Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO)

Stand: November 2026 · Anlage zu den AGB für SRM-Cloud

zwischen dem SRM-Cloud-Kunden (Verantwortlicher, nachfolgend „Kunde“) und tm-NetTech (Inhaber Tobias Metz), Valentin Thau Str. 9, 99955 Herbsleben (Auftragsverarbeiter, nachfolgend „Anbieter“). Der Vertrag wird mit dem SRM-Cloud-Abo geschlossen und gilt für dessen Laufzeit und, soweit Daten danach noch vorhanden sind, bis zu ihrer Löschung.

1. Gegenstand, Art und Zweck der Verarbeitung

Der Anbieter betreibt für den Kunden einen eigenen SRM-Server (Software „SRM – Secure Remote Management“) zur Fernwartung von innovaphone-Anlagen, einschließlich Speicherung, täglicher Sicherung, Updates und Bereitstellung über das Internet. Eine andere Verarbeitung als den Betrieb, die Sicherung, die Wiederherstellung und die Fehlerbehebung dieses Servers nimmt der Anbieter nicht vor.

2. Art der Daten und Kreis der Betroffenen

• Daten: Namen und Einstellungen der Kunden-Anlagen (Kundennamen, Adressen und Ziele im Kundennetz, Einwahlnummern, Hardware-Kennungen), Benutzerkonten der Techniker (Benutzername, Passwort-Hash, zweiter Faktor, Rollen), Kundenprotokoll (Zeitpunkte von Verbindungen, Zugriffen und Änderungen mit Benutzername und IP-Adresse), technische Verbindungsdaten. Zugangsdaten zu den Kunden-Anlagen liegen nur Zero-Knowledge-verschlüsselt vor und sind für den Anbieter nicht lesbar.
• Betroffene: Techniker und Beschäftigte des Kunden, Ansprechpartner und Beschäftigte der Endkunden des Kunden.

3. Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden; Weisungen sind dieser Vertrag, die AGB und die Einstellungen, die der Kunde im SRM-Client selbst vornimmt. Weitere Weisungen erteilt der Kunde in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin. Eine Verarbeitung auf Grund gesetzlicher Pflichten bleibt unberührt (Art. 28 Abs. 3 lit. a DSGVO).

4. Vertraulichkeit

Der Anbieter verarbeitet die Daten selbst und setzt keine Mitarbeiter ein. Sollte sich das ändern, verpflichtet er die eingesetzten Personen vorher zur Vertraulichkeit.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Eigener, von anderen Kunden getrennter Server-Prozess und Datenbestand je Kunde; der Server nimmt nur Verbindungen über den gemeinsamen TLS-Zugang an.
• Verschlüsselung aller Verbindungen (TLS) und Ende-zu-Ende-Verschlüsselung zwischen SRM-App und SRM-Server mit gegenseitiger Prüfung; Zero-Knowledge-Verschlüsselung der Zugangsdaten.
• Anmeldung der Techniker mit Passwort und zweitem Faktor; Rollen und Rechte; Sperre nach Fehlversuchen.
• Administration der VM per SSH nur von vorher freigegebenen Adressen; Verwaltung mit Passwort und zweitem Faktor; Firewall; automatische Sicherheitsupdates.
• Tägliche, verschlüsselte Sicherung, 14 Tage aufbewahrt; Wiederherstellung durch den Anbieter auf Anfrage.
• Rechenzentrum in Deutschland mit Zutrittskontrolle, Brandschutz und unterbrechungsfreier Stromversorgung (siehe Nr. 6).

Der Anbieter darf die Maßnahmen dem Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• IP-Projects GmbH & Co. KG, Am Vogelherd 14, 97295 Waldbrunn, Deutschland – Bereitstellung des virtuellen Servers im Rechenzentrum in Deutschland.

Über beabsichtigte Änderungen informiert der Anbieter den Kunden mindestens vier Wochen vorher per E-Mail; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall zum Zeitpunkt der Änderung kündigen. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich nach Art. 28 Abs. 4 DSGVO. Eine Verarbeitung außerhalb der EU/des EWR findet nicht statt.

7. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden im zumutbaren Umfang bei der Erfüllung der Rechte der Betroffenen (Kapitel III DSGVO), bei Datenschutz-Folgenabschätzungen und bei den Pflichten nach Art. 32 bis 36 DSGVO. Die meisten Betroffenenrechte kann der Kunde selbst über den SRM-Client erfüllen (Konten, Kundenliste, Kundenprotokoll mit Export und Aufbewahrungsdauer).

8. Meldung von Verletzungen

Der Anbieter informiert den Kunden unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, per E-Mail über Verletzungen des Schutzes personenbezogener Daten, die den Server des Kunden betreffen, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

9. Löschung und Rückgabe

Nach Ende des Abos kann der Kunde seine Daten bis zum Ende der Laufzeit über die Sicherungsfunktion des SRM-Clients exportieren. Danach löscht der Anbieter den Server; die letzte Sicherung wird nach 30 Tagen gelöscht, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht.

10. Nachweise und Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung nötigen Informationen zur Verfügung und ermöglicht Überprüfungen nach vorheriger Anmeldung mit angemessener Frist, soweit dadurch die Daten anderer Kunden nicht gefährdet werden. Den Aufwand für Vor-Ort-Prüfungen kann der Anbieter angemessen in Rechnung stellen.

11. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor. Änderungen bedürfen der Textform.