nach Art. 28 Abs. 3 DSGVO
Fassung 1.0 · Stand: 21.08.2026
Auftraggeber ist die natürliche oder juristische Person, die NebenkostenPilot nutzt und dabei personenbezogene Daten übermittelt — in der Regel der Vermieter oder Eigentümer. Er ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
Auftragnehmer ist Kanz Westmeier Consulting GbR, Spessartstraße 1, 64572 Büttelborn, als Betreiber von NebenkostenPilot. Er ist Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.
Diese Vereinbarung wird mit der Bestätigung der Allgemeinen Geschäftsbedingungen beim Kauf geschlossen und gilt für die Dauer der Nutzung.
Gegenstand ist die Erstellung einer Nebenkostenabrechnung aus Unterlagen, die der Auftraggeber hochlädt. Die Verarbeitung endet mit dem Abschluss des jeweiligen Vorgangs, spätestens mit dessen Ablauf nach 14 Tagen. Eine darüber hinausgehende Speicherung findet nur statt, soweit gesetzliche Aufbewahrungspflichten dies verlangen (Ziffer 8).
Die hochgeladenen Unterlagen werden im Browser des Auftraggebers aufbereitet. Nur die Seiten, die der Auftraggeber ausdrücklich auswählt, werden zur automatisierten Auslesung an den Auftragsverarbeiter und von dort an den in Ziffer 6 genannten Dienst übermittelt.
Der Zweck ist ausschliesslich die Erbringung der vertraglich vereinbarten Leistung. Eine Verwendung zu eigenen Zwecken des Auftragnehmers — insbesondere zum Training von KI-Modellen, zu Analysen oder zu Werbung — findet nicht statt.
Welche Daten anfallen, bestimmt der Auftraggeber durch die Wahl der hochgeladenen Unterlagen und der ausgelesenen Seiten. Typischerweise sind das:
Betroffene Personen sind Eigentümer, Mieter, Hausverwaltungen sowie der Auftraggeber selbst. Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht angefordert; lädt der Auftraggeber solche Daten dennoch hoch, verarbeitet der Auftragnehmer sie im selben Rahmen wie alle übrigen.
Der Auftragnehmer verarbeitet personenbezogene Daten ausschliesslich auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dieser Vereinbarung, den Allgemeinen Geschäftsbedingungen und der Bedienung der Anwendung — jeder Upload und jede Auswahl von Seiten ist eine Einzelweisung. Weitergehende Weisungen bedürfen der Textform. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstösst, teilt er dies unverzüglich mit und darf die Umsetzung aussetzen.
Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Massnahmen. Insbesondere:
Hochgeladene Dokumente werden nicht auf dem Server gespeichert. Sie werden im Browser des Auftraggebers aufbereitet, die ausgewählten Seiten zur Auslesung übermittelt und danach verworfen. Der Arbeitsstand liegt im Browser des Auftraggebers und wird dort nach 24 Stunden gelöscht. In der Datenbank des Auftragnehmers werden aus dem Abrechnungsvorgang keine Namen, Anschriften oder Kostendaten abgelegt — dort stehen nur die E-Mail-Adresse des Auftraggebers, die Kennungen des Zahlungsvorgangs und ein Zähler für die Zahl der Auslesungen.
Der Zugang zu einem Vorgang erfolgt über ein signiertes, nur für den Server lesbares Cookie mit begrenzter Laufzeit; es gibt keine Benutzerkonten und keine Passwörter. Die Übertragung erfolgt ausschliesslich verschlüsselt (TLS). Serverseitige Zugangsdaten sind ausserhalb des Quelltextes hinterlegt. Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit.
Ausgestellte Rechnungen sind auf Datenbankebene gegen nachträgliche Änderung und Löschung gesperrt und mit Prüfsummen versehen. Die Anwendung setzt eine Inhaltsrichtlinie (Content Security Policy) mit anfragebezogenem Nonce sowie weitere Sicherheitskopfzeilen.
Die Datenbank wird regelmässig gesichert. Die Sicherungen werden vor dem Verlassen des Servers verschlüsselt (AES-256) und in einem Rechenzentrum in Deutschland abgelegt. Die Wiederherstellung wird erprobt.
Abgelaufene Vorgänge werden durch einen regelmässigen automatischen Lauf gelöscht.
Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter. Eingesetzt werden derzeit:
| Dienstleister | Leistung | Ort |
|---|---|---|
| IONOS SE, Montabaur | Server, Datenbank, E-Mail-Versand | Deutschland |
| IONOS Cloud GmbH | Objektspeicher für verschlüsselte Datensicherungen | Deutschland |
| Acronis Germany GmbH, München | Sicherungsdienst; von der IONOS Cloud GmbH eingesetzt | Deutschland |
| IONOS SE, Montabaur | AI Model Hub — automatisierte Auslesung der ausgewählten Seiten | Deutschland (Berlin) |
| Stripe Payments Europe Ltd., Dublin | Zahlungsabwicklung, Rechnungserstellung | EU; Übermittlung in die USA auf Grundlage der Standardvertragsklauseln |
Mit der IONOS SE und der IONOS Cloud GmbH bestehen Vereinbarungen zur Auftragsverarbeitung nach Art. 28 DSGVO. Die technischen und organisatorischen Massnahmen der IONOS SE sind auf deren Website abrufbar; sie werden hier als Beschreibung weitergegeben. Stripe handelt für die Zahlungsabwicklung teilweise als eigenständig Verantwortlicher, insbesondere zur Betrugserkennung und zur Erfüllung eigener gesetzlicher Pflichten.
Der Auftragnehmer unterrichtet den Auftraggeber über eine beabsichtigte Änderung. Dieser kann innerhalb von 14 Tagen aus sachlichem Grund widersprechen. Die Frist entspricht derjenigen, die dem Auftragnehmer gegenüber seinen eigenen Dienstleistern zusteht. Im Fall eines Widerspruchs kann der Auftragnehmer die betroffene Leistung einstellen; die Entgeltpflicht entfällt insoweit.
Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen nach Kapitel III DSGVO. Er beantwortet solche Anfragen nicht selbst, sondern leitet sie unverzüglich weiter.
Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, unterrichtet er den Auftraggeber unverzüglich und stellt die Angaben bereit, die dieser für seine Meldung nach Art. 33 DSGVO benötigt. Er unterstützt ihn ferner bei den Pflichten aus Art. 32 bis 36 DSGVO.
Nach Abschluss der Leistung löscht der Auftragnehmer die verarbeiteten Daten. Die erzeugten Dokumente verbleiben beim Auftraggeber; eine Rückgabe erübrigt sich, weil der Auftragnehmer die hochgeladenen Unterlagen nicht speichert. Ausgenommen sind Rechnungsdaten und die zugehörige E-Rechnung: Sie unterliegen den handels- und steuerrechtlichen Aufbewahrungsfristen und werden für deren Dauer unverändert aufbewahrt.
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die für den Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Prüfungen sind nach Ankündigung mit angemessener Frist zu den üblichen Geschäftszeiten möglich; für den Aufwand kann der Auftragnehmer eine angemessene Vergütung verlangen, soweit die Prüfung nicht durch einen Verstoss veranlasst ist.
Der Auftraggeber ist für die Rechtmässigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Übermittlung an den Auftragnehmer und für die Erfüllung seiner Informationspflichten gegenüber den betroffenen Personen.
Er lädt nur Unterlagen hoch, zu deren Verarbeitung er berechtigt ist, und wählt nur die Seiten zur Auslesung aus, die dafür erforderlich sind. Stellt er Fehler oder Unregelmässigkeiten fest, unterrichtet er den Auftragnehmer unverzüglich.
Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Bei Widersprüchen zwischen dieser Vereinbarung und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieser Vereinbarung vor, soweit sie den Datenschutz betreffen. Es gilt deutsches Recht.
Fragen zu dieser Vereinbarung: info@kanzwestmeier-consulting.de