Auftrags

Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (AVV)

Fassung 1.0 vom 02.11.2026

§ 1 Vertragsparteien und Vertragsschluss

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) bei der Nutzung von Klarposten.

1. Verantwortlicher ist die Verwaltung, die Klarposten nutzt (im Folgenden „Kunde“).
2. Auftragsverarbeiter ist Lucas Kickermann, Klarposten, Zehlendorfer Straße 19 A, 14513 Teltow (im Folgenden „Klarposten“).
3. Der Vertrag kommt zustande, indem der Kunde beim Anlegen seiner Verwaltung in der App die Zustimmung zu diesem Vertrag erklärt. Klarposten speichert Datum, Uhrzeit, Fassung und das zustimmende Nutzerkonto als Nachweis. Der Vertrag wird damit in einem elektronischen Format im Sinne von Art. 28 Abs. 9 DSGVO geschlossen.
4. Der Vertrag gilt für die gesamte Dauer der Nutzung von Klarposten, einschließlich einer kostenlosen Testphase oder Pilotphase, und darüber hinaus, solange Klarposten Daten des Kunden verarbeitet.

§ 2 Einbeziehung der Standardvertragsklauseln der EU-Kommission

1. Die Parteien vereinbaren die Standardvertragsklauseln zwischen Verantwortlichen und Auftragsverarbeitern gemäß Art. 28 Abs. 7 DSGVO aus dem Anhang des Durchführungsbeschlusses (EU) 2021/915 der Kommission vom 4. Juni 2021 (im Folgenden „Klauseln“). Die Klauseln werden in der im Amtsblatt der Europäischen Union (ABl. L 199 vom 7.6.2021, S. 18) veröffentlichten deutschen Fassung unverändert und vollständig Bestandteil dieses Vertrags.
2. Die nach den Klauseln auszufüllenden Anhänge I bis IV sind unten in diesem Vertrag enthalten. Verweise der Klauseln auf die Verordnung (EU) 2018/1725 finden keine Anwendung.
3. Es gelten folgende Wahlmöglichkeiten der Klauseln:
   • Klausel 5 (Kopplungsklausel): wird nicht vereinbart.
   • Klausel 7.7 Buchstabe a: Es gilt Option 2, allgemeine schriftliche Genehmigung. Klarposten unterrichtet den Kunden über beabsichtigte Änderungen der Liste der Unterauftragsverarbeiter in Anhang IV mindestens 14 Tage im Voraus. Die Unterrichtung erfolgt per E-Mail an die Adresse des Inhaberkontos der Verwaltung und damit schriftlich im Sinne von Art. 28 Abs. 9 DSGVO.
4. Im Fall eines Widerspruchs zwischen den Klauseln und anderen Bestimmungen dieses Vertrags, den Allgemeinen Geschäftsbedingungen von Klarposten oder sonstigen Vereinbarungen gehen die Klauseln vor (Klausel 4).

§ 3 Ergänzende Regelungen

Die folgenden Regelungen ergänzen die Klauseln. Sie schränken die Klauseln nicht ein und stehen nicht im Widerspruch zu ihnen.

1. Weisungen: Als dokumentierte Weisung des Kunden gelten dieser Vertrag, die Nutzung der Funktionen der App durch den Kunden und seine Nutzer sowie Weisungen in Textform (z. B. E-Mail) des Inhaberkontos.
2. Unterrichtung über Einwände: Erhebt der Kunde gegen einen neuen Unterauftragsverarbeiter innerhalb der Frist aus § 2 Abs. 3 einen begründeten datenschutzrechtlichen Einwand und finden die Parteien keine Lösung, kann der Kunde den Nutzungsvertrag vor dem Einsatz des neuen Unterauftragsverarbeiters ohne Einhaltung einer Frist kündigen.
3. Überprüfungen (Klausel 7.6): Klarposten stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung. Prüfungen vor Ort stimmt der Kunde mit angemessener Vorankündigung ab; sie finden während der üblichen Geschäftszeiten statt und berücksichtigen die Vertraulichkeit der Daten anderer Kunden.
4. Rückgabe und Löschung (Klausel 10 Buchstabe d): Der Kunde kann seine Daten jederzeit selbst über die Exportfunktion der App herunterladen (Rückgabe). Nach Vertragsende kann der Kunde den Export noch 30 Tage lang abrufen; danach löscht Klarposten alle Daten des Kunden. Der Inhaber kann die Verwaltung auch selbst jederzeit vollständig löschen. Aus Datensicherungen der Dienstleister werden gelöschte Daten innerhalb von höchstens 7 weiteren Tagen entfernt. Klarposten bescheinigt dem Kunden die Löschung in Textform. Gesetzliche Aufbewahrungspflichten von Klarposten bleiben unberührt.
5. Technische und organisatorische Maßnahmen: Klarposten darf die Maßnahmen in Anhang III durch gleichwertige oder wirksamere Maßnahmen ersetzen. Das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen teilt Klarposten dem Kunden mit.
6. Kontakt: Ansprechpartner für den Datenschutz bei Klarposten ist Lucas Kickermann, lucas@klarposten.de. Ein Datenschutzbeauftragter ist nach Art. 37 DSGVO und § 38 BDSG nicht zu benennen.
7. Änderungen: Eine neue Fassung dieses Vertrags wird dem Kunden in der App zur Zustimmung vorgelegt. Bis zur Zustimmung gilt die bisher vereinbarte Fassung. Aktualisierungen der Anhänge nach Klausel 2 und Klausel 7.7 bleiben davon unberührt.

Anhang I – Liste der Parteien

Verantwortlicher:

• Name und Anschrift: Name und Anschrift der Verwaltung, wie beim Anlegen in der App angegeben
• Kontaktperson: Inhaber des Kontos der Verwaltung mit Name, Funktion und E-Mail-Adresse, wie in der App angegeben
• Unterschrift und Datum: elektronische Zustimmung beim Anlegen der Verwaltung (siehe § 1 Abs. 3)

Auftragsverarbeiter:

• Name und Anschrift: Lucas Kickermann, Klarposten, Zehlendorfer Straße 19 A, 14513 Teltow, Deutschland
• Kontaktperson: Lucas Kickermann, lucas@klarposten.de
• Unterschrift und Datum: Angebot dieses Vertrags in der vorliegenden Fassung; Annahme durch die elektronische Zustimmung des Kunden

Anhang II – Beschreibung der Verarbeitung

Kategorien betroffener Personen

• Inhaber und Mitarbeiter des Kunden, soweit ihre Daten in den Inhalten der Verwaltung erscheinen (z. B. Team-Ansicht, „erfasst von“, Änderungsprotokoll)
• Personen, die in hochgeladenen Verwalterverträgen genannt sind, z. B. Unterzeichner und Ansprechpartner
• Wohnungseigentümer, Beiräte, Mieter, Dienstleister und sonstige Personen, soweit der Kunde sie in Beschreibungen von Leistungen oder in Vertragsunterlagen nennt

Kategorien personenbezogener Daten

• Nutzerdaten innerhalb der Verwaltung: Name, E-Mail-Adresse, Funktion und Rolle der Nutzer sowie die Zuordnung erfasster Leistungen zu Nutzern
• Inhalte: Namen und Anschriften von Eigentümergemeinschaften, Inhalte von Verwalterverträgen, Leistungskataloge, erfasste Leistungen mit Datum, Beschreibung, Dauer und Betrag, monatliche Aufstellungen
• Änderungsprotokoll: wer wann welche Art von Änderung vorgenommen hat (ohne Inhalte)
• Sobald die Funktion verfügbar ist und genutzt wird: an Klarposten weitergeleitete E-Mails

Anmelde-, Sicherheits- und Rechnungsdaten (z. B. Passwort-Hashwerte, Anmeldezeitpunkte, IP-Adressen) verarbeitet Klarposten in eigener Verantwortung; siehe die Datenschutzhinweise der App.

Sensible Daten: Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) und von Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) ist nicht vorgesehen. Der Kunde gibt solche Daten nicht ein und leitet keine E-Mails mit solchen Daten weiter. Die App weist bei der Erfassung darauf hin, dass Namen von Eigentümern oder Mietern nicht nötig sind. Gelangen solche Daten dennoch versehentlich, etwa mit einer weitergeleiteten E-Mail, zu Klarposten, werden sie nicht gesondert ausgewertet und mit der E-Mail nach spätestens 30 Tagen gelöscht.

Art der Verarbeitung: Speichern, Anzeigen, Ordnen, Berechnen von Beträgen, Erzeugen von PDF- und CSV-Dateien, Versenden von E-Mails an Nutzer (Einladung, Bestätigung, Passwort), Auslesen von Verwalterverträgen und, sobald verfügbar, Auswerten weitergeleiteter E-Mails mit Unterstützung künstlicher Intelligenz (KI), jeweils als Vorschlag zur Bestätigung durch den Nutzer, Export und Löschen.

Zweck der Verarbeitung: Bereitstellung der Software Klarposten zur Erfassung, Dokumentation und Aufstellung von Sonderleistungen und zugehörigem Aufwand je Eigentümergemeinschaft sowie die dafür nötige Fehlerbehebung.

Dauer der Verarbeitung: für die Dauer des Nutzungsvertrags und bis zur Löschung nach § 3 Abs. 4. Protokolleinträge über Änderungen werden nach 24 Monaten gelöscht. An Klarposten weitergeleitete E-Mails werden nach spätestens 30 Tagen gelöscht.

Unterauftragsverarbeiter: Gegenstand, Art und Dauer der Verarbeitung durch Unterauftragsverarbeiter ergeben sich aus Anhang IV.

Anhang III – Technische und organisatorische Maßnahmen

Vertraulichkeit und Zugriffskontrolle

• Strikte Trennung der Daten verschiedener Kunden in der Datenbank durch Zugriffsregeln auf Zeilenebene (Row Level Security) für jede Tabelle mit Kundendaten. Die Trennung wird bei jeder Programmänderung durch automatische Tests geprüft.
• Rollen in der App: Inhaber und Mitarbeiter mit unterschiedlichen Rechten; Mitarbeiter ändern nur selbst erfasste Leistungen.
• Passwörter mit mindestens 12 Zeichen, gespeichert nur als Hashwert. Begrenzung von Anmeldeversuchen und anderen sensiblen Vorgängen.
• Erneute Eingabe des Passworts vor dem Datenexport und vor dem Löschen der Verwaltung.
• Dateien (Verträge, Aufstellungen) liegen in privaten Speicherbereichen und sind nur über persönliche Links abrufbar, die nach 60 Sekunden ablaufen.
• Zwei-Faktor-Anmeldung für alle Verwaltungszugänge von Klarposten bei den eingesetzten Dienstleistern.
• Geheime Zugangsschlüssel nur in geschützten Umgebungsvariablen der Server, nie im Programmcode; automatische Prüfung des Programmcodes auf versehentlich enthaltene Schlüssel.
• Zugriff auf Kundendaten durch Klarposten nur, soweit für Betrieb, Fehlerbehebung oder auf Weisung des Kunden erforderlich.

Verschlüsselung und Übertragung

• Übertragung ausschließlich verschlüsselt über HTTPS (TLS), mit HTTP Strict Transport Security.
• Verschlüsselung der gespeicherten Daten durch die Hosting-Dienstleister.

Integrität

• Prüfung aller Eingaben auf dem Server.
• Beträge werden in der Datenbank berechnet und festgeschrieben; erstellte Aufstellungen werden nicht verändert, Korrekturen erzeugen eine neue Fassung.
• Schutz vor Formeln in exportierten CSV-Dateien.
• Änderungsprotokoll: Es wird festgehalten, wer wann welche Art von Änderung vorgenommen hat, ohne Inhalte. Löschung nach 24 Monaten.
• Ergebnisse der KI-Auslese sind nur Vorschläge; erst die Bestätigung durch einen Nutzer übernimmt sie. Inhalte von Verträgen werden als Daten behandelt, darin enthaltene Anweisungen werden nicht ausgeführt.

Verfügbarkeit und Belastbarkeit

• Betrieb in Rechenzentren der Dienstleister mit redundanter Infrastruktur, überwiegend in Frankfurt am Main, im Übrigen in der EU (siehe Anhang IV). Die Dienstleister weisen ihre Sicherheitsmaßnahmen durch anerkannte Prüfungen nach, z. B. SOC 2 oder ISO 27001.
• Tägliche Datensicherung der Datenbank durch den Datenbank-Dienstleister, Aufbewahrung der Sicherungen 7 Tage.
• Programmänderungen gehen erst nach erfolgreichen automatischen Tests in Betrieb; Änderungen an der Datenbank werden nur über geprüfte Migrationen eingespielt.

Datensparsamkeit, Löschung und Rückgabe

• Keine personenbezogenen Daten in den Protokollen der Anwendung; Protokolle enthalten nur Fehlercodes und technische Kennungen.
• Keine Analyse- oder Werbedienste, kein Tracking von E-Mails.
• Kennungen zur Begrenzung von Anmeldeversuchen (IP-Adresse, E-Mail-Adresse) werden nur als Hashwert (HMAC) gespeichert und nach 2 Tagen gelöscht.
• Datenexport aller Daten der Verwaltung als ZIP-Datei durch den Inhaber; vollständige Löschung der Verwaltung einschließlich aller Dateien und Nutzerkonten.
• Tägliches automatisches Aufräumen nicht mehr benötigter Dateien und abgelaufener Protokolleinträge.
• Bei der KI-Auslese über Amazon Bedrock ist die Protokollierung der Modellaufrufe ausgeschaltet; die Daten werden nicht zum Training von Modellen verwendet.

Organisation und Überprüfung

• Klarposten wird als Einzelunternehmen betrieben; außer Lucas Kickermann hat niemand Zugriff auf Kundendaten. Kommen künftig Beschäftigte hinzu, werden sie vorher zur Vertraulichkeit verpflichtet.
• Arbeitsgeräte von Klarposten: verschlüsselte Festplatte, automatische Bildschirmsperre, aktuelle Sicherheitsupdates; Zugangsdaten nur in einem Passwortmanager.
• Regelmäßige Überprüfung der Maßnahmen anhand einer Sicherheits-Checkliste, insbesondere vor größeren Änderungen der Software.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Kunden unverzüglich nach Bekanntwerden (Klausel 9).

Anhang IV – Liste der Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz der folgenden Unterauftragsverarbeiter. Sie werden jeweils für die Dauer des Nutzungsvertrags eingesetzt.

Für Unterauftragsverarbeiter mit Sitz außerhalb der EU stellt Klarposten nach Klausel 7.8 sicher, dass Übermittlungen in Drittländer nur auf Grundlage von Kapitel V der DSGVO erfolgen, insbesondere eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914, die in die Verträge der Dienstleister einbezogen sind.