Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

§ 1 Gegenstand, Dauer, Abschluss

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen. Die Verarbeitung erfolgt im Rahmen der Hosting-Leistungen der Plattform Wolfinity.Space. Grundlage ist der Hauptvertrag, bestehend aus Auftragsbestätigung und AGB.
2. Der AVV ist Bestandteil des Hauptvertrags. Er wird mit dem Hauptvertrag in elektronischem Format abgeschlossen (Art. 28 Abs. 9 DSGVO).
3. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Pflichten, die über das Vertragsende hinaus bestehen (§§ 11, 12), bleiben unberührt.
4. Bei Widersprüchen geht dieser AVV den Regelungen des Hauptvertrags zum Datenschutz vor.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Art der Verarbeitung:
   • Speichern, Bereitstellen und Ausliefern von Websites, Dateien und Datenbanken des Verantwortlichen;
   • Erstellen, Aufbewahren und Wiederherstellen von Datensicherungen;
   • Protokollierung von Zugriffen;
   • Sicherheitsscans;
   • technische Wartung;
   • Löschen;
   • bei Aktivierung: Verarbeitung durch den KI-Assistenten.
2. Zweck: Betrieb der vom Verantwortlichen gebuchten Hosting-Leistungen.
3. Kategorien personenbezogener Daten: Dies hängt von den Inhalten des Verantwortlichen ab. Typischerweise sind es:
   • Zugriffsdaten von Website-Besuchern: IP-Adresse, Zeitpunkt, aufgerufene URL, Referrer, User-Agent, Statuscode;
   • Inhalte von Datenbanken und Dateien, z. B. Benutzerkonten, Kommentare, Kunden- und Bestelldaten aus Shops, Formulareingaben;
   • Daten in Datensicherungen;
   • bei aktiviertem KI-Assistenten: Werkzeugausgaben in Unterhaltungen.
4. Besondere Kategorien (Art. 9 DSGVO): Die Verarbeitung ist zulässig. Der Verantwortliche zeigt sie dem Auftragsverarbeiter vor Beginn in Textform an. Er trifft eigene zusätzliche Schutzmaßnahmen, soweit diese erforderlich sind, etwa die Verschlüsselung von Formulardaten auf Anwendungsebene. Die Datenträger der Server sind nicht verschlüsselt (Anlage 2).
5. Kategorien betroffener Personen: Besucher, Nutzer, Kunden, Interessenten, Beschäftigte und Kommunikationspartner des Verantwortlichen.
6. Ort der Verarbeitung: Die Verarbeitung findet in der EU bzw. im EWR statt. Davon ausgenommen sind die in Anlage 1 genannten Unterauftragsverarbeiter mit Drittlandbezug.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Ausgenommen ist eine Verarbeitung, zu der er nach dem Recht der Union oder eines Mitgliedstaats verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Verantwortlichen diese Pflicht vorher mit, soweit das Recht dies nicht verbietet.
2. Die Weisungen ergeben sich aus dem Hauptvertrag und diesem AVV. Als dokumentierte Weisungen gelten außerdem die Einstellungen und Aktionen, die der Verantwortliche im Panel vornimmt, etwa das Wiederherstellen, Löschen oder Exportieren von Daten.
3. Einzelweisungen erteilt der Verantwortliche in Textform an datenschutz@wolfinity.space. Mündliche Weisungen bestätigt er unverzüglich in Textform.
4. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die schriftlich zur Vertraulichkeit und zur Einhaltung des Datenschutzes verpflichtet sind (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Diese Pflicht gilt über das Ende der Tätigkeit hinaus. Administrativen Zugriff auf die Plattform hat derzeit ausschließlich der Inhaber.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind.
2. Er darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 1 aufgeführt. Sie gelten als genehmigt.
2. Will der Auftragsverarbeiter einen Unterauftragsverarbeiter hinzuziehen oder ersetzen, kündigt er dies mindestens 4 Wochen vorher per E-Mail an den Kontoinhaber an.
3. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine Einigung zustande, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
4. Der Auftragsverarbeiter überträgt seine Pflichten aus diesem AVV vertraglich auf jeden Unterauftragsverarbeiter (Art. 28 Abs. 4 DSGVO).
5. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 7 Unterstützung des Verantwortlichen

1. Betroffenenrechte: Der Verantwortliche bearbeitet Anfragen Betroffener selbst und nutzt dafür die Export- und Löschfunktionen des Panels. Erreicht eine Anfrage den Auftragsverarbeiter, leitet er sie unverzüglich weiter. Weitergehende Unterstützung leistet er nach Aufwand.
2. Art. 32 bis 36 DSGVO: Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Sicherheit, Meldungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Er stellt dafür die ihm vorliegenden Informationen bereit. Unterstützung, die über die Bereitstellung vorhandener Unterlagen hinausgeht, rechnet er nach Aufwand ab.
3. Die Vergütung nach Aufwand beträgt 95,00 € netto je Stunde, abgerechnet je angefangene 15 Minuten. Unterstützung, die durch einen Verstoß des Auftragsverarbeiters gegen diesen AVV oder die DSGVO nötig wird, ist kostenlos.

§ 8 Meldung von Verletzungen

1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis (Art. 33 Abs. 2 DSGVO). Die Meldung geht per E-Mail an den Kontoinhaber.
2. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Informationen, die erst später bekannt werden, liefert er unverzüglich nach.
3. Der Auftragsverarbeiter trifft unverzüglich die Maßnahmen, die zur Eindämmung und Behebung erforderlich sind.

§ 9 Kontrollrechte

1. Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten vorrangig nach durch:
   • eine Selbstauskunft;
   • diesen AVV mit Anlage 2;
   • die ISO/IEC-27001-Zertifikate der Rechenzentrumsbetreiber.
2. Vor-Ort-Kontrollen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer sind unter folgenden Bedingungen möglich:
   • Ankündigung mindestens 4 Wochen vorher;
   • während der Geschäftszeiten;
   • höchstens einmal je Kalenderjahr, außer bei konkretem Anlass;
   • nach Abschluss einer Vertraulichkeitsvereinbarung.
3. Die Rechenzentren der Unterauftragsverarbeiter sind nicht zugänglich. Insoweit gelten deren Zertifikate und Prüfberichte als Nachweis.
4. Aufwand des Auftragsverarbeiters über 4 Stunden je Kontrolle vergütet der Verantwortliche nach § 7 Abs. 3. Das gilt nicht, wenn die Kontrolle einen wesentlichen Verstoß des Auftragsverarbeiters aufdeckt.

§ 10 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte allein verantwortlich.
2. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 11 Löschung und Rückgabe nach Vertragsende

1. Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten noch 30 Tage lang selbst exportieren. Danach löscht der Auftragsverarbeiter alle Daten des Verantwortlichen von den Servern. Dazu zählen Webspace, Datenbanken und Konfiguration.
2. Datensicherungen werden mit Ablauf ihrer Aufbewahrungsfrist gelöscht, spätestens 6 Monate nach Vertragsende. Bis dahin bleiben sie verschlüsselt und werden nicht mehr genutzt.
3. Ein Export durch den Auftragsverarbeiter erfolgt auf Wunsch nach Aufwand.
4. Gesetzliche Aufbewahrungspflichten bleiben unberührt (Art. 28 Abs. 3 lit. g DSGVO).

§ 12 Haftung

Die Haftung der Parteien im Außenverhältnis richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

§ 13 Agenturen und Wiederverkäufer

Bucht eine Agentur die Leistungen für ihre Endkunden, ist sie gegenüber dem Endkunden Auftragsverarbeiter. Der Auftragsverarbeiter dieses AVV ist dann ihr Unterauftragsverarbeiter. Die Agentur stellt sicher, dass ihr Vertrag mit dem Endkunden den Einsatz von Wolfinity zulässt. Sie gibt die Pflichten aus diesem AVV weiter und leitet Weisungen des Endkunden in Textform weiter.

§ 14 Schlussbestimmungen

1. Änderungen dieses AVV bedürfen der Textform. Für Änderungen durch den Auftragsverarbeiter gilt § 20 der AGB entsprechend. Für Unterauftragsverarbeiter gilt § 6.
2. Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach dem Hauptvertrag.
3. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.

Anlage 1 – Unterauftragsverarbeiter

Für den KI-Assistenten gilt:

• IP-Adressen werden vor der Übermittlung pseudonymisiert.
• Zugangsdaten und Geheimnisse werden geschwärzt.
• Unterhaltungen speichert die Plattform 30 Tage.
• Die Anbieter nutzen die Daten nach ihren geschäftlichen API-Bedingungen nicht zum Training.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle

• Die Server stehen ausschließlich in Rechenzentren der Hetzner Online GmbH und der IONOS SE, die nach ISO/IEC 27001 zertifiziert sind. Dort gibt es Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal.
• Der Auftragsverarbeiter betreibt keine eigenen Systeme mit Kundendaten und bewahrt keine lokalen Kopien oder Datenträger mit Kundendaten auf.

Zugangskontrolle

• Die administrative Anmeldung an Servern ist nur per SSH-Schlüssel möglich. Die Passwort-Anmeldung ist abgeschaltet.
• Der administrative SSH-Port ist standardmäßig geschlossen. Er wird nur befristet für die IP-Adresse des Administrators geöffnet.
• Für das Panel gilt:
  • Zwei-Faktor-Authentifizierung (TOTP) oder Passkeys sind für Plattform-Rollen Pflicht.
  • Vor kritischen Aktionen ist eine erneute Authentifizierung nötig.
  • Sitzungen enden nach 120 Minuten Inaktivität, spätestens nach 12 Stunden.
  • Nach 5 Fehlversuchen wird die Anmeldung für 15 Minuten gesperrt.
• Zugangsdaten verwaltet der Auftragsverarbeiter in einem Passwort-Manager (Bitwarden).
• Für Notfälle gibt es eine Recovery-Konsole mit eigenem Schlüssel (Argon2id). Ihre Nutzung wird protokolliert.

Zugriffskontrolle

• Plattform-Rollen haben abgestufte Rechte.
• Kunden haben keinen Root- und keinen Shell-Zugang.
• SFTP-Zugänge sind auf das eigene Verzeichnis beschränkt (chroot).
• Der Server-Agent führt nur signierte, typisierte Aktionen mit Ablaufzeit aus, keine freien Befehle.
• Geheimnisse (Tokens, Passwörter) liegen verschlüsselt in der Datenbank.
• Panel-Passwörter werden nur als Hash gespeichert.

Trennungskontrolle

• Jedes Hosting hat einen eigenen Systembenutzer und eigene Datenbank-Benutzer.
• PHP-FPM läuft je Website in einer systemd-Sandbox mit eigenen CPU- und RAM-Grenzen und mit open_basedir.
• Apache läuft je Website als deren Benutzer in einem privaten Netz-Namensraum.
• Den Objekt-Cache erreicht jede Website nur über einen eigenen Unix-Socket.
• Kunden-Benutzer können die internen Dienste der Plattform nicht erreichen (Firewall-Regeln für ausgehenden Verkehr).

Pseudonymisierung

• Die Besucherstatistik speichert keine IP-Adressen, sondern nur Tageswerte mit einem täglich wechselnden Hash.
• Für den KI-Assistenten werden IP-Adressen pseudonymisiert und Geheimnisse geschwärzt.

2. Integrität

Weitergabekontrolle

• Websites und Panel sind nur per TLS erreichbar (Let's Encrypt, HSTS).
• Die Server kommunizieren über ein verschlüsseltes WireGuard-Netz.
• Zwischen Steuerzentrale und Agent wird gegenseitige TLS-Authentifizierung mit eigener Zertifizierungsstelle eingesetzt.
• Datensicherungen werden vor dem Verlassen des Servers verschlüsselt (restic, AES-256).

Eingabekontrolle

• Jede schreibende Aktion im Panel wird in einem unveränderlichen Audit-Log erfasst, mit Benutzer, Zeitpunkt, IP-Adresse und User-Agent. Die Aufbewahrung beträgt 365 Tage.
• Das System-Journal wird 30 Tage aufbewahrt, die Webserver-Logs der Plattform 14 Tage.

3. Verfügbarkeit und Belastbarkeit

• Jede Website wird täglich gesichert, einschließlich ihrer Datenbanken. Die Aufbewahrung beträgt mindestens 14 tägliche Stände, dazu wöchentliche und monatliche Stände nach Richtlinie.
• Die Sicherungen werden verschlüsselt in einem anderen Rechenzentrum gespeichert (Helsinki) als die Server (Falkenstein).
• Vor jeder Wiederherstellung und vor jedem Update über das WordPress-Toolkit wird ein zusätzlicher Sicherungspunkt angelegt.
• Firewalls sind auf jedem Server eingerichtet (nftables, nach Server-Rolle), dazu die Netz-Firewall des Rechenzentrums.
• fail2ban sperrt Angreifer bei der Panel-Anmeldung, bei SFTP und bei Scanner-Zugriffen.
• Betriebssystem und PHP werden automatisch mit Sicherheitsupdates versorgt.
• Folgende Sicherheitsprüfungen laufen automatisch:
  • stündliche, sechsstündliche und nächtliche Sicherheitsscans von Dateien, Inhalten, Logs und Prozessen;
  • Abgleich mit Feeds zu Sicherheitslücken (Wordfence für WordPress, Debian Security Tracker für Systempakete);
  • Härtungs-Scans mit Soll-Ist-Abgleich der Konfiguration.
• Die Rechenzentren stellen redundante Stromversorgung (USV) und RAID-Datenträger bereit.
• Ein Watchdog startet ausgefallene Dienste neu.
• Ein automatisches Failover zwischen Servern gibt es nicht. Websites lassen sich aber auf andere Server umziehen.

4. Wiederherstellbarkeit

• Kunden können Datensicherungen im Panel selbst wiederherstellen, als Kopie oder durch Überschreiben.
• Die Steuerzentrale der Plattform lässt sich mit einem dokumentierten Notfall-Verfahren aus ihrer Datensicherung wiederherstellen.

5. Verfahren zur regelmäßigen Überprüfung

• Der Auftragsverarbeiter überprüft diese Maßnahmen mindestens jährlich sowie bei wesentlichen Änderungen.
• Die automatischen Härtungs- und Sicherheitsscans laufen laufend, mit einem Sicherheitswert je Server.
• Sicherheitsvorfälle werden dokumentiert und nach § 8 gemeldet.
• Der Auftragsverarbeiter ist auf Datenschutz und Vertraulichkeit verpflichtet.
• Es werden datenschutzfreundliche Voreinstellungen genutzt: keine Tracking-Cookies im Panel, KI-Assistent nur nach Aktivierung.