Vertrag zur Auftragsverarbeitung (AVV) für Anfragen über hausgeldabrechnung.com

nach Art. 28 DSGVO · Stand 19.10.2026

Wie dieser Vertrag zustande kommt

Sie schließen diesen Vertrag im Namen des unten genannten Auftraggebers, wenn Sie in der Anfrage über hausgeldabrechnung.com das Häkchen zur Annahme der Nutzungsbedingungen mit diesem AVV setzen und die Anfrage absenden. Eine Unterschrift ist nicht nötig. Art. 28 Abs. 9 DSGVO lässt ein elektronisches Format zu.

Wir speichern als Nachweis den Zeitpunkt, die angenommene Fassung, Ihren Namen, Ihre Rolle und die IP-Adresse, von der aus die Anfrage abgesendet wurde. Mit der Eingangsbestätigung erhalten Sie diesen Vertrag als PDF.

Vertragsparteien

Auftraggeber (Verantwortlicher) ist, je nach Ihren Angaben in der Anfrage:

• bei einer selbstverwalteten Gemeinschaft: die Gemeinschaft der Wohnungseigentümer, deren Anschrift Sie in der Anfrage angeben, vertreten durch Sie in der dort angegebenen Rolle,
• bei einer Hausverwaltung: die Hausverwaltung, deren Firma Sie in der Anfrage angeben, vertreten durch Sie, handelnd als Verwalterin der Gemeinschaft der Wohnungseigentümer, deren Anschrift Sie angeben,
• bei der Prüfung einer Abrechnung durch den Verwaltungsbeirat: Sie selbst als Mitglied des Verwaltungsbeirats der Gemeinschaft der Wohnungseigentümer, deren Anschrift Sie angeben, für die Prüfung durch den Beirat,
• bei einer Betriebskostenabrechnung: die Eigentümer des vermieteten Wohnungseigentums in dem Haus, dessen Anschrift Sie angeben, handelnd durch Sie in der dort angegebenen Rolle,
• bei einer Betriebskostenabrechnung durch eine Hausverwaltung: die Hausverwaltung, deren Firma Sie in der Anfrage angeben, vertreten durch Sie, handelnd als Verwalterin des vermieteten Wohnungseigentums in dem Haus, dessen Anschrift Sie angeben, für dessen Eigentümer.

Ihre Angaben aus der Anfrage, also Name, Rolle, Anschrift und bei einer Hausverwaltung die Firma, stehen in der Eingangsbestätigung.

Auftragsverarbeiterin

Mihaela-Florentina Graetz, handelnd unter WEG Zahlenwerk
Heulandhagen 1 · 21035 Hamburg
info@hausgeldabrechnung.com

Bezug: die Anfrage über hausgeldabrechnung.com, mit der Sie diesen Vertrag annehmen. Anfrage-Nummer und Datum stehen in der Eingangsbestätigung.

1. Gegenstand und Dauer

(1) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten aus den hochgeladenen Unterlagen in zwei Abschnitten:

a) Ersteinschätzung: Entgegennahme, Speicherung, Einordnung und Auslesen der Unterlagen, um einzuschätzen, ob und mit welchem Aufwand die gewünschte Leistung möglich ist, und um ein Festpreisangebot mit einer Liste weiterer Unterlagen zu erstellen.

b) Auftrag: Nimmt der Auftraggeber ein Angebot an, gilt dieser Vertrag für die Erstellung oder Prüfung der im Angebot bezeichneten Abrechnungsunterlagen fort, auch einer Betriebskostenabrechnung, einschließlich der Korrekturphase.

(2) Der Vertrag gilt ab dem Absenden der Anfrage. Kommt kein Auftrag zustande, endet er mit der Löschung nach § 9 Abs. 1. Kommt ein Auftrag zustande, endet er nach dokumentierter Rückgabe oder Löschung nach § 9 Abs. 2, soweit keine gesetzlichen Pflichten entgegenstehen.

2. Weisungen

(1) Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Auftraggebers, auch zu Übermittlungen in Drittländer. Erste Weisung ist die Anfrage mit dem gewählten Anliegen. Nimmt der Auftraggeber ein Angebot an, ist das angenommene Angebot die Weisung für den Auftrag. Weitere Weisungen sollen in Textform erteilt werden.

(2) Ist die Auftragsverarbeiterin nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, informiert sie den Auftraggeber vorher, soweit dieses Recht die Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

(3) Hält die Auftragsverarbeiterin eine Weisung für datenschutzwidrig, informiert sie den Auftraggeber unverzüglich und setzt die Weisung bis zur Klärung aus, soweit das rechtlich zulässig ist.

(4) Die Auftragsverarbeiterin nutzt die Daten nicht für eigene Zwecke, insbesondere nicht für Vergleiche zwischen Gemeinschaften, für die Entwicklung eigener Produkte oder zum Training von KI-Modellen.

3. Vertraulichkeit

Zugriff erhalten nur Personen, die auf Vertraulichkeit verpflichtet und für die Anfrage oder den Auftrag eingesetzt sind. Die Verpflichtung gilt über das Vertragsende hinaus.

4. Sicherheit

Die Auftragsverarbeiterin trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die bei Vertragsbeginn geltenden Maßnahmen stehen in Anlage 2. Wesentliche Änderungen werden dokumentiert. Das vereinbarte Schutzniveau darf nicht unterschritten werden.

5. Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt eine allgemeine schriftliche Genehmigung für die in Anlage 3 genannten Unterauftragsverarbeiter, in dem dort für den jeweiligen Abschnitt genannten Umfang.

(2) Eine beabsichtigte Hinzunahme oder Ersetzung teilt die Auftragsverarbeiterin grundsätzlich 30 Tage vor dem Einsatz in Textform an die in der Anfrage angegebene E-Mail-Adresse mit. Der Auftraggeber kann aus sachlichen Datenschutzgründen widersprechen. Kann die Leistung ohne den betroffenen Dienst nicht erbracht werden, stimmen die Parteien eine Alternative oder die Beendigung des betroffenen Leistungsteils ab.

(3) Die Auftragsverarbeiterin verpflichtet Unterauftragsverarbeiter mindestens im erforderlichen Umfang nach Art. 28 DSGVO.

6. Unterstützung

Die Auftragsverarbeiterin unterstützt den Auftraggeber angemessen bei Betroffenenrechten, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden. Anfragen betroffener Personen beantwortet sie nicht selbst, sondern leitet sie unverzüglich an den Auftraggeber weiter.

7. Datenschutzverletzungen

Die Auftragsverarbeiterin informiert den Auftraggeber nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten unverzüglich und grundsätzlich innerhalb von 24 Stunden. Sie teilt die verfügbaren Angaben zu Art, Umfang, möglichen Folgen und Abhilfe mit und ergänzt fehlende Angaben schrittweise.

8. Nachweise und Kontrollen

Die Auftragsverarbeiterin stellt die zur Prüfung erforderlichen Informationen und Nachweise bereit. Weitergehende Kontrollen werden mit angemessener Frist während üblicher Geschäftszeiten abgestimmt. Prüfer müssen zur Vertraulichkeit verpflichtet sein. Geschäftsgeheimnisse und Daten anderer Auftraggeber sind zu schützen.

9. Rückgabe und Löschung

(1) Ohne Auftrag: Nimmt der Auftraggeber kein Angebot an, löscht die Auftragsverarbeiterin die hochgeladenen Unterlagen und alle daraus gewonnenen Auszüge spätestens 30 Tage nach dem Versand des Ergebnisses der Ersteinschätzung. Auf Wunsch des Auftraggebers löscht sie früher. Ist keine Ersteinschätzung möglich, beginnt die Frist mit der Mitteilung darüber.

(2) Mit Auftrag: Nach Abschluss der Leistung gibt die Auftragsverarbeiterin die Auftragsdaten nach Wahl des Auftraggebers zurück oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht besteht. Rohdaten und Zwischenstände im aktiven System werden spätestens 90 Tage nach Abschluss der Korrekturphase zurückgegeben oder gelöscht.

(3) Die Zwischenkopie im Upload-Dienst wird gelöscht, sobald die Unterlagen in den geschützten Ablagebereich übergeben sind, spätestens nach 72 Stunden.

(4) Technische Sicherungskopien werden im regelmäßigen Rotationsverfahren vorgehalten und nach Ablauf des Sicherungszyklus überschrieben. Sie werden nicht für die reguläre Verarbeitung wiederhergestellt, sondern nur im technischen Notfall genutzt.

(5) Die Löschung wird mit Datum, Datenkategorien und ausführender Person protokolliert, ohne die Inhalte wiederzugeben. Der Auftraggeber erhält das Protokoll auf Wunsch. Gesetzlich aufzubewahrende Daten werden getrennt und nur noch zu diesem Zweck verarbeitet.

10. Verantwortlichkeit

(1) Der Auftraggeber bleibt verantwortlich für die Rechtmäßigkeit der Übermittlung, die Information betroffener Personen sowie die Festlegung von Zweck und zulässigen Weisungen. Er lädt nur Unterlagen hoch, die er für diesen Zweck weitergeben darf.

(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Angaben zur Gesundheit, sind für diesen Vertrag nicht vorgesehen. Enthalten Unterlagen solche Angaben, gilt Anlage 1 „Besondere Kategorien“.

(3) Die Auftragsverarbeiterin ist für die Einhaltung ihrer Pflichten aus diesem Vertrag und der DSGVO verantwortlich.

11. Hausverwaltung als Auftragsverarbeiterin der Gemeinschaft oder der Eigentümer

(1) Diese Regel gilt nur, wenn eine Hausverwaltung Auftraggeber ist und sie die Daten der Gemeinschaft datenschutzrechtlich selbst als Auftragsverarbeiterin verarbeitet. Die Hausverwaltung trifft diese Einordnung selbst.

(2) In diesem Fall ist die Auftragsverarbeiterin weitere Auftragsverarbeiterin (Unterauftragsverarbeiterin) nach Art. 28 Abs. 2 und 4 DSGVO. Verantwortliche ist die Gemeinschaft. Die übrigen Regeln dieses Vertrags gelten mit folgenden Maßgaben:

a) Die Hausverwaltung sichert zu, dass die Gemeinschaft die Einschaltung der Auftragsverarbeiterin und der in Anlage 3 genannten Unterauftragsverarbeiter genehmigt hat. Bei einer allgemeinen Genehmigung sichert sie zusätzlich zu, dass sie die Gemeinschaft über diese Einschaltung informiert und die Gemeinschaft nicht widersprochen hat. Auf Anforderung legt sie die Genehmigung vor. Liegt keine Genehmigung vor, teilt die Hausverwaltung dies vor der weiteren Bearbeitung mit, und die Auftragsverarbeiterin setzt die Bearbeitung aus.

b) Enthält der Vertrag zwischen Gemeinschaft und Hausverwaltung Datenschutzpflichten, die über diesen Vertrag hinausgehen und die übertragenen Tätigkeiten betreffen, teilt die Hausverwaltung sie in Textform mit. Sie gelten dann auch für die Auftragsverarbeiterin.

c) Weisungen der Gemeinschaft erreichen die Auftragsverarbeiterin über die Hausverwaltung. Mitteilungen nach den §§ 5, 6 und 7 richtet die Auftragsverarbeiterin an die Hausverwaltung. Diese gibt sie unverzüglich an die Gemeinschaft weiter. Ein Widerspruch der Gemeinschaft gegen einen neuen Unterauftragsverarbeiter gilt als Widerspruch der Hausverwaltung.

d) Die Rechte nach § 8 stehen auch der Gemeinschaft zu. Sie werden in der Regel über die Hausverwaltung ausgeübt.

e) Endet der Vertrag zwischen Gemeinschaft und Hausverwaltung, endet die Verarbeitung für diese Gemeinschaft. Die Hausverwaltung teilt das unverzüglich mit. Rückgabe oder Löschung richten sich nach § 9. Widersprechen sich Weisungen von Hausverwaltung und Gemeinschaft, stimmt die Auftragsverarbeiterin das weitere Vorgehen mit beiden ab und gibt Daten bis dahin nicht heraus.

f) Die Hausverwaltung bleibt gegenüber der Gemeinschaft dafür verantwortlich, dass die Auftragsverarbeiterin ihre Pflichten erfüllt (Art. 28 Abs. 4 Satz 2 DSGVO).

g) Für die Rechtmäßigkeit der Verarbeitung und die Information der betroffenen Personen ist die Gemeinschaft verantwortlich. Die Hausverwaltung stellt die nötigen Angaben dafür bereit.

(3) Bei einer Betriebskostenabrechnung gelten die Absätze 1 und 2 entsprechend, wenn die Hausverwaltung die Daten als Auftragsverarbeiterin der Eigentümer des vermieteten Wohnungseigentums verarbeitet. An die Stelle der Gemeinschaft treten dann diese Eigentümer.

12. Abschluss, Fassung und Nachweis

(1) Maßgeblich ist die Fassung dieses Vertrags, die beim Absenden der Anfrage angezeigt und angenommen wurde.

(2) Eine spätere Fassung gilt für diese Anfrage oder diesen Auftrag nur, wenn der Auftraggeber sie in Textform annimmt, zum Beispiel im Annahmetext eines Angebots.

(3) Die Nachweisdaten nach dem Abschnitt „Wie dieser Vertrag zustande kommt“ bewahrt die Auftragsverarbeiterin auf, solange sie zum Nachweis des Vertrags und der Löschung benötigt werden, in der Regel drei Jahre ab Ende des Jahres, in dem die Daten gelöscht oder zurückgegeben wurden.

13. Schlussbestimmungen

Änderungen sollen in Textform erfolgen. Individuelle Datenschutzweisungen und zwingendes Datenschutzrecht gehen entgegenstehenden Regelungen vor. Im Übrigen gelten die gesetzlichen Vorschriften. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Verarbeitungsübersicht

Gegenstand
Ersteinschätzung: Einordnung, Auslesen von Kernwerten (zum Beispiel Einheiten, Anteile, Abrechnungsjahr, Kontostände), Einschätzung der Unterlagenlage und Erstellung eines Angebots.
Auftrag: Erstellung des im Angebot bezeichneten Abrechnungspakets einschließlich Vollständigkeits- und Plausibilitätsprüfung, Berechnung, Dokumenterstellung, Korrektur und Auslieferung, Prüfung einer vorhandenen Abrechnung mit Prüfbericht oder Erstellung einer Betriebskostenabrechnung für vermietetes Wohnungseigentum auf Grundlage der Hausgeldabrechnung und des Mietvertrags.

Dauer
Wie § 1 Abs. 2 und § 9.

Zwecke
Entgegennahme und Registrierung, Strukturierung, Abgleich, Berechnung, Qualitätssicherung, Angebotserstellung, Dokumenterstellung, Auslieferung und Nachweisführung.

Datenarten
Eigentümer- und Einheitenstammdaten, Eigentumswechsel, Miteigentumsanteile und Flächen, Soll-Vorschüsse, Zahlungen, Rückstände und Guthaben, Konto- und Umsatzdaten, Rechnungen, Belege und Verträge, Heiz- und Verbrauchsdaten, Beschlüsse und Protokolle, Kommunikations- und technische Metadaten.
Bei der Betriebskostenabrechnung zusätzlich: Name und Anschrift der Mieter, Mietbeginn und Mietende einschließlich Ein- und Auszugsdaten bei einem Mieterwechsel, vereinbarte Betriebskosten und Umlageschlüssel, Vorauszahlungen und Zahlungen der Mieter, frühere Betriebskostenabrechnungen an die Mieter mit Nachzahlungen und Guthaben, Grundsteuer- oder Grundbesitzabgabenbescheid der Wohnung, Wohnfläche und, soweit für die Umlage nötig, die Zahl der Bewohner.

Betroffene Personen
Wohnungseigentümer, Bevollmächtigte, Mitglieder des Verwaltungsbeirats, Bewohner, Mieter und frühere Mieter, Dienstleister, Handwerker und Ansprechpartner des Auftraggebers.

Besondere Kategorien
Nicht vorgesehen. Werden solche Daten festgestellt, wird der Auftraggeber informiert. Die betreffenden Inhalte werden vor einer Übermittlung an die in Anlage 3 genannten KI-Dienste entfernt oder wirksam geschwärzt. Ist das nicht möglich, wird das Dokument nicht an diese Dienste übermittelt.

Anlage 2 – Technische und organisatorische Maßnahmen

Website und Upload-Dienst. Website und Upload-Dienst laufen auf einem bei Hostinger betriebenen virtuellen Server (VPS) im Rechenzentrum Frankfurt am Main. Öffentlich erreichbar sind sie nur über einen Reverse Proxy mit TLS-Verschlüsselung. Der Upload-Dienst prüft Dateityp und Dateigröße, begrenzt die Zahl der Anfragen und wehrt automatisierte Einsendungen ab. Er legt die Dateien kurz in einem nicht öffentlichen Speicher ab, vergibt eine Anfrage-Nummer und gibt die Anfrage intern an die Workflow-Automatisierung weiter. Danach löscht er seine Kopie, spätestens nach 72 Stunden. Der Upload-Dienst hält keine Zugangsdaten zu Microsoft 365. Es gibt keine öffentlich abrufbare Dateiablage.

Workflow-Automatisierung. Die selbst gehostete n8n-Automatisierung läuft auf demselben VPS und ist nur im privaten Netzwerk erreichbar. Ausführungsdaten werden nach kurzer Zeit automatisch bereinigt.

Ablage. Die Unterlagen werden in einem zugriffsbeschränkten SharePoint-Bereich in Microsoft 365 abgelegt. Vor dem Auslesen werden die Dateien auf Schadsoftware geprüft.

Protokolle. Technische Protokolle enthalten keine Dateiinhalte und keine Namen.

Arbeitsplatz. Arbeitsplatzrechner mit Festplattenverschlüsselung und automatischer Bildschirmsperre. Lokale Claude-Code-Sitzungsprotokolle werden höchstens 30 Tage aufbewahrt.

Zugänge. Serverzugang ausschließlich mit SSH-Schlüssel. Konten mit Datenzugriff nutzen Mehrfaktor-Authentifizierung. Zugangsdaten werden im Passwortmanager verwaltet. Öffentliche Serverports sind auf das Notwendige begrenzt.

Übertragung. Ausschließlich verschlüsselt über TLS. Vollständige Unterlagen werden nicht ungeschützt als E-Mail-Anhang versandt.

KI-Dienste. In der Ersteinschätzung und im Auftrag dürfen nur Mistral AI SAS, OpenAI Ireland Ltd. und Anthropic Ireland, Limited die Unterlagen unter den Bedingungen der Anlage 3 verarbeiten. Andere externe KI- oder OCR-Dienste erhalten keine Daten aus den Unterlagen. Vor der Übermittlung werden erkennbare Daten nach Art. 9 DSGVO entfernt oder wirksam geschwärzt. Eine geeignete Pseudonymisierung wird genutzt, soweit dies ohne unverhältnismäßigen Aufwand möglich ist. Berechnungen und Verteilungen erfolgen nicht durch Sprachmodelle, sondern durch nachvollziehbare Rechenlogik. KI-gestützt vorbereitete Inhalte, auch das Ergebnis der Ersteinschätzung und das Angebot, prüft und gibt eine natürliche Person frei.

Löschung. Wie § 9. Die Löschung wird ohne Wiedergabe der Inhalte mit Datum, Datenkategorien und ausführender Person protokolliert.

Vorfälle und Überprüfung. Datenschutzvorfälle werden unverzüglich dokumentiert. Der Auftraggeber wird grundsätzlich innerhalb von 24 Stunden informiert. Die Maßnahmen werden jährlich und bei wesentlichen Änderungen überprüft.

Anlage 3 – Genehmigte Unterauftragsverarbeiter (Stand 19.10.2026)

Für alle drei KI-Dienste gilt: keine Nutzung der Daten zum Training, keine Daten nach Art. 9 DSGVO, Freigabe der Ergebnisse durch einen Menschen (Anlage 2). Datenarten und betroffene Personen wie Anlage 1.