Data processing agreement

Auftragsverarbeitungsvertrag „Server-Assist" (Click-through) — Art. 28 DSGVO

Version 1.0 — Stand: 1. September 2026. Frühere, nicht nummerierte Fassungen sind ausschließlich über die Versionshistorie des Repositoriums rekonstruierbar.

Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO), indem die hochladende Organisation („Verantwortlicher") die Server-Assist-Option aktiviert und den Upload startet. Auftragsverarbeiter: Rostyslav Myronenko, handelnd unter den Namen „Rost CAMP" und „Aufsight" (eenmanszaak), Daguerrestraat 23, 1087 BR Amsterdam, Niederlande (KvK-Nummer 95487530).

1. Gegenstand und Dauer. Serverseitige Analyse der vom Verantwortlichen hochgeladenen Netzwerk-/Proxy-Protokolldateien zur Erstellung eines aggregierten, PII-freien Berichts. Der Vertrag gilt je Upload-Vorgang und endet mit der automatisierten Löschung der Rohdaten (Ziff. 8).

2. Art und Zweck der Verarbeitung. Einlesen (Parsing) der Protokolldateien mit derselben Analyse-Engine wie im clientseitigen Modus; die Ausgabe ist ausschließlich das aggregierte Berichtsobjekt. Eine darüber hinausgehende Nutzung, Auswertung oder Profilbildung findet nicht statt.

3. Kategorien. Personenbezogene Daten, die in den Protokolldateien des Verantwortlichen enthalten sein können (z. B. IP-Adressen, Nutzerkennungen, Hostnamen). Betroffene: Beschäftigte und Nutzer des Verantwortlichen. Der Verantwortliche lädt keine besonderen Kategorien (Art. 9 DSGVO) hoch.

4. Weisungen. Die dokumentierte Weisung besteht im Upload selbst und in der Erstellung des aggregierten Berichts. Weitergehende Verarbeitungen erfolgen nicht. Hinweispflicht bei rechtswidrigen Weisungen (Art. 28 Abs. 3 UAbs. 2 DSGVO).

5. Vertraulichkeit. Zugriffsberechtigte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).

6. Technische und organisatorische Maßnahmen (Art. 32). Verschlüsselte Speicherung (AES-256-GCM), TLS-Transportverschlüsselung, EU-Hosting, Zugriffskontrolle, Protokollierung, automatisierter Löschlauf mit Löschnachweis.

7. Unterauftragsverarbeiter. Allgemeine Genehmigung für: Hetzner Online GmbH (Hosting, DE/FI) und/oder Scaleway SAS (Hosting, FR/NL/PL). Änderungen werden vorab mitgeteilt (Widerspruchsrecht). Der Versand des Berichts per E-Mail (PII-freies Aggregat) erfolgt über Brevo/Sendinblue SAS (EU).

8. Löschung. Die hochgeladenen Rohdaten werden nach Abschluss der Verarbeitung, spätestens jedoch automatisiert 24 Stunden nach dem Upload, gelöscht; die Löschung wird protokolliert. Eine Rückgabe erfolgt nicht; der Verantwortliche behält die Originaldateien.

9. Unterstützung und Meldungen. Aufsight unterstützt den Verantwortlichen in angemessenem Umfang bei Betroffenenrechten und den Pflichten aus Art. 32–36 DSGVO, einschließlich einer etwaigen Datenschutz-Folgenabschätzung des Verantwortlichen (Art. 28 Abs. 3 lit. f). Datenschutzverletzungen werden dem Verantwortlichen unverzüglich nach Kenntniserlangung, spätestens innerhalb von 24 Stunden, gemeldet. Die Meldung kann schrittweise erfolgen; noch nicht verfügbare Angaben (Art. 33 Abs. 3 DSGVO) werden unverzüglich nachgereicht. Die eigene Meldepflicht des Verantwortlichen (Art. 33 Abs. 1 DSGVO) bleibt unberührt. Im Fall einer Verletzung sichert Aufsight die zu diesem Zeitpunkt noch verfügbaren technischen Protokolle (Zugriffs- und Löschprotokolle) für die Untersuchung des Verantwortlichen; die automatisierte Löschung der Rohdaten (Ziff. 8) gilt unverändert.

1. Nachweise und Überprüfungen (Art. 28 Abs. 3 lit. h). Aufsight stellt die zum Nachweis erforderlichen Informationen bereit und ermöglicht Überprüfungen in angemessenem Umfang.

1. Verhältnis. Für den Inhalt der Protokolldateien und die Rechtmäßigkeit ihrer Verarbeitung ist der Verantwortliche verantwortlich; ihm obliegen etwaige Informationspflichten gegenüber Betroffenen sowie die Prüfung, ob eine Datenschutz-Folgenabschätzung erforderlich ist.

1. Sprachfassungen. Dieser Vertrag besteht in niederländischer und deutscher Sprachfassung; bei Abweichungen in Inhalt oder Auslegung ist die niederländische Fassung maßgeblich.