AVV

Version 1.1 · Stand: 25.07.2026

Vereinbarung zur Auftragsverarbeitung (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

Ergänzung zu den Allgemeinen Geschäftsbedingungen für Vantage

Vertragsparteien

Zwischen

dem Kunden gemäß Hauptvertrag (Registrierung für Vantage) – nachfolgend „Verantwortlicher" –

und

Klein IT Solutions, Inhaber: Henning Klein, An der Zickelburg 9, 53604 Bad Honnef, Deutschland – nachfolgend „Auftragsverarbeiter" –

– gemeinsam die „Parteien" –

§ 1 Gegenstand, Geltung und Rangfolge

(1) Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen ihnen geschlossenen Vertrag über die Nutzung der Plattform Vantage („Hauptvertrag", bestehend aus den AGB und dem gewählten Leistungspaket).

(2) Sie gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen des Hauptvertrags durchführt – insbesondere für personenbezogene Daten, die in den vom Verantwortlichen an die Plattform übermittelten Telemetriedaten (Metriken, Logs, Traces) enthalten sind.

(3) Diese Vereinbarung wird zusammen mit den AGB im Rahmen der Online-Registrierung geschlossen (Bestätigung durch Anklicken des entsprechenden Kontrollkästchens). Sie erfüllt damit das Formerfordernis des Art. 28 Abs. 9 DSGVO (elektronisches Format). Einer gesonderten Unterzeichnung oder der Eintragung individueller Angaben in diese Vereinbarung bedarf es nicht; die Identität des Verantwortlichen ergibt sich aus den bei der Registrierung angegebenen und im Kundenkonto hinterlegten Daten. Die Vereinbarung ist Bestandteil des Hauptvertrags.

(4) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag geht diese Vereinbarung vor, soweit Regelungen zum Datenschutz betroffen sind.

(5) Rollenverteilung: Der Verantwortliche ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO für die von ihm übermittelten Telemetriedaten. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich im Auftrag. Nicht Gegenstand dieser Vereinbarung ist die Verarbeitung von Bestands-, Vertrags- und Abrechnungsdaten des Kunden selbst; insoweit ist der Auftragsverarbeiter eigenständig Verantwortlicher (siehe Datenschutzerklärung).

§ 2 Gegenstand, Dauer, Art und Zweck der Verarbeitung; Datenarten; Betroffene

(1) Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1 zu dieser Vereinbarung.

(2) Wesentlicher Inhalt (Zusammenfassung): Der Auftragsverarbeiter speichert die vom Verantwortlichen übermittelten Telemetriedaten (Metriken, Logs, Traces), hält sie für die vereinbarte Aufbewahrungsdauer (Retention) zum Abruf, zur Abfrage und zur Visualisierung durch den Verantwortlichen bereit und löscht sie nach Ablauf der Retention bzw. nach Vertragsende. Eine inhaltliche Auswertung durch den Auftragsverarbeiter findet nicht statt.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags zuzüglich des Zeitraums für den Datenexport und die anschließende Löschung nach § 10.

(4) Ort der Verarbeitung: Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland statt, derzeit: Rechenzentren der Hetzner Online GmbH in Falkenstein und Nürnberg. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen und darf nur unter den Voraussetzungen der Art. 44 ff. DSGVO erfolgen.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Der Hauptvertrag, diese Vereinbarung und die Nutzung der Plattform durch den Verantwortlichen (einschließlich der von ihm konfigurierten Einstellungen, z. B. Retention, Datenübermittlung, Löschvorgänge) gelten als dokumentierte Weisung. Einzelweisungen darüber hinaus bedürfen der Textform.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er ist berechtigt, die Ausführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

(4) Weisungsberechtigte Personen des Verantwortlichen und weisungsempfangsberechtigte Personen des Auftragsverarbeiters werden über die im Kundenkonto hinterlegten Kontakte bestimmt.

§ 4 Pflichten des Auftragsverarbeiters

(1) Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

(2) Sicherheit der Verarbeitung: Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 lit. c DSGVO). Die zum Zeitpunkt des Vertragsschlusses implementierten Maßnahmen sind in Anlage 2 beschrieben. Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

(3) Unterstützung bei Betroffenenrechten: Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, dessen Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) nachzukommen (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern er hierzu nicht gesetzlich verpflichtet ist.

(4) Unterstützung bei weiteren Pflichten: Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 lit. f DSGVO).

(5) Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO (Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen). Noch nicht verfügbare Informationen werden unverzüglich nachgereicht.

(6) Datenschutzbeauftragter / Ansprechpartner: Ein Datenschutzbeauftragter ist nicht bestellt, da keine Benennungspflicht besteht. Ansprechpartner für Datenschutzfragen beim Auftragsverarbeiter ist: Henning Klein, E-Mail: datenschutz@klein-it.solutions.

(7) Verzeichnis von Verarbeitungstätigkeiten: Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO, soweit er hierzu verpflichtet ist.

(8) Keine eigennützige Verarbeitung: Der Auftragsverarbeiter verwendet die im Auftrag verarbeiteten Daten für keine anderen als die vertraglich vereinbarten Zwecke, insbesondere nicht für eigene Analysen, Werbung oder die Weitergabe an Dritte. Zulässig bleibt die Verarbeitung aggregierter, anonymisierter Betriebskennzahlen (z. B. Gesamtvolumen, Systemlast) ohne Personenbezug zum Zweck des Plattformbetriebs und der Kapazitätsplanung.

§ 5 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung der von ihm übermittelten Daten sowie für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er stellt insbesondere sicher, dass für die in seinen Telemetriedaten enthaltenen personenbezogenen Daten eine Rechtsgrundlage besteht.

(2) Datenminimierung: Der Verantwortliche gestaltet seine Instrumentierung so, dass personenbezogene Daten nur im erforderlichen Umfang in Telemetriedaten gelangen. Er nutzt, soweit möglich, Pseudonymisierung, Maskierung oder Filterung (insbesondere bei Log-Inhalten und Trace-Attributen). Die Übermittlung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen und bedarf einer gesonderten Vereinbarung.

(3) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Auftragsverarbeitung feststellt.

(4) Der Verantwortliche benennt dem Auftragsverarbeiter einen Ansprechpartner für datenschutzrechtliche Fragen (über das Kundenkonto).

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO), die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern in Textform (z. B. E-Mail an die im Kundenkonto hinterlegte Adresse) mit einer Frist von mindestens vier Wochen vor Wirksamwerden. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines berechtigten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; gelingt dies nicht, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

(4) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne unmittelbaren Bezug zur Auftragsverarbeitung (z. B. Telekommunikation, Post, Reinigung, Bewachung), soweit dabei kein Zugriff auf Auftragsdaten erfolgt.

§ 7 Technische und organisatorische Maßnahmen (TOM)

(1) Der Auftragsverarbeiter hat die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen getroffen und hält sie während der Vertragslaufzeit aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf alternative adäquate Maßnahmen umsetzen, sofern das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 8 Nachweise und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann insbesondere erfolgen durch: aktuelle TOM-Dokumentation (Anlage 2), Selbstauskünfte, geeignete Zertifizierungen oder Prüfberichte (z. B. ISO-27001-Zertifizierung der eingesetzten Rechenzentren), soweit vorhanden.

(3) Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung zu überprüfen, auch durch beauftragte, zur Verschwiegenheit verpflichtete Prüfer. Überprüfungen vor Ort erfolgen nach rechtzeitiger Anmeldung (mindestens 14 Tage im Voraus), zu üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs und höchstens einmal pro Kalenderjahr, sofern kein konkreter Anlass (z. B. eine Datenschutzverletzung) eine weitergehende Prüfung erfordert. Betriebs- und Geschäftsgeheimnisse des Auftragsverarbeiters sowie Daten anderer Kunden (Multi-Tenant-Umgebung!) bleiben geschützt.

(4) Der Auftragsverarbeiter kann für die Unterstützung von Überprüfungen, die über die Bereitstellung vorhandener Dokumentation hinausgehen, eine angemessene Vergütung nach Aufwand verlangen, sofern die Prüfung nicht durch eine Pflichtverletzung des Auftragsverarbeiters veranlasst ist.

§ 9 Datenschutzverletzungen und Zusammenarbeit mit Aufsichtsbehörden

(1) Meldungen an Aufsichtsbehörden (Art. 33 DSGVO) und Benachrichtigungen betroffener Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn hierbei nach § 4 Abs. 4 und 5.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen von Aufsichtsbehörden, soweit sie die Auftragsverarbeitung betreffen und keine gesetzliche Mitteilungssperre besteht.

(3) Auskünfte an Dritte oder betroffene Personen über Auftragsdaten erteilt der Auftragsverarbeiter nur nach vorheriger Zustimmung des Verantwortlichen, sofern keine gesetzliche Verpflichtung besteht.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Während der Vertragslaufzeit werden Telemetriedaten automatisch nach Ablauf der im Leistungspaket vereinbarten Aufbewahrungsdauer (Retention) gelöscht.

(2) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen gemäß Hauptvertrag für 30 Tage die Möglichkeit zum Export seiner Telemetriedaten zur Verfügung. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten einschließlich vorhandener Kopien, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht (Art. 28 Abs. 3 lit. g DSGVO).

(3) In Sicherungskopien (Backups) enthaltene Daten werden spätestens mit dem regulären Überschreib-/Rotationszyklus der Sicherungen, spätestens jedoch nach 30 Tagen, gelöscht; bis dahin sind sie gegen unbefugten Zugriff geschützt und werden nicht wiederhergestellt, außer soweit dies technisch zur Wiederherstellung des Gesamtsystems unvermeidbar ist.

(4) Die Löschung wird dem Verantwortlichen auf Anfrage in Textform bestätigt.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung der Parteien gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Hauptvertrags.

(2) Diese Vereinbarung hat dieselbe Laufzeit wie der Hauptvertrag; § 10 gilt darüber hinaus bis zur vollständigen Löschung.

(3) Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Im Übrigen gelten die Schlussbestimmungen des Hauptvertrags.

(5) Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 – Gegenstand der Verarbeitung

1. Gegenstand und Zweck der Verarbeitung

Speicherung, Bereithaltung zum Abruf, Abfrage/Visualisierung und Löschung von Telemetriedaten (Metriken, Logs, Traces), die der Verantwortliche zur eigenen Systemüberwachung (Observability/Monitoring) an die Plattform übermittelt. Keine inhaltliche Auswertung durch den Auftragsverarbeiter.

2. Art der Verarbeitung

Erhebung (Entgegennahme der übermittelten Daten), Speicherung, Bereitstellung/Abruf, Einschränkung, Löschung. Automatisierte Verarbeitung in einer Multi-Tenant-Umgebung mit logischer Mandantentrennung.

3. Kategorien betroffener Personen

Abhängig von der Instrumentierung des Verantwortlichen, typischerweise:

Beschäftigte des Verantwortlichen (z. B. Nutzerkennungen in Logs)
Kunden/Nutzer der Systeme des Verantwortlichen (z. B. IP-Adressen, Session-/Request-Daten)
Sonstige Personen, deren Daten in den überwachten Systemen verarbeitet werden

4. Art der personenbezogenen Daten

Abhängig von der Instrumentierung des Verantwortlichen, typischerweise:

In Metriken/Labels: Hostnamen, Instanz-Kennungen, ggf. Nutzer- oder Tenant-IDs
In Logs: IP-Adressen, Nutzerkennungen, Zeitstempel, URLs/Request-Pfade, User-Agents, Fehlermeldungen mit ggf. enthaltenen Personenbezügen
In Traces: Request-Attribute, Session-/Correlation-IDs, ggf. Nutzerkennungen

Nicht vorgesehen: besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sowie Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO). Der Verantwortliche hat deren Übermittlung durch geeignete Filterung zu unterbinden.

5. Dauer

Laufzeit des Hauptvertrags; Retention je Leistungspaket; Export- und Löschfristen gemäß § 10 AVV.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle: Betrieb in gesicherten Rechenzentren der Hetzner Online GmbH (Falkenstein und Nürnberg, ISO-27001-zertifiziert); kein physischer Zugang Unbefugter.
Zugangskontrolle: Authentifizierung mit individuellen Konten; SSH-Zugriff ausschließlich schlüsselbasiert; Zwei-Faktor-Authentifizierung für sämtliche administrativen Zugänge (Server, Plattform-Administration, Provider-Konsole); Schlüssel-/Passwortrichtlinie.
Zugriffskontrolle: Rollen- und Rechtekonzept; administrative Zugriffe auf das erforderliche Minimum beschränkt; Protokollierung administrativer Zugriffe.
Trennungskontrolle: Logische Mandantentrennung (Multi-Tenancy) in Grafana, Mimir, Loki und Tempo über mandantenbezogene Kennungen (Tenant-ID bzw. Organisation); getrennte Verarbeitung von Auftragsdaten und eigenen Daten.
Pseudonymisierung: Obliegt primär dem Verantwortlichen (Filterung/Maskierung vor Übermittlung an die Plattform).

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Übertragungskontrolle: Transportverschlüsselung (TLS 1.2 oder höher) für alle Übertragungswege (Ingest und Abruf).
Eingabekontrolle: Protokollierung wesentlicher administrativer Änderungen; Nachvollziehbarkeit von Konfigurationsänderungen (Server- und Plattformkonfiguration teilweise versioniert verwaltet).

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Regelmäßige Sicherungen der Plattforminfrastruktur: stündliche Sicherungen mit 7 Tagen Aufbewahrung sowie tägliche Sicherungen mit 30 Tagen Aufbewahrung.
Redundante Strom- und Netzanbindung (USV/Notstrom) gemäß Rechenzentrumsstandard des Betreibers (ISO 27001).
Ressourcen-Limits und Lastbegrenzung je Mandant (siehe Fair-Use-Regelung des Hauptvertrags) zum Schutz vor Beeinträchtigung durch andere Mandanten.
Zeitnahe Einspielung von Sicherheitsupdates der eingesetzten Komponenten.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen, mindestens jährlich.
Prozess für das Management von Sicherheitsvorfällen (Incident Response) einschließlich Meldeweg an Kunden.
Auftragskontrolle: Sorgfältige Auswahl von Unterauftragsverarbeitern; vertragliche Bindung nach Art. 28 Abs. 4 DSGVO.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Nr.	Unternehmen	Anschrift	Leistung	Ort der Verarbeitung
1	Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Deutschland	Rechenzentrums-/Serverleistungen (Hosting der Plattform inkl. Grafana, Mimir, Loki, Tempo sowie Backups)	Falkenstein und Nürnberg (Deutschland)

Stand: 25.07.2026 · Vantage · Klein IT Solutions, An der Zickelburg 9, 53604 Bad Honnef