Auftragsverarbeitungsvertrag (AVV) – Vorlage

Zwischen Ihnen als Vermieter:in („Verantwortlicher“) und Vermieter-Cockpit („Auftragsverarbeiter“) gemäß Art. 28 DSGVO.

Unverbindliche Vorlage, kein automatisch gültiger Vertrag. Diese Seite beschreibt, welche Regelungen ein AVV zwischen Ihnen und uns enthalten sollte, weil Sie als Vermieter:in datenschutzrechtlich „Verantwortliche:r“ für die Daten Ihrer Mieter:innen sind und wir sie in Ihrem Auftrag verarbeiten. Damit ein AVV wirksam wird, muss er tatsächlich abgeschlossen werden (z. B. digital bei der Registrierung oder als gegengezeichnetes Dokument) - eine reine Webseite reicht rechtlich nicht aus. Vor produktivem Einsatz von einer:einem Datenschutzrechtler:in prüfen lassen.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung von Vermieter-Cockpit. Die Dauer entspricht der Laufzeit des Hauptvertrags (Nutzung der Software).

2. Art und Zweck der Verarbeitung

Speicherung und Verwaltung von Objekt-, Einheiten- und Mietvertragsdaten
Automatisierte Erkennung von Beleginhalten (Beträge, Datum, Kostenart) mittels KI
Berechnung und Erstellung von Nebenkostenabrechnungen sowie zugehöriger PDFs
Bereitstellung eines Zugriffslinks, über den Mieter:innen ihre eigene Abrechnung einsehen können

3. Art der personenbezogenen Daten

Stammdaten: Name der Mieter:innen, Personenzahl im Mietverhältnis
Vertragsdaten: Mietbeginn/-ende, Vorauszahlungen
Belegdaten: Rechnungsfotos/-PDFs, ggf. mit Namen/Adressen von Dienstleistern

4. Kategorien betroffener Personen

Mieter:innen der vom Verantwortlichen verwalteten Objekte.

5. Pflichten des Auftragsverarbeiters

Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (Nutzung der Software wie vorgesehen)
Gewährleistung der Vertraulichkeit (Mandantentrennung je Organisation, siehe Abschnitt 9 der Datenschutzerklärung)
Umsetzung angemessener technischer und organisatorischer Maßnahmen (TOM) - siehe Abschnitt 7 unten
Unterstützung bei der Erfüllung von Betroffenenrechten und Datenschutz-Folgenabschätzungen, soweit zumutbar
Unverzügliche Meldung von Datenschutzverletzungen an den Verantwortlichen

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu (Art. 28 Abs. 2 DSGVO):

Anthropic PBC (USA) - Beleg-Datenextraktion, abgesichert über EU-Standardvertragsklauseln
Stripe - Zahlungsabwicklung
Resend - E-Mail-Versand
Vercel - Hosting (Region Frankfurt)
Hetzner Online GmbH (EU) - Objektspeicher

Über den Austausch oder die Ergänzung von Unterauftragsverarbeitern wird der Verantwortliche informiert und kann innerhalb einer angemessenen Frist widersprechen. [Genaue Widerspruchsfrist und Benachrichtigungsweg festlegen.]

7. Technische und organisatorische Maßnahmen (TOM)

Verschlüsselte Übertragung (TLS)
Passwort-Hashing (bcrypt), Token-Hashing (SHA-256) für Mieter-Zugriffslinks
Mandantentrennung: jede Abfrage ist an eine Organisation gebunden
Rollenbasierter Zugriff (aktuell: Objekt-Eigentümer:in)

[Vollständige TOM-Anlage nach Art. 32 DSGVO ergänzen (z. B. Backup-Konzept, Zutrittskontrolle beim Hosting-Anbieter, Verfügbarkeitskonzept) - dieser Abschnitt ist ein Ausgangspunkt, keine vollständige Anlage.]

8. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, sich von der Einhaltung dieser Vereinbarung zu überzeugen, z. B. durch Anforderung von Nachweisen oder Zertifikaten der eingesetzten Unterauftragsverarbeiter.

9. Löschung und Rückgabe nach Vertragsende

Nach Beendigung der Nutzung werden die Daten des Verantwortlichen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch wird ein Export der Daten vor Löschung bereitgestellt. [Genauen Löschzeitraum nach Kündigung festlegen (z. B. 30 Tage).]

10. Haftung

Es gelten die Haftungsregelungen des Hauptvertrags, soweit diese Vereinbarung nichts Abweichendes regelt. [Haftungsklausel juristisch abstimmen.]