Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO · Version V2026.3 · Stand 19.10.2026

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die die Exoma GmbH, Ahegg 22, 88239 Wangen im Allgäu, vertreten durch den Geschäftsführer Nico Giesche (Auftragsverarbeiter), im Auftrag ihrer Kunden (Verantwortlicher) durchführt. In der Regel schließen wir den AVV gesondert ab. Ist im Einzelfall kein gesonderter Vertrag geschlossen, gilt diese Fassung nach § 6 unserer AGB als vereinbart.

Inhalt

Präambel
§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung
§ 2 Weisungsbefugnis und Verantwortung des Verantwortlichen
§ 3 Pflichten des Auftragsverarbeiters, Vertraulichkeit
§ 4 Technische und organisatorische Maßnahmen
§ 5 Unterauftragsverarbeiter
§ 6 Verarbeitung in Drittländern
§ 7 Unterstützungspflichten, Betroffenenrechte
§ 8 Meldung von Datenschutzverletzungen
§ 9 Nachweise und Kontrollrechte
§ 10 Löschung und Rückgabe nach Vertragsende
§ 11 Haftung
§ 12 Laufzeit und Schlussbestimmungen
Anlagen
Anlage 1 – Leistungen, Datenarten und betroffene Personen
Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Anlage 3 – Unterauftragsverarbeiter

Präambel

Die Parteien haben einen oder mehrere Verträge über IT-Dienstleistungen geschlossen, insbesondere den IT-Servicevertrag oder Einzelaufträge auf Grundlage der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters (nachfolgend gemeinsam „Hauptvertrag“). Bei deren Erbringung verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag („AVV“) regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien gemäß Art. 28 Abs. 3 DSGVO. Er gilt für alle Leistungen aus dem Hauptvertrag, bei denen der Auftragsverarbeiter Zugriff auf personenbezogene Daten des Verantwortlichen erhält oder erhalten kann.

§ 1 Gegenstand, Dauer, Art und Zweck der Verarbeitung

(1) Gegenstand des AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen folgender Leistungen: Betreuung, Wartung, Überwachung und Absicherung der IT-Infrastruktur des Verantwortlichen einschließlich Fernwartung, Support und Ticketbearbeitung sowie Bereitstellung und Betrieb der in Anlage 1 genannten Software- und Cloud-Dienste. Die Einzelheiten ergeben sich aus dem Hauptvertrag.

(2) Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 abschließend beschrieben. Eine Verarbeitung zu anderen Zwecken, insbesondere zu eigenen Zwecken des Auftragsverarbeiters, ist ausgeschlossen. Ausgenommen sind Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet (z. B. Vertrags-, Kontakt- und Abrechnungsdaten der Ansprechpartner des Verantwortlichen).

(3) Der AVV beginnt mit Unterzeichnung und gilt, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet, mindestens für die Laufzeit des Hauptvertrags.

(4) Die Verarbeitung findet grundsätzlich in der Europäischen Union oder im Europäischen Wirtschaftsraum statt. Eine Verarbeitung in Drittländern erfolgt nur nach Maßgabe von § 6.

§ 2 Weisungsbefugnis und Verantwortung des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen werden durch den Hauptvertrag und diesen AVV festgelegt. Einzelweisungen erteilt der Verantwortliche in Textform (z. B. E-Mail) oder über das Ticketsystem des Auftragsverarbeiters. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Weisungsberechtigt sind die Geschäftsleitung des Verantwortlichen und die von ihr in Textform benannten Personen.

(3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert. Offensichtlich rechtswidrige Weisungen muss er nicht ausführen.

(4) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Änderungsverlangen und werden nach dem Hauptvertrag vergütet.

(5) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, die Information der Betroffenen sowie die Beteiligung eines Betriebs- oder Personalrats. Dies gilt besonders für Funktionen, die zur Leistungs- oder Verhaltenskontrolle von Beschäftigten geeignet sind (z. B. Phishing-Simulationen, Nutzungsauswertungen in Microsoft 365, Mobile Device Management, Protokolle der Fernwartung), und für die Prüfung von E-Mails, soweit die private Nutzung des E-Mail-Postfachs gestattet ist.

(6) Automatisierte Schwachstellenscans führt der Auftragsverarbeiter nur auf Grundlage einer Scan-Freigabe des Verantwortlichen durch, manuelle Penetrationstests nur auf gesonderte Beauftragung in Textform. Der Verantwortliche sichert zu, über die zu prüfenden Systeme verfügungsberechtigt zu sein oder die Zustimmung des Berechtigten (z. B. Hoster, Cloud-Anbieter) eingeholt zu haben.

§ 3 Pflichten des Auftragsverarbeiters, Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus. Die Personen werden regelmäßig im Datenschutz und in der Informationssicherheit unterwiesen.

(2) Zugriffe auf Systeme und Daten des Verantwortlichen erfolgen nur, soweit sie zur Leistungserbringung erforderlich sind (Need-to-know). Eine Einsichtnahme in Inhalte (z. B. Dateien, E-Mails) erfolgt nur, wenn dies für den konkreten Auftrag unvermeidbar ist.

(3) Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter derzeit gesetzlich nicht vorgeschrieben. Ansprechpartner für Datenschutz: Nico Giesche, datenschutz@exoma-solutions.de. Wird ein Datenschutzbeauftragter benannt, teilt der Auftragsverarbeiter dessen Kontaktdaten mit.

(4) Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

(5) Berufsgeheimnisträger. Unterliegt der Verantwortliche einer Schweigepflicht nach § 203 StGB (z. B. Arzt-, Steuerberater-, Rechtsanwaltspraxis), gilt zusätzlich: Der Auftragsverarbeiter verpflichtet sich zur Verschwiegenheit über alle fremden Geheimnisse, von denen er bei der Leistungserbringung Kenntnis erlangt. Er ist darüber belehrt, dass er sich bei einer unbefugten Offenbarung nach § 203 Abs. 4 StGB strafbar machen kann. Er verpflichtet seine mitwirkenden Personen und Unterauftragsverarbeiter in Textform entsprechend und offenbart Geheimnisse nur, soweit dies für die Leistung erforderlich ist. Für Berufsgeheimnisträger gelten ergänzend etwaige berufsrechtliche Vorgaben (z. B. § 43e BRAO, § 62a StBerG).

(6) Einsatz von KI-Systemen. Der Auftragsverarbeiter darf zur Unterstützung der Leistungserbringung, etwa zur Auswertung von Tickets und Überwachungsdaten, ein selbst betriebenes KI-System auf eigenen Servern im Serverraum am Sitz des Auftragsverarbeiters in Wangen im Allgäu einsetzen. Daten des Verantwortlichen werden dabei nicht an externe Anbieter von KI-Diensten übermittelt und nicht zum Training oder zur Verbesserung von KI-Modellen verwendet. Entscheidungen mit Wirkung für die Systeme des Verantwortlichen trifft ein Mitarbeiter des Auftragsverarbeiters.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Art. 28 Abs. 3 lit. c DSGVO). Der Verantwortliche hat diese Maßnahmen geprüft und hält sie für das Risiko der Verarbeitung für angemessen.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen in Textform mit.

(3) Für die Sicherheit der Systeme, die der Verantwortliche selbst betreibt oder bei Dritten bezieht und die nicht Gegenstand des Hauptvertrags sind, bleibt der Verantwortliche verantwortlich. Gleiches gilt für Einstellungen, die der Verantwortliche abweichend von Empfehlungen des Auftragsverarbeiters wünscht; solche Abweichungen werden dokumentiert.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern (Art. 28 Abs. 2 Satz 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter in Anlage 3 gelten als genehmigt, soweit der Verantwortliche den jeweiligen Dienst bezieht.

(2) Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vorher in Textform. Der Verantwortliche kann innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Ohne fristgerechten Widerspruch gilt die Änderung als genehmigt.

(3) Bei einem berechtigten Widerspruch bemühen sich die Parteien um eine einvernehmliche Lösung. Gelingt dies nicht innerhalb von 30 Tagen, kann jede Partei die betroffene Leistung mit einer Frist von einem Monat außerordentlich kündigen.

(4) In Notfällen (z. B. Ausfall oder Insolvenz eines Anbieters, akute Sicherheitslücke) darf der Auftragsverarbeiter einen Unterauftragsverarbeiter sofort ersetzen. Er informiert den Verantwortlichen unverzüglich; das Widerspruchsrecht nach Abs. 2 gilt entsprechend.

(5) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die dieser AVV vorsieht (Art. 28 Abs. 4 DSGVO). Bei Standardverträgen großer Softwareanbieter genügt ein Vertrag, der die Anforderungen des Art. 28 Abs. 3 DSGVO erfüllt. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter.

(6) Keine Unterauftragsverarbeitung im Sinne dieser Regelung sind Nebenleistungen ohne planmäßigen Zugriff auf personenbezogene Daten, etwa Telekommunikation, Post- und Transportdienste, die Wartung von Hardware oder Distributoren, die nur Firmen- und Lizenzdaten zur Abrechnung erhalten. Der Auftragsverarbeiter trifft auch hier angemessene Vorkehrungen zum Schutz der Daten.

(7) Dienste, die der Verantwortliche selbst direkt beim Hersteller beauftragt (z. B. Microsoft 365), sowie Software, die ausschließlich auf Systemen des Verantwortlichen läuft (z. B. Sicherungssoftware), sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Für direkt beauftragte Dienste schließt der Verantwortliche eigene Verträge mit dem Anbieter.

§ 6 Verarbeitung in Drittländern

(1) Eine Übermittlung personenbezogener Daten in ein Land außerhalb von EU/EWR (Drittland) oder an eine internationale Organisation erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Zulässige Grundlagen sind insbesondere ein Angemessenheitsbeschluss der EU-Kommission (z. B. Schweiz, Vereinigtes Königreich oder bei Zertifizierung nach dem EU-U.S. Data Privacy Framework) oder EU-Standardvertragsklauseln mit ggf. ergänzenden Maßnahmen.

(2) Die bei Vertragsschluss bestehenden Drittlandbezüge, auch durch Fernzugriffe von Support-Personal eines Anbieters, sind mit ihrer Transfergrundlage in Anlage 3 ausgewiesen.

(3) Entfällt eine Transfergrundlage (z. B. durch ein Gerichtsurteil), informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich und schlägt zumutbare Alternativen vor. § 5 Abs. 3 gilt entsprechend.

§ 7 Unterstützungspflichten, Betroffenenrechte

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Art. 12 bis 23 DSGVO (Art. 28 Abs. 3 lit. e DSGVO), insbesondere bei Auskunft, Berichtigung, Löschung und Einschränkung.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter. Er beantwortet es nicht selbst, es sei denn, der Verantwortliche weist ihn dazu an.

(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen der Aufsichtsbehörde (Art. 28 Abs. 3 lit. f DSGVO).

(4) Unterstützungsleistungen nach Abs. 1 und 3 sind gesondert nach den Stundensätzen des Hauptvertrags zu vergüten, soweit sie nicht auf einem Pflichtverstoß des Auftragsverarbeiters beruhen. Die Pflicht zur Weiterleitung nach Abs. 2 und zur Meldung nach § 8 ist unentgeltlich.

(5) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen oder Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.

§ 8 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich, spätestens innerhalb von 36 Stunden, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Die Meldung erfolgt telefonisch und in Textform an die vom Verantwortlichen benannte Kontaktadresse.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Noch fehlende Angaben werden unverzüglich nachgereicht.

(3) Der Auftragsverarbeiter ergreift unverzüglich die erforderlichen Maßnahmen zur Eindämmung und dokumentiert den Vorfall. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen (Art. 33, 34 DSGVO) obliegen dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn dabei.

(4) Sicherheitsvorfälle, die durch die eingesetzten Sicherheitsdienste erkannt und ohne Zugriff Unbefugter auf personenbezogene Daten abgewehrt werden (z. B. blockierte Schadsoftware, abgewiesene Spam- oder Phishing-Mails), sind keine meldepflichtigen Verletzungen im Sinne dieser Vorschrift. Sie werden im Rahmen des vereinbarten Reportings mitgeteilt.

§ 9 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Der Nachweis kann insbesondere durch Selbstauskünfte, aktuelle TOM-Dokumentation, Zertifikate, Prüfberichte oder genehmigte Verhaltensregeln (Art. 28 Abs. 5 DSGVO) erbracht werden, auch für Unterauftragsverarbeiter.

(2) Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche Überprüfungen einschließlich Inspektionen vor Ort durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Prüfer, die in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen, sind ausgeschlossen.

(3) Vor-Ort-Kontrollen sind mindestens 14 Tage vorher in Textform anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betriebsablauf nicht unverhältnismäßig stören. Sie sind, außer aus konkretem Anlass, auf eine Kontrolle pro Kalenderjahr beschränkt. Daten anderer Kunden und Geschäftsgeheimnisse des Auftragsverarbeiters bleiben geschützt.

(4) Der Verantwortliche trägt die Kosten seiner Kontrollen. Den Aufwand des Auftragsverarbeiters vergütet er nach den Stundensätzen des Hauptvertrags, es sei denn, die Kontrolle deckt einen wesentlichen Verstoß des Auftragsverarbeiters gegen diesen AVV auf.

(5) Kontrollrechte der Aufsichtsbehörden bleiben unberührt.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Abschluss der Leistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht die vorhandenen Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform mit. Ohne Mitteilung löscht der Auftragsverarbeiter die Daten nach Ablauf dieser Frist; Abs. 4 bleibt unberührt.

(2) Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format, soweit der jeweilige Dienst einen Export ermöglicht. Exporte, Migrationen und Übergaben an einen Nachfolgedienstleister werden nach Aufwand vergütet.

(3) Daten in Cloud-Diensten aus Anlage 1, etwa Außer-Haus-Sicherungen oder gehostete Server, werden mit Beendigung der jeweiligen Lizenz gelöscht. Der Auftragsverarbeiter weist den Verantwortlichen mindestens 30 Tage vorher auf die Löschung hin, damit er eigene Exporte veranlassen kann. Inhalte des Passwort-Managers sind Ende-zu-Ende-verschlüsselt und nur mit den Zugangsdaten der Nutzer exportierbar.

(4) Für das E-Mail-Archiv gilt abweichend: Wegen gesetzlicher Aufbewahrungspflichten des Verantwortlichen (z. B. § 257 HGB, § 147 AO) löscht der Auftragsverarbeiter das Archiv erst, wenn der Verantwortliche den Export erhalten oder in Textform auf ihn verzichtet hat. Bis dahin wird das Archiv gesperrt und nicht weiter verarbeitet. Hält der Auftragsverarbeiter das Archiv auf Wunsch weiter vor, trägt der Verantwortliche die laufenden Kosten.

(5) Daten in Datensicherungen des Auftragsverarbeiters werden im Rahmen der regulären Aufbewahrungszyklen gelöscht, spätestens nach 2 Jahren. Bis dahin sind sie vor jeder weiteren Verarbeitung geschützt.

(6) Die Löschung wird auf Anfrage in Textform bestätigt. Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen (z. B. Tickets, Protokolle), darf der Auftragsverarbeiter entsprechend den gesetzlichen Aufbewahrungsfristen aufbewahren.

§ 11 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Die folgenden Regelungen betreffen ausschließlich das Verhältnis der Parteien untereinander.

(2) Im Innenverhältnis trägt jede Partei den Schaden, der auf ihre eigenen Pflichtverletzungen zurückzuführen ist. Wird eine Partei von einem Betroffenen oder einer Behörde in Anspruch genommen, obwohl der Schaden im Verantwortungsbereich der anderen Partei liegt, stellt diese sie insoweit frei.

(3) Der Auftragsverarbeiter haftet unbeschränkt bei Vorsatz und grober Fahrlässigkeit, bei Verletzung von Leben, Körper oder Gesundheit sowie nach dem Produkthaftungsgesetz.

(4) Bei leicht fahrlässiger Verletzung wesentlicher Vertragspflichten (Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags erst ermöglicht und auf deren Einhaltung der Verantwortliche regelmäßig vertrauen darf) ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt, höchstens auf die vom Verantwortlichen in den letzten 12 Monaten vor dem Schadensereignis gezahlte Vergütung, mindestens jedoch 50.000 EUR je Schadensfall. Im Übrigen ist die Haftung für leichte Fahrlässigkeit ausgeschlossen.

(5) Bußgelder nach Art. 83 DSGVO trägt jede Partei selbst, soweit sie gegen sie verhängt werden. Diese Haftungsregelung gilt für alle Ansprüche aus diesem AVV und aus dem Hauptvertrag, soweit sie die Verarbeitung personenbezogener Daten betreffen.

§ 12 Laufzeit und Schlussbestimmungen

(1) Der AVV endet mit dem Hauptvertrag. Er gilt fort, solange der Auftragsverarbeiter noch personenbezogene Daten des Verantwortlichen verarbeitet. Das Recht zur außerordentlichen Kündigung bleibt unberührt, insbesondere bei schwerwiegenden Verstößen gegen diesen AVV.

(2) Bei Widersprüchen gehen die Regelungen dieses AVV zum Datenschutz dem Hauptvertrag vor. Im Übrigen gilt der Hauptvertrag.

(3) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Der Abschluss in elektronischem Format ist zulässig (Art. 28 Abs. 9 DSGVO). Die Aktualisierung der Anlagen 2 und 3 nach §§ 4 und 5 bedarf keiner Vertragsänderung.

(4) Werden Daten des Verantwortlichen beim Auftragsverarbeiter durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich. Er weist die Dritten darauf hin, dass die Daten dem Verantwortlichen zustehen. Ein Zurückbehaltungsrecht an den Daten ist ausgeschlossen.

(5) Es gilt das Recht der Bundesrepublik Deutschland. Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand der Sitz des Auftragsverarbeiters.

(6) Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Wirksamkeit im Übrigen unberührt. Anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

Anlagen

Anlage 1 – Leistungen, Datenarten und betroffene Personen
Anlage 2 – Technische und organisatorische Maßnahmen
Anlage 3 – Genehmigte Unterauftragsverarbeiter

Anlage 1 – Leistungen, Datenarten und betroffene Personen

Gegenstand sind nur die Leistungen, die der Verantwortliche nach dem Hauptvertrag tatsächlich bezieht. Nicht bezogene Dienste werden gestrichen.

A. Leistungen und Verarbeitungen

Leistung / Dienst	Zweck der Verarbeitung	Verarbeitete Daten (typisch)
IT-Betreuung, Support, Ticketbearbeitung (Ticketsystem auf eigenen Servern)	Störungsbehebung, Wartung, Dokumentation	Kontaktdaten der Nutzer, Ticketinhalte, Screenshots, ggf. Einblick in Dateien und E-Mails bei der Fehlersuche
Fernwartungs- und Überwachungsplattform (RMM)	Überwachung, Inventarisierung, Patchmanagement, Fernzugriff auf Endgeräte und Server	Geräte- und Benutzernamen, IP-Adressen, installierte Software, Ereignisprotokolle, Bildschirminhalte während Fernwartungssitzungen
KI-gestützte Auswertung (selbst betrieben)	Unterstützung bei Analyse von Tickets und Überwachungsdaten	Ticketinhalte, Geräte- und Ereignisdaten aus RMM-Plattform und Ticketsystem; keine Weitergabe an Dritte, kein Training
Endpoint-Schutz (MXDR)	Erkennung und Abwehr von Schadsoftware und Angriffen auf Endgeräten	Geräte- und Benutzerkennungen, Prozess-, Datei- und Netzwerkaktivitäten, verdächtige Dateien zur Analyse
Firewall	Schutz und Steuerung des Netzwerkverkehrs, VPN	IP-Adressen, Verbindungs- und Protokolldaten, aufgerufene Domains, VPN-Benutzerkonten
Mail-Security	Spam-, Viren- und Phishingfilter	E-Mail-Adressen, Kopf- und Verbindungsdaten, E-Mail-Inhalte und Anhänge
E-Mail-Archivierung	Revisionssichere Archivierung von E-Mails	Vollständige E-Mails einschließlich Inhalten und Anhängen, Postfach- und Benutzerdaten
Security-Awareness-Training	Phishing-Simulationen und Schulungen der Beschäftigten	Name, E-Mail-Adresse, Abteilung, Reaktion auf Simulationen (Öffnen, Klicken, Melden), Schulungsfortschritt
Schwachstellenscans	Automatisierte Prüfung der freigegebenen Systeme auf bekannte Schwachstellen	IP-Adressen, Hostnamen, Dienst- und Konfigurationsinformationen, ggf. zufällig erfasste Daten in Prüfergebnissen
E-Mail-Signaturen	Zentrale E-Mail-Signaturen in Microsoft 365	Name, Funktion, Kontaktdaten, ggf. Foto; E-Mails werden zur Signatureinfügung durchgeleitet
Passwort-Manager	Sichere Verwaltung von Zugangsdaten	Benutzerkonten, Nutzungsprotokolle; Tresorinhalte nur Ende-zu-Ende-verschlüsselt (kein Klartextzugriff)
Mobile Device Management	Verwaltung und Absicherung mobiler Endgeräte	Gerätekennungen, Benutzer, installierte Apps, Standort nur bei aktivierter Ortung, Richtlinienstatus
Backup-Betreuung (Software auf Systemen des Verantwortlichen)	Einrichtung und Überwachung von Sicherungen, Wiederherstellungstests	Sicherungsprotokolle; bei Tests und Wiederherstellung Zugriff auf gesicherte Daten
Außer-Haus-Sicherung (Cloud-Backup)	Verschlüsselte Sicherung ausgewählter Daten in einem Rechenzentrum in Deutschland, Wiederherstellung	Sämtliche Daten der gesicherten Systeme (verschlüsselt), Sicherungsprotokolle
Server-Hosting im Rechenzentrum	Betrieb von Servern und virtuellen Maschinen des Verantwortlichen im Rechenzentrum	Sämtliche auf den gehosteten Systemen gespeicherten Daten, Zugriffs- und Systemprotokolle

B. Kategorien betroffener Personen

Beschäftigte, Auszubildende, Praktikanten und Organmitglieder des Verantwortlichen
Kunden, Interessenten, Lieferanten und sonstige Geschäftspartner des Verantwortlichen und deren Ansprechpartner
Kommunikationspartner, deren Daten in E-Mails oder Dateien enthalten sind
Sonstige Personen, deren Daten in den betreuten Systemen gespeichert sind

C. Besondere Kategorien personenbezogener Daten

Der Auftragsverarbeiter verarbeitet Daten nach Art. 9 und Art. 10 DSGVO nicht gezielt. Bei Mail-Security, Archivierung, Backup-Betreuung, Cloud-Sicherung und -Hosting, Fernwartung und Fehlersuche können solche Daten jedoch technisch mitverarbeitet werden, wenn der Verantwortliche sie in seinen Systemen speichert (z. B. Gesundheitsdaten in Personalakten oder Patientendaten). Der Verantwortliche verarbeitet solche Daten in nennenswertem Umfang: ☐ ja ☐ nein

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 19.10.2026. Kurzfassung; die ausführliche TOM-Dokumentation (DS-05) wird auf Anfrage vorgelegt. Die Maßnahmen der Unterauftragsverarbeiter ergeben sich aus deren Dokumentationen und werden auf Anfrage vorgelegt.

1. Vertraulichkeit

Zutrittskontrolle: Gebäudezugang per Transponder, Büroräume mit Schlüssel verschlossen (Schlüsselverzeichnis), Besucher nur in Begleitung. Server von Exoma stehen im verschlossenen, gemeinschaftlichen Serverraum des Gebäudes; Zugang haben nur Gebäudeverwaltung, Vermieter und der Auftragsverarbeiter.
Zugangskontrolle: Persönliche Benutzerkonten, Multi-Faktor-Authentifizierung für alle Verwaltungs- und Fernwartungszugänge, bedingter Zugriff in Microsoft 365 (nur verwaltete Geräte bzw. erlaubte Länder), zusätzliche Absicherung des RMM-Zugangs (IP-Beschränkung, Benachrichtigung bei neuen Administrator-Anmeldungen), Passwortrichtlinie, automatische Bildschirmsperre nach 5 Minuten, Verwaltung aller Zugangsdaten im Passwort-Manager.
Mobiles Arbeiten: Home-Office ausschließlich mit verwalteten, verschlüsselten Firmengeräten und Zugriff über VPN; keine Ausdrucke mit Kundendaten im Home-Office. Smartphones werden über ein Mobile Device Management verwaltet (Gerätesperre, Verschlüsselung, Fernlöschung); auf privaten Smartphones liegen Firmendaten nur in einem getrennten Arbeitsprofil.
Zugriffskontrolle: Rollen- und Berechtigungskonzept nach dem Need-to-know-Prinzip, getrennte Administratorkonten, Entzug von Rechten bei Ausscheiden am letzten Arbeitstag, Überprüfung der Berechtigungen jährlich.
Trennungskontrolle: Mandantentrennung in RMM, Ticketsystem und Cloud-Konsolen; Kundendaten werden nicht für Tests oder andere Kunden verwendet.
Verschlüsselung: Festplattenverschlüsselung aller Notebooks und Arbeitsplätze, Transportverschlüsselung (TLS) für alle Fernzugriffe und Cloud-Dienste, verschlüsselte Datensicherungen; Außer-Haus-Sicherungen werden vor der Übertragung verschlüsselt, der Schlüssel wird getrennt im Passwort-Manager verwahrt, eine versiegelte Kopie erhält der Verantwortliche.
KI-Systeme: Betrieb ausschließlich auf eigenen Servern ohne Übermittlung an externe KI-Anbieter; Zugriff der KI auf RMM-Plattform und Ticketsystem nur über das Benutzerkonto und mit den Rechten des jeweils anfragenden Mitarbeiters; schreibende Aktionen nur nach Freigabe durch diesen Mitarbeiter; kein Training mit Kundendaten.

2. Integrität

Weitergabekontrolle: Datenübertragung nur über verschlüsselte Verbindungen; keine Nutzung privater Geräte oder privater Speichermedien für Kundendaten.
Eingabekontrolle: Protokollierung der Fernwartungssitzungen (wer, wann, welches Gerät) und der administrativen Änderungen; Dokumentation der Arbeiten im Ticketsystem. Bei Fernwartung von Arbeitsplätzen mit angemeldetem Nutzer wird dieser vorab informiert bzw. muss zustimmen, sofern im Einzelfall nichts anderes vereinbart ist.

3. Verfügbarkeit und Belastbarkeit

Virenschutz bzw. EDR und Firewall auf eigenen Systemen, zeitnahes Einspielen von Sicherheitsupdates, unterbrechungsfreie Stromversorgung (USV) für die Server.
Tägliche Datensicherung eigener Systeme nach dem Generationenprinzip auf ein NAS, Kopie in einem Rechenzentrum in Deutschland mit unveränderbarer Speicherung sowie wöchentliche verschlüsselte Offline-Sicherung, die außer Haus in einem feuerfesten Tresor aufbewahrt wird; Wiederherstellungstests halbjährlich mit Protokoll.
Notfall- und Wiederanlaufplan für den eigenen Betrieb, einschließlich Ausfall oder Kompromittierung des RMM-Werkzeugs.

4. Verfahren zur regelmäßigen Überprüfung

Überprüfung dieser Maßnahmen mindestens jährlich und nach Sicherheitsvorfällen.
Verpflichtung und jährliche Schulung der Beschäftigten zu Datenschutz und Informationssicherheit, Phishing-Simulationen.
Regelmäßige automatisierte Schwachstellenscans der eigenen Systeme.
Auswahl und Kontrolle der Unterauftragsverarbeiter, insbesondere anhand ihrer Zertifizierungen (z. B. ISO/IEC 27001) und AV-Verträge.
Prozess zur Meldung und Behandlung von Sicherheitsvorfällen.
Datenschutzfreundliche Voreinstellungen: Erhebung nur der für den Dienst nötigen Daten, Speicherfrist für System- und Sicherheitsprotokolle 90 Tage, soweit der Hersteller keine abweichende Frist vorgibt.

Anlage 3 – Unterauftragsverarbeiter

Die aktuelle Liste der genehmigten Unterauftragsverarbeiter mit Leistung, Datenstandort und Transfergrundlage stellen wir unseren Kunden zur Verfügung. Sie erhalten sie jederzeit auf Anfrage per E-Mail an datenschutz@exoma-solutions.de. Über geplante Änderungen informieren wir Sie mindestens 30 Tage vorher in Textform (§ 5 Abs. 2).