Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: Oktober 2026

zwischen dem Kunden von MietDeck (Verantwortlicher, nachfolgend „Kunde“) und der J&S Hanse Aurum GmbH, Gayens Weg 12B, 22761 Hamburg (Auftragsverarbeiter, nachfolgend „Anbieter“). Dieser Vertrag wird mit der Registrierung Bestandteil des Nutzungsvertrags nach den AGB.

1. Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, um ihm die Software MietDeck zur Verwaltung seiner Immobilien bereitzustellen. Der Vertrag gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Anbieter Daten des Kunden verarbeitet.

2. Art, Zweck und Umfang der Verarbeitung

• Zweck: Speicherung und Verwaltung von Objekt-, Vertrags-, Zahlungs- und Dokumentendaten; Erstellung von Abrechnungen, Schreiben und Auswertungen; Versand von E-Mails und Bereitstellung des Mieterportals; Abgleich von Kontoumsätzen; KI-gestützte Auswertung von Dokumenten und Anfragen.
• Betroffene: Mieter und Mitbewohner, Interessenten, Eigentümer und Miteigentümer, Mitarbeiter und Beauftragte des Kunden, Handwerker und sonstige Dienstleister, Versorger.
• Datenarten: Stamm- und Kontaktdaten, Vertragsdaten (Miete, Kaution, Laufzeit), Zahlungs- und Bankdaten (Kontoumsätze, IBAN), Verbrauchs- und Zählerdaten, Angaben aus Selbstauskünften, Korrespondenz und Support-Anfragen, Fotos und Dokumente (z. B. Übergabeprotokolle, Belege), Unterschriften.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Kunde lädt solche Daten nur hoch, soweit dies rechtlich zulässig ist.

3. Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag und der Nutzung der Software durch den Kunden (z. B. Anlegen, Ändern, Versenden, Löschen). Weitere Weisungen erteilt der Kunde in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin. Eine Verarbeitung für eigene Zwecke des Anbieters findet nicht statt, insbesondere werden Kundendaten nicht zum Training von KI-Modellen verwendet.

4. Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Zugriffe auf Kundendaten erfolgen nur, soweit dies für Betrieb, Support oder Fehlerbehebung erforderlich ist.

5. Technische und organisatorische Maßnahmen

Der Anbieter trifft Maßnahmen nach Art. 32 DSGVO, insbesondere:

• verschlüsselte Übertragung (TLS) und verschlüsselte Speicherung bei den Hosting-Dienstleistern;
• Trennung der Daten je Kunde (Mandantentrennung) durch Zugriffsregeln in der Datenbank (Row Level Security);
• Rollen- und Rechtekonzept (Inhaber, Verwalter, Eigentümer, Steuerberater, Mieter) mit Zugriff nur auf freigegebene Objekte;
• passwortgeschützte Anmeldung, zeitlich begrenzte und zufällige Zugangslinks für Ablesungen, Bewerbungen und Einladungen;
• regelmäßige Datensicherungen beim Datenbank-Dienstleister und Exportmöglichkeit für den Kunden;
• Einspielen von Sicherheitsupdates, Protokollierung bei den Dienstleistern, Zugriff auf Produktivsysteme nur für Berechtigte.

Der Anbieter darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Supabase Inc. – Datenbank, Anmeldung, Dateispeicher (Serverstandort EU)
• Vercel Inc. – Hosting und Ausführung der Anwendung
• Sendinblue GmbH (Brevo) – Versand und Empfang von E-Mails
• Anthropic PBC – KI-Funktionen (Auslesen von Dokumenten, Assistent, Anfragen); Inhalte nur zur Beantwortung der jeweiligen Anfrage
• Enable Banking Oy – Kontoinformationsdienst für den Abruf von Kontoumsätzen (nur bei Nutzung der Bankanbindung)
• Stripe Payments Europe Ltd. – Zahlungsabwicklung (nur Daten des Kunden selbst)
• Google Ireland Ltd. – Kartenanzeige (Google Maps) auf der Objektseite

Mit allen Unterauftragsverarbeitern bestehen Verträge nach Art. 28 Abs. 4 DSGVO. Übermittlungen in Drittländer (insbesondere die USA) erfolgen auf Grundlage des EU-US Data Privacy Framework bzw. von EU-Standardvertragsklauseln. Über beabsichtigte Änderungen informiert der Anbieter den Kunden mindestens vier Wochen vorher in Textform; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall zum Zeitpunkt der Änderung kündigen.

7. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte der Betroffenen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), bei Datenschutz-Folgenabschätzungen sowie bei Meldepflichten nach Art. 33, 34 DSGVO. Wenden sich Betroffene direkt an den Anbieter, leitet er die Anfrage an den Kunden weiter.

8. Meldung von Datenschutzverletzungen

Der Anbieter informiert den Kunden unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, die Daten des Kunden betreffen, und teilt die ihm bekannten Informationen nach Art. 33 Abs. 3 DSGVO mit.

9. Löschung und Rückgabe

Nach Vertragsende kann der Kunde seine Daten innerhalb von 30 Tagen exportieren. Danach löscht der Anbieter die Daten, soweit keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden im Rahmen der üblichen Rotationszyklen der Dienstleister überschrieben.

10. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung, insbesondere Zertifikate und Berichte der Unterauftragsverarbeiter. Überprüfungen vor Ort sind nach rechtzeitiger Anmeldung während der Geschäftszeiten möglich, soweit die vorgelegten Nachweise nicht ausreichen.

11. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Kontakt in Datenschutzfragen: info@mietdeck.de.

ImpressumDatenschutzAGBAV-VertragVerträge hier kündigenZur Anmeldung