Vereinbarung zur Auftragsverarbeitung — up4

Version 2026-09-29-v4 · gemäß Art. 28 DSGVO · einschließlich Anlagen A und B

Europäische Kerninfrastruktur: Anwendung und Datenbank in Deutschland; Objektspeicher, Datensicherungen und E-Mail-Versanddienst in Frankreich. Internationale Messpunkte und weitere Verarbeitungsorte richten sich nach Abschnitt 5 und Anlage B.

1. Parteien und Geltung

Auftragnehmer ist wissmann media, Inhaber Dennis Wissmann, Vennstr. 86, 40627 Düsseldorf, Deutschland, privacy@upfour.io (up4). Auftraggeber ist die bei der elektronischen Annahme bezeichnete Person oder Organisation mit ihrer Geschäftsanschrift. Die Annahme durch eine vertretungsberechtigte Person wird mit Vertragsfassung, Sprache und Zeitpunkt dokumentiert; Vertrag und Nachweis sind herunterladbar. Maßgeblich ist die bei Annahme gewählte Sprachfassung. Bei Datenschutzwidersprüchen geht dieser AVV dem Hauptvertrag vor. Individuelle Datenschutzvereinbarungen werden nur ausdrücklich ersetzt.

up4 handelt als Auftragsverarbeiter; handelt der Auftraggeber selbst als Auftragsverarbeiter, wird up4 als weiterer Auftragsverarbeiter tätig. Der Auftraggeber stellt seine Berechtigung zur Beauftragung sicher und verantwortet die Rechtmäßigkeit seiner Weisungen. Eigene Konto-, Abrechnungs- und gesetzliche Nachweiszwecke von up4 sind in der Datenschutzerklärung beschrieben; sie erlauben keine zweckfremde Nutzung der Auftragsdaten.

2. Gegenstand und Datenumfang

up4 verarbeitet personenbezogene Daten (Auftragsdaten) für die beauftragte Überwachung von Internetdiensten, Störungsdiagnose, Benachrichtigung, Statusveröffentlichung, Zusammenarbeit und Berichterstellung einschließlich erforderlicher Betriebs-, Support- und Sicherungstätigkeiten. Dazu werden Daten erhoben, abgerufen, ausgewertet, gespeichert, übermittelt, bereitgestellt und gelöscht. Die Verarbeitung dauert während der beauftragten Nutzung und bis zum Löschabschluss nach Abschnitt 8.

Datenarten: Kontakt- und Benutzerkennungen, Rollen und Empfängeradressen; Prüfziele, Konfigurationen und erforderliche Zugangsdaten; Verbindungs- und Messdaten einschließlich IP-Adressen und Zeitpunkten; abgerufene oder bereitgestellte Inhalte einschließlich beauftragter Bildschirmaufnahmen; Störungs-, Kommunikations-, Statusseiten- und Berichtsdaten.

Betroffene: Beschäftigte und Beauftragte des Auftraggebers und seiner Endkunden, Nutzer und Empfänger der Dienste sowie Personen in den abgerufenen oder übermittelten Inhalten. Daten nach Art. 9 oder 10 DSGVO sind nicht für die reguläre Nutzung vorgesehen; ihre Verarbeitung erfordert eine vorherige Vereinbarung über Umfang und Schutzmaßnahmen.

3. Weisungen und Änderungen

up4 verarbeitet Auftragsdaten, auch bei Drittlandübermittlungen, ausschließlich auf dokumentierte Weisung. Weisungen ergeben sich aus diesem AVV, der beauftragten Leistungsbeschreibung, den dokumentierten Einstellungen und Mitteilungen berechtigter Kontakte an privacy@upfour.io; mündliche Eilweisungen werden in Textform bestätigt. Bei vermuteter Rechtswidrigkeit informiert up4 unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus. Gesetzlich vorgeschriebene Verarbeitungen nach Unionsrecht oder mitgliedstaatlichem Recht werden vorab mitgeteilt, sofern dieses Recht die Mitteilung nicht aus wichtigen öffentlichen Interessen verbietet.

Änderungen von Funktionen, Messregionen, Empfängern oder Aufbewahrungsfristen innerhalb des vereinbarten Umfangs können durch dokumentierte Auswahl oder Beauftragung erfolgen. Neue Zwecke oder nicht erfasste Datenarten bedürfen einer ergänzenden Vereinbarung. Technische Änderungen, etwa an Software oder Serverzahl, erfordern keinen neuen AVV, solange Weisungen und Schutzniveau gewahrt bleiben. Für neue Anbieter und Länder gilt Abschnitt 5.

4. Vertraulichkeit und Sicherheit

up4 setzt die Maßnahmen nach Art. 32 DSGVO in Anlage A um. Zugang erhalten nur befugte, gesetzlich oder vertraglich zur Vertraulichkeit verpflichtete Personen, soweit für ihre Aufgabe erforderlich. Die Verpflichtung gilt nach Vertragsende fort. Mindestens gleichwertige Weiterentwicklungen der Maßnahmen sind gestattet; wesentliche Änderungen werden dokumentiert und auf Anfrage erläutert. Der Auftraggeber schützt seine Zugänge und beschränkt Inhalte und Freigaben auf das für seine Zwecke Erforderliche.

5. Dienstleister und Verarbeitungsländer

Der Auftraggeber genehmigt allgemein den Einsatz von Unterauftragsverarbeitern; der Ausgangsstand steht in Anlage B. up4 prüft deren hinreichende Garantien, verpflichtet sie vertraglich auf gleichwertige Datenschutzpflichten und bleibt für die Erfüllung ihrer Pflichten gegenüber dem Auftraggeber verantwortlich.

Ergänzungen oder Ersetzungen sowie neue Verarbeitungsländer teilt up4 dem Vertragskontakt mindestens 14 Kalendertage vor Einsatz per E-Mail mit, unter Angabe von Anbieter, Aufgabe, Daten, Ländern und gegebenenfalls Transfergrundlage. Binnen 14 Kalendertagen nach Zugang der vollständigen Mitteilung kann der Auftraggeber aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Klärung wird die beanstandete Änderung für den Auftraggeber nicht umgesetzt. Ist keine Lösung möglich, kann der Auftraggeber die betroffene Leistung vor der Änderung ohne zusätzliche Kündigungsgebühr beenden. Ohne fristgerechten Widerspruch ist die mitgeteilte Änderung gestattet; ein früherer Einsatz erfordert ausdrückliche Genehmigung. Mitgeteilte Änderungen schreiben Anlage B fort und erfordern keinen neuen AVV.

Zusätzliche Messpunkte bei bereits genehmigten Anbietern und Ländern benötigen keinen erneuten Vertrag. Für Drittlandübermittlungen einschließlich Fernzugriffen sichert up4 die Voraussetzungen des Kapitels V DSGVO durch anwendbare Angemessenheitsbeschlüsse oder geeignete Garantien, insbesondere Standardvertragsklauseln, erforderliche Transferbewertungen und ergänzende Schutzmaßnahmen. Fehlt eine zulässige Grundlage, unterbleibt die Übermittlung. Eine Regionsauswahl allein ersetzt diese Voraussetzungen nicht.

6. Unterstützung und Datenschutzverletzungen

up4 unterstützt den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei Betroffenenrechten nach Kapitel III sowie unter Berücksichtigung der Verarbeitung und verfügbarer Informationen bei den Pflichten nach Art. 32–36 DSGVO. Unmittelbar eingehende Betroffenenanfragen werden unverzüglich weitergeleitet und nur auf Weisung oder aufgrund zwingenden Rechts beantwortet. Bei Agenturaufträgen leitet der Auftraggeber Weisungen und Informationen an die jeweils zuständige Stelle weiter.

Datenschutzverletzungen betreffend Auftragsdaten meldet up4 dem Vertragskontakt unverzüglich nach Bekanntwerden per E-Mail, mit verfügbaren Angaben zu Art, Umfang, betroffenen Daten und Personen, Folgen, Gegenmaßnahmen und Ansprechpartner. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht. up4 begrenzt die Folgen und dokumentiert Vorfall und Maßnahmen.

7. Nachweise und Kontrolle

up4 stellt alle zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder dessen Prüfer und wirkt daran mit. Umfang und Termin werden anlassgerecht unter Schutz anderer Kunden abgestimmt; dringliche Prüfungen und Behördenbefugnisse bleiben unberührt. Informationen zur tatsächlich eingesetzten Auftragskette einschließlich Namen, Anschriften, Kontakten, Aufgaben und Ländern hält up4 aktuell und zugänglich. Vertrags- und Transfernachweise werden im erforderlichen Umfang bereitgestellt.

8. Aufbewahrung und Löschung

Arbeitsdaten werden für die beauftragte Nutzung vorgehalten, soweit keine frühere Löschweisung erfolgt. Für Messhistorien, Berichte und Bildschirmaufnahmen gelten die bei Beauftragung ausgewiesenen Fristen oder abweichende dokumentierte Weisungen. Fehlt eine besondere Frist, gilt die Dauer der beauftragten Nutzung. Eine spätere Änderung einer Produktseite verlängert vereinbarte Fristen nicht; Archivierung beginnt keine neue Frist. Nach Ablauf werden die Daten gelöscht oder irreversibel anonymisiert.

Benachrichtigungsdiagnosen werden grundsätzlich höchstens 30 Tage, Zustellnachweise (Status- und Metadaten) höchstens 400 Tage aufbewahrt, soweit für Zustellklärung und Nutzungsnachweis erforderlich. Bei konkreten ungeklärten Vorfällen dürfen nur die hierfür erforderlichen Daten bis zur Klärung erhalten bleiben.

Nach Ende der beauftragten Nutzung oder entsprechender Weisung gibt up4 nach Wahl des Auftraggebers die Auftragsdaten in einem gängigen elektronischen Format zurück und löscht vorhandene Kopien oder löscht sie unmittelbar. up4 bietet diese Wahl vor unwiderruflicher Löschung an und führt sie unverzüglich einschließlich der Bestände bei Unterauftragsverarbeitern aus. Ohne Wahl binnen 30 Tagen nach Zugang des Angebots löscht up4 die Auftragsdaten; darauf weist das Angebot hin. Gesetzliche Aufbewahrungspflichten nach Unions- oder mitgliedstaatlichem Recht bleiben auf den erforderlichen Umfang beschränkt.

Von up4 erstellte Sicherungen werden regulär innerhalb von 14 Tagen ersetzt. Bei einer Wiederherstellungsstörung darf die letzte verlässliche Sicherung nur so lange wie erforderlich zugriffsbeschränkt erhalten bleiben. Bis zum Ablauf sind Sicherungen für andere Zwecke gesperrt; bei Wiederherstellung werden Löschungen vor erneuter regulärer Verarbeitung angewendet. up4 bestätigt den Löschabschluss und nennt für verbleibende Sicherungen oder gesetzliche Ausnahmen Grund und vorgesehenen Löschtermin. Löschvermerke bleiben nur zur Sicherung dieser Wirkung erhalten. Die Löschpflichten gelten nach Vertragsende fort.

Anlage A — Technische und organisatorische Maßnahmen

• Zugriff: Persönliche Zugänge, begrenzte Rollen, getrennte Kunden- und Administrationszugänge, logische Mandantentrennung, widerrufbare Sitzungen und API-Zugänge; Mehrfaktorverfahren für Kundenkonten verfügbar.
• Übertragung: TLS für öffentliche Anwendungszugänge und Verbindungen zu externen Messpunkten; interne Dienste in privaten, zugriffsbeschränkten Netzen; authentifizierte und berechtigungsbegrenzte Dienstzugriffe.
• Speicherung: Verschlüsselte Prüf-Zugangspasswörter, individuelle Prüfheader und Kanalgeheimnisse; gesondert zugriffsgeschützte Schlüssel. Private, serverseitig verschlüsselte Objektspeicher; Datenbanksicherungen zusätzlich vor dem Upload verschlüsselt. Inhaltsfelder sind nicht durchgängig anwendungsseitig verschlüsselt.
• Datenbegrenzung: Berechtigungsgeprüfte Inhaltszugriffe, reduzierte Protokolle und Standardmeldungen, verborgene Geheimnisse in regulären Ausgaben; Schutz interner Systeme vor unberechtigten Zugriffen über Prüfziele.
• Betrieb: Überwachung, tägliche Datensicherungen und geprüfte Wiederherstellungsverfahren; automatisierte Fristbereinigung und berechtigungsgeprüfte Auskunfts-/Löschverfahren. Risikogerechte Bearbeitung von Sicherheitsupdates und Schwachstellen; regelmäßige und anlassbezogene Prüfung der Wirksamkeit der Maßnahmen.

Anlage B — Dienstleister und Standorte

Vertragspartner	Aufgabe und betroffene Auftragsdaten	Verarbeitung
Hetzner Online GmbH, Deutschland	Anwendung, Datenbank, Messpunkte und Supportpostfächer; dort verarbeitete Auftragsdaten	Deutschland
Scaleway S.A.S., Frankreich	Objektspeicher, Sicherungen und E-Mail-Versand; gespeicherte Auftragsdaten, Nachrichten und Zustelldaten	Paris, Frankreich; weitere Unterauftragsverarbeiter siehe unten
Ploi B.V., Niederlande	Serververwaltung; Infrastrukturangaben und administrativer Systemzugriff	Verwaltungsplattform Niederlande; an den Standorten der verwalteten Systeme
UpCloud Oy, Finnland	Weitere Messpunkte; zugewiesene Prüfaufträge einschließlich erforderlicher Zugangsdaten, temporär abgerufene Inhalte und Ergebnisse	Nach beauftragter Messregion; Deutschland, USA, Singapur und Australien, Support/Wartung auch Vereinigtes Königreich

Bei UpCloud gehören je eingesetzter Region UpCloud USA Inc., UpCloud Asia Pte. Ltd., UpCloud Asia Pacific Pty Ltd. sowie für Support/Wartung UpCloud UK Ltd. zur weiteren Auftragskette. Für Übermittlungen ohne Angemessenheitsbeschluss sieht die UpCloud-DPA Standardvertragsklauseln vor. Weitere von Scaleway für die genutzten Dienste eingesetzte Unterauftragsverarbeiter und deren Standorte nennt die Scaleway-Unterauftragnehmerliste. Maßgeblich bleibt die tatsächliche Auftragskette nach Abschnitt 7; Änderungen auf Anbieterwebsites ersetzen keine Mitteilung nach Abschnitt 5.

Reine Eigenzwecke eines Anbieters, etwa seine Vertragsmails an up4, gehören nicht zur Auftragskette für Kundendaten. Werden Auftragsdaten in Support- oder Administrationsketten verarbeitet, gelten dagegen die Abschnitte 5–7. Vom Auftraggeber selbst bestimmte Empfänger und Benachrichtigungsdienste werden auf seine Weisung angesprochen; deren Weiterverarbeitung verantwortet er.