Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Nutzer von Mieto als Verantwortlichem („Auftraggeber") und Christian Mülstroh, Siepstr. 15, 4728 Kelmis, Belgien, als Auftragsverarbeiter („Auftragnehmer"). Der Vertrag wird elektronisch geschlossen, indem der Auftraggeber bei der Registrierung oder Einladung zustimmt.

1. Gegenstand und Dauer

Der Auftragnehmer stellt dem Auftraggeber die Mietverwaltungssoftware Mieto als Online-Dienst bereit und verarbeitet dabei personenbezogene Daten, die der Auftraggeber erfasst oder importiert. Der Vertrag gilt, solange der Auftraggeber Mieto nutzt, und endet mit dem Nutzungsverhältnis nach den Nutzungsbedingungen.

2. Art, Zweck, Daten und Betroffene

Zweck: Speichern, Anzeigen, Berechnen und Erstellen von Dokumenten für die Verwaltung vermieteter Immobilien (Mietverträge, Sollstellung, Zahlungsabgleich, Mahnwesen, Kaution, Nebenkostenabrechnung, Übergaben, Instandhaltung, Dokumentenablage).

Betroffene Personen: Mieter und Mitmieter, Eigentümer, Handwerker und Dienstleister, Teilnehmer von Übergaben, Mitarbeiter des Auftraggebers sowie Absender von Zahlungen auf verbundenen Bankkonten.

Datenarten:

• Stammdaten: Name, Anschrift, E-Mail, Telefon, Geburtsdatum, Ausweisnummer (soweit erfasst);
• Vertragsdaten: Mietverträge, Mieten, Kaution, Kündigungen, Mieterhöhungen;
• Finanzdaten: Forderungen, Zahlungen, Mahnungen, Bankverbindungen (IBAN, BIC, Kontoinhaber), Kontoumsätze verbundener Konten mit Auftraggeber, Verwendungszweck;
• Eigentümerdaten einschließlich Steuer- und Registerangaben und Auszahlungskonto;
• Verbrauchs- und Objektdaten: Zählerstände, Übergabeprotokolle mit Fotos und Bemerkungen, Schlüssel;
• Dokumente, die der Auftraggeber hochlädt, und Kommunikation mit Handwerkern.

Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen. Der Auftraggeber erfasst solche Daten nur, wenn er dafür eine Rechtsgrundlage hat.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und aus der Bedienung von Mieto durch den Auftraggeber; weitere Weisungen erteilt er per E-Mail. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin. Eine Verarbeitung zu eigenen Zwecken findet nicht statt, es sei denn, ein Gesetz verpflichtet dazu.

4. Vertraulichkeit

Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff auf Daten des Auftraggebers erfolgt nur, soweit es für Betrieb, Support oder Fehlerbehebung erforderlich ist, und wird protokolliert.

5. Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher per E-Mail über einen neuen oder ersetzten Unterauftragsverarbeiter. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er die Nutzung sofort beenden. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags.

7. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen (Art. 15–22 DSGVO). Mieto stellt dafür Funktionen zum Export der Daten eines Mieters oder Eigentümers in maschinenlesbarer Form und zur Anonymisierung bereit. Er unterstützt außerdem bei Datenschutz-Folgenabschätzungen und Anfragen von Aufsichtsbehörden, soweit es die Verarbeitung in Mieto betrifft.

8. Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes der Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen, und unterstützt bei Meldung und Benachrichtigung.

9. Löschung und Rückgabe

Endet der Vertrag, stellt der Auftragnehmer dem Auftraggeber auf Wunsch einen vollständigen Export der Daten in maschinenlesbarer Form bereit und löscht die Daten anschließend, spätestens 30 Tage nach Vertragsende, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Verschlüsselte Sicherungskopien werden im Rahmen der Sicherungsrotation überschrieben, spätestens nach zwölf Monaten.

10. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung, insbesondere diese Anlagen und die Protokolle über Zugriffe des Supports. Kontrollen vor Ort sind nach vorheriger Abstimmung möglich, soweit sie für den Nachweis erforderlich sind.

11. Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in der Europäischen Union statt. Eine Übermittlung in Drittländer erfolgt nicht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Betrieb in Rechenzentren der in Anlage 2 genannten Hosting-Anbieter in Deutschland; physische Sicherheit nach deren Maßnahmen.
• Zugang: Anmeldung über einen eigenen Anmeldedienst (Keycloak). Passwörter mindestens 12 Zeichen, gespeichert als PBKDF2-SHA512-Hash mit 210.000 Iterationen, die letzten fünf Passwörter sind gesperrt. Nach fünf Fehlversuchen wird das Konto schrittweise bis zu 15 Minuten gesperrt. Sitzungen enden nach 4 Stunden Inaktivität, spätestens nach 10 Stunden; Zugriffstoken gelten 15 Minuten, verbrauchte Aktualisierungstoken werden ungültig. Mitarbeiter des Betreibers müssen einen zweiten Faktor (Einmalcode) verwenden. Die Verwaltungsoberfläche des Anmeldedienstes ist nur aus einem privaten Netz erreichbar.
• Zugriff: Rollen je Vermietung (Administrator, Verwalter, nur lesen), serverseitig geprüft. Die Anwendung greift mit einer Datenbankrolle ohne Eigentümerrechte zu. Zugriffe des Supports auf Daten eines Auftraggebers laufen nur über gesonderte, protokollierte Funktionen.
• Trennung: Jede Vermietung ist ein eigener Mandant. Die Trennung wird zusätzlich zur Anwendung in der Datenbank durch Row-Level-Security erzwungen.
• Verschlüsselung: Übertragung ausschließlich per HTTPS (TLS) mit HSTS. Zugangsdaten für die Bankanbindung werden mit AES-256-GCM verschlüsselt gespeichert. Sicherungskopien werden vor der Übertragung verschlüsselt.

Integrität

• Eingabekontrolle: Datenschutz- und sicherheitsrelevante Aktionen (Exporte, Löschungen, Anonymisierungen, Zugriffe des Supports, Änderungen von Rollen) werden mit Zeitpunkt, Benutzer, IP-Adresse und Ergebnis protokolliert. Das Protokoll ist in der Datenbank gegen Änderung und Löschung gesperrt.
• Weitergabekontrolle: Content-Security-Policy und weitere Sicherheits-Header, Begrenzung der Anfragen je IP-Adresse für Anwendung und Anmeldung, Prüfung hochgeladener Dateien anhand ihres Inhalts (zugelassene Dateitypen, höchstens 10 MB).

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung von Datenbanken und Dokumenten zu einem zweiten, unabhängigen Anbieter (Anlage 2). Aufbewahrung: 14 tägliche, 8 wöchentliche und 12 monatliche Stände. Die Wiederherstellung wurde erprobt.
• Datenbankmigrationen nur nach vorheriger Sicherung; Überwachung der Dienste durch Healthchecks; begrenzte, rotierende Server-Logs.

Verfahren zur Überprüfung

• Automatisierte Tests vor jeder Auslieferung, darunter Tests der Mandantentrennung, sowie statische Codeanalyse.
• Datenschutzfreundliche Voreinstellungen: keine Tracking- oder Analysewerkzeuge, keine Weitergabe an Dritte außer Anlage 2.

Anlage 2: Unterauftragsverarbeiter

Stand: November 2026