Vertrag zur Auftragsverarbeitung (AVV, Art. 28 DSGVO)

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend "AVV") wird geschlossen zwischen dem Kunden als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO (nachfolgend "Verantwortlicher") und ComputeBox – Moritz Möller Workstations, Böhnhusener Weg 11, 24220 Flintbek, Deutschland, E-Mail: [email protected], als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO (nachfolgend "Auftragsverarbeiter").

Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen bestehenden Vertrag über die Bereitstellung von virtuellen Servern und GPU-Servern (nachfolgend "Hauptvertrag", auf Grundlage der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters). Er setzt die Anforderungen des Art. 28 Abs. 3 DSGVO um.

Der AVV wird elektronisch über das Kundenkonto des Verantwortlichen im Kundenbereich des Auftragsverarbeiters geschlossen (Art. 28 Abs. 9 DSGVO: elektronisches Format genügt, eine Unterschrift ist nicht erforderlich). Der Auftragsverarbeiter protokolliert zum Nachweis das Nutzerkonto, den Zeitpunkt des Abschlusses, die Fassung des Vertragstexts sowie IP-Adresse und Browserkennung des Abschlusses und bestätigt den Abschluss per E-Mail unter Wiedergabe des vollständigen Vertragstexts.

§ 1 Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Bereitstellung von virtuellen Servern und GPU-Servern einschließlich Speicherplatz und Netzanbindung (Infrastructure as a Service, IaaS) nach Maßgabe des Hauptvertrags. Der Verantwortliche kann auf der bereitgestellten Infrastruktur eigenverantwortlich personenbezogene Daten speichern und verarbeiten. Die Leistung des Auftragsverarbeiters besteht in der Bereitstellung, dem Betrieb und der Wartung der Infrastruktur; eine inhaltliche Verarbeitung der auf den Servern gespeicherten Daten durch den Auftragsverarbeiter erfolgt nicht.

Der Auftragsverarbeiter greift auf Inhaltsdaten des Verantwortlichen nur zu, soweit dies für den Betrieb, die Aufrechterhaltung der Sicherheit und Verfügbarkeit der Infrastruktur, die Fehlerbehebung oder die Bearbeitung von Missbrauchsfällen (einschließlich des Notice-and-Action-Verfahrens nach dem Digital Services Act) erforderlich ist oder der Verantwortliche dies im Einzelfall verlangt (z. B. Support).

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags. Er endet, ohne dass es einer gesonderten Kündigung bedarf, mit der Beendigung des Hauptvertrags, frühestens jedoch, wenn der Auftragsverarbeiter keine personenbezogenen Daten des Verantwortlichen mehr verarbeitet. Für die Kündigung des Hauptvertrags gelten die dort vereinbarten Regelungen.

§ 2 Art und Zweck der Verarbeitung, Arten personenbezogener Daten, Kategorien betroffener Personen

Art und Zweck der Verarbeitung, die Arten der verarbeiteten personenbezogenen Daten und die Kategorien der betroffenen Personen bestimmt allein der Verantwortliche. Sie sind in Anlage 1 festgelegt; soweit der Verantwortliche keine eigenen Festlegungen dokumentiert, gelten die in Anlage 1 aufgeführten Regelbeispiele.

Der Verantwortliche ist verpflichtet, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten, die besonderen Geheimhaltungspflichten unterliegen (z. B. § 203 StGB), auf der Infrastruktur zu verarbeiten, ohne zuvor sicherzustellen, dass die dafür erforderlichen zusätzlichen Garantien bestehen; erforderlichenfalls sind ergänzende Vereinbarungen mit dem Auftragsverarbeiter zu treffen.

§ 3 Verantwortlichkeit und Weisungsrecht

Der Verantwortliche ist für die Zulässigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

Als dokumentierte Weisungen gelten der Hauptvertrag, dieser AVV sowie die Konfiguration der Leistungen durch den Verantwortlichen über das Kundenpanel oder die bereitgestellten Schnittstellen (z. B. Erstellen, Ändern, Sichern und Löschen von Servern). Einzelweisungen darüber hinaus bedürfen der Textform (z. B. E-Mail an die in der Präambel genannte Adresse). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert.

Weisungsberechtigt ist der Verantwortliche; er handelt über die für sein Kundenkonto autorisierten Nutzer. Weisungsempfänger beim Auftragsverarbeiter ist die in der Präambel genannte Kontaktadresse.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Die Vertraulichkeitspflicht besteht auch nach Beendigung des Auftrags fort.

Der Auftragsverarbeiter gewährt Zugang zu personenbezogenen Daten des Verantwortlichen nur solchen Personen, die ihn für die Erfüllung der vertraglichen Aufgaben benötigen (Need-to-know-Prinzip), und macht ihnen die einschlägigen Datenschutzpflichten bekannt.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 28 Abs. 3 Satz 2 lit. c DSGVO). Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben; sie sind Grundlage dieses Auftrags.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert; die jeweils aktuelle Fassung der Anlage 2 wird dem Verantwortlichen auf der Webseite des Auftragsverarbeiters bzw. auf Anfrage zur Verfügung gestellt.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) in Anspruch zu nehmen (Art. 28 Abs. 2 Satz 1 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und mit Abschluss dieses AVV genehmigt.

Der Auftragsverarbeiter informiert den Verantwortlichen vorab in Textform (z. B. per E-Mail oder über das Kundenpanel) über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen (Art. 28 Abs. 2 Satz 2 DSGVO). Widerspricht der Verantwortliche und ist dem Auftragsverarbeiter die Leistungserbringung ohne den neuen Unterauftragsverarbeiter nicht zumutbar, sind beide Parteien berechtigt, den Hauptvertrag mit angemessener Frist zu kündigen. Unterbleibt ein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt.

Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

Keine Unterauftragsverhältnisse im Sinne dieser Regelung sind Leistungen, die der Auftragsverarbeiter als eigener Verantwortlicher bezieht oder erbringt (z. B. Zahlungsabwicklung für die eigene Rechnungsstellung, Versand eigener Transaktions- und Vertragsmitteilungen, Telekommunikationsleistungen, Wartung ohne Datenzugriff), sowie Nebenleistungen ohne konkreten Bezug zu den Daten des Verantwortlichen.

§ 7 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Kapitel III DSGVO) nachzukommen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Angesichts der Natur der Leistung (IaaS ohne inhaltlichen Datenzugriff) erfolgt die Unterstützung in erster Linie dadurch, dass der Verantwortliche über Root-Zugriff, Export-, Backup- und Löschfunktionen jederzeit selbst über die gespeicherten Daten verfügen kann.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter und lässt sich das Anliegen dem Verantwortlichen zuordnen, leitet der Auftragsverarbeiter den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, es sei denn, er ist hierzu gesetzlich verpflichtet.

§ 8 Unterstützungspflichten und Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen an die Aufsichtsbehörde, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, nachdem sie ihm bekannt geworden ist, und in jedem Fall so rechtzeitig, dass der Verantwortliche seine Meldefrist aus Art. 33 Abs. 1 DSGVO (72 Stunden) wahren kann (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Angaben; nicht sofort verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht. Die Meldung erfolgt an die im Kundenkonto hinterlegte E-Mail-Adresse des Verantwortlichen.

Die Bewertung und Meldung gegenüber Aufsichtsbehörden und betroffenen Personen bleibt Aufgabe des Verantwortlichen. Der Auftragsverarbeiter ergreift unverzüglich angemessene Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich hierzu mit dem Verantwortlichen ab.

§ 9 Löschung und Rückgabe nach Beendigung des Auftrags

Während der Vertragslaufzeit kann der Verantwortliche seine Daten jederzeit selbst exportieren, sichern oder löschen (Root-Zugriff, Backup- und Exportfunktionen; zum Datenexport im vzdump-Format siehe Ziffer 12 der AGB). Der Verantwortliche ist gehalten, benötigte Daten vor Vertragsende selbst zu sichern.

Nach Beendigung des Hauptvertrags gilt entsprechend dessen Regelungen (Ziffern 7.5 und 12 der AGB): Der virtuelle Server wird mit Vertragsende gestoppt. Die Löschung des Servers einschließlich der gespeicherten Daten erfolgt frühestens 7 Tage nach Vertragsende. Auf vor der Löschung in Textform geäußerten Wunsch des Verantwortlichen hält der Auftragsverarbeiter ein Datenarchiv für 30 Tage zum Abruf bereit. Der Abruf ist unentgeltlich und nicht von der Begleichung offener Forderungen abhängig; ein Zurückbehaltungsrecht an den Daten des Verantwortlichen besteht nicht (Ziffer 12.4 der AGB). Nach Ablauf der jeweiligen Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen einschließlich vorhandener Sicherungskopien nach dem Stand der Technik, sofern nicht das Recht der Union oder der Mitgliedstaaten eine weitere Speicherung vorschreibt (Art. 28 Abs. 3 Satz 2 lit. g DSGVO).

In Sicherungskopien, die aus technischen Gründen nicht sofort gelöscht werden können, verbleibende Daten werden bis zu ihrer turnusmäßigen Überschreibung bzw. Löschung gegen Zugriff gesichert und nicht mehr aktiv verarbeitet. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 10 Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

Der Nachweis wird vorrangig durch geeignete Unterlagen geführt: aktuelle Fassung der Anlage 2 (TOM), Selbstauskünfte, Prüfberichte oder Zertifizierungen, soweit vorhanden. Erst wenn diese Unterlagen im Einzelfall keine hinreichende Klärung ermöglichen, kann der Verantwortliche eine Vor-Ort-Kontrolle verlangen.

Vor-Ort-Kontrollen erfolgen nach vorheriger Ankündigung mit angemessener Frist (in der Regel mindestens 14 Tage), zu den üblichen Geschäftszeiten, ohne den Betrieb unverhältnismäßig zu stören, höchstens einmal pro Vertragsjahr, es sei denn, ein konkreter Anlass (z. B. eine Datenschutzverletzung) erfordert eine weitere Kontrolle. Prüfer dürfen keine Wettbewerber des Auftragsverarbeiters sein und sind zur Vertraulichkeit zu verpflichten. Der Zutritt zu Rechenzentrumsflächen richtet sich nach den Sicherheitsregeln der jeweiligen Standortbetreiber. Jede Partei trägt die ihr durch die Kontrolle entstehenden Kosten selbst; für Unterstützungsleistungen, die über die Bereitstellung vorhandener Unterlagen hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

§ 11 Verarbeitungsort und internationale Datenübermittlungen

Die Verarbeitung findet grundsätzlich in Rechenzentren in Deutschland statt. Der Auftragsverarbeiter übermittelt personenbezogene Daten des Verantwortlichen nicht in Drittländer außerhalb der EU bzw. des EWR, es sei denn, dies erfolgt auf dokumentierte Weisung des Verantwortlichen oder über die in Anlage 3 genehmigten Unterauftragsverarbeiter.

Soweit beim Einsatz von Cloudflare (Anlage 3) eine Übermittlung in Drittländer nicht ausgeschlossen werden kann, stützt sich diese auf die Garantien nach Kapitel V DSGVO: auf das EU-US Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10.07.2023, Art. 45 DSGVO), solange und soweit der Empfänger dort zertifiziert ist, sowie ergänzend und hilfsweise auf die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), wie sie im Cloudflare Customer Data Processing Addendum vereinbart sind. Gleiches gilt für andere in Anlage 3 mit Drittlandsbezug gekennzeichnete Unterauftragsverarbeiter.

§ 12 Haftung und Schlussbestimmungen

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags. Die Freistellungsregelung des Hauptvertrags für Verstöße des Verantwortlichen gegen datenschutzrechtliche Pflichten bleibt unberührt.

Im Fall von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag die Regelungen dieses AVV vor. Änderungen und Ergänzungen dieses AVV bedürfen der Textform; für Änderungen des Vertragstexts durch den Auftragsverarbeiter gilt: Sie werden dem Verantwortlichen als neue Fassung im Kundenbereich zum Abschluss bereitgestellt und ersetzen die bisherige Fassung erst mit erneutem Abschluss durch den Verantwortlichen.

Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Dieser AVV ist zweisprachig gefasst; im Zweifel ist die deutsche Fassung maßgeblich.

Anlage 1: Gegenstand der Verarbeitung (Angaben des Verantwortlichen)

Der Verantwortliche bestimmt und dokumentiert die Einzelheiten der Verarbeitung, insbesondere in seinem Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 Abs. 1 DSGVO; eigene Festlegungen des Verantwortlichen gehen den nachfolgenden Regelbeispielen vor. Soweit der Verantwortliche nichts Abweichendes dokumentiert, gilt:

• Art und Zweck der Verarbeitung: Speicherung, Hosting und Verarbeitung von Daten auf virtuellen Servern im Rahmen der vom Verantwortlichen betriebenen Anwendungen und Dienste (z. B. Web-Anwendungen, Datenbanken, KI-/GPU-Workloads, Entwicklungs- und Testumgebungen).
• Arten personenbezogener Daten: die vom Verantwortlichen auf dem Server gespeicherten Daten, z. B. Bestands- und Kontaktdaten, Vertrags- und Abrechnungsdaten, Inhaltsdaten, Nutzungsdaten, Protokoll- und Metadaten.
• Kategorien betroffener Personen: die von den Anwendungen des Verantwortlichen betroffenen Personen, z. B. Kunden und Interessenten, Beschäftigte, Lieferanten, Nutzer der vom Verantwortlichen betriebenen Dienste.
• Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): keine, sofern nicht gesondert vereinbart (vgl. § 2 Abs. 2).

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand der Maßnahmen zum Zeitpunkt der Fassung dieses AVV.

• Zutrittskontrolle (physische Sicherheit): Betrieb eigener Hardware in zwei räumlich getrennten Rechenzentrumsstandorten in Deutschland bei zwei verschiedenen Colocation-Betreibern: Standort 1 bei der LWLcom GmbH, Ladestraße 35a, 28197 Bremen; Standort 2 bei der CSN-Solutions GmbH, Kastanienallee 11, 23899 Gudow. Der physische Zutritt wird durch die Zutrittskontrollsysteme der jeweiligen Standortbetreiber beschränkt (Vereinzelung, Berechtigungsverwaltung, Protokollierung).
• Zugangskontrolle (Systeme): personenbezogene Konten, rollenbasierte Berechtigungen, Zwei-Faktor-Authentifizierung für das Kundenpanel sowie zusätzliche 2FA-Freigaben (Step-up) für besonders sensible Administrationsfunktionen; administrativer Zugriff auf die Infrastruktur ausschließlich über SSH mit Schlüssel-Authentifizierung, Passwort-Anmeldung ist deaktiviert, Zugriff nur aus dem internen Verwaltungsnetz bzw. über die verschlüsselte Standortkopplung.
• Zugriffskontrolle (Berechtigungen): Least-Privilege-Prinzip, u. a. getrennte Datenbankrollen mit bewusst beschränkten (teils spaltengenauen) Rechten für Web- und Hintergrundprozesse; Zugriff auf Inhaltsdaten der Kunden nur zu Betriebs-, Sicherheits- und Missbrauchszwecken (vgl. § 1 Abs. 2).
• Trennungskontrolle: Mandantentrennung durch Virtualisierung (dedizierte virtuelle Server je Kunde), getrennte Netzsegmente sowie Kubernetes-Namespaces mit restriktiven Pod-Security-Vorgaben und Default-Deny-Netzwerkrichtlinien für die Verwaltungsplattform.
• Verschlüsselung und Pseudonymisierung: TLS-Verschlüsselung für alle externen Verbindungen zum Kundenpanel und zu den Verwaltungsschnittstellen (Cloudflare als vorgelagerter Proxy, verschlüsselte Origin-Verbindung); verschlüsselte Standortkopplung zwischen den Rechenzentren mittels WireGuard; verschlüsselte Backups der Verwaltungsplattform auf selbst betriebenem S3-kompatiblem Speicher; Passwörter werden ausschließlich als Hash gespeichert. Eine Verschlüsselung der VM-Datenträger im Ruhezustand erfolgt derzeit nicht; der Schutz gespeicherter Kundendaten beruht insoweit auf den physischen Zutrittskontrollen der Standorte und der logischen Mandantentrennung. Der Verantwortliche kann seine Datenträger innerhalb der VM eigenverantwortlich verschlüsseln (Root-Zugriff, z. B. LUKS).
• Eingabe- und Nachvollziehbarkeitskontrolle: Protokollierung sicherheitsrelevanter Ereignisse, u. a. Anmeldevorgänge (Login-Audit), Zuordnungshistorie von IP-Adressen zu Servern und Kundenkonten, Administrations-Audit-Log sowie ein append-only Einwilligungs- und Vertragsnachweis-Log.
• Verfügbarkeitskontrolle: redundanter Betrieb der Verwaltungsplattform über zwei Standorte (mehrfach ausgelegte Anwendungsinstanzen, standortübergreifend replizierte Datenbank, ausfallsichere Warteschlangen-Infrastruktur); redundante Strom- und Netzanbindung der Standorte, die nach Angabe der Standortbetreiber Tier-3-Niveau entsprechen (redundante, gleichzeitig wartbare Versorgungspfade); DDoS-Abschirmung der Panel-Domains durch Cloudflare; Monitoring und Alarmierung.
• Wiederherstellbarkeit: regelmäßige Backups der Verwaltungsplattform mit definierten Wiederherstellungsverfahren; Wiederherstellungstests mindestens jährlich. Backups der Kundenserver werden nur erstellt, soweit der Verantwortliche die Backup-Funktion gebucht bzw. aktiviert hat; sie liegen auf vom Auftragsverarbeiter selbst betriebenem Speicher; die Verschlüsselung der VM-Backups wird derzeit schrittweise eingeführt und ist noch nicht für alle Backup-Speicher abgeschlossen; Aufbewahrung nach Maßgabe des gebuchten Backup-Plans (Leistungsbeschreibung).
• Auftragskontrolle: sorgfältige Auswahl von Unterauftragsverarbeitern, Abschluss von Auftragsverarbeitungsverträgen mit diesen (vgl. § 6 und Anlage 3), klare interne Zuständigkeiten, Geheimhaltungsverpflichtung des eingesetzten Personals.
• Löschkonzept: Löschroutine bei Vertragsende gemäß § 9 (Stopp des Servers mit Vertragsende, Löschung frühestens 7 Tage danach, auf Wunsch 30-tägiges Abruf-Archiv); Geheimnisverwaltung ohne Klartext-Ablage; dokumentierter Umgang mit Datenträgern bei Hardware-Ausmusterung: sicheres Löschen ausgemusterter Datenträger nach NIST SP 800-88; bei defekten oder nicht löschbaren Datenträgern physische Vernichtung durch einen zertifizierten Dienstleister nach DIN 66399 mit Vernichtungsnachweis.
• Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO): Weiterentwicklung der Maßnahmen nach dem Stand der Technik, dokumentierte Betriebs- und Notfall-Runbooks, Überprüfung der Zugriffsrechte und der Maßnahmen mindestens jährlich sowie anlassbezogen.

Anlage 3: Genehmigte Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter sind mit Abschluss dieses AVV genehmigt (§ 6).

• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA. Content Delivery Network, Reverse Proxy und DDoS-Schutz für die Domains des Auftragsverarbeiters. Betroffen sind Daten des Verantwortlichen nur, soweit sein Datenverkehr über diese Domains geleitet wird (insbesondere Nutzung des Kundenpanels und der darüber bereitgestellten Remote-Konsole); der direkte Netzverkehr zu den Server-IP-Adressen des Verantwortlichen läuft nicht über Cloudflare. Drittlandsbezug: USA. Garantien nach Kapitel V DSGVO: EU-US Data Privacy Framework, solange und soweit Cloudflare dort zertifiziert ist, sowie ergänzend und hilfsweise EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) gemäß dem Cloudflare Customer Data Processing Addendum (Fassung v6.4 vom 03.04.2026 oder jeweils aktuelle Fassung). Der Datenverkehr der Remote-Konsole läuft über die Cloudflare-Domains und ist damit vom beschriebenen Umfang erfasst.
• LWLcom GmbH, Ladestraße 35a, 28197 Bremen (Rechenzentrums-/Colocation-Betreiber Standort 1). Bereitstellung von Rechenzentrumsfläche, Strom, Klimatisierung und physischer Sicherheit für die eigene Hardware des Auftragsverarbeiters. Kein regulärer Zugriff auf Daten; physischer Zugriff auf die Systeme ist nicht ausgeschlossen. Kein Drittlandsbezug (Deutschland).
• CSN-Solutions GmbH, Kastanienallee 11, 23899 Gudow (Rechenzentrums-/Colocation-Betreiber Standort 2). Wie Standort 1. Kein Drittlandsbezug (Deutschland).

Hinweis: Der Zahlungsdienstleister Stripe und der E-Mail-Versanddienst Amazon SES (Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg) werden nicht als Unterauftragsverarbeiter geführt. Stripe verarbeitet Zahlungsdaten für die eigene Rechnungsstellung des Auftragsverarbeiters; Amazon SES versendet ausschließlich eigene Transaktions- und Vertragsmitteilungen des Auftragsverarbeiters an den Verantwortlichen. In beiden Fällen ist der Auftragsverarbeiter selbst Verantwortlicher; personenbezogene Daten von den Servern des Verantwortlichen werden hierüber nicht verarbeitet. Einzelheiten enthält die Datenschutzerklärung des Auftragsverarbeiters.