Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag gilt für Organisationen (Unternehmer), die EineEmail für eigene Nutzer einsetzen. Er wird mit Abschluss des Organisationsvertrags Bestandteil der Vereinbarung. Eine unterschriebene Fassung erhalten Sie auf Anfrage an info@cloudorax.com.

§ 1 Parteien und Gegenstand

(1) Verantwortlicher ist die Organisation, die EineEmail für ihre Nutzer bestellt („Auftraggeber“). Auftragsverarbeiter ist die Cloudorax UG (haftungsbeschränkt), Nehringstraße 4 A, 14059 Berlin („Auftragnehmer“).

(2) Gegenstand ist die Bereitstellung von E-Mail-Postfächern, Kontakten, Kalendern und der zugehörigen Verwaltung (Admin-Konsole, Domains, Kontingente, Sicherheitsprotokoll, ggf. SCIM/SSO und Legal Hold) nach dem Hauptvertrag. Die Dauer entspricht der Laufzeit des Hauptvertrags.

§ 2 Art, Zweck, Daten und Betroffene

(1) Art und Zweck: Speicherung, Übermittlung und Zustellung von E-Mails; Verwaltung von Konten; Spam- und Schadsoftwareabwehr; Protokollierung zu Sicherheitszwecken.

(2) Datenarten: Kontodaten (Name, Adresse, Rolle, Organisation), E-Mail-Inhalte und Anhänge (gespeichert ausschließlich Ende-zu-Ende- bzw. beim Eingang verschlüsselt), Kontakte und Termine (verschlüsselt), Metadaten (Absender, Empfänger, Zeitpunkte, Größen, IP-Adressen), Sicherheitsereignisse, öffentliche Schlüssel.

(3) Betroffene: Nutzer des Auftraggebers (Beschäftigte und sonstige Personen) sowie deren Kommunikationspartner. Besondere Kategorien personenbezogener Daten können in E-Mail-Inhalten enthalten sein; diese sind für den Auftragnehmer verschlüsselt gespeichert.

§ 3 Weisungen

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers, einschließlich dieses Vertrags und der Einstellungen in der Admin-Konsole, es sei denn, er ist nach Unionsrecht oder deutschem Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderungen vorher mit, sofern das Recht dies nicht verbietet. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Pflichten des Auftragnehmers

• Vertraulichkeit: Zur Verarbeitung befugte Personen sind zur Vertraulichkeit und zur Wahrung des Fernmeldegeheimnisses verpflichtet.
• Sicherheit: Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Unterstützung: Er unterstützt den Auftraggeber bei Betroffenenanfragen (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen und bei der Erfüllung der Pflichten aus Art. 32–36 DSGVO, soweit ihm dies angesichts der verschlüsselten Speicherung möglich ist.
• Meldung: Verletzungen des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
• Behördenanfragen: Er informiert den Auftraggeber über Anfragen von Behörden zu dessen Daten, soweit dies rechtlich zulässig ist (siehe Seite „Behördenanfragen & Transparenz“).

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor der Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; wird keine Einigung erzielt, kann er den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

§ 6 Drittlandübermittlung

Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO. Derzeit betrifft dies Cloudflare (USA; EU-U.S. Data Privacy Framework, hilfsweise Standardvertragsklauseln) und den Fernzugriff aus der Türkei für Wartung und Störungsbehebung (Standardvertragsklauseln, Zugriff nur über verschlüsselte Verbindungen). Gespeichert werden alle Daten in Deutschland.

§ 7 Kontrollrechte

Der Auftragnehmer weist die Einhaltung seiner Pflichten durch geeignete Unterlagen (z. B. Dokumentation der Maßnahmen, Auskünfte, Nachweise der Unterauftragsverarbeiter) nach. Darüber hinaus kann der Auftraggeber nach rechtzeitiger Anmeldung, in der Regel mit 30 Tagen Vorlauf, während der Geschäftszeiten und ohne Störung des Betriebs Prüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Die Vertraulichkeit der Daten anderer Kunden bleibt gewahrt.

§ 8 Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten innerhalb von 30 Tagen exportieren. Danach löscht der Auftragnehmer die Daten innerhalb weiterer 30 Tage und bestätigt dies auf Verlangen, soweit keine gesetzliche Pflicht zur Speicherung besteht. Einträge im Transparenzprotokoll (E-Mail-Adresse und öffentlicher Schlüssel) werden widerrufen, aber nicht gelöscht.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht; Gerichtsstand ist Berlin.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zero-Access-Speicherung: E-Mail-Inhalte, Kontakte und Termine werden nur verschlüsselt (OpenPGP) gespeichert; private Schlüssel liegen beim Nutzer und werden auf dem Server nur in einer für uns nicht entschlüsselbaren Form abgelegt. Eingehende externe E-Mails werden im Arbeitsspeicher geprüft und vor der Speicherung mit dem Schlüssel des Empfängers verschlüsselt.
• Transportverschlüsselung: HTTPS (TLS) für Web, Apps und API; STARTTLS für SMTP; beim Versand werden MTA-STS und DANE der Empfängerdomain beachtet; eigene Domain mit MTA-STS im Modus „enforce“.
• Absenderauthentifizierung: SPF, DKIM und DMARC für versendete Nachrichten.
• Zugangskontrolle der Nutzer: Anmeldung über Keycloak mit Passwort und optionaler Zwei-Faktor-Authentifizierung (TOTP); BIP-39-Wiederherstellungsphrase nur beim Nutzer.
• Administrativer Zugang: nur für namentlich bestimmte Administratoren, über verschlüsselte SSH-Verbindungen mit Schlüsselauthentifizierung; Dienste laufen getrennt in eigenen Containern (Mandant, Versand, Gateway) mit eigenen Firewallregeln; Datenbankzugriffe einzelner Dienste mit minimalen Rechten (rollenbasierte Berechtigungen).
• Rollen in der Admin-Konsole des Auftraggebers; Sicherheitsprotokoll mit gekürzten Netzwerkadressen.

Integrität

• Manipulationsgeschützte Protokolle: sicherheitsrelevante Verwaltungsvorgänge werden in einer verketteten, nur ergänzbaren Audit-Kette protokolliert.
• Key Transparency: öffentliche Schlüssel in einem nur ergänzbaren Merkle-Protokoll mit signierten Zuständen, durch einen Zeugendienst geprüft (derzeit vom Auftragnehmer betrieben; unabhängige Zeugen vorgesehen).
• Signierte Web-App-Releases.

Verfügbarkeit und Belastbarkeit

• Rechenzentrum der Hetzner Online GmbH in Deutschland.
• Schutz der Web-Zugänge durch Cloudflare (Tunnel ohne öffentlich offene Web-Ports, WAF, Begrenzung der Anfragerate, Turnstile bei der Registrierung).
• Mailannahme: unbekannte Empfänger werden mit 550 abgelehnt; Schadsoftware und nicht prüfbare Anhänge werden abgelehnt; ist die Prüfung nicht verfügbar, wird die Annahme vorübergehend verweigert (kein ungeprüftes Durchreichen).
• Überwachung der Systeme mit Alarmierung; automatische Sicherheitsupdates des Betriebssystems.
• Datensicherung: eine verschlüsselte Sicherung ist im Aufbau.

Überprüfung und Datenschutz durch Technik

• Regelmäßige Sicherheitsüberprüfungen und Code-Reviews; Protokolle mit begrenzter Aufbewahrung (Webserver 14 Tage, System- und Zustellprotokolle höchstens 30 Tage).
• Datenminimierung: keine Analyse- oder Tracking-Werkzeuge; Sperrlistenabfragen nur zur IP-Adresse des einliefernden Servers.

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Rechenzentrum, Server und Netzwerk (Standort Deutschland).
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA – Auslieferung und Schutz der Web-Zugänge (Tunnel, WAF, Rate-Limit, Turnstile), DNS; Übermittlung auf Grundlage des EU-U.S. Data Privacy Framework bzw. Standardvertragsklauseln. E-Mails (SMTP) laufen nicht über Cloudflare.
• Betrieb und Fernwartung aus der Türkei: Administration durch den Geschäftsführer des Auftragnehmers bei Aufenthalt in der Türkei, ausschließlich über verschlüsselte Verbindungen auf die Server in Deutschland; Absicherung durch Standardvertragsklauseln. Keine Speicherung von Daten in der Türkei.

Stand: 18. Oktober 2026