Auftragsverarbeitungsvertrag (AVV)

1.1 Gegenstand

Der Auftragnehmer erbringt für den Auftraggeber Hostingleistungen einschließlich Betrieb, Wartung, Support sowie Sicherung und Wiederherstellung von Systemkonfigurationen und Datenbanken gemäß Hauptvertrag.

1.2 Dauer

Dieser AVV gilt für die Laufzeit des Hauptvertrags. Verpflichtungen, die ihrer Natur nach fortwirken – insbesondere Vertraulichkeit, Löschung, Nachweis- und Haftungspflichten – bestehen über das Vertragsende hinaus fort.

1.3 Verarbeitungsort

Die Verarbeitung erfolgt grundsätzlich innerhalb der Europäischen Union beziehungsweise des Europäischen Wirtschaftsraums (EU/EWR). Eine Verarbeitung in Drittländern ist ausschließlich unter den Voraussetzungen gemäß Ziffer 10 zulässig.

1.4 Vorrang

Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen der Parteien gehen die Regelungen dieses AVV vor, soweit datenschutzrechtliche Pflichten betroffen sind.

4.1 Verarbeitung ausschließlich auf Weisung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern keine gesetzliche Verpflichtung zur Verarbeitung besteht. In diesem Fall informiert der Auftragnehmer den Auftraggeber vorab, soweit dies rechtlich zulässig ist.

Erkennt der Auftragnehmer, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer ist berechtigt, die Umsetzung der Weisung bis zur Klärung auszusetzen.

4.2 Vertraulichkeit

Der Auftragnehmer verpflichtet alle mit der Verarbeitung betrauten Personen schriftlich auf Vertraulichkeit und die Einhaltung der datenschutzrechtlichen Vorgaben gemäß Art. 28 Abs. 3 lit. b DSGVO.

4.3 Technische und organisatorische Maßnahmen

Der Auftragnehmer setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO um und hält diese aufrecht. Änderungen der TOMs sind zulässig, sofern hierdurch das Schutzniveau nicht abgesenkt wird. Wesentliche Änderungen werden dem Auftraggeber vorab mitgeteilt.

4.4 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung von Anträgen betroffener Personen gemäß Art. 12–22 DSGVO unverzüglich, spätestens jedoch innerhalb von fünf Werktagen nach Kenntnis. Unterstützungsleistungen, die über den vertraglich geschuldeten Betrieb hinausgehen, können angemessen vergütet werden, soweit gesetzlich zulässig.

4.5 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung, an die benannte Kontaktstelle des Auftraggebers. Die Meldung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Informationen. Der Auftragnehmer unterstützt den Auftraggeber fortlaufend bei der Aufklärung des Vorfalls.

6.1 Während der Vertragslaufzeit

Der Auftragnehmer stellt dem Auftraggeber geeignete Export- und Abruffunktionen für personenbezogene Daten in gängigen Formaten zur Verfügung.

6.2 Nach Vertragsende

Nach Beendigung des Vertrags gibt der Auftragnehmer auf Weisung des Auftraggebers sämtliche personenbezogenen Daten heraus und löscht diese anschließend. Erfolgt innerhalb von 30 Tagen nach Vertragsende keine Weisung, ist der Auftragnehmer berechtigt, die personenbezogenen Daten datenschutzkonform zu löschen.

6.3 Backups

Personenbezogene Daten in Backups werden im Rahmen der regulären Sicherungszyklen spätestens nach 90 Tagen überschrieben oder gelöscht.

6.4 Nachweis

Der Auftragnehmer dokumentiert Löschvorgänge und stellt dem Auftraggeber auf Anfrage eine Löschbestätigung zur Verfügung. Die Einzelheiten ergeben sich aus Anlage 4.

Zwecke der Verarbeitung

• Betrieb und Bereitstellung der beauftragten Systeme und Services
• Speicherung, Abruf und Übermittlung von Daten gemäß Hauptvertrag
• Fehlersuche, Performance-Optimierung, Sicherheit sowie Abrechnung und Reporting

Kategorien personenbezogener Daten

• Stammdaten (Name, E-Mail, Rollen)
• Nutzungs- und Protokolldaten (IP-Adressen, Zeitstempel, Logs)
• Vertrags- und Abrechnungsdaten
• Supportdaten

Kategorien betroffener Personen

• Kunden und Endnutzer
• Mitarbeiter
• Dienstleister

Verarbeitungstätigkeiten

Erheben durch Systeme des Auftraggebers, Speichern, Organisieren, Aufbewahren, Anpassen oder Ändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermitteln nach Weisung, Abgleichen, Einschränken sowie Löschen oder Vernichten.

Aufbewahrung und Speicherorte

• Primär-Rechenzentren: NTT, Frankfurt, Deutschland
• Datenspeicher: S3-kompatibler Object Storage von Impossible Cloud in der Europäischen Union
• Backup-Systeme: Hetzner, Helsinki, Finnland
• Backups werden operativ für sieben Tage zur Wiederherstellung vorgehalten. Technisch bedingt können Sicherungen bis zu 90 Tage gespeichert bleiben.
• Redundanzmechanismen des Object Storage schützen vor physischen Datenverlusten, stellen jedoch kein Backup dar und schützen nicht vor logischen Datenverlusten wie Löschen oder Überschreiben.

1. Vertraulichkeit

• Betrieb der Systeme ausschließlich in zertifizierten Rechenzentren (ISO 27001)
• Mehrstufige physische Zutrittskontrollen sowie Protokollierung, Überwachung und dokumentierte Besucherprozesse
• Personalisierte Benutzerkonten, Multi-Faktor-Authentifizierung für administrative Zugänge, Passwortrichtlinien und automatische Sperrmechanismen
• Rollen- und Berechtigungskonzept nach Least Privilege und Need-to-Know sowie mindestens halbjährliche Überprüfung der Berechtigungen
• Protokollierung administrativer Zugriffe und Trennung administrativer und operativer Rollen
• Logische Mandantentrennung sowie Trennung von Test-, Entwicklungs- und Produktionsumgebungen

2. Integrität und Transportkontrolle

• Verschlüsselte Datenübertragung mit TLS 1.2 oder höher
• Sichere Schnittstellen und Authentifizierungsmechanismen
• Protokollierung von Änderungen und administrativen Eingriffen
• Zentrale Zeitquellen zur Konsistenz der Protokolle
• Absicherung administrativer Zugriffe über VPN oder vergleichbare sichere Verbindungen
• Verschlüsselung sensibler Daten bei Übertragung über öffentliche Netze

3. Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung von Systemkonfigurationen und Datenbanken sowie regelmäßige Prüfung der Wiederherstellbarkeit
• Redundante Rechenzentrumsinfrastruktur, unterbrechungsfreie Stromversorgung und Notstromsysteme
• Redundante Speicherarchitekturen mit verteilter Datenhaltung
• Dokumentierte Disaster-Recovery-Verfahren sowie priorisierte Bearbeitung von Ausfällen
• Regelmäßige Überprüfung der Notfallprozesse

4. Risiko-, Schwachstellen- und Patch-Management

• Kontinuierliches Monitoring sicherheitsrelevanter Ereignisse und zentrale Log-Auswertung
• Regelmäßige Installation von Sicherheitsupdates und Patches
• Identifikation, Bewertung und Behandlung von Schwachstellen nach Risikoklassen
• Dokumentation und Nachverfolgung von Sicherheitsmaßnahmen und Vorfällen

5. Organisation, Schulung und Lieferkette

• Verpflichtung aller Mitarbeitenden auf Vertraulichkeit und Datenschutz
• Regelmäßige Sensibilisierung und Schulung zu Datenschutz und Informationssicherheit
• Interne Richtlinien und Prozesse zur Informationssicherheit
• Datenschutz- und sicherheitsorientierte Auswahl und Steuerung von Unterauftragsverarbeitern
• Überprüfung der vertraglichen und datenschutzrechtlichen Anforderungen bei Unterauftragnehmern

6. Datenschutz durch Technikgestaltung und Voreinstellungen

• Datenminimierung und Beschränkung auf die zur Zweckerfüllung erforderlichen Daten
• Datenschutzfreundliche Standardeinstellungen
• Trennung und Isolation personenbezogener Daten, soweit technisch möglich
• Berücksichtigung des Datenschutzes bei Konfiguration und Weiterentwicklung

7. Protokolle und Aufbewahrung

• Protokollierung sicherheitsrelevanter Ereignisse und administrativer Tätigkeiten
• Standardmäßige Aufbewahrung von Logs für 180 Tage
• Sicherstellung von Integrität und Nachvollziehbarkeit der Protokolldaten
• Lösch- und Sperrkonzepte sowie automatisierte Löschprozesse gemäß den definierten Fristen