Auftragsverarbeitungsvertrag (AVV)
gemäß Art. 28 DSGVO
Dieser AVV ist Bestandteil der AGB und wird mit Abschluss des
Nutzungsvertrags für TallyMARC wirksam.
§ 1 Gegenstand, Art und Zweck der Verarbeitung
(1) Gegenstand: Der Auftragsverarbeiter (Hartmann IT Solutions GmbH) empfängt, speichert, analysiert und visualisiert DMARC-Aggregatberichte (RFC 7489), die für die Domains des Verantwortlichen (Kunden) durch externe E-Mail-Empfänger generiert und per SMTP übermittelt werden.
(2) Art der Verarbeitung: Erhebung, Speicherung, Auslesen, Abfragen, Verwendung, Aggregation, Auswertung, Löschung.
(3) Zweck: Bereitstellung des DMARC-Monitoring-Dienstes TallyMARC; Visualisierung von Sendeinfrastruktur und Authentifizierungsergebnissen; Erkennung nicht autorisierter E-Mail-Sender; Unterstützung bei der DMARC-Enforcement-Strategie.
(4) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Nutzungsvertrags.
§ 2 Art der personenbezogenen Daten
Die verarbeiteten Daten stammen ausschließlich aus DMARC-Aggregatberichten und enthalten:
- Quell-IP-Adressen von Mailservern
- ASN-Informationen (Netzbetreiber) — abgeleitet via PTR-/WHOIS-Auflösung
- SPF-/DKIM-Ausrichtungsergebnisse (pass/fail) pro IP und Nachrichtenanzahl
- DMARC-Disposition (none/quarantine/reject)
- Zeitraum des Berichts
Die Daten enthalten keine E-Mail-Inhalte, keine Absender- oder Empfängeradressen und keine Betreffzeilen. Quell-IP-Adressen werden vorsorglich als personenbezogene Daten behandelt (vgl. EuGH C-582/14 — Breyer).
§ 3 Kategorien betroffener Personen
Betreiber von Mailservern (i. d. R. Rechenzentrums-IPs ohne direkten Personenbezug); ggf. Privatpersonen bei Home-Office-Mailkonfiguration (Ausnahmefall).
§ 4 Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dieser AVV und die AGB stellen die initiale Weisung dar. Bei rechtswidrigen Weisungen informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich.
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
| Maßnahme | Umsetzung |
|---|---|
| Zutrittskontrolle | Serverinfrastruktur in ISO-27001-zertifizierten Rechenzentren (Hetzner); physischer Zutritt nur für autorisiertes Personal |
| Zugangskontrolle | MFA für alle Systemzugänge; individuelle Benutzerkonten; kein Shared-Root-Login |
| Zugriffskontrolle | Rollenbasiertes Berechtigungskonzept (RBAC); Prinzip der minimalen Rechtevergabe |
| Trennungskontrolle | Mandantentrennung auf Datenbankebene (Row-Level-Security); keine gemeinsame Datenhaltung verschiedener Kunden |
Integrität
| Maßnahme | Umsetzung |
|---|---|
| Weitergabekontrolle | Alle Datenübertragungen über TLS 1.2+; kein unverschlüsselter Transport |
| Eingabekontrolle | Vollständige Audit-Logs für alle Datenbankänderungen |
Verfügbarkeit und Belastbarkeit
| Maßnahme | Umsetzung |
|---|---|
| Verfügbarkeitskontrolle | Tägliche verschlüsselte Backups; Aufbewahrung 30 Tage; automatische Wiederherstellungstests |
| Wiederherstellung | Wiederherstellungszeit (RTO) < 4 Stunden für kritische Dienste |
§ 6 Subauftragsverarbeiter
(1) Eingesetzte Subauftragsverarbeiter:
| Subauftragsverarbeiter | Leistung | Sitz |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Serverhosting, Netzwerk, Speicher | Deutschland (EU) |
(2) Änderungen an der Subprozessor-Liste werden mindestens 30 Tage im Voraus per E-Mail mitgeteilt. Bei begründetem Widerspruch (innerhalb von 14 Tagen) und fehlender einvernehmlicher Lösung besteht ein Sonderkündigungsrecht.
§ 7 Unterstützungspflichten
(a) Betroffenenrechte (Art. 15–22 DSGVO): Anfragen betroffener Personen werden unverzüglich weitergeleitet. Auf Anfrage wird ein Datenexport (JSON) bereitgestellt.
(b) DSFA (Art. 35 DSGVO): Erforderliche Informationen zur Durchführung einer Datenschutz-Folgenabschätzung werden auf Anfrage bereitgestellt.
(c) Datenschutzverletzungen (Art. 33 DSGVO): Meldung an den Verantwortlichen unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung.
§ 8 Kontroll- und Auditrechte
Der Verantwortliche ist zur Kontrolle der Einhaltung dieses AVV berechtigt. Auf Anfrage werden TOM-Übersicht, Subprozessor-Liste und Selbstauskunft bereitgestellt. Vor-Ort-Audits sind mit 30 Werktagen Vorlaufzeit möglich. Aktuelle ISO-27001-Zertifizierungen werden als gleichwertiger Nachweis anerkannt.
§ 9 Löschung und Rückgabe nach Vertragsende
Nach Vertragsende werden alle Daten des Verantwortlichen innerhalb von 90 Tagen vollständig und unwiderruflich gelöscht, einschließlich Backups. Auf rechtzeitige Anfrage (spätestens 30 Tage nach Vertragsende) wird ein vollständiger Datenexport (JSON) bereitgestellt. Die Löschung wird auf Anfrage schriftlich bestätigt.
§ 10 Schlussbestimmungen
Dieser AVV unterliegt deutschem Recht. Im Falle von Widersprüchen zwischen AVV und AGB hat dieser AVV Vorrang, soweit datenschutzrechtliche Pflichten betroffen sind. Änderungen bedürfen der Schriftform (E-Mail genügt).
Hartmann IT Solutions GmbH · datenschutz@hartmann-it.de