Vertrag über die Verarbeitung personenbezogener Daten im Auftrag

nach Art. 28 DSGVO · Fassung 1.1 · gültig ab 12.09.2026

Was sich gegenüber Fassung 1.0 (04.08.2026) geändert hat: Anlage 1 nennt jetzt auch die Verarbeitungen, die seitdem dazugekommen sind (Mietkonto, Kautionsabrechnung, Übergabeprotokoll, Zahlungserinnerung, Steuerauswertung). Anlage 2 führt die seitdem umgesetzten Schutzmaßnahmen auf. Anlage 3 ist unverändert — es ist kein Unterauftragsverarbeiter hinzugekommen. Der Vertragstext selbst (§§ 1–10) ist bis auf diesen Hinweis unverändert.

Zwischen den Parteien

Verantwortlicher (nachfolgend „Auftraggeber")

Auftragsverarbeiter (nachfolgend „Auftragnehmer" oder „Zetaro")

Der Auftragnehmer ist ein Einzelunternehmen ohne Beschäftigte. Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht zu benennen; für alle datenschutzrechtlichen Anliegen ist der Inhaber unter der oben genannten Adresse unmittelbar erreichbar.

§ 1 Gegenstand, Zustandekommen und Dauer

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus dem zwischen ihnen bestehenden Nutzungsvertrag über die Software-as-a-Service-Anwendung Zetaro (nachfolgend „Hauptvertrag", siehe AGB) ergeben. Er gilt für alle personenbezogenen Daten, die der Auftragnehmer im Rahmen der Erbringung dieser Leistungen im Auftrag des Auftraggebers verarbeitet.

(2) Gegenstand, Art, Zweck und Dauer der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(3) Der Vertrag kommt in elektronischer Form zustande, indem der Auftraggeber ihm in der Zetaro-Anwendung ausdrücklich zustimmt. Die zugestimmte Fassung und der Zeitpunkt der Zustimmung werden im Nutzerkonto gespeichert und sind dort jederzeit einsehbar. Damit ist der Formanforderung des Art. 28 Abs. 9 DSGVO („in elektronischem Format") genügt.

(4) Der Vertrag läuft, solange der Hauptvertrag besteht. Er endet automatisch mit dessen Beendigung, unabhängig davon, aus welchem Grund. Die Pflichten aus § 9 (Löschung und Rückgabe) bestehen darüber hinaus fort.

(5) Der Auftraggeber kann diesen Vertrag jederzeit gesondert kündigen, wenn er die betroffenen Funktionen nicht mehr nutzen will. Eine solche Kündigung berührt den Hauptvertrag nicht; sie führt jedoch dazu, dass Mieterkanal, Handwerker-Rückkanal und der Versand an Dritte nicht mehr genutzt werden können.

§ 2 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die bestimmungsgemäße Nutzung der Anwendung ist die Weisung. Indem der Auftraggeber die Funktionen von Zetaro entsprechend ihrer Beschreibung verwendet — etwa ein Objekt anlegt, den Mieterkanal freischaltet, eine Handwerker-Anfrage versendet oder einen Beleg ablegt —, erteilt er dem Auftragnehmer die Weisung, die damit verbundenen Verarbeitungen durchzuführen. Einer gesonderten Erklärung bedarf es dafür nicht.

(3) Darüber hinausgehende Einzelweisungen erteilt der Auftraggeber in Textform (E-Mail genügt) an kontakt@zetaro.de. Mündlich erteilte Weisungen bestätigt der Auftraggeber unverzüglich in Textform.

(4) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit. Er ist berechtigt, die Ausführung auszusetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

(5) Der Auftragnehmer verwendet die im Auftrag verarbeiteten Daten nicht für eigene Zwecke. Insbesondere findet keine Auswertung zu Werbezwecken, keine Profilbildung und kein Training von Modellen künstlicher Intelligenz mit diesen Daten statt, und die Daten werden nicht an Dritte verkauft oder überlassen.

§ 3 Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

1. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO): Personen, die zur Verarbeitung befugt sind, zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit hat ausschließlich der Inhaber Zugang; bei Hinzuziehung weiterer Personen erfolgt die Verpflichtung vor der ersten Tätigkeit und wird dokumentiert.
2. Sicherheit der Verarbeitung (Art. 32 DSGVO): die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen zu treffen, aufrechtzuerhalten und fortlaufend an den Stand der Technik anzupassen. Eine Änderung ist zulässig, solange das vereinbarte Schutzniveau nicht unterschritten wird.
3. Unterauftragsverarbeiter: die Bedingungen aus § 5 einzuhalten.
4. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e DSGVO): den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei zu unterstützen, Anträgen betroffener Personen nachzukommen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Die Anwendung stellt dafür Export-, Papierkorb- und Löschfunktionen bereit. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.
5. Unterstützung bei weiteren Pflichten (Art. 28 Abs. 3 lit. f DSGVO): den Auftraggeber bei der Einhaltung der Art. 32 bis 36 DSGVO zu unterstützen, insbesondere bei der Meldung von Datenschutzverletzungen und bei einer etwaigen Datenschutz-Folgenabschätzung, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.
6. Meldung von Verletzungen des Schutzes personenbezogener Daten: den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung zu unterrichten, die im Verantwortungsbereich des Auftragnehmers eingetreten ist. Die Meldung erfolgt an die im Konto hinterlegte E-Mail-Adresse und enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Gegenmaßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO obliegt dem Auftraggeber.
7. Berichtigung, Löschung, Einschränkung: personenbezogene Daten nur auf Weisung des Auftraggebers zu berichtigen, zu löschen oder in ihrer Verarbeitung einzuschränken. Soweit die Anwendung dem Auftraggeber entsprechende Funktionen bereitstellt, führt deren Nutzung die Weisung unmittelbar aus.
8. Nachweise: dem Auftraggeber alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (§ 6).
9. Verzeichnis: ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu führen.

§ 4 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich (Art. 24 DSGVO). Das betrifft insbesondere die Rechtsgrundlage für die Erhebung von Mieter- und Betriebsdaten sowie die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO gegenüber diesen Personen.

(2) Der Auftraggeber übermittelt keine Daten in die Anwendung, für deren Verarbeitung ihm die Rechtsgrundlage fehlt. Er stellt insbesondere sicher, dass er Mieterinnen und Mieter sowie beauftragte Betriebe darüber informiert, dass ihre Angaben über eine externe Software verarbeitet werden.

(3) Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (etwa Gesundheitsdaten, religiöse oder weltanschauliche Überzeugungen) sind nicht Gegenstand dieses Auftrags. Der Auftraggeber lädt solche Daten nicht in die Anwendung hoch. Geschieht es dennoch — etwa weil ein Mieteranliegen unaufgefordert eine Gesundheitsangabe enthält —, verarbeitet der Auftragnehmer sie mit demselben Schutzniveau wie alle übrigen Daten, übernimmt aber keine darüber hinausgehenden besonderen Schutzmaßnahmen.

(4) Der Auftraggeber hält seine im Konto hinterlegte E-Mail-Adresse aktuell. Über diese Adresse erfolgen alle Mitteilungen nach diesem Vertrag, insbesondere Meldungen nach § 3 Nr. 6 und Ankündigungen nach § 5 Abs. 3.

(5) Der Auftraggeber ist für die Zugangssicherheit seines Kontos verantwortlich, insbesondere für die Wahl eines starken Passworts und dessen Geheimhaltung.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung (Art. 28 Abs. 2 Satz 2 DSGVO), zur Erbringung der Leistungen weitere Auftragsverarbeiter hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 abschließend aufgeführt und werden hiermit ausdrücklich genehmigt.

(2) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag im Wesentlichen entsprechen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Verhalten wie für eigenes.

(3) Änderungen kündigt der Auftragnehmer an. Beabsichtigt er, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden auszutauschen, teilt er dies dem Auftraggeber mindestens 30 Tage vorher per E-Mail an die im Konto hinterlegte Adresse mit. Die jeweils aktuelle Liste ist zudem stets unter zetaro.de/avv#anlage3 abrufbar.

(4) Der Auftraggeber kann der Änderung innerhalb der 30-Tage-Frist aus einem datenschutzrechtlichen Grund widersprechen. Der Widerspruch erfolgt in Textform an kontakt@zetaro.de. Lässt sich die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht in gleicher Weise erbringen, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von 14 Tagen zum Ende des laufenden Abrechnungszeitraums zu kündigen; bereits im Voraus gezahlte Entgelte werden anteilig erstattet.

(5) Nicht als Unterauftragsverarbeitung im Sinne dieser Vorschrift gelten Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, ohne dass dabei Daten des Auftraggebers verarbeitet werden (z. B. Telekommunikations- und Wartungsleistungen). Ebenfalls nicht erfasst ist die Zahlungsabwicklung über Stripe: Sie betrifft ausschließlich die eigenen Vertragsdaten des Auftraggebers, für die der Auftragnehmer selbst Verantwortlicher ist — nicht die diesem Vertrag unterliegenden Daten Dritter. Näheres dazu in der Datenschutzerklärung.

§ 6 Nachweise und Kontrollrechte

(1) Der Auftragnehmer weist die Einhaltung der vereinbarten Pflichten in geeigneter Weise nach. Als Nachweis kommen insbesondere in Betracht: die jeweils aktuelle Fassung der Anlage 2, eine schriftliche Selbstauskunft sowie vorhandene Zertifikate oder Prüfberichte der Unterauftragsverarbeiter.

(2) Der Auftraggeber kann darüber hinaus Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen (Art. 28 Abs. 3 lit. h DSGVO). Vor-Ort-Kontrollen sind während der üblichen Geschäftszeiten, nach Anmeldung mit einer Frist von mindestens 14 Tagen und ohne Störung des Betriebsablaufs zulässig; sie beschränken sich auf den Verantwortungsbereich des Auftragnehmers.

(3) Da der Auftragnehmer keine eigene Rechenzentrumsinfrastruktur betreibt, beziehen sich Kontrollen bei den Unterauftragsverarbeitern auf deren jeweils veröffentlichte Prüfberichte und Zertifizierungen; ein unmittelbarer Zutritt zu deren Anlagen kann nicht verschafft werden.

(4) Für Kontrollen, die über eine Selbstauskunft hinausgehen und nicht durch einen konkreten Anlass gerechtfertigt sind, kann der Auftragnehmer einen angemessenen Aufwandsersatz verlangen. Bei begründetem Verdacht auf einen Datenschutzverstoß erfolgt die Kontrolle unentgeltlich.

§ 7 Ort der Verarbeitung, Drittlandtransfer

(1) Die dauerhafte Speicherung aller im Auftrag verarbeiteten Daten — Datenbank und Dateispeicher — erfolgt ausschließlich in einem Rechenzentrum in Frankfurt am Main, Deutschland.

(2) Bei der Auslieferung und beim Aufruf der Schnittstellen werden Daten kurzzeitig auf Servern des Unterauftragsverarbeiters Cloudflare verarbeitet. Cloudflare betreibt ein weltweites Netz und verarbeitet Anfragen am jeweils nächstgelegenen Standort. Da sich die Nutzung an Vermieterinnen und Vermieter in Deutschland richtet, geschieht dies regelmäßig innerhalb der EU; eine Verarbeitung außerhalb der EU ist bei Zugriffen aus dem Ausland technisch jedoch nicht ausgeschlossen. Eine geografische Beschränkung des Cloudflare-Netzes auf die EU ist derzeit nicht gebucht.

(3) Soweit ein Unterauftragsverarbeiter seinen Sitz in einem Drittland hat oder eine Verarbeitung in einem Drittland stattfinden kann, ist ein angemessenes Schutzniveau sichergestellt: durch einen Angemessenheitsbeschluss der Europäischen Kommission, durch die Standardvertragsklauseln der Kommission (Durchführungsbeschluss (EU) 2021/914) oder durch eine Zertifizierung nach dem EU-US Data Privacy Framework. Die je Unterauftragsverarbeiter einschlägige Grundlage ist in Anlage 3 angegeben.

§ 8 Rückgabe und Löschung nach Beendigung

(1) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie zurück; der Auftraggeber wählt zwischen beidem. Trifft er innerhalb von 30 Tagen nach Beendigung keine Wahl, wird gelöscht.

(2) Für die Rückgabe stellt die Anwendung eine Exportfunktion bereit, mit der der Auftraggeber seine Daten und Dokumente in gängigen Formaten selbst herunterladen kann. Der Auftraggeber ist gehalten, den Export vor Beendigung durchzuführen.

(3) Die Löschung erfolgt spätestens 30 Tage nach Beendigung des Hauptvertrags und umfasst Datenbankeinträge, abgelegte Dateien und das Protokoll. Sicherungskopien der Unterauftragsverarbeiter, die aus technischen Gründen noch eine begrenzte Zeit vorgehalten werden, werden nach dem jeweiligen Sicherungszyklus überschrieben; ein gezielter Eingriff in Sicherungskopien ist nicht möglich und wird nicht geschuldet.

(4) Ausnahme: gesetzliche Aufbewahrungspflichten. Soweit der Auftragnehmer nach Unionsrecht oder deutschem Recht zur Aufbewahrung verpflichtet ist, bleibt die Speicherung insoweit bestehen; die Daten werden in ihrer Verarbeitung eingeschränkt und ausschließlich zu diesem Zweck vorgehalten (Art. 28 Abs. 3 lit. g DSGVO letzter Halbsatz). Das betrifft im Regelfall nicht die diesem Vertrag unterliegenden Daten Dritter, sondern die eigenen Abrechnungsdaten des Auftraggebers.

(5) Aufbewahrungspflichten des Auftraggebers gehen der Löschung nicht vor. Belege, die der Auftraggeber selbst nach § 147 AO oder § 257 HGB aufbewahren muss, bleiben seine Aufgabe; er hat sie vor Beendigung zu exportieren. Der Auftragnehmer schuldet keine Aufbewahrung über das Vertragsende hinaus. Näheres regelt das Löschkonzept.

§ 9 Haftung

(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags, soweit dieser Vertrag nichts anderes bestimmt.

(2) Im Außenverhältnis gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis tragen die Parteien den Schaden entsprechend ihrem Anteil an der Verantwortung für den Umstand, durch den der Schaden eingetreten ist.

§ 10 Schlussbestimmungen

(1) Rangfolge. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

(2) Änderungen. Änderungen dieses Vertrags bedürfen der Textform. Eine neue Fassung wird auf dieser Seite veröffentlicht und dem Auftraggeber in der Anwendung zur Zustimmung vorgelegt; bis zur Zustimmung gilt die bisherige Fassung fort. Änderungen, die zwingend erforderlich sind, um geänderten gesetzlichen Anforderungen oder Vorgaben einer Aufsichtsbehörde zu genügen, kann der Auftragnehmer mit einer Ankündigungsfrist von 30 Tagen umsetzen; widerspricht der Auftraggeber, kann jede Partei den Hauptvertrag zum Ende des laufenden Abrechnungszeitraums kündigen.

(3) Salvatorische Klausel. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

(4) Recht und Gerichtsstand. Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist Gerichtsstand der Sitz des Auftragnehmers.