Verwerkersovereenkomst (AV-Vertrag)

Stand: mei 2026 · verwerkers­overeenkomst volgens art. 28 AVG

Voor zover u als klant Rentprime gebruikt om servicekostenafrekeningen voor uw huurders op te stellen, verwerkt u als verwerkingsverantwoordelijke in de zin van de AVG persoonsgegevens van derden (huurdersgegevens) en gebruikt u Rentprime hiervoor als verwerker. Deze constellatie vereist volgens art. 28 AVG een schriftelijke verwerkersovereenkomst.

Contractpartijen

Verwerkings­verantwoordelijke: De klant (u als gebruiker van Rentprime)
Verwerker: KRUPKA Concept GmbH, Monheim am Rhein

Onderwerp en duur

De verwerker verwerkt persoonsgegevens van de huurders van de verwerkingsverantwoordelijke uitsluitend in het kader van de levering van de softwarediensten conform de tussen de partijen gesloten gebruiksovereenkomst. De verwerking vindt plaats voor de duur van de gebruiksrelatie.

Aard en doel van de verwerking

Registratie, opslag, verwerking en terbeschikkingstelling van huurdersgegevens met het oog op het opstellen van servicekostenafrekeningen, huurovereenkomsten, aanmaningen, communicatiedocumentatie en overige contractueel overeengekomen diensten.

Categorieën van betrokkenen

• Huurders van de verwerkingsverantwoordelijke
• Gemachtigden en gezinsleden
• Kontaktpersonen (Hausmeister, Handwerker etc.)

Categorieën persoonsgegevens

• Stammdaten (Name, Anschrift, Geburtsdatum, Familienstand)
• Contactgegevens (telefoon, e-mail)
• Overeenkomstgegevens (huurprijs, aanvang/einde overeenkomst)
• Bankgegevens (IBAN voor SEPA-machtiging)
• Verbruiksgegevens (verwarming, water, elektriciteit)
• Kommunikationsdaten (E-Mails, Anrufnotizen)

Technische en organisatorische maatregelen (TOM)

De verwerker treft de volgende technische en organisatorische maatregelen voor de beveiliging van de gegevensverwerking conform art. 32 AVG:

• Pseudonimisering en versleuteling van persoonsgegevens (AES-256, TLS 1.3)
• Toegangscontrole door sterke wachtwoorden, optioneel 2FA
• Hosting bei nach ISO 27001 zertifizierten EU-Anbietern (Anwendungs-Datenbank in Stockholm/Schweden, Compute in Frankfurt und Stockholm)
• Dagelijkse, versleutelde back-ups met 30-dagen-bewaring
• Herstelbaarheid van persoonsgegevens bij fysieke of technische incidenten (art. 32 lid 1 sub c AVG)
• Regelmatige toetsing van de doeltreffendheid van de TOM (art. 32 lid 1 sub d AVG)
• Verplichting van de medewerkers tot geheimhouding van gegevens
• Protokollierung sicherheitsrelevanter Ereignisse

Subverwerkers

De verwerker is gerechtigd andere verwerkers (subverwerkers) in te schakelen. De verwerkingsverantwoordelijke verleent hiervoor zijn algemene toestemming. De verwerker informeert de verwerkingsverantwoordelijke vooraf over elke voorgenomen wijziging met betrekking tot het inschakelen of vervangen van subverwerkers en kent hem een recht van bezwaar toe. Een volledige actuele lijst wordt op verzoek ter beschikking gesteld. Momenteel ingeschakelde subverwerkers:

Transfer impact assessments (TIA) voor verwerkers in derde landen (Anthropic, Google, Stripe) conform EDPB-aanbeveling 01/2020 worden op verzoek verstrekt.

• Vercel Inc., USA — Frontend- und Serverless-Function-Hosting; Compute in Frankfurt (fra1). Drittlandmechanismus: DPF + SCC.
• Fly, Inc., USA — Betrieb der Anwendungs-API api.rentprime.de; Compute in Frankfurt (fra). Drittlandmechanismus: SCC (kein DPF).
• Supabase Inc., USA — Anwendungs-Datenbank in der EU-Region Stockholm (eu-north-1, Schweden). Drittlandmechanismus: DPF + SCC.
• Cloudflare Inc., USA — CDN, DDoS- und WAF-Schutz; Edge-Verarbeitung in der EU. Drittlandmechanismus: DPF + SCC.
• Stripe Payments Europe Ltd., Dublin, Irland (Zahlungsabwicklung — Konzernanbindung an Stripe, Inc. USA; DPF + SCC).
• Brevo (Sendinblue SAS), Paris, Frankreich — Newsletter- und Lead-Formular-Verwaltung; Verarbeitung innerhalb der EU (kein Drittland).
• Resend, Inc., USA — Transaktions-Mail-Versand. Drittlandmechanismus: DPF + SCC.
• Postmark (ActiveCampaign LLC), USA — Transaktions-Mail-Fallback. Drittlandmechanismus: DPF + SCC.
• Twilio Inc., USA — SMS-/WhatsApp-Versand (nur bei aktivierter Mieterkommunikation). Drittlandmechanismus: DPF + SCC.
• Anthropic PBC, USA — KI-Funktionen Lou-Chat/Vertrags-Check. Drittlandmechanismus: DPF + SCC.
• Anthropic PBC, USA — Beleg-/OCR-Erkennung (Claude Vision). Drittlandmechanismus: DPF + SCC.
• finAPI / Klarna Kosma — Bank-Sync nach PSD2 (nur bei aktivierter Kontoanbindung; Verarbeitung innerhalb der EU).

Voor alle in de USA gevestigde verwerkers (Vercel, Fly, Supabase, Cloudflare, Resend, Postmark, Twilio, Anthropic, Google) alsook voor de Ierse betalingsverwerker Stripe (moederconcern in de USA) vindt een doorgifte naar een derde land naar de USA plaats. Deze is beveiligd via het EU-US Data Privacy Framework (adequaatheidsbesluit van de EU-Commissie van 10.07.2023) en/of de EU-Standardvertragsklauseln (SCC, Art. 46 AVG + UAVG) alsook aanvullende maatregelen (versleuteling in transit en at rest, PII-minimalisatie, contractueel gegarandeerde zero retention/geen training bij de AI-aanbieders). Fly, Inc. is niet DPF-vermeld; de doorgifte vindt hier uitsluitend plaats op basis van de SCC.

Rechten en plichten

De verwerker verwerkt de gegevens uitsluitend op gedocumenteerde instructie van de verwerkingsverantwoordelijke. Hij ondersteunt de verwerkingsverantwoordelijke bij het nakomen van zijn verplichtingen op grond van art. 32–36 AVG en bij de afhandeling van verzoeken van betrokkenen — met inbegrip van de huurders van de verwerkingsverantwoordelijke — die hun rechten uitoefenen (art. 12–22 AVG).

Melding van datalekken: De verwerker meldt de verwerkingsverantwoordelijke elke inbreuk in verband met persoonsgegevens zonder onredelijke vertraging nadat hij hiervan kennis heeft genomen, om de verwerkingsverantwoordelijke in staat te stellen tijdig te melden conform art. 33 AVG (binnen 72 uur), en ondersteunt hem bij de melding aan betrokkenen conform art. 34 AVG.

Controle- en auditrechten (art. 28 lid 3 sub h AVG): De verwerker stelt de verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de nakoming van de verplichtingen uit art. 28 AVG aan te tonen en maakt audits — met inbegrip van inspecties — door de verwerkingsverantwoordelijke of een door deze gemachtigde controleur mogelijk en draagt daaraan bij.

Verwijdering en teruggave (art. 28 lid 3 sub g AVG): Na afloop van de verwerkingsdiensten verwijdert of retourneert de verwerker, naar keuze van de verwerkingsverantwoordelijke, alle persoonsgegevens en verwijdert bestaande kopieën, tenzij een wettelijke bewaarplicht zich daartegen verzet.

Sluiten van de verwerkersovereenkomst

De volledige, ondertekende versie van de verwerkersovereenkomst wordt u op vormvrij verzoek toegezonden per e-mail aan contact@rentprime.de binnen 24 uur op werkdagen toegezonden. De overeenkomst wordt in elektronische vorm (DocuSign of gekwalificeerde elektronische handtekening) gesloten.