Auftragsverarbeitungsvertrag (AVV)

Gültig ab: 22.08.2026

Version: 2.0

Gemäß Art. 28 DSGVO.

Dieser Auftragsverarbeitungsvertrag ("AVV") wird zwischen Ihnen (dem "Verantwortlichen") und Sliplane, Lukas Mauser, Freienwalder Str. 3, 13359 Berlin (dem "Auftragsverarbeiter") geschlossen. Er regelt die Verarbeitung personenbezogener Daten, die der Verantwortliche dem Auftragsverarbeiter im Zusammenhang mit der Nutzung der Sliplane-Dienste durch den Verantwortlichen anvertraut.

1. Gegenstand, Laufzeit, verarbeitete personenbezogene Daten und Kategorien betroffener Personen

Gegenstand

Gegenstand dieses AVV ist die Beauftragung des Auftragsverarbeiters durch den Verantwortlichen sowie die Erteilung von Weisungen zur Verarbeitung personenbezogener Daten. Die durch den Auftragsverarbeiter durchgeführte Verarbeitung beschränkt sich strikt auf die zur Erfüllung des zugrunde liegenden Hauptvertrags erforderlichen Tätigkeiten. Sie umfasst sämtliche vom Verantwortlichen genutzten Sliplane-Dienste, einschließlich Compute-Server, verwalteten Objektspeicher (Buckets), verwaltete PostgreSQL-Datenbanken sowie die Backups dieser Ressourcen.

Laufzeit

Die Laufzeit dieses AVV entspricht der des Hauptvertrags.

Kategorien personenbezogener Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Stammdaten
• Kommunikationsdaten (z. B. Telefon, E-Mail)
• Vertragsdaten
• Logdaten
• alle personenbezogenen Daten, die der Verantwortliche in den von ihm genutzten Diensten speichert oder über diese übermittelt

Kategorien betroffener Personen

Die erhobenen und verarbeiteten personenbezogenen Daten betreffen:

• Kunden und Interessenten des Verantwortlichen
• Mitarbeiter und Personal des Verantwortlichen
• Lieferanten des Verantwortlichen
• alle sonstigen betroffenen Personen, deren Daten der Verantwortliche mithilfe der Dienste verarbeitet

2. Datenübermittlung ins Ausland

(1) Abhängig von der Region, die der Verantwortliche für seine Server, Datenbanken und Storage-Buckets auswählt, können personenbezogene Daten innerhalb der EU/des EWR (Deutschland, Finnland) oder außerhalb davon (Vereinigte Staaten, Singapur) verarbeitet werden. Der Verantwortliche wählt die Region und ist dafür verantwortlich, eine für seine eigenen Compliance-Anforderungen angemessene Region auszuwählen.

(2) Sofern ein Unterauftragsverarbeiter personenbezogene Daten außerhalb der EU/des EWR verarbeitet, stellt der Auftragsverarbeiter sicher, dass vor einer solchen Übermittlung eine geeignete Garantie nach Kapitel V DSGVO, insbesondere die EU-Standardvertragsklauseln oder ein Angemessenheitsbeschluss, vorliegt. Der Auftragsverarbeiter stellt sicher, dass die Übermittlung sicher und mit angemessenen Garantien nach dem aktuellen Stand der Technik erfolgt.

(3) Der Auftragsverarbeiter verbringt personenbezogene Daten nicht in eine Region außerhalb der EU/des EWR, die der Verantwortliche nicht ausgewählt hat, es sei denn, dies ist erforderlich, um einen vom Verantwortlichen in dieser Region beauftragten Dienst zu erbringen.

3. Technische und organisatorische Maßnahmen

(1) Vor Abschluss dieses AVV verpflichtet sich der Auftragsverarbeiter, alle erforderlichen technischen und organisatorischen Sicherheitsmaßnahmen umzusetzen und dem Verantwortlichen ein Dokument zur Verfügung zu stellen, das diese Maßnahmen detailliert beschreibt (Anlage 1) und sich konkret auf diese Vereinbarung bezieht.

(2) Der Auftragsverarbeiter garantiert, dass er alle nach Art. 28 Abs. 3 lit. c und Art. 32 DSGVO erforderlichen Sicherheitsmaßnahmen umgesetzt hat, insbesondere im Zusammenhang mit Art. 5 Abs. 1 und 2 DSGVO. Diese Maßnahmen müssen die Datensicherheit und ein angemessenes Schutzniveau hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme gewährleisten. Gemäß Art. 32 Abs. 1 DSGVO sind bei der Bewertung der Angemessenheit der Sicherheitsmaßnahmen folgende Aspekte zu berücksichtigen: die Einhaltung des aktuellen Standes der Technik, die Implementierungskosten sowie die Art, der Umfang und die Zwecke der Verarbeitung sowie die Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen.

(3) Technische und organisatorische Maßnahmen unterliegen dem technologischen Fortschritt und der Entwicklung. Der Auftragsverarbeiter darf alternative geeignete Maßnahmen ergreifen, die den aktuellen Standards entsprechen, sofern das Sicherheitsniveau nicht reduziert wird. Wesentliche Änderungen sind zu dokumentieren.

4. Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter verpflichtet sich, im Rahmen des zumutbar Möglichen vollumfänglich mitzuwirken, um den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte ausüben, zu unterstützen.

(2) Insbesondere verpflichtet sich der Auftragsverarbeiter:

(i) jede Anfrage einer betroffenen Person zur Ausübung ihrer Rechte unverzüglich an den Verantwortlichen weiterzuleiten und

(ii) den Verantwortlichen, soweit möglich und angemessen, in die Lage zu versetzen, die zur Erfüllung solcher Anfragen erforderlichen technischen und organisatorischen Maßnahmen zu konzipieren und umzusetzen.

(3) Auch wenn die Verantwortung für die Beantwortung von Anfragen beim Verantwortlichen verbleibt, kann der Auftragsverarbeiter mit der Bearbeitung bestimmter Anfragen beauftragt werden, sofern dies keinen unzumutbaren Aufwand verursacht und der Verantwortliche detaillierte schriftliche Weisungen erteilt.

5. Zusätzliche Pflichten des Auftragsverarbeiters

Zusätzlich zur Einhaltung dieses AVV verpflichtet sich der Auftragsverarbeiter, alle gesetzlichen Anforderungen der Art. 28–33 DSGVO zu erfüllen. Insbesondere garantiert der Auftragsverarbeiter die Einhaltung folgender Punkte:

Datenschutz-Kontakt

Ansprechpartner des Auftragsverarbeiters für Datenschutzangelegenheiten ist: Lukas Mauser, Freienwalder Str. 3, 13359 Berlin, support@sliplane.io.

Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich über jeden Wechsel dieses Ansprechpartners informieren.

Vertraulichkeit

Verarbeitungen im Rahmen dieses AVV dürfen nur durch Personen (z. B. Mitarbeiter, Beauftragte, Personal) erfolgen, die über den ordnungsgemäßen Umgang mit Daten informiert und vertraglich auf die Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b und Art. 32 DSGVO verpflichtet wurden. Der Auftragsverarbeiter und alle ihm unterstellten Personen mit Zugriff auf personenbezogene Daten dürfen diese Daten nur auf Weisung des Verantwortlichen verarbeiten, sofern nicht gesetzlich etwas anderes vorgeschrieben ist.

Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter wird alle angemessenen Maßnahmen nach Art. 32 DSGVO umsetzen und einhalten. Er wird interne Prozesse und Sicherheitsmaßnahmen regelmäßig überprüfen, um die Einhaltung des Datenschutzrechts und den Schutz der Rechte betroffener Personen sicherzustellen. Dem Verantwortlichen wird im Rahmen der Auditrechte gemäß Abschnitt 7 die Möglichkeit eingeräumt, diese Maßnahmen zu überprüfen.

Zusammenarbeit mit Aufsichtsbehörden

Der Verantwortliche und der Auftragsverarbeiter werden auf Anfrage mit Aufsichtsbehörden zusammenarbeiten. Der Verantwortliche ist unverzüglich über etwaige Prüfungen oder Maßnahmen einer Aufsichtsbehörde im Zusammenhang mit diesem AVV zu informieren. Werden Ermittlungen gegen den Auftragsverarbeiter eingeleitet, wird dieser sich nach Kräften bemühen, den Verantwortlichen zu unterstützen.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche ermächtigt den Auftragsverarbeiter, Teile der Verarbeitung an Unterauftragsverarbeiter weiterzugeben. Solche Unterauftragsverarbeiter sind vertraglich zu denselben Pflichten zu verpflichten, wie sie in diesem AVV festgelegt sind, gemäß Art. 28 Abs. 4 DSGVO.

(2) Zum Zeitpunkt des Abschlusses beauftragt der Auftragsverarbeiter folgende Unterauftragsverarbeiter unter diesen Bedingungen:

#	Unterauftragsverarbeiter	Verarbeitungsort(e)	Übertragene Tätigkeit	Garantie für die Übermittlung
1	Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Deutschland (Falkenstein, Nürnberg), Finnland (Helsinki)	Hosting von Kundenservern, verwalteten Datenbanken und Control-Plane	Innerhalb der EU/des EWR
2	DataCamp Limited (DataPacket), 9 Coldbath Square, London, Vereinigtes Königreich	Vereinigte Staaten (Seattle)	Hosting von Kundenservern (Region US-West)	Außerhalb der EU/des EWR, abgesichert nach Kapitel V (Abschnitt 2)
3	Latitude.sh, Rua Cubatão 929, São Paulo, Brasilien	Vereinigte Staaten (Ashburn), Singapur	Hosting von Kundenservern (Regionen US-East und Singapur)	Außerhalb der EU/des EWR, abgesichert nach Kapitel V (Abschnitt 2)
4	Impossible Cloud GmbH, Friesenweg 12, 22763 Hamburg, Deutschland	Deutschland (Frankfurt), Vereinigte Staaten (New York)	Verwalteter Objektspeicher (Buckets) und verschlüsselter Backup-Speicher	Frankfurt innerhalb der EU/des EWR; New York abgesichert nach Kapitel V (Abschnitt 2)
5	Backblaze Inc., 500 Ben Franklin Ct, San Mateo, CA, Vereinigte Staaten	Europäische Union (Amsterdam)	Verschlüsselte Volume- und Datenbank-Backups	Speicherung innerhalb der EU/des EWR; abgesichert nach Kapitel V (Abschnitt 2)
6	IONOS SE, Elgendorfer Str. 57, 56410 Montabaur, Deutschland	Deutschland	Verschlüsselte Offsite-Backups	Innerhalb der EU/des EWR

(3) Personenbezogene Daten dürfen nur dann an Unterauftragsverarbeiter übermittelt werden, wenn alle Anforderungen aus Absatz (1) erfüllt sind.

(4) Der Auftragsverarbeiter führt eine aktuelle Liste der Unterauftragsverarbeiter und informiert den Verantwortlichen vorab über die beabsichtigte Beauftragung oder den Austausch eines Unterauftragsverarbeiters, sodass der Verantwortliche Einspruch erheben kann. Erhebt der Verantwortliche Einspruch gegen einen neuen Unterauftragsverarbeiter, kann er den Hauptvertrag und diesen AVV mit einer Frist von 30 Tagen kündigen; im Übrigen besteht der Hauptvertrag zu den bisherigen Bedingungen fort.

(5) Der Auftragsverarbeiter bleibt für die Tätigkeiten der Unterauftragsverarbeiter vollumfänglich verantwortlich und haftbar.

(6) Sofern ein Unterauftragsverarbeiter außerhalb der EU/des EWR tätig ist, hat der Auftragsverarbeiter die Einhaltung der Bestimmungen zu internationalen Datenübermittlungen gemäß Abschnitt 2 dieses AVV sicherzustellen.

7. Audits

(1) Der Verantwortliche ist berechtigt, Audits durchzuführen oder einen Auditor zu beauftragen, um die Einhaltung dieses AVV anhand von Stichproben zu prüfen, wobei der Auftragsverarbeiter vorab zu informieren ist.

(2) Der Auftragsverarbeiter wird dem Verantwortlichen die erforderlichen Informationen und Nachweise zur Umsetzung der Sicherheitsmaßnahmen zur Verfügung stellen.

(3) Als Nachweis kommen unter anderem in Betracht:

• Einhaltung genehmigter Verhaltensregeln (Art. 40 DSGVO)
• Zertifizierung nach einem genehmigten Verfahren (Art. 42 DSGVO)
• aktuelle Prüfberichte oder Zertifikate unabhängiger Stellen
• Zertifizierungen durch IT-Sicherheits- oder Datenschutzauditoren

(4) Der Auftragsverarbeiter kann dem Verantwortlichen für Audits ein angemessenes Entgelt in Rechnung stellen.

8. Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO, insbesondere bei:

• der Sicherstellung angemessener Sicherheitsmaßnahmen unter Berücksichtigung der Verarbeitungsrisiken
• der unverzüglichen Erkennung von Datenschutzverletzungen
• der zeitnahen Meldung solcher Verletzungen an den Verantwortlichen
• der Beantwortung von Anfragen betroffener Personen

(2) Der Auftragsverarbeiter kann ein angemessenes Entgelt für Unterstützungsleistungen verlangen, die nicht in der Leistungsbeschreibung enthalten sind oder nicht durch eigenes Verschulden verursacht wurden.

9. Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter darf personenbezogene Daten nur auf Grundlage dokumentierter Weisungen des Verantwortlichen verarbeiten, sofern nicht gesetzlich etwas anderes vorgeschrieben ist.

(2) Verlangt der Verantwortliche Änderungen, die zu DSGVO-Verstößen führen könnten, hat der Auftragsverarbeiter den Verantwortlichen unverzüglich zu informieren und kann von der Umsetzung absehen.

10. Haftung

(1) Jede Partei stellt die andere von Schäden oder Aufwendungen frei, die aus einem eigenen schuldhaften Verstoß gegen diesen AVV resultieren, einschließlich Verstößen durch gesetzliche Vertreter, Subunternehmer, Mitarbeiter oder Beauftragte. Jede Partei stellt die andere zudem von Ansprüchen Dritter aus solchen Verstößen frei.

(2) Art. 82 DSGVO bleibt unberührt.

11. Löschung und Rückgabe personenbezogener Daten

(1) Der Auftragsverarbeiter darf ohne Kenntnis und Zustimmung des Verantwortlichen keine Kopien der Daten anfertigen, mit Ausnahme erforderlicher Backups oder gesetzlich vorgeschriebener Aufbewahrung.

(2) Nach Beendigung des Vertrags löscht oder übergibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten gemäß DSGVO an den Verantwortlichen und löscht vorhandene Kopien, sofern keine weiteren gesetzlichen Aufbewahrungspflichten bestehen.

(3) Der Auftragsverarbeiter darf Informationen aufbewahren, die zum Nachweis der rechtmäßigen Verarbeitung über das Vertragsende hinaus erforderlich sind.

(4) Solche Unterlagen werden gemäß den geltenden Gesetzen aufbewahrt. Der Auftragsverarbeiter kann die Unterlagen an den Verantwortlichen übergeben und sich dadurch von der Aufbewahrungspflicht befreien.

12. Gerichtsstand

Die Parteien vereinbaren als Gerichtsstand das für den Geschäftssitz des Auftragsverarbeiters in Berlin-Wedding zuständige Gericht.

13. Zustandekommen des Vertrags

(1) Dieser AVV wird elektronisch geschlossen. Die Annahme durch einen bevollmächtigten Vertreter des Verantwortlichen über das Sliplane-Dashboard stellt den verbindlichen Abschluss dieser Vereinbarung durch beide Parteien in elektronischer Form im Sinne des Art. 28 Abs. 9 DSGVO dar.

(2) Der Auftragsverarbeiter ist als anbietende Partei gebunden. Die Annahme durch den Verantwortlichen wird mit dem annehmenden Nutzer, dem Datum und der Uhrzeit sowie der Version dieses Dokuments, die angenommen wurde, dokumentiert; dieser Datensatz bildet zusammen mit diesem Text die geschlossene Vereinbarung, und der Verantwortliche kann jederzeit eine unterzeichnete Kopie auf der Compliance-Seite seines Teams herunterladen.

14. Änderungen dieses AVV

(1) Der Auftragsverarbeiter kann diesen AVV von Zeit zu Zeit aktualisieren, etwa um Änderungen der geltenden Rechtslage, Vorgaben von Aufsichtsbehörden, neuen oder geänderten Unterauftragsverarbeitern oder neuen Sliplane-Diensten Rechnung zu tragen.

(2) Der Auftragsverarbeiter wird den Verantwortlichen über wesentliche Änderungen vorab informieren und ihm Gelegenheit zum Einspruch geben. Erhebt der Verantwortliche Einspruch gegen eine wesentliche Änderung, kann er den Hauptvertrag und diesen AVV mit einer Frist von 30 Tagen kündigen.

(3) Nicht wesentliche Änderungen (etwa Klarstellungen, die das Schutzniveau nicht verringern) werden mit Veröffentlichung der aktualisierten Version wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (gemäß Art. 32 DSGVO)

Absicherung interner Verwaltungssysteme

• regelmäßige Sicherheitsupdates
• fachgerechter Einsatz von Schutzwerkzeugen (Firewalls, Verschlüsselung)
• Zugriffskontrolle für Verwaltungssysteme
• regelmäßige Backups an einem physisch getrennten, unabhängigen Ort
• Infrastruktur-Monitoring
• kein physischer Zugang zur Infrastruktur
• DSGVO-konforme Löschung der Daten nach Vertragsende

Absicherung von Kundenservern

• regelmäßige Sicherheitsupdates
• fachgerechter Einsatz von Schutzwerkzeugen (Firewalls, Verschlüsselung)
• Infrastruktur-Monitoring
• Zugriffskontrolle für die Infrastruktur
• kein physischer Zugang zur Infrastruktur
• Updates und Sicherheit der bereitgestellten Software liegen in der Verantwortung des Verantwortlichen
• DSGVO-konforme Löschung der Daten nach Vertragsende
• bei entsprechender Beauftragung: regelmäßige Backups an einem physisch getrennten, unabhängigen Ort

Absicherung von Kunden-Objektspeicher und verwalteten Datenbanken

• Zugriffskontrolle und mandantenweise Isolation
• Verschlüsselung bei der Übertragung
• Backups verschlüsselt im Ruhezustand mit kundenspezifischen Schlüsseln
• DSGVO-konforme Löschung der Daten nach Vertragsende