Vertrag zur Auftragsverarbeitung

§ 1 Vertragsparteien

Verantwortlicher ist der Inhaber des Nutzungskontos bei mieterrechnung.de (nachfolgend „Auftraggeber“).

Auftragsverarbeiter ist: Majeb Malik Torbreite 16 37688 Beverungen Deutschland service@mieterrechnung.de

Dieser Vertrag wird mit der Registrierung eines Kontos Bestandteil des Nutzungsvertrags und gilt für die gesamte Dauer der Nutzung. Er geht den Allgemeinen Geschäftsbedingungen vor, soweit er von ihnen abweicht.

§ 2 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber zur Erstellung von Nebenkostenabrechnungen in den Dienst eingibt. Die Verarbeitung endet mit der Beendigung des Nutzungsvertrags.

§ 3 Art, Zweck und Umfang

Art der Verarbeitung: Erheben, Speichern, Ordnen, Berechnen, Ausgeben als Dokument und Löschen im Rahmen der Bereitstellung des Dienstes.

Zweck: Erstellung und Bereitstellung von Nebenkostenabrechnungen für die Mietverhältnisse des Auftraggebers.

Betroffene Personen: Mieterinnen und Mieter des Auftraggebers sowie weitere Bewohner der abgerechneten Wohnungen.

Datenarten: Namen, Anschriften, Mietzeiträume, Personenzahlen, Vorauszahlungen, Verbrauchswerte und die daraus errechneten Beträge. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet.

§ 4 Weisungsbindung

Wir verarbeiten die Daten ausschließlich im Rahmen dieses Vertrags und nach den Weisungen des Auftraggebers. Die Nutzung des Dienstes durch den Auftraggeber stellt die laufende Weisung dar; weitergehende Weisungen sind in Textform an service@mieterrechnung.de zu richten.

Halten wir eine Weisung für rechtswidrig, teilen wir dies unverzüglich mit und dürfen ihre Ausführung bis zur Bestätigung aussetzen.

Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werden die Daten nicht ausgewertet, nicht für Werbung genutzt und nicht an Dritte verkauft.

§ 5 Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Der Auftragsverarbeiter handelt derzeit als Einzelunternehmer ohne weitere Beschäftigte; werden künftig Personen eingesetzt, erfolgt deren Verpflichtung vor Aufnahme der Tätigkeit.

§ 6 Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO sind insbesondere umgesetzt:

• Übertragung ausschließlich über TLS; unverschlüsselte Aufrufe werden umgeleitet.
• Passwörter werden nur als nicht rückrechenbarer Hashwert gespeichert.
• Mandantentrennung auf Datenbankebene: Jeder Datensatz ist einem Konto zugeordnet, und die Zuordnung wird bei jedem Zugriff serverseitig erzwungen. Ein erzeugtes Dokument enthält niemals Daten anderer Mietverhältnisse.
• Zugangskontrolle über persönliche Konten; der Anwendungscode liegt außerhalb des über das Netz erreichbaren Verzeichnisses.
• Getrennte Protokollierung sicherheitsrelevanter Vorgänge.
• Regelmäßige Sicherungen der Datenbank; die Wiederherstellbarkeit wird geprüft.
• Aktualisierung der eingesetzten Software einschließlich Sicherheitsupdates.

Die Maßnahmen unterliegen der technischen Fortentwicklung. Änderungen dürfen das Schutzniveau nicht unterschreiten.

§ 7 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:

• OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich – Betrieb des Servers, Rechenzentrum in der Europäischen Union.
• Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland – Abwicklung der Zahlung. Mieterdaten werden dorthin nicht übermittelt.

Einen Wechsel oder die Aufnahme weiterer Unterauftragsverarbeiter teilen wir mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb dieser Frist widersprechen; in diesem Fall darf er den Vertrag außerordentlich kündigen.

§ 8 Unterstützung des Auftraggebers

Wir unterstützen den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und Meldepflichten nach Art. 32 bis 36 DSGVO, soweit dies erforderlich und uns möglich ist.

Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen unverzüglich an den Auftraggeber weiter und beantworten es nicht selbst.

§ 9 Meldung von Verletzungen

Verletzungen des Schutzes personenbezogener Daten melden wir dem Auftraggeber unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, mit allen uns vorliegenden Angaben nach Art. 33 Abs. 3 DSGVO.

§ 10 Nachweise und Kontrollen

Auf Anfrage weisen wir die Einhaltung der Pflichten aus diesem Vertrag nach, insbesondere die getroffenen technischen und organisatorischen Maßnahmen. Der Auftraggeber kann sich nach vorheriger Ankündigung mit angemessener Frist selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer vergewissern. Der laufende Betrieb darf dadurch nicht unangemessen beeinträchtigt werden.

§ 11 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags löschen wir die verarbeiteten Daten. Vor der Löschung kann der Auftraggeber seine Daten über die Exportfunktion sichern.

Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht – insbesondere Rechnungsbelege nach § 147 AO und § 257 HGB. Diese werden für die Dauer der Aufbewahrungsfrist gesperrt und danach gelöscht.

§ 12 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Allgemeinen Geschäftsbedingungen.

Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Weitere Einzelheiten zur Verarbeitung enthält die Datenschutzerklärung.