Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag regelt, was mit personenbezogenen Daten geschieht, die du auf deinem Server bei MRMedia verarbeitest. Er ist nach Art. 28 DSGVO erforderlich, sobald du solche Daten dort ablegst — und er ist für dich kostenlos.

Er besteht aus dem amtlichen Klauselwerk der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/915) und vier Anhängen. Am Klauselwerk ist nichts geändert; welche der darin vorgesehenen Optionen gewählt wurden, steht offen im Abschnitt „Protokoll der getroffenen Wahlen".

Anhang III beschreibt die Sicherheitsmaßnahmen — einschließlich der Punkte, die derzeit offen sind. Das steht dort bewusst: Eine Maßnahmenliste, die mehr verspricht als die Anlage leistet, ist kein Schutz, sondern eine Vertragsverletzung mit Ansage.

Deckblatt

Auftragsverarbeitungsvertrag gemäß Artikel 28 DSGVO

auf der Grundlage der Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021)

zwischen

dem Kunden — nachstehend „Verantwortlicher" — mit den in Anhang I angegebenen Daten

und

MRMedia — Maurizio Romano c/o Impressumservice Dein-Impressum Stettiner Str. 41, 35410 Hungen, Deutschland E-Mail: support@mrmedia.network

— nachstehend „Auftragsverarbeiter" —

Hauptvertrag: der zwischen den Parteien geschlossene Hosting-Vertrag, bestehend aus der Leistungsbeschreibung im Bestellvorgang, den AGB und der Nutzungsrichtlinie.

Fassung: 2026-07-27 · Klauselwerk: EU 2021/915 (unverändert)

Wozu dieser Vertrag da ist — und wozu nicht

(Kein Bestandteil des Klauselwerks. Erläuterung vorweg, damit klar ist, worüber wir reden.)

Du betreibst auf deinem Server, was du willst. Wenn dabei personenbezogene Daten anfallen — Kunden, Nutzerkonten, Mitgliederlisten, Logfiles — bist du dafür verantwortlich. Wir sind es nicht: wir bestimmen weder Zweck noch Mittel dieser Verarbeitung und sehen uns nicht an, was in deiner VM liegt.

Aber die Daten liegen auf unserem Speicher, und wir sichern sie täglich. Speichern ist Verarbeiten im Sinne von Art. 4 Nr. 2 DSGVO. Deshalb brauchen wir beide diesen Vertrag — und deshalb macht MRMedia hier ausdrücklich nicht die Aussage, die manche Hoster machen („bei dedizierten Servern verarbeiten wir keine Daten").

Was daraus folgt, steht in der Rollenabgrenzung in Anhang II: Für die Inhalte auf deinem Server sind wir Auftragsverarbeiter. Für unsere eigenen Daten über dich — Rechnungen, Tickets, Server-Logfiles — sind wir eigenständig Verantwortlicher; dafür gilt nicht dieser Vertrag, sondern unsere Datenschutzerklärung.

Protokoll der getroffenen Wahlen

Damit später nachvollziehbar ist, was am amtlichen Text ausgewählt wurde und warum:

Stelle	Wahl	Begründung
Klausel 1 a)	OPTION 1 (Art. 28 Abs. 3 und 4 DSGVO)	Option 2 gilt für Organe der Union.
Klausel 5 (fakultativ)	weggelassen	Die Kopplungsklausel lässt Dritte dem Vertrag beitreten — gedacht für Konzernstrukturen. Jeder Kunde schließt hier seinen eigenen AVV; die Klausel wäre Komplexität ohne Anwendungsfall.
Klausel 7.7 a)	OPTION 2 (allgemeine schriftliche Genehmigung), Vorlauf 30 Tage	Bei gesonderter Genehmigung müsste jeder Wechsel eines Rechenzentrums von jedem Kunden einzeln freigegeben werden — das blockiert den Betrieb. Der Kunde behält sein Widerspruchsrecht, die Liste steht in Anhang IV.
Klausel 8 c) 4)	OPTION 1 (Art. 32 DSGVO)	s. o.
Klausel 9.1 b), c) und 9.2	OPTION 1 (Art. 33 Abs. 3, Art. 34 DSGVO)	s. o.

Zwei Dinge, die keine Wahl sind, auch wenn man es zunächst denkt:

Löschung oder Rückgabe entscheidet der Kunde, nicht wir. Klausel 10 d) sagt wörtlich „nach Wahl des Verantwortlichen". Was wir festlegen, ist die Praxis: Rückholfenster, Löschfrist, Bescheinigung — das steht in Anhang III.
Rechtswahl und Gerichtsstand kommen in 2021/915 nicht vor (anders als in den Drittlands-Klauseln 2021/914). Es gilt, was im Hauptvertrag steht, also die AGB.

STANDARDVERTRAGSKLAUSELN

Amtlicher Wortlaut, Durchführungsbeschluss (EU) 2021/915, Anhang. Die im Text vorgesehenen Optionen sind aufgelöst; die fakultative Klausel 5 ist weggelassen. Sonst unverändert.

ABSCHNITT I

Klausel 1 — Zweck und Anwendungsbereich

a) Mit diesen Standardvertragsklauseln (im Folgenden „Klauseln") soll die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom

April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum

freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG (Datenschutz-Grundverordnung) sichergestellt werden.

b) Die in Anhang I aufgeführten Verantwortlichen und Auftragsverarbeiter haben diesen Klauseln zugestimmt, um die Einhaltung von Artikel 28 Absätze 3 und 4 der Verordnung (EU) 2016/679 zu gewährleisten.

c) Diese Klauseln gelten für die Verarbeitung personenbezogener Daten gemäß Anhang II.

d) Die Anhänge I bis IV sind Bestandteil der Klauseln.

e) Diese Klauseln gelten unbeschadet der Verpflichtungen, denen der Verantwortliche gemäß der Verordnung (EU) 2016/679 unterliegt.

f) Diese Klauseln stellen für sich allein genommen nicht sicher, dass die Verpflichtungen im Zusammenhang mit internationalen Datenübermittlungen gemäß Kapitel V der Verordnung (EU) 2016/679 erfüllt werden.

Klausel 2 — Unabänderbarkeit der Klauseln

a) Die Parteien verpflichten sich, die Klauseln nicht zu ändern, es sei denn, zur Ergänzung oder Aktualisierung der in den Anhängen angegebenen Informationen.

b) Dies hindert die Parteien nicht daran die in diesen Klauseln festgelegten Standardvertragsklauseln in einen umfangreicheren Vertrag aufzunehmen und weitere Klauseln oder zusätzliche Garantien hinzuzufügen, sofern diese weder unmittelbar noch mittelbar im Widerspruch zu den Klauseln stehen oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneiden.

Klausel 3 — Auslegung

a) Werden in diesen Klauseln die in der Verordnung (EU) 2016/679 definierten Begriffe verwendet, so haben diese Begriffe dieselbe Bedeutung wie in der betreffenden Verordnung.

b) Diese Klauseln sind im Lichte der Bestimmungen der Verordnung (EU) 2016/679 auszulegen.

c) Diese Klauseln dürfen nicht in einer Weise ausgelegt werden, die den in der Verordnung (EU) 2016/679 vorgesehenen Rechten und Pflichten zuwiderläuft oder die Grundrechte oder Grundfreiheiten der betroffenen Personen beschneidet.

Klausel 4 — Vorrang

Im Falle eines Widerspruchs zwischen diesen Klauseln und den Bestimmungen damit zusammenhängender Vereinbarungen, die zwischen den Parteien bestehen oder später eingegangen oder geschlossen werden, haben diese Klauseln Vorrang.

(Klausel 5 — Kopplungsklausel — ist im Beschluss als fakultativ gekennzeichnet und wird hier nicht verwendet.)

ABSCHNITT II — PFLICHTEN DER PARTEIEN

Klausel 6 — Beschreibung der Verarbeitung

Die Einzelheiten der Verarbeitungsvorgänge, insbesondere die Kategorien personenbezogener Daten und die Zwecke, für die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden, sind in Anhang II aufgeführt.

Klausel 7 — Pflichten der Parteien

7.1. Weisungen

a) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder nach dem Recht eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Verantwortliche kann während der gesamten Dauer der Verarbeitung personenbezogener Daten weitere Weisungen erteilen. Diese Weisungen sind stets zu dokumentieren.

b) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass vom Verantwortlichen erteilte Weisungen gegen die Verordnung (EU) 2016/679 oder geltende Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstoßen.

7.2. Zweckbindung

Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur für den/die in Anhang II genannten spezifischen Zweck(e), sofern er keine weiteren Weisungen des Verantwortlichen erhält.

7.3. Dauer der Verarbeitung personenbezogener Daten

Die Daten werden vom Auftragsverarbeiter nur für die in Anhang II angegebene Dauer verarbeitet.

7.4. Sicherheit der Verarbeitung

a) Der Auftragsverarbeiter ergreift mindestens die in Anhang III aufgeführten technischen und organisatorischen Maßnahmen, um die Sicherheit der personenbezogenen Daten zu gewährleisten. Dies umfasst den Schutz der Daten vor einer Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu den Daten führt (im Folgenden „Verletzung des Schutzes personenbezogener Daten"). Bei der Beurteilung des angemessenen Schutzniveaus tragen die Parteien dem Stand der Technik, den Implementierungskosten, der Art, dem Umfang, den Umständen und den Zwecken der Verarbeitung sowie den für die betroffenen Personen verbundenen Risiken gebührend Rechnung.

b) Der Auftragsverarbeiter gewährt seinem Personal nur insoweit Zugang zu den personenbezogenen Daten, die Gegenstand der Verarbeitung sind, als dies für die Durchführung, Verwaltung und Überwachung des Vertrags unbedingt erforderlich ist. Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der erhaltenen personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7.5. Sensible Daten

Falls die Verarbeitung personenbezogene Daten betrifft, aus denen die rassische oder ethnische Herkunft, politische Meinungen, religiöse oder weltanschauliche Überzeugungen oder die Gewerkschaftszugehörigkeit hervorgehen, oder die genetische Daten oder biometrische Daten zum Zweck der eindeutigen Identifizierung einer natürlichen Person, Daten über die Gesundheit, das Sexualleben oder die sexuelle Ausrichtung einer Person oder Daten über strafrechtliche Verurteilungen und Straftaten enthalten (im Folgenden „sensible Daten"), wendet der Auftragsverarbeiter spezielle Beschränkungen und/oder zusätzlichen Garantien an.

7.6. Dokumentation und Einhaltung der Klauseln

a) Die Parteien müssen die Einhaltung dieser Klauseln nachweisen können.

b) Der Auftragsverarbeiter bearbeitet Anfragen des Verantwortlichen bezüglich der Verarbeitung von Daten gemäß diesen Klauseln umgehend und in angemessener Weise.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die für den Nachweis der Einhaltung der in diesen Klauseln festgelegten und unmittelbar aus der Verordnung (EU) 2016/679 hervorgehenden Pflichten erforderlich sind. Auf Verlangen des Verantwortlichen gestattet der Auftragsverarbeiter ebenfalls die Prüfung der unter diese Klauseln fallenden Verarbeitungstätigkeiten in angemessenen Abständen oder bei Anzeichen für eine Nichteinhaltung und trägt zu einer solchen Prüfung bei. Bei der Entscheidung über eine Überprüfung oder Prüfung kann der Verantwortliche einschlägige Zertifizierungen des Auftragsverarbeiters berücksichtigen.

d) Der Verantwortliche kann die Prüfung selbst durchführen oder einen unabhängigen Prüfer beauftragen. Die Prüfungen können auch Inspektionen in den Räumlichkeiten oder physischen Einrichtungen des Auftragsverarbeiters umfassen und werden gegebenenfalls mit angemessener Vorankündigung durchgeführt.

e) Die Parteien stellen der/den zuständigen Aufsichtsbehörde(n) die in dieser Klausel genannten Informationen, einschließlich der Ergebnisse von Prüfungen, auf Anfrage zur Verfügung.

7.7. Einsatz von Unterauftragsverarbeitern

a) (Gewählt: allgemeine schriftliche Genehmigung.) Der Auftragsverarbeiter besitzt die allgemeine Genehmigung des Verantwortlichen für die Beauftragung von Unterauftragsverarbeitern, die in einer vereinbarten Liste aufgeführt sind. Der Auftragsverarbeiter unterrichtet den Verantwortlichen mindestens 30 Tage im Voraus ausdrücklich in schriftlicher Form über alle beabsichtigten Änderungen dieser Liste durch Hinzufügen oder Ersetzen von Unterauftragsverarbeitern und räumt dem Verantwortlichen damit ausreichend Zeit ein, um vor der Beauftragung des/der betreffenden Unterauftragsverarbeiter/s Einwände gegen diese Änderungen erheben zu können. Der Auftragsverarbeiter stellt dem Verantwortlichen die erforderlichen Informationen zur Verfügung, damit dieser sein Widerspruchsrecht ausüben kann.

Redaktioneller Hinweis, nicht Teil des Klauseltexts: Die „vereinbarte Liste" im Sinne dieses Buchstabens ist Anhang IV.

b) Beauftragt der Auftragsverarbeiter einen Unterauftragsverarbeiter mit der Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen), so muss diese Beauftragung im Wege eines Vertrags erfolgen, der dem Unterauftragsverarbeiter im Wesentlichen dieselben Datenschutzpflichten auferlegt wie diejenigen, die für den Auftragsverarbeiter gemäß diesen Klauseln gelten. Der Auftragsverarbeiter stellt sicher, dass der Unterauftragsverarbeiter die Pflichten erfüllt, denen der Auftragsverarbeiter entsprechend diesen Klauseln und gemäß der Verordnung (EU) 2016/679 unterliegt.

c) Der Auftragsverarbeiter stellt dem Verantwortlichen auf dessen Verlangen eine Kopie einer solchen Untervergabevereinbarung und etwaiger späterer Änderungen zur Verfügung. Soweit es zum Schutz von Geschäftsgeheimnissen oder anderen vertraulichen Informationen, einschließlich personenbezogener Daten notwendig ist, kann der Auftragsverarbeiter den Wortlaut der Vereinbarung vor der Weitergabe einer Kopie unkenntlich machen.

d) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen in vollem Umfang dafür, dass der Unterauftragsverarbeiter seinen Pflichten gemäß dem mit dem Auftragsverarbeiter geschlossenen Vertrag nachkommt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen, wenn der Unterauftragsverarbeiter seine vertraglichen Pflichten nicht erfüllt.

e) Der Auftragsverarbeiter vereinbart mit dem Unterauftragsverarbeiter eine Drittbegünstigtenklausel, wonach der Verantwortliche – im Falle, dass der Auftragsverarbeiter faktisch oder rechtlich nicht mehr besteht oder zahlungsunfähig ist – das Recht hat, den Untervergabevertrag zu kündigen und den Unterauftragsverarbeiter anzuweisen, die personenbezogenen Daten zu löschen oder zurückzugeben.

7.8. Internationale Datenübermittlungen

a) Jede Übermittlung von Daten durch den Auftragsverarbeiter an ein Drittland oder eine internationale Organisation erfolgt ausschließlich auf der Grundlage dokumentierter Weisungen des Verantwortlichen oder zur Einhaltung einer speziellen Bestimmung nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Auftragsverarbeiter unterliegt, und muss mit Kapitel V der Verordnung (EU) 2016/679 im Einklang stehen.

b) Der Verantwortliche erklärt sich damit einverstanden, dass in Fällen, in denen der Auftragsverarbeiter einen Unterauftragsverarbeiter gemäß Klausel 7.7 für die Durchführung bestimmter Verarbeitungstätigkeiten (im Auftrag des Verantwortlichen) in Anspruch nimmt und diese Verarbeitungstätigkeiten eine Übermittlung personenbezogener Daten im Sinne von Kapitel V der Verordnung (EU) 2016/679 beinhalten, der Auftragsverarbeiter und der Unterauftragsverarbeiter die Einhaltung von Kapitel V der Verordnung (EU) 2016/679 sicherstellen können, indem sie Standardvertragsklauseln verwenden, die von der Kommission gemäß Artikel 46 Absatz 2 der Verordnung (EU) 2016/679 erlassen wurden, sofern die Voraussetzungen für die Anwendung dieser Standardvertragsklauseln erfüllt sind.

Klausel 8 — Unterstützung des Verantwortlichen

a) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Verantwortlichen dazu ermächtigt.

b) Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten gemäß den Buchstaben a und b befolgt der Auftragsverarbeiter die Weisungen des Verantwortlichen.

c) Abgesehen von der Pflicht des Auftragsverarbeiters, den Verantwortlichen gemäß Klausel 8 Buchstabe b zu unterstützen, unterstützt der Auftragsverarbeiter unter Berücksichtigung der Art der Datenverarbeitung und der ihm zur Verfügung stehenden Informationen den Verantwortlichen zudem bei der Einhaltung der folgenden Pflichten:

Pflicht zur Durchführung einer Abschätzung der Folgen der vorgesehenen Verarbeitungsvorgänge für den Schutz personenbezogener Daten (im Folgenden „Datenschutz-Folgenabschätzung"), wenn eine Form der Verarbeitung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat;
Pflicht zur Konsultation der zuständigen Aufsichtsbehörde(n) vor der Verarbeitung, wenn aus einer Datenschutz-Folgenabschätzung hervorgeht, dass die Verarbeitung ein hohes Risiko zur Folge hätte, sofern der Verantwortliche keine Maßnahmen zur Eindämmung des Risikos trifft;
Pflicht zur Gewährleistung, dass die personenbezogenen Daten sachlich richtig und auf dem neuesten Stand sind, indem der Auftragsverarbeiter den Verantwortlichen unverzüglich unterrichtet, wenn er feststellt, dass die von ihm verarbeiteten personenbezogenen Daten unrichtig oder veraltet sind;
Verpflichtungen gemäß Artikel 32 der Verordnung (EU) 2016/679.

d) Die Parteien legen in Anhang III die geeigneten technischen und organisatorischen Maßnahmen zur Unterstützung des Verantwortlichen durch den Auftragsverarbeiter bei der Anwendung dieser Klausel sowie den Anwendungsbereich und den Umfang der erforderlichen Unterstützung fest.

Klausel 9 — Meldung von Verletzungen des Schutzes personenbezogener Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten arbeitet der Auftragsverarbeiter mit dem Verantwortlichen zusammen und unterstützt ihn entsprechend, damit der Verantwortliche seinen Verpflichtungen gemäß den Artikeln 33 und 34 der Verordnung (EU) 2016/679 nachkommen kann, wobei der Auftragsverarbeiter die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen berücksichtigt.

9.1. Verletzung des Schutzes der vom Verantwortlichen verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Verantwortlichen verarbeiteten Daten unterstützt der Auftragsverarbeiter den Verantwortlichen wie folgt:

a) bei der unverzüglichen Meldung der Verletzung des Schutzes personenbezogener Daten an die zuständige(n) Aufsichtsbehörde(n), nachdem dem Verantwortlichen die Verletzung bekannt wurde, sofern relevant (es sei denn, die Verletzung des Schutzes personenbezogener Daten führt voraussichtlich nicht zu einem Risiko für die persönlichen Rechte und Freiheiten natürlicher Personen);

b) bei der Einholung der folgenden Informationen, die gemäß Artikel 33 Absatz 3 der Verordnung (EU) 2016/679 in der Meldung des Verantwortlichen anzugeben sind, wobei diese Informationen mindestens Folgendes umfassen müssen:

die Art der personenbezogenen Daten, soweit möglich, mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen sowie der Kategorien und der ungefähren Zahl der betroffenen personenbezogenen Datensätze;
die wahrscheinlichen Folgen der Verletzung des Schutzes personenbezogener Daten;
die vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Wenn und soweit nicht alle diese Informationen zur gleichen Zeit bereitgestellt werden können, enthält die ursprüngliche Meldung die zu jenem Zeitpunkt verfügbaren Informationen, und weitere Informationen werden, sobald sie verfügbar sind, anschließend ohne unangemessene Verzögerung bereitgestellt;

c) bei der Einhaltung der Pflicht gemäß Artikel 34 der Verordnung (EU) 2016/679, die betroffene Person unverzüglich von der Verletzung des Schutzes personenbezogener Daten zu benachrichtigen, wenn diese Verletzung voraussichtlich ein hohes Risiko für die Rechte und Freiheiten natürlicher Personen zur Folge hat.

9.2. Verletzung des Schutzes der vom Auftragsverarbeiter verarbeiteten Daten

Im Falle einer Verletzung des Schutzes personenbezogener Daten im Zusammenhang mit den vom Auftragsverarbeiter verarbeiteten Daten meldet der Auftragsverarbeiter diese dem Verantwortlichen unverzüglich, nachdem ihm die Verletzung bekannt wurde. Diese Meldung muss zumindest folgende Informationen enthalten:

a) eine Beschreibung der Art der Verletzung (möglichst unter Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und der ungefähren Zahl der betroffenen Datensätze);

b) Kontaktdaten einer Anlaufstelle, bei der weitere Informationen über die Verletzung des Schutzes personenbezogener Daten eingeholt werden können;

c) die voraussichtlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten, einschließlich Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

Die Parteien legen in Anhang III alle sonstigen Angaben fest, die der Auftragsverarbeiter zur Verfügung zu stellen hat, um den Verantwortlichen bei der Erfüllung von dessen Pflichten gemäß Artikel 33 und 34 der Verordnung (EU) 2016/679 zu unterstützen.

ABSCHNITT III — SCHLUSSBESTIMMUNGEN

Klausel 10 — Verstöße gegen die Klauseln und Beendigung des Vertrags

a) Falls der Auftragsverarbeiter seinen Pflichten gemäß diesen Klauseln nicht nachkommt, kann der Verantwortliche – unbeschadet der Bestimmungen der Verordnung (EU) 2016/679 – den Auftragsverarbeiter anweisen, die Verarbeitung personenbezogener Daten auszusetzen, bis er diese Klauseln einhält oder der Vertrag beendet ist. Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich, wenn er aus welchen Gründen auch immer nicht in der Lage ist, diese Klauseln einzuhalten.

b) Der Verantwortliche ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn

der Verantwortliche die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter gemäß Buchstabe a ausgesetzt hat und die Einhaltung dieser Klauseln nicht innerhalb einer angemessenen Frist, in jedem Fall aber innerhalb eines Monats nach der Aussetzung, wiederhergestellt wurde;
der Auftragsverarbeiter in erheblichem Umfang oder fortdauernd gegen diese Klauseln verstößt oder seine Verpflichtungen gemäß der Verordnung (EU) 2016/679 nicht erfüllt;
der Auftragsverarbeiter einer bindenden Entscheidung eines zuständigen Gerichts oder der zuständigen Aufsichtsbehörde(n), die seine Pflichten gemäß diesen Klauseln oder der Verordnung (EU) 2016/679 zum Gegenstand hat, nicht nachkommt.

c) Der Auftragsverarbeiter ist berechtigt, den Vertrag zu kündigen, soweit er die Verarbeitung personenbezogener Daten gemäß diesen Klauseln betrifft, wenn der Verantwortliche auf der Erfüllung seiner Anweisungen besteht, nachdem er vom Auftragsverarbeiter darüber in Kenntnis gesetzt wurde, dass seine Anweisungen gegen geltende rechtliche Anforderungen gemäß Klausel 7.1 Buchstabe b verstoßen.

d) Nach Beendigung des Vertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten und bescheinigt dem Verantwortlichen, dass dies erfolgt ist, oder er gibt alle personenbezogenen Daten an den Verantwortlichen zurück und löscht bestehende Kopien, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Bis zur Löschung oder Rückgabe der Daten gewährleistet der Auftragsverarbeiter weiterhin die Einhaltung dieser Klauseln.

ANHANG I — Liste der Parteien

Verantwortlicher

Name	(Name des Kunden — wird beim Abschluss aus den Kontodaten übernommen)
Anschrift	(Anschrift des Kunden)
Kontaktperson	(Name, Funktion, E-Mail)
Datenschutzbeauftragter	(falls bestellt)
Zustimmung und Datum	(elektronisch, mit Protokollierung — s. u.)

Auftragsverarbeiter

Name	MRMedia — Maurizio Romano, Einzelunternehmen
Anschrift	c/o Impressumservice Dein-Impressum, Stettiner Str. 41, 35410 Hungen, Deutschland
Kontaktperson	Maurizio Romano, Inhaber · `support@mrmedia.network` · 0157 9234 1658
Datenschutzbeauftragter	nicht bestellt. Die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG liegen nicht vor: MRMedia ist ein Einzelunternehmen ohne Beschäftigte, es findet keine umfangreiche Verarbeitung besonderer Kategorien und keine umfangreiche regelmäßige Überwachung statt. Ansprechpartner in Datenschutzfragen ist der Inhaber.
Zustimmung und Datum	(elektronisch, mit Protokollierung)

Zur Form des Abschlusses: Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu. Der Abschluss erfolgt durch Bestätigung im Kundenbereich; protokolliert werden Zeitpunkt, IP-Adresse, User-Agent, der vollständige Wortlaut und die Fassungsnummer dieses Dokuments — dieselbe Mechanik wie bei der AGB-Zustimmung im Bestellvorgang.

ANHANG II — Beschreibung der Verarbeitung

Vorbemerkung: wofür dieser Vertrag gilt und wofür nicht

(Erläuternd, damit die folgenden Angaben richtig gelesen werden.)

Gegenstand	Rolle MRMedia
Speicherung der Kundeninhalte auf unserem Storage	Auftragsverarbeiter — dieser Vertrag
Sicherung, Aufbewahrung und Wiederherstellung dieser Inhalte	Auftragsverarbeiter — dieser Vertrag
Bereitstellung von Konsole, Installationsmedien, Snapshot und Wiederherstellung im Panel	Auftragsverarbeiter — dieser Vertrag
Bestands- und Abrechnungsdaten (Name, Anschrift, E-Mail, Rechnungen, Zahlungen)	eigenständig Verantwortlicher — Datenschutzerklärung
Support-Tickets und E-Mail-Korrespondenz	eigenständig Verantwortlicher — Datenschutzerklärung
Server- und Zugriffs-Logfiles der Plattform, Missbrauchsbearbeitung, Behördenauskünfte	eigenständig Verantwortlicher — Datenschutzerklärung

Wichtige Einschränkung: MRMedia nimmt in die Inhalte innerhalb der Kunden-VM keinen Einblick. Betroffenenrechte kann MRMedia deshalb nach Klausel 8 nur durch Bereitstellung der Systemzugänge unterstützen — Art. 28 Abs. 3 lit. e DSGVO stellt ausdrücklich auf die Art der Verarbeitung ab. Auskünfte über den Inhalt einer VM kann MRMedia nicht erteilen.

Kategorien betroffener Personen, deren personenbezogene Daten verarbeitet werden

Der Verantwortliche bestimmt, welche Daten er auf dem Server verarbeitet. Typischerweise sind das: Endnutzer, Kunden, Interessenten, Mitglieder, Beschäftigte des Verantwortlichen sowie sonstige Personen, mit denen der Verantwortliche über die auf dem Server betriebenen Dienste in Kontakt steht.

Kategorien personenbezogener Daten, die verarbeitet werden

Bestands- und Kontaktdaten der Endnutzer des Verantwortlichen · Inhaltsdaten (Dateien, Datenbankinhalte, hochgeladene Medien) · Nutzungs- und Verbindungsdaten (Logfiles, IP-Adressen, Zeitstempel) · Anmelde- und Authentifizierungsdaten · sonstige Daten, die der Verantwortliche auf dem Server ablegt.

Verarbeitete sensible Daten und angewandte Beschränkungen oder Garantien

Nicht vorgesehen. Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie von Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO ist im Rahmen dieses Vertrags nicht vorgesehen.

Der Verantwortliche stellt sicher, dass er solche Daten nicht ohne vorherige gesonderte Vereinbarung auf den Systemen des Auftragsverarbeiters verarbeitet. Beabsichtigt er es, ist der Auftragsverarbeiter vorab zu unterrichten; die Parteien vereinbaren dann die nach Klausel 7.5 erforderlichen zusätzlichen Beschränkungen und Garantien.

Hintergrund dieser Beschränkung: die in Anhang III beschriebenen Maßnahmen sind für ein Standard-Schutzniveau ausgelegt. Etwas anderes zuzusagen, ohne es zu leisten, wäre eine Vertragsverletzung — deshalb wird der Fall hier ausgenommen statt stillschweigend eingeschlossen.

Art der Verarbeitung

Speichern, Aufbewahren, Sichern, Wiederherstellen, Übermitteln (Netzanbindung) und Löschen.

Kein Auslesen, Auswerten oder Verändern von Inhalten durch den Auftragsverarbeiter.

Zweck(e), für den/die die personenbezogenen Daten im Auftrag des Verantwortlichen verarbeitet werden

Erfüllung des Hosting-Vertrags: Bereitstellung und Betrieb des gebuchten virtuellen Servers bzw. Gameservers einschließlich Speicher und Netzanbindung sowie — soweit im gebuchten Produkt enthalten — automatischer Sicherungen.

Dauer der Verarbeitung

Für die Laufzeit des Hauptvertrags.

Nach dessen Beendigung: 14 Tage Rückholfenster, in dem der Server gesperrt, aber vorhanden bleibt und der Verantwortliche seine Daten noch abrufen kann. Danach Löschung bzw. Rückgabe nach Klausel 10 d) und Bescheinigung der Löschung. Sicherungen laufen spätestens mit ihrer Aufbewahrungsfrist von 14 Tagen aus.

ANHANG III — Technische und organisatorische Maßnahmen

Der Beschluss stellt dieser Anlage die Erläuterung voran: „Die technischen und organisatorischen Maßnahmen müssen konkret beschrieben werden; eine allgemeine Beschreibung ist nicht ausreichend." Die folgenden Angaben sind deshalb konkret und nach Produktlinie getrennt — die Linien unterscheiden sich real, und eine Sammelaussage wäre für eine von beiden unzutreffend.

Maßnahmen der Pseudonymisierung und Verschlüsselung

Sicherungen liegen im eigenen Backup-Server und sind clientseitig verschlüsselt; der Schlüssel wird getrennt vom Sicherungsziel offline vorgehalten.
Alle öffentlichen Strecken sind TLS-verschlüsselt.
Der administrative Zugang zur gesamten Flotte läuft ausschließlich über ein verschlüsseltes Overlay-Netz (WireGuard); öffentlicher SSH-Zugang ist auf allen Rechenzentrums-Hosts geschlossen.
Keine Pseudonymisierung der Inhaltsdaten. Sie ist bei einem Server, dessen Inhalte der Verantwortliche bestimmt, technisch nicht möglich, und sie wird deshalb auch nicht zugesagt.

Maßnahmen zur Identifizierung und Autorisierung der Nutzer

SSH ausschließlich mit Schlüsseln, kein Passwort-Login.
Administrativer Zugang mit erzwungener Mehr-Faktor-Authentisierung über einen eigenen Identitätsanbieter.
Getrennte, eng geschnittene Zugriffstoken je Aufgabe (Statistik nur lesend, Sicherung, Installationsmedien) statt eines Allzweck-Zugangs.

Maßnahmen zur fortdauernden Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit

	Standard-Linie (Frankfurt)	Budget-Linie und Gameserver (Gravelines)
Schutz vor Identitätsübernahme (Adressfälschung)	MAC- und IP-Bindung je Kundenserver: nur die eigene Hardware- und die eigene IP-Adresse dürfen senden, jede andere Absenderangabe wird verworfen	ebenso — am 27.07.2026 am laufenden System gemessen (s. u.)
Erreichbarkeit der Kundenserver untereinander	zusätzlich im Kernel getrennt (Bridge-Port-Isolation) — ⚠️ diese zusätzliche Trennung wird derzeit überprüft, s. „Offene Punkte"	nicht getrennt: Kundenserver können sich gegenseitig erreichen
Speicher	SSD im RAID-Mirror	nicht gespiegelt
Sicherung der Kundenserver	täglich, verschlüsselt, 14 Versionen	täglich, verschlüsselt, 14 Versionen
Paketfilter	`nftables` mit Default-Drop, `fail2ban`	ebenso
Ausgehendes SMTP	Port 25 von Kunden-VMs standardmäßig gesperrt	ebenso

Zum Schutz vor Adressfälschung — warum das keine Behauptung ist: Kundenserver hängen auf derselben Bridge im selben öffentlichen Netz. Gewöhnliche Paketfilter greifen dort nicht, weil gebrückter Verkehr an ihnen vorbeiläuft. Die Bindung ist deshalb eine Ebene tiefer gesetzt, auf der Bridge selbst: für jeden Kundenserver besteht eine eigene Filterkette, die ausschließlich Pakete mit seiner eigenen Hardware-Adresse und seiner eigenen IP-Adresse durchlässt; alles andere wird verworfen, ebenso jede Adressauskunft (ARP) für eine fremde Adresse. Damit kann kein Kunde die Adresse eines anderen übernehmen oder eine unbenutzte Adresse an sich ziehen.

Die Wirksamkeit wurde am 27.07.2026 gemessen, nicht angenommen: aus einem Kundenserver heraus wurde mit gefälschter Absenderadresse gesendet und der Netzübergang des Hosts dabei mitgeschnitten. Ergebnis: legitimer Verkehr 0 % Verlust, gefälschte Absenderadresse 0 Pakete am Übergang. Zur Vollständigkeit gehört, wie der Befund zustande kam: eine zwischenzeitlich aktivierte zusätzliche Firewall-Ebene hatte diese Filterkette wirkungslos gemacht (dieselbe Messung ergab dort 3 durchgelassene Pakete). Das wurde am selben Tag erkannt und behoben; die Messung oben ist der Zustand danach.

⚠️ Eine Einschränkung, die dazugehört: auf der Budget-Linie greift diese Bindung nur für Kundenserver in dem seit dem 27.07.2026 verwendeten Netzsegment. Für Server im zuvor genutzten Segment ist sie technisch nicht wirksam, weil deren Verkehr auf einem anderen Weg geführt wird. Die Umstellung der verbliebenen Server ist vorgemerkt; betroffen ist derzeit kein Kundenserver.

Maßnahmen zur raschen Wiederherstellbarkeit nach einem Zwischenfall

Beide Produktlinien werden täglich um 03:00 Uhr gesichert. Die Sicherung läuft auf einen eigenen, getrennt betriebenen Sicherungsserver, ist clientseitig verschlüsselt und wird in 14 Versionen vorgehalten. Wiederhergestellt wird vom Verantwortlichen selbst im Kundenpanel, ohne Ticket.

Zwei Klarstellungen, damit die Zusage nicht mehr bedeutet, als sie soll:

14 Versionen sind nicht 14 Tage. Vorgehalten werden die letzten 14 Sicherungen. Bei täglichem Lauf entspricht das etwa zwei Wochen; kommen eigene Sicherungen aus dem Panel hinzu, verkürzt sich der abgedeckte Zeitraum entsprechend.
Der RAID-Mirror der Standard-Linie ist kein Backup. Er schützt gegen den Ausfall einer Platte, nicht gegen Löschen oder Verschlüsselung durch Schadsoftware. Dafür ist die Sicherung da, nicht der Mirror.

Stand der Prüfung 27.07.2026: Auf beiden Knoten ist der tägliche Auftrag eingerichtet und aktiv; auf der Budget-Linie liegen durchgehende tägliche Sicherungen vor, auf der Standard-Linie läuft der Auftrag seit dem 26.07.2026 mit erfolgreichem Erstlauf.

Verfahren zur regelmäßigen Überprüfung und Bewertung

Automatische Überwachung der Virtualisierungs-Flotte alle 15 Minuten (Lizenzstatus, Knoten-Zustand, Alter des letzten Kontakts) mit E-Mail-Alarm.
Automatische Prüfung der gesetzlichen Kunden-Kanäle (Kündigung, Widerruf) auf Erreichbarkeit, von außen, im selben Takt.
Dokumentierter externer Portscan als Nachweis der Angriffsfläche.

Maßnahmen zum Schutz der Daten während der Übermittlung und der Speicherung

Übermittlung: TLS auf allen öffentlichen Strecken; Administration ausschließlich über das verschlüsselte Overlay. Speicherung: verschlüsselte Sicherungen (s. o.); die Datenträger der Virtualisierungsknoten selbst sind nicht verschlüsselt — bei laufenden Systemen mit Kunden-Root-Zugriff bringt eine Datenträgerverschlüsselung keinen zusätzlichen Schutz und wird deshalb nicht zugesagt.

Maßnahmen zur physischen Sicherheit

Der Betrieb erfolgt in Rechenzentren der in Anhang IV genannten Unternehmen. MRMedia selbst hat keinen physischen Zugang zu diesen Rechenzentren; Zutrittskontrolle, Brandschutz und Stromversorgung obliegen dort dem jeweiligen Betreiber.

Maßnahmen zur Protokollierung von Ereignissen

Administrative Zugriffe und systemseitige Ereignisse werden protokolliert. Was innerhalb der Kunden-VM protokolliert wird, bestimmt der Verantwortliche.

Maßnahmen zur Gewährleistung der Löschung

Nach Beendigung des Hauptvertrags: 14 Tage Rückholfenster (Server gesperrt, aber vorhanden), danach Löschung von VM und Sicherungen nach Wahl des Verantwortlichen gemäß Klausel 10 d), mit Löschbescheinigung. Die Löschung wird protokolliert.

Maßnahmen zur internen Governance

MRMedia ist ein Einzelunternehmen ohne Beschäftigte. Sämtliche administrativen Tätigkeiten werden vom Inhaber ausgeführt; eine Verpflichtung Dritter auf Vertraulichkeit ist deshalb gegenstandslos, soweit keine Unterauftragsverarbeiter nach Anhang IV betroffen sind.

⚠️ Daraus folgt zugleich eine Grenze, die hier offen benannt wird: es gibt keine Vertretung. Bei Ausfall des Inhabers verzögern sich fristgebundene Vorgänge.

Maßnahmen zur Unterstützung des Verantwortlichen (Klausel 8 d), Klausel 9.2)

Betroffenenanfragen: Weiterleitung an den Verantwortlichen unverzüglich nach Eingang; Unterstützung durch Bereitstellung der Systemzugänge und, soweit erforderlich, durch Wiederherstellung aus einer Sicherung. Inhaltliche Auskunft über VM-Inhalte ist nicht möglich.
Meldung von Verletzungen des Schutzes personenbezogener Daten: Meldung an den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden ab Kenntnis, an die im Kundenkonto hinterlegte E-Mail-Adresse, mit den in Klausel 9.2 genannten Angaben. Meldekanal auf unserer Seite: support@mrmedia.network — bewusst die Adresse des Ticketsystems und nicht eine eigene Datenschutz-Adresse. Eine Meldepflicht ist nur so viel wert wie das Postfach, in das sie läuft; support@ wird nachweislich gelesen und erzeugt einen Vorgang mit Eingangszeitpunkt.
Datenschutz-Folgenabschätzung: Bereitstellung der technischen Angaben zu Speicherort, Sicherungsverfahren und Unterauftragsverarbeitern auf Anfrage.

⚠️ Offene Punkte — ausdrücklich benannt, nicht verschwiegen

Diese Anlage sagt bewusst nur zu, was tatsächlich geleistet wird. Drei Punkte sind offen und werden hier genannt, statt hinter einer allgemeinen Formulierung zu verschwinden. Alle drei sind am 27.07.2026 am laufenden System nachgemessen — es sind keine Vermutungen.

Kundenserver sind untereinander erreichbar — das ist auf der Budget-Linie so gewollt. Der Schutz vor Adressfälschung (s. o.) verhindert, dass ein Kunde die Adresse eines anderen übernimmt; er verhindert nicht, dass Kundenserver sich gegenseitig über das Netz erreichen. Das entspricht der bewussten Entscheidung, Server nicht gegeneinander abzuschotten, weil jeder Server ohnehin aus dem offenen Internet erreichbar ist und selbst abgesichert werden muss. Auf der Standard-Linie ist zusätzlich eine Kernel-Trennung aktiv; ob sie bestehen bleibt, wird derzeit überprüft. Kunden, für die die Abschottung gegenüber anderen Kundenservern wesentlich ist, sollten den Server selbst entsprechend absichern (eigener Paketfilter) und sich nicht auf die Plattform verlassen.
Die Überwachung hat keinen unabhängigen Wächter. Fällt der überwachende Server aus, bleibt die Meldung aus. Zwei zurückliegende Vorfälle — eine einen Monat lang defekte Zertifikatskette und eine fünf Tage abgelaufene Lizenz — belegen, dass dieses Risiko real ist.
Für den Ausfall des Inhabers gibt es keine Vertretung (s. „Interne Governance"). Fristgebundene Vorgänge, auch die Meldefrist nach Klausel 9.2, verzögern sich dann.

Nicht mehr offen (Stand 27.07.2026, beides nachgemessen):

Die tägliche Sicherung besteht jetzt auf beiden Produktlinien.
Der IPv6-Paketfilter war als ungeprüft geführt. Geprüft ergibt sich: keiner der beiden Virtualisierungsknoten hat eine öffentliche IPv6-Anbindung (keine globale Adresse, keine IPv6-Standardroute), und der Paketfilter der Knoten läuft ohnehin zweistöckig — er erfasst IPv4 und IPv6 in einem Regelwerk mit Grundeinstellung „verwerfen".

ANHANG IV — Liste der Unterauftragsverarbeiter

Diese Liste ist die „vereinbarte Liste" im Sinne von Klausel 7.7 a). Änderungen werden 30 Tage im Voraus in Textform angekündigt; der Verantwortliche kann widersprechen.

Nr.	Unternehmen	Leistung	Ort der Verarbeitung
1	hostzentrum.de	Housing der dedizierten Hardware der Standard-Linie	Frankfurt am Main, Deutschland
2	OVH	dedizierte Server der Budget-Linie sowie der Infrastruktur	Gravelines, Straßburg, Roubaix — Frankreich
3	Cloudflare, Inc.	Reverse Proxy und TLS-Endpunkt der öffentlichen Web-Strecken	USA — zulässig nach Art. 45 DSGVO, s. Hinweis unten
4	24fire GmbH	virtueller Server für die Verwaltungsebene der Virtualisierung	Deutschland
5	Hetzner Online GmbH	Server für die Verwaltung des administrativen Overlay-Netzes	Deutschland

Kein Unterauftragsverhältnis sind Backup-Server, Mailserver, Kundenportal und Panel — sie laufen auf eigener Hardware bzw. in eigenen Instanzen von MRMedia.

Zahlungsdienstleister — bewusst kein Unterauftragsverarbeiter: Die Zahlungsabwicklung erfolgt über Mollie. Mollie verarbeitet die Zahlungsdaten als eigener Verantwortlicher und bestimmt Zweck und Mittel selbst; die Zahlungsdaten sind deshalb nicht Gegenstand dieses Vertrags, sondern unterliegen Mollies eigenen Datenschutzbestimmungen. Beleg: Mollies Datenschutzerklärung, Abschnitt „Verantwortlichkeiten von Mollie": „Für alle in dieser Datenschutzerklärung genannten Aktivitäten und Zwecke handelt Mollie als Verantwortlicher im Sinne der EU-Datenschutz-Grundverordnung 2016/679." Die dort genannte Ausnahme — Auftragsverarbeitung — betrifft allein Mollies Rechnungsstellungsprodukt, das MRMedia nicht nutzt. Abgerufen am 27.07.2026.

Hinweis zu Nr. 3 (Cloudflare) und Klausel 7.8 — Drittlandsübermittlung: Cloudflare hat seinen Sitz in den USA und terminiert TLS für die öffentlichen Web-Strecken. Klausel 1 f) und Erwägungsgrund 10 des Beschlusses stellen ausdrücklich klar, dass diese Klauseln allein die Anforderungen des Kapitels V DSGVO an internationale Übermittlungen nicht erfüllen. Es braucht also eine eigene Grundlage — und die liegt vor:

Cloudflare, Inc. ist in der beim U.S. Department of Commerce geführten Liste zum EU-US Data Privacy Framework mit dem Status aktiv eingetragen (Organisation-ID 5666, erfasste Kategorie Non-HR-Daten, laufende Zertifizierung bis 23.09.2026, Beschwerdestelle Federal Trade Commission; abgefragt am 27.07.2026). Die Übermittlung ist damit durch den Angemessenheitsbeschluss der Europäischen Kommission gedeckt und nach Art. 45 DSGVO zulässig; zusätzliche Garantien nach Art. 46 DSGVO sind nicht erforderlich.

⚠️ Wiedervorlage: Die Zertifizierung ist jährlich zu erneuern. Sie wird vor dem 23.09.2026 erneut geprüft; entfällt sie, entfällt die Grundlage. Das Prüfergebnis wird mit Datum dokumentiert und auf Anfrage vorgelegt.