Vertrag zur Auftragsverarbeitung (AVV)
Stand: 4. November 2026
Vertrag nach Art. 28 DSGVO zwischen dem Kunden von Thilo Cloud als Verantwortlichem und der Konuma GmbH, Kieler Str. 689, 22527 Hamburg, als Auftragsverarbeiter. Er ist Bestandteil des Nutzungsvertrags nach den AGB und gilt, solange dieser Vertrag besteht.
1. Gegenstand, Art und Zweck
Der Auftragsverarbeiter stellt die Software Thilo Cloud bereit. Er verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen:
- Speichern und Bereitstellen,
- Versand von E-Mails und Dokumenten auf Veranlassung des Verantwortlichen,
- Datensicherung,
- Support bei Störungen.
Zu anderen Zwecken verarbeitet er die Daten nicht.
2. Arten von Daten und betroffene Personen
| Betroffene | Datenarten |
|---|---|
| Kunden und Interessenten des Verantwortlichen, ihre Ansprechpartner | Namen, Anschriften, Kontaktdaten, Objekt- und Anlagendaten, Anfragen, Angebote, Aufträge, Rechnungen, Zahlungen, Bankverbindungen, Kommunikation, Fotos, Unterschriften |
| Beschäftigte des Verantwortlichen | Stammdaten, Arbeitszeiten, Einsätze, Abwesenheiten. Bei Krankheit nur die Tatsache der Abwesenheit, verschlüsselt gespeichert; das ist eine besondere Kategorie nach Art. 9 DSGVO. |
| Lieferanten und Partner | Namen, Kontaktdaten, Bestellungen, Belege |
| Nutzer der Software | Anmeldedaten, Rollen, Protokolle der Änderungen |
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten:
- der Nutzungsvertrag,
- die Einstellungen und Aktionen des Verantwortlichen in der Software,
- Weisungen in Textform.
Hält er eine Weisung für rechtswidrig, sagt er das unverzüglich.
4. Pflichten des Auftragsverarbeiters
- Alle Personen, die Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
- Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an. Das Schutzniveau sinkt dabei nicht.
- Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen. In der Software sind Auskunft, Export, Berichtigung und Anonymisierung selbst möglich.
- Eine Verletzung des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
- Er stellt die Informationen bereit, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen nach angemessener Ankündigung.
5. Unterauftragsverarbeiter
- Der Verantwortliche stimmt den Unterauftragsverarbeitern in Anlage 2 zu.
- Neue Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann aus wichtigem Datenschutzgrund widersprechen. Einigen sich beide nicht, kann der Verantwortliche den Nutzungsvertrag zum Einsatz des neuen Unterauftragsverarbeiters kündigen.
- Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf.
6. Ort der Verarbeitung
Die Daten werden in Deutschland verarbeitet. In ein Land außerhalb der EU oder des EWR gehen sie nur, wenn der Verantwortliche das anweist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Das kann geschehen, wenn er eine KI-Funktion mit einem Anbieter außerhalb der EU einschaltet. Die KI-Funktionen sind noch nicht freigegeben. Anbieter und Ort der Verarbeitung nennt der Auftragsverarbeiter vor ihrer Einführung, mit der Ankündigung nach Ziffer 5.
7. Ende des Auftrags
Nach Ende des Nutzungsvertrags kann der Verantwortliche seine Daten noch 30 Tage exportieren. Danach löscht der Auftragsverarbeiter sie einschließlich der Kopien, soweit keine gesetzliche Pflicht zur Speicherung besteht. Sicherungen werden mit ihrem regulären Ablauf gelöscht, spätestens nach 30 Tagen.
Anlage 1: Technische und organisatorische Maßnahmen
| Bereich | Maßnahme |
|---|---|
| Rechenzentrum | Server in Deutschland bei der IONOS SE; Zutritts- und Gebäudeschutz durch den Betreiber des Rechenzentrums |
| Zugang zum Server | Nur Administratoren, Anmeldung per SSH-Schlüssel |
| Zugriff in der Software | Rollen und Rechte je Nutzer, Zwei-Faktor-Anmeldung, Passwörter nur als Hash gespeichert, Sperre nach Fehlversuchen |
| Trennung der Betriebe | Jeder Betrieb ist in der Datenbank von allen anderen getrennt (Zeilensicherheit der Datenbank). Kein Betrieb sieht Daten eines anderen. |
| Übertragung | Verschlüsselt über TLS (HTTPS) |
| Nachvollziehbarkeit | Protokoll aller schreibenden Vorgänge (Audit-Log), festgeschriebene Rechnungen und Belege nicht mehr veränderbar |
| Verfügbarkeit | Tägliche, verschlüsselte Sicherung von Datenbank und Dateien in einen getrennten Speicher der IONOS SE in Deutschland; Aufbewahrung 30 Tage; monatlicher Test der Wiederherstellung |
| Dateien | Ablage in einem getrennten Speicher; Download nur über kurzlebige, signierte Adressen; Dateien von außerhalb, etwa aus dem Anfrageformular, nimmt die Software nur an, wenn eine Virenprüfung eingeschaltet ist |
| Organisation | Verpflichtung auf Vertraulichkeit, Zugriff nur, soweit für Betrieb und Support nötig |
Anlage 2: Unterauftragsverarbeiter
| Unternehmen | Leistung | Ort |
|---|---|---|
| IONOS SE, Montabaur | Server, Rechenzentrum und Datensicherung | Deutschland |
| IONOS SE (eigener Mailserver des Anbieters auf seinem Server) | Versand der E-Mails des Anbieters, zum Beispiel Einladungen und Passwort-Links. E-Mails an Kunden des Betriebs gehen über den Mailserver, den der Betrieb selbst einrichtet. | Deutschland |
| KI-Anbieter: folgt vor Einführung der KI-Funktionen | Verarbeitung von Texten für KI-Funktionen, nur wenn der Betrieb sie einschaltet | wird vorher bekanntgegeben |