Auftragsverarbeitungsvertrag
Stand: 14. August 2026
Dieser Vertrag nach Artikel 28 DSGVO wird zwischen dem Kunden (nachfolgend „Auftraggeber“) und Bartis.Dev, Inhaber Darius Achilles, Goethestr. 30, 39397 Schwanebeck (nachfolgend „Auftragnehmer“) geschlossen. Er wird mit dem Hauptvertrag über Mailwerk wirksam.
Maßgeblich ist diese deutsche Fassung. Die englische Fassung ist eine Übersetzung zur Information.
1. Gegenstand, Rangfolge, Laufzeit
(1) Dieser Vertrag konkretisiert die Pflichten der Parteien für die Verarbeitung personenbezogener Daten, die der Auftragnehmer im Rahmen des Hauptvertrags im Auftrag des Auftraggebers durchführt.
(2) Der Auftraggeber schließt diesen Vertrag im eigenen Namen. Soweit er selbst im Auftrag seiner Endkunden verarbeitet, schließt er ihn zugleich in deren Namen; er sichert zu, hierzu bevollmächtigt zu sein. Der Auftragnehmer ist insoweit weiterer Auftragsverarbeiter.
(3) In Fragen der Auftragsverarbeitung geht dieser Vertrag dem Hauptvertrag vor.
(4) Die Laufzeit entspricht der des Hauptvertrags.
2. Art und Zweck der Verarbeitung
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich, um die vertraglich vereinbarten Leistungen zu erbringen. Das umfasst:
- die Verwaltung der Endkunden, Standorte und Agenten des Auftraggebers,
- die Aufnahme von Agenten, die Ausgabe und Erneuerung ihrer Betriebslizenz und die Entgegennahme ihrer Betriebsmeldungen,
- die Speicherung und Weiterleitung von Konfiguration und verschlüsselten Geheimnissen an den jeweiligen Agenten,
- die Unterstützung des Auftraggebers im Support, soweit dieser sie anfordert oder freigibt,
- die Abrechnung nach der Zahl der Standorte,
- die Protokollierung von Vorgängen zum Nachweis und zur Fehlersuche.
3. Art der Daten
Verarbeitet werden:
- Daten der Nutzer des Auftraggebers: Name, dienstliche E-Mail-Adresse, Rolle, Anmeldedaten in nicht rückrechenbarer Form, Zeitpunkte von Anmeldungen,
- Stammdaten der Endkunden des Auftraggebers: Firmenname, Bezeichnung des Standorts sowie, soweit vom Auftraggeber erfasst, Name und dienstliche Kontaktdaten von Ansprechpartnern,
- Konfigurationsdaten: Absenderdomains, Kennung der App-Registrierung im Tenant des Endkunden, lokale SMTP-Benutzernamen ohne Passwörter, Regelwerke,
- verschlüsselte Geheimnisse, die für den Auftragnehmer nicht lesbar sind,
- Betriebsdaten der Agenten: Hostname, Version, Zeitpunkt der letzten Meldung, Zähler und Fehlerkennungen zu Zustellversuchen, beobachtete Sendedomains und Kennung des Providerkontos,
- Protokolldaten der Plattform: Zeitpunkt, handelnde Person, Vorgang, IP-Adresse.
4. Kategorien betroffener Personen
Betroffen sind Beschäftigte des Auftraggebers, die die Plattform nutzen, sowie Ansprechpartner bei den Endkunden des Auftraggebers, soweit der Auftraggeber sie erfasst.
5. Was nicht verarbeitet wird
(1) Nachrichteninhalte, Anhänge und Empfängeradressen der über einen Agenten versandten Nachrichten werden nicht an die Plattform übertragen. Der Agent übergibt jede Nachricht unmittelbar an den Microsoft-365-Tenant des jeweiligen Endkunden.
(2) Das Protokoll des Agenten verbleibt beim Endkunden. An die Plattform werden davon nur Prüfsummen übertragen, damit eine nachträgliche Änderung erkennbar wird.
(3) Enthält eine Fehlermeldung eines fremden Systems im Einzelfall Angaben aus einer Nachricht, etwa eine Empfängeradresse, verarbeitet der Auftragnehmer diese ausschließlich zur Fehlersuche und löscht sie spätestens nach 30 Tagen.
(4) Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO sind nicht Gegenstand dieses Vertrags.
6. Weisungen
(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag und dieser Vertrag sind die Erstweisung. Weitere Weisungen erfolgen in Textform an die im Impressum genannte Adresse.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.
(3) Der Auftragnehmer übermittelt Daten an Dritte nur auf Weisung oder wenn er rechtlich dazu verpflichtet ist. Im zweiten Fall unterrichtet er den Auftraggeber vorher, soweit ihm das rechtlich erlaubt ist.
7. Vertraulichkeit
Der Auftragnehmer setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind, und die mit den Anforderungen des Datenschutzes vertraut gemacht wurden.
8. Technische und organisatorische Maßnahmen
(1) Der Auftragnehmer trifft die nach Artikel 32 DSGVO erforderlichen Maßnahmen. Dazu gehören:
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie ändern, solange das Schutzniveau nicht unterschritten wird.
- Verarbeitung ausschließlich auf Servern in Deutschland,
- Transportverschlüsselung für alle Verbindungen zur Plattform und zwischen Agent und Plattform,
- Ende-zu-Ende-Verschlüsselung der an einen Agenten gerichteten Geheimnisse; die Plattform speichert dabei nur einen für sie unlesbaren Datenblock,
- Authentisierung der Agenten über ein Schlüsselpaar, wobei jede einzelne Anfrage signiert wird,
- Zwei-Faktor-Authentisierung für Konten mit Inhaberrechten und abgestufte Rollen für weitere Nutzer,
- Trennung der Mandanten auf Datensatzebene: jeder Datensatz gehört zu genau einem Konto,
- ein fortlaufendes, nachträglich nicht änderbares Protokoll der Vorgänge,
- Supportzugriff auf die Daten eines Kontos nur nach ausdrücklicher, zeitlich begrenzter Freigabe durch den Auftraggeber, für ihn sichtbar und protokolliert,
- regelmäßige Datensicherung mit erprobter Wiederherstellung,
- regelmäßige Aktualisierung der eingesetzten Komponenten.
9. Die Grenze dieser Maßnahmen
Die Maßnahmen nach Ziffer 8 sind Rollentrennung und Protokollierung, nicht technische Unmöglichkeit. Der Auftragnehmer betreibt die Server selbst und hat damit grundsätzlich Zugriff auf die Datenbank. Zugesichert wird: Es existiert keine Rolle, die die Kundendaten eines Kontos einsieht, und jeder Supportzugriff ist zeitlich begrenzt, protokolliert und für den Auftraggeber sichtbar. Nicht zugesichert wird, dass eine Einsichtnahme technisch ausgeschlossen ist.
10. Weitere Auftragsverarbeiter
(1) Der Auftraggeber stimmt dem Einsatz des folgenden weiteren Auftragsverarbeiters zu:
(2) Weitere Auftragsverarbeiter zeigt der Auftragnehmer mindestens vier Wochen vorher in Textform an. Der Auftraggeber kann innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Einigen sich die Parteien nicht, kann jede von ihnen den Hauptvertrag zum vorgesehenen Zeitpunkt der Änderung kündigen.
(3) Der Auftragnehmer verpflichtet jeden weiteren Auftragsverarbeiter schriftlich auf ein Schutzniveau, das diesem Vertrag entspricht, und bleibt gegenüber dem Auftraggeber verantwortlich.
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Betrieb der Server und des Rechenzentrums, Standort Deutschland.
11. Rechte der betroffenen Personen
(1) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
(2) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anfragen nach den Artikeln 12 bis 23 DSGVO zu beantworten, insbesondere durch Auskunft, Berichtigung, Löschung und Herausgabe der Daten.
12. Unterstützung und Meldung von Verletzungen
(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Artikel 32 bis 36 DSGVO.
(2) Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, spätestens 48 Stunden nachdem sie ihm bekannt geworden ist, in Textform und mit den in Artikel 33 Absatz 3 DSGVO genannten Angaben, soweit sie ihm vorliegen.
13. Nachweise und Kontrollen
(1) Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage in geeigneter Form nach.
(2) Der Auftraggeber kann sich nach einer Ankündigung von vier Wochen während der üblichen Geschäftszeiten von der Einhaltung überzeugen, höchstens einmal jährlich und ohne den Betrieb unangemessen zu stören. Bei einem konkreten Anlass entfallen Frist und Häufigkeitsgrenze.
(3) Für Kontrollen, die über eine Auskunft hinausgehen, kann der Auftragnehmer eine angemessene Vergütung seines Aufwands verlangen.
14. Löschung und Rückgabe
(1) Nach Ende des Hauptvertrags löscht der Auftragnehmer die Daten innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
(2) Innerhalb dieser Frist stellt der Auftragnehmer auf Verlangen einen Export der Daten in einem gängigen, maschinenlesbaren Format bereit.
(3) Daten in Sicherungskopien werden im Zuge des Sicherungszyklus überschrieben, spätestens 90 Tage nach Vertragsende.
15. Verarbeitung außerhalb der EU
Die Verarbeitung findet in der Europäischen Union statt. Eine Verarbeitung in einem Drittland erfolgt nur, wenn sie nach Ziffer 10 Absatz 2 angezeigt wurde und die Voraussetzungen der Artikel 44 bis 49 DSGVO vorliegen, insbesondere auf Grundlage der Standardvertragsklauseln.
16. Schlussbestimmungen
(1) Artikel 82 DSGVO bleibt unberührt. Im Übrigen gilt die Haftungsregelung des Hauptvertrags.
(2) Erklärungen nach diesem Vertrag bedürfen der Textform.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt die Regelung des Hauptvertrags.
(4) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.
Die kaufmännischen Bedingungen stehen auf einer eigenen Seite: Allgemeine Geschäftsbedingungen
Fragen dazu beantworten wir über die im Impressum genannten Kontaktdaten.