Vereinbarung zur Auftragsverarbeitung (AVV)

Fassung: 2026-10-24.v2

1. Parteien und Gegenstand

Auftraggeber: die im elektronischen Abschlussnachweis bezeichnete natürliche oder juristische Person. Der Nachweis enthält Name/Firma, Anschrift, Konto, vertretungsberechtigte Person und Datenschutzkontakt und wird dieser AVV beigefügt.

Auftragnehmer: ideployed UG (haftungsbeschränkt), Torgauer Straße 231–233, 04347 Leipzig, Deutschland; Geschäftsführer Hamid Wakili; Amtsgericht Leipzig HRB 45472; Kontakt [email protected].

Diese AVV konkretisiert die Verarbeitung personenbezogener Daten im Rahmen der vereinbarten Hosting- und Bereitstellungsleistungen. Der Auftraggeber ist Verantwortlicher oder ein hierzu berechtigter Auftragsverarbeiter. Im zweiten Fall sichert er die notwendigen Weisungs- und Unterbeauftragungsbefugnisse zu; iDeployed handelt als weiterer Auftragsverarbeiter. Die Anlagen sind Vertragsbestandteil. Bei Datenschutz-Widersprüchen geht diese AVV den allgemeinen Leistungsbedingungen vor, unbeschadet vorrangiger Standardvertragsklauseln.

Eigene Verarbeitung durch iDeployed, insbesondere Kontovertragsverwaltung und eigene gesetzliche Pflichten, wird nicht allein durch diese AVV zu Auftragsverarbeitung; dafür gelten die Anwendungs-Datenschutzhinweise und die jeweilige Rechtsgrundlage.

2. Dauer, Umfang und Weisungen

Die Verarbeitung beginnt mit der wirksamen Beauftragung und dauert für die Leistung und die vereinbarte Rückgabe-/Löschphase an. Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage A. Der Auftraggeber bleibt für Rechtmäßigkeit, Information der Betroffenen und zulässige Weisungen verantwortlich.

iDeployed verarbeitet nur auf dokumentierte Weisung, einschließlich Übermittlungen in Drittländer, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung verlangt. In diesem Fall informiert iDeployed vorab über die rechtliche Pflicht, soweit das Gesetz dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Vertrag, freigegebene Konfiguration und authentifizierte Ressourcenaktionen bilden Weisungen, soweit ihr Umfang klar ist. Zusätzliche Weisungen werden in Textform festgehalten; Identität und Berechtigung des Weisenden werden geprüft.

Hält iDeployed eine Weisung für datenschutzrechtswidrig, informiert es unverzüglich und setzt den betroffenen Teil bis zur Klärung aus, soweit erforderlich. Es nutzt Auftragsdaten nicht für eigene Werbung, Verkauf oder Training eigener allgemeiner KI-Modelle. Eine eigene Zweckänderung bedarf einer eigenständigen rechtlichen Grundlage und darf die vereinbarten Pflichten nicht umgehen.

3. Vertraulichkeit, Zugang und Sicherheit

iDeployed verpflichtet zugriffsberechtigte Personen auf Vertraulichkeit oder stellt eine entsprechende gesetzliche Pflicht sicher. Zugang erhalten nur erforderliche und berechtigte Personen. Weisungen, Berechtigungen und wesentliche Verarbeitungsschritte werden angemessen nachvollziehbar gehalten.

iDeployed setzt geeignete Maßnahmen nach Art. 32 DSGVO unter Berücksichtigung von Risiko, Stand der Technik und Aufwand um. Anlage B beschreibt die technischen Maßnahmen und organisatorischen Pflichten. Maßnahmen dürfen technisch weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert.

4. Unterauftragsverarbeiter und Übermittlungen

Mit Abschluss dieser AVV erteilt der Auftraggeber eine allgemeine schriftliche Genehmigung für die in der einbezogenen Fassung der Anlage C bezeichneten Unterauftragsverarbeiter, beschränkt auf die dort genannten Tätigkeiten. Die tatsächliche Einschaltung setzt die erforderliche vertragliche Bindung und rechtmäßige Übermittlung voraus; die Nennung eines Dienstes allein ersetzt diese Voraussetzungen nicht. iDeployed bindet Unterauftragsverarbeiter an inhaltlich gleichwertige Datenschutzpflichten und bleibt für deren Erfüllung gegenüber dem Auftraggeber nach Art. 28 DSGVO verantwortlich.

iDeployed informiert mindestens 30 Tage vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters, sodass ein begründeter datenschutzbezogener Einwand möglich ist. Mitteilungen, Einwände und deren Bearbeitung werden dokumentiert. Die Parteien prüfen eine angemessene Abhilfe oder Alternative; ist keine rechtmäßige Lösung möglich, wird die betroffene Leistung geordnet beendet, ohne andere Rechte zu verkürzen. Notfallwechsel dürfen das gesetzliche Informations- und Einwandsrecht nicht ausschließen.

Verarbeitung außerhalb EU/EWR bedarf dokumentierter Weisung und Einhaltung von Kapitel V DSGVO. iDeployed legt Empfänger, Länder und einschlägige Garantien offen und unterstützt erforderliche Transferprüfungen. Eine Anbieterbehauptung „DSGVO-konform“ ersetzt diese Nachweise nicht. Nicht rechtmäßige behördliche Zugriffsanfragen werden nach geltendem Recht geprüft und gegebenenfalls angefochten; der Auftraggeber wird informiert, soweit zulässig.

5. Unterstützung und Datenschutzverletzungen

iDeployed unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei Betroffenenrechten, Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation, jeweils unter Berücksichtigung der Verarbeitung und verfügbarer Informationen. Direkt eingehende Anfragen zu Auftragsdaten werden unverzüglich weitergeleitet; Antworten an Betroffene erfolgen nur nach Weisung oder rechtlicher Pflicht.

iDeployed informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Auftragsdaten. Die Mitteilung enthält, soweit verfügbar, Art und Umfang, betroffene Kategorien und ungefähre Zahlen, Kontakt, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht; die Erstmeldung wartet nicht auf die vollständige Untersuchung. iDeployed dokumentiert den Vorfall und unterstützt Eindämmung und Abhilfe.

Dies ist keine Zusage einer 72-Stunden-Wartefrist: Die gesetzliche Frist des Verantwortlichen für eine Behördenmeldung ist von der unverzüglichen Information durch den Auftragsverarbeiter zu unterscheiden.

6. Nachweise und Kontrollen

iDeployed stellt erforderliche Informationen zum Nachweis der Pflichten bereit und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten unabhängigen Prüfer. Geeignete vorhandene Nachweise können die Prüfung vereinfachen; nicht vorhandene Zertifikate werden nicht unterstellt.

Prüfungen werden hinsichtlich Umfang, Vertraulichkeit und Schutz anderer Kunden angemessen abgestimmt. Fristen dürfen dringende Prüfungen bei Vorfällen oder Behördenmaßnahmen nicht verhindern. Etwaige gesonderte Kosten bedürfen vorheriger Vereinbarung und dürfen gesetzliche Kontroll- und Unterstützungsrechte nicht praktisch ausschließen. Unzulässige Weisungen im Zusammenhang mit einer Prüfung werden nach Abschnitt 2 behandelt.

7. Rückgabe, Löschung und Vertragsende

Nach Ende der Verarbeitung gibt iDeployed personenbezogene Auftragsdaten nach Wahl des Auftraggebers zurück oder löscht sie und entfernt bestehende Kopien, sofern kein Gesetz eine weitere Speicherung verlangt. Rückgabeformat, Bereitstellungsweg und Fristen werden in Anlage A festgelegt. iDeployed bestätigt die ausgeführte Löschung in geeigneter Form.

Bei erforderlicher gesetzlicher Aufbewahrung werden Grund und Dauer dokumentiert und die Daten gegen weitere zweckfremde Verarbeitung gesperrt. Technische Restkopien in Sicherungen unterliegen einem verbindlichen Überschreibungs-/Löschzyklus, dürfen nicht produktiv weitergenutzt werden und müssen bei Wiederherstellung erneut den Löschvorgaben unterliegen. Eine unbegrenzte Operator-Schutzsperre ersetzt keine Rechtsgrundlage. Für allgemeine Volumes finanziert iDeployed 30 Kalendertage Rückgabezugang ab dem Tag nach dem wirksamen Ende der zugehörigen Speicherleistung, frühestens ab dem Tag nach Zugang der Mitteilung über Fristbeginn und Löschtermin. Eine gesetzlich erforderliche längere Rückgabephase bleibt finanziert, sofern kostenpflichtiger Speicher nicht gesondert ausdrücklich vereinbart wird. Einzelheiten, insbesondere zur Kündigungsankündigung und fortbestehenden Speicherleistung, richten sich nach Abschnitt 6 der Nutzungsbedingungen. Das angekündigte, zeitlich begrenzte Rückgabe-/Löschverfahren wahrt die Wahl des Auftraggebers und einschlägige Rückgabe-/Wechselfristen; konkret begründete Ausnahmen benötigen eine dokumentierte Überprüfung.

Die Löschung eines Kontos allein ist nicht notwendigerweise die vollständige Ressourcenlöschung. iDeployed und Auftraggeber müssen verbleibende Daten, Rückgabebedarf und zulässige Löschanweisung eindeutig zuordnen. JTL-Testfristen dürfen zwingende Rückgabe-, Datenschutz- oder Wechselrechte nicht verkürzen.

8. Ansprechpartner, Rangfolge und Abschluss

Datenschutz- und Weisungskontakt auf beiden Seiten wird dokumentiert. Änderungen dieser AVV werden in Textform vereinbart; erforderliche Unterauftragsinformationen folgen Abschnitt 4. Haftung richtet sich nach den rechtmäßigen Vereinbarungen und zwingendem Datenschutzrecht, insbesondere Art. 82 DSGVO; Rechte Betroffener werden nicht durch interne Verantwortungszuweisung beschränkt.

Diese AVV wird vor der Verarbeitung im Kundenauftrag durch ausdrückliche elektronische Annahme abgeschlossen. Die annehmende Person bestätigt ihre Vertretungsbefugnis. Der Abschlussnachweis benennt beide Parteien, das Konto, Datum und Uhrzeit, die gewählte Sprache sowie die Fassungen der AVV und sämtlicher Anlagen. Der Auftraggeber erhält eine dauerhaft speicherbare Kopie einschließlich des Abschlussnachweises. Die Bestätigung ist keine Einwilligung betroffener Personen und ersetzt nicht die eigene Rechtsgrundlage des Auftraggebers. Die Veröffentlichung einer AVV allein begründet keinen Vertrag und genehmigt keine frühere Verarbeitung rückwirkend.

Anlage A – Beschreibung der Verarbeitung

Anlage B – Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen beziehen sich auf den von iDeployed betriebenen Plattformdienst. Individuelle Anwendungskonfigurationen und zusätzliche Anforderungen werden gesondert vereinbart. Die Darstellung enthält keine Zusage einer Zertifizierung, vollständigen Ende-zu-Ende-Verschlüsselung oder pauschalen Verschlüsselung sämtlicher Disks und Sicherungen.

Anlage C – Unterauftragsverarbeiter

Einbezogen ist die im Abschlussnachweis bezeichnete Fassung der Liste der Dienstleister und Unterauftragsverarbeiter. Deren Abschnitte 1 und 2 unterscheiden Verarbeitung im Kundenauftrag von eigener Kontoverwaltung. Unterstützende Dienste sind nur insoweit Unterauftragsverarbeiter, wie sie tatsächlich Auftragsdaten verarbeiten. Ein eigener Vertrag des Kunden mit GitHub oder einer Registry wird dadurch nicht ersetzt.