Vertrag über die Auftragsverarbeitung

Vertragsparteien

zwischen dem Nutzer, der die Vermieter-Verwaltung oder die WEG-Verwaltung von Mein-Nebenkostenrechner.de mit seinem Konto verwendet oder im Nebenkostenrechner im Rahmen einer Einzel-Abrechnung oder eines Abrechnungs-Pakets personenbezogene Daten von Mietern verarbeitet (nachfolgend Verantwortlicher, Art. 4 Nr. 7 DSGVO)

und

Marcel Schlüter IT-Services
Mein-Nebenkostenrechner.de
Kollwitzstraße 76
10435 Berlin
Deutschland
E-Mail: kontakt@mein-nebenkostenrechner.de
(nachfolgend Auftragsverarbeiter, Art. 4 Nr. 8 DSGVO).

Die Angaben zum Auftragsverarbeiter entsprechen dem Impressum. Für die eigenen Kontodaten des Verantwortlichen (E-Mail-Adresse, Vertrags- und Zahlungsdaten) ist der Auftragsverarbeiter selbst Verantwortlicher; dafür gilt die Datenschutzerklärung, nicht dieser Vertrag.

§ 1 Gegenstand und Dauer des Auftrags(Art. 28 Abs. 3 Satz 1 DSGVO)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Anwendung Mein-Nebenkostenrechner.de mit den Modulen Vermieter-Verwaltung und WEG-Verwaltung als Software-as-a-Service bereit (Hauptvertrag: Nutzungsvertrag nach den Allgemeinen Geschäftsbedingungen). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten Dritter, die der Verantwortliche in der Anwendung erfasst, hochlädt oder über Formular- und Portallinks erheben lässt. Erfasst ist außerdem der Nebenkostenrechner, soweit der Verantwortliche dort im Rahmen einer Einzel-Abrechnung oder eines Abrechnungs-Pakets personenbezogene Daten von Mietern (etwa Namen, Anschriften, Nutzungszeiträume, Personenzahlen und Vorauszahlungen) auf unseren Servern verarbeiten lässt. Gegenstand dieses Vertrages ist die Regelung dieser Verarbeitung im Auftrag.

(2) Dieser Vertrag wird mit dem Abschluss eines Abonnements einbezogen, soweit der Verantwortliche darin Verwaltungsfunktionen mit personenbezogenen Daten Dritter nutzt, sowie mit dem Kauf einer Einzel-Abrechnung oder eines Abrechnungs-Pakets, soweit der Verantwortliche dabei im Rechner personenbezogene Daten von Mietern verarbeitet (§ 3c der Allgemeinen Geschäftsbedingungen). Er gilt für die Dauer des Hauptvertrages. Er endet mit der Löschung des Kontos, spätestens mit dem Ende des Nutzungsvertrages; ohne Benutzerkonto endet er mit der Löschung der zur Abrechnung gespeicherten Daten nach § 11. Die Pflichten aus § 5 (Vertraulichkeit) und § 11 (Löschung) bestehen über das Vertragsende hinaus.

(3) Die Daten werden in Rechenzentren in der Bundesrepublik Deutschland gespeichert und verarbeitet. Der Datenverkehr zwischen dem Browser und der Anwendung läuft über das Netz des in § 7 genannten Dienstleisters Cloudflare. Ausgenommen sind außerdem die in § 7 genannten KI-Funktionen, die der Verantwortliche nur durch eine ausdrückliche Handlung in der Anwendung auslöst.

§ 2 Art und Zweck der Verarbeitung(Art. 28 Abs. 3 Satz 1 DSGVO)

(1) Art der Verarbeitung: Erheben über Formulare und Portale, Speichern in einer Datenbank und im Dateisystem, Ordnen, Verändern, Auslesen, Abfragen, Verwenden zur Berechnung (Sollstellungen, Mahnungen, Betriebskostenabrechnung nach § 556 BGB, Jahresabrechnung und Wirtschaftsplan nach § 28 WEG), Erstellen von Dokumenten (PDF), KI-gestütztes Auslesen einzelner Angaben aus hochgeladenen Dokumenten und Beantworten von Fragen zum Datenbestand durch die Konto-Assistentin Lena, jeweils auf Veranlassung des Verantwortlichen, Übermitteln per E-Mail auf Veranlassung des Verantwortlichen, Bereitstellen in Portalen (Mieterportal, Eigentümer-Einsicht), Exportieren (Datenexport, DATEV-Format), Einschränken und Löschen.

(2) Zweck der Verarbeitung: Durchführung und Verwaltung von Mietverhältnissen und Wohnungseigentümergemeinschaften durch den Verantwortlichen, insbesondere Mieterauswahl (Selbstauskunft, Interessentenverwaltung), Vertragsanbahnung und Vertragsdurchführung, Zahlungsverkehr und Mahnwesen, Betriebskosten- und WEG-Abrechnung, Kommunikation mit Mietern und Eigentümern, Dokumentation und Aufbewahrung nach den gesetzlichen Vorschriften, sowie die Unterstützung des Verantwortlichen beim Erfassen von Angaben aus Dokumenten und beim Auffinden und Auswerten seiner eigenen Daten.

(3) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu diesen Zwecken. Eine Nutzung für eigene Zwecke, insbesondere für Werbung, Profilbildung oder das Training von KI-Modellen, findet nicht statt.

§ 3 Art der Daten und Kategorien betroffener Personen(Art. 28 Abs. 3 Satz 1 DSGVO)

(1) Kategorien betroffener Personen:

• Mieter und Mitbewohner der verwalteten Einheiten sowie ehemalige Mieter,
• Mietinteressenten, die eine Selbstauskunft abgeben oder als Interessenten erfasst werden,
• Eigentümer und Mitglieder des Verwaltungsbeirats einer Wohnungseigentümergemeinschaft,
• Kontakte des Verantwortlichen, etwa Handwerksbetriebe, Dienstleister, Hausverwaltungen, Versorger und Behörden,
• Personen, die in hochgeladenen Dokumenten, Belegen oder Fotos genannt oder abgebildet sind.

(2) Art der personenbezogenen Daten:

• Stammdaten: Name, Anrede, Anschrift, E-Mail-Adresse, Telefonnummer, bei Selbstauskünften Geburtsdatum,
• Vertragsdaten: Einheit, Einzugs- und Auszugsdatum, Personenzahl, Miete, Vorauszahlungen, Kaution, Nachträge, Kündigungen, Mietanpassungen, Mietvertragsdaten und Signaturprotokolle (Name, Datum, Prüfsummen),
• Zahlungsdaten: Sollstellungen, Zahlungseingänge, offene Posten, Mahnstufen, Kontoumsätze aus dem Bankimport (Buchungsdatum, Betrag, Verwendungszweck, Name des Auftraggebers oder Empfängers) einschließlich der importierten Originaldatei, Bankverbindungen von Kontakten,
• Verbrauchs- und Objektdaten: Zählerstände, Zählerfotos, Wohnflächen, Miteigentumsanteile, Hausgeld, Beschlüsse, Versammlungsunterlagen,
• Bewerbungsdaten aus der Selbstauskunft: Beruf, Arbeitgeber, Beschäftigungsdauer, Einkommensspanne, Haustiere, Raucherstatus, Angaben zu Mietrückständen, Räumungsklagen und Insolvenzverfahren, Bonitätsvermerke des Verantwortlichen,
• Kommunikationsdaten: Gesprächsverläufe mit der Assistentin Lena einschließlich der von den Lesewerkzeugen gelieferten Kontodaten, Vorschläge der Assistentin und Vorschläge der KI-Auslesung mit Textstellen, Anschreiben, E-Mails aus dem Postausgang (Empfänger, Betreff, Text, Anhang), Portal-Tickets und Mängelmeldungen,
• Dokumente und Dateien: Mietverträge, Übergabeprotokolle, Belege, Bescheinigungen, Korrespondenz (z. B. hochgeladene E-Mails), sonstige vom Verantwortlichen hochgeladene Dateien (PDF, Bilder, Office-Dokumente, Text- und CSV-Dateien, ZIP-Archive), erzeugte Exportfassungen im DATEV-Format.

(3) Die Anwendung ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ausgerichtet und fragt solche Daten nicht ab; insbesondere stellt die Selbstauskunft keine Fragen nach Gesundheit, Religion, Herkunft, Schwangerschaft oder Mitgliedschaften. Lädt der Verantwortliche Dokumente oder Dateien hoch, entscheidet er allein über deren Inhalt. Er stellt sicher, dass er für die Verarbeitung etwaiger darin enthaltener besonderer Kategorien eine tragfähige Rechtsgrundlage (Art. 9 Abs. 2 DSGVO) hat, und lädt solche Daten nur hoch, soweit dies erforderlich und zulässig ist. Der Auftragsverarbeiter verarbeitet auch solche Inhalte ausschließlich auf Weisung des Verantwortlichen und speichert sie wie die übrigen hochgeladenen Dateien.

§ 4 Rechte des Verantwortlichen, Weisungen(Art. 28 Abs. 3 Satz 2 lit. a, Art. 29 DSGVO)

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 5 Abs. 2, Art. 24 DSGVO). Er stellt insbesondere sicher, dass eine Rechtsgrundlage für die Erhebung der Daten Dritter besteht, dass er die betroffenen Personen nach Art. 13 und 14 DSGVO informiert und dass er nur Daten erfasst, die für den Zweck erforderlich sind.

(2) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 Satz 2 lit. a, Art. 29 DSGVO). Als Weisungen gelten dieser Vertrag, der Hauptvertrag sowie die Handlungen des Verantwortlichen in der Anwendung (Erfassen, Ändern, Löschen, Exportieren, Versenden, Freigeben von Portalen, Auslösen der KI-Funktionen, Fragen an die Assistentin Lena, Bestätigen oder Verwerfen von Vorschlägen). Weitere Weisungen erteilt der Verantwortliche in Textform an kontakt@mein-nebenkostenrechner.de. Weisungen, die über den Leistungsumfang der Anwendung hinausgehen, bedürfen einer gesonderten Vereinbarung.

(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen.

(4) Abweichend von Absatz 2 darf der Auftragsverarbeiter Daten verarbeiten, soweit er durch das Recht der Union oder der Mitgliedstaaten dazu verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(5) Der Verantwortliche kann dem Auftragsverarbeiter über die Funktion „Support-Zugang“ für jeweils 24 Stunden Zugriff auf die im Konto gespeicherten Daten gewähren. Die Freigabe gilt als Weisung zur Einsicht und Bearbeitung zum Zweck der Unterstützung (anlegen, korrigieren, archivieren, auch Mietverhältnisse anlegen und Beträge korrigieren, woraus Sollstellungen entstehen können). Korrekturen an Daten, die betroffene Personen in ihrer Einsicht sehen (bei WEG-Verwaltungen Kosten, Anteile und Eigentümerdaten), sind dort sofort sichtbar. Ausgenommen sind endgültiges Löschen, Bank- und Zahlungsdaten, Exporte, Bekanntgaben an betroffene Personen (etwa Abrechnungen speichern oder versenden, Zahlungen buchen, Beschlüsse fassen) und Erklärungen im Namen des Verantwortlichen. Der Verantwortliche kann die Freigabe jederzeit vorzeitig beenden; sie endet auch, wenn er sich abmeldet oder sein Passwort ändert. Verlängern oder erneut erteilen kann nur er selbst. E-Mails an betroffene Personen verschickt der Auftragsverarbeiter dabei nicht. Beginn und Ende jedes Zugriffs sowie jede Änderungsanfrage werden protokolliert und dem Verantwortlichen im Konto angezeigt.

§ 5 Vertraulichkeit(Art. 28 Abs. 3 Satz 2 lit. b DSGVO)

(1) Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Die Verpflichtung besteht nach dem Ende der Tätigkeit fort.

(2) Zugriff auf Daten des Verantwortlichen erhalten nur Personen, die ihn zur Erfüllung des Vertrages, zur Fehlerbehebung oder zum Support benötigen. Ein Support-Zugriff auf Inhalte der Verwaltung erfolgt nur auf Anfrage des Verantwortlichen oder zur Abwehr einer konkreten Störung und wird protokolliert.

§ 6 Technische und organisatorische Maßnahmen(Art. 28 Abs. 3 Satz 2 lit. c, Art. 32 DSGVO)

Der Auftragsverarbeiter trifft die folgenden technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und passt sie dem Stand der Technik an. Eine Änderung ist zulässig, solange das Schutzniveau nicht unterschritten wird.

• Zutritts- und Standortkontrolle: Betrieb auf Servern der Hetzner Online GmbH im Rechenzentrum Falkenstein (Deutschland) mit Zutrittskontrolle, Videoüberwachung, Brandschutz und unterbrechungsfreier Stromversorgung des Rechenzentrumsbetreibers (ISO/IEC 27001).
• Zugangskontrolle: Serverzugang nur über SSH mit Schlüsselverfahren, Firewall mit Beschränkung auf die benötigten Ports; Konten der Anwendung mit gehashten Passwörtern (bcrypt), optionaler Zwei-Faktor-Anmeldung, Sitzungs-Cookies mit HttpOnly und Secure, Begrenzung der Anmeldeversuche je Herkunftsadresse (fünf Versuche je Minute).
• Zugriffs- und Trennungskontrolle: Jede Datenbankabfrage der Verwaltung ist an das Konto des Verantwortlichen gebunden (Mandantentrennung je Konto und Objekt); Rollen- und Editionsprüfung je Route; Zugangstoken für Mieterportal, Eigentümer-Einsicht und Selbstauskunft werden nur als SHA-256-Hash gespeichert und laufen automatisch ab.
• Übertragungskontrolle: Verschlüsselte Übertragung ausschließlich über TLS (HTTPS, HSTS), auch zwischen Cloudflare und dem Server; dynamische Inhalte aus Konto und Verwaltung werden bei Cloudflare nicht zwischengespeichert; E-Mail-Versand über den eigenen Mailserver mit TLS; keine Übermittlung an Dritte außer den in § 7 genannten Unterauftragsverarbeitern.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse (Anmeldung, Datenexport, Kontolöschung, Support-Zugriffe) in einem Audit-Log; Ereignisprotokoll je Verwaltungsvorgang in der Anwendung.
• Verfügbarkeitskontrolle: Laufende, stündliche und tägliche Sicherungen der Datenbank und der Dateien auf einem getrennten Datenträger am Serverstandort; zusätzlich eine tägliche verschlüsselte Kopie in einem räumlich getrennten Speicherdienst innerhalb der Europäischen Union und eine tägliche Sicherung auf einem eigenen Sicherungsserver des Auftragsverarbeiters in Deutschland; dokumentiertes Wiederherstellungsverfahren mit Probelauf vor jeder Wiederherstellung; die Wiederherstellbarkeit wird bei Änderungen am Sicherungsverfahren geprüft. Überwachung der Dienste mit Alarmierung, Trennung von Produktiv- und Prüfumgebung.
• Löschkonzept: Automatische Löschfristen (Selbstauskünfte 90 Tage nach Eingang, Interessenten drei beziehungsweise sechs Monate nach der letzten Änderung, abgelaufene Portal- und Einsichtszugänge, E-Mail-Anhänge des Postausgangs, Papierkorb privater Notizen nach 30 Tagen, Vorschläge der KI-Auslesung nach 90 Tagen, Gesprächsverläufe mit Lena nach 180 Tagen, Aufträge an Lena nach 12 Monaten, Sicherungskopien spätestens nach 60 Tagen), Löschung aller Verwaltungsdaten samt Dateien bei der Kontolöschung, Datenexport im maschinenlesbaren Format jederzeit im Konto.
• Auftragskontrolle: Schriftliche Verträge mit allen Unterauftragsverarbeitern, Prüfung der Garantien für Drittlandtransfers, keine Verarbeitung ohne dokumentierte Weisung.
• Datenminimierung und Pseudonymisierung: Einkommensangaben in der Selbstauskunft nur als Spanne, keine Fragen ohne berechtigtes Interesse, Vermögensbericht der WEG ohne Namensnennung säumiger Eigentümer gegenüber anderen Eigentümern, Zugangstoken statt Nutzerkonten für Dritte.

§ 7 Unterauftragsverarbeiter(Art. 28 Abs. 2 und 4, Abs. 3 Satz 2 lit. d DSGVO)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 Satz 1 DSGVO) für die Einschaltung der folgenden Unterauftragsverarbeiter:

(2) Die KI-Funktionen (Exposétext, Belegauslesung, Auslesung ganzer Dokumente, Assistentin Lena) sind keine Voraussetzung für die Nutzung der Verwaltung. Eine Übermittlung an Anthropic, PBC erfolgt nur, wenn der Verantwortliche die Funktion im Einzelfall auslöst und, bei der Belegauslesung und bei der Auslesung ganzer Dokumente, die Einwilligung in die Übermittlung ausdrücklich erklärt; bei der Auslesung ganzer Dokumente gilt die Einwilligung nur für das jeweils bestätigte Dokument. Bei der Auslesung ganzer Dokumente (Mietvertrag oder Beleg als PDF) wird das gesamte Dokument, also Text und Seitenbilder, übermittelt. Das Dokument kann Namen und Angaben von Mietern und anderen Personen enthalten. Der Auftragsverarbeiter speichert das Dokument nicht; er speichert nur die geprüften Vorschläge mit ihren Textstellen und löscht sie nach 90 Tagen, bei Verwerfen sofort. Nichts wird übernommen, bevor der Verantwortliche den vorgeschlagenen Wert bestätigt. Bei der Assistentin Lena ruft die Assistentin auf Frage des Verantwortlichen Lesewerkzeuge auf, die ausschließlich Daten seines eigenen Kontos lesen; die Ergebnisse werden zusammen mit der Frage an Anthropic übermittelt und können Daten Dritter enthalten. Lena ändert keine Daten selbst: Änderungen führt der Auftragsverarbeiter erst aus, nachdem der Verantwortliche einen Vorschlag in der Oberfläche bestätigt hat. Lena steht nur Konten zur Verfügung, die der Auftragsverarbeiter dafür freigeschaltet hat. Der Verantwortliche stellt sicher, dass er in Exposénotizen keine personenbezogenen Daten Dritter erfasst. Der Anbieter verarbeitet die Inhalte nur zur Beantwortung der Anfrage und hält sie nach seinen Bedingungen höchstens 30 Tage zur Missbrauchsprüfung vor; ein Training mit den Inhalten findet nicht statt.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen über jede Änderung in Bezug auf die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters und über jede wesentliche Erweiterung der Leistungen eines Unterauftragsverarbeiters durch einen Hinweis in der Verwaltung und durch Aktualisierung dieser Seite (Art. 28 Abs. 2 Satz 2 DSGVO). Bei einer Erweiterung oder Änderung bittet der Hinweis um erneute Bestätigung der Kenntnisnahme dieses Vertrags. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach dem Hinweis aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Im Fall des Widerspruchs können beide Parteien den Hauptvertrag kündigen; bereits gezahlte Entgelte für die Zeit nach der Beendigung werden erstattet.

(4) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters.

§ 8 Unterstützungspflichten(Art. 28 Abs. 3 Satz 2 lit. e und f DSGVO)

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) nachzukommen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Dazu stellt die Anwendung bereit: den Datenexport aller Verwaltungs- und WEG-Daten, die Löschung einzelner Datensätze und Dateien, die Sperrung und den Widerruf von Portalzugängen sowie die Selbstlöschung (Widerruf) durch Mietinteressenten im Selbstauskunftsformular.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich an den Verantwortlichen weiter, soweit sich die Person dem Verantwortlichen zuordnen lässt, und beantwortet ihn nicht selbst.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Die Beschreibung der Maßnahmen in § 6 und die Liste der Unterauftragsverarbeiter in § 7 dienen als Grundlage für ein Verzeichnis der Verarbeitungstätigkeiten des Verantwortlichen.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten(Art. 33, 34 DSGVO)

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich nach Bekanntwerden, spätestens innerhalb von 36 Stunden, per E-Mail an die Kontoadresse (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen.

(2) Die Meldung an die Aufsichtsbehörde (Art. 33 Abs. 1 DSGVO) und die Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen. Der Auftragsverarbeiter stellt dafür die erforderlichen Informationen bereit und dokumentiert die Verletzung.

§ 10 Nachweis- und Kontrollrechte(Art. 28 Abs. 3 Satz 2 lit. h DSGVO)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Dazu gehören dieser Vertrag, die Beschreibung der Maßnahmen in § 6, die Liste der Unterauftragsverarbeiter, Angaben zu den Sicherungs- und Löschläufen sowie auf Anfrage Auszüge aus dem Audit-Log, soweit sie das Konto des Verantwortlichen betreffen.

(2) Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrages nach vorheriger Ankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten zu überprüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer überprüfen zu lassen. Überprüfungen erfolgen vorrangig durch schriftliche Auskunft und Vorlage von Nachweisen; eine Vor-Ort-Kontrolle beim Rechenzentrumsbetreiber ist auf dessen Zertifizierungen und Prüfberichte beschränkt.

(3) Der Auftragsverarbeiter unterrichtet den Verantwortlichen, wenn eine Aufsichtsbehörde bei ihm eine Prüfung durchführt, die Daten des Verantwortlichen betrifft.

§ 11 Löschung und Rückgabe nach Beendigung(Art. 28 Abs. 3 Satz 2 lit. g DSGVO)

(1) Während der Vertragslaufzeit löscht der Verantwortliche Daten selbst in der Anwendung. Zusätzlich löscht der Auftragsverarbeiter automatisch: Selbstauskünfte 90 Tage nach Eingang, sofern sie nicht in die Interessentenverwaltung übernommen wurden (übernommene werden nach 90 Tagen auf die übernommenen Kontaktdaten reduziert), offene Selbstauskunftslinks nach Ablauf, abgelaufene oder widerrufene Portalzugänge sowie E-Mail-Anhänge des Postausgangs, die zu keinem Eintrag mehr gehören, sowie Vorschläge der KI-Auslesung mit Textstellen nach 90 Tagen (bei Verwerfen sofort) und Gesprächsverläufe mit der Assistentin Lena bis zu 180 Tage nach der letzten Aktivität. Ebenso löscht er automatisch: Interessenten drei Monate nach der letzten Änderung, wenn sie auf „Absage“ stehen, sonst sechs Monate nach der letzten Änderung; private Notizen 30 Tage nachdem der Verantwortliche sie in den Papierkorb gelegt hat; Aufträge an die Assistentin Lena 12 Monate nach der letzten Änderung; nicht übernommene Entwürfe eines Bankimports nach ihrem Ablauf. Importierte Kontoumsätze samt der importierten Originaldatei und erzeugte Exportfassungen im DATEV-Format bleiben als unveränderlicher Nachweis bis zur Löschung des Kontos erhalten; einzeln löschen lassen sie sich nicht.

(2) Nach Beendigung des Vertrages hat der Verantwortliche die Wahl, die Daten über den Datenexport im Konto in einem maschinenlesbaren Format herauszugeben (Art. 20 DSGVO) und anschließend das Konto zu löschen. Mit der Kontolöschung löscht der Auftragsverarbeiter sämtliche Verwaltungs- und WEG-Daten einschließlich hochgeladener Dateien, Belege, Fotos, Signaturprotokolle, Portalzugänge und E-Mail-Anhänge unwiderruflich (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Sicherungskopien werden mit dem turnusmäßigen Überschreiben innerhalb von 60 Tagen aus allen Sicherungen entfernt.

(3) Nicht gelöscht werden Daten, die der Auftragsverarbeiter nach dem Recht der Union oder der Mitgliedstaaten aufbewahren muss. Das betrifft ausschließlich die eigenen Vertrags- und Rechnungsdaten des Verantwortlichen (§ 147 AO, § 257 HGB), nicht die Daten Dritter aus der Verwaltung.

§ 12 Haftung, Form und Schlussbestimmungen(Art. 28 Abs. 9, Art. 82 DSGVO)

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haftet der Auftragsverarbeiter nur für Schäden, die durch eine Verarbeitung verursacht wurden, bei der er seine speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Weisungen des Verantwortlichen oder gegen diese Weisungen gehandelt hat. Die Haftungsregelungen des Hauptvertrages bleiben im Übrigen unberührt.

(2) Dieser Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO). Er wird nach § 1 Abs. 2 mit dem Abschluss des Hauptvertrages einbezogen. Zusätzlich bestätigt der Verantwortliche beim ersten Aufruf der Verwaltung und bei jeder neuen Fassung die Kenntnisnahme der jeweils geltenden Fassung; Zeitpunkt und Fassung werden zu seinem Konto gespeichert und stehen im Datenexport. Die KI-Auslesung von Belegen und Dokumenten und die Lesewerkzeuge der Assistentin Lena stehen erst zur Verfügung, wenn der Verantwortliche die geltende Fassung bestätigt hat. Der Auftragsverarbeiter hält jede veröffentlichte Fassung vor.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages für die Verarbeitung personenbezogener Daten im Auftrag vor. Änderungen und Ergänzungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, die dem Zweck der Bestimmung am nächsten kommt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, Berlin.