Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand: 09.08.2026

Dieser Auftragsverarbeitungsvertrag („AVV“) ergänzt den Hauptvertrag zwischen:

  • NextServ UG (haftungsbeschränkt), Randstraße 1, 22525 Hamburg, Deutschland, Vertretungsberechtigter Geschäftsführer: Justin Franke, als Auftragsverarbeiter
  • und dem jeweiligen Kunden als Verantwortlicher

gemeinsam „Parteien“.

Dieser AVV gilt ausschließlich im B2B-Bereich.

Bei Widersprüchen geht dieser AVV vor, soweit datenschutzrechtlich erforderlich.

1. Gegenstand und Dauer

  1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag und nach Weisung des Kunden zur Erbringung vertraglich vereinbarter Leistungen (insbesondere Hosting-, Speicher-, Infrastruktur-, Netzwerk- und Supportleistungen).
  2. Die Verarbeitung beginnt mit Bereitstellung der Leistungen und endet mit Vertragsende sowie Abschluss gesetzlicher Lösch- und Aufbewahrungspflichten.
  3. Der Kunde stellt sicher, dass er zur Beauftragung berechtigt ist, sofern er selbst für Dritte verarbeitet.
  4. Regelungen zur Verfügbarkeit, zu Service-Leveln (SLA) und zu Wartungsarbeiten ergeben sich ausschließlich aus dem Hauptvertrag (insbesondere § 5 Abs. 7 sowie § 4 Abs. 10 der AGB) und – soweit abgeschlossen – aus einem individuellen Service Level Agreement (SLA) für die jeweilige Leistung. Dieser AVV trifft hierzu keine eigenen Regelungen und verweist insoweit allein auf den Hauptvertrag bzw. das jeweils vereinbarte SLA, um Doppelregelungen und Widersprüche auszuschließen. Die Anbahnung und Verwaltung von Teams im Rahmen von NextServ+ for Teams betrifft die Kontenverwaltung des Kunden und begründet für sich keine zusätzliche Auftragsverarbeitung im Sinne dieses AVV; die Verarbeitung von Endkundendaten auf gehosteten Systemen bleibt unberührt.

2. Art und Zweck der Verarbeitung

  1. Art und Zweck richten sich nach den vom Kunden genutzten Leistungen.
  2. Verarbeitet werden können insbesondere:
  • Speicherung und Hosting von Daten
  • Bereitstellung von IT-Infrastruktur
  • Support- und Betriebsleistungen
  • Protokollierung zur Systemsicherheit
  1. Die inhaltliche Verantwortung für die Daten liegt beim Kunden.

3. Kategorien personenbezogener Daten

  1. Betroffene Personen:
  • Endkunden des Kunden
  • Mitarbeiter
  • Kommunikationspartner
  • sonstige vom Kunden verarbeitete Personen
  1. Datenkategorien:
  • Stammdaten und Kontaktdaten
  • Vertrags- und Abrechnungsdaten
  • Nutzungs- und Logdaten
  • Kommunikationsinhalte
  • Support- und Systemdaten

4. Weisungsrecht

  1. Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Kunden.
  2. Weisungen ergeben sich aus Vertrag, Nutzung oder dokumentierten Supportprozessen.
  3. Unrechtmäßige Weisungen werden zurückgewiesen.

5. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

  • vertrauliche Verarbeitung personenbezogener Daten
  • Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 32 DSGVO)
  • Unterstützung bei Betroffenenrechten
  • Unterstützung bei Datenschutzvorfällen
  • Führung eines Verzeichnisses, soweit erforderlich

6. Technische und organisatorische Maßnahmen (TOM)

Es gelten die aktuellen TOM unter: https://nextserv.eu/legal/tom

Der Auftragsverarbeiter kann diese anpassen, sofern das Sicherheitsniveau nicht wesentlich sinkt.

7. Unterauftragsverarbeitung

7.1 Grundsatz

Der Auftragsverarbeiter setzt Unterauftragsverarbeiter nur ein, soweit diese im Rahmen der datenschutzrechtlichen Definition des Art. 28 DSGVO personenbezogene Daten im Auftrag und nach Weisung des Auftragsverarbeiters verarbeiten.

7.2 Tatsächliche Unterauftragsverarbeiter

Unterauftragsverarbeiter im Sinne dieser Vereinbarung sind insbesondere:

  • Anbieter von Speicher-, Backup- und Betriebsinfrastruktur
  • technische Wartungs-, Support- und Betriebsdienstleister

Diese werden nur eingesetzt, soweit sie für Betrieb, Sicherheit oder Verfügbarkeit der Dienste erforderlich sind.

Namentlich benannte Unterauftragsverarbeiter

DNS-/Nameserver-Betrieb

  • OVH GmbH, Christophstraße 19, 50670 Köln, Deutschland
  • Zweck: Betrieb der DNS-Server (autoritative Nameserver zur Auflösung von Domainnamen sowie Reverse-DNS-/PTR-Records zur Zuordnung von IP-Adressen zu Hostnamen).
  • Mit der OVH GmbH besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
  • Verarbeitungsstandorte: Deutschland, Frankreich und Niederlande (jeweils innerhalb der EU).

Die OVH GmbH setzt zur Leistungserbringung weitere Unterauftragsverarbeiter aus der OVHcloud-Unternehmensgruppe ein. Folgende Unterauftragsverarbeiter können je nach gebuchtem Dienst und Standort an der Verarbeitung beteiligt sein:

Innerhalb der EU/des EWR:

  • OVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich
  • OVH Austria GmbH, Bureau 15722155, 1st, 2nd floor, Kohlmarkt 8-10, 1010 Wien, Österreich
  • OVHCloud Belgium, 14 rue de Grand-Bigard, 1082 Berchem-Ste-Agathe, Belgien
  • OVHcloud DC Belgium SRL, 14 rue de Grand-Bigard, 1082 Berchem-Ste-Agathe, Belgien
  • OVHcloud DC Bulgaria LLC, 3 Moskovska str., Oborishte District, 1000 Sofia, Bulgarien
  • OVHcloud DC CZ s.r.o, Londýnská 254/7, 120 00 Praha 2, Tschechien
  • OVHcloud DC Denmark ApS, NJORD Law Firm, Pilestræde 58, 6., 1112 København K, Dänemark
  • OVHcloud DC Finland Oy, Forvis Mazars Oy, Bulevardi 21, 00180 Helsinki, Finnland
  • DCD Data Center Deutschland GmbH, Oskar-Jäger-Straße 173/K6, 50825 Köln, Deutschland
  • Gridscale GmbH, Oskar-Jäger-Straße 173/K6, 50825 Köln, Deutschland
  • OVH Hosting Limited, Block 3, Harcourt Centre, Harcourt Road, D02 A339 Dublin 2, Irland
  • OVHcloud DC Ireland Limited, Block 3, Harcourt Centre, Harcourt Road, D02 A339 Dublin, Irland
  • OVH SRL, Via Carlo Imbonati 18, CAP 20159 Milano, Italien
  • OVHcloud DC Italy S.R.L, Via Carlo Imbonati 18, CAP 20159 Milano, Italien
  • OVHcloud DC Luxembourg SARL, 5 rue Guillaume J. Kroll, L-1882 Luxemburg
  • OVH BV, Hogehilweg 16, 1101 CD Amsterdam-Zuidoost, Niederlande
  • OVHcloud DC Netherlands B.V., Hogehilweg 16, 1101 CD Amsterdam-Zuidoost, Niederlande
  • OVH Sp. z o.o., ul. Swobodna 1, 50-088 Wrocław, Polen
  • Data Center Ozarow, ul. Kazimierza Kamińskiego 6, 05-850 Ożarów Mazowiecki, Polen
  • OVH Hosting Sistemas Informáticos Unipessoal, Praça de Alvalade nº 7, 7º dtº, 1700-036 Lisboa, Portugal
  • OVHCloud DC RO S.R.L, Strada George Constantinescu nr. 4B și 2-4, Sectorul 2, București, Rumänien
  • OVH Hispano, C/ Alcalá 21, 5° planta, 28014 Madrid, Spanien

Länder mit Angemessenheitsbeschluss der Europäischen Kommission:

  • Hébergement OVH Canada Inc., 800-1801 Avenue McGill College, Montréal, QC, H3A 2N4, Kanada
  • OVH Serveurs Inc., 50 rue de l'Aluminerie, Beauharnois, Québec, J6N 0C2, Kanada
  • OVH Infrastructures Canada Inc., 50 rue de l'Aluminerie, Beauharnois, Québec, J6N 0C2, Kanada
  • OVHcloud DC Norway, Fridtjof Nansens vei 19, 0369 Oslo, Norwegen
  • OVHcloud DC Switzerland SA, Mazars SA, Rue de la Jeunesse 1, 2800 Delémont, Schweiz
  • OVH LIMITED, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich
  • Data Center Erith LTD, 30 Old Bailey, London EC4M 7AU, Vereinigtes Königreich

Projektmanagement und Entwicklung

  • Plane Software, Inc., 651 N Broad St, Suite 201, Middletown, New Castle County, Delaware 19709, USA
  • Zweck: Betrieb einer Projektmanagement- und Entwicklungsplattform für die interne Organisation, Planung und Steuerung von Entwicklungs- und Betriebsaufgaben. In diesem Rahmen werden auch personenbezogene Daten verarbeitet, die wir von Kunden erhalten, insbesondere bei Fehlern übermittelte Bilder bzw. Screenshots sowie kundenspezifische Auftragsanfragen, soweit deren Bearbeitung für unsere Entwicklungs- und Betriebsprozesse erforderlich ist.
  • Mit der Plane Software, Inc. besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO.
  • Verarbeitungsstandort: USA (Hosting auf Amazon Web Services). Da der Auftragsverarbeiter ein Unternehmen mit Sitz in der Europäischen Union ist, erfolgt die Übermittlung in die USA als Datenexporteur aus der EU auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 DSGVO (Modul 2: Verantwortlicher an Auftragsverarbeiter).

Die Plane Software, Inc. setzt zur Leistungserbringung weitere Unterauftragsverarbeiter ein. Eine aktuelle und vollständige Liste mit Adressen wird unter https://plane.so/legals/sub-processors bereitgestellt. Diese können je nach gebuchtem Dienst an der Verarbeitung beteiligt sein (jeweils Verarbeitungsstandort USA, Cloudflare global):

  • Amazon Web Services, Inc. (Cloud-Hosting)
  • Vercel, Inc. (Anwendungs-Hosting)
  • Cloudflare, Inc. (Content Delivery und Sicherheit)
  • Datadog, Inc. (Dienst-Monitoring)
  • Functional Software, Inc. (Sentry) (Fehler-Monitoring)
  • PostHog, Inc. (Produktanalyse)
  • Google LLC (Google Analytics) (Website-Analyse)
  • Microsoft Corporation (Microsoft Clarity) (Website-Analyse)
  • Pylon (Kundensupport)
  • Mailmodo (E-Mail-Marketing)
  • Slack Technologies, LLC (interne Kommunikation)
  • Stripe, Inc. (Zahlungsabwicklung)
  • OpenAI, L.L.C. (KI-Dienste)
  • Anthropic, PBC (KI-Dienste)
  • Groq, Inc. (KI-Dienste)
  • Cohere, Inc. (KI-Dienste)
  • Baseten, Inc. (KI-Dienste)
  • Common Room, Inc. (Enrichment und Demand Generation)
  • HubSpot, Inc. (CRM)
  • Google LLC (Google Workspace) (interne Produktivität)
  • Intuit Inc. (QuickBooks) (Buchhaltung)

Interne und externe Kommunikation, virtuelle Meetings

  • Wire Swiss GmbH, Untermüli 9, 6300 Zug, Schweiz
  • Zweck: gesicherte interne und externe Kommunikation (Messaging, Telefonate, Sprach- und Videoanrufe), Durchführung virtueller Meetings mit internen und externen Teilnehmern (u. a. Kunden), Webinare und Schulungen sowie Aufzeichnungen von Meetings nach vorheriger Einwilligung; dabei werden die anfallenden Kundendaten gespeichert, übermittelt und verarbeitet.
  • Mit der Wire Swiss GmbH besteht ein Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO. Die Kommunikation erfolgt Ende-zu-Ende-verschlüsselt; die Plattform ist NIS-2-konform.
  • Verarbeitungsstandort: Schweiz sowie EU/EWR. Die Schweiz ist von der Europäischen Kommission als Land mit angemessenem Datenschutzniveau anerkannt; die Übermittlung erfolgt daher auf Grundlage eines Angemessenheitsbeschlusses gemäß Art. 45 DSGVO.

Die Wire Swiss GmbH setzt zur Leistungserbringung ihre Konzerngesellschaft Wire Germany GmbH sowie folgende weitere Unterauftragsverarbeiter ein (Angabe von Unternehmenssitz und dem von Wire benannten Verarbeitungsstandort):

  • Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxemburg – Hosting; Verarbeitungsstandort EU
  • Wire Germany GmbH, Rosenthaler Str. 40, 10178 Berlin, Deutschland – Entwicklung der Dienste
  • Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irland – E-Mail-Provider; Verarbeitungsstandort EU
  • Box, Inc., 64 North Row, 2nd Floor, London W1K 7LL, Vereinigtes Königreich – Signaturverwaltung; Verarbeitungsstandort lt. Wire EU
  • ContractHero GmbH, Parkstraße 89a, 13086 Berlin, Deutschland – Vertragsverwaltung; Verarbeitungsstandort EU
  • Countly Ltd., 1 Bow Churchyard, London EC4M 9DQ, Vereinigtes Königreich – Produktanalyse; Verarbeitungsstandort lt. Wire Deutschland
  • Hubspot Inc., 25 First Street, Cambridge, MA 02141, USA – Website-Hosting, Marketing und CRM; Verarbeitungsstandort EU
  • Salesforce, Inc., Salesforce Tower, 415 Mission Street, San Francisco, CA 94105, USA – CRM-Dienste; Verarbeitungsstandort Deutschland
  • Stripe Payments Europe, Limited (SPEL), 1 Grand Canal Street Lower, Grand Canal Dock, Dublin D02H210, Irland – Zahlungsdienste; Verarbeitungsstandort USA, abgesichert über Standardvertragsklauseln (SCCs)
  • Zendesk, Inc., 1019 Market Street, San Francisco, CA 94103, USA – Kundensupport; Verarbeitungsstandort EU

Box, Inc. und Countly Ltd. haben ihren Unternehmenssitz im Vereinigten Königreich, das seit dem EU-Austritt datenschutzrechtlich ein Drittland ist. Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO; der von Wire angegebene Verarbeitungsstandort liegt in der EU bzw. in Deutschland.

Benachrichtigung bei Änderung von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO)

Der Kunde erteilt eine allgemeine schriftliche Genehmigung zum Einsatz der vorstehend benannten Unterauftragsverarbeiter. Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, informiert er den Kunden hierüber vorab, in der Regel mindestens 30 Kalendertage vor der beabsichtigten Beauftragung (in dringenden Sicherheitsfällen unverzüglich). Die Information erfolgt in Textform, z. B. per E-Mail an die hinterlegte Kontaktadresse oder über eine Benachrichtigung im Kundenbereich. Der Kunde kann der Änderung innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen. Lässt sich ein berechtigter Widerspruch nicht durch zumutbare Maßnahmen ausräumen, ist jede Partei berechtigt, den betroffenen Leistungsbestandteil mit angemessener Frist zu kündigen.

Hinweis zu KI-gestützten Unterauftragsverarbeitern

Soweit über die Plattform der Plane Software, Inc. KI-Dienste (insbesondere OpenAI, L.L.C., Anthropic, PBC, Groq, Inc., Cohere, Inc., Baseten, Inc.) eingebunden sind, hat der Auftragsverarbeiter eine gesonderte Risikoabwägung vorgenommen. Es werden in diesem Rahmen grundsätzlich keine Inhalte personenbezogener Kundendaten gezielt zur Modell-Trainierung an diese Anbieter übermittelt; eine Verarbeitung erfolgt nur, soweit dies für die jeweilige Funktion erforderlich ist und der Anbieter vertraglich auf Vertraulichkeit, Zweckbindung und einen Ausschluss der Nutzung zu eigenen Trainingszwecken verpflichtet ist. Der Kunde wird darauf hingewiesen, dass er keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) in KI-gestützte Funktionen eingeben sollte, ohne dies zuvor eigenverantwortlich geprüft zu haben.

7.3 Keine Unterauftragsverarbeiter (technische Infrastruktur)

Nicht als Unterauftragsverarbeiter gelten Dienstleister, die ausschließlich technische Infrastruktur oder Datenübermittlung erbringen, ohne Verarbeitung personenbezogener Daten im Auftrag des Auftragsverarbeiters, insbesondere:

  • Rechenzentrumsbetreiber (Housing/Colocation)
  • Internet Service Provider, Uplink-Provider und Carrier (inkl. IP-Transit, BGP-Routing und Backbone-Transport)
  • Internet Exchange Points (IXP), z. B. DE-CIX
  • DDoS-Mitigation- und Netzwerksicherheitsdienste, soweit diese ausschließlich automatisierte Netzwerkfilterung oder Traffic-Scrubbing auf Transportebene durchführen, ohne inhaltliche Verarbeitung personenbezogener Daten im Auftrag des Auftragsverarbeiters

Diese handeln als technische Infrastrukturbetreiber oder eigenständige Verantwortliche im Sinne der DSGVO.

7.4 Eigenständige Verantwortliche

Nicht als Unterauftragsverarbeiter gelten eigenständige Verantwortliche, insbesondere:

  • Domain-Registrare und Registries im Rahmen der Domainregistrierung oder -verwaltung
  • Kommunikations- und Community-Plattformen, die auf Aktivierung des Kunden hin für die direkte Kommunikation mit dem Kunden bzw. dessen Ansprechpartnern genutzt werden (z. B. Discord); diese handeln als eigenständige Verantwortliche nach ihrer eigenen Datenschutzerklärung und sind keine Unterauftragsverarbeiter. Einzelheiten ergeben sich aus der Datenschutzerklärung von NextServ.

Die Nutzung von Kommunikations- und Community-Plattformen (z. B. Discord) erfolgt ausschließlich auf ausdrückliche Aktivierung durch den Kunden (Verknüpfung des Kontos, Freigabe einzelner Funktionen). Die hierzu erteilten Einwilligungen werden mit Zeitpunkt, Version des Einwilligungstextes sowie technischen Begleitdaten dokumentiert und sind jederzeit mit Wirkung für die Zukunft widerrufbar; nach Widerruf werden die plattformbezogenen Funktionen deaktiviert und etwaige Rollen-/Verknüpfungsdaten aufgehoben. Bei der Nutzung von Drittplattformen zu Supportzwecken wird der Kunde gesondert darauf hingewiesen, dass die dortige Kommunikation nicht Ende-zu-Ende-verschlüsselt ist und Daten durch den Plattformbetreiber gespeichert werden können.

7.5 Verpflichtung

  1. Sofern Unterauftragsverarbeiter im Sinne der DSGVO eingesetzt werden, stellt der Auftragsverarbeiter sicher, dass diese vertraglich entsprechend Art. 28 DSGVO verpflichtet werden, insbesondere auf dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind.
  2. Durchreicheklausel (Art. 28 Abs. 4 DSGVO): Setzt ein Unterauftragsverarbeiter seinerseits weitere Unter-Unterauftragsverarbeiter ein, stellt der Auftragsverarbeiter durch entsprechende vertragliche Bindung des unmittelbaren Unterauftragsverarbeiters sicher, dass diesen dieselben Datenschutzpflichten auferlegt werden, wie sie zwischen Kunde und Auftragsverarbeiter gelten. Dies gilt insbesondere für die von der Plane Software, Inc. und der Wire Swiss GmbH eingesetzten weiteren Unterauftragsverarbeiter; diese Anbieter verpflichten ihre Unter-Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau einschließlich geeigneter Garantien für Drittlandübermittlungen.
  3. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Kunden für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters nach Maßgabe von Art. 28 Abs. 4 Satz 2 DSGVO.

7.6 Transparenz

Eine aktuelle Übersicht relevanter Unterauftragsverarbeiter wird im Kundenbereich oder in geeigneter Dokumentation bereitgestellt.

8. Drittlandübermittlung

  1. Verarbeitung in Drittländern erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO.
  2. Es werden geeignete Garantien eingesetzt (z. B. Standardvertragsklauseln oder Angemessenheitsbeschlüsse).
  3. Konkret gilt für die in Abschnitt 7.2 benannten Unterauftragsverarbeiter: Die Verarbeitung über die Plane Software, Inc. umfasst eine gezielte Übermittlung in die USA, die als Datenexporteur aus der EU auf Grundlage von EU-Standardvertragsklauseln gemäß Art. 46 DSGVO abgesichert ist. Die Verarbeitung über die Wire Swiss GmbH erfolgt in der Schweiz sowie in der EU/im EWR; für die Schweiz besteht ein Angemessenheitsbeschluss der Europäischen Kommission gemäß Art. 45 DSGVO. Soweit hierbei eingesetzte Unterauftragsverarbeiter ihren Sitz im Vereinigten Königreich haben, besteht für dieses ebenfalls ein Angemessenheitsbeschluss gemäß Art. 45 DSGVO.
  4. Soweit die in Abschnitt 7.2 benannten Unterauftragsverarbeiter (insbesondere Plane Software, Inc.) ihrerseits weitere Unter-Unterauftragsverarbeiter mit Sitz oder Verarbeitung in Drittländern einsetzen (z. B. Amazon Web Services, Inc., Cloudflare, Inc. mit global verteilter Verarbeitung, PostHog, Inc., HubSpot, Inc., die benannten KI-Anbieter), werden die hierfür erforderlichen geeigneten Garantien gemäß Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln) von dem jeweiligen unmittelbaren Unterauftragsverarbeiter im Wege der Weiterreichung (Art. 28 Abs. 4 DSGVO) sichergestellt. Der Auftragsverarbeiter verpflichtet seine unmittelbaren Unterauftragsverarbeiter, das Vorliegen dieser Garantien auf Anfrage nachzuweisen, und stellt dem Kunden entsprechende Nachweise im Rahmen des Zumutbaren zur Verfügung.
  5. Technische Datenübertragung über internationale Netze bleibt hiervon unberührt und stellt keine gezielte Drittlandverarbeitung durch den Auftragsverarbeiter dar.

9. Unterstützungspflichten

  1. Unterstützung bei Betroffenenrechten erfolgt im Rahmen der vertraglichen Leistungen.
  2. Unterstützung bei Datenschutz-Folgenabschätzungen erfolgt, soweit zumutbar.
  3. Ein darüber hinausgehender Aufwand kann gesondert vergütet werden.

10. Datenschutzverletzungen

  1. Der Auftragsverarbeiter informiert den Kunden unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über relevante Verletzungen des Schutzes personenbezogener Daten. Diese Frist ist darauf ausgelegt, dem Kunden als Verantwortlichem die Einhaltung seiner eigenen Meldefrist von 72 Stunden gegenüber der Aufsichtsbehörde (Art. 33 DSGVO) zu ermöglichen.
  2. Liegen zum Zeitpunkt der Erstmeldung noch nicht alle Informationen vor, erfolgt die Meldung ohne weitere unangemessene Verzögerung schrittweise.
  3. Die Meldung enthält soweit möglich:
  • Art des Vorfalls
  • betroffene Datenkategorien und ungefähre Zahl der betroffenen Personen/Datensätze
  • wahrscheinliche Folgen/Auswirkungen
  • getroffene oder vorgeschlagene Maßnahmen zur Behebung und Schadensminderung
  • Kontaktstelle für Rückfragen

11. Kontrollrechte und Audits

  1. Der Kunde kann Nachweise zur DSGVO-Compliance anfordern.
  2. Nachweise erfolgen durch Dokumentation oder Fernprüfung.
  3. Vor-Ort-Audits nur bei berechtigtem Anlass und nach Vorankündigung.
  4. Übermäßiger Aufwand kann vergütet werden, außer bei eigenem Datenschutzverschulden. Ein „Datenschutzverschulden“ in diesem Sinne liegt vor, soweit ein Verstoß des Auftragsverarbeiters gegen datenschutzrechtliche Pflichten rechtskräftig gerichtlich oder bestandskräftig behördlich festgestellt oder vom Auftragsverarbeiter schriftlich anerkannt wurde.

12. Vertraulichkeit

Alle mit der Verarbeitung betrauten Personen sind zur Vertraulichkeit verpflichtet.

13. Löschung und Rückgabe

  1. Nach Vertragsende werden Daten gelöscht oder herausgegeben, soweit keine gesetzlichen Pflichten entgegenstehen.
  2. Dem Kunden steht nach Vertragsende eine Frist von 120 Tagen zur Verfügung, um seine Daten zu exportieren bzw. zu migrieren. Nach Ablauf dieser Frist werden die Daten gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
  3. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
  4. Der Kunde ist für Migration und eigene Backups selbst verantwortlich. Dies entbindet den Auftragsverarbeiter nicht von den nach den TOM (Abschnitt 6) und Art. 32 DSGVO geschuldeten Sicherungsmaßnahmen; für einen vom Auftragsverarbeiter zu vertretenden Datenverlust bleibt dieser nach Maßgabe des Hauptvertrags und der gesetzlichen Regelungen verantwortlich.

14. Haftung

Es gelten die gesetzlichen Regelungen sowie die Haftungsvereinbarungen des Hauptvertrags, soweit DSGVO-konform.

15. Schlussbestimmungen

  1. Änderungen bedürfen der Textform.
  2. Sollte eine Regelung unwirksam sein, bleibt der Rest wirksam.

Anlage 1 – Verarbeitung

Zweck:
Hosting, Infrastruktur, Betrieb, Support (einschließlich supportbezogener Leistungen im Rahmen eines vereinbarten SLA, soweit einschlägig), Sicherheit, Vertragserfüllung

Art: Speichern, Übertragen, Verarbeiten, Protokollieren, Bereitstellen

Dauer: Vertragslaufzeit + gesetzliche Pflichten

Anlage 2 – TOM

Es gelten die jeweils aktuellen technischen und organisatorischen Maßnahmen unter: https://nextserv.eu/legal/tom

Anlage 3 – Unterauftragsverarbeiter

Siehe Abschnitt 7 dieses AVV.