Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Geltung

1. Soweit der Nutzer die Werkzeuge von hausgeldpilot.de mit personenbezogenen Daten Dritter verwendet – insbesondere seiner Mieterinnen und Mieter –, ist er hierfür Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Der Anbieter verarbeitet diese Daten ausschließlich weisungsgebunden als Auftragsverarbeiter im Sinne des Art. 28 DSGVO.
2. Dieser Vertrag ist Anlage zu den Allgemeinen Geschäftsbedingungen (§ 14 Abs. 3 AGB). Er gilt für jede Nutzung, bei der der Anbieter personenbezogene Daten Dritter im Auftrag des Nutzers verarbeitet, auch bei einer unentgeltlichen Nutzung nach § 10 AGB.
3. Die Begriffe „Anbieter“ und „Nutzer“ haben die Bedeutung aus § 1 AGB.

§ 2 Umfang und Zweck der Verarbeitung

1. Der Anbieter verarbeitet Daten Dritter ausschließlich
   • zur Auslesung hochgeladener Unterlagen: Die Unterlagen werden zunächst im Browser des Nutzers ausgewertet. Liefert das kein verlässliches Ergebnis – bei Scans und Fotos stets, sonst insbesondere wenn das Ergebnis die Plausibilitätsprüfung nicht besteht –, werden Abbilder der Seiten an den Server des Anbieters übermittelt, von dort an den in Anlage 2 genannten KI-Dienst übergeben und die erkannten Positionen an den Browser zurückgegeben. In der Hausgeld-Analyse geschieht die Übermittlung erst nach ausdrücklicher Bestätigung im Werkzeug. Im Werkzeug für Mehrfamilienhäuser entfällt die Auswertung im Browser: Dort werden Abbilder jeder Seite hochgeladener Rechnungen, Bescheide, Heizkostenabrechnungen und Mietverträge stets an den Server übermittelt und an den KI-Dienst übergeben;
   • zur Bildung des Freigabeprotokolls im Werkzeug für Mehrfamilienhäuser: Gibt der Nutzer eine Abrechnung frei, übermittelt sein Browser eine Prüfsumme (SHA-256) über die Eingabedaten, zu denen die Namen der Mieter und die Beträge gehören. Die Eingabedaten selbst werden nicht übermittelt;
   • zum Versand der fertigen Abrechnung als PDF und gegebenenfalls als Word-Datei an die E-Mail-Adresse, mit der der Nutzer den Kauf getätigt hat.
2. Eine Verarbeitung zu eigenen Zwecken des Anbieters, insbesondere zu Zwecken der Werbung, der Profilbildung oder des Trainings von Modellen, findet nicht statt. Der KI-Dienst verwendet die ihm übergebenen Daten nach Angaben des Anbieters nicht zum Training seiner Modelle.

§ 3 Art der Daten und Kreis der Betroffenen

1. Verarbeitet werden die Daten, die in den hochgeladenen Unterlagen und in der fertigen Abrechnung stehen: Namen, Anschriften, Wohnungs- und Abrechnungsdaten wie Flächen, Miteigentumsanteile, Nutzungszeiträume und Verbrauchswerte, Beträge sowie gegebenenfalls Bankverbindungen; aus hochgeladenen Mietverträgen außerdem Vertragsdaten wie Mietbeginn, Miete, Vorauszahlungen, Kaution und der Wortlaut von Vertragsklauseln; aus Rechnungen, Bescheiden und Versicherungsunterlagen Kunden-, Vertrags- und Kassenzeichen; aus Ableseprotokollen Zählernummern und Zählerstände.
2. Betroffen sind insbesondere Mieterinnen und Mieter des Nutzers, weitere Wohnungseigentümer, Personen, die in den Unterlagen einer Verwaltung oder eines Messdienstes genannt sind, die in hochgeladenen Mietverträgen genannten Vertragsparteien sowie Personen, die in Rechnungen, Bescheiden oder Ableseprotokollen genannt sind.
3. Daten besonderer Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung; der Nutzer lädt solche Daten nicht hoch (§ 14 Abs. 6 AGB), auch keine Lohn- oder Gehaltsabrechnungen. Erkennt der Dienst eine hochgeladene Lohnabrechnung, gibt er aus ihr keine Daten an den Nutzer zurück.

§ 4 Dauer und Löschung

1. Abbilder hochgeladener Seiten hält der Server des Anbieters nur für die Dauer der jeweiligen Anfrage im Arbeitsspeicher; eine Ablage in Dateien oder Datenbanken findet nicht statt. Der KI-Dienst hält sie nach Angaben des Anbieters bis zu 30 Tage zur Erkennung von Missbrauch vor und löscht sie danach.
2. Die fertige Abrechnung hält der Server nur für die Dauer des Versands. Sie wird beim Anbieter nicht gespeichert. Ist die Empfängeradresse nicht zustellbar, kann die Unzustellbarkeitsmeldung die Nachricht samt Anhang in das Postfach des Anbieters zurückbringen; solche Rückläufer löscht der Anbieter spätestens nach 30 Tagen.
3. Was der Nutzer in seinem eigenen Browser ablegt, verbleibt unter seiner Kontrolle; die Datenschutzerklärung beschreibt, was dort wie lange liegt.
4. Für ein Freigabeprotokoll gilt § 14 Abs. 5 AGB. Es wird gelöscht, sobald es älter als drei Jahre ist; der Dienst prüft das bei jedem Start.
5. Eine Rückgabe von Daten erübrigt sich, weil der Anbieter die Unterlagen und Abrechnungen des Nutzers nicht aufbewahrt.

§ 5 Weisungen

1. Der Anbieter verarbeitet die Daten ausschließlich nach den Weisungen des Nutzers. Die Nutzung der jeweiligen Funktion im Werkzeug – das Hochladen einer Datei, die Bestätigung in der Hausgeld-Analyse, der Kauf – ist die Weisung. Weitere Weisungen erteilt der Nutzer in Textform an info@hausgeldpilot.de.
2. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Nutzer darauf hin und darf ihre Ausführung aussetzen, bis sie bestätigt oder geändert ist.

§ 6 Vertraulichkeit

1. Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten erhalten können, auf Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 7 Technische und organisatorische Maßnahmen

1. Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Den aktuellen Stand beschreibt Anlage 1. Der Anbieter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 8 Unterauftragsverarbeiter

1. Der Nutzer genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter. Der Anbieter verpflichtet sie vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht (Art. 28 Abs. 4 DSGVO).
2. Änderungen der Unterauftragsverarbeiter kündigt der Anbieter auf dieser Seite mit einem Vorlauf von vier Wochen an; erfährt er selbst später davon, unverzüglich nach Kenntnis. Der Nutzer kann aus datenschutzrechtlichen Gründen widersprechen; in diesem Fall nutzt er die betroffene Funktion nicht weiter. Da die Verarbeitung jeweils mit der Rückgabe des Ergebnisses oder dem Versand endet, gilt eine geänderte Liste nur für danach erteilte Aufträge.

§ 9 Unterstützung des Nutzers

1. Der Anbieter unterstützt den Nutzer im Rahmen des Zumutbaren bei der Beantwortung von Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei den Meldepflichten nach Art. 33 und 34 DSGVO.
2. Wendet sich eine betroffene Person unmittelbar an den Anbieter, verweist er sie an den Nutzer, soweit dieser erkennbar ist.

§ 10 Meldung von Verletzungen

1. Der Anbieter meldet dem Nutzer Verletzungen des Schutzes personenbezogener Daten, die seine Aufträge betreffen, unverzüglich nach Kenntnis.

§ 11 Nachweise und Kontrollen

1. Der Anbieter stellt dem Nutzer auf Anforderung die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind.
2. Kontrollen vor Ort sind nach Ankündigung mit angemessener Frist und während der üblichen Geschäftszeiten zulässig.

§ 12 Ort der Verarbeitung

1. Server und E-Mail-Postfach des Anbieters stehen in Deutschland.
2. Vertragspartner für den KI-Dienst nach Anlage 2 ist die OpenAI Ireland Ltd. mit Sitz in Irland. Die Verarbeitung erfolgt in der Regel durch verbundene Unternehmen in den Vereinigten Staaten. Die OpenAI Ireland Ltd. übermittelt Daten außerhalb des Europäischen Wirtschaftsraums nach dem mit ihr geschlossenen Vertrag zur Auftragsverarbeitung (Ziffer 4.1) auf Grundlage von Vereinbarungen mit den Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO) oder eines Angemessenheitsbeschlusses (Art. 45 DSGVO). OpenAI verpflichtet seine eigenen Unterauftragsverarbeiter vertraglich auf vergleichbare Pflichten; die Liste veröffentlicht OpenAI unter platform.openai.com/subprocessors.

§ 13 Verhältnis zu den AGB

1. Im Übrigen gelten die Allgemeinen Geschäftsbedingungen, insbesondere zur Haftung (§ 13 AGB). Widersprechen sie diesem Vertrag in Fragen des Datenschutzes, geht dieser Vertrag vor.

Anlage 1: Technische und organisatorische Maßnahmen

• Verschlüsselung: Die Website und alle Schnittstellen sind nur über HTTPS erreichbar; HSTS ist für ein Jahr einschließlich Subdomains gesetzt. Der Mailversand läuft über eine TLS-gesicherte Verbindung.
• Zutritt und Zugriff: Der Server steht in einem Rechenzentrum der IONOS SE in Deutschland. Administrativer Zugriff erfolgt ausschließlich über eine verschlüsselte SSH-Verbindung mit kryptografischem Schlüssel; die Anmeldung per Passwort ist abgeschaltet. Zugangsdaten zu Zahlungsdienst, Postfach und KI-Dienst liegen nur in der Konfiguration des Dienstes, nie im Quelltext.
• Härtung und Trennung: Der Dienst läuft unter einem eigenen Systembenutzer, ohne Möglichkeit zur Rechteausweitung, mit schreibgeschütztem System und einem eigenen, nicht geteilten Temporärverzeichnis; schreiben darf er nur in sein Datenverzeichnis.
• Datenminimierung: Seitenabbilder und fertige Abrechnungen werden nicht gespeichert. Zu einem Kauf stehen auf dem Server nur ein interner Schlüssel, die Kennung des Zahlungsvorgangs, der Betrag, Zeitstempel und ein Versandzähler – kein Name, keine Anschrift, keine E-Mail-Adresse.
• Keine Skripte Dritter: Die Content-Security-Policy lässt nur Skripte vom eigenen Server zu; Schriften und Programmbibliotheken werden selbst ausgeliefert.
• Protokolle: Zugriffs- und Systemprotokolle werden täglich rotiert und nach sieben Tagen gelöscht. Der Anwendungsdienst schreibt kein Zugriffsprotokoll; die eigene Reichweitenmessung speichert keine IP-Adressen.
• Verfügbarkeit und Wiederherstellung: Die Datenbanken des Dienstes werden täglich konsistent gesichert und auf Unversehrtheit geprüft; eine Kopie wird außerhalb des Servers aufbewahrt. Seitenabbilder und Abrechnungen sind darin nicht enthalten, weil sie nicht gespeichert werden. Sicherheitsaktualisierungen des Betriebssystems werden automatisch eingespielt.
• Belastbarkeit: Erkennung und Versand sind je Aufrufer und Zeitraum begrenzt.

Anlage 2: Unterauftragsverarbeiter

Nicht aufgeführt ist Stripe: Stripe verarbeitet die Zahlungsdaten als eigener Verantwortlicher und erhält keine Daten Dritter aus Ihren Unterlagen.