Auftragsverarbeitungsvertrag (AVV)

Version avv@2026-11-11.1 · gültig ab 11.11.2026

Vorlage — dieser Text muss vor der Veröffentlichung von einer Rechtsanwältin oder einem Rechtsanwalt geprüft werden. Markierte Platzhalter füllt der Betreiber aus.

1. Parteien und Gegenstand

Dieser Vertrag gilt zwischen dem Unternehmen, das Nexa AI nutzt (Verantwortlicher), und [Platzhalter: Firmenname mit Rechtsform], [Platzhalter: Straße und Hausnummer], [Platzhalter: PLZ und Ort] (Auftragsverarbeiter). Er regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter bei der Bereitstellung der Plattform im Auftrag des Verantwortlichen durchführt. Er wird mit der Bestätigung beim Anmelden geschlossen und ist Bestandteil der Nutzungsbedingungen.

2. Art, Zweck und Umfang der Verarbeitung

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Nutzungsbedingungen, die Einstellungen und Handlungen des Verantwortlichen in der Plattform sowie schriftliche Einzelweisungen. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.

4. Vertraulichkeit

Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Zugriff durch den Support erfolgt nur nach Freigabe durch den Verantwortlichen, zeitlich begrenzt und vollständig protokolliert.

5. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12–22 DSGVO), bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Anfragen der Aufsichtsbehörden. Eine Verletzung des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden.

8. Löschung und Rückgabe

Nach Vertragsende kann der Verantwortliche seine Daten innerhalb von 30 Tagen exportieren. Danach löscht der Auftragsverarbeiter die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien werden im Rahmen der regulären Aufbewahrung (höchstens sechs Monate) überschrieben.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer nach angemessener Ankündigung.

10. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen in Fragen des Datenschutzes vor. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit — Zutritt

• Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH in Deutschland (Server in Falkenstein, FSN1) mit Zutrittskontrolle, Videoüberwachung und 24/7-Personal (laut den technischen und organisatorischen Maßnahmen von Hetzner).
• Kein Betrieb auf Arbeitsplatzrechnern; Kundendaten liegen nicht auf Notebooks des Betreibers.

Vertraulichkeit — Zugang

• Server-Zugang nur per SSH-Schlüssel (Passwort- und Root-Anmeldung abgeschaltet, automatische Sperre bei wiederholten Fehlversuchen); Firewall lässt nur die Ports 22, 80 und 443 zu, alle Dienste laufen intern hinter einem HTTPS-Proxy.
• Benutzerpasswörter werden nur als scrypt-Hash gespeichert; Sitzungen sind zufällige Schlüssel, die auf dem Server nur als Hash liegen, und laufen nach höchstens 12 Stunden ab.
• Zwei-Faktor-Anmeldung für die Betreiberkonten bei den Dienstleistern (Hetzner und GitHub aktiv; Hostinger vor Go-live einschalten); Zwei-Faktor-Anmeldung in den Portalen ist in Umsetzung.

Vertraulichkeit — Zugriff und Trennung

• Jedes Unternehmen ist ein eigener Mandant: Die Datenbank erzwingt die Trennung mit Row-Level Security für jede Tabelle (die Anwendung kann die Prüfung nicht umgehen); automatische Tests prüfen bei jeder Änderung, dass jede Tabelle geschützt ist.
• Rollen und Rechte je Unternehmen (z. B. Inhaber, Verwaltung, Lager, Buchhaltung); jede Aktion wird serverseitig gegen das Recht geprüft.
• Daten werden zwischen Unternehmen nur über ausdrückliche, widerrufliche Freigaben geteilt.
• Zugangsdaten zu angebundenen Diensten werden mit AES-256-GCM verschlüsselt gespeichert und nie protokolliert.

Integrität

• Übertragung ausschließlich verschlüsselt (HTTPS/TLS); E-Mails werden über STARTTLS versendet.
• Unveränderliches Änderungsprotokoll: wer hat wann was geändert — Einträge können nachträglich nicht bearbeitet oder gelöscht werden.
• Dateien werden nie überschrieben, sondern versioniert.

Verfügbarkeit und Belastbarkeit

• Gespiegelte Festplatten (RAID 1) im Server; Überwachung von Diensten, Speicher und Festplattenzustand mit Alarmierung.
• Fortlaufende Sicherung der Datenbank (Wiederherstellung auf jeden Zeitpunkt der letzten 35 Tage) und tägliche Sicherung der Dateien; Sicherungen werden vor dem Hochladen mit AES-256 verschlüsselt und auf einem getrennten Speicher (Hetzner Storage Box) abgelegt.
• Wöchentlicher, automatischer Test der Wiederherstellung; Ziel: höchstens 15 Minuten Datenverlust und höchstens 4 Stunden Ausfall bei einem Totalausfall.
• Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.

Verfahren zur regelmäßigen Überprüfung

• Jede Änderung der Software durchläuft automatische Prüfungen (Tests, Sicherheitsregeln, Mandantentrennung), bevor sie ausgeliefert wird.
• Vor jeder Auslieferung wird eine geprüfte Sicherung der Datenbank erstellt.
• Überprüfung dieser Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen.

Die Maßnahmen beschreiben den geplanten Produktionsbetrieb (Server, Speicher und Sicherungen werden mit der Inbetriebnahme aktiv). Vor Go-live mit dem tatsächlichen Stand abgleichen.

Anlage 2 — Genehmigte Unterauftragsverarbeiter