Auftragsverarbeitungsvertrag (AVV)

Stand: 14.09.2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden als Verantwortlichem (nachfolgend "Verantwortlicher") und der gh0stservice GmbH, Else-Lang-Str. 10, 50858 Köln, Deutschland, als Auftragsverarbeiterin (nachfolgend "Auftragsverarbeiter").

1. Gegenstand und Geltung

1. Dieser Vertrag regelt die Rechte und Pflichten der Parteien, soweit der Auftragsverarbeiter im Rahmen der Leistungen gh0stcloud Self-Service, Managed-Pakete oder Beratung (nachfolgend "Hauptvertrag") personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
2. Dieser Vertrag wird mit Abschluss des Hauptvertrags elektronisch vereinbart (Art. 28 Abs. 9 DSGVO) und gilt für dessen Laufzeit sowie darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.
3. Gegenstand, Art und Zweck der Verarbeitung, die Art der Daten und die Kategorien betroffener Personen beschreibt Anlage 1. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag und den AGB vor.

2. Weisungen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.
2. Dokumentierte Weisungen sind der Hauptvertrag, dieser Vertrag, die Konfiguration, die der Verantwortliche über Portal, gh0stcli, Programmierschnittstellen oder sein Git-Repository vornimmt, sowie Einzelweisungen in Textform.
3. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

3. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugang erhalten nur Personen, die ihn für die Erbringung der Leistungen benötigen.

4. Sicherheit der Verarbeitung

1. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.
3. Der Verantwortliche ist für die Sicherheit der Anwendungen, Konfigurationen und Zugänge verantwortlich, die er selbst auf der Plattform betreibt und steuert.

5. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 3; ihr Einsatz gilt als genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines Unterauftragsverarbeiters in Textform an die im Konto hinterlegte E-Mail-Adresse und aktualisiert Anlage 3. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Die Parteien bemühen sich dann um eine einvernehmliche Lösung. Gelingt dies nicht, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes kündigen.
3. Externe Betriebsfachkräfte, die der Auftragsverarbeiter im Vertretungs- oder Störungsfall hinzuziehen kann, erhalten Zugang zu personenbezogenen Daten des Verantwortlichen nur mit dessen vorheriger Zustimmung im Einzelfall.
4. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Er haftet gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.
5. Nicht als Unterauftragsverhältnisse gelten Nebenleistungen, bei denen kein Zugriff auf personenbezogene Daten des Verantwortlichen erfolgt, etwa Telekommunikationsleistungen oder die Ausstellung von TLS-Zertifikaten auf Grundlage von Hostnamen.

6. Verarbeitungsort und Drittlandübermittlungen

Die Verarbeitung erfolgt ausschließlich in Rechenzentren in Deutschland. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur nach vorheriger Zustimmung des Verantwortlichen in Textform und unter Einhaltung der Art. 44 ff. DSGVO statt.

7. Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.
2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. Unterstützungsleistungen, die über die Bereitstellung der Funktionen der Plattform und der in diesem Vertrag genannten Informationen hinausgehen und nicht auf einem Verstoß des Auftragsverarbeiters beruhen, kann der Auftragsverarbeiter nach dem vereinbarten Stundensatz vergüten lassen.

8. Verletzungen des Schutzes personenbezogener Daten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist.
2. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Nicht sofort verfügbare Angaben reicht er schrittweise nach.
3. Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung einzudämmen und ihre nachteiligen Folgen zu mindern.

9. Löschung und Rückgabe

1. Nach Ende der Leistungserbringung gelten zunächst die Regelungen zum Anbieterwechsel und zur Datenübertragung der AGB (Ziffer 12). Der Verantwortliche kann seine Daten danach mindestens 30 Kalendertage abrufen.
2. Nach Ablauf dieses Zeitraums löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht nach dem Recht der Union oder eines Mitgliedstaats eine Pflicht zur Speicherung besteht. Sicherungskopien werden im regulären Rotationszyklus spätestens 30 Tage nach der Löschung überschrieben.
3. Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

10. Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere diese Vereinbarung mit Anlagen, eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen und vorhandene Nachweise seiner Unterauftragsverarbeiter.
2. Der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragsverarbeiters ist, kann Überprüfungen einschließlich Inspektionen durchführen. Vor-Ort-Prüfungen sind mit einer Frist von mindestens 30 Tagen anzukündigen, finden während der Geschäftszeiten statt und dürfen den Betrieb und die Vertraulichkeit der Daten anderer Kunden nicht gefährden. Sie sind außer bei konkreten Anhaltspunkten für einen Verstoß oder nach einer Datenschutzverletzung auf einmal pro Kalenderjahr beschränkt.
3. Die Kosten einer Prüfung trägt der Verantwortliche, es sei denn, die Prüfung ergibt einen wesentlichen Verstoß des Auftragsverarbeiters.
4. Die Rechte der Aufsichtsbehörden bleiben unberührt.

11. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

12. Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Für Änderungen, die der Auftragsverarbeiter vorschlägt, gilt Ziffer 17 der AGB entsprechend.
2. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Beschreibung der Verarbeitung

Gegenstand und Zweck: Bereitstellung und Betrieb der Plattform gh0stcloud zur Ausführung von Anwendungen des Verantwortlichen, einschließlich Rechenleistung, Speicher, Datenbanken, Netzwerk, Zertifikaten, Geheimnisverwaltung, Überwachung, Protokollierung, Datensicherung und Support. Bei Managed-Paketen zusätzlich Einrichtung, Aktualisierung, Überwachung, Sicherung und Wiederherstellung der betreuten Anwendungen nach der Leistungsbeschreibung. Bei Beratung Zugriff auf Systeme des Verantwortlichen, soweit für den Auftrag erforderlich.

Art der Verarbeitung: Speichern, Organisieren, Sichern, Wiederherstellen, Übertragen, Auslesen im Rahmen von Support und Fehleranalyse, Löschen.

Dauer: Laufzeit des Hauptvertrags zuzüglich der Zeiträume nach Ziffer 9.

Kategorien betroffener Personen: vom Verantwortlichen bestimmt, typischerweise Beschäftigte, Nutzerinnen und Nutzer seiner Anwendungen, Kunden, Interessenten, Lieferanten und sonstige Kontaktpersonen des Verantwortlichen.

Art der personenbezogenen Daten: vom Verantwortlichen bestimmt, typischerweise Kontakt- und Stammdaten, Nutzungs- und Protokolldaten seiner Anwendungen, Inhalte und Dateien, Kommunikationsdaten, Vertrags- und Abrechnungsdaten seiner eigenen Kunden. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur verarbeitet, wenn der Verantwortliche sie in seine Anwendungen einbringt; er prüft in diesem Fall, ob die beschriebenen Maßnahmen dafür angemessen sind.

Verarbeitungsorte: Rechenzentren der Hetzner Online GmbH in Deutschland.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle

• Die Systeme laufen ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland, die nach ISO/IEC 27001 zertifiziert sind und über Zutrittskontrollsysteme, Videoüberwachung und Sicherheitspersonal verfügen.
• Der Auftragsverarbeiter betreibt keine eigenen Serverräume, in denen Daten des Verantwortlichen verarbeitet werden.

Zugangskontrolle

• Zentrale Anmeldung über Keycloak mit personenbezogenen Konten; keine gemeinsam genutzten Administrationskonten.
• Mehr-Faktor-Authentifizierung ist für alle administrativen Zugänge verpflichtend, insbesondere für Keycloak, die Hetzner-Verwaltung, GitLab und die Geheimnisverwaltung.
• Administrativer Zugriff auf die Cluster erfolgt über ein verschlüsseltes privates Netzwerk (WireGuard-basiert).
• Automatische Beendigung inaktiver Sitzungen.

Zugriffskontrolle

• Rollen- und Berechtigungskonzept nach dem Prinzip der minimalen Rechte.
• Zugangsdaten, Schlüssel und Tokens werden in einer zentralen Geheimnisverwaltung (OpenBao) mit auf einzelne Projekte beschränkten Zugriffsrechten gespeichert.
• Kunden erhalten keine Administratorrechte auf Cluster-Ebene.

Trennungskontrolle

• Anwendungen verschiedener Kunden laufen in getrennten Namensräumen mit Netzwerkregeln, die Verkehr zwischen Mandanten standardmäßig unterbinden.
• Richtlinien bei der Aufnahme von Arbeitslasten erzwingen sichere Voreinstellungen, unter anderem den Betrieb ohne Root-Rechte und Ressourcenlimits.
• Entwicklungs- und Produktionsumgebungen laufen in getrennten Clustern.

Pseudonymisierung

• Interne Verarbeitungen, etwa Abrechnung und Metriken, verwenden technische Kennungen statt Klarnamen, soweit möglich.

2. Integrität

Weitergabekontrolle

• Öffentliche Endpunkte sind ausschließlich per TLS erreichbar; Zertifikate werden automatisiert erneuert.
• Administrative Verbindungen laufen über verschlüsselte Kanäle.

Eingabekontrolle

• Änderungen an Plattform und Anwendungen erfolgen über Git mit vollständiger Versionshistorie (GitOps); Abweichungen vom festgelegten Zustand werden automatisch zurückgesetzt.
• Auditprotokolle der Kubernetes-Programmierschnittstellen werden 12 Monate aufbewahrt; Anmeldeereignisse werden protokolliert.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung von Datenbanken und persistenten Daten in Objektspeicher in Deutschland, bei Managed-Paketen nach der Leistungsbeschreibung.
• Betrieb auf mehreren Servern mit automatischem Neustart und Verlagerung ausgefallener Komponenten.
• Automatisierte Überwachung rund um die Uhr mit Alarmierung.
• Schutz vor volumetrischen Angriffen durch die Infrastruktur des Rechenzentrumsbetreibers.

4. Wiederherstellbarkeit

• Dokumentierte Wiederherstellungsverfahren.
• Wiederherstellungstests bei Managed-Paketen in den dort vereinbarten Abständen.

5. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Überwachung von Abhängigkeiten auf neue Versionen und Sicherheitslücken mit geprüftem Aktualisierungsprozess.
• Verfahren zur Bearbeitung von Sicherheitsvorfällen und zur Meldung von Datenschutzverletzungen.
• Verfahren zur Entgegennahme und Behandlung gemeldeter Sicherheitslücken.
• Überprüfung dieser Maßnahmen mindestens jährlich und bei wesentlichen Änderungen.
• Verpflichtung aller Beschäftigten auf Vertraulichkeit und Datenschutz.

Anlage 3: Unterauftragsverarbeiter

Eine Übermittlung in Drittländer findet nicht statt. Alle übrigen Systeme betreibt der Auftragsverarbeiter selbst auf dieser Infrastruktur.

Im Einzelfall nach Zustimmung: externe Betriebsfachkräfte (natürliche Personen mit Sitz in der Europäischen Union) für Vertretung und Störungsbeseitigung, siehe Ziffer 5.3.