Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

zwischen dem Kunden (Verantwortlicher) und Monib Asad Masud, c/o maexware solutions GmbH, z. Hd. Monib Asad Masud, Freiburger Straße 9, 79312 Emmendingen, Deutschland (Auftragsverarbeiter).

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt für den Verantwortlichen den Dienst Atomixi nach den Nutzungsbedingungen. Dieser Vertrag gilt für alle personenbezogenen Daten, die der Verantwortliche oder seine verbundenen Programme in Atomixi ablegen. Er läuft so lange wie der Nutzungsvertrag.

2. Art und Zweck der Verarbeitung

Speichern, Sichern, Aufbereiten für die Suche (Berechnung von Vektoren auf dem Server des Auftragsverarbeiters), Abrufen, Ausliefern an den Verantwortlichen und an die von ihm verbundenen Programme, Exportieren und Löschen. Zweck ist allein der Betrieb des Dienstes für den Verantwortlichen.

3. Art der Daten und Kreise der Betroffenen

Welche Daten der Verantwortliche ablegt, bestimmt er selbst. Erwartet werden Namen, Kontaktangaben, berufliche Angaben und Notizen über Kunden, Mitarbeiter, Geschäftspartner und andere Personen, mit denen der Verantwortliche zu tun hat. Besondere Kategorien nach Art. 9 DSGVO legt der Verantwortliche nur ab, wenn er dafür eine Rechtsgrundlage hat und das vorher in Textform mitgeteilt hat.

4. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind dieser Vertrag, die Nutzungsbedingungen und die Einstellungen, die der Verantwortliche im Dienst vornimmt, etwa welche Programme welche Räume sehen. Weitere Weisungen erteilt er in Textform an info@atomixi.com. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, sagt er das unverzüglich. Eine gesetzliche Pflicht zu einer anderen Verarbeitung teilt er vorher mit, soweit das Gesetz es erlaubt.

5. Vertraulichkeit

Zugriff auf die Server haben nur der Auftragsverarbeiter selbst und von ihm eingesetzte Personen, die zur Vertraulichkeit verpflichtet sind. Inhalte des Verantwortlichen werden nur geöffnet, wenn der Verantwortliche es verlangt oder eine gesetzliche Pflicht besteht.

6. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie durch gleichwertige oder bessere ersetzen und dokumentiert das.

7. Unterauftragsverarbeiter

Der Verantwortliche erlaubt den Einsatz der Unterauftragsverarbeiter in Anlage 2. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail an. Der Verantwortliche kann binnen dieser Frist aus einem wichtigen datenschutzrechtlichen Grund widersprechen und den Vertrag dann außerordentlich kündigen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Pflichten.

8. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 12 bis 23 DSGVO). Auskunft, Export, Berichtigung und Löschung kann der Verantwortliche im Dienst selbst vornehmen; was darüber hinausgeht, erledigt der Auftragsverarbeiter auf Anfrage. Er unterstützt außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit er dazu beitragen kann.

9. Verletzungen des Schutzes

Bemerkt der Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten des Verantwortlichen, teilt er sie unverzüglich mit, spätestens binnen 48 Stunden, mit allem, was er zu dem Zeitpunkt über Art, Umfang, Folgen und Gegenmaßnahmen weiß.

10. Ende des Auftrags

Endet der Nutzungsvertrag, kann der Verantwortliche seine Daten bis zur Löschung exportieren. Der Auftragsverarbeiter löscht danach alle Daten nach Nummer 11 der Nutzungsbedingungen. In den Sicherungen verbleiben sie bis zum Ablauf von deren Fristen (Anlage 1, Verfügbarkeit) und werden in dieser Zeit für nichts verwendet.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist möglich, höchstens einmal im Jahr, außer nach einer Verletzung nach Nummer 9. Die Kosten einer Kontrolle trägt der Verantwortliche.

12. Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gilt die Haftungsregel der Nutzungsbedingungen.

Anlage 1: Technische und organisatorische Maßnahmen

• Ort und Zutritt. Server bei netcup GmbH in einem Rechenzentrum in Deutschland. Den Zutritt regelt netcup als Betreiber des Rechenzentrums.
• Zugang zum Server. Anmeldung als Administrator nur mit SSH-Schlüssel, Passwort-Anmeldung abgeschaltet; wiederholte Fehlversuche sperrt fail2ban.
• Zugang zum Dienst. Passwörter nur als Argon2id-Hash; Anmeldung erst nach bestätigter E-Mail-Adresse; jeder Zugangsschlüssel ein Zufallswert mit 256 Bit, gespeichert nur als SHA-256; Ablauf und Widerruf je Schlüssel; Begrenzung von Anmeldeversuchen je Absender und je Konto.
• Zugriff und Trennung. Jede Anfrage geht durch eine einzige Prüfstelle; ein Raum wird nur dem Konto herausgegeben, dem er gehört, sonst ist die Antwort „nicht gefunden“. Ein Test ruft jede Route als Konto A auf die Daten von Konto B auf und erwartet jedes Mal eine Ablehnung. Schlüssel lassen sich auf einzelne Räume und Rechte beschränken (Lesen, Schreiben, Löschen).
• Schutz im Browser. Prüfung von Herkunft und Host vor jedem Handler; Sitzungs-Cookie mit __Host--Präfix; Seiten ohne eingebettetes Skript unter einer Content-Security-Policy.
• Übertragung. Verbindungen nur über TLS. Sicherungskopien außerhalb des Servers nur verschlüsselt (GPG).
• Eingabe. Der Dienst hält fest, wann ein Eintrag angelegt und geändert wurde und bei Erinnerungen, aus welcher Quelle sie kamen; erteilte Zustimmungen stehen mit Zeitpunkt im Protokoll.
• Verfügbarkeit. Tägliche Sicherung des ganzen Dienstes, sieben Tage auf dem Server; verschlüsselte Kopien auf vier eigenen Datenträgern in Deutschland, jede gegen ihre Prüfsumme geprüft; Löschung der Kopien nach 90 Tagen.
• Datenminimierung. Keine Speicherung von Suchanfragen; keine Inhalte in Protokollen; Filter gegen Passwörter, Schlüssel, Karten- und Ausweisnummern beim Speichern.
• Prüfung. Vor dem öffentlichen Betrieb eine Sicherheitsprüfung mit Negativtests für jede Schlüsselart, fremde und gefälschte Tokens, OAuth und Trennung.
• Organisation. Änderungen am Dienst gehen nur über geprüfte Freigaben live; jede Freigabe nennt ihren Quellstand.

Anlage 2: Unterauftragsverarbeiter

Stand: 20. Oktober 2026