Vereinbarung zur Auftragsverarbeitung

1. Parteien und Rollen

Dieses Dokument wird von AVE17 LTD veröffentlicht und gilt für Bestellungen auf ave17.com, ave17.de, ave17.fr, ave17.es, ave17.it, ave17.uk, ave17.us, ave17.ca oder ave17.eu. ave17.ge ist ein anderer Verkäufer unter einem anderen Recht. Die Domain wird nicht von AVE17 LTD betrieben. Darüber wird noch nichts verkauft. Dieser Verkäufer wird seine eigenen Angaben dort veröffentlichen.

Verantwortlicher

Sie als Kunde. Sie entscheiden, warum und wie die personenbezogenen Daten Ihrer Installation verarbeitet werden.

Auftragsverarbeiter

AVE17 LTD, eingetragen in England and Wales, Nummer 17254143, 128 City Road, London, EC1V 2NX. ICO-Registrierung ZC225076.

Diese Vereinbarung beruht auf Artikel 28 der UK GDPR und dem Data Protection Act 2018. Verantwortlicher, Auftragsverarbeiter, personenbezogene Daten, Verarbeitung und betroffene Person haben die Bedeutungen aus Artikel 4. Die Vereinbarung ist elektronisch schriftlich abgefasst, wie Artikel 28(9) erlaubt. Sie ist Teil unserer Nutzungsbedingungen und gilt ab Leistungsbeginn. Bei Widersprüchen mit den Nutzungsbedingungen hat diese Vereinbarung in Datenschutzfragen Vorrang.

2. Welche Daten verarbeitet werden und warum

Gegenstand

Betrieb der von Ihnen beauftragten Infrastruktur.

Dauer

Für die Laufzeit der Leistung und die Löschfrist in Abschnitt 9.

Art und Zweck

Installation, Konfiguration, Wartung, Überwachung, Sicherung, Wiederherstellung und Fehlerdiagnose. Nichts anderes.

Betroffene Personen

Ihre Nutzer und alle, mit denen sie über die Installation kommunizieren.

Datenkategorien

Kontokennungen und Profildaten; in der Installation gespeicherte Nachrichteninhalte, Dateien und Medien; Verbindungsmetadaten einschließlich Adressen und Zeitstempeln; von der Software erzeugte Protokolle.

Besondere Kategorien personenbezogener Daten

Wir verarbeiten sie nicht wissentlich. Umfasst Ihre Nutzung solche Daten, informieren Sie uns vor Leistungsbeginn, damit wir die Vereinbarung prüfen können.

Bei Ende-zu-Ende-Verschlüsselung sind uns die Inhalte verschlüsselter Gespräche vollständig unzugänglich. Alle übrigen oben genannten Daten sind für Serveradministratoren technisch zugänglich. Solange wir den Server warten, gehören wir dazu.

3. Unsere Pflichten

• Wir verarbeiten personenbezogene Daten nur nach Ihren dokumentierten Weisungen, einschließlich dieser Vereinbarung, Ihrer Supportanfragen und Ihrer Weisungen zu Übermittlungen außerhalb des Vereinigten Königreichs
• Halten wir eine Weisung für datenschutzwidrig, informieren wir Sie und führen sie nicht aus
• Alle Zugangsberechtigten sind zur Vertraulichkeit verpflichtet, auch nach Ende ihrer Tätigkeit
• Wir halten die Sicherheitsmaßnahmen aus Abschnitt 6 ein und überprüfen sie
• Wir unterstützen Sie im angemessenen Umfang bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde
• Wir melden Verletzungen des Schutzes personenbezogener Daten unverzüglich gemäß Abschnitt 8
• Bei Vertragsende löschen wir die Daten oder geben sie zurück, gemäß Abschnitt 9
• Wir stellen die für den Nachweis der Einhaltung benötigten Informationen bereit und unterziehen uns Prüfungen gemäß Abschnitt 10

Verlangt britisches Recht eine nicht von Ihnen angeforderte Verarbeitung Ihrer Daten, informieren wir Sie vorab über die gesetzliche Anforderung, außer dasselbe Gesetz untersagt uns diese Mitteilung aus wichtigen Gründen des öffentlichen Interesses.

4. Unterauftragsverarbeiter

Sie erteilen eine allgemeine Genehmigung für die unten genannten Unterauftragsverarbeiter. Wir bleiben für deren Handlungen und Unterlassungen vollständig verantwortlich.

OVH

OVH SAS, Frankreich. Stellt die physische Infrastruktur und den Rechenzentrumsbetrieb bereit. Die Daten bleiben im EWR.

Jeder Unterauftragsverarbeiter ist durch einen schriftlichen Vertrag an dieselben Datenschutzpflichten gebunden wie wir, ohne Abstriche. Verletzt er diese Pflichten, sind wir dafür verantwortlich; Sie müssen ihm nicht nachgehen. Bei einer Installation auf Ihrer Infrastruktur gibt es keinen Unterauftragsverarbeiter: Die Maschine gehört Ihnen, und wir arbeiten darauf. Vor Aufnahme oder Austausch eines Unterauftragsverarbeiters informieren wir Sie schriftlich mit 30 Tagen Vorlauf an die im Vertrag für Mitteilungen genannte Adresse. Es gibt weder Abonnementliste noch Feed: Die Mitteilung wird Ihnen zugesandt, statt veröffentlicht und von Ihnen gesucht zu werden. Widersprechen Sie innerhalb der Frist aus angemessenen Datenschutzgründen, können Sie die betroffene Leistung ohne Vertragsstrafe beenden.

5. Internationale Übermittlungen

Unsere Infrastruktur steht in Frankreich (EWR) bei OVH SAS. Der Geschäftsführer administriert die Systeme aus der Ferne; der Zugriff bleibt innerhalb von AVE17 LTD.

6. Sicherheitsmaßnahmen

Diese Maßnahmen setzen wir tatsächlich um. Sie sind so beschrieben, dass sie überprüft werden können:

• Nur benötigte Ports sind offen; die Firewall sperrt alle übrigen
• Automatische Sperrung wiederholt fehlgeschlagener Anmeldungen und bekannter Angreifer
• Administrativer SSH-Zugang nur mit Schlüsseln, ohne Passwörter, mit weit über die Standardeinstellungen hinausgehender Absicherung
• Komponenten sind auf Betriebssystemebene voneinander isoliert; Container laufen ohne unnötige Berechtigungen
• Durchgehende Transportverschlüsselung mit planmäßig erneuerten und überwachten Zertifikaten
• Planmäßige verschlüsselte Sicherungen, deren Wiederherstellung geprüft wird
• Jede administrative Anmeldung und jeder Befehl werden auf Ihrem eigenen Server protokolliert und sind für Sie lesbar
• Die Wartung stellt eine bekannte, funktionierende Konfiguration wieder her; undokumentierte Änderungen bleiben nicht bestehen
• Auf Wunsch wird unser Zugang zwischen Arbeitseinsätzen entzogen

Die Automatisierung ist quelloffen; ihre Aktionen erscheinen in Ihrem eigenen Prüfprotokoll.

7. Ihre Pflichten

• Sie bestätigen eine Rechtsgrundlage für die von Ihnen beauftragte Verarbeitung
• Sie stellen Ihren Nutzern die Datenschutzinformationen bereit, auf die sie Anspruch haben
• Sie senden uns keine personenbezogenen Daten über Kanäle außerhalb der Leistung
• Sie informieren uns vor Einführung besonderer Datenkategorien oder Daten von Kindern

8. Verletzungen des Schutzes personenbezogener Daten

Erfahren wir von einer Verletzung des Schutzes Ihrer personenbezogenen Daten, informieren wir Sie unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntnis. Die Mitteilung beschreibt den Vorfall, die betroffenen Daten, die ungefähre Zahl betroffener Personen, die wahrscheinlichen Folgen und unsere Maßnahmen.

Als Verantwortlicher entscheiden Sie über Meldungen an die Aufsichtsbehörde und betroffene Personen. Wir liefern die nötigen Angaben für diese Entscheidung und die Einhaltung Ihrer eigenen 72-Stunden-Frist.

9. Löschung und Rückgabe

Bei Vertragsende übergeben wir die Installation in ihrem aktuellen Zustand: Datenbank, Dateispeicher und Konfiguration in ihren nutzbaren Formaten, ohne Umwandlung in ein Abschiedsarchiv.

Personenbezogene Daten, die wir als Auftragsverarbeiter verwahren, werden innerhalb von 30 Tagen nach Vertragsende gelöscht, auch aus Sicherungen, sobald diese ersetzt werden. Wünschen Sie eine frühere Löschung, teilen Sie uns dies mit, und wir löschen die Daten früher. Darüber hinaus behalten wir Daten nur bei gesetzlicher Pflicht und informieren Sie dann.

Sicherungen nach Löschung

35 Tage

Installationsdaten nach Vertragsende

30 Tage

Gesetzlich aufzubewahrende Unterlagen

sieben Jahre

10. Prüfung

Sie können unsere Einhaltung prüfen. Zuerst beantworten wir Fragen schriftlich und liefern vorhandene Nachweise. Für den Großteil von Abschnitt 6 sind dies Ihre Serverprotokolle und der veröffentlichte Quelltext der Automatisierung.

Reicht das nicht, können Sie uns selbst prüfen oder einen unabhängigen Prüfer bestellen, mit 30 Tagen Vorlauf und höchstens einmal jährlich, außer ein Verstoß oder eine Aufsichtsbehörde verlangt anderes. Prüfungen finden während der Arbeitszeiten statt und dürfen andere Kunden nicht stören. Sie tragen die Kosten, sofern die Prüfung keinen wesentlichen Verstoß unsererseits feststellt.

11. Haftung und Recht

Für die Haftung aus dieser Vereinbarung gelten die Grenzen unserer Nutzungsbedingungen, außer das Datenschutzrecht erlaubt keine Beschränkung.

Artikel 82 der UK GDPR gibt einer betroffenen Person einen direkten Anspruch gegen einen Auftragsverarbeiter für Schäden durch Verarbeitung, die dessen Pflichten verletzt oder Ihren rechtmäßigen Weisungen widerspricht. Nichts hier beschränkt diesen Anspruch oder verlagert ihn auf Sie.

Diese Vereinbarung unterliegt dem Recht von England und Wales. Die dortigen Gerichte sind ausschließlich dafür zuständig.

In Kraft

Dieses Dokument ist seit 10. November 2026 in Kraft.

10. November 2026

Aktualisiert.

5. September 2026

Aktualisiert.

28. August 2026

Aktualisiert.

24. August 2026

Aktualisiert.