Vereinbarung zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO

Version 2026.1 – Stand: Oktober 2026

zwischen

dem jeweiligen Kunden / Verantwortlichen
– nachfolgend „Auftraggeber“ oder „Verantwortlicher“ –

und

UPGRAIT GmbH
Sunderhues Esch 14
48683 Ahaus
Deutschland

– nachfolgend „UPGRAIT“, „Auftragnehmer“ oder „Auftragsverarbeiter“ –

gemeinsam die „Parteien“.

1. Gegenstand und Geltungsbereich

Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch UPGRAIT im Auftrag des Auftraggebers gemäß Art. 28 DSGVO.
Sie gilt für alle gegenwärtigen und zukünftigen Vertragsleistungen zwischen den Parteien, bei denen UPGRAIT personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Auftraggebers verarbeitet, sofern nicht für eine konkrete Leistung ausdrücklich eine abweichende Vereinbarung zur Auftragsverarbeitung geschlossen wird.
Mögliche Auftragsverarbeitungen ergeben sich insbesondere aus Leistungen in den Bereichen:
- Hosting von Webseiten, Webspace, Mailservern und E-Mail-Postfächern,
- Cloud-Dienste, insbesondere Nextcloud,
- Server-, Client-, Netzwerk- und Systemadministration,
- Fernwartung und technischer Support,
- Support- und Ticketsysteme,
- Wartung und Reparatur von Servern, PCs, Telefonanlagen und sonstigen IT-Systemen,
- Datensicherung, Wiederherstellung, Migration und Datenübertragung,
- Administration technischer Hersteller- und Managementplattformen,
- Wartung elektronischer Schließanlagen, soweit hierbei personenbezogene Berechtigungs-, Nutzer- oder Ereignisdaten verarbeitet werden,
- sonstige technische Dienstleistungen, bei denen UPGRAIT auf personenbezogene Daten zugreift, die der Auftraggeber verantwortet.
Diese AVV gilt nicht für Verarbeitungen, bei denen UPGRAIT selbst Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO ist. Dies betrifft insbesondere die eigene Kunden- und Vertragsverwaltung, Rechnungsstellung, Zahlungsabwicklung, eigene Geschäfts- und Sicherheitsdokumentation sowie sonstige Verarbeitungen zu eigenen Zwecken.
Die Leistungsbeschreibung und der wirtschaftliche Gegenstand des jeweiligen Hauptvertrags werden durch diese AVV nicht erweitert.

2. Verhältnis zum Hauptvertrag und Rangfolge

Diese AVV ergänzt die zwischen den Parteien geschlossenen Hauptverträge, Angebote, Leistungsbeschreibungen und die jeweils wirksam einbezogenen Geschäftsbedingungen.
Soweit diese AVV datenschutzrechtliche Pflichten aus Art. 28 DSGVO regelt, geht sie bei Widersprüchen den allgemeinen vertraglichen Regelungen vor.
Im Übrigen bleiben die Regelungen des Hauptvertrags, insbesondere zu Vergütung, Laufzeit, Haftung, Leistungsumfang und Vertragsbeendigung, unberührt.
Die Anlagen zu dieser AVV sind Bestandteil der Vereinbarung.

3. Dauer

Diese AVV tritt mit ihrer wirksamen Annahme in Kraft.
Sie gilt für die Dauer sämtlicher Auftragsverarbeitungen, die UPGRAIT für den Auftraggeber auf Grundlage der erfassten Hauptverträge durchführt.
Die AVV endet, wenn sämtliche hiervon erfassten Auftragsverarbeitungen beendet und die personenbezogenen Daten nach Maßgabe dieser AVV gelöscht oder zurückgegeben wurden, soweit keine gesetzlich zulässige weitere Speicherung erforderlich ist.

4. Verantwortlichkeit des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung der personenbezogenen Daten, für die Zulässigkeit der Beauftragung von UPGRAIT sowie für die Wahrung der Rechte betroffener Personen verantwortlich.
Der Auftraggeber bestimmt Zweck und zulässigen Umfang der Verarbeitung.
Der Auftraggeber stellt sicher, dass seine Weisungen mit der DSGVO und sonstigem anwendbaren Datenschutzrecht vereinbar sind.
Der Auftraggeber informiert UPGRAIT rechtzeitig über besondere Risiken, gesetzliche Anforderungen oder Schutzbedarfe, die UPGRAIT aus den überlassenen Daten oder dem technischen Auftrag nicht ohne Weiteres erkennen kann.
Soweit besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO oder vergleichbar besonders schutzbedürftige Daten verarbeitet werden sollen, hat der Auftraggeber UPGRAIT hierüber vor Beginn der entsprechenden Verarbeitung zu informieren, sofern sich dies nicht bereits eindeutig aus dem vereinbarten Leistungsgegenstand ergibt.

5. Weisungsgebundene Verarbeitung

UPGRAIT verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit UPGRAIT nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet ist.
Die im Hauptvertrag, in dieser AVV, in Leistungsbeschreibungen sowie in dokumentierten Support-, Service- oder Administrationsaufträgen enthaltenen Vorgaben gelten als Weisungen.
Einzelweisungen können in Textform, insbesondere per E-Mail oder Ticketsystem, erteilt werden. Mündliche Weisungen sind vom Auftraggeber auf Verlangen in Textform zu bestätigen.
Ist UPGRAIT der Auffassung, dass eine Weisung gegen die DSGVO oder sonstige Datenschutzvorschriften verstößt, informiert UPGRAIT den Auftraggeber unverzüglich. UPGRAIT ist berechtigt, die betreffende Weisung bis zu ihrer Bestätigung, Änderung oder Klärung auszusetzen.
Weisungen, die den vertraglich vereinbarten Leistungsumfang wesentlich erweitern oder zusätzlichen Aufwand verursachen, können nach den vereinbarten Verrechnungssätzen gesondert berechnet werden, sofern der zusätzliche Aufwand nicht auf einer von UPGRAIT zu vertretenden Pflichtverletzung beruht.

6. Art und Zweck der Verarbeitung

Art und Zweck der Verarbeitung richten sich nach den vom Auftraggeber gebuchten Leistungen und sind in Anlage 1 näher beschrieben.
UPGRAIT kann personenbezogene Daten insbesondere erheben, erfassen, ordnen, speichern, auslesen, abfragen, verändern, übertragen, bereitstellen, sichern, wiederherstellen, löschen oder vernichten, soweit dies zur Erbringung der beauftragten Leistung erforderlich ist.
Ein Zugriff auf Inhaltsdaten des Auftraggebers erfolgt nur, soweit dies für die Erbringung der Leistung erforderlich, technisch unvermeidbar oder vom Auftraggeber angewiesen ist.
UPGRAIT ist nicht berechtigt, die im Auftrag verarbeiteten personenbezogenen Daten für eigene, mit dem Auftrag unvereinbare Zwecke zu verwenden.

7. Vertraulichkeit

UPGRAIT stellt sicher, dass Personen, die Zugang zu den im Auftrag verarbeiteten personenbezogenen Daten haben, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Zugriff auf personenbezogene Daten erhalten nur Personen, die diesen Zugriff zur Erfüllung ihrer Aufgaben benötigen.
Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

8. Technische und organisatorische Maßnahmen

UPGRAIT trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und Zwecke der Verarbeitung sowie der Risiken für die Rechte und Freiheiten natürlicher Personen angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.
Die zum Zeitpunkt des Vertragsschlusses vorgesehenen Maßnahmen sind in Anlage 2 – Technische und organisatorische Maßnahmen (TOM) beschrieben.
Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. UPGRAIT darf Maßnahmen durch gleichwertige oder bessere Maßnahmen ersetzen oder weiterentwickeln, sofern das vereinbarte Schutzniveau insgesamt nicht unterschritten wird.
Einzelne Maßnahmen können je nach gebuchter Leistung, eingesetztem System und konkretem Schutzbedarf unterschiedlich ausgestaltet sein.
Der Auftraggeber erkennt an, dass nicht jede technische Maßnahme für jeden Dienst identisch oder technisch sinnvoll umsetzbar ist. Maßgeblich ist ein dem konkreten Risiko angemessenes Gesamtschutzniveau.

9. Unterauftragsverarbeiter

Der Auftraggeber erteilt UPGRAIT eine allgemeine Genehmigung, weitere Auftragsverarbeiter im Sinne von Art. 28 Abs. 2 DSGVO einzusetzen.
Die bei Abschluss dieser AVV vorgesehenen Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Es werden nur solche Anbieter als Unterauftragsverarbeiter geführt, die tatsächlich personenbezogene Daten im Auftrag von UPGRAIT für die vom Auftraggeber verantwortete Verarbeitung verarbeiten.
UPGRAIT informiert den Auftraggeber über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters grundsätzlich in Textform oder über einen hierfür vorgesehenen elektronischen Informationsweg.
Der Auftraggeber kann einer Änderung innerhalb von 14 Kalendertagen nach Zugang der Information aus einem nachvollziehbaren datenschutzrechtlichen Grund widersprechen.
Die Parteien werden in diesem Fall versuchen, eine zumutbare Lösung zu finden. Kann die betroffene Leistung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand erbracht werden und lässt sich der Einwand nicht anderweitig ausräumen, ist UPGRAIT berechtigt, den betroffenen Leistungsteil unter Einhaltung der vertraglichen bzw. gesetzlichen Voraussetzungen einzustellen oder zu beenden. Weitergehende Rechte der Parteien bleiben unberührt.
UPGRAIT verpflichtet Unterauftragsverarbeiter im erforderlichen Umfang vertraglich auf Datenschutzpflichten, die den in dieser AVV festgelegten Pflichten im Wesentlichen entsprechen.
UPGRAIT bleibt gegenüber dem Auftraggeber für die Erfüllung der datenschutzrechtlichen Pflichten des eingesetzten Unterauftragsverarbeiters nach Maßgabe der gesetzlichen Vorschriften verantwortlich.
Unternehmen, die personenbezogene Daten nicht als Unterauftragsverarbeiter von UPGRAIT, sondern in eigener Verantwortlichkeit oder unmittelbar im Auftrag des Auftraggebers verarbeiten, sind keine Unterauftragsverarbeiter im Sinne dieser Ziffer.

10. Verarbeitung außerhalb EU/EWR

UPGRAIT betreibt die eigenen für Hosting, Cloud und Datensicherung vorgesehenen Systeme derzeit auf eigener oder von UPGRAIT administrierter Infrastruktur innerhalb der Europäischen Union, insbesondere in Deutschland und Spanien.
Ein eigener Standort von UPGRAIT in Spanien stellt keinen Unterauftragsverarbeiter dar.
Soweit UPGRAIT oder ein genehmigter Unterauftragsverarbeiter personenbezogene Daten in einem Staat außerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums verarbeitet oder von dort aus darauf zugreift, erfolgt dies nur unter Einhaltung der Art. 44 ff. DSGVO.
Als geeignete Grundlage kommen insbesondere ein Angemessenheitsbeschluss der Europäischen Kommission, eine wirksame Teilnahme am EU-U.S. Data Privacy Framework, Standardvertragsklauseln der Europäischen Kommission oder eine sonstige gesetzlich zulässige Übermittlungsgrundlage in Betracht.
Die allgemeine Genehmigung nach Ziffer 9 umfasst auch den Einsatz von Unterauftragsverarbeitern mit zulässigem Drittlandbezug, sofern die Anforderungen dieser Ziffer erfüllt sind.

11. Unterstützung bei Betroffenenrechten

Der Auftraggeber ist für die Bearbeitung von Anträgen betroffener Personen verantwortlich.
Richtet eine betroffene Person ein Ersuchen unmittelbar an UPGRAIT, das erkennbar eine vom Auftraggeber verantwortete Verarbeitung betrifft, leitet UPGRAIT das Ersuchen grundsätzlich an den Auftraggeber weiter und nimmt ohne dessen Weisung keine inhaltliche Entscheidung über das Betroffenenrecht vor.
UPGRAIT unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der UPGRAIT zur Verfügung stehenden Informationen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflichten aus Art. 12 bis 22 DSGVO, soweit dies erforderlich ist.
Unterstützung, die über die in der jeweiligen Standardleistung enthaltenen Funktionen und Tätigkeiten hinausgeht, kann nach Aufwand vergütet werden, sofern sie nicht aufgrund einer von UPGRAIT zu vertretenden Pflichtverletzung erforderlich geworden ist.

12. Datenschutzverletzungen

UPGRAIT informiert den Auftraggeber unverzüglich, nachdem UPGRAIT eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, soweit die Verletzung die im Auftrag verarbeiteten Daten des Auftraggebers betrifft.
Die Mitteilung enthält, soweit die Informationen UPGRAIT zu diesem Zeitpunkt vorliegen, die Angaben, die der Auftraggeber für die Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO benötigt.
Können Informationen nicht gleichzeitig bereitgestellt werden, dürfen sie ohne unangemessene weitere Verzögerung schrittweise ergänzt werden.
UPGRAIT trifft angemessene Maßnahmen zur Begrenzung und Behebung der Verletzung innerhalb des eigenen Verantwortungsbereichs.
Die Entscheidung darüber, ob und in welcher Form eine Meldung an eine Aufsichtsbehörde oder eine Benachrichtigung betroffener Personen erforderlich ist, obliegt dem Auftraggeber, soweit gesetzlich nichts anderes bestimmt ist.

13. Unterstützung nach Art. 32 bis 36 DSGVO

UPGRAIT unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der UPGRAIT zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.
Dies umfasst im erforderlichen Umfang insbesondere Unterstützung bei:
- der Sicherheit der Verarbeitung,
- der Bewertung und Dokumentation von Datenschutzverletzungen,
- Datenschutz-Folgenabschätzungen,
- vorherigen Konsultationen mit Aufsichtsbehörden.
Soweit die Unterstützung nicht bereits Bestandteil der vertraglich geschuldeten Leistung ist, kann UPGRAIT den hierfür erforderlichen Aufwand nach den vereinbarten Verrechnungssätzen berechnen.
Eine gesonderte Vergütung wird nicht verlangt, soweit die Unterstützung aufgrund eines von UPGRAIT zu vertretenden Verstoßes gegen diese AVV oder gesetzliche Pflichten erforderlich wird.

14. Zusammenarbeit mit Aufsichtsbehörden

UPGRAIT arbeitet im gesetzlich erforderlichen Umfang mit den zuständigen Datenschutzaufsichtsbehörden zusammen.
Die Parteien informieren sich gegenseitig über behördliche Anfragen oder Maßnahmen, soweit diese die von dieser AVV erfasste Auftragsverarbeitung betreffen und eine Information rechtlich zulässig ist.

15. Nachweise und Kontrollrechte

UPGRAIT stellt dem Auftraggeber die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.
Der Nachweis soll vorrangig durch geeignete Dokumente erfolgen, insbesondere:
- diese AVV und ihre Anlagen,
- aktuelle TOM-Dokumentationen,
- Eigenauskünfte,
- vorhandene Prüf-, Audit- oder Zertifizierungsnachweise,
- sonstige geeignete Sicherheits- oder Compliance-Dokumentationen.
Reichen die bereitgestellten Informationen zur Erfüllung der gesetzlichen Kontrollpflichten des Auftraggebers nicht aus, kann der Auftraggeber eine weitergehende Prüfung verlangen.
Vor-Ort-Prüfungen sind nur durchzuführen, soweit sie zur Erfüllung der gesetzlichen Kontrollpflichten erforderlich und nicht durch weniger eingriffsintensive Nachweise angemessen ersetzbar sind.
Vor-Ort-Prüfungen sind grundsätzlich:
- mit angemessener Vorankündigung abzustimmen,
- während der üblichen Geschäftszeiten durchzuführen,
- auf den von dieser AVV erfassten Bereich zu beschränken,
- so durchzuführen, dass der Geschäftsbetrieb von UPGRAIT und die Sicherheit oder Vertraulichkeit anderer Kunden nicht unangemessen beeinträchtigt werden.
Prüfer dürfen keine unmittelbaren Wettbewerber von UPGRAIT sein und müssen angemessen zur Vertraulichkeit verpflichtet sein.
Zugang zu Systemen, Räumen, Unterlagen oder Informationen anderer Kunden wird nicht gewährt.
Der Auftraggeber trägt die angemessenen eigenen und bei UPGRAIT entstehenden Kosten einer von ihm veranlassten zusätzlichen Prüfung, soweit die Prüfung nicht einen wesentlichen, von UPGRAIT zu vertretenden Verstoß gegen diese AVV oder Art. 28 DSGVO bestätigt.
Gesetzliche Prüfungs- und Kontrollrechte von Aufsichtsbehörden bleiben unberührt.

16. Rückgabe und Löschung

Nach Beendigung der jeweiligen Auftragsverarbeitung löscht oder gibt UPGRAIT die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers zurück, soweit der Hauptvertrag, die technische Beschaffenheit der Leistung oder eine dokumentierte Weisung keine zulässige Konkretisierung vorsieht.
Ein Anspruch auf eine bestimmte Form der Datenherausgabe besteht nur, soweit diese vertraglich vereinbart, technisch vorhanden oder gesetzlich erforderlich ist.
Produktivdaten können nach Vertragsende entsprechend den vertraglich vorgesehenen Löschprozessen entfernt werden.
Daten in Sicherungskopien können bis zum Ablauf der regulären Sicherungs-, Überschreibungs- oder Löschzyklen fortbestehen. Sie werden währenddessen grundsätzlich nicht mehr produktiv verarbeitet, außer wenn
- eine Wiederherstellung technisch erforderlich ist,
- eine gesetzliche Pflicht besteht oder
- der Auftraggeber eine zulässige Wiederherstellung beauftragt.
Nach einer Wiederherstellung aus einem älteren Backup werden Daten, deren Löschung bereits erforderlich war, im Rahmen der technisch vorgesehenen Prozesse erneut gelöscht, soweit dies erforderlich ist.
Gesetzliche Aufbewahrungspflichten oder sonstige gesetzlich zulässige Zurückbehaltungsrechte bleiben unberührt. Daten, die aus solchen Gründen weiter gespeichert werden müssen, werden für andere Zwecke gesperrt bzw. nicht weiter verarbeitet, soweit keine gesetzliche Grundlage besteht.
Eine gesonderte Löschbestätigung oder zusätzliche Dokumentation kann auf Anforderung bereitgestellt werden. Soweit hierfür erheblicher zusätzlicher Aufwand entsteht, kann dieser nach Aufwand berechnet werden, sofern die Bestätigung nicht gesetzlich ohne zusätzliche Vergütung geschuldet ist.

17. Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie die gesetzlichen Bestimmungen.
Im Innenverhältnis der Parteien gelten ergänzend die Haftungsregelungen des jeweiligen Hauptvertrags bzw. der wirksam einbezogenen Geschäftsbedingungen, soweit eine solche vertragliche Begrenzung gesetzlich zulässig ist.
Diese AVV begründet keine über zwingende gesetzliche Verpflichtungen hinausgehende freiwillige Haftung von UPGRAIT.

18. Datenschutzbeauftragter

UPGRAIT benennt einen Datenschutzbeauftragten, sofern eine gesetzliche Verpflichtung hierzu besteht oder UPGRAIT freiwillig einen Datenschutzbeauftragten bestellt.
Sofern ein Datenschutzbeauftragter benannt ist, werden dessen Kontaktdaten in geeigneter Weise veröffentlicht bzw. dem Auftraggeber mitgeteilt.
Ist kein Datenschutzbeauftragter benannt, können Datenschutzanfragen an UPGRAIT über die allgemeinen veröffentlichten Datenschutzkontaktdaten gerichtet werden.

19. Vergütung zusätzlichen Aufwands

Gesetzlich erforderliche Standardmitwirkung von UPGRAIT ist mit der Vergütung des Hauptvertrags abgegolten, soweit sie nach Art und Umfang üblicher Bestandteil der beauftragten Leistung ist.
Zusätzlicher, individuell durch den Auftraggeber veranlasster Aufwand kann nach den vereinbarten Verrechnungssätzen berechnet werden. Dies betrifft insbesondere:
- umfangreiche individuelle Auskünfte oder Dokumentationen,
- zusätzliche Audits,
- kundenspezifische Sicherheits- oder Compliance-Anforderungen,
- individuelle Datenexporte außerhalb vereinbarter Standardfunktionen,
- Unterstützung bei Datenschutz-Folgenabschätzungen,
- umfangreiche Unterstützung bei Betroffenenanfragen,
- Tätigkeiten aufgrund rechtswidriger oder fehlerhafter Weisungen des Auftraggebers.
Absatz 2 gilt nicht, soweit der Aufwand aufgrund einer von UPGRAIT zu vertretenden Verletzung dieser AVV oder zwingender gesetzlicher Pflichten entstanden ist.

20. Änderungen dieser AVV

Änderungen und Ergänzungen dieser AVV können in Schrift- oder elektronischer Form vereinbart werden.
UPGRAIT darf Anlagen, insbesondere die TOM und die Liste der Unterauftragsverarbeiter, aktualisieren, soweit dies aufgrund technischer, organisatorischer oder rechtlicher Änderungen erforderlich ist und das gesetzlich erforderliche Schutzniveau nicht unterschritten wird.
Änderungen bei Unterauftragsverarbeitern richten sich nach Ziffer 9.
Wesentliche Änderungen der vertraglichen Rechte und Pflichten, die nicht lediglich technische oder organisatorische Aktualisierungen darstellen, bedürfen einer entsprechenden vertraglichen Grundlage.

21. Elektronischer Abschluss und Nachweis

Diese AVV kann elektronisch abgeschlossen werden.
Für den Nachweis des elektronischen Abschlusses kann UPGRAIT insbesondere folgende Informationen speichern:
- Firma bzw. Name des Auftraggebers,
- Kundennummer, soweit vorhanden,
- Name und geschäftliche Kontaktdaten der bestätigenden Person,
- Bestätigung ihrer Vertretungs- bzw. Abschlussberechtigung,
- Datum und Uhrzeit der Bestätigung,
- Versionsnummer der angenommenen AVV,
- technische Transaktions- bzw. Nachweisdaten, soweit dies für den Abschlussnachweis erforderlich ist.
Eine qualifizierte elektronische Signatur ist nicht erforderlich, soweit gesetzlich keine strengere Form vorgeschrieben ist.
Der Auftraggeber erhält die Möglichkeit, die angenommene AVV einschließlich ihrer zum Zeitpunkt des Abschlusses geltenden Anlagen zu speichern oder dauerhaft abzurufen.

22. Schlussbestimmungen

Sollte eine Bestimmung dieser AVV unwirksam oder undurchführbar sein oder werden, bleiben die übrigen Bestimmungen unberührt. An die Stelle der unwirksamen oder undurchführbaren Regelung treten die gesetzlichen Vorschriften.
Es gilt das im Hauptvertrag vereinbarte Recht.
Ein im Hauptvertrag wirksam vereinbarter Gerichtsstand gilt auch für Streitigkeiten aus dieser AVV, soweit gesetzlich zulässig.

Anlage 1 – Beschreibung der Auftragsverarbeitung

1. Gegenstand und Zwecke

Die konkrete Auftragsverarbeitung richtet sich nach den vom Auftraggeber beauftragten Leistungen. Sie kann insbesondere folgende Zwecke umfassen:

Leistungsbereich	Mögliche Verarbeitung
Hosting / Webspace	Speicherung, Bereitstellung, Übertragung, Sicherung und technische Administration von Webseiten- und Anwendungsdaten
Mailserver / E-Mail	Speicherung, Übertragung, Zustellung, Sicherung und technische Administration von E-Mail-Daten
Nextcloud / Cloud	Speicherung, Synchronisation, Bereitstellung, Sicherung und technische Administration von Dateien, Kalendern, Kontakten und sonstigen Kundendaten
IT-Support / Tickets	Entgegennahme, Dokumentation, Analyse und Bearbeitung technischer Supportvorgänge
Fernwartung	Temporärer oder vereinbarter dauerhafter administrativer Zugriff auf Kundensysteme
Server / PCs / Netzwerke	Administration, Wartung, Fehleranalyse, Reparatur, Konfiguration, Migration und Wiederherstellung
Telefonanlagen	Administration, Konfiguration, Wartung und Fehleranalyse technischer Kommunikationssysteme
Backup / Restore	Sicherung, Aufbewahrung, Wiederherstellung und technische Prüfung von Daten
Migration	Auslesen, Übertragen, Transformieren, Importieren und Prüfen von Datenbeständen
Schließanlagen	Administration und Wartung personenbezogener Schließberechtigungen und ggf. Ereignisdaten, soweit vom Kunden beauftragt
Hersteller-/Managementportale	Administration technischer Kundensysteme über vom Kunden freigegebene Plattformen

2. Art der Verarbeitung

Je nach Leistung insbesondere:

Erheben bzw. Entgegennehmen,
Erfassen,
Ordnen,
Speichern,
Auslesen,
Abfragen,
Übertragen,
Bereitstellen,
Sichern,
Wiederherstellen,
Ändern bzw. Konfigurieren,
Einschränken,
Löschen und Vernichten.

3. Kategorien personenbezogener Daten

Abhängig vom jeweiligen Auftrag können insbesondere folgende Daten verarbeitet werden:

Stamm- und Kontaktdaten,
Beschäftigten- und Ansprechpartnerdaten,
Kunden- und Lieferantendaten des Auftraggebers,
Benutzer- und Kontodaten,
Kommunikationsdaten,
E-Mail-Inhalte und Metadaten,
Dateien, Dokumente und sonstige Inhaltsdaten,
Kalender- und Kontaktdaten,
Vertrags-, Vorgangs- und Auftragsdaten,
technische Geräte- und Systemdaten,
IP-Adressen und Netzwerkdaten,
Protokoll-, Ereignis- und Diagnosedaten,
Benutzer-, Rollen- und Berechtigungsdaten,
Zugangsdaten, soweit technisch erforderlich,
Backup- und Archivdaten,
Schließ-, Transponder-, Berechtigungs- und ggf. Zutrittsdaten,
Bild-, Audio- oder sonstige Mediendaten, sofern sie Bestandteil der Kundensysteme sind.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten nach Art. 10 DSGVO können technisch Bestandteil von Kundendaten sein, sofern der Auftraggeber solche Daten in den beauftragten Systemen verarbeitet. Der Auftraggeber ist für die Rechtmäßigkeit dieser Verarbeitung und die erforderliche Information von UPGRAIT über besondere Schutzbedarfe verantwortlich.

4. Kategorien betroffener Personen

Je nach Auftrag insbesondere:

Beschäftigte des Auftraggebers,
Bewerber,
Kunden und Interessenten des Auftraggebers,
Lieferanten und Dienstleister,
Ansprechpartner von Geschäftspartnern,
Nutzer der vom Auftraggeber betriebenen Systeme,
Besucher bzw. Nutzer von Webseiten und Onlineangeboten,
Kommunikationspartner,
Mieter, Bewohner, Besucher oder sonstige berechtigte Personen bei Schließanlagen,
sonstige Personen, deren Daten der Auftraggeber rechtmäßig verarbeitet.

5. Dauer

Die Verarbeitung erfolgt für die Dauer der jeweils beauftragten Leistung sowie bis zur vertrags- und datenschutzgerechten Rückgabe bzw. Löschung nach Maßgabe dieser AVV.

Anlage 2 – Technische und organisatorische Maßnahmen (TOM)

Die nachfolgenden Maßnahmen beschreiben das allgemeine Sicherheitskonzept von UPGRAIT. Die konkrete technische Ausgestaltung kann abhängig von Dienst, System, Kundenauftrag und Schutzbedarf variieren.

1. Organisation und Vertraulichkeit

Zugriff auf Kundendaten nur für hierzu berechtigte und für die Aufgabenerfüllung erforderliche Personen.
Verpflichtung aller Personen mit Zugriff auf Kundendaten auf Vertraulichkeit.
Rollen- und aufgabenbezogene Vergabe administrativer Berechtigungen.
Eigener, zentral genutzter Passwortmanager zur sicheren Verwaltung technischer Zugangsdaten.
Trennung von Kundenumgebungen, soweit dies technisch durch die jeweilige Plattform vorgesehen ist.
Dokumentierte bzw. nachvollziehbare Bearbeitung von Support- und Administrationsvorgängen, soweit das jeweilige System dies unterstützt.

2. Zugang zu Räumen und Infrastruktur

Geschäftsräume und technische Infrastruktur sind gegen unbefugten Zutritt geschützt.
Server- und Technikbereiche sind nur für berechtigte Personen zugänglich.
Eigene Backup-Infrastruktur wird unter anderem an UPGRAIT-Standorten in Deutschland und in einer eigenen Immobilie in Spanien betrieben.
Physische Schutzmaßnahmen richten sich nach Standort, System und Schutzbedarf.

3. Authentisierung und Zugriffsschutz

Je nach System kommen insbesondere zum Einsatz:

individuelle Benutzerkonten,
Passwortauthentisierung,
SSH-Schlüssel,
Mehrfaktor-Authentisierung bei passwortbasierten bzw. cloudbasierten Administrationszugängen, soweit vom jeweiligen System unterstützt,
MFA bei externen Cloud- und Herstellerportalen überall dort, wo dies technisch angeboten und sinnvoll einsetzbar ist,
beschränkte administrative Berechtigungen,
regelmäßige Anpassung bzw. Entziehung nicht mehr erforderlicher Zugriffsrechte.

Da unterschiedliche technische Plattformen eingesetzt werden, ist die Authentisierung nicht auf allen Systemen identisch.

4. Verschlüsselung der Übertragung

UPGRAIT setzt für die Übertragung von Daten entsprechend dem jeweiligen Dienst insbesondere ein:

HTTPS/TLS für Webdienste,
TLS für E-Mail-Übertragung, soweit die Gegenstelle dies unterstützt,
SSH für administrative Zugriffe,
VPN für geschützte Fernzugriffe und Standortverbindungen,
verschlüsselte Protokolle und Verwaltungszugänge, soweit technisch verfügbar.

Unverschlüsselte Übertragungswege werden für personenbezogene Daten vermieden, soweit ein geeigneter verschlüsselter Übertragungsweg technisch verfügbar und für die jeweilige Verarbeitung vorgesehen ist.

5. Verschlüsselung gespeicherter Daten und Backups

Verschlüsselung ruhender Daten wird abhängig von Produkt, System, Datenträger und technischem Einsatzbereich eingesetzt.
Backupverschlüsselung ist nicht für jedes eingesetzte System identisch und richtet sich nach der technischen Ausgestaltung des jeweiligen Dienstes.
Zugang zu unverschlüsselten Sicherungen ist organisatorisch und technisch auf berechtigte Personen beschränkt.
Zugangsdaten und Schlüssel werden getrennt bzw. geschützt verwaltet, soweit dies technisch vorgesehen ist.

6. Datensicherung und Wiederherstellung

Sicherungsintervalle richten sich nach dem jeweiligen Produkt bzw. der vereinbarten Leistung.
Bei einzelnen Diensten erfolgen Sicherungen mehrmals täglich; bei anderen Diensten gelten abweichende Sicherungsintervalle.
Sicherungen werden auf eigener UPGRAIT-Infrastruktur verteilt gespeichert, insbesondere an Standorten in Deutschland und Spanien.
Wiederherstellungsprüfungen erfolgen stichprobenartig bzw. anlassbezogen.
Backup- und Restoreprozesse werden abhängig vom jeweiligen Dienst technisch überwacht bzw. kontrolliert.
Die konkrete Aufbewahrungsdauer und Anzahl von Sicherungsständen richtet sich nach der Leistungsbeschreibung.

7. Protokollierung und Nachvollziehbarkeit

Administrative und technische Ereignisse werden abhängig vom jeweiligen System protokolliert.
Eine zentrale Vollprotokollierung sämtlicher Administrationshandlungen über alle Systeme hinweg besteht nicht.
System- und Sicherheitslogs werden zur Fehleranalyse, Sicherheitsüberwachung und Missbrauchserkennung eingesetzt.
Zugriffe und Änderungen sind dort nachvollziehbar, wo die eingesetzten Systeme entsprechende Protokollfunktionen bereitstellen.

8. Netz- und Systemsicherheit

Je nach System und Dienst insbesondere:

Firewalls und Netzwerksegmentierung,
restriktive Freigabe erforderlicher Dienste,
VPN für administrative oder standortübergreifende Zugriffe,
regelmäßige Installation sicherheitsrelevanter Updates im Rahmen eines risikobasierten Wartungsprozesses,
Schutz vor unberechtigten administrativen Zugriffen,
Überwachung sicherheitsrelevanter Systemereignisse,
angemessene Maßnahmen zur Erkennung und Begrenzung technischer Störungen und Angriffe.

9. Verfügbarkeit und Belastbarkeit

Je nach Dienst und vereinbartem Leistungsumfang insbesondere:

Datensicherungen,
räumlich verteilte Sicherungskopien,
Ersatz- und Wiederherstellungsverfahren,
Monitoring bzw. technische Zustandsüberwachung, soweit für den Dienst vorgesehen,
dokumentierte Wiederanlauf- und Wiederherstellungsprozesse im erforderlichen Umfang.

10. Trennung und Zweckbindung

Kundendaten werden logisch bzw. systemseitig getrennt verarbeitet, soweit die eingesetzte Plattform dies vorsieht.
Zugriff erfolgt ausschließlich für den beauftragten Zweck.
Produktiv-, Verwaltungs- und Sicherungsdaten werden entsprechend der technischen Architektur getrennt behandelt.
Kundendaten werden nicht zu eigenen, mit dem Auftrag unvereinbaren Zwecken verwendet.

11. Löschung und Datenträger

Löschung von Produktivdaten nach Vertragsende bzw. dokumentierter Weisung nach Maßgabe der AVV.
Sicherungskopien unterliegen regulären Überschreibungs- und Löschzyklen.
Nicht mehr benötigte Datenträger werden sicher gelöscht oder datenschutzgerecht entsorgt, soweit eine Wiederverwendung oder Rückgabe nicht vorgesehen ist.
Zugangsdaten werden entfernt bzw. deaktiviert, wenn sie für die beauftragte Leistung nicht mehr benötigt werden.

12. Sicherheitsvorfälle

Verfahren zur internen Erkennung, Bewertung und Bearbeitung sicherheitsrelevanter Vorfälle.
unverzügliche Information des Auftraggebers bei bekannt gewordenen Datenschutzverletzungen, soweit dessen Auftragsdaten betroffen sind,
Sicherung relevanter technischer Informationen,
technische und organisatorische Maßnahmen zur Begrenzung und Behebung eines Vorfalls.

13. Regelmäßige Überprüfung

Sicherheitsmaßnahmen und Berechtigungen werden an technische und organisatorische Änderungen angepasst.
TOM werden bei wesentlichen technischen Änderungen überprüft und fortentwickelt.
Wiederherstellungsfähigkeit wird stichprobenartig bzw. im Rahmen tatsächlicher Restorevorgänge überprüft.
Externe Plattformen werden nach Möglichkeit mit MFA abgesichert.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Die folgende Liste erfasst Anbieter nur insoweit, wie diese im konkreten Leistungsfall personenbezogene Daten als weiterer Auftragsverarbeiter für UPGRAIT verarbeiten. Nicht jeder aufgeführte Dienst wird bei jedem Auftrag eingesetzt.

Anbieter	Zweck / mögliche Leistung	Ort / Drittlandbezug	Einsatz
TeamViewer Germany GmbH, Bahnhofsplatz 2, 73033 Göppingen, Deutschland	Fernwartung und Remote-Support	Deutschland; weitere Verarbeitung nach den jeweils geltenden TeamViewer-Unterlagen möglich	nur wenn TeamViewer für den Auftrag eingesetzt wird
Ubiquiti Inc. und verbundene Unternehmen	UniFi-/Ubiquiti-Cloudmanagement, Fernadministration, technische Geräte- und Verbindungsdaten	möglicher USA-/Drittlandbezug; nur unter Einhaltung von Art. 44 ff. DSGVO	nur bei Nutzung von Ubiquiti-Cloudfunktionen
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Infrastruktur-/Hostingdienste, soweit im konkreten Produkt als Auftragsverarbeiter eingesetzt	Deutschland / EU	nur soweit tatsächlich als Infrastruktur-Auftragsverarbeiter eingesetzt

Hinweise zur Einordnung weiterer Anbieter

Die folgenden Anbieter bzw. Dienste sind nicht automatisch Unterauftragsverarbeiter dieser AVV:

FRITZ! GmbH / MyFRITZ!: Wird MyFRITZ! lediglich im Kundensystem bzw. auf Grundlage eines Kundenkontos eingesetzt, kann FRITZ! unmittelbar im Verhältnis zum Kunden oder in eigener Verantwortlichkeit tätig sein. Nur soweit UPGRAIT den Dienst selbst als Auftragsverarbeiter in die eigene Leistungskette einbindet, wird der Anbieter als Unterauftragsverarbeiter behandelt.
Microsoft: Microsoft 365 / Teams wird derzeit für die eigene Unternehmenskommunikation von UPGRAIT eingesetzt. Diese Verarbeitung erfolgt grundsätzlich im Verantwortungsbereich von UPGRAIT und gehört nicht allein deshalb zur Unterauftragskette eines Kunden. Wird ein Microsoft-Dienst in einer konkreten Auftragsverarbeitung eingesetzt, erfolgt die Einordnung gesondert.
TD SYNNEX Germany GmbH & Co. OHG: Die Verarbeitung im Rahmen der Beschaffung und Verwaltung von Microsoft-Lizenzen erfolgt regelmäßig als Distributor bzw. eigenständiger Empfänger und nicht als Unterauftragsverarbeiter der von dieser AVV erfassten technischen Auftragsverarbeitung.
Eigener Backupstandort Spanien: Der Standort wird von UPGRAIT selbst betrieben und ist daher kein Unterauftragsverarbeiter. Spanien ist Mitgliedstaat der Europäischen Union.

UPGRAIT kann die aktuelle Liste der tatsächlich eingesetzten Unterauftragsverarbeiter zusätzlich elektronisch veröffentlichen und Änderungen nach Ziffer 9 der AVV mitteilen.

AVV elektronisch abschließen

Sie können die vorstehende Vereinbarung einschließlich ihrer Anlagen direkt auf dieser Seite elektronisch mit der UPGRAIT GmbH abschließen.

Nach Eingabe Ihrer Unternehmensdaten senden wir zunächst eine Bestätigungsnachricht an die angegebene geschäftliche E-Mail-Adresse. Erst nach dem Aufruf des einmaligen Bestätigungslinks wird die AVV verbindlich abgeschlossen. Anschließend erhalten Sie die abgeschlossene Vereinbarung als PDF per E-Mail.

Die elektronische Bestätigung wird mit Vertragsversion, Zeitpunkt und einer eindeutigen Transaktions-ID dokumentiert.

AVV-Version 2026.1