Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO · Stand: 4. November 2026
Zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und MB Finance – Versicherungs- und Energievermittlung (Online-Auftritt „MitBlick Energie“), Inhaber Mahdi Barzkar, Achtern Born 82, 22549 Hamburg als Auftragsverarbeiter („Auftragnehmer“). Der Vertrag wird mit der Registrierung bei Mietblick geschlossen und gilt, solange der Auftragnehmer personenbezogene Daten für den Auftraggeber verarbeitet.
1. Gegenstand, Art und Zweck
Der Auftragnehmer stellt die Software Mietblick bereit. Er speichert und verarbeitet die vom Auftraggeber eingegebenen Daten, um Betriebskostenabrechnungen zu erstellen, Belege auszulesen, Zahlungen zuzuordnen, Schreiben zu erzeugen, E-Mails an Mieter zu versenden und den Mieterbereich bereitzustellen.
2. Arten von Daten und betroffene Personen
Betroffen sind Mieter und Mitbewohner, Ansprechpartner des Auftraggebers sowie auf Belegen genannte Personen. Verarbeitet werden: Namen, Anschriften, E-Mail-Adressen und Telefonnummern, Mietzeiten, Personenzahl, Miet- und Vorauszahlungsbeträge, Zahlungseingänge mit Verwendungszweck und Kontoinhaber, Verbrauchswerte, Abrechnungsergebnisse sowie Inhalte hochgeladener Belege. Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus diesem Vertrag und aus der Bedienung der Software durch den Auftraggeber. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber darauf hin.
4. Vertraulichkeit
Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
5. Technische und organisatorische Maßnahmen
- Server in einem Rechenzentrum in Deutschland (IONOS SE, Berlin); von außen nur verschlüsselte Verbindungen (HTTPS); Fernwartung nur von freigegebenen Adressen.
- Anmeldung mit persönlichem Passwort, gespeichert nur als scrypt-Hash; Sitzungen mit zufälligen Kennungen; Begrenzung von Anmeldeversuchen.
- Mieter sehen nur ihre eigenen Abrechnungen; Daten verschiedener Kunden sind logisch getrennt.
- Zugangsschlüssel zu Fremddiensten liegen verschlüsselt (AES-256-GCM) auf dem Server.
- Nächtliche Sicherung mit 14 Tagen Aufbewahrung; Wiederherstellung wird geprüft.
- Webserver-Protokolle werden nach spätestens 30 Tagen gelöscht.
6. Unterauftragsverarbeiter
Der Auftraggeber genehmigt folgende Unterauftragsverarbeiter:
- IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland – Betrieb des Servers (Rechenzentrum Berlin).
- Anthropic, PBC, 548 Market Street, San Francisco, USA – Auslesen von Belegen mit KI, nur wenn der Auftraggeber diese Funktion nutzt; Übermittlung auf Grundlage der Standardvertragsklauseln.
- Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin, Irland – Versand von E-Mails an Mieter.
Über neue Unterauftragsverarbeiter informiert der Auftragnehmer mindestens vier Wochen vorher per E-Mail. Der Auftraggeber kann aus wichtigem Grund widersprechen und den Vertrag dann kündigen.
7. Unterstützung
Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei Meldepflichten. Datenpannen meldet er dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
8. Löschung und Rückgabe
Der Auftraggeber kann seine Daten jederzeit herunterladen. Nach Vertragsende löscht der Auftragnehmer die Daten innerhalb von 30 Tagen; Sicherungen werden nach spätestens 14 weiteren Tagen überschrieben.
9. Nachweise
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach Absprache.