Mietvero – Vereinbarung zur Auftragsverarbeitung und Auftragsbearbeitung Version 2026-10-17.1 – Anlagen sind Bestandteil dieser Vereinbarung
Parteien: Der bei Annahme im Konto bezeichnete Nutzer als Verantwortlicher und Metehan Kabasakal, handelnd unter Mietvero, Gartenstrasse 5, 8102 Oberengstringen, Schweiz, kontakt@mietvero.com als Auftragsverarbeiter. Die Zustimmung erfolgt in elektronischer Form mit Versionsnachweis. Eigene Konto-, Sicherheits- und Vertragsverwaltung des Anbieters ist hiervon getrennt und in der Datenschutzinformation beschrieben.
1. Gegenstand, Dauer, Art und Zweck
Für die Dauer des Nutzungsvertrags einschließlich geordneter Herausgabe und Löschung verarbeitet Mietvero vom Nutzer bereitgestellte Immobilien-, Miet-, Zahlungs-, Finanzierungs- und Dokumentendaten zur digitalen Verwaltung, Berechnung, Ablage und Erstellung angeforderter Auswertungen. Verarbeitung: Erhebung durch Eingabe/Upload, Speicherung, Organisation, Abruf, Berechnung, auf Anforderung Auslese und Export sowie Löschung. Betroffene: Mieter, Interessenten, Vermieter, Kontakte, Dienstleister und ggf. Mitberechtigte. Datenarten: Namen, Kontakt- und Adressdaten, Vertrags- und Objektdaten, Zahlungen, Kontoverbindungen, Korrespondenz, Bilder und Dokumentinhalte. Besondere Kategorien sollen ohne zwingenden Bedarf nicht eingestellt werden. Sie sind vor einem freiwilligen KI-Upload zu schwärzen, soweit sie für die Aufgabe nicht erforderlich sind.
2. Weisungen und Vertraulichkeit
Verarbeitung ausschließlich nach dokumentierten Weisungen, einschließlich der Bedienhandlungen in der Plattform, soweit kein anwendbares Gesetz anderes verlangt. In diesem Fall informiert der Anbieter vorab, sofern rechtlich zulässig. Er weist auf rechtswidrige Weisungen hin und setzt die betroffene Verarbeitung bis zur Klärung aus. Berechtigte Personen sind zur Vertraulichkeit verpflichtet und auf das erforderliche Maß beschränkt. Weisungen und Datenschutzanfragen: kontakt@mietvero.com.
3. Technische und organisatorische Maßnahmen
Maßnahmen gemäß Anlage A werden risikogerecht aufrechterhalten und weiterentwickelt; das Schutzniveau darf nicht vermindert werden. Keine Zusage absoluter Sicherheit, Ende-zu-Ende-Verschlüsselung oder ungeprüfter Zertifizierungen. Der Anbieter unterstützt den Verantwortlichen angemessen bei Betroffenenrechten, Sicherheitsvorfällen, Risiko- und Datenschutzfolgenabschätzungen sowie vorherigen Konsultationen. Datenschutzverletzungen werden dem Verantwortlichen ohne unangemessene Verzögerung mit verfügbaren Informationen mitgeteilt und ergänzt; diese Regel ersetzt nicht dessen gesetzliche Fristen.
4. Unterauftragsverarbeiter und Ausland
Die in Anlage B beschriebenen eingesetzten Dienste werden allgemein genehmigt, soweit sie tatsächlich Auftragsverarbeitung durchführen und wirksame geeignete Vertrags- und Übermittlungsgrundlagen vorliegen. Diese Vereinbarung ersetzt keine fehlende Rechtsgrundlage. Änderungen mit Wirkung für Kundendaten werden rechtzeitig vor Einsatz angekündigt. Der Kunde kann aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Klärung wird die betroffene neue Verarbeitung für ihn nicht gestartet; wenn keine geeignete Alternative möglich ist, kann die betroffene Leistung ohne zusätzliche Kündigungsentgelte beendet und exportiert werden. Gleichwertige Datenschutzpflichten werden den Unterauftragnehmern auferlegt; gesetzliche Verantwortung des Anbieters bleibt bestehen. Übermittlungen in Drittstaaten setzen die jeweils anwendbaren Garantien der DSGVO und des Schweizer DSG voraus. Die derzeit noch nicht vollständig belegten kontobezogenen Anbieternachweise werden ausdrücklich offengelegt und nicht als abgeschlossen bestätigt.
5. Nachweise und Kontrolle
Der Anbieter stellt die erforderlichen Informationen zum Nachweis der Pflichten bereit und ermöglicht angemessene Kontrollen einschließlich Inspektionen durch den Verantwortlichen oder beauftragte Prüfer unter Schutz anderer Kundendaten und Betriebsgeheimnisse. Gesetzliche Kontrollrechte werden nicht ausgeschlossen. Berichte und Nachweise können nach vorheriger Abstimmung genutzt werden, ersetzen aber erforderliche weitere Kontrollen nicht.
6. Rückgabe, Löschung und Ende
Nach Wahl des Verantwortlichen werden Daten zurückgegeben und anschließend gelöscht oder direkt gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Dazu gehören vorhandene Kopien. Technisch isolierte Anwendungssicherungen werden spätestens nach 30 Tagen entfernt; eine Wiederherstellung muss Löschvermerke anwenden. Begründete Aufbewahrungsausnahmen werden konkret mit Umfang und Frist dokumentiert, die weitere Nutzung beschränkt. Ein bestätigter Abschluss wird erst nach nachgewiesenem Ergebnis erklärt. Die Verarbeitungspflichten gelten für verbleibende Kopien bis zur tatsächlichen Löschung weiter.
Anlage A – aktuelle Schutzmaßnahmen
Verschlüsselte HTTPS-Verbindungen; private Dateispeicherung; sichere Passwort-Hashes statt Klartextpasswörter; MFA vor Geschäftsdatenzugriff; widerrufbare Sitzungen; kontogebundene Datenzugriffe; serverseitige Eigentumsprüfung; erneute Authentifizierung bei Export und endgültiger Löschung; Eingabe- und Größenbegrenzungen; kein öffentlicher Dateizugriff; Schutz vor fremden Browser-Schreibaufrufen; verschlüsselte separate Löschwarteschlange mit Versionsprüfung; bedingte Sicherungsschreibvorgänge und Wiederherstellungssperren; dokumentierte Datenschutz- und Vorfallbearbeitung. Abhängigkeiten werden geprüft und Updatevorschläge erstellt. Unabhängiger Penetrationstest und vollständige reale Wiederherstellungsprobe sind noch offen. Betriebliche Rohprotokolle werden ausschließlich für Technik und Sicherheit verwendet; das Ziel von höchstens 14 Tagen muss auch beim jeweiligen Hoster nachgewiesen werden.
Anlage B – eingesetzte Dienste und bekannte Grenzen
Vercel Inc., USA: Frontend, API-Weiterleitung und private Blob-Dateien/Datenbanksicherungen. Blob ist ein Produkt von Vercel. Private Blobregion und tatsächliche Tarif-/DPA-Einbeziehung sind noch kontobezogen zu belegen; die veröffentlichte DPA nennt Pro und Enterprise. Render Services Inc., USA: Python-API, bestehender Dienst in Frankfurt. Ausführung in Deutschland allein schließt weitere internationale Zugriffsmöglichkeiten nicht aus. Vertragliche Garantien einschließlich Schweizer Ergänzungen sind nach der tatsächlichen DPA zu dokumentieren. Brevo: Transaktionsmails; tatsächliche juristische Vertragspartei ist aus dem gebuchten Konto nachzuweisen. Kontoinhalte werden nicht pauschal per E-Mail versendet. Infomaniak Network SA, Schweiz: Betreiberpostfach für Support; nicht Datenbank aller Mietverträge. OpenAI Ireland Ltd. für den Schweizer Vertragskontext, vorbehaltlich tatsächlichem Konto: optionale, ausdrücklich angeforderte KI-Auslese über API. Antworten werden mit store=false angefordert; dies ist keine Garantie, dass sämtliche Missbrauchs- oder Anbieterkopien sofort gelöscht sind. HostPress GmbH, Deutschland: Domain-/DNS-Verwaltung; keine Zuordnung als Host der Mieterdatenbank. GitHub: Quellcodeverwaltung, keine planmäßige Speicherung echter Mietverträge. Externe Photon-Adresssuche nur nach ausdrücklicher Aktivierung, ohne Dokumentuploads.
Vorrang: Bei Widersprüchen gehen zwingende Datenschutzvorschriften und wirksam einbezogene Übermittlungsgarantien vor. Die Vereinbarung ist kein Nachweis, dass noch offene externe Anbietermaßnahmen bereits erfüllt sind.