Auftragsverarbeitungsvertrag (AVV)

handily networks GmbH
Hauptstraße 37, 91227 Leinburg
HRB 41496 Amtsgericht Nürnberg
Geschäftsführer: Felix Schroeder
USt-IdNr.: DE361522226
handily.network | support@handily.network | Tel. +49 9120 4179960

Stand: Februar 2026
Dokumentversion: 2.0

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen

handily networks GmbH
Hauptstraße 37, 91227 Leinburg
— nachfolgend „Auftragsverarbeiter” —

und

[Kunde / Firma]
[Adresse]
— nachfolgend „Verantwortlicher” —

gemeinsam die „Parteien”.

§1 Gegenstand und Dauer der Verarbeitung

(1) Dieser Auftragsverarbeitungsvertrag („AVV”) regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Sinne von Art. 28 DSGVO.

(2) Dieser AVV gilt für sämtliche Leistungen des Auftragsverarbeiters, bei denen eine Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen stattfindet, unabhängig davon, auf welchem Hauptvertrag die Leistung beruht. Er ist insbesondere anwendbar auf:
a) Colocation- und Housing-Leistungen,
b) Bandbreiten- und Konnektivitätsdienste,
c) Managed Services und Professional Services,
d) Remote-Hands- und Smart-Hands-Leistungen,
e) IXP-Dienste (frankonIX),
f) Cloud- und Hosting-Dienste,
g) alle weiteren Leistungen, bei denen der Auftragsverarbeiter Zugang zu personenbezogenen Daten des Verantwortlichen hat oder haben kann.

(3) Die Dauer der Verarbeitung richtet sich nach der Laufzeit des jeweiligen Hauptvertrags, sofern sich aus diesem AVV nichts Abweichendes ergibt.

§2 Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zur Erfüllung der vertraglich vereinbarten Leistungen.

(2) Die Verarbeitung kann insbesondere umfassen:
a) Erheben, Erfassen und Speichern,
b) Übermitteln und Bereitstellen,
c) Organisieren, Strukturieren und Löschen,
d) technisch bedingte Einsichtnahme im Rahmen von Betrieb, Wartung und Störungsbeseitigung.

(3) Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.

§3 Art der personenbezogenen Daten und Kategorien betroffener Personen

(1) Verarbeitet werden können insbesondere folgende Datenarten:
a) Bestandsdaten (z. B. Namen, Adressen, Kontaktdaten),
b) Nutzungs- und Verkehrsdaten,
c) Inhaltsdaten (z. B. E-Mails), soweit technisch erforderlich oder ausdrücklich beauftragt,
d) Vertrags- und Abrechnungsdaten,
e) technische Metadaten (z. B. IP-Adressen, Zeitstempel).

(2) Betroffene Personen können insbesondere sein:
a) Mitarbeiter des Verantwortlichen,
b) Kunden und Endkunden des Verantwortlichen,
c) Lieferanten und sonstige Geschäftspartner,
d) Nutzer von IT- und Kommunikationsdiensten.

§4 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht gesetzlich zu einer anderen Verarbeitung verpflichtet ist. In letzterem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Mündliche Weisungen sind unverzüglich, spätestens jedoch innerhalb von drei (3) Werktagen, in Textform zu bestätigen.

(3) Erkennt der Auftragsverarbeiter, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, weist er den Verantwortlichen unverzüglich hierauf hin. Der Auftragsverarbeiter ist berechtigt, die Ausführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

§5 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich.

(2) Insbesondere obliegt dem Verantwortlichen:
a) das Vorliegen einer wirksamen Rechtsgrundlage,
b) die Information der betroffenen Personen,
c) die Wahrung von Betroffenenrechten,
d) die Bewertung von Risiken und ggf. Durchführung einer Datenschutz-Folgenabschätzung (DSFA).

§6 Technische und organisatorische Maßnahmen (TOM)

(1) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Die jeweils geltenden TOM sind in Anlage 1 zu diesem AVV beschrieben.

(3) Der Auftragsverarbeiter ist berechtigt, TOM weiterzuentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen auf Anfrage mitgeteilt.

§7 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter hiermit eine generelle Genehmigung zum Einsatz von Unterauftragsverarbeitern.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vierzehn (14) Tage im Voraus in Textform über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann innerhalb von vierzehn (14) Tagen nach Zugang der Information Widerspruch gegen die beabsichtigte Änderung einlegen.

(3) Der Widerspruch muss sachlich begründet sein. Kann zwischen den Parteien keine einvernehmliche Lösung gefunden werden, ist der Verantwortliche berechtigt, den betroffenen Hauptvertrag mit einer Frist von dreißig (30) Tagen zum Monatsende außerordentlich zu kündigen.

(4) Unterauftragsverarbeiter werden vertraglich mindestens zu gleichwertigen Datenschutzpflichten verpflichtet. Der Auftragsverarbeiter haftet für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter wie für eigenes Handeln.

(5) Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.

§8 Datenübermittlung in Drittländer

(1) Eine Verarbeitung personenbezogener Daten in Drittländern (außerhalb des EWR) erfolgt nur, sofern die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

(2) Geeignete Garantien (z. B. Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO, Angemessenheitsbeschlüsse gemäß Art. 45 DSGVO) werden — sofern erforderlich — abgeschlossen und dem Verantwortlichen auf Anfrage zur Verfügung gestellt.

§9 Unterstützung bei Betroffenenrechten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anfragen betroffener Personen gemäß Art. 12—22 DSGVO.

(2) Der Auftragsverarbeiter beantwortet Anfragen betroffener Personen nicht eigenständig, sondern leitet diese unverzüglich, spätestens jedoch innerhalb von drei (3) Werktagen, an den Verantwortlichen weiter, sofern gesetzlich zulässig.

§10 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen Datenschutzverletzungen im Sinne von Art. 4 Nr. 12 DSGVO unverzüglich, spätestens jedoch innerhalb von achtundvierzig (48) Stunden, nachdem ihm die Verletzung bekannt geworden ist.

(2) Die Meldung enthält zumindest die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen, soweit verfügbar:
a) Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze,
b) Name und Kontaktdaten des Datenschutzbeauftragten oder einer sonstigen Anlaufstelle,
c) Beschreibung der wahrscheinlichen Folgen der Verletzung,
d) Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung.

(3) Soweit die Informationen nicht gleichzeitig bereitgestellt werden können, werden sie ohne unangemessene weitere Verzögerung schrittweise bereitgestellt.

§11 Kontroll- und Auditrechte

(1) Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV zu kontrollieren, einschließlich Vor-Ort-Inspektionen.

(2) Kontrollen erfolgen nach vorheriger Ankündigung mit einer Frist von mindestens vierzehn (14) Tagen, während der üblichen Geschäftszeiten und unter Wahrung von Betriebs- und Geschäftsgeheimnissen.

(3) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

(4) Zertifizierungen (z. B. ISO 27001), Prüfberichte unabhängiger Dritter (z. B. SOC 2) oder geeignete Nachweise können als Kontrollnachweis akzeptiert werden und ersetzen in diesem Fall Vor-Ort-Inspektionen, sofern der Verantwortliche dem zustimmt.

(5) Die Kosten der Kontrolle trägt der Verantwortliche, sofern die Kontrolle keine Verstöße des Auftragsverarbeiters ergibt.

§12 Beendigung und Datenrückgabe

(1) Nach Beendigung des Hauptvertrags löscht oder gibt der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Die Rückgabe erfolgt innerhalb von dreißig (30) Kalendertagen nach Beendigung des Hauptvertrags in einem der folgenden Formate nach Wahl des Verantwortlichen:
a) CSV (Comma-Separated Values),
b) JSON (JavaScript Object Notation),
c) SQL-Dump (standardkonformes SQL),
d) ein zwischen den Parteien individuell vereinbartes Format.

(3) Die Datenrückgabe erfolgt verschlüsselt über einen sicheren Übertragungsweg (z. B. SFTP, verschlüsselter Download-Link). Physische Datenträger werden bei Bedarf mit AES-256 oder vergleichbarer Verschlüsselung übergeben.

(4) Nach vollständiger Rückgabe und Bestätigung durch den Verantwortlichen oder nach Ablauf der Frist gemäß Absatz (2) löscht der Auftragsverarbeiter die Daten unwiderruflich gemäß einem dokumentierten Löschkonzept. Die Löschung wird dem Verantwortlichen auf Anfrage schriftlich bestätigt.

(5) Gesetzliche Aufbewahrungspflichten (z. B. §§ 147 AO, 257 HGB) bleiben unberührt. Die betroffenen Daten werden für die Dauer der Aufbewahrungsfrist gesperrt und nach Ablauf gelöscht.

§13 Haftung

(1) Es gelten die Haftungsregelungen des jeweiligen Hauptvertrags.

(2) Der Auftragsverarbeiter haftet für Verstöße gegen diesen AVV im Rahmen der gesetzlichen Vorschriften, insbesondere gemäß Art. 82 DSGVO.

§14 Vertraulichkeit

(1) Der Auftragsverarbeiter verpflichtet alle mit der Verarbeitung betrauten Personen schriftlich auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO) oder stellt sicher, dass diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Diese Verpflichtung besteht auch nach Beendigung des Vertragsverhältnisses fort.

§15 Datenschutzbeauftragter

(1) Der Datenschutzbeauftragte des Auftragsverarbeiters ist erreichbar unter:
E-Mail: datenschutz@handily.network

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über einen Wechsel des Datenschutzbeauftragten.

§16 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform.

(2) Es gilt das Recht der Bundesrepublik Deutschland.

(3) Gerichtsstand ist — soweit zulässig — Nürnberg.

(4) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Regelungen unberührt. Anstelle der unwirksamen Bestimmung gilt diejenige wirksame Regelung als vereinbart, die dem Zweck der unwirksamen Bestimmung am nächsten kommt.

(5) Dieser AVV geht im Falle von Widersprüchen den Datenschutzregelungen des Hauptvertrags vor.

Anlage 1 — Technische und organisatorische Maßnahmen (TOM)

Die folgenden Maßnahmen beschreiben den Stand der Technik bei der handily networks GmbH als Betreiber von Rechenzentrumsinfrastruktur, Netzwerkdiensten und IT-Services.

1. Zutrittskontrolle

Maßnahmen, die verhindern, dass Unbefugte Zutritt zu Datenverarbeitungsanlagen erhalten:

• Perimeterschutz des Rechenzentrums durch Zaunanlage, Videoüberwachung und Beleuchtung
• Zutrittskontrollsystem mit RFID-Transpondern und/oder biometrischer Authentifizierung (Fingerprint) für den Zugang zu Serverräumen und Technikbereichen
• Besuchermanagement mit Voranmeldung, Identitätsprüfung (amtlicher Lichtbildausweis), Besucherausweis und durchgehender Begleitung durch autorisiertes Personal
• Protokollierung aller Zutritte (Zeitpunkt, Person, Bereich) mit einer Aufbewahrungsfrist von mindestens neunzig (90) Tagen
• Differenzierte Zutrittsberechtigungen nach Zonen (Empfang, Technikfläche, Serverraum, Netzwerkkern)
• Alarmierung bei unbefugten Zutrittsversuchen
• Regelmäßige Überprüfung und Aktualisierung der Zutrittsberechtigungen (mindestens vierteljährlich)

2. Zugangskontrolle

Maßnahmen, die verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden:

• Zwei-Faktor-Authentifizierung (2FA) für alle administrativen Zugänge zu Infrastruktur- und Managementsystemen
• Passwort-Policy: Mindestlänge 12 Zeichen, Komplexitätsanforderungen, Verbot der Wiederverwendung der letzten 10 Passwörter
• Automatische Sperrung von Benutzerkonten nach fünf (5) fehlgeschlagenen Anmeldeversuchen
• VPN-Pflicht (IPsec oder WireGuard) für den Fernzugriff auf interne Management-Netzwerke
• Personalisierte Benutzerkonten (keine geteilten Accounts für den produktiven Betrieb)
• Automatische Bildschirmsperre nach maximal zehn (10) Minuten Inaktivität
• Regelmäßige Überprüfung aktiver Benutzerkonten und Deaktivierung nicht mehr benötigter Zugänge

3. Zugriffskontrolle

Maßnahmen, die gewährleisten, dass nur auf die Daten zugegriffen werden kann, für die eine Berechtigung besteht:

• Rollenbasierte Zugriffskontrolle (RBAC) nach dem Need-to-know-Prinzip
• Differenziertes Administratorenrechte-Management: Trennung von Netzwerk-, System- und Anwendungsadministration
• Protokollierung aller administrativen Zugriffe auf Datenverarbeitungssysteme mit Aufbewahrung von mindestens neunzig (90) Tagen
• Regelmäßige Überprüfung der Berechtigungen (mindestens halbjährlich, bei Personaländerungen sofort)
• Sofortige Deaktivierung von Zugriffsrechten bei Ausscheiden von Mitarbeitern
• Einsatz von Privileged Access Management (PAM) für hochprivilegierte Zugänge

4. Weitergabekontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten bei der Übertragung und Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden:

• Verschlüsselung aller externen Datenübertragungen mit TLS 1.2 oder höher
• VPN-Verschlüsselung (IPsec, WireGuard) für standortübergreifende Verbindungen
• E-Mail-Verschlüsselung: TLS-Transportverschlüsselung (obligatorisch), S/MIME oder PGP auf Anfrage
• Verschlüsselung von Datenträgern (Full Disk Encryption mit AES-256) für mobile Geräte und Backup-Medien
• Sichere Löschung und Vernichtung von Datenträgern gemäß DIN 66399 (Sicherheitsstufe H-3 oder höher)
• Dokumentierte Prozesse für den physischen Transport von Datenträgern

5. Eingabekontrolle

Maßnahmen, die gewährleisten, dass nachträglich überprüft werden kann, ob und von wem personenbezogene Daten eingegeben, verändert oder entfernt wurden:

• Zentrale Protokollierung (Logging) aller sicherheitsrelevanten Ereignisse in einem SIEM-System oder vergleichbarer Lösung
• Audit-Trails für Änderungen an Konfigurationen und Kundendaten
• Versionierung von Konfigurationsdateien und Infrastruktur-as-Code
• Aufbewahrung von Protokolldaten für mindestens neunzig (90) Tage, sofern keine längere gesetzliche Aufbewahrungspflicht besteht
• Manipulationsschutz für Protokolldaten (Write-Once-Speicher oder zentrales Log-Management)

6. Auftragskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten nur entsprechend den Weisungen des Verantwortlichen verarbeitet werden:

• Schriftliche Dokumentation aller Weisungen des Verantwortlichen
• Vertragliche Prüfung aller Unterauftragsverarbeiter vor Beauftragung
• Regelmäßige Kontrolle der Unterauftragsverarbeiter (mindestens jährlich)
• Schulung der Mitarbeiter zu datenschutzrechtlichen Anforderungen und Weisungsbindung
• Benennung eines internen Datenschutzkoordinators

7. Verfügbarkeitskontrolle

Maßnahmen, die gewährleisten, dass personenbezogene Daten gegen zufällige Zerstörung oder Verlust geschützt sind:

• Redundante Stromversorgung (N+1) mit unterbrechungsfreier Stromversorgung (USV) und Netzersatzanlage (Diesel-Generator)
• Automatische Umschaltung auf Notstromversorgung bei Netzausfall
• Brandschutzkonzept: Brandfrüherkennung (Ansaugrauchmelder), automatische Löschanlage (Gaslöschung oder vergleichbar), Brandabschnitte
• Klimatisierung mit redundanten Kühlsystemen
• Backup-Konzept: Regelmäßige Datensicherungen (mindestens täglich für kritische Systeme), georedundante Aufbewahrung von Backups
• Regelmäßige Restore-Tests (mindestens halbjährlich)
• Notfallplan und Business-Continuity-Management (BCM) mit dokumentierten Wiederanlaufprozeduren
• Monitoring aller kritischen Infrastrukturkomponenten (24/7)

8. Trennungsgebot

Maßnahmen, die gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden:

• Mandantentrennung durch logische Separation (separate Datenbanken, Verzeichnisse, Zugriffsrechte)
• Physische Trennung, sofern vertraglich vereinbart oder aus Sicherheitsgründen erforderlich
• VLAN-Isolation im Netzwerk: Trennung von Kunden-, Management- und Infrastruktur-Netzwerken
• Getrennte Netzsegmente für verschiedene Sicherheitszonen (DMZ, internes Netz, Management-Netz)
• Firewall-Regeln zur Durchsetzung der Netzwerktrennung
• Trennung von Produktiv-, Test- und Entwicklungsumgebungen

Anlage 2 — Liste der Unterauftragsverarbeiter

Die folgende Liste enthält die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter:

Diese Liste wird bei Änderungen gemäß §7 dieses AVV aktualisiert und dem Verantwortlichen mitgeteilt.

Vertragsunterschriften