Gemäß Art. 28 DSGVO · Stand: März 2026
Der Kunde (nachfolgend „Verantwortlicher") nutzt die SaaS-Plattform InfraSys IT-Service des Anbieters Basel Müller (nachfolgend „Auftragsverarbeiter") und verarbeitet dabei personenbezogene Daten Dritter (insbesondere seiner eigenen Kunden). Dieser Vertrag regelt die Rechte und Pflichten beider Parteien im Rahmen dieser Auftragsverarbeitung gemäß Art. 28 DSGVO.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Plattform InfraSys IT-Service.
(2) Die Dauer der Auftragsverarbeitung richtet sich nach dem Hauptvertrag (AGB). Dieser AVV tritt mit aktiver Zustimmung des Kunden im Registrierungsprozess in Kraft und endet mit Beendigung des Hauptvertrags.
Art der Verarbeitung: Erhebung, Speicherung, Änderung, Abfrage, Verwendung, Übermittlung, Löschung
Zweck: Bereitstellung der SaaS-Funktionen (Kundenverwaltung, Auftragsverwaltung, Rechnungsstellung, Angebotserstellung)
Der Auftragsverarbeiter verpflichtet sich:
| Maßnahme | Umsetzung |
|---|---|
| Zutrittskontrolle | Server in gesichertem Rechenzentrum (netcup GmbH, Deutschland); kein physischer Zugang für Unbefugte |
| Zugangskontrolle | Authentifizierung mittels E-Mail + Passwort (bcrypt-Hash); JWT-Token mit Ablaufzeit; keine Weitergabe von Zugangsdaten |
| Zugriffskontrolle | Rollenbasiertes Berechtigungssystem; vollständige Mandantentrennung (separate Datenbank je Kunde); minimales Berechtigungsprinzip |
| Weitergabekontrolle | Ausschließliche HTTPS-Übertragung (TLS 1.2+); keine unverschlüsselte Datenübertragung; keine Weitergabe an nicht autorisierte Dritte |
| Eingabekontrolle | Protokollierung von sicherheitsrelevanten Zugriffen; Authentifizierungspflicht für alle schreibenden Aktionen |
| Integritätskontrolle | Schutz vor unbefugter Veränderung durch Zugriffskontrollen, serverseitige Validierung aller Eingaben sowie geeignete Integritätsmaßnahmen auf Datenbankebene |
| Auftragskontrolle | Datenverarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen; kein eigenständiger Zugriff des Auftragsverarbeiters auf Kundendaten ohne Weisung |
| Verfügbarkeitskontrolle | Tägliche automatisierte Datensicherungen; mindestens 7 Tage Aufbewahrung; Systemmonitoring |
| Trennungsgebot | Vollständige logische und technische Datentrennung zwischen Mandanten durch isolierte Datenbankinstanzen je Kunde |
Der Auftragsverarbeiter setzt folgende Unterauftragnehmer ein, die vertraglich nach Art. 28 Abs. 4 DSGVO verpflichtet sind:
Der Verantwortliche stimmt dem Einsatz dieser Unterauftragnehmer mit Abschluss dieses Vertrags zu.
Über Änderungen im Kreis der eingesetzten Unterauftragnehmer (Hinzufügen oder Ersetzen) wird der Verantwortliche mindestens 14 Tage im Voraus per E-Mail informiert. Der Verantwortliche hat das Recht, innerhalb von 14 Tagen nach Zugang der Information schriftlich zu widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei berechtigtem Widerspruch können die Parteien eine einvernehmliche Lösung suchen; gelingt dies nicht, steht dem Verantwortlichen ein außerordentliches Kündigungsrecht zu.
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung von Anfragen betroffener Personen (Auskunft, Löschung, Berichtigung, Datenportabilität gemäß Art. 15–20 DSGVO). Anfragen sind an info@infra-sys.de zu richten.
Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, über Datenschutzverletzungen. Die Meldung enthält soweit verfügbar: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen sowie ergriffene oder geplante Abhilfemaßnahmen.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.
(2) Audits durch den Verantwortlichen oder von ihm beauftragte, zur Verschwiegenheit verpflichtete Dritte sind unter folgenden Bedingungen möglich:
(3) Der Auftragsverarbeiter kann anstelle einer Vor-Ort-Prüfung geeignete Nachweise (z.B. aktuelle Zertifizierungen, Prüfberichte, Eigenerklärungen zu TOMs) vorlegen, sofern diese den Prüfzweck angemessen erfüllen. Der Verantwortliche kann eine Vor-Ort-Prüfung nur verlangen, wenn die vorgelegten Nachweise den Prüfzweck nachweislich nicht erfüllen.
Nach Beendigung des Hauptvertrags werden alle verarbeiteten personenbezogenen Daten auf Wunsch des Verantwortlichen zurückgegeben oder innerhalb von 30 Tagen vollständig und unwiderruflich gelöscht, sofern keine gesetzlichen Aufbewahrungsfristen entgegenstehen (insbesondere § 147 AO). Eine schriftliche Bestätigung der Löschung wird auf Anfrage ausgestellt.
(1) Dieser Vertrag unterliegt deutschem Recht.
(2) Dieser AVV wird durch aktive Zustimmung des Kunden im Rahmen der Registrierung bzw. des Vertragsschlusses abgeschlossen und ist Bestandteil des Hauptvertrags.
(3) Änderungen bedürfen der Textform. Bei Widersprüchen zwischen AVV und AGB geht dieser AVV vor, soweit datenschutzrechtliche Pflichten betroffen sind.
(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.