Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO – octoja GmbH

octoja GmbH — Stand: August 2026

Präambel

octoja GmbH (nachfolgend „Auftragnehmer") verarbeitet im Rahmen der Bereitstellung der octoja RMM-Plattform personenbezogene Daten im Auftrag des jeweiligen Vertragspartners (nachfolgend „Auftraggeber"). Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") regelt die Rechte und Pflichten beider Parteien im Hinblick auf diese Verarbeitung gemäß Art. 28 DSGVO und ergänzt die zwischen den Parteien bestehenden Hauptvertragsunterlagen (AGB bzw. Nutzungsbedingungen).

§ 1 Gegenstand und Dauer der Verarbeitung

  1. Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers ausschließlich zur Bereitstellung, zum Betrieb und zur Wartung der octoja RMM-Plattform sowie der damit verbundenen Supportleistungen.
  2. Die Verarbeitung erfolgt für die Dauer des bestehenden Hauptvertragsverhältnisses. Nach Beendigung des Hauptvertrags gelten die Regelungen zur Rückgabe und Löschung gemäß § 9 dieses AVV.

§ 2 Art und Zweck der Verarbeitung

Zweck der Verarbeitung: Betrieb einer Remote Monitoring & Management (RMM) SaaS-Plattform zur Verwaltung, Überwachung und Automatisierung von IT-Systemen durch den Auftraggeber (MSP/Reseller) für dessen Endkunden.

Art der Verarbeitung: Erhebung, Speicherung, Übermittlung, Veränderung, Abfrage, Verwendung, Löschung im Rahmen des Plattformbetriebs.

Kategorien betroffener Personen:

  • Mitarbeiter und Nutzeraccounts des Auftraggebers (MSP/Reseller)
  • Mitarbeiter und IT-Nutzer der Endkunden des Auftraggebers
  • Technische Kontaktpersonen bei Endkunden

Kategorien personenbezogener Daten:

  • Accountdaten: Name, E-Mail-Adresse, Benutzername, Rolle, Passwort-Hash
  • Systemdaten der verwalteten Endgeräte: Gerätename, IP-Adresse, MAC-Adresse, Hostname, Betriebssystemdaten, installierte Software, Hardwareinformationen
  • Verbindungs- und Zugriffsdaten: Login-Zeitstempel, IP-Adressen, Session-Daten
  • Support- und Kommunikationsdaten: Ticketinhalte, E-Mail-Kommunikation im Supportkontext
  • Protokolldaten (Logs): Aktivitätslogs, Skriptausführungen, Patch-Protokolle

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO): Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht vorgesehen und vom Auftraggeber zu unterlassen, es sei denn, dies wurde gesondert schriftlich vereinbart.

§ 3 Pflichten des Auftragnehmers

  1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers – einschließlich in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland –, sofern er nicht durch das Recht der EU oder eines EU-Mitgliedstaates zur Verarbeitung verpflichtet ist.
  2. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Der Auftragnehmer ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.
  3. Der Auftragnehmer stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und, soweit einschlägig, nach § 203 StGB verpflichtet sind (siehe § 11).
  4. Der Auftragnehmer ergreift alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen. Die konkreten technischen und organisatorischen Maßnahmen sind in der Anlage 1 (TOM) zu diesem AVV dokumentiert.
  5. Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit durch geeignete technische und organisatorische Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anfragen betroffener Personen gemäß Kapitel III DSGVO nachzukommen.
  6. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Datensicherheit, Meldepflichten, Datenschutz-Folgenabschätzung).
  7. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Audits, einschließlich Inspektionen, die vom Auftraggeber oder einem vom Auftraggeber beauftragten Prüfer durchgeführt werden. Audits sind mindestens 4 Wochen im Voraus anzukündigen, auf die Geschäftszeiten von octoja zu beschränken und dürfen den Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigen. Die Kosten des Audits trägt der Auftraggeber. Die Kostentragung durch den Auftraggeber gilt nicht für anlassbezogene Audits infolge einer vom Auftragnehmer zu vertretenden Verletzung des Schutzes personenbezogener Daten.

§ 4 Pflichten des Auftraggebers

  1. Der Auftraggeber ist Verantwortlicher im Sinne der DSGVO – oder, soweit er die Daten seinerseits im Auftrag seiner Endkunden verarbeitet, deren Auftragsverarbeiter – für alle personenbezogenen Daten, die er über die Plattform verarbeitet oder verarbeiten lässt. Er stellt sicher, dass eine ausreichende Rechtsgrundlage für jede Verarbeitung vorliegt, einschließlich der ggf. erforderlichen Vereinbarungen zur Auftragsverarbeitung mit seinen Endkunden; der Auftragnehmer wird insoweit als weiterer Auftragsverarbeiter (Unterauftragsverarbeiter) tätig.
  2. Der Auftraggeber erteilt Weisungen zur Verarbeitung ausschließlich schriftlich oder über die dafür vorgesehenen Funktionen der Plattform. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
  3. Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er bei einer Prüfung der Weisungen oder der Verarbeitung Fehler oder Unregelmäßigkeiten feststellt.
  4. Der Auftraggeber stellt sicher, dass er seinen Endkunden und deren Mitarbeitern gegenüber die datenschutzrechtlich erforderlichen Informationspflichten erfüllt.

§ 5 Subauftragsverarbeiter (Unterauftragnehmer)

  1. Der Auftraggeber erteilt dem Auftragnehmer hiermit eine allgemeine Genehmigung zur Beauftragung von Subauftragsverarbeitern. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Subauftragsverarbeiters in Textform (E-Mail oder Mitteilung über die Plattform). Der Auftraggeber kann der Änderung innerhalb von zwei Wochen nach Zugang aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt im Falle eines Widerspruchs keine einvernehmliche Lösung zustande, ist der Auftraggeber berechtigt, den Hauptvertrag außerordentlich zum Zeitpunkt des Wirksamwerdens der Änderung zu kündigen.
  2. Aktuelle Subauftragsverarbeiter:
    SubauftragsverarbeiterSitzVerarbeitungszweck
    Hetzner Online GmbHDeutschland (Nürnberg/Falkenstein)Hosting, Rechenzentrumsbetrieb, Datenspeicherung
    Hetzner Online GmbH (Object Storage)DeutschlandSpeicherung verschlüsselter Datenbank-Backups
    Supabase Pte. Ltd.Singapur; Datenverarbeitung ausschließlich in der EU (Region Frankfurt am Main); Absicherung über EU-StandardvertragsklauselnDatenbank für Kundenverwaltung
    CORDNET OÜ (d/b/a Featurebase)Estland (Viimsi, Harju maakond, EU)Ticketsystem, Kundensupport
    Microsoft Ireland Operations Ltd.Irland (EU)E-Mail-Kommunikation im Rahmen des Supports (kann personenbezogene Daten aus Support-Anfragen enthalten)
    BunnyWay d.o.o. (Bunny CDN)Slowenien (EU)Content Delivery Network, Auslieferung statischer Plattforminhalte
    Sendinblue GmbH (Brevo)Deutschland (Berlin)E-Mail-Benachrichtigungen, Transaktions-E-Mails
    seven communications GmbH & Co. KGDeutschlandAlarmierung per Telefonanruf, SMS und WhatsApp. Hinweis: Bei Alarmierung über WhatsApp werden Telefonnummern an WhatsApp Ireland Ltd. / Meta übermittelt; die Nutzung des WhatsApp-Kanals ist optional und wird vom Auftraggeber aktiviert.
  3. Keine Subauftragsverarbeiter im Sinne dieses AVV sind Drittanbieterdienste, die der Auftraggeber eigenverantwortlich über die Plattform aktiviert und konfiguriert (z. B. ThreatDown, Lywand, Acronis; aktuelle Übersicht unter https://octoja.de/de/features/integrations). Insoweit fungiert der Auftragnehmer ausschließlich als technische Integrationsebene; die datenschutzrechtliche Verantwortung für den Einsatz dieser Dienste liegt beim Auftraggeber (vgl. § 8 der Nutzungsbedingungen).
  4. Alle Subauftragsverarbeiter sind vertraglich zur Einhaltung eines Datenschutzniveaus verpflichtet, das dem dieses AVV entspricht, einschließlich der Verpflichtungen nach § 11. Bei Subauftragsverarbeitern mit Sitz außerhalb der EU/des EWR stellt der Auftragnehmer ein angemessenes Datenschutzniveau durch geeignete Garantien sicher (z. B. EU-Standardvertragsklauseln).
  5. Der Auftragnehmer haftet gegenüber dem Auftraggeber für die Erfüllung der datenschutzrechtlichen Pflichten durch seine Subauftragsverarbeiter in gleichem Umfang wie für eigene Verstöße.

§ 6 Betroffenenrechte

  1. Der Auftragnehmer leitet Anfragen betroffener Personen, die sich direkt an ihn wenden, unverzüglich an den Auftraggeber weiter. Der Auftragnehmer beantwortet solche Anfragen nicht eigenständig, es sei denn, der Auftraggeber hat ihn dazu ausdrücklich angewiesen.
  2. Der Auftragnehmer unterstützt den Auftraggeber auf Anfrage bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), soweit dies technisch möglich und im Rahmen des Plattformbetriebs umsetzbar ist.

§ 7 Meldepflichten bei Datenschutzverletzungen

  1. Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO), die im Auftrag verarbeitete Daten betrifft, unverzüglich nach Bekanntwerden, in der Regel innerhalb von 24 Stunden. Liegen zu diesem Zeitpunkt noch nicht alle Informationen gemäß Abs. 2 vor, erfolgt zunächst eine vorläufige Meldung; die weiteren Informationen werden unverzüglich nachgereicht.
  2. Die Meldung enthält mindestens:
    • Art der Verletzung und betroffene Datenkategorien,
    • ungefähre Anzahl betroffener Personen und Datensätze,
    • wahrscheinliche Folgen der Verletzung,
    • ergriffene oder vorgeschlagene Abhilfemaßnahmen.
  3. Der Auftraggeber ist für die Meldung an die zuständige Aufsichtsbehörde und ggf. die Benachrichtigung betroffener Personen gemäß Art. 33 f. DSGVO selbst verantwortlich.

§ 8 Datenschutz-Folgenabschätzung

Sofern eine Verarbeitungstätigkeit des Auftraggebers eine Datenschutz-Folgenabschätzung gemäß Art. 35 DSGVO erfordert, unterstützt der Auftragnehmer den Auftraggeber auf Anfrage durch Bereitstellung der relevanten Informationen zum Plattformbetrieb und den eingesetzten technischen Maßnahmen.

§ 9 Löschung und Rückgabe nach Vertragsende

  1. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Die Löschung erfolgt spätestens 30 Tage nach Vertragsende.
  2. Auf Anfrage des Auftraggebers, die vor Ablauf der 30-Tage-Frist gestellt werden muss, stellt der Auftragnehmer die Daten in einem gängigen Exportformat zur Verfügung. Die Kosten für einen Datenexport können dem Auftraggeber in Rechnung gestellt werden.
  3. Der Auftragnehmer bestätigt dem Auftraggeber auf Anfrage schriftlich die vollständige Löschung.

§ 10 Haftung

Die Haftung der Parteien im Rahmen dieses AVV richtet sich nach den Haftungsregelungen des Hauptvertrags (AGB § 7 bzw. Nutzungsbedingungen § 6). Im Verhältnis zu betroffenen Personen gilt Art. 82 DSGVO.

§ 11 Berufsgeheimnisträger (§ 203 StGB)

  1. Soweit der Auftraggeber selbst Berufsgeheimnisträger im Sinne des § 203 Abs. 1 StGB ist oder die Plattform für Endkunden einsetzt, die Berufsgeheimnisträger sind (insbesondere Steuerberater, Wirtschaftsprüfer, Rechtsanwälte, Ärzte und andere Angehörige von Heilberufen, Versicherungsunternehmen), wird der Auftragnehmer als sonstige mitwirkende Person im Sinne des § 203 Abs. 3 Satz 2 StGB tätig.
  2. Der Auftragnehmer verpflichtet sich, über alle ihm im Rahmen der Leistungserbringung bekannt werdenden fremden Geheimnisse, insbesondere zum persönlichen Lebensbereich gehörende Geheimnisse sowie Betriebs- und Geschäftsgeheimnisse, Stillschweigen zu bewahren und diese weder unbefugt zu offenbaren noch zu verwerten. Der Auftragnehmer nimmt geschützte Informationen nur in dem Umfang zur Kenntnis, wie dies zur ordnungsgemäßen Erbringung der vertraglichen Leistung erforderlich ist.
  3. Der Auftragnehmer verpflichtet alle Personen, die mit der Leistungserbringung befasst sind oder Zugriff auf Daten des Auftraggebers erhalten können, vor Aufnahme ihrer Tätigkeit schriftlich zur Verschwiegenheit nach § 203 StGB und belehrt sie über die Strafbarkeit unbefugter Offenbarung gemäß § 203 Abs. 4 StGB. Der Auftragnehmer weist dem Auftraggeber die erfolgte Verpflichtung auf Anfrage nach.
  4. Zieht der Auftragnehmer Subauftragsverarbeiter gemäß § 5 hinzu, die Zugriff auf geschützte Informationen erhalten können, verpflichtet er diese in gleicher Weise zur Verschwiegenheit nach § 203 StGB und stellt sicher, dass diese ihrerseits die bei ihnen tätigen Personen entsprechend verpflichten.
  5. Der Auftragnehmer ist zur Offenbarung berechtigt, soweit er hierzu gesetzlich verpflichtet ist; er informiert den Auftraggeber hierüber vorab, sofern gesetzlich zulässig.
  6. Die Verpflichtungen nach diesem Paragraphen bestehen über die Beendigung des Hauptvertrags hinaus zeitlich unbegrenzt fort.

§ 12 Schlussbestimmungen

  1. Dieser AVV ist Bestandteil des Hauptvertrags und unterliegt demselben anwendbaren Recht (deutsches Recht).
  2. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV hinsichtlich datenschutzrechtlicher Fragen vor.
  3. Änderungen dieses AVV bedürfen der Textform. Der Auftragnehmer teilt Änderungen dem Auftraggeber mindestens 30 Tage vor ihrem Wirksamwerden in Textform mit; § 5 Abs. 1 bleibt für Subauftragsverarbeiter-Änderungen unberührt.

octoja GmbH – Stand August 2026