Smlouva o zpracování osobních údajů podle čl. 28 odst. 3 GDPR

Fassung 2026-10-27

zwischen

dem Kunden, der die Produkte der EU Suite als Unternehmer im Sinne von § 14 BGB oder als sonstige Organisation nutzt (nachfolgend „Verantwortlicher“),

und

der VICO Ventures UG (haftungsbeschränkt), Münchener Straße 37, 85123 Karlskron, Deutschland, eingetragen im Handelsregister des Amtsgerichts Ingolstadt unter HRB 13117, vertreten durch den Geschäftsführer Richard Brauel (nachfolgend „Auftragsverarbeiter“).

1. Gegenstand und Dauer

1.1 Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen bei der Bereitstellung der vom Verantwortlichen gebuchten Produkte der EU Suite als Software-Dienst (Hauptvertrag). Grundlage des Hauptvertrags sind die Allgemeinen Geschäftsbedingungen der EU Suite.

1.2 Dieser Vertrag wird mit Annahme im Bestellvorgang Bestandteil des Hauptvertrags. Er gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet, insbesondere während der Exportfrist und bis zur Löschung nach Ziffer 11.

1.3 Nicht Gegenstand dieses Vertrags ist die Verarbeitung von Daten, für die der Auftragsverarbeiter selbst verantwortlich ist, insbesondere Vertrags-, Abrechnungs- und Zahlungsdaten des Verantwortlichen, Daten zur Erfüllung gesetzlicher Pflichten, die Bearbeitung von Widerrufs- und Kündigungserklärungen sowie Protokolle zur Sicherheit des Dienstes, soweit sie für eigene Zwecke des Auftragsverarbeiters erforderlich sind. Hierüber informiert die Datenschutzerklärung für Konto, Checkout und Produkte.

2. Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen

2.1 Art der Verarbeitung: Erheben über die Produkte und angebundene Dienste, Speichern, Ordnen, Indexieren für die Suche, Anzeigen, Übermitteln auf Anweisung der Nutzer (zum Beispiel Versand von E-Mails über das angebundene Postfach), Sichern, Wiederherstellen und Löschen.

2.2 Zweck der Verarbeitung: ausschließlich die Bereitstellung, der Betrieb, die Absicherung und die Unterstützung der gebuchten Produkte gemäß Leistungsbeschreibung, einschließlich der Fehlerbehebung.

2.3 Art der personenbezogenen Daten, je nach gebuchtem Produkt:

• Daten der Nutzerkonten: Name, E-Mail-Adresse, Rolle in der Organisation, Anmeldeinformationen (Passwort ausschließlich als Hashwert, öffentliche Schlüssel von Passkeys), Sitzungsdaten (Zeitpunkt, IP-Adresse, Browserkennung);
• Inhalte, die Nutzer in den Produkten erstellen, hochladen oder über angebundene Dienste abrufen, zum Beispiel E-Mails mit Kopfzeilen, Text, HTML und Anhängen, Kalendereinträge mit Teilnehmenden, Notizen, Aufgaben, Dokumente und Dateien;
• Zugangsdaten zu angebundenen Diensten (OAuth-Tokens, App-Passwörter);
• Kommunikations- und Kontaktdaten Dritter, die in diesen Inhalten enthalten sind;
• technische Protokolldaten, soweit sie im Auftrag verarbeitet werden.

Die je Produkt verarbeiteten Daten beschreibt die Datenschutzerklärung für die Produkte unter https://eu-suite.de/rechtliches/datenschutz-produkte/.

2.4 Kategorien betroffener Personen: Beschäftigte und sonstige Nutzer des Verantwortlichen, Kunden, Interessenten, Geschäftspartner und sonstige Kommunikationspartner des Verantwortlichen sowie Personen, deren Daten in den Inhalten des Verantwortlichen enthalten sind.

2.5 Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet der Auftragsverarbeiter nur, soweit der Verantwortliche oder seine Nutzer sie in Inhalten speichern. Der Verantwortliche prüft, ob die Maßnahmen nach Anlage 1 dafür angemessen sind.

3. Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union statt, und zwar in Rechenzentren der Hetzner Online GmbH in Nürnberg und Falkenstein (Deutschland) sowie für Datenbanksicherungen in Helsinki (Finnland). Eine Verlagerung in ein Drittland erfolgt nur nach vorheriger Information des Verantwortlichen und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Datenübermittlungen, die der Verantwortliche oder seine Nutzer selbst auslösen, etwa durch Anbindung eines Postfachs bei einem Anbieter außerhalb der EU oder durch Versand einer E-Mail an Empfänger in einem Drittland, verantwortet der Verantwortliche.

4. Weisungen

4.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

4.2 Die Weisungen sind abschließend in diesem Vertrag, im Hauptvertrag und in der Leistungsbeschreibung festgelegt. Als Weisung gelten außerdem die Einstellungen und Aktionen, die der Verantwortliche und seine Nutzer in den Produkten vornehmen (zum Beispiel Anbinden oder Entfernen eines Postfachs, Löschen von Inhalten). Einzelweisungen erteilt der Verantwortliche in Textform an datenschutz@eu-suite.de. Weisungen, die über die vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt.

4.3 Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert er den Verantwortlichen unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

5. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt auch nach Ende ihrer Tätigkeit fort. Zugriff auf personenbezogene Daten erhalten nur Personen, die ihn für ihre Aufgabe benötigen.

6. Sicherheit der Verarbeitung

6.1 Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die bei Vertragsschluss getroffenen Maßnahmen beschreibt Anlage 1.

6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie durch gleichwertige oder bessere Maßnahmen ersetzen. Das Sicherheitsniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen auf Anfrage mit.

7. Unterauftragsverarbeiter

7.1 Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

7.2 Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform Einspruch erheben. Kommt keine Einigung zustande, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Wechsels außerordentlich kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.

7.3 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichterfüllung.

7.4 Keine Unterauftragsverarbeitung sind Leistungen, die der Verantwortliche oder seine Nutzer selbst bei Dritten in Anspruch nehmen und mit den Produkten verbinden, etwa E-Mail-Postfächer und Kalender bei Google, Microsoft, Yahoo oder anderen Anbietern, sowie reine Telekommunikations- und Transportleistungen.

8. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge auf Wahrnehmung der Rechte betroffener Personen nach Kapitel III DSGVO zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern der Verantwortliche nichts anderes anweist. Viele Rechte kann der Verantwortliche selbst in den Produkten umsetzen, etwa durch Export, Berichtigung und Löschung von Inhalten.

9. Unterstützung bei weiteren Pflichten, Meldung von Verletzungen

9.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

9.2 Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens binnen 24 Stunden, nachdem sie ihm bekannt geworden ist, in Textform an die im Konto hinterlegte E-Mail-Adresse der Organisation. Die Meldung enthält, soweit bereits bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Noch nicht verfügbare Angaben reicht er unverzüglich nach. Er ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmt sich dazu mit dem Verantwortlichen ab.

9.3 Für Unterstützungsleistungen, die über die Bereitstellung der Produkte und ihrer Selbstbedienungsfunktionen hinausgehen und nicht auf einem Verstoß des Auftragsverarbeiters beruhen, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, wenn er diese vorher ankündigt.

10. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, insbesondere das Vorliegen einer Rechtsgrundlage, und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

11. Löschung und Rückgabe nach Vertragsende

11.1 Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten 30 Tage lang mit den Exportfunktionen der Produkte exportieren. Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO).

11.2 Daten in Datenbanksicherungen werden nicht einzeln gelöscht, sondern laufen mit dem Sicherungszyklus aus; Datenbanksicherungen werden 30 Tage aufbewahrt. Bis dahin bleiben sie durch die Maßnahmen nach Anlage 1 geschützt und werden nur zur Wiederherstellung verwendet.

11.3 Löschen Nutzer während der Vertragslaufzeit Inhalte oder entfernen sie ein angebundenes Postfach, werden die betroffenen Daten aus dem laufenden Bestand gelöscht; Ziffer 11.2 gilt entsprechend.

11.4 Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

12. Nachweise und Kontrollen

12.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung, insbesondere eine aktuelle Beschreibung der technischen und organisatorischen Maßnahmen und der Unterauftragsverarbeiter.

12.2 Der Auftragsverarbeiter ermöglicht und unterstützt Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem anderen von diesem beauftragten Prüfer durchgeführt werden. Inspektionen sind mindestens 30 Tage vorher in Textform anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Prüfer, die nicht kraft Gesetzes zur Verschwiegenheit verpflichtet sind, müssen sich vorab zur Vertraulichkeit verpflichten und dürfen nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen. Aus Gründen der Sicherheit anderer Kunden erhalten Prüfer keinen Zugriff auf Daten anderer Kunden. Vor-Ort-Prüfungen in den Rechenzentren der Unterauftragsverarbeiter richten sich nach deren Bedingungen; insoweit können Nachweise der Unterauftragsverarbeiter (zum Beispiel Zertifikate) vorgelegt werden.

12.3 Anlassunabhängige Inspektionen sind höchstens einmal im Kalenderjahr möglich, es sei denn, eine Aufsichtsbehörde verlangt sie oder es liegt ein konkreter Anlass vor. Den Aufwand einer Inspektion trägt jede Partei selbst; Aufwand des Auftragsverarbeiters von mehr als einem Personentag pro Jahr kann er angemessen in Rechnung stellen, sofern die Inspektion keine Verstöße des Auftragsverarbeiters ergibt.

12.4 Der Auftragsverarbeiter arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO).

13. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis zwischen den Parteien gilt Art. 82 Abs. 4 und 5 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO dem nicht entgegensteht.

14. Schlussbestimmungen

14.1 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags zum Datenschutz vor.

14.2 Änderungen dieses Vertrags bietet der Auftragsverarbeiter mindestens sechs Wochen vor dem vorgesehenen Wirksamwerden in Textform an. Sie gelten nur, wenn der Verantwortliche ausdrücklich zustimmt. Änderungen der Anlagen 1 und 2 richten sich nach den Ziffern 6.2 und 7.2.

14.3 Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand richtet sich nach dem Hauptvertrag.

14.4 Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 2026-10-27. Die Maßnahmen gelten für alle Produkte, soweit nicht anders angegeben.

1. Vertraulichkeit

Zutrittskontrolle

• Die Server stehen in Rechenzentren der Hetzner Online GmbH in Nürnberg und Falkenstein (Deutschland). Die physische Sicherung der Rechenzentren (Zutrittskontrolle, Überwachung) obliegt Hetzner als Unterauftragsverarbeiter. Der Auftragsverarbeiter betreibt keine eigenen Serverräume.

Zugangskontrolle

• Die Server sind nach außen nur über die Ports 22 (SSH), 80 (HTTP, nur Weiterleitung auf HTTPS) und 443 (HTTPS) erreichbar; die Verwaltungsschnittstelle des Clusters ist nur intern erreichbar.
• Die Anmeldung an der Clusterverwaltung erfolgt über eine zentrale Identitätsprüfung (GitHub, OpenID Connect) und ist auf Mitglieder der Organisation EU-Suite beschränkt.
• Nutzer der Produkte melden sich mit Anmeldelink, Passwort (gespeichert ausschließlich als scrypt-Hash, Anmeldung erst nach bestätigter E-Mail-Adresse) oder Passkey (nur öffentlicher Schlüssel gespeichert) an. Anmeldeversuche sind je IP-Adresse und je E-Mail-Adresse in der Häufigkeit begrenzt. Sitzungen sind höchstens 30 Tage gültig; gespeichert wird nur ein HMAC des Sitzungstokens.

Zugriffskontrolle

• Rollen- und Berechtigungskonzept nach dem Prinzip der minimalen Rechte: Vollzugriff auf die Clusterverwaltung hat nur die Gruppe „admin“ (derzeit eine Person). Die Gruppe „devs“ hat lesenden Zugriff auf Clusterressourcen ohne Zugriff auf Geheimnisse und ohne Befehlsausführung in Containern; sie kann technische Protokolle einsehen und freigegebene Versionen ausrollen, hat aber keinen Zugriff auf die Datenbanken.
• Zugriff auf Kundendaten durch Personal des Auftragsverarbeiters nur zur Störungsbeseitigung, auf Weisung des Verantwortlichen, aus Sicherheitsgründen oder aufgrund gesetzlicher Pflicht.
• An- und Abmeldungen an der Datenbank werden protokolliert.
• In den Produkten sehen Nutzer nur Inhalte, für die sie berechtigt sind. In EU Inbox erzwingt die Datenbank auf Zeilenebene, dass nur die Person, die ein Postfach angebunden hat, dessen Inhalte sieht; auch Administratoren der Organisation sehen keine fremde Post. In EU HR werden Lesezugriffe auf besondere Kategorien personenbezogener Daten protokolliert.

Trennungskontrolle

• Mandantentrennung über Organisationen und Konten in der Anwendung; jede Anwendung hat einen eigenen Datenbankcluster.

Verschlüsselung und Pseudonymisierung

• Transport: TLS für alle Verbindungen von Nutzern (Zertifikate von Let's Encrypt, HTTP Strict Transport Security), TLS zu den Servern angebundener E-Mail-Anbieter, WireGuard-Verschlüsselung für den Netzverkehr zwischen den Servern.
• Geheimnisse des Clusters (zum Beispiel Schlüssel und Zugangsdaten) werden verschlüsselt gespeichert.
• Anwendungsebene: In EU Inbox sind Zugangsdaten zu Postfächern (OAuth-Tokens, Passwörter) und Anhänge mit AES-256-GCM unter einem Schlüssel je Organisation verschlüsselt; dieser ist mit einem Hauptschlüssel verschlüsselt, der außerhalb der Datenbank verwahrt wird. Nachrichtentext, HTML-Inhalt, Kopfzeilen, Termine und Suchindex sind nicht zusätzlich auf Anwendungsebene verschlüsselt. In EU HR sind besondere Kategorien personenbezogener Daten auf Anwendungsebene verschlüsselt.
• Datenträger: Eine zusätzliche Verschlüsselung der Server-Datenträger ist nicht eingerichtet.
• Sicherungen der Dateiablagen werden verschlüsselt gespeichert.
• Vor der Übermittlung an KI-Dienste über die zentrale KI-Anbindung werden erkennbare Angaben wie IBAN, Steuer-Identifikationsnummern und Telefonnummern entfernt; die KI-Anbindung speichert keine Eingaben und Antworten, sondern nur Prüfsummen, Zähler und Kosten.

2. Integrität

Weitergabekontrolle

• Übermittlungen erfolgen nur verschlüsselt (siehe oben). Externe Bilder in E-Mails werden in EU Inbox nur nach Freigabe und über einen eigenen Proxy ohne Cookies und Referrer geladen.
• Keine Weitergabe an Dritte außer an die in Anlage 2 genannten Unterauftragsverarbeiter und an Empfänger, die der Verantwortliche oder seine Nutzer selbst bestimmen.

Eingabekontrolle

• Sicherheitsrelevante Ereignisse (zum Beispiel Anmeldungen, Änderungen des Vertragsstands einer Organisation, Entfernen von Postfächern) werden in einem Ereignisprotokoll mit Zeitpunkt festgehalten.
• Änderungen an Programmen und Konfiguration erfolgen nachvollziehbar über versionierte Repositorien und werden über einen automatisierten Ablauf ausgerollt.
• Technische Protokolle von EU Inbox enthalten keine Nachrichteninhalte und keine Adressen.

3. Verfügbarkeit und Belastbarkeit

• Datenbanksicherungen: fortlaufende Sicherung der Transaktionsprotokolle und tägliche Basissicherung in den Hetzner Object Storage in Helsinki (Finnland), Aufbewahrung 30 Tage.
• Dateiablagen der Dienste: nächtliche, verschlüsselte und inkrementelle Sicherung, Aufbewahrung 30 Tage. Sicherung des Clusterzustands alle sechs Stunden.
• Überwachung von Diensten und Servern mit Metriken und Protokollen (Aufbewahrung 30 Tage) und Alarmierung.
• Begrenzung der Anfragehäufigkeit zum Schutz vor Überlastung und Missbrauch.
• Die Website wird auf zwei Servern an zwei Standorten betrieben.

4. Wiederherstellbarkeit

• Wiederherstellung von Datenbanken zu einem beliebigen Zeitpunkt innerhalb der Aufbewahrungsfrist der Sicherungen und Wiederherstellung von Dateiablagen aus den nächtlichen Sicherungen.

5. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Vertraulichkeitsverpflichtung aller Personen mit Zugriff auf personenbezogene Daten.
• Automatisierte Prüfungen (Tests, Typprüfung, Prüfung der Abhängigkeiten auf bekannte Sicherheitslücken) bei Programmänderungen.
• Überprüfung der Berechtigungen bei personellen Veränderungen.
• Auftragskontrolle: Auswahl der Unterauftragsverarbeiter nach Datenschutz und Sicherheit, Abschluss von Verträgen nach Art. 28 DSGVO.
• Anpassung dieser Maßnahmen an den Stand der Technik nach Ziffer 6.2 des Vertrags.

Anlage 2: Unterauftragsverarbeiter

Stand 2026-10-27.

EU Inbox nutzt von diesen Unterauftragsverarbeitern nur Hetzner und Lettermint. Postfach- und Kalenderinhalte aus EU Inbox gehen an keinen Unterauftragsverarbeiter außer Hetzner.