Auftragsverarbeitungsvertrag
Vertragsparteien
Verantwortlicher (nachfolgend „Kunde“): der jeweilige Betreiber eines Kontos auf mynebenkosten.de, wie bei der Registrierung angegeben.
Auftragsverarbeiter (nachfolgend „Anbieter“): Wizzper.de – Online-Plattformen, Software und digitales Marketing, Inhaber Jens Könnig, Dille 1, 48432 Rheine.
§ 1 Gegenstand und Dauer
1. Der Anbieter verarbeitet personenbezogene Daten, die der Kunde im Rahmen der Nutzung der Plattform mynebenkosten.de eingibt, speichert oder übermittelt, ausschließlich zur Bereitstellung der Plattform und zur Erfüllung der in diesem Vertrag beschriebenen Leistungen.
2. Die Verarbeitung beginnt mit der Registrierung bzw. der Inanspruchnahme der Plattform und endet mit der Beendigung des Nutzungsvertrags, vorbehaltlich gesetzlicher Aufbewahrungspflichten.
3. Dieser AVV wird in Textform geschlossen. Die Zustimmung bei der Registrierung (Checkbox) gilt als Abschluss in Textform. Auf Wunsch stellen wir eine unterzeichnete Fassung zur Verfügung.
§ 2 Art, Zweck und Umfang der Verarbeitung
Gegenstand ist die Verwaltung von Objekten, Mietverhältnissen, Kostenpositionen, Zählerständen, Belegen und Abrechnungen sowie die Bereitstellung von Abrechnungen für Mieter. Einzelheiten enthält Anlage 1.
Der Anbieter ist nicht berechtigt, die Daten für eigene Zwecke zu verwenden, insbesondere nicht für Werbung, Profilbildung oder Weitergabe an Dritte außerhalb der in diesem Vertrag genannten Unterauftragsverarbeiter.
§ 3 Weisungsbindung
1. Der Anbieter verarbeitet die Daten ausschließlich nach dokumentierten Weisungen des Kunden, soweit nicht eine gesetzliche Verpflichtung eine andere Verarbeitung vorschreibt. Eine solche gesetzliche Verarbeitung teilt der Anbieter dem Kunden vorab mit, sofern gesetzlich zulässig.
2. Die Nutzung der Plattformfunktionen stellt die Weisung des Kunden dar. Weitergehende Weisungen kann der Kunde in Textform erteilen.
3. Ist der Anbieter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilt er dies dem Kunden unverzüglich mit und darf die Umsetzung bis zur Bestätigung aussetzen.
§ 4 Vertraulichkeit
1. Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit und zur Einhaltung der Datenschutzvorschriften.
2. Die Verpflichtung besteht auch nach Beendigung des Vertragsverhältnisses fort.
§ 5 Technische und organisatorische Maßnahmen
Der Anbieter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Sie entsprechen dem Stand der Technik und werden fortlaufend überprüft und angepasst, soweit dies erforderlich ist, ohne das Schutzniveau zu verringern.
§ 6 Unterauftragsverarbeiter
1. Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung |
|---|---|---|
| IONOS SE, Elgendorfer Straße 57, 56410 Montabaur | Hosting, Serverbetrieb, Backups, E-Mail-Infrastruktur | Deutschland |
2. Der Anbieter informiert den Kunden über geplante Änderungen bei Unterauftragsverarbeitern mindestens vier Wochen vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall kann der Anbieter den Vertrag kündigen.
3. Der Anbieter verpflichtet Unterauftragsverarbeiter in gleichem Umfang wie sich selbst, insbesondere zu Vertraulichkeit, Weisungsbindung und angemessenen Sicherheitsmaßnahmen.
§ 7 Rechte betroffener Personen
1. Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.
2. Wendet sich eine betroffene Person direkt an den Anbieter, wird der Antrag unverzüglich an den Kunden weitergeleitet, sofern die betroffene Person nicht ausdrücklich etwas anderes verlangt.
§ 8 Berichtigung, Einschränkung und Löschung
Der Kunde kann Daten jederzeit über die Plattform berichtigen, einschränken oder löschen. Löschungen erfolgen unverzüglich, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Nach Vertragsende werden die Daten innerhalb von 30 Tagen gelöscht oder – auf Weisung – in einem gängigen Format zurückgegeben, vorbehaltlich gesetzlicher Aufbewahrungsfristen.
§ 9 Meldung von Verletzungen
Der Anbieter meldet dem Kunden unverzüglich nach Kenntnisnahme jede Verletzung des Schutzes personenbezogener Daten, die im Rahmen des Vertrags verarbeitet werden. Die Meldung enthält mindestens die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Der Anbieter unterstützt den Kunden bei der Erfüllung von Meldepflichten nach Art. 33 und 34 DSGVO.
§ 10 Kontrollrechte des Kunden
1. Der Kunde hat das Recht, sich von der Einhaltung der in diesem Vertrag getroffenen Maßnahmen zu überzeugen. Kontrollen erfolgen nach vorheriger Abstimmung, während der üblichen Geschäftszeiten und ohne Störung des Betriebs.
2. Der Anbieter kann zum Nachweis geeignete Zertifizierungen, Berichte oder schriftliche Auskünfte vorlegen. Ein Vor-Ort-Zugang zu Rechenzentren des Hosters besteht nicht.
§ 11 Pflichten des Kunden
1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und für die Erteilung der erforderlichen Informationen an betroffene Personen verantwortlich.
2. Der Kunde stellt sicher, dass die von ihm eingegebenen Daten richtig und vollständig sind und dass er zur Verarbeitung berechtigt ist.
3. Der Kunde verwahrt Zugangsdaten sorgfältig und meldet Missbrauch unverzüglich.
§ 12 Haftung
Die Haftung richtet sich nach den gesetzlichen Vorschriften und den Haftungsregelungen der AGB. Der Anbieter haftet gegenüber dem Kunden für Schäden, die durch eine schuldhafte Verletzung dieses AVV entstehen, nach Maßgabe der AGB.
§ 13 Schlussbestimmungen
1. Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, Rheine.
2. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Anlage 1 – Gegenstand der Verarbeitung
| Gegenstand | Bereitstellung einer Online-Plattform zur Erfassung und Abrechnung von Betriebskosten sowie zur Bereitstellung von Abrechnungen für Mieter. |
|---|---|
| Zweck | Verwaltung von Objekten, Einheiten, Mietverhältnissen, Kosten, Zählerständen, Belegen und Abrechnungen; Berechnung und Darstellung der Abrechnung; Zugang für Mieter. |
| Datenkategorien | Stammdaten (Name, Anschrift, E-Mail, Telefon), Vertragsdaten (Mietzeitraum, Fläche, Personenanzahl, Miete, Vorauszahlungen), Abrechnungsdaten (Kostenpositionen, Verbrauchswerte, Zählerstände, Anteile, Salden), Belegdaten (Rechnungen, Verträge, Ablesungen), Zugangsdaten (Passwort-Hash, Einladungstoken, Session-Cookies), technische Protokolldaten. |
| Betroffene Personen | Vermieter und deren Mitarbeiter, Mieter und Haushaltsangehörige, ggf. Handwerker und Dienstleister, soweit in Belegen genannt. |
| Dauer | Laufzeit des Nutzungsvertrags; anschließend Löschung nach Ablauf gesetzlicher Aufbewahrungsfristen. |
Anlage 2 – Technische und organisatorische Maßnahmen
Vertraulichkeit
- Rollen- und rechtebasierter Zugriff; Mieter sehen ausschließlich eigene Abrechnungen.
- Passwörter werden mit bcrypt gehasht; Sitzungen über signierte, httpOnly-Cookies.
- Zugang zur Infrastruktur nur für autorisierte Personen über SSH-Schlüssel.
- Belege und Daten sind logisch je Betrieb getrennt.
Integrität
- Eingaben werden serverseitig validiert; Zugriffe auf fremde Betriebe werden geprüft.
- Änderungen an zentralen Vorgängen werden protokolliert (Audit-Log).
- Regelmäßige Sicherung der Datenbank und der Belege.
Verfügbarkeit und Belastbarkeit
- Betrieb auf Servern in Deutschland mit redundanter Infrastruktur des Hosters.
- Automatische Neustarts und Überwachung der Dienste.
- Backups werden regelmäßig erstellt und auf Wiederherstellbarkeit geprüft.
Transparenz und Überprüfung
- Transportverschlüsselung mit TLS.
- Regelmäßige Aktualisierung von Abhängigkeiten und Sicherheitsupdates.
- Dokumentation der Verarbeitungstätigkeiten und dieser Maßnahmen.
Weisungen zur Löschung
Löschungen erfolgen über die Plattform oder auf Weisung in Textform. Nach Vertragsende werden Daten nach Ablauf der Aufbewahrungsfristen gelöscht. Backups werden im Rahmen des Backup-Zyklus überschrieben.
Mit der Registrierung bestätigt der Kunde, diesen AVV einschließlich der Anlagen abzuschließen. Eine unterzeichnete Fassung kann unter info@wizzper.de angefordert werden.