Vertrag zur Auftragsverarbeitung

Parteien und Abschluss

Dieser Vertrag gilt zwischen dir als Inhaber eines Kontos der gehosteten App unter app.mietkartei.de (Auftraggeber) und Oliver Hennhöfer, Lachnerstraße 18, 76131 Karlsruhe (Auftragnehmer). Er wird mit dem Anlegen des Kontos geschlossen und ist Teil des Vertrags über die Nutzung der App. Eine Unterschrift ist nicht nötig. Auf Wunsch schicke ich dir eine unterschriebene Fassung per E-Mail.

Für Instanzen, die du selbst betreibst, gilt dieser Vertrag nicht, weil dort keine Daten an mich gehen.

§ 1 Gegenstand und Dauer

Ich verarbeite personenbezogene Daten in deinem Auftrag, um dir die App bereitzustellen: speichern, anzeigen, auswerten, als Brief oder PDF ausgeben, per E-Mail versenden, exportieren und löschen, jeweils so, wie du die App bedienst. Der Vertrag läuft, solange dein Konto besteht.

§ 2 Art der Daten und betroffene Personen

Betroffen sind deine Mieter und frühere Mieter, im Mietvertrag genannte Personen, Personen, die du in die App einlädst, sowie Gegenparteien deiner Bankumsätze, etwa Handwerker, Versorger und Verwalter.

Verarbeitet werden insbesondere Namen, Anschriften, E-Mail-Adressen und Telefonnummern, Vertrags- und Mietdaten, Zahlungen und Rückstände, Kautionen, Bankumsätze mit Name, IBAN und Verwendungszweck, Zählerstände und Verbrauchswerte, Abrechnungen, Notizen, Aufgaben und hochgeladene Dokumente. Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen; trägst du sie dennoch ein, etwa in Notizen oder Dokumenten, gilt dieser Vertrag auch für sie.

§ 3 Weisungen

Ich verarbeite die Daten nur auf deine dokumentierte Weisung. Weisungen erteilst du, indem du die App bedienst, ihre Einstellungen wählst oder mir per E-Mail schreibst. Daten nutze ich nicht für eigene Zwecke, gebe sie nicht an Dritte weiter und verwende sie nicht zum Training von KI-Modellen. Halte ich eine Weisung für rechtswidrig, sage ich dir das unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Muss ich Daten aufgrund einer gesetzlichen Pflicht herausgeben, informiere ich dich vorher, soweit das Gesetz es erlaubt.

§ 4 Vertraulichkeit

Ich betreibe den Dienst derzeit allein. Wer künftig Zugriff auf die Daten erhält, wird vorher zur Vertraulichkeit verpflichtet. Auf die Daten in deinem Konto greife ich nur zu, wenn es für den Betrieb, eine Störung oder deine Anfrage nötig ist.

§ 5 Technische und organisatorische Maßnahmen

Ich treffe die Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind, und passe sie dem Stand der Technik an. Änderungen dürfen das Schutzniveau nicht senken.

§ 6 Unterauftragsverarbeiter

Du stimmst zu, dass ich folgende Unterauftragsverarbeiter einsetze:

Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA: Betrieb der App, Datenbank und Dateispeicher. Die Daten werden in der EU gespeichert. Grundlage sind Cloudflares Auftragsverarbeitungsvertrag mit den Standardvertragsklauseln der EU-Kommission und die Zertifizierung unter dem EU-US Data Privacy Framework.

Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA: Versand von E-Mails der App aus dem Rechenzentrum in Irland. Grundlage sind Resends Auftragsverarbeitungsvertrag mit den Standardvertragsklauseln und die Zertifizierung unter dem EU-US Data Privacy Framework.

Einen neuen oder geänderten Unterauftragsverarbeiter kündige ich mindestens vier Wochen vorher per E-Mail an. Du kannst innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir uns nicht einigen, kannst du den Nutzungsvertrag fristlos kündigen. Unterauftragsverarbeitern lege ich dieselben Datenschutzpflichten auf wie mir in diesem Vertrag.

Keine Unterauftragsverarbeiter sind Dienste, die du selbst nutzt oder einrichtest: Stripe für das Abo, Enable Banking für den Bankabruf und KI-Assistenten, die du mit deinem Konto verbindest. Für die Karte übermittelt die App die Adresse eines Objekts an den Dienst Nominatim der OpenStreetMap Foundation; Angaben zu Mietern werden dabei nicht übermittelt.

§ 7 Unterstützung bei Betroffenenrechten und Pflichten

Die App gibt dir die Mittel, Anfragen von Mietern selbst zu beantworten: Daten ansehen, berichtigen, exportieren und löschen. Wendet sich eine betroffene Person an mich, leite ich die Anfrage an dich weiter. Bei Datenschutz-Folgenabschätzungen, Anfragen von Aufsichtsbehörden und deinen Pflichten nach Art. 32 bis 36 DSGVO unterstütze ich dich im angemessenen Umfang.

§ 8 Verletzungen des Schutzes

Erfahre ich von einer Verletzung des Schutzes personenbezogener Daten in deinem Konto, informiere ich dich unverzüglich, spätestens innerhalb von 48 Stunden, per E-Mail an die Adresse des Kontoinhabers. Ich beschreibe, was passiert ist, welche Daten betroffen sind und was ich dagegen unternehme, damit du deine Meldepflicht nach Art. 33 DSGVO erfüllen kannst.

§ 9 Löschung und Rückgabe

Vor dem Ende kannst du alle Daten unter Einstellungen → Export herunterladen. Löschst du dein Konto, werden alle Daten und Dokumente sofort gelöscht. In den Sicherungen der Datenbank sind sie danach noch 30 Tage enthalten und werden dann endgültig gelöscht. Endet der Nutzungsvertrag, ohne dass du das Konto löschst, lösche ich es auf deine Anfrage hin, es sei denn, ein Gesetz verpflichtet mich zur Aufbewahrung. Hochgeladene Dokumente haben keine Sicherung und sind sofort endgültig gelöscht.

§ 10 Nachweise und Kontrollen

Auf Anfrage stelle ich dir die Informationen zur Verfügung, die du zum Nachweis der Pflichten aus Art. 28 DSGVO brauchst, insbesondere die Nachweise der Unterauftragsverarbeiter. Eine Prüfung vor Ort ist nach Absprache mit angemessener Vorankündigung möglich. Der Quelltext der App ist öffentlich und kann jederzeit geprüft werden.

§ 11 Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den übrigen Bedingungen vor, soweit es um den Schutz personenbezogener Daten geht. Änderungen kündige ich mindestens vier Wochen vorher per E-Mail an. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.

Anlage: Technische und organisatorische Maßnahmen

Speicherort und Verschlüsselung: Datenbank und Dateien liegen in Rechenzentren von Cloudflare in der EU und sind dort verschlüsselt gespeichert. Jede Verbindung zur App ist per TLS verschlüsselt; HSTS verhindert unverschlüsselte Aufrufe.

Zugang und Zugriff: Passwörter werden nur als Hash (PBKDF2-SHA-256 mit Salt) gespeichert, Sitzungen, API-Schlüssel und Kalender-Links nur als Hash ihres Tokens. Nach mehreren falschen Passwörtern wird die Anmeldung gesperrt; Anfragen je Adresse und je Schlüssel sind begrenzt. Sitzungen laufen spätestens nach 90 Tagen ab. Rollen (Inhaber, Verwalter, Leser) begrenzen, wer Daten ändern darf.

Trennung: Jeder Datensatz gehört genau einem Konto, und jede Abfrage der App ist auf das Konto des angemeldeten Nutzers beschränkt. Dokumente liegen je Konto unter einem eigenen Präfix.

Schutz im Browser: Eine strenge Content-Security-Policy, Schutz vor Einbettung in fremde Seiten und vor Cross-Site-Request-Forgery. Seiten angemeldeter Nutzer werden nicht zwischengespeichert.

Nachvollziehbarkeit: Ein Protokoll je Konto zeigt, wer wann was geändert hat.

Verfügbarkeit und Wiederherstellung: Die Datenbank lässt sich auf jeden Zeitpunkt der letzten 30 Tage zurücksetzen. Du kannst jederzeit einen vollständigen Export herunterladen.

Entwicklung: Jede Änderung durchläuft automatische Tests, eine statische Sicherheitsanalyse und ein Review, bevor sie ausgeliefert wird. Abhängigkeiten werden automatisch auf Sicherheitsupdates geprüft. Zugangsdaten zu den Diensten liegen nur als Geheimnisse in der Infrastruktur, nie im Quelltext.

Stand

Oktober 2026