Auftrags­verarbeitungs­vertrag (AVV)

§ 1 Gegenstand, Dauer und Vorrang

(1) Der Auftragnehmer erbringt für den Auftraggeber Leistungen nach dem Hauptvertrag (Bestellung bzw. Angebot und AGB), insbesondere Webhosting, E-Mail-Hosting, die Souveräne Cloud (Nextcloud), Add-ons, Cloud-Server und Intelligence (KI-Chat im Kundenportal). Dabei verarbeitet er personenbezogene Daten, für die der Auftraggeber Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist. Dieser Vertrag regelt die Pflichten der Parteien dabei nach Art. 28 DSGVO.

(2) Der Vertrag gilt für die Laufzeit des Hauptvertrags. Pflichten, die über dessen Ende hinaus wirken (etwa Löschung und Vertraulichkeit), gelten fort, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

(3) Widersprechen sich dieser Vertrag und der Hauptvertrag in Fragen des Datenschutzes, geht dieser Vertrag vor. Im Übrigen gilt der Hauptvertrag.

§ 2 Art und Zweck der Verarbeitung

(1) Art: Speichern, Bereitstellen, Übermitteln (Versand und Empfang von E-Mails), Sichern (Backups), Wiederherstellen und Löschen von Daten sowie deren Verarbeitung bei Einrichtung, Wartung, Fehlerbehebung und Support. Bei Intelligence außerdem die Übermittlung von Eingaben an KI-Modelle und die Speicherung der Gespräche.

(2) Zweck: Bereitstellung der vereinbarten Dienste. Eigene Zwecke verfolgt der Auftragnehmer mit diesen Daten nicht.

(3) Bei Cloud-Servern stellt der Auftragnehmer ausschließlich die physische und virtuelle Infrastruktur bereit (Rechenleistung, Arbeitsspeicher, Speicherplatz und Netzanbindung). Betriebssystem, Anwendungen und Inhalte verwaltet der Auftraggeber selbst; die Zugangsdaten des Servers speichert der Auftragnehmer nicht. Über die Schnittstelle des Rechenzentrums kann der Auftragnehmer technisch Aktionen am Server auslösen (etwa Rettungssystem, Zurücksetzen des Root-Passworts, Neuinstallation, Ein- und Ausschalten, Konsole, Löschen). Er tut das nur in den Fällen, die § 10 Abs. 3 der AGB abschließend nennt. Erhält er dabei ein neues Passwort, gibt er es nur an den Auftraggeber weiter oder verwendet es für den Zweck der Aktion und speichert es nicht. Aktionen über das Kundenportal hält er in der Aktivität des Servers fest. Auf die auf dem Server gespeicherten Daten greift der Auftragnehmer nicht zu, es sei denn, der Auftraggeber überlässt ihm dafür im Einzelfall seine Zugangsdaten, oder der Auftragnehmer ist nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet (§ 4 Abs. 1).

(4) Bei den übrigen Diensten greift der Auftragnehmer auf Inhalte nur zu, soweit es für die Leistungserbringung, die Wartung oder die Fehlerbehebung nötig ist oder der Auftraggeber es anweist.

(5) Ort: Webhosting und E-Mail auf Servern in Deutschland, mit täglichen Backups und Spam-Schutz. Souveräne Cloud (Nextcloud) auf einem deutschen Server mit täglichen Backups. Cloud-Server in ISO/IEC-27001-zertifizierten Rechenzentren in Falkenstein und Nürnberg (Deutschland) sowie Helsinki (Finnland). Die KI-Modelle von Intelligence laufen bei Cloudflare (Workers AI); der Ort der Verarbeitung ist dabei nicht auf die EU beschränkt. Gespräche speichert das Kundenportal in seiner Datenbank bei Cloudflare (primärer Standort Westeuropa). Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (siehe § 6).

§ 3 Arten von Daten und betroffene Personen

(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur verarbeitet, wenn der Auftraggeber sie in den Diensten speichert. Er prüft dann selbst, ob die Maßnahmen nach § 5 für diese Daten angemessen sind.

§ 4 Pflichten des Auftragnehmers

(1) Weisungen: Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, sofern er nicht nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vorher mit, soweit das Recht dies nicht verbietet. Die Weisungen sind in diesem Vertrag und im Hauptvertrag festgelegt; weitere Weisungen erteilt der Auftraggeber durch die Nutzung und Einstellung der Dienste und im Übrigen nach § 7 Abs. 3.

(2) Rechtswidrige Weisungen: Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert; offensichtlich rechtswidrige Weisungen muss er nicht ausführen.

(3) Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

(4) Sicherheit: Der Auftragnehmer trifft für die von ihm betriebene Infrastruktur die Maßnahmen nach Art. 32 DSGVO (siehe § 5).

(5) Rechte der Betroffenen: Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen zu beantworten, in erster Linie dadurch, dass der Auftraggeber seine Daten in den Diensten selbst einsehen, berichtigen, exportieren und löschen kann. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(6) Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen an die Aufsichtsbehörde und Benachrichtigung der betroffenen Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(7) Verletzungen des Schutzes personenbezogener Daten: Der Auftragnehmer meldet dem Auftraggeber eine Verletzung unverzüglich, nachdem sie ihm bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen, damit der Auftraggeber seine Meldepflichten erfüllen kann.

(8) Nachweise: Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung. Den Nachweis erbringt er vorrangig durch geeignete Unterlagen, etwa Zertifikate der Rechenzentrumsbetreiber (für die Rechenzentren der Cloud-Server nach ISO/IEC 27001), Prüfberichte oder eine Selbstauskunft in Textform.

(10) Ansprechpartner für den Datenschutz beim Auftragnehmer ist erreichbar unter E-Mail-Adresse anzeigen.

§ 5 Technische und organisatorische Maßnahmen (Kurzfassung)

• Verschlüsselte Übertragung: Webseite und Kundenportal sind nur verschlüsselt über HTTPS (TLS) erreichbar. Für E-Mail, Cloud und Webhosting stehen verschlüsselte Verbindungen über TLS zur Verfügung.
• Zugriffsbeschränkung: Zugriff auf Systeme mit Daten des Auftraggebers haben nur berechtigte Personen und nur, soweit ihre Aufgabe es erfordert. Passwörter für das Kundenportal werden nur als gesalzene Hashwerte gespeichert.
• Datensicherung: Webhosting und E-Mail auf Servern in Deutschland, mit täglichen Backups und Spam-Schutz. Souveräne Cloud (Nextcloud) auf einem deutschen Server mit täglichen Backups. Für Cloud-Server kann der Auftraggeber Backups zubuchen.
• Rechenzentren: Cloud-Server in ISO/IEC-27001-zertifizierten Rechenzentren in Falkenstein und Nürnberg (Deutschland) sowie Helsinki (Finnland). Diese Webseite und das Kundenportal laufen auf Cloudflare; die Webseite setzt keine Cookies und kein Tracking ein und nutzt JavaScript nur für den Spam-Schutz (Cloudflare Turnstile) beim Kontaktformular und beim Anzeigen der E-Mail-Adresse.

Der Auftragnehmer überprüft die Maßnahmen regelmäßig und passt sie dem Stand der Technik an; das Schutzniveau darf dabei nicht sinken. Eine ausführliche Beschreibung der Maßnahmen stellt er auf Anfrage zur Verfügung.

Für die Maßnahmen innerhalb seiner eigenen Konfiguration der Dienste, bei Cloud-Servern insbesondere für Betriebssystem, Anwendungen, Zugänge, Verschlüsselung und Datensicherung, ist allein der Auftraggeber verantwortlich (§ 7 Abs. 2).

§ 6 Unterauftragsverarbeiter

(2) Die Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin 2, Irland, wickelt die Zahlungen ab. Stripe handelt dabei als eigener Verantwortlicher und ist kein Unterauftragsverarbeiter im Sinne dieses Vertrags; sie ist hier nur zur Information genannt.

(3) Bevor der Auftragnehmer einen Unterauftragsverarbeiter hinzuzieht oder ersetzt, informiert er den Auftraggeber mindestens vier Wochen vorher per E-Mail oder durch Veröffentlichung auf dieser Seite.

(4) Der Auftraggeber kann der Änderung innerhalb dieser Frist in Textform widersprechen, jedoch nur aus einem wichtigen datenschutzrechtlichen Grund, den er im Widerspruch darlegt. Finden die Parteien keine Lösung, ist das einzige Recht des Auftraggebers, die betroffenen Dienste auf den Zeitpunkt der Änderung außerordentlich zu kündigen; ebenso kann der Auftragnehmer sie dann auf diesen Zeitpunkt kündigen. Widerspricht der Auftraggeber nicht fristgerecht, gilt die Änderung als genehmigt.

(5) Der Auftragnehmer legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, soweit sie auf dessen Leistung zutreffen. Er haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten.

(6) Keine Unterauftragsverhältnisse im Sinne dieses Vertrags sind Nebenleistungen, die der Auftragnehmer bei Dritten in Anspruch nimmt, etwa Telekommunikations- oder Postdienste.

§ 7 Rechte und Pflichten des Auftraggebers

(1) Der Auftraggeber ist allein verantwortlich für die Zulässigkeit der Verarbeitung, insbesondere für die Rechtsgrundlagen, die Erfüllung der Informationspflichten gegenüber den betroffenen Personen und die Wahrung ihrer Rechte.

(2) Er ist allein verantwortlich für die technischen und organisatorischen Maßnahmen innerhalb seiner eigenen Konfiguration der Dienste, etwa für sichere Passwörter, Benutzer- und Zugriffsrechte sowie die Einstellungen seiner Webseiten, Anwendungen und Erweiterungen. Bei Cloud-Servern gilt das insbesondere für Betriebssystem, Anwendungen, Zugänge, Verschlüsselung und Datensicherung; der Auftragnehmer ist dort nur für die physische und virtuelle Infrastruktur verantwortlich (§ 10 der AGB).

(3) Weisungen erteilt der Auftraggeber ausschließlich in Textform und nur im Rahmen des im Hauptvertrag vereinbarten Leistungsumfangs. Weisungen, die darüber hinausgehen, behandelt der Auftragnehmer als Wunsch nach einer Leistungsänderung; er kann sie ablehnen oder gegen Vergütung nach § 8 ausführen.

(4) Stellt der Auftraggeber Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Auftragnehmer unverzüglich.

(5) Seine Rechte zur Überprüfung richten sich nach § 4 Abs. 8 und 9.

§ 8 Vergütung zusätzlicher Leistungen

(1) Der Auftraggeber vergütet angemessen nach Aufwand: Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, Unterstützungsleistungen nach § 4 Abs. 5 und 6, soweit sie über das Übliche hinausgehen, und Überprüfungen nach § 4 Abs. 9. Den voraussichtlichen Betrag teilt der Auftragnehmer vorher mit.

(2) Üblich und ohne gesonderte Vergütung sind die Selbstbedienungsfunktionen der Dienste, die Weiterleitung von Anfragen betroffener Personen, die Meldung nach § 4 Abs. 7 und die Bereitstellung der vorhandenen Nachweise nach § 4 Abs. 8.

(3) Eine Vergütung schuldet der Auftraggeber nicht, soweit die Leistung durch einen Verstoß des Auftragnehmers gegen diesen Vertrag oder gegen die DSGVO veranlasst ist.

§ 9 Löschung und Rückgabe

(1) Nach dem Ende der Leistungen löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Die Löschung erfolgt 14 Tage nach dem Vertragsende (§ 17 der AGB); gelöschte Cloud-Server sind sofort gelöscht.

(2) Statt der Löschung kann der Auftraggeber die Rückgabe der Daten wählen. Dazu verlangt er sie vor dem Ende des Vertrags in Textform oder ruft seine Daten vor dem Vertragsende selbst über die Dienste ab. Verlangt er bis zum Vertragsende keine Rückgabe, hat er die Löschung gewählt.

(3) Daten in Datensicherungen werden im Rahmen der regulären Löschzyklen gelöscht.

(4) Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 10 Haftung und Freistellung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags (§ 14 der AGB), soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

(3) Der Auftraggeber stellt den Auftragnehmer von Ansprüchen betroffener Personen und sonstiger Dritter sowie von Bußgeldern frei, soweit sie auf einer Verarbeitung nach seinen Weisungen oder auf Verstößen in seinem Verantwortungsbereich (§ 7) beruhen und der Auftragnehmer für sie nicht nach Art. 82 Abs. 2 DSGVO selbst verantwortlich ist (Art. 82 Abs. 5 DSGVO). Die Freistellung umfasst die Kosten der notwendigen Rechtsverteidigung in Höhe der gesetzlichen Gebühren.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform.

(2) Ist eine Bestimmung dieses Vertrags unwirksam, bleibt der Vertrag im Übrigen wirksam.

(3) Es gilt das Recht, das auf den Hauptvertrag anwendbar ist (§ 19 der AGB); die Vorschriften der DSGVO bleiben unberührt.