Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Stand: Entwurf Oktober 2026 · Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO

zwischen dem Kunden des Kundenportals portal.v4it.tech als Verantwortlichem („Kunde“) und der vision4it GmbH, Siemensstraße 8, 41542 Dormagen, als Auftragsverarbeiter („vision4it“).

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch vision4it bei der Erbringung der Cloud-Leistungen „vision4it Cloud“ nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag): Betrieb einer virtuellen Maschine mit Nextcloud, deren Sicherung, der Versand von E-Mails aus der Nextcloud und – im Paket Collaboration – die Bearbeitung von Dokumenten über den Online-Office-Server von vision4it.
2. Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, solange vision4it personenbezogene Daten des Kunden verarbeitet, insbesondere bis zur Löschung nach § 9.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

1. Art der Verarbeitung: Speichern, Sichern und Wiederherstellen, Bereitstellen über das Internet, Übermitteln (E-Mail-Versand im Auftrag der Nextcloud), Bearbeiten (Online-Office), Löschen. Zweck ist ausschließlich die Erbringung der Leistungen nach dem Hauptvertrag.
2. Datenarten: alle Daten, die der Kunde und seine Nutzer in der Nextcloud speichern oder verarbeiten, insbesondere Dateien und Dokumente, Kalender, Kontakte, Benutzerkonten (Name, E-Mail-Adresse, Anmeldedaten), Kommunikations- und Freigabedaten sowie Protokolldaten (z. B. IP-Adressen, Zeitpunkte). Ob besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet werden, bestimmt allein der Kunde.
3. Betroffene: Beschäftigte und sonstige Nutzer des Kunden, Kunden, Interessenten, Lieferanten und Geschäftspartner des Kunden sowie alle weiteren Personen, deren Daten der Kunde in der Nextcloud speichert.

§ 3 Weisungen

1. vision4it verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, vision4it ist durch das Recht der Union oder Deutschlands dazu verpflichtet; in diesem Fall teilt vision4it dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen sind abschließend im Hauptvertrag und in diesem Vertrag festgelegt. Der Kunde kann sie über die Funktionen des Kundenportals sowie in Textform an office@vision4it.de ändern, ergänzen oder ersetzen. Weisungen, die über die vertraglichen Leistungen hinausgehen, werden nach Aufwand vergütet.
3. vision4it informiert den Kunden unverzüglich, wenn eine Weisung nach ihrer Auffassung gegen Datenschutzvorschriften verstößt, und darf die Ausführung bis zur Bestätigung oder Änderung durch den Kunden aussetzen.

§ 4 Zugriff von vision4it auf die Daten

1. vision4it nimmt keine Kenntnis von den Inhalten der Nextcloud und greift nicht auf sie zu, soweit dies nicht nach Absatz 3 erforderlich ist. Die Passwörter des Kunden für die Nextcloud und den Server-Zugang speichert vision4it nicht.
2. Technisch hat vision4it als Betreiber Zugriffsmöglichkeiten: über die Virtualisierungsplattform, über einen Verwaltungszugang auf der VM (Benutzer „vanss“ mit Administratorrechten, Anmeldung nur per Schlüssel) und über die Sicherungen. Die Inhalte der Nextcloud liegen auf der VM und in den Sicherungen nicht zusätzlich verschlüsselt vor, sofern der Kunde keine Verschlüsselung in der Nextcloud aktiviert.
3. Diese Zugriffsmöglichkeiten nutzt vision4it ausschließlich zur Bereitstellung und Einrichtung, zur Beseitigung von Störungen, zur Wiederherstellung von Sicherungen, zur Abwehr von Sicherheitsvorfällen sowie auf Weisung des Kunden. Ein Zugriff auf Inhalte erfolgt dabei nur, soweit dies dafür unvermeidbar ist. Aufträge über das Verwaltungssystem von vision4it werden protokolliert.

§ 5 Ort der Verarbeitung

1. Die Verarbeitung erfolgt ausschließlich in Deutschland: Die Server einschließlich der Sicherungen stehen in einem Colocation-Rack von vision4it im Rechenzentrum der WIIT AG in Düsseldorf. Die Verwaltung erfolgt durch Mitarbeiter von vision4it von deren Standort in Dormagen aus.
2. Eine Verarbeitung in einem Drittland findet nicht statt. Zur Ausstellung der TLS-Zertifikate übermittelt vision4it lediglich die Adresse der Nextcloud (name.v4it.tech) an die Zertifizierungsstelle Let’s Encrypt; Inhalte der Nextcloud werden dabei nicht übermittelt.

§ 6 Pflichten von vision4it

1. vision4it setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
2. vision4it trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Sie dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.
3. vision4it unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO. Da der Kunde die Nextcloud selbst verwaltet, kann er Auskunft, Berichtigung und Löschung in der Regel selbst umsetzen. Wendet sich eine betroffene Person an vision4it, leitet vision4it die Anfrage unverzüglich an den Kunden weiter.
4. vision4it meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.
5. vision4it stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Inspektionen sind mit angemessener Frist (in der Regel 14 Tage) anzumelden, finden während der Geschäftszeiten statt und dürfen den Betrieb und die Daten anderer Kunden nicht beeinträchtigen. Ein Zutritt zum Rechenzentrum ist nur im Rahmen der Regeln des Rechenzentrumsbetreibers möglich.
6. Ein Datenschutzbeauftragter von vision4it ist erreichbar unter: [Name, Kontakt – von vision4it zu ergänzen bzw. Hinweis, falls keine Benennungspflicht besteht].

§ 7 Unterauftragsverarbeiter

1. Der Kunde erteilt vision4it die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Dienstleister sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. vision4it informiert den Kunden mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, kann der Kunde den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. vision4it verpflichtet Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen.

§ 8 Pflichten und Rechte des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der Betroffenen verantwortlich. Er informiert vision4it unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
2. Für die Sicherheit der Bereiche, die der Kunde selbst verwaltet (Nextcloud, Betriebssystem der VM, Benutzerkonten, Updates), ist der Kunde verantwortlich.

§ 9 Löschung und Rückgabe nach Vertragsende

1. Nach Ende des Hauptvertrags (bzw. nach Ende eines Übergangszeitraums nach § 9 Abs. 2 der AGB) bleiben die Daten für 30 Tage gespeichert. In dieser Zeit stellt vision4it dem Kunden auf Anforderung einen vollständigen Export bereit.
2. Danach löscht vision4it die VM mit allen personenbezogenen Daten, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht. Sicherungen werden mit Ablauf ihrer Aufbewahrungsfrist überschrieben (siehe Anlage 1). Auf Anfrage bestätigt vision4it die Löschung in Textform.

§ 10 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen gehen die Regelungen dieses Vertrags denen des Hauptvertrags vor, soweit es um den Schutz personenbezogener Daten geht.
3. Dieser Vertrag wird elektronisch mit der Bestellung im Kundenportal geschlossen (Art. 28 Abs. 9 DSGVO). Änderungen bedürfen der Textform. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Die Server stehen in einem abgeschlossenen Rack im Rechenzentrum der WIIT AG in Düsseldorf. Zutritt nur für berechtigte Personen nach den Zutrittsregeln des Rechenzentrums [Zutrittskontrolle, Überwachung und Zertifizierungen des Rechenzentrums – von vision4it nach Unterlagen der WIIT AG zu ergänzen].
• Zugang: Administrative Zugänge zu Virtualisierung, Firewall und Sicherung nur für berechtigte Mitarbeiter von vision4it; Verwaltungszugang auf den VMs nur per Schlüssel; Passwort-Anmeldung als root nur aus dem Kundenportal heraus (WebSSH), nicht aus dem Internet; Verwaltungsnetze vom Internet getrennt.
• Zugriff: Rollen- und Rechtekonzept im Verwaltungssystem von vision4it; eingeschränkte Dienstkonten für die automatische Bereitstellung (nur die jeweils benötigten Rechte); Passwörter des Kunden werden nicht gespeichert (das Nextcloud-Passwort wird nach der Installation gelöscht); Passwörter im Kundenportal werden nur als Argon2id-Hash gespeichert.
• Trennung: Jeder Kunde erhält eine eigene VM; die Kunden-VMs laufen in einem eigenen, von anderen Netzen getrennten Netzsegment; jede VM hat eine eigene Firewall, die eingehend alles sperrt außer dem Reverse-Proxy von vision4it, dem Verwaltungszugang und der WebSSH-Verbindung des Portals; Kunden-VMs können einander nicht erreichen.

Integrität

• Weitergabe: Verbindungen aus dem Internet sind per TLS (Let’s-Encrypt-Zertifikat je Nextcloud) bis zum Reverse-Proxy von vision4it verschlüsselt; der Weg vom Proxy zur VM verläuft im getrennten internen Netz. Der E-Mail-Versand erfolgt verschlüsselt (STARTTLS). Interne Aufrufe zwischen Kundenportal und Verwaltungssystem sind verschlüsselt und signiert.
• Eingabe: Bereitstellung, Sperren, Kündigen und sonstige Aufträge über das Verwaltungssystem werden mit Zeitpunkt und Auslöser protokolliert. Protokolle innerhalb der Nextcloud verwaltet der Kunde.

Verfügbarkeit und Belastbarkeit

• Virtualisierungscluster aus mehreren Servern; Speicher redundant über mehrere Server verteilt (Ceph); Ausfall eines einzelnen Servers oder Datenträgers führt nicht zu Datenverlust.
• Tägliche Sicherung jeder VM auf einen gesonderten Sicherungsserver (Proxmox Backup Server). Aufbewahrung: [Dauer – von vision4it zu ergänzen].
• Stromversorgung, Kühlung und Brandschutz durch das Rechenzentrum [Angaben nach Unterlagen der WIIT AG ergänzen].
• Überwachung der Erreichbarkeit jeder Nextcloud im Minutentakt mit Alarmierung.
• Rasche Wiederherstellbarkeit durch Wiederherstellung ganzer VMs aus der Sicherung; Wiederherstellungstests: [Intervall – von vision4it zu ergänzen].

Verfahren zur regelmäßigen Überprüfung

• Verpflichtung der Mitarbeiter auf Vertraulichkeit; Einweisung in Datenschutz und Informationssicherheit.
• Regelmäßige Überprüfung der Maßnahmen und Einspielen von Sicherheitsupdates der von vision4it betriebenen Systeme [Intervall – von vision4it zu ergänzen].

Anlage 2 – Unterauftragsverarbeiter und Dienstleister

Weitere Dienstleister mit Zugriff auf personenbezogene Daten des Kunden setzt vision4it derzeit nicht ein. Online-Office-Server, Mailserver, Sicherung und Überwachung betreibt vision4it selbst.

Allgemeine Geschäftsbedingungen