Hausfuchs

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Entwurf vom 13.11.2026 zur anwaltlichen Prüfung. Angaben in eckigen Klammern ergänzt der Betreiber.

zwischen dem Kunden von Hausfuchs (Vermieter, „Verantwortlicher“) und Fabio Valvano, Valvano Media, Zimmerstraße 3, 76137 Karlsruhe („Auftragsverarbeiter“). Der Vertrag wird bei der Registrierung elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO); der Zeitpunkt und die Fassung werden gespeichert.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Software Hausfuchs nach den AGB bereit. Dabei verarbeitet er personenbezogene Daten, für die der Verantwortliche verantwortlich ist. Dieser Vertrag regelt die Rechte und Pflichten beider Seiten dabei.

(2) Der Vertrag gilt, solange der Nutzungsvertrag besteht, einschließlich der Testphase, und darüber hinaus, bis alle Daten nach § 10 gelöscht oder zurückgegeben sind.

§ 2 Art, Zweck, Daten und Betroffene

(1) Art und Zweck: Speichern, Ordnen, Auswerten, Anzeigen und Übermitteln von Daten zur Verwaltung von Mietobjekten, insbesondere Empfang und Versand von E-Mails, automatische Zuordnung, Zusammenfassung und Antwortvorschläge mit Hilfe eines Sprachmodells, Texterkennung in Belegen und Dokumenten, Abgleich von Kontoumsätzen mit Mietverhältnissen, Erstellung von Abrechnungen und Schreiben, Mieterportal, Handwerkeraufträge, Erinnerungen.

(2) Kategorien betroffener Personen: Mieter und Mitbewohner, Mietinteressenten, ehemalige Mieter, Bürgen, Handwerker und Dienstleister, Absender von E-Mails, die der Verantwortliche weiterleitet (etwa Behörden, Versorger, Nachbarn), Teammitglieder des Verantwortlichen.

(3) Kategorien von Daten: Namen, Kontaktdaten, Anschriften, Vertragsdaten (Mietbeginn und -ende, Miete, Vorauszahlungen, Kaution), Zählerstände und Verbrauchswerte, Zahl der Personen im Haushalt, Zahlungsdaten aus Kontoumsätzen (Datum, Betrag, Verwendungszweck, Name und gegebenenfalls IBAN des Zahlers), Inhalte von Nachrichten und Anhängen einschließlich Fotos, Dokumente wie Mietverträge und Protokolle, Belege und Rechnungen, technische Daten zum Mieterportal.

(4) Besondere Kategorien (Art. 9 DSGVO): werden nicht gezielt verarbeitet. Sie können aber in Nachrichten oder Dokumenten enthalten sein, die Mieter oder andere Absender schicken (etwa Gesundheitsangaben). Die Software weist das Sprachmodell an, solche Angaben in Zusammenfassungen und Vorschlägen nicht über das Nötige hinaus wiederzugeben.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats zur Verarbeitung verpflichtet; dann teilt er dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Nutzung der Software durch den Verantwortlichen (etwa Weiterleiten, Hochladen, Freigeben, Löschen). Weitere Weisungen erteilt der Verantwortliche in Textform.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

(4) Der Auftragsverarbeiter verwendet die Daten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen. Zulässig ist die Auswertung anonymer, aggregierter Nutzungs- und Kostenkennzahlen (etwa Zahl und Kosten von KI-Aufrufen je Konto) für Abrechnung und Betrieb.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten des Verantwortlichen nimmt er nur, soweit das für Betrieb, Fehlerbehebung oder Support im Einzelfall erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, wenn das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet sie vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag.

(2) Der Verantwortliche erteilt eine allgemeine Genehmigung für weitere oder andere Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert ihn mindestens [vier] Wochen vorher per E-Mail über jede beabsichtigte Änderung. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann der Auftragsverarbeiter den Grund nicht ausräumen, darf der Verantwortliche den Nutzungsvertrag zum Zeitpunkt der Änderung fristlos kündigen; im Voraus gezahltes Entgelt wird anteilig erstattet.

(3) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung der Pflichten durch seine Unterauftragsverarbeiter (Art. 28 Abs. 4 Satz 2 DSGVO).

(4) Kein Unterauftragsverarbeiter sind Dienstleister, die der Verantwortliche selbst wählt und an die er über Hausfuchs Nachrichten sendet (etwa Handwerker oder Mieter als Empfänger), sowie Stripe für die Bezahlung des Abos.

§ 7 Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU oder des EWR erfolgt nur bei den in Anlage 2 genannten Unterauftragsverarbeitern und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, also auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der Standardvertragsklauseln der EU-Kommission. [Transfer-Folgenabschätzung je US-Anbieter dokumentieren, siehe Begleitdokument.]

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung der Rechte der Betroffenen (Art. 12 bis 23 DSGVO). Die Software ermöglicht Anzeige, Berichtigung und Löschung der Daten einzelner Mieter [sowie deren Export – noch umzusetzen, siehe Begleitdokument]. Wendet sich ein Betroffener direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

(2) Er unterstützt den Verantwortlichen bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere mit den Informationen, die für eine Datenschutz-Folgenabschätzung nötig sind (Beschreibung der Verarbeitung mit dem Sprachmodell, Datenflüsse, Maßnahmen nach Anlage 1). [Muster-Folgenabschätzung bereitstellen, siehe Begleitdokument.]

(3) Für Unterstützung, die über die Funktionen der Software hinausgeht und nicht durch einen Verstoß des Auftragsverarbeiters veranlasst ist, kann eine angemessene Vergütung vereinbart werden.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die Adresse des Kontoinhabers. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mindern.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Bis zum Vertragsende und während einer anschließenden Frist von 30 Tagen kann der Verantwortliche seine Daten selbst exportieren (Rückgabe). Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle Daten des Verantwortlichen einschließlich der gespeicherten Dateien. Sicherungskopien werden im regulären Zyklus nach spätestens 30 weiteren Tagen überschrieben; bis dahin werden sie nur für eine Wiederherstellung nach einem Systemausfall verwendet.

(2) Belegdateien werden mit einer Schreibsperre gespeichert, die ihre Veränderung und Löschung für die gesetzliche Aufbewahrungsfrist des Verantwortlichen verhindert (§ 147 AO). [Vom Anwalt mit dem Betreiber zu klären: Wie werden gesperrte Belege nach Vertragsende behandelt – Aufbewahrung als Weisung des Verantwortlichen bis zum Fristablauf, mit Zugriffsmöglichkeit, oder keine Sperre und Übergabe an den Verantwortlichen? Siehe Begleitdokument.]

(3) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 11 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere eine aktuelle Fassung der Anlagen 1 und 2.

(2) Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann Kontrollen nach Absprache durchführen, in der Regel mit einer Ankündigungsfrist von [vier] Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebs. Vor-Ort-Kontrollen in Rechenzentren der Unterauftragsverarbeiter werden durch deren Zertifikate und Prüfberichte ersetzt.

§ 12 Haftung

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nicht entgegensteht.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen bedürfen der Textform. Änderungen der Anlage 2 richten sich nach § 6.

(3) Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam; es gelten dann die Regelungen des Art. 28 DSGVO.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

Integrität

Verfügbarkeit und Belastbarkeit

Verfahren zur regelmäßigen Überprüfung

Anlage 2 – Unterauftragsverarbeiter