Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag zur Auftragsverarbeitung („AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Nutzung der Plattform „baru cloud". Er wird geschlossen zwischen dem Kunden als Verantwortlichem (Art. 4 Nr. 7 DSGVO) und der baru com GmbH, Konstanzer Straße 6, 10707 Berlin, als Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO).

Der AVV ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und wird mit Vertragsschluss deren Bestandteil. Bei Widersprüchen gehen für Fragen der Verarbeitung personenbezogener Daten die Regelungen dieses AVV den AGB vor.

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Erbringung der im Kundenportal gebuchten Dienste (u. a. Hosting virtueller Server und Anwendungen, Speicher, E-Mail, Telefonie).

Art und Zweck: Speicherung, Bereitstellung, Übermittlung und sonstige Verarbeitung im Umfang, der zur vertragsgemäßen Erbringung der Dienste erforderlich ist. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

Dauer: Der AVV gilt für die Laufzeit des Hauptvertrages. Er endet mit dessen Beendigung, unbeschadet der Löschungs- und Rückgabepflichten nach § 10.

Die konkreten Datenarten bestimmt der Verantwortliche durch die Inhalte, die er über die Dienste verarbeitet. Typischerweise umfasst dies:

• Stammdaten (z. B. Namen, Anschriften)
• Kontaktdaten (z. B. E-Mail-Adressen, Telefonnummern)
• Kommunikations- und Inhaltsdaten (z. B. Dateien, E-Mails, Dokumente)
• Nutzungs-, Verbindungs- und Metadaten

Kategorien betroffener Personen: u. a. Beschäftigte, Kunden, Interessenten, Lieferanten und sonstige Kontakte des Verantwortlichen. Die Verarbeitung besonderer Datenkategorien (Art. 9 DSGVO) erfolgt nur, soweit der Verantwortliche solche Daten einstellt; er trägt hierfür die Verantwortung.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. Die Nutzung der Dienste über das Kundenportal gilt als Weisung.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung bis zu einer Bestätigung auszusetzen.

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

Der Auftragsverarbeiter trifft die zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Diese sind in Anlage 1 beschrieben und werden fortlaufend an den Stand der Technik angepasst; ein gleichwertiges oder höheres Schutzniveau bleibt dabei gewahrt.

Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz der in Anlage 2 genannten Unterauftragnehmer. Der Auftragsverarbeiter verpflichtet Unterauftragnehmer auf ein Datenschutzniveau, das den Anforderungen dieses AVV entspricht.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragnehmer hinzuzuziehen oder zu ersetzen, informiert er den Verantwortlichen vorab in Textform. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO, u. a. Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten sowie bei Datenschutz-Folgenabschätzungen, jeweils unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen.

Der Auftragsverarbeiter meldet dem Verantwortlichen eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält die nach Art. 33 Abs. 3 DSGVO verfügbaren Angaben. Die Meldepflichten gegenüber der Aufsichtsbehörde und den betroffenen Personen obliegen dem Verantwortlichen.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen. Kontrollen erfolgen nach rechtzeitiger Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs; sie können auch durch Vorlage geeigneter Nachweise, Zertifizierungen oder Prüfberichte erfolgen.

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht bestehende Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Es gilt die Export- und Löschfrist nach § 13 der AGB (Datenrückgabe innerhalb von 30 Tagen, anschließend Löschung).

Die Verarbeitung findet in Rechenzentren innerhalb Deutschlands statt. Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur, soweit dies für einzelne Zusatzdienste (z. B. Zahlungsabwicklung) erforderlich ist, und nur unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO (insbesondere Angemessenheitsbeschluss oder Standardvertragsklauseln).

• Zutrittskontrolle: Betrieb in zertifizierten Rechenzentren in Deutschland mit Zutrittsschutz, Videoüberwachung und Zutrittsprotokollierung durch den Rechenzentrumsbetreiber.
• Zugangskontrolle: Zugang zu Systemen nur für berechtigte Personen; Authentifizierung über Schlüssel/starke Passwörter, Mehr-Faktor-Authentisierung bei administrativen Zugängen, gehärtete Management-Ebene.
• Zugriffskontrolle: rollenbasierte Berechtigungen, Least-Privilege-Prinzip, Protokollierung administrativer Zugriffe.
• Trennungskontrolle / Mandantentrennung: logische und netzseitige Trennung der Kundenumgebungen (u. a. getrennte Container/VMs, Netzsegmentierung, Firewalls).
• Weitergabe-/Transportkontrolle: Transportverschlüsselung (TLS); verschlüsselte Ablage sensibler Zugangsdaten.
• Eingabekontrolle: Protokollierung sicherheitsrelevanter Ereignisse und administrativer Änderungen.
• Verschlüsselung im Ruhezustand: Beim Produkt „Datensicherung" werden die abgelegten Daten serverseitig verschlüsselt gespeichert (AES-256). Die Schlüsselverwaltung liegt beim Auftragsverarbeiter. Für andere Produkte gilt diese Zusage nicht; dort bestehen die übrigen Maßnahmen dieser Anlage.
• Verfügbarkeitskontrolle: Backups nach gebuchtem Leistungsumfang, Monitoring und Alarmierung. Speichermedien sind gegen den Ausfall einzelner Datenträger abgesichert (RAID mit doppelter Parität). Eine Spiegelung über mehrere Rechenzentren hinweg ist nicht Bestandteil des Leistungsumfangs.
• Wiederherstellbarkeit: Beim Produkt „Datensicherung" werden überschriebene und gelöschte Dateien 30 Tage lang vorgehalten und können in diesem Zeitraum vom Verantwortlichen selbst wiederhergestellt werden.
• Auftragskontrolle: Verarbeitung nur nach Weisung, sorgfältige Auswahl und Verpflichtung von Unterauftragnehmern.

• Hetzner Online GmbH (Deutschland) — Server- und Rechenzentrumsinfrastruktur
• Stripe Payments Europe, Ltd. — Zahlungsabwicklung (nur bei Zahlung per Karte)
• PayPal (Europe) S.à r.l. et Cie, S.C.A. — Zahlungsabwicklung (nur bei Zahlung per PayPal)
• InterNetX GmbH (Deutschland) — Domain- und DNS-Dienste
• IONOS SE (Deutschland) — DNS-/Domain-Dienste
• Microsoft-Lizenzdistribution — nur bei Buchung von Microsoft-365-Lizenzen

Die jeweils aktuelle Liste stellt der Auftragsverarbeiter auf Anfrage bereit; über Änderungen wird nach § 6 informiert.