Vertrag zur Auftragsverarbeitung

1. Gegenstand, Art und Zweck

Hauspilot stellt dem Auftraggeber eine Software zur Verwaltung seiner Mietobjekte bereit und verarbeitet dabei personenbezogene Daten ausschließlich in seinem Auftrag: Speicherung, Anzeige, Übersetzung und Versand von Nachrichten, Erstellung von Dokumenten (z. B. PDF), Auswertung hochgeladener Dateien auf Anweisung des Auftraggebers (KI-Import) sowie Löschung.

2. Betroffene Personen und Datenarten

• Mieter und Mitbewohner: Name, Kontaktdaten, Sprache, Wohnung, Mietbeginn und -ende, Miete, Kaution, Zahlungseingänge, Nebenkosten, Übergabeprotokolle mit Zählerständen, Fotos und Unterschriften, elektronisch unterschriebene Dokumente mit Unterschriftsprotokoll (Unterschrift, Zeitpunkte, IP-Adresse, Gerät), Rundschreiben und Lesebestätigungen, Zugangscodes.
• Mietinteressenten: Angaben der Mieterselbstauskunft, z. B. Kontaktdaten, Geburtsdatum, Haushaltsgröße, Beschäftigung, Einkommen, bisherige Anschrift, Quiz-Ergebnis.
• Weitere Beteiligte an Übergaben (z. B. Zeugen) mit Name und Unterschrift.

3. Weisungen

Hauspilot verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; diese ergibt sich aus diesem Vertrag und der Nutzung der Funktionen in Hauspilot. Hält Hauspilot eine Weisung für rechtswidrig, weist es den Auftraggeber darauf hin.

4. Vertraulichkeit und Sicherheit

Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet. Hauspilot trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:

• verschlüsselte Übertragung (HTTPS/TLS) für alle Verbindungen,
• Speicherung von Passwörtern nur als kryptografischer Hash (PBKDF2),
• Trennung der Daten je Vermieter (Mandantentrennung) und Zugriff nur nach Anmeldung,
• Betrieb auf der Infrastruktur von Cloudflare mit deren Sicherheitsmaßnahmen,
• keine Verwendung der Daten zu eigenen Zwecken, kein Tracking.

5. Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• Cloudflare, Inc. (USA): Hosting, Datenbank, Dateispeicher
• Resend (USA): E-Mail-Versand
• OneSignal, Inc. (USA): Push-Benachrichtigungen
• DeepL SE (Deutschland): Übersetzung von Rundschreiben
• Anthropic PBC (USA): Auswertung hochgeladener Dateien bei KI-Import, Nebenkosten-Import und Belegerkennung (nur bei Nutzung dieser Funktionen)

Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework bzw. der EU-Standardvertragsklauseln. Über geplante Änderungen informiert Hauspilot den Auftraggeber vorab per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und in diesem Fall den Vertrag kündigen.

6. Unterstützung des Auftraggebers

Hauspilot unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung usw.) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Viele dieser Aufgaben kann der Auftraggeber direkt in Hauspilot erledigen (z. B. Daten ändern oder Mieter löschen).

7. Datenschutzverletzungen

Hauspilot informiert den Auftraggeber unverzüglich, sobald ihm eine Verletzung des Schutzes der Daten des Auftraggebers bekannt wird, und unterstützt ihn bei der Aufklärung und bei etwaigen Meldepflichten.

8. Löschung nach Vertragsende

Nach Ende des Nutzungsvertrags kann der Auftraggeber seine Daten noch 30 Tage exportieren. Danach löscht Hauspilot sie, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

9. Nachweise und Kontrollen

Hauspilot stellt dem Auftraggeber auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung.

10. Schlussbestimmungen

Im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.