Auftrags­verarbeitungs­vertrag (AVV)

1. Parteien, Gegenstand und Dauer

Auftraggeber und Verantwortlicher ist das Unternehmen, das Zettelruhe Cloud für seine Geschäftsdaten nutzt. Vorgesehener Auftragnehmer und Auftragsverarbeiter ist Kristian Feichtinger, Einzelunternehmer, Geschäftsbezeichnung Feichtinger.IT, Rosenpfad 38, 53881 Euskirchen, Deutschland; Kontakt: kontakt@zettelruhe.de.

Gegenstand ist die Verarbeitung personenbezogener Kundeninhalte beim Hosting von Zettelruhe Cloud einschließlich Betrieb, Support, Datensicherung und E-Mail-Versand von Geschäftsdokumenten. Die Verarbeitung ist für die Dauer der beauftragten Leistungen vorgesehen; Rückgabe und Löschung werden in Abschnitt 10 geregelt. Eigene Zwecke des Anbieters, etwa die Abrechnung des Cloudabos, sind von dieser Verarbeitung zu unterscheiden und in der Datenschutzerklärung beschrieben.

Zu prüfende Betreiber-/Rechtsangabe: Vollständige Vertragsdaten des Auftraggebers, Zuordnung zum Cloudvertrag, Beginn, verbindliche Fassung und dokumentierter Abschluss des AVV ergänzen. Rollenabgrenzung für Verwaltungs-, Sicherheits- und Abrechnungsdaten abschließend prüfen.

2. Art und Zweck der Verarbeitung

Die Cloud speichert, ordnet und stellt Geschäftsdaten für die Buchhaltungs- und Büroorganisation bereit. Dazu gehören Angebote, Rechnungen, Kontakte, Belege und Dateien sowie deren Bearbeitung, Abruf, Export, Sicherung und Löschung. Auf Veranlassung des Kunden werden Geschäftsdokumente über die von Zettelruhe bereitgestellte Mail-Infrastruktur versendet. Der Firmenbezug erscheint im Absender; Kundenantworten werden an die hinterlegte geschäftliche Antwortadresse geleitet. Supportzugriffe sind auf den jeweiligen Auftrag und das Erforderliche zu begrenzen.

3. Kategorien personenbezogener Daten

• Namen, Firmenbezüge, Anschriften und Kontaktdaten aus Kunden-, Lieferanten- und Ansprechpartnerdaten.
• Angebots-, Rechnungs-, Leistungs-, Zahlungs- und Buchhaltungsdaten sowie Belege, Dokumente und Anhänge.
• Beim Dokumentenversand: Empfänger-E-Mail-Adresse, Absender-/Firmenbezug, geschäftliche Antwortadresse, Betreff, Nachrichtentext, Anhänge sowie technische Versand- und Fehlerdaten.
• Nutzerzuordnungen und für den beauftragten Betrieb erforderliche technische Zugriffs-, Support- und Sicherheitsdaten.

Zu prüfende Betreiber-/Rechtsangabe: Datenumfang je Kundenauftrag bestätigen. Der Umgang mit besonderen Datenkategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO ist vor einer entsprechenden Nutzung gesondert zu klären; eine besondere Eignung wird hier nicht zugesagt.

4. Kategorien betroffener Personen

Je nach Nutzung sind Kunden und Interessenten des Auftraggebers, Lieferanten, Dienstleister, deren Ansprechpartner sowie Beschäftigte und sonstige berechtigte Nutzer betroffen. Weitere in Dokumenten enthaltene Personen sind durch den Auftraggeber bei der Festlegung des Verarbeitungsumfangs zu berücksichtigen.

5. Rechte des Auftraggebers und Weisungsbindung

Der Auftraggeber verantwortet die Rechtmäßigkeit seiner Datenverarbeitung, die Information betroffener Personen und die Auswahl der eingegebenen Daten und Empfänger. Der Auftragnehmer verarbeitet auf dokumentierte Weisung, auch bei Drittlandübermittlungen. Gesetzlich zwingende Abweichungen werden vorab mitgeteilt, soweit zulässig. Bei datenschutzwidrigen Weisungen informiert er den Auftraggeber unverzüglich.

Zu prüfende Betreiber-/Rechtsangabe: Weisungsberechtigte Personen, Empfangsberechtigte, Dokumentationsweg und Verfahren zur Klärung strittiger Weisungen festlegen. Kontakt ist zunächst kontakt@zettelruhe.de; die Berechtigung ist vor Ausführung zu prüfen.

6. Vertraulichkeit

Zugriff erhalten nur erforderliche, zur Vertraulichkeit verpflichtete oder gesetzlich entsprechend gebundene Personen. Diese Bindung besteht nach Tätigkeitsende fort.

Zu prüfende Betreiber-/Rechtsangabe: Berechtigtenkreis einschließlich Administration, Support und Vertretung sowie Verpflichtungs- und Schulungsnachweise dokumentieren. Aus dem bisherigen Support durch den Betreiber folgt kein Nachweis einer vollständigen Vertretungsregelung.

7. Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer trifft risikogerechte Maßnahmen gemäß Art. 32 DSGVO. Als bisher dokumentierter Bestand liegen vor: getrennte Cloud-Instanzen, hostgebundene Sessioncookies mit Secure und HttpOnly, zeitlich begrenzte Verifikations- und Zugangslinks sowie verschlüsselte Betriebsbackups. Tenant-Initialarchive werden mit Age, Infrastrukturbackups mit Restic verschlüsselt; der private Age-Schlüssel liegt außerhalb des Produktionsservers. Beszel und Uptime Kuma dienen der Betriebsüberwachung. Diese Angaben sind keine Zertifizierung und ersetzen keine vollständige TOM-Anlage.

Zu prüfende Betreiber-/Rechtsangabe – TOM-Anlage fehlt: Zutritts-, Zugangs- und Berechtigungskontrolle, Mandantentrennung, Übertragungs- und Speicherschutz einschließlich Mailversand, Protokollierung, Patchmanagement, Backupumfang, Wiederherstellungstests, Schlüsselvertretung, Notfallverfahren und regelmäßige Wirksamkeitsprüfung mit Verantwortlichkeiten und Nachweisen ergänzen. Keine pauschale Datenbankverschlüsselung oder feste Wiederherstellungszeit wird aus dem dokumentierten Bestand abgeleitet.

8. Unterauftragsverarbeiter und Verarbeitungsorte

Dokumentiert sind netcup am Standort Nürnberg für produktives Hosting und den eigenen Mailserver sowie Hetzner am Standort Falkenstein für externe Backups. Dies sind bestätigte Anbieter- und Standortangaben, keine vollständige genehmigte Unterauftragnehmerliste.

Weitere Auftragsverarbeiter erfordern vorherige schriftliche Genehmigung. Bei allgemeiner Genehmigung werden Änderungen vorab mitgeteilt und Einsprüche ermöglicht. Gleichwertige Datenschutzpflichten sind weiterzugeben; der Auftragnehmer bleibt für ihre Einhaltung verantwortlich.

Zu prüfende Betreiber-/Rechtsangabe – Unterauftragnehmeranlage fehlt: Vollständige juristische Firmierungen, Anschriften, Leistungsumfang, Verträge und weitere Verarbeitungsketten belegen; Genehmigungsform, Änderungsmitteilung und Einspruchsverfahren festlegen. Mögliche Drittlandzugriffe und Übermittlungsgrundlagen prüfen. Stripe zur Cloudabo-Abrechnung darf ohne Rollenprüfung nicht als Unterauftragsverarbeiter für gehostete Kundeninhalte eingeordnet werden.

9. Unterstützung und Datenschutzvorfälle

Der Auftragnehmer unterstützt bei Betroffenenrechten und den Pflichten nach Art. 32 bis 36 DSGVO. Bekannt gewordene Datenschutzverletzungen meldet er dem Auftraggeber unverzüglich und unterstützt Aufklärung, Eindämmung sowie dessen Meldungen und Benachrichtigungen. Direkt eingehende Betroffenenanfragen leitet er zur Bearbeitung weiter, soweit sie die Auftragsdaten betreffen.

Zu prüfende Betreiber-/Rechtsangabe: Melde- und Eskalationskontakte beider Parteien, Vertretung, sichere Übermittlung, Informationsumfang und dokumentierte Abläufe für Vorfälle, Betroffenenanfragen und Datenschutz-Folgenabschätzungen festlegen. Der veröffentlichte Kontakt ist kontakt@zettelruhe.de; daraus folgt kein zugesagter 24/7-Support.

10. Löschung und Rückgabe nach Vertragsende

Nach Leistungsende werden die Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht; Kopien werden gelöscht, soweit keine gesetzliche Speicherpflicht entgegensteht. Vertraulichkeit und Zweckbindung gelten für verbleibende Daten fort.

Das bisher vorgesehene Betriebskonzept umfasst nach bestätigtem Vertragsende 30 Tage gesperrte produktive Aufbewahrung und anschließend höchstens weitere 35 Tage in regulären Backups. Es ist noch nicht vollständig technisch umgesetzt und abgenommen und wird durch diesen Entwurf nicht zur zugesagten Löschfunktion. Betriebsbackups sind kein Kundenarchiv. Die bisherigen App-Exporte während des freigegebenen Zugangs ersetzen keine vereinbarte Rückgabe nach Vertragsende.

Zu prüfende Betreiber-/Rechtsangabe: Verbindliche Fristen je Datenklasse, insbesondere Versanddaten, Postfächer und Providerlogs, sichere Rückgabeformate und -wege, Wahlrechtsverfahren, Backupablauf, gesetzliche Ausnahmen und Löschbestätigung festlegen und technisch nachweisen. Die Rückgaberegelung mit den bisherigen Export- und Sperrbedingungen der AGB abstimmen.

11. Kontrolle und Nachweise

Der Auftragnehmer stellt erforderliche Nachweise bereit und ermöglicht Kontrollen einschließlich Inspektionen durch den Auftraggeber oder dessen Prüfer. Er wirkt daran mit.

Zu prüfende Betreiber-/Rechtsangabe: Ansprechpartner, verfügbare Nachweise, Verfahren und organisatorische Durchführung der Kontrollen vereinbaren; Rechte anderer Kunden und Vertraulichkeit berücksichtigen, ohne gesetzliche Kontrollrechte auszuschließen. Vollständige TOM- und Unterauftragnehmeranlagen sowie Abschlussnachweis stehen noch aus.