Vertrag zur Auftragsverarbeitung (AVV / DPA)

Vereinbarung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und der 72IT GmbH (Auftragsverarbeiter).

Präambel und Parteien

Diese Vereinbarung konkretisiert die Pflichten der Parteien zum Datenschutz, die sich aus der Nutzung des Dienstes „lionbackup“ ergeben. Sie gilt für alle Verarbeitungstätigkeiten, bei denen die 72IT GmbH, Vogelsangstraße 11, 72144 Dußlingen, Deutschland (nachfolgend „Auftragsverarbeiter“) personenbezogene Daten im Auftrag und nach Weisung des Kunden (nachfolgend „Verantwortlicher“) verarbeitet.

1. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die verschlüsselte Speicherung, Aufbewahrung und Wiederherstellung der vom Verantwortlichen übermittelten Backup-Daten sowie die Verwaltung der zugehörigen Konten und Metadaten im Rahmen des Dienstes. Die Dauer der Verarbeitung entspricht der Laufzeit des zugrunde liegenden Hauptvertrags zuzüglich der gesetzlichen bzw. vertraglich vereinbarten Vorhalte- und Löschfristen.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient der Erbringung des Cloud-Backup-Dienstes. Hierzu zählen das Empfangen und Speichern verschlüsselter Datenobjekte über die Speicher-Endpunkte (Citadels), die unveränderbare Aufbewahrung während der Vorhaltezeit, die Bereitstellung von Daten zur Wiederherstellung sowie der Betrieb des Kundenportals und der zugehörigen Verwaltungsfunktionen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

3. Art der personenbezogenen Daten

Gegenstand der Verarbeitung können insbesondere sein:

• Stammdaten der Nutzerkonten (Name, E-Mail-Adresse, Organisations- und Projektzugehörigkeit);
• Authentifizierungs- und Zugriffsdaten (Token-Bezeichner, Rollen, Anmeldevorgänge);
• Nutzungs- und Protokolldaten (Zeitstempel, Volumina, Vorgänge, technische Ereignisse);
• die vom Verantwortlichen gesicherten Inhaltsdaten – soweit clientseitig verschlüsselt, liegen diese dem Auftragsverarbeiter nur als Geheimtext vor.

Konkrete Datenkategorien werden im finalen AVV abschließend spezifiziert.

4. Kategorien betroffener Personen

Betroffen sein können je nach den vom Verantwortlichen gesicherten Inhalten:

• Beschäftigte und Ansprechpartner des Verantwortlichen (Nutzer des Portals);
• Kunden, Interessenten und Geschäftspartner des Verantwortlichen;
• sonstige Personen, deren Daten in den gesicherten Beständen enthalten sind.

Die tatsächlichen Kategorien bestimmt der Verantwortliche; sie werden im finalen AVV festgehalten.

5. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen;
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit;
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (siehe TOMs);
• unverzügliche Unterstützung und Information des Verantwortlichen bei Datenschutzverletzungen (Art. 33, 34 DSGVO);
• Unterstützung bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO);
• Führung eines Verzeichnisses aller Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO);
• Bereitstellung der zum Nachweis erforderlichen Informationen.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die vom Auftragsverarbeiter umgesetzten technischen und organisatorischen Maßnahmen sind in den TOMs beschrieben und Bestandteil dieser Vereinbarung. Sie umfassen u. a. Verschlüsselung der Übertragung und Speicherung, Netz- und Zonensegmentierung, Zugriffskontrollen mit Mehr-Faktor-Authentisierung sowie revisionssichere Protokollierung.

7. Unterauftragsverarbeiter (Subunternehmer)

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Unterauftragsverarbeiter (z. B. Infrastruktur- und Rechenzentrumsbetreiber) einzusetzen. Mit jedem Unterauftragsverarbeiter werden mindestens die gleichen datenschutzrechtlichen Pflichten vereinbart.

Der Auftragsverarbeiter teilt einen beabsichtigten Wechsel oder eine Hinzunahme mindestens 30 Tage im Voraus in Textform mit. Muss er einen Unterauftragsverarbeiter kurzfristig ersetzen, weil dieser das Vertragsverhältnis gekündigt oder seinen Betrieb eingestellt hat, informiert er unverzüglich (§ 11 der AGB). Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien innerhalb von 14 Tagen nach dem Widerspruch keine einvernehmliche Lösung, kann jede Partei den Hauptvertrag hinsichtlich der betroffenen Speicherzone außerordentlich kündigen; für die dort gespeicherten Objekte gilt § 11 Abs. 3 der AGB entsprechend.

Die eingesetzten Unterauftragsverarbeiter sind in Anlage 1 aufgeführt. Der Auftragsverarbeiter hält die Liste aktuell.

8. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12–23 DSGVO) zu beantworten. Richtet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

9. Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Speicherung folgt dem Lebenszyklus des Dienstes (gespeichert → abgelaufen → gelöscht → endgültige Entfernung); näheres regelt die Servicebeschreibung.

Für Daten in unveränderbarer Ablage (WORN) gilt ergänzend: Der Verantwortliche legt die Vorhaltezeit je Projekt selbst fest (Standard 30 Tage, höchstens 365 Tage) und weist den Auftragsverarbeiter damit an, diese Daten für die gewählte Dauer unveränderbar aufzubewahren. Eine Löschung oder Veränderung vor Ablauf der Vorhaltezeit ist technisch ausgeschlossen und deshalb auch dem Auftragsverarbeiter nicht möglich; eine hierauf gerichtete Weisung wird mit Ablauf der Vorhaltezeit ausgeführt. Die Löschung erfolgt unverzüglich nach deren Ablauf. Der Verantwortliche berücksichtigt dies bei der Wahl der Vorhaltezeit, insbesondere im Hinblick auf Betroffenenrechte (Art. 17 DSGVO) und auf eigene Löschkonzepte; er kann die Vorhaltezeit für künftige Sicherungen jederzeit verkürzen. Die Verarbeitung dieser Daten dauert dementsprechend bis zu ihrer Löschung an, auch wenn der Hauptvertrag im Übrigen zuvor endet (Ziffer 1).

10. Nachweise und Audits

Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen – einschließlich Inspektionen – durch den Verantwortlichen oder einen von diesem beauftragten Prüfer. Prüfungen sind rechtzeitig anzukündigen und so durchzuführen, dass der Betrieb nicht unverhältnismäßig beeinträchtigt wird.

Anlage 1: Unterauftragsverarbeiter (Stand: Oktober 2026)

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Rechenzentrum und Infrastruktur für die Backup-Zone und die Speicherzone de01-1 (Standort Nürnberg) sowie E-Mail-Dienst für Versand und Postfächer; Rechenzentren in Deutschland.