Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

Diese Vereinbarung zur Auftragsverarbeitung regelt die Verarbeitung personenbezogener Daten durch HausBoard im Auftrag des jeweiligen Kunden.

HausBoard stellt eine webbasierte Software zur digitalen Organisation von Immobilienverwaltungsprozessen bereit.

Der Kunde nutzt HausBoard insbesondere zur Verwaltung von Objekten, vermietbaren Einheiten, Mietern, Tickets, Dokumenten, Aushängen, Wartungen, Mietzahlungen, Abrechnungsvorbereitung und Kommunikation.

Soweit HausBoard personenbezogene Daten im Auftrag des Kunden verarbeitet, erfolgt die Verarbeitung nach Maßgabe dieser Vereinbarung.

Auftraggeber

Der jeweilige Kunde von HausBoard, der die Software zur Verwaltung eigener Daten nutzt.

Auftragnehmer

Christian Heinen
handelnd unter HausBoard
Babenhauserstr. 1
87767 Niederrieden
Deutschland
E-Mail: info@mein-hausboard.de

Gegenstand der Verarbeitung ist die Bereitstellung, Nutzung, Wartung und technische Unterstützung der Software HausBoard.

Die Dauer der Verarbeitung richtet sich nach dem Hauptvertrag beziehungsweise Nutzungsverhältnis zwischen Auftraggeber und Auftragnehmer.

Nach Beendigung des Nutzungsverhältnisses gelten die Regelungen zur Rückgabe, Löschung und Aufbewahrung nach dieser Vereinbarung und den AGB.

Die Verarbeitung erfolgt zum Zweck der digitalen Organisation von Verwaltungsprozessen im Immobilienbereich.

Dazu gehören insbesondere:

• Verwaltung von Firmen- und Verwaltungsdaten
• Verwaltung von Objekten und vermietbaren Einheiten
• Verwaltung von Mietern und Mietverhältnissen
• Bereitstellung eines Mieterportals
• Bereitstellung von Mitarbeiter-, Hausmeister- und Dienstleisterbereichen
• Erfassung und Bearbeitung von Schadensmeldungen
• Ticketverwaltung
• Dokumentenverwaltung
• gezielte Dokumentenfreigabe
• digitale Aushänge und Mitteilungen
• Erfassung von Zählerständen
• Wartungsmanagement
• Mietzahlungs- und Zahlungseingangsübersichten
• Abrechnungsvorbereitung
• Belegverwaltung und Belegerkennung als Vorschlagsfunktion
• E-Mail-Benachrichtigungen
• Protokollierung sicherheits- und systemrelevanter Vorgänge
• technischer Betrieb, Wartung, Fehlerbehebung und Support

Von der Verarbeitung können insbesondere folgende Personengruppen betroffen sein:

• Ansprechpartner des Auftraggebers
• Mitarbeiter des Auftraggebers
• Mieter
• ehemalige Mieter
• Mietinteressenten, soweit durch den Auftraggeber erfasst
• Hausmeister
• Dienstleister
• Handwerker
• Heizungs- oder Wartungsfirmen
• Eigentümer, soweit entsprechende Daten erfasst werden
• Nutzer der öffentlichen Hausseite
• Nutzer des Mieterportals
• Nutzer des Mitarbeiter- oder Dienstleisterbereichs
• Interessenten und Testnutzer

Es können insbesondere folgende Kategorien personenbezogener Daten verarbeitet werden:

• Vor- und Nachname
• Firmenname
• Anschrift
• E-Mail-Adresse
• Telefonnummer
• Nutzerrolle und Berechtigungen
• Zugangsdaten und Authentifizierungsdaten
• Objekt- und Wohneinheitsbezug
• Mietverhältnis- und Vertragsdaten
• Einzugs- und Auszugsdaten
• Kommunikationsdaten
• Ticket- und Schadensdaten
• Fotos und Anhänge
• Dokumente und Dateien
• interne Notizen
• Aushänge und Mitteilungen
• Zählerstände
• Wartungsinformationen
• Zahlungsstatus, Miet-Sollstellungen und Zahlungseingänge
• Vorauszahlungen
• Rechnungs- und Belegdaten
• Audit-Logs
• technische Nutzungs- und Protokolldaten
• E-Mail-Versanddaten

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung zu einer anderen Verarbeitung besteht.

Die Weisungen ergeben sich insbesondere aus:

• dem Hauptvertrag,
• diesen Vereinbarungen,
• den Einstellungen und Eingaben des Auftraggebers in der Software,
• den von berechtigten Nutzern vorgenommenen Aktionen,
• ergänzenden schriftlichen Weisungen des Auftraggebers.

Der Auftragnehmer informiert den Auftraggeber, wenn er der Ansicht ist, dass eine Weisung gegen Datenschutzrecht verstößt, soweit dies rechtlich zulässig ist.

Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO.

Der Auftraggeber ist insbesondere verantwortlich für:

• die Rechtmäßigkeit der Datenerhebung,
• die Rechtmäßigkeit der Verarbeitung,
• die Information betroffener Personen,
• die Vergabe von Rollen und Berechtigungen,
• die Freigabe von Dokumenten und Informationen,
• die Auswahl der Empfänger von Mitteilungen,
• die Richtigkeit und Aktualität der Daten,
• die Einhaltung eigener Aufbewahrungs- und Dokumentationspflichten,
• die Bearbeitung von Anfragen betroffener Personen.

Der Auftragnehmer stellt sicher, dass Personen, die Zugriff auf personenbezogene Daten erhalten können, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Zugriffe auf personenbezogene Daten erfolgen nur, soweit dies zur Bereitstellung, Wartung, Fehlerbehebung, Sicherheit oder Unterstützung erforderlich ist.

Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten.

Dazu gehören insbesondere:

• verschlüsselte Übertragung per HTTPS/TLS
• rollenbasierte Zugriffskontrolle
• Mandantentrennung über eigene Verwaltungs-/Firmenbereiche
• technische Zuordnung über company_id
• datenbankseitige Berechtigungs- und Zugriffskonzepte
• Supabase Row Level Security, soweit implementiert
• private Storage-Bereiche für Dokumente
• geschützte Dokumentenzugriffe über signierte Links
• serverseitige Verarbeitung geheimer API-Schlüssel
• Zugriffsbeschränkung auf Verwaltungsfunktionen
• Protokollierung relevanter Vorgänge
• Trennung von öffentlichen und geschützten Bereichen
• Schutz vor unberechtigtem Zugriff durch Authentifizierung
• regelmäßige technische Aktualisierung im Rahmen der eingesetzten Plattformen
• Backups durch eingesetzte Infrastruktur-Anbieter, soweit im jeweiligen Dienstumfang enthalten
• Lösch- und Exportkonzepte im Rahmen der bereitgestellten Funktionen

Die technischen und organisatorischen Maßnahmen können an technische Entwicklungen angepasst werden, sofern das Schutzniveau nicht wesentlich reduziert wird.

Der Auftragnehmer darf Unterauftragnehmer einsetzen, soweit dies zur Bereitstellung von HausBoard erforderlich ist.

Aktuell eingesetzte oder vorgesehene Unterauftragnehmer sind insbesondere:

• Vercel für Hosting und Auslieferung der Anwendung
• Supabase für Authentifizierung, Datenbank und Dateispeicher
• Brevo für E-Mail-Versand
• STRATO für Domain- und E-Mail-Infrastruktur

Optionale oder zukünftige Unterauftragnehmer können insbesondere sein:

• Zahlungsanbieter, etwa Stripe oder ein anderer Zahlungsdienstleister
• Anbieter für OCR- oder KI-Auswertung von Belegen
• Anbieter für SMS-Versand
• Anbieter für Analysefunktionen, insbesondere Google Analytics für öffentliche Marketingseiten nach Einwilligung

Der Auftragnehmer wird wesentliche Änderungen bei Unterauftragnehmern in angemessener Weise mitteilen oder in einer Unterauftragnehmerliste veröffentlichen.

Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund gegen den Einsatz eines neuen Unterauftragnehmers widersprechen. In diesem Fall bemühen sich die Parteien um eine zumutbare Lösung. Ist eine Lösung nicht möglich, kann die betroffene Leistung gegebenenfalls nicht oder nur eingeschränkt erbracht werden.

Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei der Erfüllung von Betroffenenrechten, soweit dies mit den in HausBoard verarbeiteten Daten zusammenhängt.

Dies betrifft insbesondere:

• Auskunft
• Berichtigung
• Löschung
• Einschränkung der Verarbeitung
• Datenübertragbarkeit
• Widerspruch
• Widerruf von Einwilligungen

Soweit sich betroffene Personen direkt an den Auftragnehmer wenden und erkennbar der Auftraggeber verantwortlich ist, wird der Auftragnehmer die Anfrage nach Möglichkeit an den Auftraggeber weiterleiten.

Der Auftragnehmer unterstützt den Auftraggeber im angemessenen Umfang bei der Erfüllung datenschutzrechtlicher Pflichten, soweit dies die Verarbeitung durch HausBoard betrifft.

Dazu können insbesondere gehören:

• Informationen zu technischen und organisatorischen Maßnahmen
• Informationen zu Unterauftragnehmern
• Unterstützung bei Datenschutz-Folgenabschätzungen, soweit erforderlich und angemessen
• Unterstützung bei Sicherheitsvorfällen, soweit HausBoard betroffen ist

Ein über den Standardumfang hinausgehender Aufwand kann angemessen vergütet werden.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Auftraggebers betrifft.

Die Information enthält nach Möglichkeit:

• Art des Vorfalls
• betroffene Datenkategorien
• betroffene Systeme oder Funktionen
• mögliche Auswirkungen
• bereits ergriffene oder vorgeschlagene Maßnahmen

Gesetzliche Meldepflichten des Auftraggebers bleiben unberührt.

Nach Ende des Hauptvertrags oder der Nutzung kann der Auftraggeber innerhalb einer Frist von 30 Tagen einen Export oder eine Reaktivierung anfragen, soweit dies technisch verfügbar und rechtlich zulässig ist.

Nach Ablauf dieser Frist kann der Auftragnehmer Daten löschen oder anonymisieren, soweit keine gesetzlichen Aufbewahrungspflichten, berechtigten Interessen oder technischen Einschränkungen entgegenstehen.

Backups können technisch bedingt zeitversetzt überschrieben werden.

Eine sofortige vollständige Entfernung aus allen Sicherungssystemen kann technisch nicht in jedem Fall garantiert werden.

Bei Testzugängen beträgt die Testphase 30 Tage.

Nach Ablauf der Testphase kann der Zugang pausiert werden.

Daten bleiben anschließend für weitere 30 Tage erhalten, um eine Reaktivierung oder einen Export zu ermöglichen.

Nach Ablauf dieser Frist können Daten gelöscht oder anonymisiert werden, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

Der Auftraggeber ist berechtigt, die Einhaltung dieser Vereinbarung in angemessenem Umfang zu überprüfen.

Der Auftragnehmer kann Nachweise bereitstellen, insbesondere durch:

• Informationen zu technischen und organisatorischen Maßnahmen
• Dokumentation von Sicherheits- und Zugriffskonzepten
• Informationen zu Unterauftragnehmern
• geeignete Selbstauskünfte oder Zertifikate, soweit vorhanden

Vor-Ort-Prüfungen sind nur nach vorheriger Abstimmung, während üblicher Geschäftszeiten, bei berechtigtem Anlass und ohne unverhältnismäßige Beeinträchtigung des Betriebs möglich.

Der Auftraggeber hat dabei Vertraulichkeit, Sicherheit und berechtigte Interessen anderer Kunden zu wahren.

Soweit personenbezogene Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums verarbeitet werden, stellt der Auftragnehmer sicher, dass die datenschutzrechtlichen Voraussetzungen eingehalten werden.

Dies kann insbesondere durch Angemessenheitsbeschlüsse, Standardvertragsklauseln oder andere geeignete Garantien erfolgen.

Details ergeben sich aus den jeweiligen Unterauftragnehmerinformationen und Datenschutzhinweisen.

Der Auftragnehmer verarbeitet personenbezogene Daten des Auftraggebers für eigene Zwecke nur, soweit dies gesetzlich zulässig ist.

Dies kann insbesondere betreffen:

• Vertragsverwaltung
• Abrechnung
• Kommunikation
• Sicherheit und Missbrauchsprävention
• technische Protokolle
• Erfüllung gesetzlicher Pflichten

Diese Verarbeitungen sind nicht Gegenstand der Auftragsverarbeitung, sondern erfolgen in eigener Verantwortlichkeit des Auftragnehmers.

Diese Vereinbarung ergänzt den Hauptvertrag beziehungsweise die Nutzungsbedingungen.

Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen Regelungen gehen die datenschutzrechtlichen Regelungen dieser Vereinbarung hinsichtlich der Auftragsverarbeitung vor.

Änderungen und Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform, soweit gesetzlich keine strengere Form vorgeschrieben ist.

Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Stand: Juni 2026