Wer Nebenkostenabrechnungen prüfen lässt, gibt Mietverträge, Flächenangaben und Ansprechpartner aus der Hand. In größeren Unternehmen entscheidet darüber nicht die Fachabteilung allein. Bevor die erste Datei hochgeladen wird, kommen Einkauf, Datenschutz und IT-Sicherheit mit einem Fragebogen. Wer weiß, was dort gefragt wird, spart Wochen.
Inhaltsverzeichnis
Das Wichtigste in Kürze
- Sobald personenbezogene Daten verarbeitet werden, braucht es einen Auftragsverarbeitungsvertrag nach Art. 28 DSGVO.
- Gefragt wird nach Ort der Verarbeitung, Unterauftragsverarbeitern, Zugriffsrechten, Löschfristen und technischen Maßnahmen.
- Beim Einsatz von KI sind zwei Punkte entscheidend: Wo läuft das Modell, und werden die Daten zum Training verwendet.
- Gute Anbieter legen diese Unterlagen vor der Anfrage offen, statt sie auf Nachfrage zusammenzusuchen.
- Für Sie als Kunde lohnt es, den Fragebogen einmal sauber zu beantworten. Er passt danach auf jeden weiteren Anbieter.
Warum aus einer Fachentscheidung ein Prüfverfahren wird
Bei Nebenkostenabrechnungen geht es selten um Geheimnisse. Trotzdem stecken in den Unterlagen personenbezogene Daten: Namen von Ansprechpartnern beim Vermieter, Unterschriften, gelegentlich Kontaktdaten von Hausmeistern oder Dienstleistern. Sobald solche Daten an einen Dienstleister gehen, greift das Datenschutzrecht.
Dazu kommt das Interesse der IT-Sicherheit. Eine Software mit Zugriff auf Vertragsdaten ist ein zusätzliches Ziel. Je größer das Unternehmen, desto strukturierter läuft die Prüfung, oft nach einem festen Katalog.
Die sechs Fragen, die immer kommen
| Frage | Worauf sie abzielt |
|---|---|
| Wo werden die Daten verarbeitet und gespeichert? | Rechenzentrumsstandort, Drittlandtransfer, Rechtsgrundlage |
| Wer hat Zugriff? | Rollen, Berechtigungskonzept, Zugriff durch den Anbieter selbst |
| Welche Unterauftragsverarbeiter sind beteiligt? | Hosting, Versand, KI, jeweils mit Sitz und Leistung |
| Wie lange werden Daten gespeichert? | Löschfristen, Verhalten nach Vertragsende, Backups |
| Welche technischen Maßnahmen gibt es? | Verschlüsselung, Protokollierung, Mandantentrennung, Wiederherstellung |
| Was passiert im Sicherheitsvorfall? | Meldewege, Fristen, Ansprechpartner |
Keine dieser Fragen ist überraschend. Sie sind nur dann schwierig, wenn niemand sie vorher beantwortet hat.
Der Auftragsverarbeitungsvertrag
Der Auftragsverarbeitungsvertrag, kurz AVV, regelt die Rollen: Sie bleiben verantwortlich für die Daten, der Anbieter verarbeitet sie in Ihrem Auftrag und nach Ihren Weisungen. Art. 28 DSGVO schreibt vor, was darin stehen muss, unter anderem Gegenstand und Dauer der Verarbeitung, die Art der Daten, die Pflichten zur Vertraulichkeit, die technischen Maßnahmen und die Regeln für Unterauftragsverarbeiter.
Auf drei Punkte sollten Sie beim Lesen besonders achten:
- Die Anlage mit den Unterauftragsverarbeitern. Dort steht, wer noch beteiligt ist. Hosting und Versand sind üblich. Wichtig ist, dass die Liste vollständig und aktuell ist.
- Die Löschregelung. Was passiert nach Vertragsende, in welcher Frist, und wie wird mit Sicherungskopien umgegangen. Eine Löschung innerhalb weniger Tage ist bei üblichen Backup-Konzepten technisch selten möglich, eine ehrliche Frist ist hier mehr wert als eine schöne.
- Die technischen und organisatorischen Maßnahmen. Sie sind verbindlicher Vertragsbestandteil. Was dort steht, muss auch gelebt werden.
KI im Prüfprozess
Sobald ein Anbieter KI einsetzt, kommen zwei zusätzliche Fragen, und beide sind berechtigt:
- Wo läuft das Modell? Entscheidend ist nicht der Name des Modells, sondern über welche Plattform und in welcher Region es betrieben wird und welche vertraglichen Zusicherungen dafür gelten.
- Werden die Daten zum Training verwendet? Die Antwort sollte ein klares Nein sein, und sie sollte im Vertrag stehen, nicht nur auf einer Webseite.
Sinnvoll ist außerdem die Frage, welche Daten überhaupt an ein Modell gehen. Es macht einen Unterschied, ob ein vollständiger Mietvertrag übermittelt wird oder nur der Textauszug einer einzelnen Klausel, aus dem zuvor personenbezogene Angaben entfernt wurden.
Wie Sie das Verfahren beschleunigen
- Unterlagen vorab anfordern. AVV, Liste der Unterauftragsverarbeiter und Beschreibung der technischen Maßnahmen. Wer sie nicht innerhalb weniger Tage liefern kann, hat sie nicht.
- Datenschutz früh einbinden. Ein Blick vor dem Pilotprojekt kostet eine Stunde, ein Veto danach kostet Wochen.
- Den Umfang klein halten. Für einen Test reichen oft wenige Objekte und geschwärzte Unterlagen.
- Den eigenen Katalog aufbauen. Die Fragen wiederholen sich bei jedem Anbieter. Einmal sauber formuliert, sparen sie beim nächsten Mal Zeit.
Für Anbieter gilt das Gleiche: Wer die Unterlagen offen bereitstellt, verkürzt das Verfahren und wirkt souveräner als jemand, der sie erst auf Nachfrage zusammensucht.
Dieser Beitrag bietet Orientierung und ersetzt keine Rechtsberatung. Die datenschutzrechtliche Bewertung im Einzelfall gehört zu Ihrem Datenschutzbeauftragten oder einer Anwältin.
Häufige Fragen
Brauche ich einen AVV, wenn nur Mietverträge geprüft werden?
In der Regel ja. Mietverträge und Abrechnungen enthalten fast immer personenbezogene Daten, etwa Namen und Kontaktdaten von Ansprechpartnern. Damit liegt eine Auftragsverarbeitung vor.
Reicht es, wenn der Anbieter in Deutschland sitzt?
Nein, entscheidend ist, wo die Daten tatsächlich verarbeitet werden und welche Unterauftragsverarbeiter beteiligt sind. Ein deutscher Anbieter kann Dienste einsetzen, die außerhalb der EU verarbeiten.
Was sollte zum Thema KI im Vertrag stehen?
Mindestens, dass Ihre Daten nicht zum Training allgemeiner Modelle verwendet werden, welcher Dienst eingesetzt wird und in welcher Region er betrieben wird. Hilfreich ist zudem, ob sich die KI-Funktionen abschalten lassen.
Wie lange dauert so eine Prüfung üblicherweise?
Das hängt vom Unternehmen ab. Liegen die Unterlagen vollständig vor, sind wenige Wochen realistisch. Fehlen sie, zieht sich das Verfahren, weil jede Rückfrage eine neue Runde auslöst.
Können wir mit einem Test starten, bevor alles geprüft ist?
Oft ja, wenn der Test auf wenige Objekte begrenzt ist und die Unterlagen geschwärzt oder anonymisiert werden. Das sollte vorher mit dem Datenschutz abgestimmt sein.
Unterlagen, bevor Sie fragen müssen
Auftragsverarbeitungsvertrag, Liste der Unterauftragsverarbeiter und die technischen Maßnahmen stellen wir vorab zur Verfügung. In 30 Minuten zeigen wir Ihnen zusätzlich den Prüfablauf an einem konkreten Beispiel.
Demo buchen