Auftrags­verarbeitungs­vertrag (AVV)

Vertrag nach Art. 28 DSGVO · Stand: 21. September 2026 · Version 1.0

§ 1 Gegenstand und Dauer

1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die UptimeSheriff (Niels van Veen, c/o Postflex #8764, Emsdettener Str. 10, 48268 Greven, Deutschland; nachfolgend „Auftragsverarbeiter“) im Auftrag des Kunden (nachfolgend „Verantwortlicher“) im Rahmen des Dienstes UptimeSheriff verarbeitet (Art. 28 Abs. 3 DSGVO). Er ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und gilt ab der Registrierung für die Dauer des Nutzungsvertrags.

1.2 Er gilt für Kunden, die den Dienst als Unternehmer im Sinne des § 14 BGB nutzen. Für Verbraucher ist die Datenschutzerklärung maßgeblich; eine Verarbeitung im Auftrag findet dort nicht statt.

§ 2 Art, Zweck und Umfang der Verarbeitung

2.1 Gegenstand der Verarbeitung ist die Überwachung der Erreichbarkeit von Websites und HTTP-Endpunkten, der Versand von Alarm-Nachrichten an die vom Verantwortlichen hinterlegten Empfänger und die Bereitstellung öffentlicher Statusseiten.

2.2 Datenarten: Adressen der überwachten Endpunkte; Adressen der Alarm-Empfänger (E-Mail-Adressen sowie Telegram-, Slack- und Webhook-Ziele); Prüfergebnisse und Zustandswechsel; Inhalte der Alarm-Nachrichten.

2.3 Betroffene Personen: Mitarbeiter und Beauftragte des Verantwortlichen, die als Alarm-Empfänger hinterlegt sind, sowie Personen, deren Daten in überwachten Adressen enthalten sind.

§ 3 Weisungen

3.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich aus dem Nutzungsvertrag, den AGB und den Einstellungen, die der Verantwortliche im Dienst selbst vornimmt (Anlegen von Monitoren, Hinterlegen von Empfängern, Veröffentlichen von Statusseiten). Weitere Weisungen erteilt der Verantwortliche in Textform an support@uptimesheriff.com.

3.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt.

§ 4 Pflichten des Auftragsverarbeiters

• Vertraulichkeit: Personen mit Zugang zu den Daten sind zur Vertraulichkeit verpflichtet.
• Sicherheit: Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in § 7 beschrieben sind.
• Unterstützung: Er unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Beantwortung von Anfragen betroffener Personen (Art. 12 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm das nach Art der Verarbeitung möglich ist.
• Meldung: Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich nach Kenntnis per E-Mail an die Adresse des Nutzerkontos, so dass der Verantwortliche seine Meldefrist nach Art. 33 DSGVO einhalten kann.
• Nachweise: Er stellt alle Informationen bereit, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen nach § 6.
• Verarbeitungsort: Die Verarbeitung erfolgt in der Europäischen Union; Ausnahmen ergeben sich aus § 5 dieses Vertrags und § 15 der Datenschutzerklärung.

§ 5 Unterauftragsverarbeiter

5.1 Der Verantwortliche genehmigt die Einschaltung der folgenden Unterauftragsverarbeiter (Dienstleister, Sitz, Zweck):

• Vercel, Inc., Covina, USA: Hosting der Anwendung, Edge-Netz, serverlose Funktionen.
• Supabase, Inc., Singapur: Datenbank und Authentifizierung, Datenhaltung in Frankfurt.
• Hetzner Online GmbH, Gunzenhausen, Deutschland: Prüfserver.
• Cloudflare, Inc., San Francisco, USA: Bot-Schutz (Turnstile).
• Resend (Plus Five Five, Inc.), San Francisco, USA: E-Mail-Versand.
• Stripe Payments Europe, Ltd., Dublin, Irland: Zahlungsabwicklung.
• sevDesk GmbH, Offenburg, Deutschland: Rechnungsstellung.

5.2 Beabsichtigte Änderungen (Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters) teilt der Auftragsverarbeiter dem Verantwortlichen mindestens 30 Tage im Voraus per E-Mail an die Adresse des Nutzerkontos mit. Der Verantwortliche kann der Änderung innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag außerordentlich kündigen.

5.3 Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, und haftet für sie wie für eigenes Handeln (Art. 28 Abs. 4 DSGVO). Für Übermittlungen in Drittländer gilt § 15 der Datenschutzerklärung (EU-US Data Privacy Framework, Standardvertragsklauseln).

§ 6 Kontrollrechte

6.1 Der Verantwortliche kann sich vor Beginn und während der Verarbeitung von der Einhaltung dieses Vertrags überzeugen, in der Regel durch Auskünfte und Nachweise (etwa Zertifizierungen und Berichte der Unterauftragsverarbeiter). Prüfungen vor Ort sind nach Ankündigung von 30 Tagen während der üblichen Geschäftszeiten möglich, höchstens einmal im Jahr, es sei denn, eine Aufsichtsbehörde oder eine Datenschutzverletzung gibt Anlass.

§ 7 Technische und organisatorische Maßnahmen

7.1 Der Auftragsverarbeiter hält die folgenden Maßnahmen ein und entwickelt sie mit dem Stand der Technik weiter:

• Zugangskontrolle: Zugang zu Datenbank, Hosting und Prüfserver nur über persönliche Zugangsdaten beziehungsweise SSH-Schlüssel.
• Zugriffskontrolle: Zeilenschutz (Row Level Security) in der Datenbank; jeder Nutzer sieht ausschließlich seine eigenen Daten, öffentliche Statusseiten geben nur die freigegebenen Daten heraus.
• Übertragungskontrolle: Alle Verbindungen zwischen Browser, Anwendung, Datenbank und Prüfserver sind verschlüsselt (TLS).
• Trennungskontrolle: Die Daten der Kunden sind über die Nutzerkennung in jeder Tabelle voneinander getrennt.
• Verfügbarkeitskontrolle: Sicherungen der Datenbank durch den Datenbank-Anbieter nach dessen Leistungsbeschreibung; der Prüfserver hält keine Daten, die nicht aus der Datenbank wiederhergestellt werden können.
• Eingabekontrolle: Änderungen an Monitoren, Empfängern und Statusseiten sind dem Nutzerkonto zugeordnet, aus dem sie vorgenommen wurden.
• Auftragskontrolle: Unterauftragsverarbeiter werden nur mit Vertrag nach Art. 28 DSGVO eingesetzt (§ 5).

§ 8 Löschung und Rückgabe

8.1 Mit der Löschung des Nutzerkontos (AGB § 8) löscht der Auftragsverarbeiter alle Daten des Verantwortlichen, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Prüfergebnisse werden schon vorher nach Ablauf der Aufbewahrungsfrist des jeweiligen Plans gelöscht (AGB § 2.2).

8.2 Der Verantwortliche kann seine Daten vor der Löschung im Dienst einsehen und exportieren (AGB § 8).

§ 9 Schlussbestimmungen

9.1 Soweit es die Verarbeitung im Auftrag betrifft, geht dieser Vertrag den AGB vor. Im Übrigen gelten die AGB, insbesondere zu Haftung (§ 12), anwendbarem Recht und Gerichtsstand (§ 17).

9.2 Änderungen dieses Vertrags teilt der Auftragsverarbeiter dem Verantwortlichen per E-Mail an die Adresse des Nutzerkontos mit; AGB § 15 gilt entsprechend.