Auftragsverarbeitungsvertrag
nach Art. 28 Abs. 3 DSGVO. Version 1.0, Stand: 13.10.2026
Vorbemerkung und Abschluss
Dieser Vertrag gilt zwischen
- Ihnen als Vermieterin oder Vermieter, der Nebenklar nutzt, als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO, und
- Christian Schönlein, Finally Founding, Annaberger Str. 9, 91459 Markt Erlbach, Deutschland, E-Mail hello@finally-founding.com, als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.
Er ist Bestandteil der Nutzungsbedingungen. Mit deren Annahme, also beim Anlegen Ihres Kontos, schließen Sie diesen Vertrag ab. Das elektronische Format genügt (Art. 28 Abs. 9 DSGVO). Bei Widersprüchen zwischen den Nutzungsbedingungen und diesem Vertrag geht dieser Vertrag vor, soweit es um den Schutz personenbezogener Daten geht.
Der Vertrag betrifft nur die Daten Dritter, vor allem Ihrer Mieter, die Sie in Nebenklar verarbeiten. Für Ihre eigenen Konto- und Kontaktdaten und für den Mieter-Check ist Nebenklar selbst verantwortlich. Das regelt die Datenschutzerklärung.
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt Ihnen Nebenklar zur Verfügung, eine Software zur Erstellung von Betriebskostenabrechnungen. Dabei verarbeitet er personenbezogene Daten in Ihrem Auftrag. Der Vertrag läuft so lange wie der Nutzungsvertrag. Er endet, wenn Ihr Konto gelöscht ist. Pflichten, die über das Vertragsende hinaus wirken (Vertraulichkeit, Löschung, Nachweise), gelten fort.
2. Art und Zweck der Verarbeitung
Zweck ist die Erstellung, Prüfung und Zustellung Ihrer Betriebskostenabrechnungen nach § 556 BGB. Dazu gehören folgende Verarbeitungen:
- Speichern der Daten und Dokumente, die Sie hochladen oder eingeben
- Auslesen der hochgeladenen Dokumente mit einem Sprachmodell (Positionen, Beträge, Verteilungen, Verbrauchswerte)
- Berechnen der Abrechnung und Erstellen der PDF-Dokumente
- Versand der Abrechnung per E-Mail an Ihre Mieter, wenn Sie das auslösen
- Bereitstellen der „Abrechnung zum Antippen“ unter einem geheimen Link und Zählen der Aufrufe, wenn Sie den Link erstellen
- Speichern für das Folgejahr und Erinnerungen an Ihre Abrechnungsfrist
Die Verarbeitung findet in der EU statt. Zu Übermittlungen in Drittländer durch Unterauftragsverarbeiter siehe Abschnitt 7.
3. Arten der Daten und betroffene Personen
Datenarten
- Namen der Mieter und weiterer Bewohner
- Anschrift der Mietwohnung, gegebenenfalls eine abweichende Anschrift für die Zustellung
- Wohnungsdaten: Lage, Wohnfläche, Miteigentumsanteile, Personenzahl, Ein- und Auszugsdatum
- Verbrauchswerte, etwa für Heizung, Warmwasser und Wasser
- Vereinbarte und gezahlte Vorauszahlungen, Nachzahlungen und Guthaben
- Gegebenenfalls die E-Mail-Adresse der Mieter, wenn Sie die Abrechnung per E-Mail verschicken
- Zeitpunkte der Zustellung und Aufrufe des Mieter-Links
- Inhalte der hochgeladenen Belege, soweit sie Personen betreffen, etwa Namen von Eigentümern, Verwaltern oder Dienstleistern
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind für eine Betriebskostenabrechnung nicht nötig. Bitte laden Sie keine Dokumente mit solchen Daten hoch.
Betroffene Personen
- Ihre heutigen und früheren Mieter sowie Mitbewohner
- Personen, die in Ihren Belegen genannt sind, etwa Verwalter, Miteigentümer, Handwerker und Ansprechpartner von Dienstleistern
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf Ihre dokumentierte Weisung, auch bei Übermittlungen in Drittländer, es sei denn, ein Gesetz verpflichtet ihn zu etwas anderem. Dann teilt er Ihnen das vorher mit, soweit das Gesetz es nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
Ihre Weisungen erteilen Sie durch die Nutzung der Funktionen von Nebenklar, also durch Hochladen, Bearbeiten, Verschicken und Löschen. Weitere Weisungen können Sie in Textform an hello@finally-founding.com geben. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er Ihnen das unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).
Daten, die er in Ihrem Auftrag verarbeitet, nutzt der Auftragsverarbeiter nicht für eigene Zwecke, nicht für Werbung und nicht zum Training von Sprachmodellen.
5. Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zurzeit hat nur der Auftragsverarbeiter selbst Zugriff auf die Produktionsumgebung.
6. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO. Dazu gehören:
- Ort der Daten
- Datenbank und Dateispeicher bei Convex in der EU-Region eu-west-1 (Rechenzentren von Amazon Web Services in Irland).
- Übertragung
- Alle Verbindungen zwischen Browser, App, Server und Dienstleistern sind mit TLS verschlüsselt.
- Zugang
- Anmeldung ohne Passwort mit einem Einmalcode an Ihre E-Mail-Adresse. Sitzungen laufen nach höchstens 90 Tagen ab. Sie können sich jederzeit abmelden.
- Zugriff
- Jeder Datensatz gehört einem Konto. Der Server prüft bei jedem Zugriff, ob er zum angemeldeten Konto gehört. Mieter-Links sind nur mit einem zufälligen Schlüssel von 256 Bit erreichbar, für Suchmaschinen gesperrt und von Ihnen jederzeit widerrufbar.
- Schutz vor Missbrauch
- Begrenzung der Anfragen pro Konto und insgesamt für das Auslesen von Dokumenten, den E-Mail-Versand und die PDF-Erstellung.
- Trennung
- Die Daten verschiedener Konten sind logisch getrennt. Daten werden nur für den Zweck verarbeitet, für den Sie sie eingegeben haben.
- Datensparsamkeit beim Auslesen
- Bei OpenAI ist die Speicherung der Antworten abgeschaltet. Die Daten werden nicht zum Training verwendet. Protokolle zur Missbrauchserkennung löscht OpenAI nach spätestens 30 Tagen.
- Löschung
- Sie können einzelne Dokumente löschen und Ihr Konto mit allen Daten. Beim Löschen des Kontos werden alle zugehörigen Daten sofort aus der Datenbank entfernt, auch Dokumente und Mieter-Links.
- Überprüfung
- Die Maßnahmen werden regelmäßig und bei Änderungen an Nebenklar überprüft und an den Stand der Technik angepasst.
Der Auftragsverarbeiter darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.
7. Unterauftragsverarbeiter
Sie stimmen dem Einsatz der folgenden Unterauftragsverarbeiter zu (allgemeine Genehmigung nach Art. 28 Abs. 2 DSGVO):
| Unternehmen | Leistung | Ort und Absicherung |
|---|---|---|
| Convex, Inc., 444 DeHaro Street, Suite 218, San Francisco, CA 94107, USA | Datenbank, Dateispeicher, Serverfunktionen | EU-Region eu-west-1 (Irland). Für mögliche Zugriffe aus den USA, etwa durch den Support: Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| Vercel Inc., 440 N Barranca Avenue #4133, Covina, CA 91723, USA | Auslieferung der Web-App | Weltweites Netz von Rechenzentren. EU-US Data Privacy Framework (Art. 45 DSGVO) |
| OpenAI Ireland Ltd, 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland, mit OpenAI OpCo, LLC, USA | Auslesen der hochgeladenen Dokumente | Irland und USA. Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) |
| Plus Five Five, Inc. (Resend), 2261 Market Street #5039, San Francisco, CA 94114, USA | Versand von E-Mails (Abrechnungen an Mieter, Anmeldecodes, Erinnerungen) | USA. EU-US Data Privacy Framework (Art. 45 DSGVO) |
Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO). Er bleibt Ihnen gegenüber für deren Einhaltung verantwortlich.
Will er einen Unterauftragsverarbeiter hinzufügen oder ersetzen, teilt er Ihnen das mindestens vier Wochen vorher per E-Mail mit. Sie können der Änderung bis dahin aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können Sie den Nutzungsvertrag kündigen und Ihr Konto löschen, bevor die Änderung wirksam wird.
8. Unterstützung des Verantwortlichen
- Rechte der Betroffenen: Der Auftragsverarbeiter unterstützt Sie dabei, Anfragen Ihrer Mieter auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu beantworten (Art. 12 bis 23 DSGVO). Viele Anfragen können Sie direkt in Nebenklar erledigen. Wendet sich ein Mieter an ihn, leitet er die Anfrage unverzüglich an Sie weiter.
- Datenschutzverletzungen: Erfährt der Auftragsverarbeiter von einer Verletzung des Schutzes Ihrer Daten, informiert er Sie unverzüglich, möglichst innerhalb von 48 Stunden, mit den Angaben, die Sie für eine Meldung nach Art. 33 und 34 DSGVO brauchen.
- Weitere Pflichten: Er unterstützt Sie bei der Sicherheit der Verarbeitung, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde, soweit es um die Verarbeitung in Nebenklar geht (Art. 28 Abs. 3 lit. f, Art. 32 bis 36 DSGVO).
9. Löschung und Rückgabe
Nach Ende des Vertrags löscht der Auftragsverarbeiter alle Daten, die er in Ihrem Auftrag verarbeitet hat, sofern kein Gesetz die Speicherung verlangt (Art. 28 Abs. 3 lit. g DSGVO). Bevor Sie Ihr Konto löschen, können Sie Ihre Abrechnungen als PDF herunterladen. Mit dem Löschen des Kontos sind die Daten sofort aus der Datenbank entfernt. Kopien bei Unterauftragsverarbeitern, etwa Protokolle zur Missbrauchserkennung, werden nach deren Fristen gelöscht.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt Ihnen alle Informationen zur Verfügung, die Sie brauchen, um die Einhaltung dieses Vertrags nachzuweisen, und ermöglicht Überprüfungen durch Sie oder einen von Ihnen beauftragten Prüfer, der zur Verschwiegenheit verpflichtet ist (Art. 28 Abs. 3 lit. h DSGVO). Überprüfungen vor Ort melden Sie mit angemessener Frist an, in der Regel zwei Wochen. Sie finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb und die Daten anderer Nutzer nicht beeinträchtigen. Vorrangig genügen schriftliche Auskünfte und Nachweise der Unterauftragsverarbeiter, etwa Prüfberichte und Zertifikate.
11. Haftung
Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Übrigen haften die Parteien nach den gesetzlichen Vorschriften.
12. Schlussbestimmungen
Änderungen dieses Vertrags teilt der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail mit. Wie bei den Nutzungsbedingungen können Sie bis dahin widersprechen und Ihr Konto löschen. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Rest des Vertrags wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.
Version 1.0, Stand: 13.10.2026