Auftragsverarbeitungsvertrag (AVV)

Vertragsparteien

Verantwortlicher (nachfolgend „Kunde“) ist die natürliche oder juristische Person, die das Neko-Konto führt, mit den im Konto hinterlegten Angaben.

Auftragsverarbeiter (nachfolgend „Anbieter“) ist die KOMMERS GmbH, Benno-Strauß-Straße 5, 90763 Fürth, vertreten durch den Geschäftsführer Nicolas Bettag, erreichbar unter datenschutz@kommers.io.

Zustandekommen und Fassung

Der Vertrag kommt zustande, indem der Kunde diese Fassung im Konto bestätigt. Der Anbieter speichert dazu Dokument, Fassung, Zeitpunkt sowie IP-Adresse und User-Agent der Bestätigung als Nachweis (Art. 5 Abs. 2 DSGVO). Maßgeblich ist stets die Fassung, die dem Kunden bei der Bestätigung angezeigt wurde; die vorliegende trägt die Kennung 2026-07-01. Ändert der Anbieter den Vertrag inhaltlich, legt er die neue Fassung erneut zur Bestätigung vor.

§ 1 Gegenstand, Dauer und Beendigung (Art. 28 Abs. 3 S. 1 DSGVO)

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Anbieter im Rahmen der Bereitstellung der Software Neko zur Erstellung und Prüfung von Nebenkostenabrechnungen. Die Einzelheiten der Leistung ergeben sich aus dem Hauptvertrag (AGB) und dem gebuchten Tarif.
2. Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Der Vertrag endet automatisch mit dessen Beendigung; die Pflichten aus § 8 (Löschung und Rückgabe) und § 4 (Vertraulichkeit) bestehen darüber hinaus fort.
3. Der Kunde kann diesen Vertrag jederzeit außerordentlich kündigen, wenn der Anbieter gegen wesentliche Pflichten aus diesem Vertrag oder gegen die DSGVO verstößt und den Verstoß nicht innerhalb einer angemessenen Frist abstellt. Die Kündigung dieses Vertrags ohne gleichzeitige Kündigung des Hauptvertrags ist nicht möglich, weil die Leistung ohne Verarbeitung nicht erbracht werden kann.

§ 2 Art, Zweck und Umfang der Verarbeitung (Art. 28 Abs. 3 S. 2 DSGVO)

2.1 Art der Verarbeitung

Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an Subprozessoren, Einschränken, Löschen und Vernichten — jeweils in automatisierter Form.

2.2 Zweck der Verarbeitung

• Verwaltung von Objekten, Wohneinheiten und Mietverhältnissen des Kunden
• Auslesen abrechnungsrelevanter Angaben aus hochgeladenen Belegen mittels Sprachmodell
• Berechnung der Betriebs- und Heizkostenverteilung nach BetrKV und HeizkostenV
• Erzeugung, Versionierung und Aufbewahrung der Abrechnungsdokumente
• Bereitstellung der Ergebnisse an den Kunden zur eigenen Verwendung

2.3 Kategorien betroffener Personen (Anlage 3)

• Mieterinnen und Mieter des Kunden, einschließlich ausgezogener Mietparteien
• weitere in Belegen genannte Personen, etwa Ansprechpartner von Dienstleistern
• Beschäftigte und Beauftragte des Kunden, soweit sie das Konto nutzen

2.4 Kategorien personenbezogener Daten (Anlage 3)

• Stammdaten: Vor- und Nachname, zugeordnete Wohneinheit, Objektanschrift
• Kontaktdaten: E-Mail-Adresse, Telefonnummer (jeweils optional)
• Vertragsdaten: Mietbeginn und -ende, Umlagevereinbarungen, vereinbarte Vorauszahlungen
• Abrechnungsdaten: Kostenanteile, geleistete Vorauszahlungen, Saldo, Nachzahlung oder Guthaben, Zustellvermerke
• Verbrauchsdaten: Heizung, Warmwasser, Wasser, gegebenenfalls Zähler- und Gerätenummern — auch soweit sie aus Belegen ausgelesen werden
• Inhalte hochgeladener Dokumente in ihrer Gesamtheit

§ 3 Weisungsbindung (Art. 28 Abs. 3 lit. a DSGVO)

1. Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden. Das gilt auch für die Übermittlung in ein Drittland, sofern nicht das Unions- oder mitgliedstaatliche Recht den Anbieter dazu verpflichtet; in diesem Fall teilt der Anbieter dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Als dokumentierte Weisung gelten dieser Vertrag, der Hauptvertrag sowie die Nutzung der bereitgestellten Funktionen durch den Kunden. Einzelweisungen außerhalb der Funktionen erfolgen in Textform an datenschutz@kommers.io. Der Anbieter dokumentiert Einzelweisungen und deren Ausführung.
3. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit und darf ihre Ausführung bis zur Bestätigung oder Änderung aussetzen (Art. 28 Abs. 3 S. 3 DSGVO).
4. Der Anbieter verwendet die Daten nicht für eigene Zwecke. Insbesondere werden Inhalte des Kunden nicht zum Training von Modellen verwendet; gegenüber dem Ausweichanbieter der Belegauslesung wird der Ausschluss technisch erzwungen (§ 6 Abs. 5).

§ 4 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

1. Der Anbieter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.
2. Die eingesetzten Personen sind auf die Vorgaben der DSGVO verpflichtet und werden über die besonderen Anforderungen der Verarbeitung von Mieterdaten unterrichtet. Nachweise hierüber werden vorgehalten (Art. 29, Art. 32 Abs. 4 DSGVO).
3. Der Zugriff auf Kundendaten ist auf das für Betrieb, Fehlerbehebung und Support erforderliche Maß beschränkt und wird protokolliert.

§ 5 Technische und organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Der jeweils aktuelle Stand ist als Anlage 2 dokumentiert und wird auf Anfrage in Textform herausgegeben. Wesentliche Maßnahmen zum Zeitpunkt dieser Fassung:

• Verschlüsselung: Transportverschlüsselung (TLS) für sämtliche Verbindungen einschließlich Datenbank und Objektspeicher; erzwungene HTTPS-Nutzung (HSTS). Passwörter werden ausschließlich als bcrypt-Hash gespeichert.
• Zugangskontrolle: Anmeldung mit Konto und Passwort, Bestätigung der E-Mail-Adresse vor der ersten Nutzung, Sperre nach fünf Fehlversuchen, Sitzungsdauer acht Stunden, sofortige Entwertung aller Sitzungen bei Passwortänderung.
• Zugriffskontrolle und Mandantentrennung: Jeder Datenzugriff läuft über eine zentrale Berechtigungsschicht, die die Zugehörigkeit zum Konto erzwingt; fremde Datensätze werden als „nicht gefunden“ behandelt, sodass keine Rückschlüsse auf ihre Existenz möglich sind.
• Speicherkontrolle: Dokumente liegen in einem privaten Objektspeicher und werden nur über eine authentifizierte Route ausgeliefert, stets als Download, ohne Zwischenspeicherung im Browser-Cache.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge (Löschungen, Freigaben, Aufbewahrungsläufe) mit handelnder Person, Zeitpunkt und betroffenem Datensatz.
• Inhaltsprüfung von Uploads: Bestimmung des Dateityps anhand der tatsächlichen Dateisignatur statt der Angabe des Browsers, Ablehnung von PDF-Dateien mit aktiven Inhalten, Neukodierung von Bildern zur Entfernung eingebetteter Metadaten, Größenbegrenzung.
• Trennung: Getrennte Umgebungen für Entwicklung, Vorschau und Produktion; in der Entwicklung werden keine Produktivdaten verwendet.
• Überprüfung: Automatisierte Prüfungen im Auslieferungsprozess stellen sicher, dass keine Schnittstelle ohne Authentifizierung und ohne Berechtigungsprüfung ausgeliefert wird.

Der Anbieter darf die Maßnahmen fortentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverhältnisse (Art. 28 Abs. 2 und Abs. 3 lit. d DSGVO)

1. Der Kunde erteilt dem Anbieter die allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter nach Art. 28 Abs. 2 S. 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subprozessoren sind in Anlage 1 abschließend aufgeführt und jederzeit unter neko.immo/subprozessoren abrufbar.
2. Beabsichtigte Änderungen — Hinzunahme oder Austausch eines Subprozessors — teilt der Anbieter dem Kunden mindestens 30 Tage im Voraus in Textform an die im Konto hinterlegte E-Mail-Adresse mit.
3. Der Kunde kann einer Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Widerspricht er, kann der Anbieter den Vertrag zum geplanten Wirksamwerden der Änderung ordentlich kündigen; bereits im Voraus gezahlte Entgelte werden anteilig erstattet.
4. Der Anbieter verpflichtet jeden Subprozessor vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und haftet gegenüber dem Kunden für dessen Verhalten wie für eigenes (Art. 28 Abs. 4 DSGVO).
5. Besonderheit KI-Auslesung: Zur Auslesung wird das vollständige Dokument an das eingesetzte Sprachmodell übergeben. Primär geschieht dies auf dem in Anlage 1 genannten Inferenz-Server. Nur bei dessen Ausfall und nur bei aktiviertem Ausweichbetrieb wird ein Drittanbieter über ein Gateway einbezogen; für diesen Weg werden Zero Data Retention und der Ausschluss der Verwendung zu Trainingszwecken technisch erzwungen. Steht kein Anbieter zur Verfügung, der beides zusichert, bricht die Verarbeitung ab. Zu jedem Dokument wird protokolliert, welches Modell es verarbeitet hat.
6. Nicht als Unterauftragsverhältnis gelten Nebenleistungen, die der Anbieter bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf Kundendaten erhalten (etwa Telekommunikation oder Reinigung).

§ 7 Unterstützungspflichten (Art. 28 Abs. 3 lit. e und f DSGVO)

1. Betroffenenrechte. Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 15 bis 22 DSGVO zu erfüllen. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser den Antrag unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst.
2. Verletzung des Schutzes personenbezogener Daten. Der Anbieter meldet dem Kunden jede ihm bekannt gewordene Verletzung unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform. Die Meldung enthält Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Die Frist ist so bemessen, dass der Kunde seine eigene 72-Stunden-Frist nach Art. 33 Abs. 1 DSGVO einhalten kann.
3. Datenschutz-Folgenabschätzung. Der Anbieter unterstützt den Kunden bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und bei vorherigen Konsultationen nach Art. 36 DSGVO, indem er die dafür erforderlichen Informationen bereitstellt.
4. Sicherheit. Der Anbieter unterstützt den Kunden bei der Einhaltung der Pflichten aus Art. 32 DSGVO, insbesondere durch die Dokumentation nach § 5.
5. Für Unterstützungsleistungen, die über das gesetzlich Geschuldete hinausgehen und einen erheblichen Aufwand verursachen, kann der Anbieter eine angemessene Vergütung verlangen. Er weist auf die Entgeltpflicht vor Beginn der Tätigkeit hin.

§ 8 Löschung und Rückgabe (Art. 28 Abs. 3 lit. g DSGVO)

1. Nach Beendigung der Verarbeitung löscht der Anbieter alle personenbezogenen Daten oder gibt sie nach Wahl des Kunden zurück. Der Kunde teilt seine Wahl spätestens bis zum Ende des Vertrags mit; trifft er keine Wahl, wird gelöscht.
2. Für die Rückgabe stellt der Anbieter die Daten in einem gängigen, maschinenlesbaren Format bereit. Der Kunde hat dafür ab Vertragsende 30 Tage Zeit; danach werden die Daten gelöscht.
3. Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht (insbesondere § 147 AO, § 257 HGB). Sie werden für die Dauer der Pflicht gesperrt und ausschließlich zu deren Erfüllung verarbeitet.
4. Während der Vertragslaufzeit löscht der Anbieter hochgeladene Dokumente nach Ablauf der im gebuchten Tarif vereinbarten Aufbewahrungsfrist automatisiert; die Fristen nennt die Datenschutzerklärung. Die Löschung wird protokolliert.
5. Die Löschung erstreckt sich auf Sicherungskopien nach deren regulärem Umlauf, spätestens ⟨ausfüllen: Aufbewahrungsdauer der Backups eintragen (P9-01)⟩.

§ 9 Nachweise und Überprüfung (Art. 28 Abs. 3 lit. h DSGVO)

1. Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Dazu gehören die Maßnahmendokumentation nach § 5, das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, die Subprozessorenliste und die von Subprozessoren vorgelegten Nachweise.
2. Der Kunde ist berechtigt, die Einhaltung zu überprüfen. Die Überprüfung erfolgt vorrangig durch Einsichtnahme in die vorgenannten Unterlagen und die Beantwortung von Fragebögen.
3. Eine Überprüfung vor Ort ist nach vorheriger Ankündigung mit einer Frist von vier Wochen zu den üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig, höchstens einmal jährlich sowie anlassbezogen bei einem konkreten Verdacht. Der Kunde trägt die ihm entstehenden Kosten; der Aufwand des Anbieters wird bei mehr als einer Überprüfung im Jahr nach Aufwand vergütet.
4. Prüfende Personen dürfen keine Wettbewerber des Anbieters sein und sind zur Verschwiegenheit zu verpflichten. Betriebs- und Geschäftsgeheimnisse sowie Daten anderer Kunden dürfen nicht offengelegt werden.

§ 10 Verarbeitung außerhalb der Europäischen Union

1. Die Verarbeitung findet in der Europäischen Union statt. Ein Drittlandbezug besteht gleichwohl, weil Anbieter der Plattform ein Unternehmen mit Sitz in den USA ist und ein Zugriff aus den USA nicht ausgeschlossen werden kann.
2. Soweit Daten in ein Drittland übermittelt werden oder ein Zugriff von dort möglich ist, stützt sich dies auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um zusätzliche Maßnahmen, sowie — soweit einschlägig — auf einen Angemessenheitsbeschluss.
3. Die Risikoabwägung zur Übermittlung in die USA (Transfer Impact Assessment) hält der Anbieter schriftlich vor und stellt sie dem Kunden auf Anfrage zur Verfügung.

§ 11 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit sie zwingendem Recht nicht widersprechen.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.
3. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Abbedingung dieses Formerfordernisses.
4. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Anlagen

• Anlage 1 — Subprozessoren: neko.immo/subprozessoren, jeweils in der zum Zeitpunkt der Verarbeitung geltenden Fassung.
• Anlage 2 — Technische und organisatorische Maßnahmen: Zusammenfassung in § 5; vollständige Fassung auf Anfrage in Textform.
• Anlage 3 — Datenkategorien und betroffene Personen: § 2 Abs. 3 und 4.