Zwischen

dem Verantwortlichen

dem Nutzer, der sich mit einem Vermieter-Konto bei Hausleicht anmeldet, mit den bei der Anmeldung hinterlegten Daten

— nachfolgend „Vermieter" —

und

dem Auftragsverarbeiter

Wamponga Venture GmbH
Falkenstraße 4
63263 Neu-Isenburg
Deutschland

Vertreten durch: Raphael Krause
Registergericht Offenbach a. M., HRB 45606
E-Mail: info@hausleicht.de

— nachfolgend „Hausleicht" —

§ 1 Gegenstand und Dauer

(1) Hausleicht stellt dem Vermieter eine Software zur Verwaltung von Mietverhältnissen bereit. Der Vermieter nutzt diese Software, um Daten seiner Mieterinnen und Mieter sowie seiner Objekte zu verarbeiten.

(2) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten, die Hausleicht im Auftrag des Vermieters vornimmt. Einzelheiten zu Art, Umfang, Zweck, Datenarten und betroffenen Personen ergeben sich aus Anlage 1.

(3) Der Vertrag beginnt mit der Bereitstellung des Zugangs und läuft, solange der Vermieter die Software nutzt. Er endet mit Beendigung des Nutzungsverhältnisses.

(4) Der Vermieter ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er allein entscheidet über Zwecke und Mittel der Verarbeitung und ist für die Rechtmäßigkeit verantwortlich.

§ 2 Weisungsbindung

(1) Hausleicht verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Vermieters. Als Weisung gelten dieser Vertrag und die Nutzung der Funktionen der Software durch den Vermieter.

(2) Weisungen über den Vertrag hinaus bedürfen der Textform (E-Mail genügt).

(3) Hält Hausleicht eine Weisung für datenschutzrechtlich unzulässig, teilt Hausleicht dies unverzüglich mit. Hausleicht darf die Ausführung aussetzen, bis der Vermieter die Weisung bestätigt oder ändert.

(4) Eine Übermittlung in ein Drittland erfolgt nur, soweit sie in Anlage 3 beschrieben ist oder der Vermieter sie anweist. Die Voraussetzungen der Art. 44 ff. DSGVO sind einzuhalten.

§ 3 Vertraulichkeit

(1) Hausleicht setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

(3) Hausleicht stellt sicher, dass die zur Verarbeitung befugten Personen die einschlägigen Datenschutzvorschriften kennen.

§ 4 Sicherheit der Verarbeitung

(1) Hausleicht trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Diese sind in Anlage 2 beschrieben.

(2) Die Maßnahmen können fortentwickelt werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

(3) Die Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung.

§ 5 Weitere Auftragsverarbeiter

(1) Der Vermieter erteilt Hausleicht die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die derzeit eingesetzten Unternehmen sind in Anlage 3 aufgeführt.

(2) Hausleicht informiert den Vermieter mindestens vier Wochen vorher in Textform über die Hinzuziehung oder den Wechsel eines weiteren Auftragsverarbeiters.

(3) Der Vermieter kann einer Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund widersprechen. Wird ein Widerspruch erhoben und lässt sich keine Einigung erzielen, steht beiden Seiten ein Sonderkündigungsrecht zu.

(4) Hausleicht verpflichtet weitere Auftragsverarbeiter vertraglich auf Pflichten, die den hier vereinbarten entsprechen.

(5) Nicht als weitere Auftragsverarbeitung gelten Nebenleistungen, die Hausleicht bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf die Daten des Vermieters erhalten (etwa Telekommunikationsleistungen).

§ 6 Unterstützung des Vermieters

(1) Hausleicht unterstützt den Vermieter mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

(2) Wendet sich eine betroffene Person unmittelbar an Hausleicht, leitet Hausleicht das Anliegen unverzüglich an den Vermieter weiter und beantwortet es nicht selbst.

(3) Hausleicht unterstützt den Vermieter ferner bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und der Meldung von Verletzungen des Schutzes personenbezogener Daten.

(4) Die Software stellt dem Vermieter Funktionen bereit, mit denen er Daten selbst exportieren und löschen kann. Soweit der Vermieter diese Funktionen nutzen kann, erfolgt die Unterstützung hierüber.

§ 7 Meldung von Datenschutzverletzungen

(1) Hausleicht meldet dem Vermieter jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis.

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen.

(3) Hausleicht ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Minderung nachteiliger Folgen.

§ 8 Nachweise und Überprüfung

(1) Hausleicht stellt dem Vermieter auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Vermieter kann sich von der Einhaltung überzeugen. Die Überprüfung erfolgt vorrangig durch Einholung von Auskünften, Vorlage vorhandener Nachweise oder Selbstauskünften.

(3) Vor-Ort-Prüfungen sind mit angemessener Vorankündigung von mindestens zwei Wochen, während üblicher Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Vermieter trägt die ihm hierdurch entstehenden Kosten selbst.

§ 9 Löschung und Rückgabe

(1) Nach Beendigung des Vertrages löscht Hausleicht alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Vermieters zurück.

(2) Der Vermieter kann seine Daten jederzeit über die Exportfunktion der Software selbst herunterladen. Diese Möglichkeit besteht bis zur Löschung des Kontos.

(3) Löscht der Vermieter sein Konto über die dafür vorgesehene Funktion, werden die zugehörigen Daten einschließlich der Konten der von ihm eingeladenen Mieter gelöscht.

(4) Nach Beendigung des Vertrages werden verbliebene Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen der üblichen Löschzyklen überschrieben.

(5) Die Löschung wird dem Vermieter auf Verlangen in Textform bestätigt.

§ 10 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO.

(2) Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Abbedingung dieses Formerfordernisses.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen Zweck am nächsten kommt.

(4) Es gilt deutsches Recht.

(5) Bei Widersprüchen zwischen diesem Vertrag und anderen Vereinbarungen der Parteien gehen die Regelungen dieses Vertrages in Datenschutzfragen vor.

Anlage 1 · Gegenstand der Verarbeitung

Art und Zweck

Bereitstellung einer Software zur Verwaltung privater Mietverhältnisse. Die Verarbeitung dient der Verwaltung von Objekten, Mietverhältnissen, Schadens- und Mängelmeldungen, Mietzahlungen, Dokumenten und der Kommunikation zwischen Vermieter und Mieter.

Kategorien betroffener Personen

• Mieterinnen und Mieter des Vermieters
• Der Vermieter selbst sowie von ihm berechtigte Personen
• Handwerker und Dienstleister, soweit vom Vermieter erfasst

Arten personenbezogener Daten

Bereich	Daten
Konto	Name, E-Mail-Adresse, Passwort (nur als Hashwert), Rolle, Zeitpunkt der ersten Anmeldung
Mietverhältnis	Zuordnung zu Objekt und Wohneinheit, Kaltmiete, Nebenkostenvorauszahlung, Kaution, Mietbeginn
Zahlungen	Monatlicher Zahlungsstand, Datum der Erfassung
Meldungen	Beschreibung, Kategorie, Status, Zeitstempel, hochgeladene Fotos
Kommunikation	Nachrichten zwischen Vermieter und Mieter, Aushänge
Dokumente	Vom Vermieter hochgeladene Dateien, etwa Mietverträge und Abrechnungen
Assistent	Vom Nutzer eingegebene Fragen und die Antworten des Assistenten
Kontakt	Telefonnummer, soweit vom Nutzer hinterlegt

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Vermieter sieht davon ab, solche Daten in der Software zu speichern.

Dauer

Für die Dauer des Nutzungsverhältnisses, danach nach Maßgabe von § 9.

Anlage 2 · Technische und organisatorische Maßnahmen

nach Art. 32 DSGVO

Vertraulichkeit

Zutrittskontrolle. Die Daten liegen in Rechenzentren der eingesetzten Dienstleister (siehe Anlage 3). Diese unterhalten eigene Zutrittssicherungen. Eigene Server werden nicht betrieben.

Zugangskontrolle. Der Zugang erfolgt ausschließlich über persönliche Konten mit E-Mail-Adresse und Passwort. Passwörter werden nicht im Klartext gespeichert, sondern ausschließlich als Hashwert. Eine Selbstregistrierung ist deaktiviert; Konten entstehen nur durch Einladung.

Zugriffskontrolle. Die Trennung der Daten erfolgt auf Ebene der Datenbank durch zeilenbasierte Sicherheitsregeln (Row Level Security). Jede Abfrage wird serverseitig daraufhin geprüft, ob der anfragende Nutzer auf den jeweiligen Datensatz zugreifen darf. Ein Mieter kann ausschließlich Daten seines eigenen Mietverhältnisses abrufen, ein Vermieter ausschließlich Daten seiner eigenen Objekte und Mieter. Diese Prüfung lässt sich clientseitig nicht umgehen.

Trennungskontrolle. Die Daten verschiedener Vermieter werden logisch getrennt. Die Zuordnung erfolgt über eine eindeutige Kennung, die in jeder Sicherheitsregel geprüft wird.

Integrität

Weitergabekontrolle. Die Übertragung zwischen Endgerät und Server erfolgt ausschließlich verschlüsselt über HTTPS (TLS).

Eingabekontrolle. Datensätze werden mit Erstellungszeitpunkt gespeichert. Bei Meldungen werden zusätzlich die Zeitpunkte der Statusänderungen protokolliert. Die eingesetzten Dienstleister führen serverseitige Protokolle über Zugriffe.

Verfügbarkeit und Belastbarkeit

Verfügbarkeit. Betrieb in Rechenzentren mit redundanter Auslegung.

Sicherung. Der Datenbankdienst erstellt regelmäßige Sicherungen nach Maßgabe des gebuchten Tarifs.

Wiederherstellbarkeit. Daten lassen sich aus den Sicherungen des Dienstes wiederherstellen.

Verfahren zur Überprüfung und Bewertung

Datenschutzfreundliche Voreinstellungen. Dokumente sind standardmäßig nicht für Mieter freigegeben. Die Freigabe erfolgt nur durch ausdrückliche Auswahl des Vermieters.

Datenminimierung. Es werden nur die zur Verwaltung erforderlichen Daten erhoben. Eine Weiterverwendung zu anderen Zwecken findet nicht statt.

Löschkonzept. Nutzer können ihr Konto selbst löschen. Dabei werden die zugehörigen Datensätze sowie hochgeladene Dateien entfernt. Abhängige Datensätze werden über Fremdschlüsselbeziehungen mitgelöscht.

Auftragskontrolle. Mit allen weiteren Auftragsverarbeitern bestehen Verträge nach Art. 28 DSGVO.

Kein Tracking. Es werden keine Analyse- oder Werbedienste eingesetzt. Es werden keine Cookies zu Analysezwecken gesetzt.

Anlage 3 · Weitere Auftragsverarbeiter

Stand: ............................ (Datum bei Vertragsschluss eintragen)

Unternehmen	Leistung	Ort der Verarbeitung	Grundlage
Supabase Pte. Ltd, 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513	Datenbank, Anmeldung, Dateispeicher	Rechenzentrum Frankfurt am Main, Deutschland	Data Processing Addendum nach Art. 28 DSGVO einschließlich EU-Standardvertragsklauseln; eigene Unterauftragsverarbeiter unter supabase.com/legal/customer-resources/subprocessor-list
STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin	Hosting der Website	Deutschland	Auftragsverarbeitungsvertrag nach Art. 28 DSGVO
Anthropic PBC, 548 Market Street, San Francisco, CA 94104, USA	Verarbeitung der Eingaben an den Assistenten	USA	EU-Standardvertragsklauseln. Die Inhalte werden nicht zum Training der Modelle verwendet.

Hinweis zum Assistenten. An Anthropic werden ausschließlich die Texte übermittelt, die ein Nutzer dem Assistenten eingibt, sowie der zur Beantwortung erforderliche Datenauszug. Eine dauerhafte Speicherung bei Anthropic findet nicht statt.

Nicht erfasst. Die Zahlungsabwicklung über PayPal (Europe) S.à r.l. et Cie, S.C.A., Luxemburg betrifft ausschließlich das Vertragsverhältnis zwischen Hausleicht und dem Vermieter. Daten der Mieter werden dabei nicht übermittelt. PayPal ist insoweit eigener Verantwortlicher und nicht Auftragsverarbeiter.