Auftragsverarbeitung (AVV)

Vertrag über die Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Version 1.0, Stand: 07.11.2026

zwischen

dem Kunden (Inhaber des Mietova-Kontos, wie bei der Annahme dieses Vertrags im Konto angegeben; bei Einzelunternehmern der Inhaber persönlich)
– nachfolgend „Verantwortlicher“ –

und

Lowdrinks GmbH, Melkerweg 11, 31683 Obernkirchen, Deutschland,
vertreten durch die Geschäftsführer Angelo Zientarski und Sandro Maggio,
Amtsgericht Stadthagen, HRB 202453,
Anbieterin der Software „Mietova“
– nachfolgend „Mietova“ oder „Auftragsverarbeiter“ –

Präambel

Der Verantwortliche nutzt Mietova, eine im Internet bereitgestellte Software für Vermietung, Buchhaltung und Verwaltung (Software as a Service). Dabei verarbeitet Mietova personenbezogene Daten, für die der Verantwortliche verantwortlich ist, zum Beispiel Daten seiner Mietinteressenten, Mieter, Gäste, Geschäftskunden und Mitarbeiter. Dieser Vertrag regelt die Pflichten beider Seiten nach Art. 28 DSGVO. Er ergänzt den Nutzungsvertrag (Allgemeine Geschäftsbedingungen von Mietova, nachfolgend „Hauptvertrag“). Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Bereitstellung, der Betrieb, die Wartung, die Sicherung und der Support der Software Mietova für den Verantwortlichen.
2. Der Vertrag beginnt mit der Annahme im Mietova-Konto und läuft so lange, wie Mietova personenbezogene Daten für den Verantwortlichen verarbeitet, einschließlich der Verarbeitung in Sicherungen. Er endet nicht vor Abschluss der Löschung nach § 10.
3. Das Recht zur außerordentlichen Kündigung bei schwerem Verstoß gegen diesen Vertrag oder gegen Datenschutzrecht bleibt unberührt.

§ 2 Art, Zweck, Datenarten und betroffene Personen

1. Art der Verarbeitung: Erheben über Formulare und Schnittstellen der Software, Speichern, Ordnen, Anzeigen, Verändern, Übermitteln an vom Verantwortlichen bestimmte Empfänger (zum Beispiel E-Mail an Mieter, Export an seine Buchhaltung, Kalenderabonnements), Sichern, Wiederherstellen, Einschränken, Löschen.
2. Zweck: Ausschließlich die Erbringung der vertraglichen Leistungen, also Vermietung, Buchung, Verträge, Übergaben, Rechnungen, Zahlungen, Buchhaltung, Hausverwaltung, Kommunikation, Website bzw. Shop des Verantwortlichen sowie die Sicherheit und Fehlerbehebung des Systems. Mietova nutzt die Daten nicht für eigene Zwecke, nicht für Werbung und nicht zum Training von KI-Modellen.
3. Datenarten und betroffene Personen: siehe Anlage 1 (unten in diesem Vertrag).
4. Ort der Verarbeitung: Die Verarbeitung findet in Rechenzentren innerhalb der Europäischen Union statt (Standorte siehe Anlage 3). Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur nach § 6 und Anlage 3.

§ 3 Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

1. Mietova verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in ein Drittland, es sei denn, Mietova ist durch Recht der EU oder eines Mitgliedstaats dazu verpflichtet. In diesem Fall teilt Mietova dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen ergeben sich zunächst aus dem Hauptvertrag, diesem Vertrag und der Bedienung der Software durch den Verantwortlichen und seine Nutzer (zum Beispiel Anlegen, Versenden, Löschen, Exportieren, Ein- und Ausschalten von Funktionen). Weitere Weisungen erteilt der Verantwortliche in Textform an office@mietova.de.
3. Hält Mietova eine Weisung für datenschutzrechtswidrig, informiert Mietova den Verantwortlichen unverzüglich und setzt ihre Ausführung bis zur rechtlichen Klärung aus. Eine bloße Bestätigung beseitigt eine erkennbare Rechtswidrigkeit nicht; rechtswidrige Weisungen werden nicht ausgeführt.
4. Weisungsberechtigt sind der Kontoinhaber und die von ihm in Textform benannten Personen.

§ 4 Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

1. Mietova setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den Anforderungen des Datenschutzes vertraut gemacht wurden.
2. Zugriff auf Daten des Verantwortlichen haben bei Mietova nur Personen, die ihn für den Betrieb, die Sicherung oder den Support brauchen. Für Entwicklung und Test nutzt Mietova keine echten Daten des Verantwortlichen, sondern synthetische oder anonymisierte Daten.
3. Externe KI-Werkzeuge, die Mietova in der Entwicklung einsetzt, erhalten keine Daten des Verantwortlichen.

§ 5 Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

1. Mietova trifft die technischen und organisatorischen Maßnahmen (TOM) nach Anlage 2. Sie berücksichtigen den Stand der Technik, die Kosten, die Art der Daten und die Risiken für die betroffenen Personen.
2. Mietova darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert Mietova und stellt die jeweils aktuelle Fassung im Konto bereit.

§ 6 Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4, Abs. 3 lit. d DSGVO)

1. Der Verantwortliche genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Bei Vertragsschluss eingesetzt werden die in Anlage 3 genannten Unternehmen; ihr Einsatz gilt als genehmigt.
2. Mietova informiert den Verantwortlichen mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters per E-Mail an die Kontoadresse und durch einen Hinweis im Konto. Der Verantwortliche kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen in Textform widersprechen. Vor Ablauf der Ankündigungsfrist erfolgt keine Verarbeitung durch den neuen Unterauftragsverarbeiter, sofern der Verantwortliche nicht zuvor im Einzelfall ausdrücklich zugestimmt hat. Bei dringenden Ausfällen nutzt Mietova bereits genehmigte Ersatzanbieter oder setzt die betroffene Verarbeitung vorübergehend aus. Bei einem Widerspruch sucht Mietova eine geeignete Alternative; gelingt das nicht, kann der Verantwortliche die betroffene Leistung vor dem Wechsel ohne zusätzliche Kündigungskosten beenden.
3. Mietova verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag, insbesondere auf ausreichende Garantien für geeignete technische und organisatorische Maßnahmen. Mietova haftet für dessen Pflichterfüllung wie für eigenes Handeln.
4. Eine Übermittlung in ein Land außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss oder geeignete Garantien wie Standardvertragsklauseln mit Prüfung des Übermittlungsrisikos).
5. Keine Unterauftragsverarbeitung im Sinne dieses Paragrafen sind Leistungen, die Mietova als Nebenleistung in Anspruch nimmt, ohne dass der Dienstleister planmäßig Zugriff auf Daten des Verantwortlichen erhält, etwa Telekommunikation, Post, reine Transportleistungen im Internet oder die Wartung von Hardware. Ebenfalls keine Unterauftragsverarbeitung sind Übermittlungen, die der Verantwortliche selbst auslöst und deren Empfänger er selbst wählt (zum Beispiel sein eigenes E-Mail-Postfach, seine Buchhaltungssoftware, sein Steuerberater, abonnierte Kalenderdienste, Schnittstellen zu Diensten, mit denen er selbst einen Vertrag hat). Für diese Empfänger ist der Verantwortliche selbst verantwortlich.
6. Die Push-Dienste der Browserhersteller sind mit Rolle, verarbeiteten Inhalts- und Metadaten, Vertragsgrundlage, Verarbeitungsorten und gegebenenfalls dem Drittlandinstrument in Anlage 3 gesondert dokumentiert.

§ 7 Rechte der betroffenen Personen (Art. 28 Abs. 3 lit. e DSGVO)

1. Mietova unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, damit er Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch fristgerecht beantworten kann.
2. Die Software bietet Funktionen zum Anzeigen, Ändern, Exportieren und Löschen von Daten. Soweit für einzelne Personen eine Funktion fehlt, unterstützt Mietova auf Anfrage an office@mietova.de innerhalb von 7 Tagen. Für einzelne Kunden stehen eine Auskunftsfunktion (Export aller Daten dieser Person) und eine Lösch- bzw. Anonymisierungsfunktion bereit.
3. Wendet sich eine betroffene Person direkt an Mietova, leitet Mietova die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, soweit nicht anders vereinbart.

§ 8 Unterstützung bei weiteren Pflichten (Art. 28 Abs. 3 lit. f DSGVO)

1. Mietova unterstützt den Verantwortlichen unter Berücksichtigung der verfügbaren Informationen bei seinen Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenpannen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung, vorherige Konsultation).
2. Datenpannen: Mietova informiert den Verantwortlichen unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, per E-Mail an die Kontoadresse, zunächst auch mit unvollständigen Angaben. Die interne Zielzeit beträgt höchstens 24 Stunden; sie berechtigt nicht zu einem vermeidbaren Aufschub, auch nicht an Wochenenden und Feiertagen. Die Mitteilung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechpartner. Fehlende Angaben reicht Mietova schrittweise nach. Die gesetzliche Frist des Verantwortlichen nach Art. 33 DSGVO beginnt mit dessen eigener Kenntnis und wird durch diese Mitteilung weder verschoben noch neu gestartet.
3. Für eine Datenschutz-Folgenabschätzung stellt Mietova die Angaben zur Verarbeitung, die TOM und die Liste der Unterauftragsverarbeiter bereit.
4. Zusätzliche, nicht bereits geschuldete Leistungen berechnet Mietova nur nach vorheriger Vereinbarung von Umfang und Vergütung. Gesetzlich oder vertraglich geschuldete dringende Unterstützung wird nicht bis zur Klärung der Vergütung zurückgestellt.

§ 9 Zugriff durch den Support von Mietova

1. Auf Wunsch des Verantwortlichen oder zur Behebung einer Störung kann das Mietova-Team das Konto des Verantwortlichen in einer nur lesenden Kundenansicht öffnen. Ändern ist dabei technisch gesperrt.
2. Jeder Zugriff erfordert eine Berechtigung und einen angegebenen Grund und wird mit Zeitpunkt, Person und Grund protokolliert. Auf Anfrage teilt Mietova dem Verantwortlichen die Zugriffe auf sein Konto mit.

§ 10 Rückgabe und Löschung (Art. 28 Abs. 3 lit. g DSGVO)

1. Der Verantwortliche kann seine Daten jederzeit, auch vor Vertragsende, über die Exportfunktion im Konto in maschinenlesbarer Form (JSON und CSV) herunterladen. Rechnungen und Belege kann er zusätzlich als PDF herunterladen.
2. Nach Vertragsende gibt Mietova die Auftragsdaten nach Wahl des Verantwortlichen zurück (Export) oder löscht sie und löscht anschließend verbleibende Kopien, soweit Mietova nicht selbst gesetzlich zur Aufbewahrung verpflichtet ist.
3. Gesetzliche Aufbewahrungspflichten des Verantwortlichen (zum Beispiel für Bücher, Aufzeichnungen und Kassenbücher, Rechnungen und Buchungsbelege sowie Geschäftsbriefe nach § 147 AO und § 257 HGB) bleiben seine Pflicht. Er exportiert die betroffenen Unterlagen vor der Löschung und bewahrt sie selbst auf. Nach Ende des Hauptvertrags bewahrt Mietova Unterlagen des Verantwortlichen nur aufgrund einer gesonderten, dokumentierten Archivierungsvereinbarung auf. Mietova weist vor der Löschung darauf hin.
4. Trifft der Verantwortliche keine Wahl, sperrt Mietova das Konto nach Vertragsende und löscht die Daten spätestens 30 Tage danach.
5. Vor dem endgültigen Löschen eines Kontos legt Mietova eine Lösch-Sicherung dieses Kontos an, um ein versehentliches Löschen rückgängig machen zu können. Sie wird nicht in die Auslagerungssicherung übernommen und 30 Tage nach dem Löschen automatisch gelöscht.
6. Sicherungsdaten sind vom Produktivzugriff ausgeschlossen. Für jede Sicherungsstufe gelten dokumentierte Löschfristen ab Ausscheiden der Daten aus dem Produktivbestand; Sicherungskopien werden nicht durch erneute Archivierung unbegrenzt verlängert. Die Datenbank wird verschlüsselt ausgelagert gesichert (14 tägliche, 8 wöchentliche und 12 monatliche Stände). Gelöschte Daten können dadurch bis zu 12 Monate in verschlüsselten Sicherungen enthalten sein und werden danach automatisch gelöscht. Mietova stellt aus Sicherungen keine gelöschten Daten einzeln wieder her; wird das Gesamtsystem nach einem Ausfall wiederhergestellt, werden zwischenzeitlich gelöschte Daten unverzüglich erneut gelöscht.
7. Mietova bestätigt die Löschung auf Anfrage in Textform.

§ 11 Nachweise und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

1. Mietova stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Dazu gehören dieser Vertrag, die aktuelle TOM-Anlage, die Liste der Unterauftragsverarbeiter und auf Anfrage Nachweise der Rechenzentrumsbetreiberin (zum Beispiel Prüfberichte).
2. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von Mietova ist, darf die Einhaltung dieses Vertrags prüfen, auch durch Inspektionen. Regelmäßige Prüfungen werden grundsätzlich 30 Tage vorher angekündigt. Bei konkreten Anhaltspunkten für Datenschutzverstöße, bei Sicherheitsvorfällen oder behördlichen Anforderungen sind angemessen kurzfristige Prüfungen möglich. Dokumentenprüfungen schließen erforderliche Inspektionen nicht aus. Mietova ermöglicht die Prüfung und wirkt daran mit; Betriebsabläufe und Daten anderer Kunden werden angemessen geschützt.
3. Mietova weist den Verantwortlichen unverzüglich darauf hin, wenn eine Aufsichtsbehörde bei Mietova Maßnahmen ergreift, die seine Daten betreffen.

§ 12 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Das gilt insbesondere für die Informationspflichten gegenüber seinen Kunden (Datenschutzerklärung seines Shops), für die Erforderlichkeit der erfassten Daten (zum Beispiel bei Ausweisdaten) und für Einwilligungen (zum Beispiel für Ausweiskopien und Newsletter).
2. Der Verantwortliche schützt die Geräte, auf denen er bzw. seine Mitarbeiter Mietova und Mietova Go nutzen, vor unbefugtem Zugriff (Bildschirmsperre, aktuelle Software, Abmelden bei Weitergabe des Geräts) und meldet Mietova verlorene Geräte unverzüglich, damit der Gerätezugang gesperrt werden kann. Mietova Go speichert zur Anmeldung und Offline-Bearbeitung Daten lokal auf dem Gerät (siehe Anlage 2).
3. Er informiert Mietova unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 13 Haftung

Ansprüche betroffener Personen nach Art. 82 DSGVO und sonstige zwingende Haftung bleiben unberührt. Haftungsregelungen des Hauptvertrags gelten nur, soweit sie mit diesen Vorgaben vereinbar sind.

§ 14 Schlussbestimmungen

1. Der Vertrag einschließlich seiner Anlagen wird in der bei Annahme geltenden Fassung unveränderlich gespeichert und dem Verantwortlichen als dauerhaft speicherbare Bestätigung (PDF per E-Mail und im Konto) bereitgestellt. Der Abschluss im elektronischen Format ist zulässig (Art. 28 Abs. 9 DSGVO).
2. Mietova kann eine geänderte Fassung anbieten, wenn das wegen geänderter Rechtslage, Rechtsprechung oder Behördenpraxis nötig ist oder das Schutzniveau nicht sinkt. Mietova informiert mindestens 30 Tage vorher; die neue Fassung wird im Konto angenommen. Neue Fassungen ersetzen frühere nicht rückwirkend.
3. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An ihre Stelle tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.
4. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz von Mietova.

---

Anlage 1: Datenarten und betroffene Personen

Welche Daten tatsächlich verarbeitet werden, hängt von den Funktionen ab, die der Verantwortliche nutzt.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Verantwortliche gibt solche Daten nicht in Freitextfelder ein.

Anlage 2: Technische und organisatorische Maßnahmen

Siehe gesonderte Anlage „TOM“ (Version 1.0), abrufbar unter /avv#tom.

Anlage 3: Unterauftragsverarbeiter

Siehe gesonderte Anlage „Unterauftragsverarbeiter“ (Version 1.0), abrufbar unter /avv#unterauftrag.

Anlage 2 zum AVV: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Version 1.0, Stand: 07.11.2026

Diese Anlage beschreibt ausschließlich Maßnahmen, die bei Mietova (Lowdrinks GmbH) tatsächlich umgesetzt sind. Prüfverfahren, Verantwortliche, Prüftermine und Nachweise werden intern geführt. Die Anlage wird bei Änderungen fortgeschrieben.

1. Vertraulichkeit

1.1 Zutrittskontrolle (Rechenzentrum)

• Die Server stehen in Rechenzentren der Hetzner Online GmbH in der Europäischen Union. Zutrittsschutz, Überwachung und Protokollierung regelt die Rechenzentrumsbetreiberin; nach ihren Angaben werden ihre Maßnahmen jährlich durch einen externen Prüfer kontrolliert.
• Mietova betreibt keine eigenen Serverräume.

1.2 Zugangskontrolle (Systeme)

• Anmeldung an der Software nur mit persönlichem Konto. Passwörter mit mindestens 10 Zeichen, mit Buchstaben und Ziffer; gespeichert wird nur ein Hash nach dem aktuellen PHP-Standardverfahren.
• Schutz gegen Rateversuche: Anmeldeversuche werden gezählt und gedrosselt; gespeichert wird nur ein Pseudonym (HMAC) der Adresse, gelöscht nach 24 Stunden.
• Sitzungen: Sitzungs-Cookie mit den Merkmalen Secure, HttpOnly und SameSite; neue Sitzungskennung bei der Anmeldung. „Angemeldet bleiben“ nur auf Wunsch; gespeichert wird nur ein Hash des Prüfwerts.
• Zwei-Faktor-Anmeldung (TOTP) ist für alle Konten verfügbar.
• Betreiber- und Steuerberaterzugänge werden nach 2 Stunden ohne Aktivität abgemeldet.
• Ausrollen auf den Server für einen weiteren Beteiligten nur über einen eingeschränkten Zugang mit festgelegten Befehlen (Status, Prüfung, Ausrollen).
• Die Verbindung zum Browser ist mit TLS verschlüsselt (HTTPS mit HSTS).

1.3 Zugriffskontrolle (Berechtigungen)

• Mandantentrennung: Datenbankabfragen auf Kundendaten sind an das Konto des Verantwortlichen gebunden; die Trennung wird durch automatische Tests geprüft.
• Rollen innerhalb eines Kontos: Der Inhaber gibt Mitarbeitern einzelne Bereiche frei; Ausweisdaten sind ein eigener Bereich. Die Prüfung erfolgt auf dem Server, auch in Mietova Go.
• Steuerberater-Zugang nur lesend und nur für Rechnungen, Belege und Buchhaltung.
• Betreiber-Rechte sind nach einem Rechtekonzept gegliedert. Der Support-Zugriff auf ein Kundenkonto erfordert ein eigenes Recht und einen Grund, ist nur lesend und wird protokolliert.
• Ausweisbilder und Protokollfotos sind nicht direkt über das Internet abrufbar, sondern nur über Seiten mit Berechtigungsprüfung.
• Ausweisbilder werden beim Speichern neu kodiert (ohne Bild-Metadaten) und mit dem Aufdruck „KOPIE“ versehen.

1.4 Trennungskontrolle

• Getrennte Umgebungen für Entwicklung, Test und Betrieb mit eigenen Datenbanken, Speicherbereichen und Schlüsseln.
• Entwicklung und Test arbeiten mit synthetischen Daten oder einem anonymisierten Spiegel; vor seiner Nutzung läuft eine Pflichtprüfung auf E-Mail-Adressen, IBANs und Schlüssel.
• In Entwicklung und Test ist der E-Mail-Versand im Code gesperrt.

1.5 Pseudonymisierung und Verschlüsselung

• Zugangsdaten zu E-Mail-Postfächern und Buchhaltungsdiensten der Kunden werden mit AES-256-GCM verschlüsselt gespeichert; Geheimnisse der Zwei-Faktor-Anmeldung mit XChaCha20-Poly1305.
• Die Nutzlast von Push-Nachrichten wird nach RFC 8291 verschlüsselt.
• Auslagerungssicherungen werden verschlüsselt (restic).
• Die eigene Besuchszählung speichert statt IP-Adresse und Browserkennung eine täglich wechselnde pseudonyme Kennung.

2. Integrität

2.1 Weitergabekontrolle

• Übertragung zum Browser über HTTPS; Mailversand über SMTP mit STARTTLS (Port 587); Sicherungen über verschlüsselte Verbindung.
• E-Mails von Mietova werden mit DKIM signiert.
• Push-Nachrichten gehen nur an die bekannten Dienste der Browserhersteller, mit Prüfung gegen interne Adressen.
• Zahlungsdaten bei der Abo-Zahlung werden nur auf den Seiten des Zahlungsdienstleisters eingegeben.

2.2 Eingabekontrolle

• Protokollierung von Betreiberaktionen (Audit-Log) mit Zeitpunkt, handelnder Person und Grund.
• Festgeschriebene Rechnungen sind gegen Änderung gesperrt; Korrekturen erfolgen über Stornobelege.
• Formulare sind gegen fremde Absendung (CSRF-Token) und gegen Missbrauch (Spamschutz, Drosselung) geschützt.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Datenbanksicherung auf dem Server (14 Stände) und verschlüsselte Auslagerungssicherung in einer getrennten Hetzner Storage Box mit Integritätsprüfung nach jedem Lauf.
• Ausweisbilder sind von der Auslagerungssicherung ausgeschlossen.
• Neue Versionen werden über ein festgelegtes Verfahren ausgerollt: getrennter Aufbau, Sicherung vor dem Umschalten, Rückweg, Funktionstest.

4. Verfahren zur regelmäßigen Überprüfung

• Automatische Tests bei jeder Änderung, darunter Tests zur Mandantentrennung und zu Berechtigungen.
• Änderungen werden durch automatisierte und KI-gestützte Prüfungen kontrolliert; die Freigabe für den Betrieb erteilt eine dafür benannte Person.
• Datenschutz- und Sicherheitsprüfungen mit Erfassung und Abarbeitung der Befunde, zuletzt am 07.11.2026.

5. Organisation

• Unterauftragsverarbeiter siehe Anlage 3.
• Schriftliche Richtlinie zur Nutzung externer KI-Werkzeuge: keine Kundendaten, nur betriebliche Zugänge.
• Prozess für Datenpannen mit Pannenregister.
• Löschanträge zur Kontolöschung werden mit Fristüberwachung bearbeitet.

Anlage 3 zum AVV: Unterauftragsverarbeiter

Version 1.0, Stand: 07.11.2026

Mietova (Lowdrinks GmbH) setzt für die Verarbeitung der Daten des Verantwortlichen folgende Unterauftragsverarbeiter ein.

Für die Berechnung von Lieferentfernungen und für die Standortverwaltung nutzt Mietova keine externen Adress-, Geocoding- oder Routendienste.

Push-Dienste der Browserhersteller

Schaltet ein Nutzer des Verantwortlichen Benachrichtigungen ein, stellt Mietova sie über den Push-Dienst zu, den sein Browser vorgibt. Die Inhalte sind Ende-zu-Ende verschlüsselt (RFC 8291); die Dienste sehen nur den Endpunkt (Push-Adresse) und Metadaten wie Zeitpunkt, Größe und Dringlichkeit der Nachricht sowie technische Verbindungsdaten.

Keine Unterauftragsverarbeiter (zur Information)

Mietova setzt für Daten des Verantwortlichen keine KI-Dienste von Drittanbietern ein. Der Hilfe-Chat NORA im Kundenbereich beantwortet Fragen aus fest hinterlegten Texten auf den Servern von Mietova.