Vereinbarung zur Auftragsverarbeitung (AVV)
Version 2026-10-22
Datenschutz: datenschutz@kreisrelay.de
1. Parteien, Anwendungsbereich und Rangfolge
Diese Vereinbarung zur Auftragsverarbeitung gilt zwischen dem Kunden, der in der jeweiligen Bestellung als Vertragspartner von KreisRelay ausgewiesen ist, als Verantwortlichem und Sebastian Thomas, handelnd unter KreisRelay.de, Oberer Hardweg 3, 75181 Pforzheim, Deutschland, als Auftragsverarbeiter, soweit KreisRelay personenbezogene Daten im Auftrag des Kunden verarbeitet.
Die AVV ergänzt den Hauptvertrag über KreisRelay. Bei Widersprüchen hinsichtlich der Verarbeitung personenbezogener Daten geht diese AVV den allgemeinen vertraglichen Regelungen vor. Eigenständige Verarbeitungen von KreisRelay als Verantwortlichem, insbesondere Konto-, Vertrags-, Abrechnungs-, Sicherheits- und gesetzliche Nachweisdaten, richten sich nicht nach dieser AVV, sondern nach den jeweils anwendbaren Datenschutzvorschriften und der Datenschutzerklärung.
2. Gegenstand, Dauer, Art und Zweck der Verarbeitung
Gegenstand der Auftragsverarbeitung ist die technische Bereitstellung der gebuchten KreisRelay-Funktionen, insbesondere Organisations- und Projektverwaltung, Verwaltung von Teilnehmern, Kontakten und Verteilergruppen sowie Annahme, Filterung, Weiterleitung und technische Zustellverarbeitung projektbezogener E-Mails.
Die Verarbeitung erfolgt für die Dauer des Hauptvertrags und darüber hinaus nur, soweit eine Löschung, Rückgabe, Datensicherung, Fehlerbehandlung oder gesetzlich zulässige Nachbearbeitung technisch oder rechtlich erforderlich ist.
Art der Verarbeitung sind insbesondere Erheben bzw. Entgegennehmen, Speichern, Ordnen, Auslesen, Übermitteln, Weiterleiten, Einschränken, Löschen sowie automatisierte technische Prüfungen zur Sicherheit, Spam- und Schadsoftwareabwehr, soweit diese Verarbeitung im Auftrag erfolgt.
3. Kategorien betroffener Personen und personenbezogener Daten
Betroffene Personen können insbesondere Beschäftigte, Mitglieder, Kunden, Interessenten, Lieferanten, Projektbeteiligte, Kommunikationspartner und sonstige Kontakte des Kunden sowie Absender und Empfänger von über KreisRelay verarbeiteten E-Mails sein.
Verarbeitet werden können insbesondere Namen, E-Mail-Adressen, Rollen- und Zuordnungsdaten, Organisations- und Projektdaten, Verteiler- und Kontaktinformationen, Kommunikationsinhalte, Nachrichtenheader, technische Nachrichtenkennungen, Zustellstatus, Zeitpunkte sowie für Transport, Sicherheit und Fehlerbehandlung erforderliche technische Metadaten.
Der Kunde darf besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO nur verarbeiten lassen, wenn dies mit KreisRelay ausdrücklich vereinbart wurde und die dafür erforderlichen rechtlichen und technischen Voraussetzungen vorliegen.
4. Weisungen des Verantwortlichen
KreisRelay verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit nicht eine Verarbeitung nach Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschrieben ist. Die initialen Weisungen ergeben sich aus dem Hauptvertrag, dieser AVV und den vom Kunden innerhalb der bereitgestellten Funktionen vorgenommenen Einstellungen.
Zusätzliche Weisungen können in Textform an datenschutz@kreisrelay.de erteilt werden. Weisungen, die eine Änderung des vereinbarten Leistungsumfangs oder unverhältnismäßigen Zusatzaufwand erfordern, können einer gesonderten Vereinbarung bedürfen.
Ist KreisRelay der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, wird der Kunde unverzüglich informiert. Die Ausführung der betroffenen Weisung darf bis zur Klärung ausgesetzt werden.
5. Vertraulichkeit und Zugriffskontrolle
KreisRelay stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im erforderlichen Umfang auf personenbezogene Daten zugreifen.
Administrative Zugriffe erfolgen ausschließlich soweit sie für Betrieb, Wartung, Sicherheit, Support, Fehlerbehebung oder die Erfüllung dokumentierter Weisungen erforderlich sind.
6. Technische und organisatorische Maßnahmen (TOM)
KreisRelay trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO.
Zum aktuellen Sicherheitskonzept gehören insbesondere verschlüsselte HTTPS-Verbindungen, TLS-gesicherte Mailübertragung soweit vom Kommunikationspartner unterstützt, restriktive Netzwerkexposition, Schlüssel- statt Passwortzugriff für die Serveradministration, deaktivierter SSH-Root- und Passwort-Login, Fail2ban, Containerisolation, getrennte Datenbank- und Cache-Dienste ohne öffentliche Exposition, rollenbasierte Anwendungszugriffe, sichere Session-Cookies, Malware- und Spamfilterung, Rate-Limits und Missbrauchsschutz, protokollierte technische Ereignisse, Sicherheitsupdates, Health-Monitoring sowie regelmäßig erzeugte und geprüfte Datensicherungen.
Die TOM dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
7. Unterauftragsverarbeiter
Der Kunde erteilt KreisRelay die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen, soweit dies für die Leistungserbringung erforderlich ist. KreisRelay informiert über beabsichtigte Änderungen hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern und gibt dem Kunden Gelegenheit, aus datenschutzrechtlich begründeten Gründen zu widersprechen.
Zum Versionsstand dieser AVV wird für den Hosting- und Infrastrukturbetrieb Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland, eingesetzt. Gegenstand ist die Bereitstellung der Server- und Netzwerkinfrastruktur für den KreisRelay-Produktionsbetrieb.
KreisRelay verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den für die jeweilige Verarbeitung einschlägigen Pflichten dieser AVV im Wesentlichen entsprechen. KreisRelay bleibt gegenüber dem Kunden für die Erfüllung der Pflichten des Unterauftragsverarbeiters nach Maßgabe von Art. 28 DSGVO verantwortlich.
8. Verarbeitung in Drittländern
Eine Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation erfolgt im Rahmen der Auftragsverarbeitung nur auf dokumentierte Weisung des Kunden oder wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
Der derzeit benannte Hosting-Unterauftragsverarbeiter wird für den beschriebenen Produktionsbetrieb in Deutschland eingesetzt. Änderungen mit Drittlandbezug werden nach den Regelungen zu Unterauftragsverarbeitern und den gesetzlichen Vorgaben behandelt.
9. Unterstützung bei Betroffenenrechten
KreisRelay unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und mittels geeigneter technischer und organisatorischer Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu erfüllen, soweit die verarbeiteten Daten und die verfügbaren Funktionen dies ermöglichen.
Wendet sich eine betroffene Person unmittelbar an KreisRelay und betrifft das Ersuchen eine Verarbeitung im Auftrag, wird das Ersuchen grundsätzlich an den Kunden verwiesen oder an ihn weitergeleitet, soweit keine rechtliche Verpflichtung zu einer anderen Behandlung besteht.
10. Sicherheit, Datenschutzverletzungen und Folgenabschätzung
KreisRelay unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, soweit diese Pflichten die Auftragsverarbeitung betreffen.
KreisRelay informiert den Kunden unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten bekannt wurde, soweit Daten betroffen sind, die KreisRelay im Auftrag des Kunden verarbeitet. Die Mitteilung enthält die verfügbaren Informationen, die der Kunde zur Erfüllung seiner Melde- und Benachrichtigungspflichten benötigt; noch nicht verfügbare Informationen können schrittweise ergänzt werden.
11. Löschung und Rückgabe nach Beendigung
Nach Beendigung der Auftragsverarbeitung löscht KreisRelay die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl bzw. dokumentierter Weisung des Kunden oder stellt vorhandene Export- bzw. Rückgabemöglichkeiten bereit, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
Technisch bedingte Sicherungskopien können bis zum Ablauf der vorgesehenen Sicherungs- und Rotationszyklen fortbestehen und werden in diesem Zeitraum nicht für andere Zwecke verarbeitet. Gesetzlich aufzubewahrende Daten, die KreisRelay in eigener Verantwortlichkeit verarbeitet, bleiben von dieser Regelung unberührt.
12. Nachweise und Kontrollen
KreisRelay stellt dem Kunden die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten nach Art. 28 DSGVO nachzuweisen, und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer.
Kontrollen sind grundsätzlich mit angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung der Sicherheit und Vertraulichkeit anderer Kunden durchzuführen. Vorhandene Nachweise, Dokumentationen und Remote-Prüfungen sollen vorrangig genutzt werden, soweit sie für den Prüfzweck ausreichen. Gesetzliche oder behördliche Kontrollrechte bleiben unberührt.
13. Pflichten des Kunden
Der Kunde ist als Verantwortlicher insbesondere für die Rechtmäßigkeit der Verarbeitung, die Erfüllung der Informationspflichten, die Wahrung der Rechte betroffener Personen sowie die Erteilung rechtmäßiger Weisungen verantwortlich.
Der Kunde informiert KreisRelay unverzüglich, wenn sich die vereinbarte Verarbeitung wesentlich ändert oder besondere Risiken entstehen, die zusätzliche technische oder organisatorische Maßnahmen erfordern können.
14. Kontakt und Schlussbestimmungen
Datenschutzbezogene Mitteilungen und Weisungen im Zusammenhang mit dieser AVV können an datenschutz@kreisrelay.de gerichtet werden.
Änderungen dieser AVV werden versioniert bereitgestellt. Eine neue Fassung gilt für eine bestehende Auftragsverarbeitung nicht allein durch Veröffentlichung, sondern nur nach wirksamer vertraglicher Einbeziehung oder soweit eine Änderung gesetzlich zwingend erforderlich ist.