AVV

Auftragsverarbeitungsvertrag (AVV)

Stand: 17. Oktober 2026
Vertragsgrundlage: Diese Rahmenfassung wird für den jeweiligen Auftrag um Kundenangaben, Verarbeitungsbeschreibung und vereinbarte Anlagen ergänzt und vor Beginn der Auftragsverarbeitung vereinbart.

1. Parteien und Geltung

1.1 Auftragnehmer ist Yevgen Yeshchenko, Im Egerten 7/1, 74391 Erligheim, Deutschland; info@phasi.app. Der im individuellen Auftrag bezeichnete Kunde ist Verantwortlicher, der Anbieter Auftragsverarbeiter. Handelt der Kunde selbst als Auftragsverarbeiter, sind die erforderliche Genehmigung und Weisungskette vor Beginn gesondert festzuhalten.

1.2 Dieser AVV einschließlich vervollständigter Anlagen wird vor Beginn der Verarbeitung schriftlich oder elektronisch vereinbart. Er gilt auch für das kostenlose dreimonatige Pilotprojekt mit realen Projektdaten. Er ersetzt keine Prüfung der tatsächlichen Maßnahmen.

2. Gegenstand, Umfang und Dauer

2.1 Gegenstand ist die Bereitstellung von PHASI für Produktstrukturen, Projekte, Aufgaben und Arbeitsphasen. Art und Zweck umfassen Speicherung, Organisation, Anzeige, Übertragung, technische Administration, Support, Sicherung, Wiederherstellung und abschließende Rückgabe oder Löschung.

2.2 Verarbeitet werden nur die in Anlage 1 beschriebenen Daten für die vereinbarte Vertrags- oder Pilotdauer und die weisungsgemäße Abwicklung danach. Eine allgemeine Weiterverarbeitung aller Kundendaten zu eigenen Zwecken oder zur Rechtsverteidigung ist damit nicht erlaubt. Gesetzliche Speicherpflichten sind konkret zu bestimmen.

3. Verantwortung des Kunden

3.1 Der Kunde verantwortet die Rechtmäßigkeit der Erhebung und seiner Weisungen, die erforderlichen Informationen an betroffene Personen und die Berechtigungen seiner Nutzer. Er benennt weisungsberechtigte Kontakte und informiert über Änderungen.

3.2 Besondere Daten nach Art. 9 DSGVO, strafrechtliche Daten nach Art. 10 DSGVO sowie vergleichbar sensible Daten sind ohne vorherige Prüfung und ausdrückliche Vereinbarung nicht Gegenstand des Auftrags.

4. Weisungen und gesetzliche Pflichten

4.1 Der Anbieter verarbeitet ausschließlich auf dokumentierte Weisung, auch hinsichtlich Drittlandübermittlungen. Weisungen ergeben sich aus dem vereinbarten Auftrag, diesem AVV und berechtigten Kundeneinstellungen. Zusätzliche Weisungen werden in Textform dokumentiert; dringende Weisungen sind unverzüglich zu dokumentieren.

4.2 Bestehen rechtliche Bedenken, informiert der Anbieter den Kunden unverzüglich und setzt die betroffene Weisung bis zur Klärung aus. Technische Schwierigkeiten oder zusätzliche Kosten berechtigen nicht zum pauschalen Ausschluss gesetzlicher Unterstützungspflichten; die Parteien klären unverzüglich eine rechtmäßige Lösung.

4.3 Verlangt Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung ohne Weisung, informiert der Anbieter den Kunden vorab über diese Pflicht, soweit das Gesetz dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

5. Vertraulichkeit und Zugriff

Der Anbieter beschränkt den Zugriff auf erforderliche berechtigte Personen und verpflichtet sie zur Vertraulichkeit, soweit nicht bereits eine entsprechende gesetzliche Pflicht besteht. Die Verpflichtung besteht nach Tätigkeitsende fort. Zugang und Supportzugriffe werden nach dem dokumentierten Berechtigungskonzept gesteuert.

6. Sicherheit und Sicherungen

6.1 Der Anbieter setzt die nach Art. 32 DSGVO erforderlichen risikogerechten Maßnahmen um, einschließlich angemessener Verfügbarkeit, Wiederherstellbarkeit und regelmäßiger Prüfung. Anlage 2 beschreibt den Betriebsstand; kundenspezifische Einzelheiten werden vor Beginn vereinbart.

6.2 Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden dokumentiert und dem Kunden mitgeteilt. Kundensicherungen ersetzen keine Pflichten des Anbieters.

6.3 Nach Angaben des Anbieters werden täglich Sicherungen der STRATO-VPS-Daten in Cloudflare R2, Jurisdiktion European Union (EU), gespeichert und einen Monat aufbewahrt. Die Archive einschließlich Datenbank und Konfiguration werden vor dem Upload mit age und einem separaten PHASI-Schlüssel verschlüsselt. Die Verschlüsselung und Wiederherstellung aus einem verschlüsselten R2-Archiv wurden vom Anbieter erfolgreich geprüft. Lokale SaaS-Sicherungskopien bestehen nicht; der private Schlüssel wird lokal und als Sicherung auf USB aufbewahrt. Automatische Löschung nach einem Monat sowie gezielte frühere Löschung einzelner Kundensicherungen sind nach Angaben des Anbieters eingerichtet. Gesetzliche frühere Löschpflichten bleiben maßgeblich.

7. Unterauftragsverarbeiter

7.1 Die allgemeine Genehmigung betrifft die in Anlage 3 konkret bezeichneten Unterauftragsverarbeiter. Neue oder ersetzte Anbieter werden vor Einsatz mit Aufgabe und Verarbeitungsort mitgeteilt; es wird eine angemessene Frist für begründete datenschutzrechtliche Einwände eingeräumt. Einwände werden vor der betroffenen Verarbeitung geklärt; erforderlichenfalls ist eine andere Lösung oder Beendigung der betroffenen Leistung zu vereinbaren.

7.2 Der Anbieter legt Unterauftragsverarbeitern vertraglich dieselben einschlägigen Datenschutzpflichten auf und prüft ausreichende Garantien. Er bleibt gegenüber dem Kunden für deren Pflichterfüllung verantwortlich. Eine pauschale Genehmigung ersetzt nicht die konkrete Liste.

8. Drittlandverarbeitung

Verarbeitung außerhalb der EU/des EWR, einschließlich entsprechendem Fernzugriff, bedarf einer dokumentierten Weisungsgrundlage und der Voraussetzungen der Art. 44 ff. DSGVO. Empfänger, Länder und tatsächlich verwendete Garantien werden vorab dokumentiert und zugänglich gemacht. Die Angabe „Europa“ allein bestätigt keinen ausschließlichen EWR-Betrieb.

9. Unterstützung und Betroffenenrechte

9.1 Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und verfügbarer Informationen bei Betroffenenrechten und den Pflichten nach Art. 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultation.

9.2 Direkt eingehende Betroffenenanfragen werden unverzüglich weitergeleitet. Eine eigene sachliche Beantwortung erfolgt nur auf Weisung oder gesetzlicher Grundlage. Fristen werden bei der Unterstützung berücksichtigt.

10. Datenschutzverletzungen

Der Anbieter meldet Verletzungen des Schutzes personenbezogener Kundendaten unverzüglich nach Bekanntwerden an den benannten Kontakt. Die Erstmeldung wird nicht bis zum Abschluss der Untersuchung aufgeschoben. Soweit bekannt werden Art und Umfang, betroffene Daten und Personen, Kontaktstelle, Folgen und Maßnahmen mitgeteilt; fehlende Angaben folgen ohne unangemessene Verzögerung. Vorfälle und Abhilfe werden dokumentiert. Meldungen an Behörden und betroffene Personen obliegen grundsätzlich dem Verantwortlichen, den der Anbieter unterstützt.

11. Nachweise und Kontrollen

11.1 Der Anbieter stellt alle zum Nachweis der Pflichterfüllung nach Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Kontrollen einschließlich Inspektionen durch den Kunden oder dessen beauftragten Prüfer und wirkt daran mit.

11.2 Vertraulichkeits- und Sicherheitsvorkehrungen schützen andere Kunden und Betriebsgeheimnisse, dürfen die Kontrolle aber nicht verhindern. Umfang, Termin und Ablauf werden soweit möglich abgestimmt. Dringende anlassbezogene Prüfungen und Behördenbefugnisse werden nicht durch starre Vorankündigungsfristen beschränkt.

11.3 Eine etwaige Kostenregelung muss angemessen sein und darf gesetzliche Kontrollrechte nicht faktisch vereiteln. Die Ausübung notwendiger Kontrollrechte wird nicht von einer vorherigen Vergütungsvereinbarung abhängig gemacht.

12. Rückgabe und Löschung

12.1 Nach Ende der Leistungen werden personenbezogene Daten nach Wahl und dokumentierter Weisung des Kunden zurückgegeben oder gelöscht und vorhandene Kopien gelöscht, soweit nicht Unions- oder Mitgliedstaatenrecht Speicherung verlangt. Offene Zahlungsforderungen sind kein Grund, diese Pflichten zu verweigern.

12.2 Ziffer 26 der AGB beschreibt den Abwicklungsprozess. Kunden können nach Angaben des Anbieters eine Backup-Datei über die Oberfläche herunterladen und in PHASI importieren. Format, Vollständigkeit und Abruf nach Zugangsende werden für den Auftrag festgehalten. Dass die Datei ohne PHASI nicht lesbar ist, darf gesetzliche Rückgabe- und Wechselrechte nicht beschränken. Interne R2-Sicherungen sind hiervon getrennt zu behandeln.

12.3 Produktiver Zugriff, sichere Übergabe, Abruffrist und Löschung werden getrennt festgelegt. Eine Beendigung des kostenlosen Piloten beendet nicht die Abwicklungspflichten. Gesetzliche Wechsel- und Abruffristen sind zu beachten.

12.4 Löschpflichten umfassen die R2-Sicherungen und etwaige weitere Kopien. Die einmonatige R2-Aufbewahrung rechtfertigt keine pauschale Weiteraufbewahrung nach einer Löschweisung. Eine frühere kundenspezifische Löschung ist nach Angaben des Anbieters durch gesonderten Eingriff möglich und muss veranlasst und dokumentiert werden. Rechtmäßig verbleibende Daten bleiben gesperrt; Löschungen werden bei Wiederherstellung erneut angewandt.

12.5 Der Anbieter bestätigt die Erledigung in Textform und dokumentiert rechtmäßig verbleibende Datenbestände mit Grund und Löschtermin. Eigene gesetzlich aufzubewahrende Vertrags- und Rechnungsunterlagen werden getrennt und zweckbeschränkt behandelt.

13. Haftung und Vorrang

Die Haftung richtet sich nach den AGB, ohne zwingende DSGVO-Rechte und Pflichten, insbesondere gegenüber betroffenen Personen, einzuschränken. Dieser AVV geht bei Widersprüchen zur Auftragsverarbeitung vor.

Anlage 1: Verarbeitungsbeschreibung

• Gegenstand und Zweck: PHASI-Projektplanung einschließlich Pilot mit realen Projektdaten und technischer Abwicklung.
• Daten: Namen, geschäftliche Kontaktdaten, Konten, Rollen, Berechtigungen, Nutzerzuordnungen, projektbezogene personenbezogene Inhalte, Kommentare und erforderliche technische Protokolle; tatsächliche Felder sind je Installation zu prüfen.
• Betroffene: Nutzer, Beschäftigte, Geschäftsleitung, Auftragnehmer sowie vom Kunden erfasste Geschäftskontakte.
• Dauer: vereinbarte Laufzeit plus rechtmäßige, dokumentierte Rückgabe- und Löschabwicklung.
• Vor Abschluss einzutragen: Kundenfirma und Anschrift, weisungsberechtigte Kontakte, Sicherheitskontakt, konkrete Umgebung und Startdatum.

Anlage 2: Technische und organisatorische Maßnahmen

Bestätigt durch den Anbieter:

• Separater STRATO-VPS pro Kundenunternehmen in Europa.
• HTTPS, Firewall und Betriebssystem-Updates.
• Tägliche Sicherung der STRATO-VPS-Daten in Cloudflare R2, Jurisdiktion European Union (EU), Aufbewahrung einen Monat. Keine lokalen Sicherungskopien.
• Erfolgreicher Wiederherstellungstest bestätigt. Frühere Löschung einzelner Kundensicherungen durch gesonderten Eingriff möglich. Keine Datenträgerverschlüsselung am lokalen Computer.

Zusätzlich bestätigt: age-Verschlüsselung aller R2-Archive vor dem Upload, einschließlich Datenbank und Konfiguration; erfolgreicher Test der Wiederherstellung aus verschlüsseltem R2-Archiv; Schlüssel lokal und auf USB; alleiniger administrativer Zugriff des Anbieters auf PHASI-Seite; keine Zweifaktor-Authentifizierung; Windows-Anmeldepasswort ohne Datenträgerverschlüsselung am Verwaltungscomputer; einmonatige Aufbewahrung eigener technischer Logs; Löschung der R2-Kopien nach einem Monat und Möglichkeit früherer kundenspezifischer Löschung.

Die auftragsbezogenen Anlagen halten Schlüsselabsicherung, Zugriffskontrolle, Wiederherstellungs- und Löschverfahren, Aktualisierungsverfahren, Verarbeitungsorte sowie das Kunden-Backup-Format und den Abruf nach Vertragsende fest. Diese Angaben sind Betreiberangaben und keine unabhängige Sicherheitszertifizierung.

Anlage 3: Unterauftragsverarbeiter

STRATO für Hosting: Hosting der Kundensysteme in der EU nach Angaben des Anbieters. Die für den Auftrag eingesetzte Vertragsgesellschaft, Anschrift und Standortangaben werden in der Kundenanlage festgehalten.

Cloudflare R2: Speicherung täglicher SaaS-Sicherungen für einen Monat, Jurisdiktion European Union (EU). Die Archive werden vor Upload mit age und separatem PHASI-Schlüssel verschlüsselt; Wiederherstellung ist nach Betreiberangabe geprüft. Cloudflare ist hierfür Unterauftragsverarbeiter. Vertragsgesellschaft, Anschrift, Zugriffsorte und erforderliche Übermittlungsgrundlagen werden in der Kundenanlage festgehalten. Die Speicherjurisdiktion ist keine pauschale Zusage ausschließlich europäischer Support- und Metadatenverarbeitung.

Cloudflare wird nach Angaben des Anbieters nicht als Proxy vor den SaaS-Kundenumgebungen eingesetzt. Die Nutzung für öffentliche Website und die zuvor bestätigte E-Mail-Weiterleitung ist von R2 zu unterscheiden. Werden über Supportnachrichten weitere Kundendaten im Auftrag verarbeitet, sind die daran beteiligten Dienste ebenfalls zu erfassen. Lokale SaaS-Sicherungen und deren Synchronisierung in weitere Clouds sind nicht Bestandteil der bestätigten Sicherungskette.