA zu Wartungszwecken nicht ausgeschlossen
Resend, Inc. Wilmington, Delaware, USA	Versand der E-Mails an dich und – wenn du sie nutzt – der Abrechnungsschreiben an deine Mieter	EU-Region Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO
Anthropic PBC San Francisco, USA	Auslesen hochgeladener Belege (nur wenn du diese Funktion nutzt)	USA Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO; keine Verwendung der Daten zum Training

Der Zahlungsdienstleister Stripe ist bewusst nicht aufgeführt: Er verarbeitet deine eigenen Rechnungsdaten und ist dafür selbst Verantwortlicher. Daten deiner Mieter erhält er nicht.