Auftragsverarbeitungsvertrag (AV-Vertrag)

Stand: Mai 2026 · Auftragsverarbeitung gemäß Art. 28 UK GDPR + DPA 2018

Soweit Sie als Kunde Rentprime nutzen, um Nebenkostenabrechnungen für Ihre Mieter zu erstellen, verarbeiten Sie als Verantwortlicher im Sinne der UK GDPR + DPA 2018 personenbezogene Daten Dritter (Mieterdaten) und nutzen Rentprime hierfür als Auftragsverarbeiter. Diese Konstellation erfordert nach Art. 28 UK GDPR + DPA 2018 einen schriftlichen Auftragsverarbeitungsvertrag (AVV).

Vertragsparteien

Verantwortlicher: Der Kunde (Sie als Nutzer von Rentprime)
Auftragsverarbeiter: KRUPKA Concept GmbH, Monheim am Rhein

Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten der Mieter des Verantwortlichen ausschließlich im Rahmen der Bereitstellung der Software-Dienstleistungen gemäß dem zwischen den Parteien geschlossenen Nutzungsvertrag. Die Verarbeitung erfolgt für die Dauer des Nutzungsverhältnisses.

Art und Zweck der Verarbeitung

Erfassung, Speicherung, Verarbeitung und Bereitstellung von Mieterdaten zum Zwecke der Erstellung von Nebenkostenabrechnungen, Mietverträgen, Mahnungen, Kommunikations-Dokumentation und sonstigen vertraglich vereinbarten Leistungen.

Kategorien betroffener Personen

• Mieter des Verantwortlichen
• Bevollmächtigte und Familienmitglieder
• Kontaktpersonen (Hausmeister, Handwerker etc.)

Kategorien personenbezogener Daten

• Stammdaten (Name, Anschrift, Geburtsdatum, Familienstand)
• Kontaktdaten (Telefon, E-Mail)
• Vertragsdaten (Mietzins, Vertragsbeginn/-ende)
• Bankverbindungsdaten (IBAN für SEPA-Lastschrift)
• Verbrauchsdaten (Heizung, Wasser, Strom)
• Kommunikationsdaten (E-Mails, Anrufnotizen)

Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft folgende technische und organisatorische Maßnahmen zur Sicherheit der Datenverarbeitung gemäß Art. 32 UK GDPR + DPA 2018:

• Pseudonymisierung und Verschlüsselung personenbezogener Daten (AES-256, TLS 1.3)
• Zugangskontrolle durch starke Passwörter, optional 2FA
• Hosting in nach ISO 27001 zertifiziertem Rechenzentrum in Frankfurt am Main
• Tägliche, verschlüsselte Datensicherungen mit 30-Tage-Aufbewahrung
• Wiederherstellbarkeit personenbezogener Daten bei physischen oder technischen Zwischenfällen (Art. 32 Abs. 1 lit. c UK GDPR + DPA 2018)
• Regelmäßige Überprüfung der Wirksamkeit der TOM (Art. 32 Abs. 1 lit. d UK GDPR + DPA 2018)
• Verpflichtung der Beschäftigten auf das Datengeheimnis
• Protokollierung sicherheitsrelevanter Ereignisse

Unterauftragsverarbeiter

Der Auftragsverarbeiter ist berechtigt, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Der Verantwortliche erteilt hierzu seine allgemeine Genehmigung. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern vorab und räumt ihm ein Widerspruchsrecht ein. Eine vollständige aktuelle Liste wird auf Anfrage zur Verfügung gestellt. Aktuell eingesetzte Unterauftragsverarbeiter:

Transfer-Impact-Assessments (TIA) für Drittland-Auftragsverarbeiter (Anthropic, Google, Stripe) nach EDSA-Empfehlung 01/2020 werden auf Anfrage übermittelt.

• Hosting-/Datenbank-Anbieter (verschlüsselte Server in der EU, Frankfurt am Main, ISO-27001-zertifizierter Hoster)
• Stripe Payments Europe Ltd., Dublin, Irland (Zahlungsabwicklung)
• Resend / ActiveCampaign (transaktionaler E-Mail-Versand, EU)
• Twilio (SMS-/WhatsApp-Versand — nur bei aktivierter Mieterkommunikation)
• Anthropic PBC, USA (KI-Funktionen Lou-Chat/Vertrags-Check — DPF + SCC)
• Google, USA (Beleg-/OCR-Erkennung — DPF + SCC)
• finAPI / Klarna Kosma (Bank-Sync nach PSD2 — nur bei aktivierter Kontoanbindung)

Übermittlung an Anthropic bzw. Google erfolgt in die USA; diese Drittlandübermittlung ist über das EU-US Data Privacy Framework sowie EU-Standardvertragsklauseln (Art. 46 UK GDPR + DPA 2018) und ergänzende Maßnahmen (Verschlüsselung, PII-Minimierung, vertraglich zugesicherte Zero-Retention/kein Training) abgesichert.

Rechte und Pflichten

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Er unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten gemäß Art. 32–36 UK GDPR + DPA 2018 sowie bei der Beantwortung von Anträgen betroffener Personen — einschließlich der Mieter des Verantwortlichen — auf Wahrnehmung ihrer Rechte (Art. 12–22 UK GDPR + DPA 2018).

Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, um diesem die fristgerechte Meldung nach Art. 33 UK GDPR + DPA 2018 (binnen 72 Stunden) zu ermöglichen, und unterstützt ihn bei der Benachrichtigung betroffener Personen nach Art. 34 UK GDPR + DPA 2018.

Kontroll- und Auditrechte (Art. 28 Abs. 3 lit. h UK GDPR + DPA 2018): Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 UK GDPR + DPA 2018 zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

Löschung und Rückgabe (Art. 28 Abs. 3 lit. g UK GDPR + DPA 2018): Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Abschluss des AV-Vertrags

Die vollständige, unterzeichnete Fassung des Auftragsverarbeitungsvertrags wird Ihnen auf formlose Anfrage per E-Mail an contact@rentprime.de innerhalb von 24 Stunden während Werktagen zugesandt. Der Vertrag wird in elektronischer Form (DocuSign oder qualifizierte elektronische Signatur) abgeschlossen.