nach Art. 28 DSGVO · Fassung 1.5 · gültig ab 10.11.2026
Was sich in Fassung 1.5 gegenüber Fassung 1.4 geändert hat: Anlage 1 nennt beim Mieterkanal die Sprachnachricht: Mieterinnen und Mieter können ihrem Anliegen freiwillig eine Tonaufnahme von bis zu zwei Minuten beifügen, die Sie in der Anwendung anhören — ohne Spracherkennung. Anlage 2 nennt die Schutzmaßnahmen dazu: angenommen wird eine Sprachnachricht erst, wenn Sie diese Fassung geschlossen haben, und ein beauftragter Betrieb sieht sie nie. Anlage 3 nennt keinen neuen Unterauftragsverarbeiter; bei Brevo steht der heutige Name des Unternehmens, Brevo GmbH (vormals Sendinblue GmbH). Die übrigen Paragrafen sind unverändert.
Frühere Fassungen im damaligen Wortlaut — für ein Konto, das die neuere Fassung noch nicht angenommen hat, gilt die bisherige fort (§ 10 Abs. 2): Fassung 1.4 vom 03.11.2026 (Rechnungen an Kundinnen und Kunden, Zählerbuch, Personenzahl, Mitglieder, Erinnerung an Fristen) · Fassung 1.3 vom 01.10.2026 (Belegeinsicht per Link, Zeitstempel in Anlage 2) · Fassung 1.2 vom 22.09.2026 (eigene Sicherung in Anlage 2 und § 8 Abs. 3) · Fassung 1.1 vom 12.09.2026 (Anlage 1: Mietkonto, Kautionsabrechnung, Übergabeprotokoll, Zahlungserinnerung, Steuerauswertung; Anlage 2: Schutzmaßnahmen) · Fassung 1.0 vom 04.08.2026.
Verantwortlicher (nachfolgend „Auftraggeber")
Auftragsverarbeiter (nachfolgend „Auftragnehmer" oder „Zetaro")
Der Auftragnehmer ist ein Einzelunternehmen ohne Beschäftigte. Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht zu benennen; für alle datenschutzrechtlichen Anliegen ist der Inhaber unter der oben genannten Adresse unmittelbar erreichbar.
(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus dem zwischen ihnen bestehenden Nutzungsvertrag über die Software-as-a-Service-Anwendung Zetaro (nachfolgend „Hauptvertrag", siehe AGB) ergeben. Er gilt für alle personenbezogenen Daten, die der Auftragnehmer im Rahmen der Erbringung dieser Leistungen im Auftrag des Auftraggebers verarbeitet.
(2) Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.
(3) Der Vertrag kommt in elektronischer Form zustande, indem der Auftraggeber ihm in der Zetaro-Anwendung ausdrücklich zustimmt. Die zugestimmte Fassung und der Zeitpunkt der Zustimmung werden im Nutzerkonto gespeichert und sind dort jederzeit einsehbar. Damit ist der Formanforderung des Art. 28 Abs. 9 DSGVO („in elektronischem Format") genügt.
(4) Der Vertrag läuft, solange der Hauptvertrag besteht. Er endet automatisch mit dessen Beendigung, unabhängig davon, aus welchem Grund. Die Pflichten aus § 9 (Löschung und Rückgabe) bestehen darüber hinaus fort.
(5) Der Auftraggeber kann diesen Vertrag jederzeit gesondert kündigen, wenn er die betroffenen Funktionen nicht mehr nutzen will. Eine solche Kündigung berührt den Hauptvertrag nicht; sie führt jedoch dazu, dass Mieterkanal, Handwerker-Rückkanal, Belegeinsicht per Link, das Zählerbuch, das Ausstellen von Rechnungen an Kundinnen und Kunden und der Versand an Dritte nicht mehr genutzt werden können.
(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(2) Die bestimmungsgemäße Nutzung der Anwendung ist die Weisung. Indem der Auftraggeber die Funktionen von Zetaro entsprechend ihrer Beschreibung verwendet — etwa ein Objekt anlegt, den Mieterkanal freischaltet, eine Handwerker-Anfrage versendet oder einen Beleg ablegt —, erteilt er dem Auftragnehmer die Weisung, die damit verbundenen Verarbeitungen durchzuführen. Einer gesonderten Erklärung bedarf es dafür nicht. Das gilt auch für Personen, die der Auftraggeber als Mitglieder in sein Konto einlädt: ihr Handeln in der Anwendung ist eine Weisung des Auftraggebers. Wen er einlädt, bestimmt allein der Auftraggeber; er kann Mitglieder jederzeit entfernen.
(3) Darüber hinausgehende Einzelweisungen erteilt der Auftraggeber in Textform (E-Mail genügt) an kontakt@zetaro.de. Mündlich erteilte Weisungen bestätigt der Auftraggeber unverzüglich in Textform.
(4) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit. Er ist berechtigt, die Ausführung auszusetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.
(5) Der Auftragnehmer verwendet die im Auftrag verarbeiteten Daten nicht für eigene Zwecke. Insbesondere findet keine Auswertung zu Werbezwecken, keine Profilbildung und kein Training von Modellen künstlicher Intelligenz mit diesen Daten statt, und die Daten werden nicht an Dritte verkauft oder überlassen.
Der Auftragnehmer verpflichtet sich:
(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO). Das betrifft insbesondere die Rechtsgrundlage für die Erhebung von Mieter- und Betriebsdaten sowie die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO gegenüber diesen Personen.
(2) Der Auftraggeber übermittelt keine Daten in die Anwendung, für deren Verarbeitung ihm die Rechtsgrundlage fehlt. Er stellt insbesondere sicher, dass er Mieterinnen und Mieter sowie beauftragte Betriebe darüber informiert, dass ihre Angaben über eine externe Software verarbeitet werden.
(3) Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (etwa Gesundheitsdaten, religiöse oder weltanschauliche Überzeugungen) sind nicht Gegenstand dieses Auftrags. Der Auftraggeber lädt solche Daten nicht in die Anwendung hoch. Geschieht es dennoch — etwa weil ein Mieteranliegen unaufgefordert eine Gesundheitsangabe enthält —, verarbeitet der Auftragnehmer sie mit demselben Schutzniveau wie alle übrigen Daten, übernimmt aber keine darüber hinausgehenden besonderen Schutzmaßnahmen.
(4) Der Auftraggeber hält seine im Konto hinterlegte E-Mail-Adresse aktuell. Über diese Adresse erfolgen alle Mitteilungen nach diesem Vertrag, insbesondere Meldungen nach § 3 Nr. 6 und Ankündigungen nach § 5 Abs. 3.
(5) Der Auftraggeber ist für die Zugangssicherheit seines Kontos verantwortlich, insbesondere für die Wahl eines starken Passworts und dessen Geheimhaltung.
(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung (Art. 28 Abs. 2 Satz 2 DSGVO), zur Erbringung der Leistungen weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 abschließend aufgeführt und werden hiermit ausdrücklich genehmigt.
(2) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Verhalten wie für eigenes.
(3) Änderungen kündigt der Auftragnehmer an. Beabsichtigt er, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, teilt er dies dem Auftraggeber mindestens 30 Tage vorher per E-Mail an die im Konto hinterlegte Adresse mit. Die jeweils aktuelle Liste ist zudem stets unter zetaro.de/avv#anlage3 abrufbar.
(4) Der Auftraggeber kann der Änderung innerhalb der 30-Tage-Frist aus einem datenschutzrechtlichen Grund widersprechen. Der Widerspruch erfolgt in Textform an kontakt@zetaro.de. Lässt sich die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in gleicher Weise erbringen, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von 14 Tagen zum Ende des laufenden Abrechnungszeitraums zu kündigen; bereits im Voraus gezahlte Entgelte werden anteilig erstattet.
(5) Nicht als Unterauftragsverarbeitung im Sinne dieser Vorschrift gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass dabei Daten des Auftraggebers verarbeitet werden (z. B. Telekommunikations- und Wartungsleistungen). Ebenfalls nicht erfasst ist die Zahlungsabwicklung über Stripe: Sie betrifft ausschließlich die eigenen Vertragsdaten des Auftraggebers, für die der Auftragnehmer selbst Verantwortlicher ist — nicht die diesem Vertrag unterliegenden Daten Dritter. Näheres dazu in der Datenschutzerklärung.
(1) Der Auftragnehmer weist die Einhaltung der vereinbarten Pflichten in geeigneter Weise nach. Als Nachweis kommen insbesondere in Betracht: die jeweils aktuelle Fassung der Anlage 2, eine schriftliche Selbstauskunft sowie vorhandene Zertifikate oder Prüfberichte der Unterauftragsverarbeiter.
(2) Der Auftraggeber kann darüber hinaus Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen (Art. 28 Abs. 3 lit. h DSGVO). Vor-Ort-Kontrollen sind während der üblichen Geschäftszeiten, nach Anmeldung mit einer Frist von mindestens 14 Tagen und ohne Störung des Betriebsablaufs zulässig; sie beschränken sich auf den Verantwortungsbereich des Auftragnehmers.
(3) Da der Auftragnehmer keine eigene Rechenzentrumsinfrastruktur betreibt, beziehen sich Kontrollen bei den Unterauftragsverarbeitern auf deren jeweils veröffentlichte Prüfberichte und Zertifizierungen; ein unmittelbarer Zutritt zu deren Anlagen kann nicht verschafft werden.
(4) Für Kontrollen, die über eine Selbstauskunft hinausgehen und nicht durch einen konkreten Anlass gerechtfertigt sind, kann der Auftragnehmer einen angemessenen Aufwandsersatz verlangen. Bei begründetem Verdacht auf einen Datenschutzverstoß erfolgt die Kontrolle unentgeltlich.
(1) Die dauerhafte Speicherung aller im Auftrag verarbeiteten Daten — Datenbank und Dateispeicher — erfolgt ausschließlich in einem Rechenzentrum in Frankfurt am Main, Deutschland.
(2) Bei der Auslieferung und beim Aufruf der Schnittstellen werden Daten kurzzeitig auf Servern des Unterauftragsverarbeiters Cloudflare verarbeitet. Cloudflare betreibt ein weltweites Netz und verarbeitet Anfragen am jeweils nächstgelegenen Standort. Da sich die Nutzung an Vermieterinnen und Vermieter in Deutschland richtet, geschieht dies regelmäßig innerhalb der EU; eine Verarbeitung außerhalb der EU ist bei Zugriffen aus dem Ausland technisch jedoch nicht ausgeschlossen. Eine geografische Beschränkung des Cloudflare-Netzes auf die EU ist derzeit nicht gebucht.
(3) Soweit ein Unterauftragsverarbeiter seinen Sitz in einem Drittland hat oder eine Verarbeitung in einem Drittland stattfinden kann, ist ein angemessenes Schutzniveau sichergestellt: durch einen Angemessenheitsbeschluss der Europäischen Kommission, durch die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914) oder durch eine Zertifizierung nach dem EU-US Data Privacy Framework. Die je Unterauftragsverarbeiter einschlägige Grundlage ist in Anlage 3 angegeben.
(1) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück; der Auftraggeber wählt zwischen beidem. Trifft er innerhalb von 30 Tagen nach Beendigung keine Wahl, wird gelöscht.
(2) Für die Rückgabe stellt die Anwendung eine Exportfunktion bereit, mit der der Auftraggeber seine Daten und Dokumente in gängigen Formaten selbst herunterladen kann. Der Auftraggeber ist gehalten, den Export vor Beendigung durchzuführen.
(3) Die Löschung erfolgt spätestens 30 Tage nach Beendigung des Hauptvertrags und umfasst Datenbankeinträge, abgelegte Dateien und das Protokoll. Sicherungskopien, die aus technischen Gründen noch eine begrenzte Zeit vorgehalten werden, werden überschrieben: die eigenen Sicherungen des Auftragnehmers spätestens nach 14 Tagen (Anlage 2), Sicherungen der Unterauftragsverarbeiter nach dem jeweiligen Sicherungszyklus; ein gezielter Eingriff in Sicherungskopien ist nicht möglich und wird nicht geschuldet.
(4) Ausnahme: gesetzliche Aufbewahrungspflichten. Soweit der Auftragnehmer nach Unionsrecht oder deutschem Recht zur Aufbewahrung verpflichtet ist, bleibt die Speicherung insoweit bestehen; die Daten werden in ihrer Verarbeitung eingeschränkt und ausschließlich zu diesem Zweck vorgehalten (Art. 28 Abs. 3 lit. g DSGVO letzter Halbsatz). Das betrifft im Regelfall nicht die diesem Vertrag unterliegenden Daten Dritter, sondern die eigenen Abrechnungsdaten des Auftraggebers.
(5) Aufbewahrungspflichten des Auftraggebers gehen der Löschung nicht vor. Belege, die der Auftraggeber selbst nach § 147 AO oder § 257 HGB aufbewahren muss, bleiben seine Aufgabe; er hat sie vor Beendigung zu exportieren. Der Auftragnehmer schuldet keine Aufbewahrung über das Vertragsende hinaus. Näheres regelt das Löschkonzept.
(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags, soweit dieser Vertrag nichts anderes bestimmt.
(2) Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis tragen die Parteien den Schaden entsprechend ihrem Anteil an der Verantwortung für den Umstand, durch den der Schaden eingetreten ist.
(1) Rangfolge. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.
(2) Änderungen. Änderungen dieses Vertrags bedürfen der Textform. Eine neue Fassung wird auf dieser Seite veröffentlicht und dem Auftraggeber in der Anwendung zur Zustimmung vorgelegt; bis zur Zustimmung gilt die bisherige Fassung fort. Änderungen, die zwingend erforderlich sind, um geänderten gesetzlichen Anforderungen oder Vorgaben einer Aufsichtsbehörde zu genügen, kann der Auftragnehmer mit einer Ankündigungsfrist von 30 Tagen umsetzen; widerspricht der Auftraggeber, kann jede Partei den Hauptvertrag zum Ende des laufenden Abrechnungszeitraums kündigen.
(3) Salvatorische Klausel. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
(4) Recht und Gerichtsstand. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand der Sitz des Auftragnehmers.
Bereitstellung und Betrieb der Software-as-a-Service-Anwendung Zetaro zur digitalen Ablage und Verwaltung von Unterlagen zu vermieteten Objekten sowie zum Empfangen, Ausstellen und Versenden von Rechnungen. Die Verarbeitung dauert an, solange der Hauptvertrag besteht; im Übrigen gilt § 8.
| Kategorie | Einzelangaben |
|---|---|
| Stammdaten | Name, Anschrift des Objekts und der Wohnung, Lage/Etage |
| Kontaktdaten | E-Mail-Adresse, Telefonnummer (jeweils soweit freiwillig angegeben) |
| Inhaltsdaten | Text von Anliegen und Nachrichten, Terminwünsche, Zugangshinweise, Fotos von Mängeln, Sprachnachrichten von Mieterinnen und Mietern (Tonaufnahme) |
| Vertrags- und Abrechnungsdaten Dritter | Angaben aus Rechnungen und Verträgen: Rechnungsaussteller, Betrag, Leistungszeitraum, Rechnungsnummer, gegebenenfalls Bankverbindung |
| Mietverhältnisdaten | Bezeichnung und Lage der Einheit, Wohnfläche, Vertragsart (Wohnraum oder Gewerbe) und bei Gewerbe der Nutzungszweck, Beginn und Ende des Mietverhältnisses, Kaltmiete, Nebenkostenvorauszahlung, Kautionsbetrag und -art, Umlageschlüssel, bei Gewerbe die Option zur Umsatzsteuer; die Rolle jeder erfassten Person (Mietpartei, weiterer Bewohner — bei Gewerbe Ansprechpartner —, Untermieter) und das Datum einer Untervermietungserlaubnis; der Tag einer ausgestellten Wohnungsgeberbestätigung; Tag des Zugangs und Form einer Kündigung der Mietpartei |
| Interessentendaten | Name, E-Mail-Adresse oder Telefonnummer, Herkunft der Anfrage (Portal, E-Mail, Telefon), gewünschter Einzugstermin, Besichtigungstermin, Verfahrensstand, freie Notiz des Auftraggebers. Nicht erhoben werden Selbstauskunft, Einkommens- oder Bonitätsangaben, Haushaltsgröße und Familienstand — sie sind vor einer ernsthaften Vertragsanbahnung nicht erforderlich, und Merkmale nach §§ 19, 21 AGG dürfen für die Auswahl keine Rolle spielen. Die Anwendung bietet dafür keine Felder an. |
| Zahlungsdaten des Mietverhältnisses | Mietänderungen mit Stichtag und Grund, erfasste Zahlungseingänge mit Monat, Betrag, Eingangsdatum und Notiz, ein hinterlegter Dauerauftrag, daraus errechnete Rückstände sowie erzeugte und abgelegte Zahlungserinnerungen und Mahnungen (Text, Datum, Zahlungsfrist, offene Summe und Monate). Angaben über das Zahlungsverhalten einer Mietpartei sind besonders heikel; sie entstehen ausschließlich aus Eintragungen des Auftraggebers und werden an niemanden weitergegeben — es findet keine Übermittlung an Auskunfteien statt |
| Nebenkosten- und Kautionsdaten | Abrechnungszeiträume, Kostenpositionen mit Betrag und Verteilerschlüssel — bei der Verteilung nach Verbrauch mit der Art der Zähler —, bei der Verteilung nach Personen die Zahl der Personen je Mietverhältnis ab einem Stichtag (nur die Zahl, keine Namen) und die daraus errechneten Personentage, Ergebnis je Mietverhältnis, Abrechnungsschreiben mit festgeschriebenem Rechenweg, eine daraus erklärte Anpassung der Vorauszahlung (Betrag und Stichtag); Kautionsbetrag und Anlageart, Zinsen, Abzugspositionen mit Begründung, Saldo |
| Belegeinsicht | die Auswahl der freigegebenen Belege einer Abrechnung, der Link mit seinem Gültigkeitsdatum, der Zeitpunkt einer Sperre und die Zeitpunkte, zu denen der Link zum ersten und zum letzten Mal geöffnet wurde. Nicht erfasst werden IP-Adresse, Gerät oder Name der Person, die ihn öffnet |
| Zählerbuch | Zähler (Art, Nummer, Einheit des Stands, Ein- und Ausbau, Ende der Eichfrist), Ablesungen (Tag, Stand, Anlass, die Rolle der ablesenden Person — kein Name —, Notiz, ein Foto des Zählers) und der daraus errechnete Verbrauch je Mietverhältnis, der im abgeschlossenen Abrechnungsschreiben festgehalten wird. Der Verbrauch einer Wohnung lässt Rückschlüsse auf das Verhalten ihrer Bewohner zu; er dient allein der Abrechnung und wird an niemanden weitergegeben |
| Rechnungs- und Kundendaten | Name, Art (Unternehmen, Behörde, Privatperson), Anschrift, E-Mail-Adresse, USt-IdNr., Leitweg-ID, Referenz und Notiz der Rechnungsempfänger; Inhalt der ausgestellten Rechnungen (Nummer, Datum, Leistungszeitraum, Positionen, Beträge, Zahlungsziel, festgehaltener Empfänger); Versandnachweise (Empfängeradresse, Betreff, Zeitpunkt, Prüfsumme der gesendeten Datei) |
| Übergabeprotokolle | Datum der Übergabe, anwesende Personen, Räume mit Zustandsbeschreibung, festgestellte Mängel, Fotos der Räume und Mängel (als Belege am Mietverhältnis abgelegt, mit Prüfsumme), Zählerstände, übergebene Schlüssel, Bemerkungen |
| Betriebsdaten | Firmenname, Gewerk, E-Mail-Adresse des angefragten Betriebs |
| Metadaten | Zeitpunkte von Ablage, Änderung und Löschung, Eingangsart, Dateiname, Dateigröße, Prüfsumme, der Rechenweg von der Prüfsumme zum signierten Zeitstempel; bei der Erinnerung an Fristen je gemeldeter Frist die Kennung des Datensatzes, die Stufe, das Datum der Frist und der Zeitpunkt der E-Mail |
Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags (§ 4 Abs. 3).
Stand: 10.11.2026. Beschrieben ist, was umgesetzt ist — nicht, was geplant ist. Jede Angabe hier ist vor der Aufnahme nachgemessen worden.
Zutrittskontrolle. Der Auftragnehmer betreibt keine eigenen Server. Der physische Zutritt zu den Anlagen liegt bei den Unterauftragsverarbeitern (Anlage 3), die dafür nach eigenen Angaben Zutrittskontrollen, Videoüberwachung und Zugangsprotokollierung einsetzen und nach ISO 27001 bzw. SOC 2 geprüft sind.
Zugangskontrolle. Anmeldung mit E-Mail-Adresse und Passwort (Mindestlänge 12 Zeichen, mindestens Buchstaben und Ziffern; serverseitig erzwungen). Zwei-Faktor-Authentifizierung steht jedem Konto offen und ist für Konten mit Verwaltungsrechten verpflichtend. Passwörter werden ausschließlich als Hash gespeichert und sind für den Auftragnehmer nicht einsehbar. Sitzungen laufen über kurzlebige, automatisch erneuerte Zugriffstoken. Der Verwaltungszugang zu Datenbank, Betriebsumgebung und Quellcode ist ausschließlich dem Inhaber vorbehalten und durchgängig mit Zwei-Faktor-Authentifizierung gesichert — für jeden der drei Zugänge einzeln. Zugangsschlüssel zu Fremdsystemen (Datenbank, Zahlungsdienstleister, Mailversand) liegen ausschließlich in der verschlüsselten Geheimnisverwaltung der Betriebsumgebung, niemals im Quellcode oder in der ausgelieferten Anwendung.
Zweiter Faktor auf Ebene der Datenbank. Ist für ein Konto ein zweiter Faktor eingerichtet, verweigert die Datenbank selbst jeden Lese- und Schreibzugriff, solange die Sitzung ihn nicht vorgewiesen hat — auch auf die abgelegten Dateien. Die Prüfung liegt damit nicht in der Oberfläche, die sich umgehen ließe. Für den Fall des Geräteverlusts können acht einmal einlösbare Ersatzcodes ausgestellt werden; gespeichert wird davon nur ein Hashwert.
Weitere Zugänge zu einem Konto. Weitere Personen erhalten Zugang zu einem Konto nur über eine Einladung des Kontoinhabers. Der Einladungscode wird nur als Hashwert gespeichert, gilt 14 Tage und nur für die eingeladene E-Mail-Adresse. Ein Mitglied meldet sich mit eigenem Zugang an und sieht ausschließlich die Daten dieses Kontos — durchgesetzt von denselben Zugriffsregeln der Datenbank wie für den Inhaber. Abonnement, Plätze und Einladungen verwaltet allein der Inhaber; ein Mitglied kann sie weder ändern noch einsehen.
Schutz gegen unbeabsichtigten Verlust. Ein Objekt lässt sich nicht löschen, solange noch ein Beleg daran hängt — auch keiner im Papierkorb. Ohne diese Sperre nähme das Löschen eines Objekts die Belege mit, ohne dass die Prüfung der Aufbewahrungsfrist je gefragt würde.
Zugriffskontrolle. Die Datenbank setzt zeilenweise Zugriffsregeln (Row Level Security) durch: jede Abfrage ist auf die Daten des angemeldeten Kontos beschränkt, und zwar auf Ebene der Datenbank, nicht der Anwendung. Ein Fehler in der Oberfläche kann diese Grenze nicht überwinden. Dateien liegen in einem privaten Speicherbereich mit Pfadtrennung je Konto und Objekt; der Zugriff erfolgt ausschließlich über kurzlebige signierte Verweise. Schreibrechte sind spaltenweise vergeben: Dateiname, Speicherort, Größe, Eingangsart, Ablagezeitpunkt und Prüfsumme eines Belegs sind nach der Ablage unveränderbar.
Trennungskontrolle. Die Daten verschiedener Auftraggeber liegen in gemeinsamen Tabellen und werden logisch über die Zugriffsregeln getrennt — nicht physisch. Zusätzlich getrennt sind die Zugangswege: die kontolosen Kanäle für Mieter, Betriebe und die Belegeinsicht laufen über eigene, eng zugeschnittene Funktionen und haben keinerlei Leserecht auf den übrigen Datenbestand.
Kontolose Kanäle. Für Mieterkanal und Handwerker-Rückkanal gilt: je Anfrage ein eigener Zugangsschlüssel (kein gemeinsamer Schlüssel je Betrieb), Mengenbegrenzung je Zeitfenster, Deaktivierbarkeit durch den Auftraggeber und ein zeitlich begrenztes Fenster für das Nachreichen von Fotos und einer Sprachnachricht. Eine Sprachnachricht nimmt der Auftragnehmer nur für einen Auftraggeber an, der diese Fassung geschlossen hat; ihre Art wird an der Datei selbst geprüft, nicht an ihrem Namen, und sie wird nicht in Text umgewandelt. Ein angefragter Betrieb sieht ausschließlich die ihm gestellte Aufgabe, nicht die Angaben konkurrierender Betriebe — und nie eine Sprachnachricht der Mietpartei, auch nicht, wenn das Anliegen zu seinem Vorgang gehört.
Belegeinsicht per Link. Je Freigabe ein eigener Link aus 24 zufälligen Zeichen (rund 118 Bit), den die Datenbank selbst erzeugt; er gilt 13 Monate und lässt sich vom Auftraggeber jederzeit endgültig sperren. Die Seite der Mietpartei erhält ausschließlich die freigegebenen Belege und keine Angabe zu anderen Mietverhältnissen; eine Datei wird nur über einen signierten Verweis ausgeliefert, der nach fünf Minuten verfällt, und nur, solange der Beleg freigegeben, nicht im Papierkorb und der Link gültig ist — geprüft von der Datenbank, nicht von der Seite. Die Seite ist für Suchmaschinen gesperrt und gibt ihre Adresse beim Weiterklicken nicht als Herkunft weiter.
Weitergabekontrolle. Sämtliche Verbindungen sind mit TLS verschlüsselt (HTTPS, Weiterleitung von unverschlüsselten Aufrufen erzwungen; HSTS mit einem Jahr Gültigkeit). Die Anwendung bindet keine externen Schriftarten, Programmbibliotheken, Analysewerkzeuge oder Werbenetzwerke ein — Schriften und Bibliotheken werden von den eigenen Adressen ausgeliefert, und ein Prüfwerkzeug weist eine fremde Herkunft bei jeder Änderung zurück. Die Reichweitenmessung arbeitet ohne Cookies und ohne seitenübergreifende Nachverfolgung. E-Mails an Dritte werden mit DKIM signiert, die Absenderdomain ist mit DMARC abgesichert, und die Antwortadresse wird serverseitig auf die echte Adresse des Auftraggebers erzwungen.
Absicherung im Browser. Beide Flächen liefern eine Content-Security-Policy aus, die die zulässigen Herkünfte für Skript, Stil, Bilder, Schriften und Netzverbindungen abschließend benennt. Ergänzend: Einbettungsschutz (frame-ancestors 'none' und X-Frame-Options), Sperre für Objekt-Einbettungen und fremde Formularziele sowie eine Berechtigungsrichtlinie, die Standort, Mikrofon, Kamera, Bezahl- und USB-Schnittstelle für die Seite abschaltet.
Eingabekontrolle. Ablage, Änderung und Löschung von Belegen, Vorgängen, Mieteranliegen, Mietverhältnissen und der daran hängenden Angaben (Mietkonto, Abrechnungen, Personenzahl, Übergabe, Kaution, Freigaben zur Belegeinsicht, Zähler und Ablesungen) werden mit Zeitpunkt, Konto und Art der Änderung protokolliert. Das Protokoll schreibt die Datenbank selbst über Trigger — nicht die Anwendung. Der Client hat ausschließlich Leserecht darauf: Einträge lassen sich weder erzeugen noch ändern noch löschen. Das Protokoll kann nur zusammen mit den Daten fallen, die es dokumentiert.
Unveränderbarkeit von Belegen. Zu jedem abgelegten Beleg wird beim Eingang eine SHA-256-Prüfsumme der Originaldatei gebildet und festgeschrieben. Sie ist danach nicht mehr änderbar und erlaubt jederzeit den Nachweis, dass die Datei seit der Ablage unverändert ist.
Unabhängiger Zeitstempel. Einmal täglich werden die Prüfsummen aller Belege, die noch keinen Nachweis haben, zu einem Hash-Baum (RFC 6962) zusammengefasst; dessen Wurzel lässt der Auftragnehmer von einem Zeitstempeldienst nach RFC 3161 signieren — vorrangig von einem qualifizierten, ist er nicht erreichbar, von einem einfachen desselben Anbieters; welcher gestempelt hat, steht im Nachweis. An den Dienst geht ausschließlich dieser Hashwert — kein Beleg und keine Angabe über einen Beleg oder eine Person. Je Beleg wird der Rechenweg zur signierten Wurzel gespeichert; bevor er gespeichert wird, rechnet die Datenbank ihn nach. Damit lässt sich ohne den Auftragnehmer nachprüfen, dass ein Beleg spätestens zu diesem Zeitpunkt unverändert vorlag.
Versand ausgestellter Rechnungen. Der Server liest die abgelegte Datei aus dem Speicher und vergleicht ihre Prüfsumme mit der bei der Ablage festgeschriebenen, bevor er sie versendet; weicht sie ab, geht nichts hinaus. Jeder Versand wird mit Empfängeradresse, Zeitpunkt und Prüfsumme festgehalten; schreiben kann diesen Nachweis nur der Server.
Verschlüsselung im Ruhezustand. Datenbank und Dateispeicher sind bei den Unterauftragsverarbeitern verschlüsselt abgelegt.
Betrieb auf verwalteter Infrastruktur mit Redundanz auf Anbieterseite. Der Infrastruktur-Dienstleister sichert im genutzten Tarif nicht, und Belegdateien sichert er in keinem Tarif; der Auftragnehmer erstellt deshalb selbst eine Sicherung von Datenbank und Belegdateien, und zwar an jedem Tag, an dem der sichernde Rechner in Betrieb ist — zur Mittagszeit oder, falls an diesem Tag noch keine entstanden ist, beim Anmelden. Sie wird mit OpenPGP verschlüsselt und auf einem Rechner in Deutschland abgelegt; der private Schlüssel wird getrennt davon aufbewahrt. Nach 14 Tagen wird sie überschrieben. Jeder Lauf spielt den Abzug zur Probe auf einer kurzlebigen örtlichen Datenbank zurück und vergleicht jede Tabelle Zeile für Zeile; jede Belegdatei wird gegen die beim Ablegen gebildete Prüfsumme geprüft. Sitzungsschlüssel, Einmalcodes und das Anmeldeprotokoll werden ohne Inhalt gesichert — eine Sicherung mit gültigen Sitzungen wäre ein Schlüsselbund für fremde Konten. Löschungen laufen zweistufig über einen Papierkorb, sodass ein versehentliches Entfernen umkehrbar bleibt. Das endgültige Entfernen einer Belegdatei ist dem Server vorbehalten und dort mit einer Prüfung der Aufbewahrungsfrist versehen; der Client kann Belegdateien nicht selbst löschen.
Datenschutz durch Technikgestaltung. Es werden nur die Angaben erhoben, die die jeweilige Funktion braucht; Kontaktangaben im Mieterkanal sind freiwillig. Schutzmaßnahmen liegen bewusst in der Datenbank und im Server, nicht in der Oberfläche — eine Prüfung, die sich umgehen ließe, indem man die Oberfläche umgeht, gilt nicht als Schutzmaßnahme.
Auftragskontrolle. Unterauftragsverarbeiter werden vor dem Einsatz auf ihre Datenschutzunterlagen geprüft; mit allen bestehen Auftragsverarbeitungsverträge.
Überprüfung. Änderungen an Datenbank und Zugriffsregeln werden versioniert, dokumentiert und nach dem Einspielen nachgemessen; Ergebnis und Nachweis werden festgehalten. Die Prüfverfahren und der jeweils erreichte Stand sind intern dokumentiert.
Vorfallbehandlung. Meldeweg und Frist ergeben sich aus § 3 Nr. 6 dieses Vertrags.
Stand: 10.11.2026. Diese Liste ist abschließend. Änderungen werden nach § 5 Abs. 3 mit 30 Tagen Vorlauf angekündigt.
| Unternehmen | Leistung | Ort der Verarbeitung | Grundlage bei Drittlandbezug |
|---|---|---|---|
| Supabase Pte. Ltd. 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513 |
Datenbank, Dateispeicher, Kontoverwaltung und Anmeldung, Versand der Anmelde- und Bestätigungs-E-Mails | Rechenzentrum Frankfurt am Main (Deutschland); Sitz des Anbieters in Singapur | Standardvertragsklauseln (EU) 2021/914; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO. Unterauftragsverarbeiter des Anbieters: supabase.com/legal/…/subprocessor-list |
| Cloudflare, Inc. 101 Townsend St., San Francisco, CA 94107, USA |
Auslieferung von Website und Anwendung, Namensauflösung, Schnittstellen-Funktionen (Worker), Empfang der E-Mails an …@inbox.zetaro.de | weltweites Netz, Verarbeitung am jeweils nächstgelegenen Standort — bei Zugriffen aus Deutschland regelmäßig innerhalb der EU (§ 7 Abs. 2) | Standardvertragsklauseln (EU) 2021/914; Zertifizierung nach dem EU-US Data Privacy Framework; Data Processing Addendum |
| Brevo GmbH (vormals Sendinblue GmbH) Köpenicker Str. 126, 10179 Berlin Konzernmutter: Brevo SAS, 7 Rue de Madrid, 75008 Paris, Frankreich |
Versand der E-Mails an Mieterinnen, Mieter, Betriebe sowie Kundinnen und Kunden, die der Auftraggeber aus der Anwendung heraus auslöst, einschließlich ausgestellter Rechnungen im Anhang; Versand der Erinnerungen an Fristen an den Auftraggeber selbst | Europäische Union | kein Drittlandtransfer; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO |