Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO
1. Parteien
Auftraggeber: der jeweilige Kunde gemäß Angebot, Auftrag oder Hauptvertrag.
Auftragnehmer: IT World One UG (haftungsbeschränkt), Obernheideweg 69, 33129 Delbrück, Deutschland, vertreten durch den Geschäftsführer Lukas Bielik.
2. Gegenstand und Dauer
Gegenstand der Verarbeitung sind IT-Dienstleistungen, insbesondere Support, Administration, Monitoring, Backup-Kontrolle, Microsoft 365, Endpoint-Betreuung, Netzwerk-, Server- und Proxmox-Betrieb. Die Dauer richtet sich nach dem Hauptvertrag oder der jeweiligen Beauftragung.
3. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt zur Erbringung technischer IT-Dienstleistungen, Fehleranalyse, Systemadministration, Sicherheitsbewertung, Backup-Kontrolle, Dokumentation, Monitoring, Remote Support und Umsetzung vereinbarter Maßnahmen.
4. Kategorien personenbezogener Daten
- Benutzer- und Kontaktdaten wie Name, E-Mail-Adresse, Telefonnummer und Benutzerkennung
- IT-Systemdaten wie Hostname, IP-Adresse, Gerätekennung, Betriebssystem, Rollen und Berechtigungen
- Kommunikations- und Ticketdaten
- Logdaten, Warnmeldungen, Backup-Status, Monitoringdaten und Konfigurationsdaten
- Inhaltsdaten, soweit diese im Rahmen von Support, Backup oder Administration zugänglich werden
5. Kategorien betroffener Personen
Beschäftigte, Ansprechpartner, Kunden, Lieferanten, Nutzer, Dienstleister und sonstige Personen, deren Daten in den Systemen des Auftraggebers verarbeitet werden.
6. Weisungsbindung
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern keine gesetzliche Pflicht zu einer anderen Verarbeitung besteht. Weisungen können sich aus Hauptvertrag, Ticket, E-Mail, Dokumentation oder Freigabe ergeben.
7. Vertraulichkeit
Der Auftragnehmer verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.
8. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Dazu können gehören: Zugriffskontrolle, Berechtigungskonzepte, Passwort- und MFA-Nutzung, Verschlüsselung, Protokollierung, Trennung von Kundendaten, Backup- und Wiederherstellungskonzepte, Patch-Management und organisatorische Sicherheitsprozesse.
9. Unterauftragsverarbeiter
Der Einsatz von Unterauftragsverarbeitern ist zulässig, soweit dies zur Leistungserbringung erforderlich ist und geeignete vertragliche Datenschutzpflichten bestehen. Der Auftraggeber wird über wesentliche Änderungen informiert und kann aus wichtigem datenschutzrechtlichem Grund widersprechen.
10. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber im zumutbaren Umfang bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Sicherheitsmaßnahmen und Meldungen von Datenschutzverletzungen, soweit sich dies auf die beauftragte Verarbeitung bezieht.
11. Meldung von Datenschutzverletzungen
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn ihm eine Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit der Auftragsverarbeitung bekannt wird.
12. Löschung und Rückgabe
Nach Ende der Leistungserbringung löscht oder gibt der Auftragnehmer personenbezogene Daten nach Weisung des Auftraggebers zurück, soweit keine gesetzlichen Aufbewahrungspflichten oder berechtigten Nachweisinteressen entgegenstehen.
13. Kontrollrechte
Der Auftraggeber kann die Einhaltung der Pflichten aus diesem AVV in angemessenem Umfang kontrollieren oder Nachweise anfordern. Kontrollen sind vorher anzukündigen und müssen den laufenden Betrieb angemessen berücksichtigen.
14. Schlussbestimmungen
Im Übrigen gelten Hauptvertrag und deutsches Datenschutzrecht. Bei Widersprüchen zwischen Hauptvertrag und AVV gehen die datenschutzrechtlichen Regelungen dieses AVV vor, soweit gesetzlich erforderlich.
15. Stand
Stand: Juli 2026.