NebenkostenWizard

Vertrag zur Auftragsverarbeitung

nach Art. 28 Abs. 3 DSGVO · Fassung 1 · Stand 21. Oktober 2026

zwischen dem Kunden von NebenkostenWizard als Verantwortlichem („Auftraggeber“)
und Adrian Grötsch (Angaben im Impressum) als Auftragsverarbeiter („Auftragnehmer“).

Der Vertrag wird bei der Registrierung bzw. bei der Zustimmung zu einer neuen Fassung in der Anwendung elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO). Fassung, Zeitpunkt und zustimmender Benutzer werden festgehalten. Diese Seite lässt sich über die Druckfunktion des Browsers als PDF speichern.

§ 1 Gegenstand und Dauer

  1. Gegenstand ist die Verarbeitung personenbezogener Daten, die der Auftraggeber bei der Nutzung von NebenkostenWizard eingibt oder hochlädt, durch den Auftragnehmer. Grundlage ist der Nutzungsvertrag nach den Allgemeinen Geschäftsbedingungen („Hauptvertrag“).
  2. Der Vertrag läuft so lange wie der Hauptvertrag und darüber hinaus, bis die Daten nach § 10 gelöscht sind.

§ 2 Art, Zweck und Umfang der Verarbeitung

ZweckBereitstellung der Anwendung zur Verwaltung von Mietverhältnissen und zur Erstellung von Betriebs- und Nebenkostenabrechnungen; Ablage von Rechnungsbelegen; auf Anstoß des Auftraggebers Auswertung von Belegen durch ein Sprachmodell
Art der VerarbeitungErheben (durch Eingabe des Auftraggebers), Speichern, Ordnen, Auslesen, Übermitteln an den Browser des Auftraggebers, Sichern, Löschen; bei der Belegauswertung Übermittlung des Belegs an einen Unterauftragsverarbeiter (Anlage 1). Die Abrechnung selbst wird im Browser des Auftraggebers berechnet.
Arten von DatenNamen und Telefonnummern von Mietern und mitwohnenden Personen; Anschriften und Bezeichnungen von Häusern und Einheiten; Ein- und Auszugsdaten; Mieten, Kautionen und Mieterhöhungen; Personenzahlen; Zählerstände und Verbräuche; Notizen zu Mietverhältnissen; Kostenpositionen und Abrechnungsergebnisse; Vertragsart und Umsatzsteuer-Option; ausgestellte Rechnungen; Angaben zu Eigentümern; Rechnungsbelege mit ihrem gesamten Inhalt; das Änderungsprotokoll, das festhält, welcher Benutzer wann was geändert hat
Betroffene PersonenMieter und mitwohnende Personen; Eigentümer; Beschäftigte und Ansprechpartner von Rechnungsstellern; Benutzer des Auftraggebers (im Änderungsprotokoll)
Besondere Kategorien (Art. 9)Nicht vorgesehen. Der Auftraggeber gibt keine solchen Daten ein.
Ortausschließlich in der Europäischen Union (Anlage 1)

§ 3 Weisungen

  1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
  2. Weisungen sind dieser Vertrag, der Hauptvertrag und die Bedienung der Anwendung durch den Auftraggeber – etwa das Anlegen, Ändern, Exportieren und Löschen von Daten oder das Auslösen einer Belegauswertung. Weitere Weisungen erteilt der Auftraggeber in Textform.
  3. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf sie bis zur Bestätigung oder Änderung aussetzen.

§ 4 Vertraulichkeit

Der Auftragnehmer greift auf Daten des Auftraggebers nur zu, soweit es für den Betrieb, die Fehlerbehebung oder eine Anfrage des Auftraggebers erforderlich ist. Weitere Personen mit Zugriff gibt es nicht. Setzt der Auftragnehmer künftig Beschäftigte ein, verpflichtet er sie vorher zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teilt er dem Auftraggeber mit.

§ 6 Unterauftragsverarbeiter

  1. Der Auftraggeber genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter, einschließlich Google für die Belegauswertung.
  2. Der Auftragnehmer darf weitere Unterauftragsverarbeiter hinzuziehen oder bestehende ersetzen (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO). Er informiert den Auftraggeber darüber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen und erhält das vorausbezahlte Entgelt für die Zeit danach anteilig zurück.
  3. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Pflichten, die diesem Vertrag entsprechen, und haftet für ihn nach Art. 28 Abs. 4 DSGVO.
  4. Belegauswertung. Ein Administrator des Auftraggebers kann die Belegauswertung in der Anwendung jederzeit ausschalten. Dann übermittelt die Anwendung keine Belege an Google; jedes Ein- und Ausschalten wird mit Benutzer und Zeitpunkt festgehalten.

§ 7 Übermittlung in Drittländer

Der Auftragnehmer verarbeitet die Daten ausschließlich in der EU und übermittelt sie nicht in Drittländer. Für die Belegauswertung ist die Verarbeitung bei Google technisch auf Regionen in Europa beschränkt; die Anwendung verweigert jede andere Region. Für eigene Übermittlungen an ihre Unterauftragsverarbeiter haben Scaleway und Google die EU-Standardvertragsklauseln vereinbart, soweit solche Übermittlungen vorkommen.

§ 8 Unterstützung des Auftraggebers

  1. Rechte der Betroffenen. Die Anwendung erlaubt dem Auftraggeber, Daten selbst einzusehen, zu berichtigen, zu exportieren und zu löschen. Wo das nicht genügt, unterstützt ihn der Auftragnehmer auf Anfrage. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
  2. Pflichten nach Art. 32 bis 36 DSGVO. Der Auftragnehmer unterstützt den Auftraggeber bei Sicherheit, Meldungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation mit den Informationen, die ihm vorliegen.
  3. Verletzungen des Schutzes. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, in Textform mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen; fehlende Angaben reicht er nach.
  4. Unterstützung, die über die Funktionen der Anwendung hinausgeht und nicht auf einem Verstoß des Auftragnehmers beruht, kann er in angemessenem Umfang nach Aufwand berechnen; vorher nennt er die voraussichtlichen Kosten.

§ 9 Nachweise und Kontrollen

  1. Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und beantwortet Fragen dazu in Textform.
  2. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf die Einhaltung nach Anmeldung mit einer Frist von mindestens vier Wochen auch vor Ort prüfen, während der üblichen Geschäftszeiten und ohne den Betrieb zu stören. Die Rechenzentren betreibt Scaleway; für sie dient deren Zertifizierung nach ISO/IEC 27001 als Nachweis.
  3. Rechte der Aufsichtsbehörden bleiben unberührt.

§ 10 Löschung und Rückgabe nach Vertragsende

  1. Der Auftraggeber kann seine Daten bis zum Vertragsende und danach noch 30 Tage lang exportieren (Rückgabe). Rechnungen und Belege, die er selbst aufbewahren muss, sichert er in dieser Zeit.
  2. Nach Ablauf dieser Frist löscht der Auftragnehmer alle Daten des Kontos unverzüglich und vollständig aus der laufenden Datenbank, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Auf Verlangen bestätigt er die Löschung in Textform.
  3. Restbestand in Sicherungen. Die Sicherungen sind Abbilder der gesamten Datenbank über alle Kunden und lassen sich nur als Ganzes löschen, nicht um ein einzelnes Konto bereinigen. Darin bleiben die Daten bis zum Ablauf der Aufbewahrungsfrist der Sicherung erhalten – tägliche Sicherungen 7 Tage, Sicherungen vor einer Aktualisierung 30 Tage –, also höchstens 30 Tage nach der Löschung. Sie sind verschlüsselt und im laufenden Betrieb nicht zugänglich. Muss in dieser Zeit die gesamte Datenbank aus einer Sicherung wiederhergestellt werden, löscht der Auftragnehmer das Konto danach erneut.

§ 11 Pflichten des Auftraggebers

  1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Mieter und anderer betroffener Personen nach Art. 13 und 14 DSGVO. Nutzt er die Belegauswertung, gehört dazu der Hinweis auf die Verarbeitung bei Google und auf die dortigen Speicherfristen (Anlage 1).
  2. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 12 Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regeln des Hauptvertrags.
  2. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.
  3. Änderungen dieses Vertrags werden wie Änderungen der Allgemeinen Geschäftsbedingungen nur mit Zustimmung des Auftraggebers wirksam.

Anlage 1 – Unterauftragsverarbeiter

UnternehmenLeistungOrt
Scaleway S.A.S.
8 rue de la Ville l'Évêque, 75008 Paris, Frankreich		Betrieb der Anwendung und der Datenbank, Sicherungen, privates Netz, Versand von E-MailsRechenzentren in der Region Paris, Frankreich; Sicherungen ebenda
Google Cloud EMEA Limited
70 Sir John Rogerson's Quay, Dublin 2, Irland		Auswertung von Rechnungsbelegen durch ein Sprachmodell (Vertex AI) – nur auf Anstoß eines Benutzers und nur, solange die Belegauswertung eingeschaltet ist. Übermittelt werden der Beleg und Bezeichnungen und Anschriften der Häuser und Einheiten, keine Mieternamen aus dem Datenbestand. Zwischenspeicher bis 24 Stunden im Arbeitsspeicher; Protokollierung zur Missbrauchserkennung bis 30 Tage. Keine Verwendung zum Training von Modellen.Region europe-west4, Niederlande

Anlage 2 – Technische und organisatorische Maßnahmen

Die Maßnahmen sind nach ihrer Wirkung beschrieben. Eine ausführliche interne Dokumentation wird geführt und auf Verlangen einer Aufsichtsbehörde vorgelegt.

1. Vertraulichkeit

2. Integrität

3. Verfügbarkeit und Belastbarkeit

4. Verfahren zur regelmäßigen Überprüfung

5. Löschung

6. Organisation