Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen

Tim Simon
Einzelunternehmen
Im Herrengarten 22
91054 Buckenhof
Deutschland

– nachfolgend „Auftragsverarbeiter" oder „Mietroo" –

und

__________________________________________

– nachfolgend „Verantwortlicher" oder „Kunde" –

wird folgender Vertrag geschlossen.

§ 1 Gegenstand des Vertrages

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO im Zusammenhang mit der Nutzung der webbasierten Software-as-a-Service-Anwendung Mietroo.

(2) Gegenstand der Verarbeitung ist die Bereitstellung einer Software zur Verwaltung von Immobilien, Belegen, Mieteinnahmen sowie sonstigen immobilienbezogenen Daten einschließlich der Speicherung, Organisation, Auswertung und Bereitstellung dieser Informationen.

(3) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der vertraglich vereinbarten Leistungen und ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit gesetzlich nichts anderes vorgeschrieben ist.

(4) Dieser Vertrag konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Vertragsparteien. Im Übrigen gelten die zwischen den Parteien geschlossenen Nutzungsbedingungen sowie die gesetzlichen Vorschriften der DSGVO und des Bundesdatenschutzgesetzes.

§ 2 Dauer der Verarbeitung

(1) Dieser Vertrag beginnt mit Abschluss des Nutzungsvertrages über Mietroo.

(2) Die Verarbeitung personenbezogener Daten erfolgt ausschließlich für die Dauer der Nutzung der Software durch den Verantwortlichen.

(3) Mit Beendigung des Nutzungsvertrages endet grundsätzlich auch dieser Auftragsverarbeitungsvertrag, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

(4) Die Löschung oder Rückgabe personenbezogener Daten richtet sich nach § 12 dieses Vertrages.

§ 3 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Bereitstellung der Software Mietroo.

Die Verarbeitung umfasst insbesondere:

  • Bereitstellung eines Benutzerkontos

  • Authentifizierung der Nutzer

  • Speicherung von Immobilien

  • Speicherung von Mietobjekten

  • Speicherung von Belegen

  • Speicherung von Rechnungen

  • Speicherung von Dokumenten

  • Verwaltung von Mieteinnahmen

  • Verwaltung wiederkehrender Ausgaben

  • Erstellung von Auswertungen

  • Berechnung immobilienbezogener Kennzahlen

  • Erstellung von PDF-Dokumenten

  • Speicherung abrechnungsrelevanter Informationen

  • Versand transaktionsbezogener E-Mails

  • Bereitstellung des Kundenbereichs

  • Durchführung der Zahlungsabwicklung über Stripe

  • Betrieb der technischen Infrastruktur

  • Fehleranalyse und Systemsicherheit

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters erfolgt nicht.

§ 4 Kategorien betroffener Personen

Von der Verarbeitung können insbesondere folgende Personengruppen betroffen sein:

  • Nutzer von Mietroo

  • Eigentümer von Immobilien

  • Vermieter

  • Mieter

  • Handwerksunternehmen

  • Dienstleister

  • Rechnungssteller

  • Zahlungspflichtige

  • Rechnungsempfänger

  • sonstige Personen, deren Daten der Verantwortliche im Rahmen der Nutzung von Mietroo verarbeitet.

§ 5 Kategorien personenbezogener Daten

Je nach Nutzung können insbesondere folgende personenbezogene Daten verarbeitet werden:

Benutzerdaten

  • Name

  • E-Mail-Adresse

  • Benutzer-ID

  • Logininformationen

  • Authentifizierungsdaten

  • Passwort-Hash (über Supabase Auth)

Immobiliendaten

  • Immobilienbezeichnungen

  • Objektadressen

  • Gebäudedaten

  • Baujahr

  • Flächenangaben

  • Mietpreise

  • Einnahmen

  • Ausgaben

  • AfA-relevante Daten

Dokumente

  • Rechnungen

  • Belege

  • PDF-Dateien

  • Bilddateien

  • hochgeladene Dokumente

Zahlungsdaten

  • Stripe Customer ID

  • Subscription ID

  • Zahlungsstatus

  • Rechnungsnummer

  • Rechnungsbetrag

  • Steuerinformationen

  • PDF-Rechnungen

Technische Daten

  • Benutzer-ID

  • IP-Adresse (soweit technisch erforderlich)

  • Logdaten

  • Zeitstempel

  • Supportprotokolle

  • Rolleninformationen

§ 6 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist im Rahmen dieses Vertrages für die Einhaltung der datenschutzrechtlichen Vorschriften verantwortlich, insbesondere für die Rechtmäßigkeit der Datenverarbeitung gemäß Art. 6 DSGVO sowie die Wahrung der Rechte betroffener Personen.

(2) Der Verantwortliche entscheidet allein über Zweck und Mittel der Verarbeitung personenbezogener Daten. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der Weisungen des Verantwortlichen.

(3) Der Verantwortliche stellt sicher, dass sämtliche an den Auftragsverarbeiter übermittelten personenbezogenen Daten rechtmäßig erhoben wurden und verarbeitet werden dürfen.

(4) Der Verantwortliche informiert betroffene Personen über die Verarbeitung ihrer personenbezogenen Daten, soweit hierfür eine gesetzliche Verpflichtung besteht.

(5) Der Verantwortliche ist verpflichtet, den Auftragsverarbeiter unverzüglich zu informieren, wenn er Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung personenbezogener Daten feststellt.

§ 7 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern keine gesetzliche Verpflichtung zur Verarbeitung besteht.

(2) Der Auftragsverarbeiter stellt sicher, dass sämtliche mit der Verarbeitung personenbezogener Daten befassten Personen auf Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter trifft sämtliche nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen im angemessenen Umfang bei der Erfüllung seiner datenschutzrechtlichen Verpflichtungen, insbesondere bei

  • Auskunftsersuchen,

  • Berichtigungen,

  • Löschungen,

  • Einschränkungen der Verarbeitung,

  • Datenübertragbarkeit,

  • Datenschutz-Folgenabschätzungen,

  • Konsultationen mit Aufsichtsbehörden.

(5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, sofern eine Weisung nach seiner Auffassung gegen datenschutzrechtliche Vorschriften verstößt.

(6) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nicht für eigene Zwecke und gibt personenbezogene Daten nicht unbefugt an Dritte weiter.

§ 8 Weisungsrecht

(1) Der Verantwortliche besitzt hinsichtlich sämtlicher im Auftrag verarbeiteter personenbezogener Daten das Weisungsrecht.

(2) Weisungen sind grundsätzlich in Textform (z. B. per E-Mail) zu erteilen.

(3) Mündliche Weisungen sind vom Verantwortlichen unverzüglich in Textform zu bestätigen.

(4) Der Auftragsverarbeiter wird ausschließlich dokumentierte Weisungen ausführen, sofern keine gesetzliche Verpflichtung entgegensteht.

(5) Änderungen des Verarbeitungsgegenstandes oder der Verarbeitungsverfahren bedürfen einer entsprechenden Weisung oder einer vertraglichen Anpassung.

§ 9 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet sich, sämtliche personenbezogenen Daten vertraulich zu behandeln.

(2) Personen, die Zugriff auf personenbezogene Daten erhalten, werden vor Aufnahme ihrer Tätigkeit zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

(3) Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung dieses Vertrages fort.

§ 10 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter setzt angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um.

Hierzu gehören insbesondere:

Zugriffskontrolle

  • Benutzerkonten mit Authentifizierung

  • Passwort-Hashing über Supabase Auth

  • Rollenbasierte Berechtigungen

  • Trennung von Administratoren und normalen Nutzern

  • Protokollierung administrativer Supportzugriffe

Zugangskontrolle

  • HTTPS/TLS-Verschlüsselung

  • Geschützte Server-Infrastruktur

  • Zugriff auf Verwaltungsbereiche ausschließlich für berechtigte Personen

Weitergabekontrolle

  • Datenübertragungen ausschließlich über verschlüsselte Verbindungen

  • Nutzung vertraglich gebundener Unterauftragsverarbeiter

  • Keine Weitergabe personenbezogener Daten ohne Rechtsgrundlage oder Weisung

Speicherkontrolle

  • Private Storage-Buckets für hochgeladene Dokumente

  • Row Level Security (RLS) auf sämtlichen nutzerbezogenen Datenbanktabellen

  • Zugriff ausschließlich auf eigene Datensätze

Eingabekontrolle

  • Protokollierung administrativer Supportzugriffe

  • Nachvollziehbarkeit administrativer Berechtigungen

  • Schutz vor unberechtigten Änderungen von Benutzerrollen

Verfügbarkeitskontrolle

  • Hosting über Lovable Cloud/Supabase

  • Regelmäßige Backups durch den Hostinganbieter

  • Hochverfügbare Cloud-Infrastruktur

  • Schutz vor Datenverlust im Rahmen der technischen Möglichkeiten

Trennungsgebot

  • Daten verschiedener Kunden werden logisch voneinander getrennt.

  • Jeder Nutzer erhält ausschließlich Zugriff auf seine eigenen Daten.

  • Die Trennung erfolgt insbesondere durch Row Level Security und eindeutige Benutzerkennungen.

§ 11 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 2 DSGVO einzusetzen, soweit dies zur Erbringung der vertraglich vereinbarten Leistungen erforderlich ist.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über wesentliche Änderungen hinsichtlich der eingesetzten Unterauftragsverarbeiter in geeigneter Weise, insbesondere über die Website oder in Textform.

(3) Der Auftragsverarbeiter verpflichtet sämtliche Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Anforderungen dieses Vertrages sowie des Art. 28 DSGVO entsprechen.

(4) Zum Zeitpunkt des Vertragsschlusses werden insbesondere folgende Unterauftragsverarbeiter eingesetzt:


Lovable Cloud / Supabase | Hosting, Datenbank, Authentifizierung, Dateispeicherung

Cloudflare | Infrastruktur, DNS, TLS, Edge-Routing

Stripe | Zahlungsabwicklung und Abonnementverwaltung

Resend | Versand transaktionsbezogener E-Mails

Google | OAuth-Anmeldung

Apple | OAuth-Anmeldung


(5) Der Einsatz weiterer Unterauftragsverarbeiter bleibt vorbehalten, soweit deren Einsatz zur Erbringung der Leistungen erforderlich ist und die gesetzlichen Voraussetzungen eingehalten werden.

§ 12 Löschung und Rückgabe personenbezogener Daten

(1) Nach Beendigung des Nutzungsvertrages verarbeitet der Auftragsverarbeiter personenbezogene Daten grundsätzlich nicht weiter, soweit keine gesetzlichen Aufbewahrungspflichten bestehen.

(2) Der Verantwortliche kann bis spätestens 30 Tage nach Vertragsende seine gespeicherten Daten exportieren oder deren Herausgabe verlangen, soweit dies technisch möglich und gesetzlich zulässig ist.

(3) Nach Ablauf dieser Frist werden personenbezogene Daten einschließlich hochgeladener Dokumente, Belege und sonstiger Inhalte gelöscht oder anonymisiert, sofern keine gesetzlichen Aufbewahrungspflichten oder berechtigten Interessen einer Löschung entgegenstehen.

(4) Gesetzliche Aufbewahrungspflichten, insbesondere handels- oder steuerrechtliche Vorschriften, bleiben unberührt.

§ 13 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO bekannt geworden ist, soweit diese den Verantwortlichen betrifft.

(2) Die Mitteilung enthält, soweit verfügbar:

  • Art der Datenschutzverletzung,

  • betroffene Datenkategorien,

  • Anzahl betroffener Personen,

  • mögliche Folgen,

  • bereits ergriffene oder geplante Gegenmaßnahmen.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen im angemessenen Umfang bei der Erfüllung gesetzlicher Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen.

§ 14 Kontrollrechte

(1) Der Verantwortliche ist berechtigt, sich von der Einhaltung der gesetzlichen Datenschutzanforderungen sowie dieses Vertrages zu überzeugen.

(2) Der Nachweis kann insbesondere erfolgen durch

  • aktuelle Zertifizierungen,

  • Prüfberichte,

  • Sicherheitsnachweise,

  • Selbstauskünfte,

  • technische Dokumentationen.

(3) Vor-Ort-Kontrollen sind nur zulässig, wenn

  • hierfür ein berechtigter Anlass besteht,

  • sie mit angemessener Frist angekündigt werden,

  • sie den Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen,

  • gesetzliche Geheimhaltungs- oder Sicherheitsinteressen Dritter nicht entgegenstehen.

(4) Entstehen durch außergewöhnliche Prüfungen erhebliche zusätzliche Aufwendungen, kann der Auftragsverarbeiter hierfür eine angemessene Vergütung verlangen.

§ 15 Haftung

(1) Die Haftung der Vertragsparteien richtet sich nach den gesetzlichen Bestimmungen der Datenschutz-Grundverordnung sowie den ergänzenden Vorschriften des Bundesdatenschutzgesetzes.

(2) Jede Partei haftet für Schäden, die sie durch schuldhafte Verletzung ihrer datenschutzrechtlichen Pflichten verursacht.

(3) Soweit mehrere Parteien gemeinsam für einen Schaden verantwortlich sind, gelten die Regelungen des Art. 82 DSGVO.

(4) Im Innenverhältnis tragen die Vertragsparteien die Verantwortung entsprechend ihrem jeweiligen Verursachungsbeitrag.

§ 16 Schlussbestimmungen

(1) Dieser Vertrag ergänzt den zwischen den Parteien bestehenden Nutzungsvertrag über die Software Mietroo.

(2) Soweit dieser Vertrag keine besonderen Regelungen enthält, gelten die Bestimmungen der Datenschutz-Grundverordnung (DSGVO), des Bundesdatenschutzgesetzes (BDSG) sowie die übrigen anwendbaren Datenschutzvorschriften.

(3) Änderungen oder Ergänzungen dieses Vertrages bedürfen der Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist.

(4) Sollten einzelne Bestimmungen dieses Vertrages ganz oder teilweise unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt diejenige gesetzlich zulässige Regelung als vereinbart, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

(5) Es gilt das Recht der Bundesrepublik Deutschland.