Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Wir erstellen für Sie aus der Jahresabrechnung Ihrer Wohnungseigentümergemeinschaft und Ihrem Mietvertrag die Betriebskostenabrechnung für Ihren Mieter (Hauptvertrag nach den AGB). Dabei verarbeiten wir personenbezogene Daten Ihres Mieters und weiterer in den Unterlagen genannter Personen in Ihrem Auftrag. Für diese Daten sind Sie Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO; Ihre Rechtsgrundlage ist der Mietvertrag mit der Abrechnungspflicht aus § 556 Abs. 3 BGB (Art. 6 Abs. 1 lit. b DSGVO). Dieser Vertrag gilt ab Bestellung bis zur vollständigen Löschung der Daten nach Ziffer 9.

2. Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen

Verarbeitet werden: Erhebung durch Upload, Speicherung, Texterkennung, automatisierte Auswertung und Zuordnung der Positionen, Berechnung, Erstellung der Abrechnung als PDF, Übermittlung an Sie per E-Mail, Löschung. Zweck ist ausschließlich die Erstellung der Betriebskostenabrechnung für das im Auftrag genannte Mietverhältnis und Abrechnungsjahr.

Datenkategorien: Name und Anschrift des Mieters, Wohnungsdaten (Lage, Wohnfläche), Vertragsdaten (Mietbeginn, Mietende, Vorauszahlungen, vereinbarte Umlage), Zahlungsdaten (geleistete Vorauszahlungen), gegebenenfalls Bankverbindung, sowie die in der Jahresabrechnung enthaltenen Angaben zu Kosten und Verteilerschlüsseln. Betroffene Personen: Ihr Mieter und Mitmieter, gegebenenfalls Ihre Verwaltung und weitere in den Unterlagen genannte Personen. Besondere Kategorien nach Art. 9 DSGVO werden nicht benötigt; Sie dürfen solche Angaben vor dem Upload schwärzen.

3. Weisungen (Art. 28 Abs. 3 lit. a)

Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Ihre Weisungen ergeben sich aus der Bestellung, diesem Vertrag und den AGB; weitere Weisungen erteilen Sie in Textform an support@hausgeldabrechner.de. Halten wir eine Weisung für rechtswidrig, teilen wir Ihnen das unverzüglich mit und dürfen die Ausführung bis zu Ihrer Bestätigung aussetzen. Eine Übermittlung in ein Drittland erfolgt nur im Rahmen der in Anhang 1 genannten Unterauftragsverarbeiter oder wenn das Recht der Union oder eines Mitgliedstaats uns dazu verpflichtet; in diesem Fall informieren wir Sie vorher, soweit das zulässig ist.

4. Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Zugriff auf die Daten haben nur Personen, die wir zur Vertraulichkeit verpflichtet haben und die die Daten für die Erstellung der Abrechnung benötigen. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

5. Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

Wir treffen die in Anhang 2 beschriebenen Maßnahmen und passen sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht unterschreiten.

6. Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4, Abs. 3 lit. d)

Sie genehmigen mit Vertragsschluss die in Anhang 1 aufgeführten Unterauftragsverarbeiter allgemein. Mit jedem Unterauftragsverarbeiter haben wir einen Vertrag geschlossen, der ihm dieselben Datenschutzpflichten auferlegt wie dieser Vertrag uns; für Übermittlungen in die USA gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914). Über beabsichtigte Änderungen, also die Hinzunahme oder Ersetzung eines Unterauftragsverarbeiters, informieren wir Sie mindestens 14 Tage vorher per E-Mail oder auf dieser Seite; Sie können der Änderung innerhalb dieser Frist aus wichtigem Grund widersprechen. Bei einem Widerspruch dürfen beide Seiten den Auftrag beenden; einen bereits gezahlten Preis erstatten wir, soweit noch keine Leistung erbracht ist. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haften wir Ihnen gegenüber für ihn.

7. Rechte der betroffenen Personen (Art. 28 Abs. 3 lit. e)

Wendet sich Ihr Mieter oder eine andere betroffene Person mit einem Anspruch nach Art. 15 bis 22 DSGVO an uns, leiten wir die Anfrage unverzüglich an Sie weiter und unterstützen Sie mit den bei uns vorhandenen Informationen, soweit Sie die Anfrage nicht selbst beantworten können. Wir antworten der betroffenen Person nicht ohne Ihre Weisung.

8. Unterstützung, Verletzungen des Schutzes personenbezogener Daten (Art. 28 Abs. 3 lit. f)

Wir unterstützen Sie bei Ihren Pflichten aus Art. 32 bis 36 DSGVO, soweit es die Art der Verarbeitung und die uns vorliegenden Informationen zulassen. Eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, melden wir Ihnen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns bekannt sind; Nachreichungen folgen. Anfragen einer Aufsichtsbehörde, die Ihre Daten betreffen, leiten wir Ihnen unverzüglich zu.

9. Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

Die gelieferte Abrechnung und der Vermieterbericht gehen Ihnen als Dateien zu; damit sind die Ergebnisse zurückgegeben. Die hochgeladenen Unterlagen, die Zwischenergebnisse und die gelieferten Dateien löschen wir regelmäßig zwölf Monate nach Lieferung, auf Ihre Weisung jederzeit früher; wird keine Abrechnung erstellt, spätestens 60 Tage nach Eingang. Kopien bei Unterauftragsverarbeitern werden nach deren in Anhang 1 genannten Fristen gelöscht. Auf Ihre Anfrage bestätigen wir die Löschung in Textform. Daten, die wir nach dem Steuerrecht aufbewahren müssen (Rechnungsdaten kostenpflichtiger Aufträge), sind davon ausgenommen; sie enthalten keine Daten Ihres Mieters.

10. Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h)

Wir stellen Ihnen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, in erster Linie diesen Vertrag, Anhang 2 und die Nachweise unserer Unterauftragsverarbeiter (Verträge, Zertifikate, Auditberichte). Eine Kontrolle vor Ort ist nach Ankündigung mit angemessener Frist während der Geschäftszeiten möglich, höchstens einmal im Jahr, es sei denn, ein konkreter Anlass rechtfertigt mehr. Wir weisen Sie darauf hin, wenn eine Weisung unseres Erachtens gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

11. Ihre Pflichten, Haftung, Schluss

Sie sind für die Zulässigkeit der Verarbeitung und die Wahrung der Rechte Ihres Mieters verantwortlich, insbesondere für die Information Ihres Mieters nach Art. 13 DSGVO, soweit erforderlich. Sie stellen uns nur die Unterlagen zur Verfügung, die für die Abrechnung nötig sind. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB. Dieser Vertrag geht bei Widersprüchen den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Es gilt deutsches Recht.

Anhang 1: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Hosting der Anwendung und Speicherung der Unterlagen. Verarbeitung in Deutschland. Löschung mit unserer Löschung (Ziffer 9).
• LlamaIndex, Inc., USA (Vertreter in der EU: Prighter). Texterkennung der hochgeladenen Dokumente (LlamaParse) über die EU-Umgebung des Dienstes im Rechenzentrum Frankfurt am Main; Vertragspartner ist die US-Gesellschaft, deshalb gelten die EU-Standardvertragsklauseln. Erhält nur die Dokumentinhalte, nicht Ihre E-Mail-Adresse; Dokumente und Ergebnisse werden dort spätestens 48 Stunden nach der Verarbeitung gelöscht; keine Nutzung zum Training.
• Anthropic Ireland, Limited, Dublin, Irland (Konzern: Anthropic PBC, San Francisco, USA). Automatisierte Auswertung und Zuordnung der erkannten Inhalte (Sprachmodell Claude über die Programmierschnittstelle). Verarbeitung in den USA auf Grundlage der EU-Standardvertragsklauseln (Modul 3 des Auftragsverarbeitungsvertrags); erhält nur die Dokumentinhalte, nicht Ihre E-Mail-Adresse; keine Nutzung zum Training; Ein- und Ausgaben werden spätestens nach 30 Tagen gelöscht.
• ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland (Unterauftragsverarbeiter: Neue Medien Münnich GmbH, Neusalza-Spremberg). Versand der Bestätigungs-E-Mails und der Abrechnung. Verarbeitung in Rechenzentren in Dresden und Friedersdorf; E-Mails verbleiben nicht dauerhaft auf dem Versandserver.

Anhang 2: Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung. Upload, Website und E-Mail-Versand nur über TLS.
• Zugangskontrolle. Server nur über Schlüssel-Authentifizierung erreichbar; Zugriff auf hochgeladene Unterlagen nur für den Geschäftsführer und die mit dem Betrieb betrauten, zur Vertraulichkeit verpflichteten Personen.
• Datensparsamkeit. Die KI-Dienste erhalten nur die Dokumentinhalte, nicht Ihre E-Mail-Adresse; das Formular fragt nur die für die Abrechnung nötigen Angaben ab; Sie dürfen nicht benötigte Angaben vor dem Upload schwärzen.
• Trennung. Jeder Auftrag wird in einem eigenen Vorgang mit eigener Kennung gespeichert; keine Zusammenführung mit anderen Aufträgen, keine Auswertung zu anderen Zwecken, keine Nutzung zum Training von Modellen.
• Löschkonzept. Regelmäßige Löschung zwölf Monate nach Lieferung, ohne Abrechnung nach 60 Tagen, auf Weisung sofort; die Löschung wird protokolliert.
• Verfügbarkeit. Rechenzentrum in Deutschland mit den Sicherheits- und Verfügbarkeitsmaßnahmen des Hosters (ISO 27001); Wiederherstellung aus Sicherungen, die derselben Löschfrist unterliegen.
• Unterauftragsverarbeiter. Auswahl nur mit Vertrag nach Art. 28 DSGVO, bei US-Anbietern mit EU-Standardvertragsklauseln; Liste in Anhang 1, Änderungen nach Ziffer 6.
• Organisation. Verpflichtung aller Beteiligten zur Vertraulichkeit; Meldeweg für Datenschutzverletzungen an den Geschäftsführer; Überprüfung dieser Maßnahmen mindestens jährlich.