Vereinbarung über die Auftragsverarbeitung nach Art 28 DSGVO

zwischen dem Kunden — im Folgenden Verantwortlicher — und Michael Kainer Verwaltung, Einzelunternehmen, Inhaber Michael Kainer, Giselastraße 10/8, 6300 Wörgl, Österreich, UID ATU66970389, E-Mail office@vermieterbox.at — im Folgenden Auftragsverarbeiter —, gemeinsam die Parteien.

Vorbemerkung

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software VermieterBox zur Verwaltung von Mietobjekten zur Verfügung. Der Verantwortliche verarbeitet dabei personenbezogene Daten Dritter, insbesondere von Mietern und Interessenten. Über Zweck und Mittel dieser Verarbeitung entscheidet allein der Verantwortliche; der Auftragsverarbeiter verarbeitet sie ausschließlich in seinem Auftrag. Diese Vereinbarung regelt die Rechte und Pflichten der Parteien nach Art 28 DSGVO.

Diese Vereinbarung kommt gemeinsam mit dem Hauptvertrag (AGB) zustande. Sie wird elektronisch geschlossen; einer Unterschrift bedarf es nicht (Art 28 Abs 9 DSGVO — Textform genügt). Die Zustimmung wird im Firmenstammblatt des Verantwortlichen mit Datum und Fassung festgehalten.

1. Gegenstand, Dauer und Rangverhältnis

1.1. Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung von VermieterBox. Einzelheiten zu Art, Umfang, Zweck, betroffenen Personen und Datenkategorien regelt Anhang 1.

1.2. Die Vereinbarung beginnt mit dem Hauptvertrag und endet mit ihm. Die Pflichten nach Punkt 10 (Löschung und Rückgabe) und Punkt 4.1 (Vertraulichkeit) bestehen darüber hinaus fort.

1.3. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung vor, soweit es um die Verarbeitung personenbezogener Daten geht.

2. Verantwortlichkeit

2.1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung allein verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage nach Art 6 DSGVO, für die Erfüllung der Informationspflichten nach Art 13 und 14 DSGVO gegenüber den betroffenen Personen und für die Wahrung von deren Rechten.

2.2. Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieser Vereinbarung und nach den dokumentierten Weisungen des Verantwortlichen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

2.3. Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art 30 Abs 2 DSGVO.

3. Weisungen

3.1. Weisungen erteilt der Verantwortliche in Textform (E-Mail genügt). Die Bedienung der Software durch den Verantwortlichen und die von ihm gewählten Einstellungen gelten als Weisung.

3.2. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder eines Mitgliedstaats verstößt (Art 28 Abs 3 letzter Satz DSGVO). Er ist berechtigt, die Ausführung einer solchen Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.

3.3. Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4. Pflichten des Auftragsverarbeiters

4.1. Vertraulichkeit. Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über die Beendigung der Tätigkeit hinaus fort.

4.2. Sicherheit der Verarbeitung. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art 32 DSGVO. Der derzeitige Stand ist in Anhang 2 beschrieben. Die Maßnahmen dürfen fortentwickelt werden, solange das vereinbarte Schutzniveau nicht unterschritten wird.

4.3. Unterstützung bei Betroffenenrechten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst. Er unterstützt den Verantwortlichen mit geeigneten technischen Mitteln bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- und Datenübertragbarkeitsbegehren — insbesondere durch die in der Software bereitgestellten Such-, Änderungs-, Lösch- und Exportfunktionen.

4.4. Unterstützung nach Art 32 bis 36 DSGVO. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen des Schutzes personenbezogener Daten, zur Benachrichtigung betroffener Personen und zur Datenschutz-Folgenabschätzung.

4.5. Nachweis. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art 28 DSGVO erforderlich sind.

5. Meldung von Verletzungen des Schutzes personenbezogener Daten

5.1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch binnen 48 Stunden nach Bekanntwerden, in Textform an die vom Verantwortlichen hinterlegte E-Mail-Adresse.

5.2. Die Meldung enthält, soweit vorhanden: eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sind noch nicht alle Angaben verfügbar, erfolgt die Meldung in Teilen.

5.3. Die Meldung an die Aufsichtsbehörde nach Art 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art 34 DSGVO obliegen dem Verantwortlichen.

6. Unterauftragsverarbeiter

6.1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter heranzuziehen (Art 28 Abs 2 DSGVO). Die derzeit eingesetzten Unterauftragsverarbeiter sind in Anhang 3 aufgeführt und mit dieser Vereinbarung genehmigt.

6.2. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann binnen dieser Frist aus einem wichtigen, datenschutzrechtlichen Grund widersprechen. Widerspricht er, können beide Parteien den Hauptvertrag zum Zeitpunkt der beabsichtigten Änderung kündigen, wenn sich keine einvernehmliche Lösung finden lässt.

6.3. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich auf ein Schutzniveau, das dieser Vereinbarung entspricht. Er haftet für deren Verhalten wie für eigenes.

6.4. Keine Unterauftragsverarbeitung im Sinn dieser Bestimmung sind Nebenleistungen, die der Auftragsverarbeiter bei Dritten in Anspruch nimmt und bei denen ein Zugriff auf personenbezogene Daten nicht Gegenstand, sondern allenfalls nicht ausschließbare Nebenfolge ist — etwa Telekommunikations- oder Wartungsleistungen.

7. Ort der Verarbeitung, Drittländer

7.1. Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt. Der Betrieb der Anwendung und die Speicherung der Daten erfolgen im Rechenzentrum Helsinki, Finnland (siehe Anhang 3).

7.2. Eine Verarbeitung oder Übermittlung in ein Drittland findet nicht statt. Sollte sie künftig beabsichtigt sein, gilt Punkt 6.2 sinngemäß; sie ist nur unter den Voraussetzungen der Art 44 ff DSGVO zulässig.

8. Kontrollrechte

8.1. Der Verantwortliche hat das Recht, die Einhaltung dieser Vereinbarung zu überprüfen. Die Prüfung erfolgt in erster Linie durch Einholung von Auskünften und Vorlage der Dokumentation nach Punkt 4.5.

8.2. Eine Überprüfung vor Ort ist nach Vereinbarung mit angemessener Vorlaufzeit von mindestens zwei Wochen, während der üblichen Geschäftszeiten und ohne Beeinträchtigung des Betriebsablaufs zulässig. Der Auftragsverarbeiter kann verlangen, dass der Prüfer nicht in Wettbewerb zu ihm steht und eine Verschwiegenheitserklärung unterzeichnet.

8.3. Für Überprüfungen, die über eine jährliche Prüfung hinausgehen und nicht durch einen konkreten Anlass gerechtfertigt sind, kann der Auftragsverarbeiter ein angemessenes Entgelt verlangen.

9. Pflichten des Verantwortlichen

9.1. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er bei der Prüfung der Verarbeitungsergebnisse Fehler oder Unregelmäßigkeiten feststellt.

9.2. Der Verantwortliche lädt keine Daten besonderer Kategorien im Sinn des Art 9 DSGVO (etwa Gesundheitsdaten, Daten über religiöse oder weltanschauliche Überzeugungen) und keine Daten über strafrechtliche Verurteilungen nach Art 10 DSGVO in die Anwendung, soweit dafür keine gesonderte Vereinbarung getroffen wurde. Die Software ist für solche Daten nicht ausgelegt.

9.3. Der Verantwortliche benennt eine Kontaktstelle für Datenschutzfragen; ohne gesonderte Benennung gilt die im Benutzerkonto hinterlegte E-Mail-Adresse.

10. Löschung und Rückgabe nach Beendigung

10.1. Nach Beendigung des Hauptvertrags kann der Verantwortliche seine Daten über die Exportfunktion der Anwendung vollständig herunterladen. Ihm steht dafür die im Hauptvertrag vorgesehene Frist von 30 Tagen zur Verfügung.

10.2. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter die personenbezogenen Daten, sofern keine gesetzliche Verpflichtung zur Aufbewahrung entgegensteht. Vorhandene Sicherungskopien werden im Rahmen der üblichen Sicherungszyklen überschrieben; die Aufbewahrungsdauer der Sicherungen beträgt 14 Tage.

10.3. Die Löschung wird dem Verantwortlichen auf Verlangen in Textform bestätigt.

11. Haftung

Für die Haftung gilt Art 82 DSGVO. Die Haftungsbestimmungen des Hauptvertrags bleiben im Verhältnis der Parteien untereinander unberührt, soweit sie nicht zwingenden Bestimmungen der DSGVO widersprechen.

12. Schlussbestimmungen

12.1. Änderungen dieser Vereinbarung bedürfen der Textform. Das gilt auch für ein Abgehen von diesem Formerfordernis.

12.2. Ist eine Bestimmung unwirksam, bleibt die Wirksamkeit der übrigen unberührt.

12.3. Es gilt österreichisches Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts. Für den Gerichtsstand gilt die Regelung des Hauptvertrags (Punkt 24.3 der AGB).

Anhang 1 — Gegenstand, Art, Zweck, betroffene Personen, Datenkategorien

1.1. Gegenstand und Zweck

Bereitstellung und Betrieb der Software VermieterBox zur Verwaltung von Mietobjekten für den Verantwortlichen: Verwaltung von Objekten, Einheiten, Mietverhältnissen und Vertragsparteien, Erstellung monatlicher Vorschreibungen, Erfassung und Zuordnung von Zahlungseingängen, Betriebskosten- und Schlussabrechnung, Wertsicherung, Erstellung und Ablage von Verträgen, Rechnungen und Schreiben sowie deren Versand an die vom Verantwortlichen bestimmten Empfänger.

1.2. Art der Verarbeitung

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Berechnen, Erstellen von Dokumenten, Übermitteln durch Versand an vom Verantwortlichen bestimmte Empfänger, Einschränken, Löschen und Vernichten — jeweils automatisiert im Rahmen der Anwendung.

1.3. Kategorien betroffener Personen

• Mieter und Mietinteressenten des Verantwortlichen
• weitere Vertragsparteien, insbesondere Bürgen
• Ansprechpartner von Unternehmen, die als Mieter auftreten
• Personen, von denen Zahlungen eingehen (Kontoinhaber, etwa Angehörige oder Hausverwaltungen)
• Ansprechpartner von Hausverwaltungen, Wärmedienstleistern und Lieferanten, soweit der Verantwortliche solche Daten erfasst
• Benutzer des Verantwortlichen, die Zugang zur Anwendung haben

1.4. Kategorien personenbezogener Daten

• Stammdaten: Anrede, akademische Grade, Vor- und Nachname, Firmenwortlaut, Geburtsdatum (soweit erfasst), Kontaktnummer
• Kontaktdaten: Zustell- und Wohnanschrift, abweichende Zustelladresse, E-Mail-Adressen, Telefonnummern
• Vertragsdaten: Mietobjekt und Einheit, Vertragsbeginn und -ende, Vertragsnummer, Mietzinskomponenten und deren Höhe, Kaution, Kündigungsfrist und -termin, Vertragsstatus, Vertragstexte
• Abrechnungs- und Zahlungsdaten: Vorschreibungen, Fälligkeiten, offene Posten, Zahlungseingänge, Verwendungszwecke, Name und IBAN des Zahlers, Buchungsreferenzen aus vom Verantwortlichen hochgeladenen Kontoauszügen, Rechnungen und Abrechnungen
• Verbrauchs- und Kostendaten: verbrauchsabhängig zugeteilte Kosten für Heizung und Wasser sowie sonstige auf die Einheit entfallende Kosten
• Dokumente: unterschriebene Mietverträge, Verständigungsschreiben, Abrechnungsbelege und sonstige vom Verantwortlichen abgelegte Dateien
• Umsatzsteuerliche Merkmale: UID-Nummern, soweit erfasst
• Nutzungsdaten der Anwendung: Zeitpunkte von Anlage und Änderung von Datensätzen, Server-Protokolle (IP-Adresse, Zeitpunkt, aufgerufene Adresse)

1.5. Besondere Kategorien personenbezogener Daten

Nicht vorgesehen. Die Anwendung ist nicht für die Verarbeitung von Daten nach Art 9 und Art 10 DSGVO ausgelegt (siehe Punkt 9.2).

1.6. Dauer der Verarbeitung

Für die Dauer des Hauptvertrags, zuzüglich der Fristen nach Punkt 10.

Anhang 2 — Technische und organisatorische Maßnahmen (Art 32 DSGVO)

Stand: Fassung 2026-09-18c. Der Auftragsverarbeiter überprüft diese Maßnahmen regelmäßig und passt sie an den Stand der Technik an.

2.1. Vertraulichkeit

Zutrittskontrolle. Der Auftragsverarbeiter betreibt keine eigene Hardware. Die Server stehen im Rechenzentrum der Hetzner Online GmbH in Helsinki, Finnland, das nach ISO/IEC 27001 zertifiziert ist. Zutritt, Bewachung, Videoüberwachung und Zutrittsprotokollierung obliegen dem Rechenzentrumsbetreiber.

Zugangskontrolle.

• Die Anmeldung an der Anwendung erfolgt ausschließlich über einen eigenen, auf demselben Server betriebenen Anmeldedienst (Authentik) mit OpenID-Connect. Passwörter werden dort ausschließlich als Hash gespeichert; die Anwendung selbst speichert keine Passwörter.
• Der Zugriff auf die Schnittstelle erfolgt nur mit einem kryptografisch signierten Zugriffstoken (RS256), dessen Gültigkeit auf zehn Minuten begrenzt ist. Der Auffrischungsschlüssel ist widerrufbar; die Abmeldung widerruft ihn und beendet die Sitzung beim Anmeldedienst.
• Administrativer Zugang zum Server ausschließlich über SSH mit Schlüsselpaar; die Anmeldung mit Passwort ist serverweit deaktiviert.
• Automatische Sperre von IP-Adressen nach wiederholt fehlgeschlagenen Anmeldeversuchen (fail2ban, eigene Regeln für SSH, Anmeldedienst und Anwendung).
• Paketfilter (UFW): von außen erreichbar sind ausschließlich die Ports für SSH, HTTP, HTTPS und SMTP (eigener Mailserver).

Zugriffskontrolle.

• Strikte Mandantentrennung: Jede Abfrage der Anwendung filtert die Daten über die Zugehörigkeit zum jeweiligen Mandanten. Die Berechtigung wird bei jedem Zugriff anhand der Gruppenzugehörigkeit im Zugriffstoken geprüft, nicht nur beim Anlegen des Kontos.
• Ein bestehendes Konto wechselt nicht den Mandanten; ein Token mit abweichender Gruppenzugehörigkeit wird abgewiesen.
• Getrennte Rollen für Vermieterkonten und administrative Zugänge.
• Ein Konto ohne passende Gruppenzugehörigkeit erhält keinen Zugriff und wird auch nicht angelegt.

2.2. Integrität

Weitergabekontrolle. Sämtliche Zugriffe über das Internet erfolgen ausschließlich verschlüsselt über HTTPS/TLS mit gültigen Zertifikaten (Let's Encrypt) für alle Domains. Der Versand von E-Mails erfolgt über ein Relay mit erzwungener Transportverschlüsselung.

Verschlüsselung der Sicherungen. Sämtliche Sicherungen werden mit age (X25519) verschlüsselt. Auf dem Server liegt ausschließlich der öffentliche Schlüssel: das System kann Sicherungen erzeugen, aber nicht wieder lesbar machen. Der private Schlüssel wird außerhalb des Servers verwahrt. Eine Kopie des Datenträgers oder eines Snapshots gibt die Sicherungen daher nicht preis. Fehlt der öffentliche Schlüssel, unterbleibt die Sicherung — ein Rückfall auf eine unverschlüsselte Sicherung ist ausgeschlossen, der Ausfall wird der Überwachung gemeldet.

Zweite, unabhängige Kopie der Mieterdokumente (Speicherbox). Dateien (Mieterdokumente, Belege) liegen zusätzlich auf einer separaten Storage Box (Rechenzentrum Helsinki) und werden von dort täglich per BorgBackup versioniert auf eine zweite Storage Box in einem zweiten Rechenzentrum in Deutschland gesichert (Aufbewahrung: 14 tägliche, 8 wöchentliche, 6 monatliche Archivstände) — eine längere, feinere Historie als bei den übrigen Sicherungen. Diese zweite Ebene ist symmetrisch verschlüsselt, mit einer Passphrase, die auf dem Server selbst liegt, damit der tägliche Lauf ohne manuelles Eingreifen funktioniert — anders als bei der oben beschriebenen age-Verschlüsselung gilt hier NICHT die Zusage, dass der Server die Sicherung nicht selbst lesbar machen könnte. Ein kompromittierter Server könnte diese zweite Kopie theoretisch mitlesen. Diese Abwägung (Automatisierbarkeit gegen ein etwas geringeres Schutzniveau) ist bewusst getroffen und wird hier offengelegt, statt sie unerwähnt zu lassen.

Eingabekontrolle. Datensätze tragen Zeitstempel ihrer Anlage. Belege mit rechtlicher Wirkung werden nicht gelöscht, sondern storniert oder als korrigiert gekennzeichnet; ausgestellte Rechnungen und Abrechnungen werden zum Zeitpunkt der Ausstellung eingefroren und ändern sich durch spätere Vorgänge nicht. Dokumente werden versioniert abgelegt.

2.3. Verfügbarkeit und Belastbarkeit

• Tägliche automatische Sicherung der Datenbanken (03:00 Uhr), Aufbewahrung 14 Tage; zusätzlich Sicherung der ausgelieferten Webinhalte sowie des Programmcodes und der Betriebskonfiguration. Alle Sicherungen sind verschlüsselt (Punkt 2.2).
• Zusätzliche Server-Snapshots beim Rechenzentrumsbetreiber.
• Zusätzliche Snapshots der Speicherbox beim Rechenzentrumsbetreiber (schützen gegen versehentliches Löschen, nicht gegen den Ausfall der Box selbst — dafür dient die zweite, unabhängige Kopie in Deutschland, siehe Punkt 2.2).
• Überwachung des Betriebs mit Prometheus, Grafana und Alertmanager, einschließlich einer Alarmierung, wenn eine Sicherung ausbleibt oder fehlschlägt — gemeldet wird also nicht nur der Fehler, sondern auch das Ausbleiben des Erfolgs.
• Wiederherstellung aus der Sicherung über dafür vorgesehene Skripte.
• Regelmäßige Aktualisierung von Betriebssystem, Container-Abbildern und eingesetzten Komponenten.

2.4. Trennung

• Trennung der Daten verschiedener Mandanten auf Anwendungsebene (siehe Zugriffskontrolle).
• Getrennte Datenbanken für die Fachanwendung und für den Anmeldedienst.
• Trennung von Produktivbetrieb und Testdaten: die automatisierten Tests laufen gegen eine eigene, temporäre Datenbank und nicht gegen den Produktivbestand.

2.5. Verfahren zur regelmäßigen Überprüfung

Vor jeder Auslieferung werden die automatisierten Tests in einem eigenen, verworfenen Container ausgeführt; schlägt ein Test fehl, unterbleibt die Auslieferung. Datenbankänderungen werden ausschließlich über versionierte Migrationen eingespielt.

2.6. Offene Punkte

Der Auftragsverarbeiter weist ausdrücklich darauf hin, dass der laufende Datenbestand auf Dateisystemebene nicht verschlüsselt ist (keine Festplattenverschlüsselung). Der Schutz des laufenden Bestands wird über Zutritts-, Zugangs- und Zugriffskontrolle sowie über die Transportverschlüsselung sichergestellt. Die Sicherungen sind verschlüsselt (Punkt 2.2) — damit ist der Fall abgedeckt, in dem ein ruhender Datenträger oder eine Kopie davon in fremde Hände gerät.

Anhang 3 — Unterauftragsverarbeiter

Hinweis zum Mailversand: VermieterBox betreibt einen eigenen Mailserver und versendet E-Mails nicht über Dritte.

Eine Übermittlung in ein Drittland findet bei keinem der genannten Unterauftragsverarbeiter statt.