Auftragsverarbeitungsvertrag (AVV)

CTS-Hosting UG (nachfolgend „Auftragsverarbeiter") verarbeitet personenbezogene Daten im Auftrag des Kunden (nachfolgend „Verantwortlicher") im Rahmen der vertraglich vereinbarten Hosting-Dienstleistungen. Die Laufzeit des AVV entspricht der Laufzeit des Hauptvertrages.

Gegenstand der Verarbeitung sind alle Tätigkeiten, die zur Erbringung der gebuchten Dienstleistungen erforderlich sind, insbesondere:

• Bereitstellung und Betrieb von Server-Infrastruktur (KVM, Storage, Game-Server)
• Speicherung von Kundendaten auf bereitgestelltem Speicherplatz
• Übertragung von Daten über das Netzwerk
• Backup und Snapshot-Erstellung sofern gebucht
• Zugriffsverwaltung und Authentifizierung über das Kundenpanel

Die Verarbeitung erfolgt ausschließlich zur Erbringung der im Hauptvertrag vereinbarten Dienstleistungen. Eine darüber hinausgehende Nutzung oder Weitergabe der Daten an Dritte findet nicht statt, sofern keine gesetzliche Verpflichtung besteht.

Art der verarbeiteten Daten:

• Kontaktdaten (Name, E-Mail-Adresse, Rechnungsadresse)
• Zugangsdaten (Benutzername, gehashte Passwörter, Session-Tokens)
• Nutzungsdaten (Log-Daten, IP-Adressen, Zeitstempel)
• Alle weiteren Daten, die der Verantwortliche auf der gebuchten Infrastruktur speichert

Kategorien betroffener Personen:

• Kunden und Nutzer des Verantwortlichen
• Mitarbeiter und Dienstleister des Verantwortlichen
• Endnutzer der vom Verantwortlichen betriebenen Dienste

CTS-Hosting UG verpflichtet sich:

• Personenbezogene Daten ausschließlich nach dokumentierter Weisung des Verantwortlichen zu verarbeiten — dies gilt auch für Übermittlungen in Drittländer, sofern nicht eine rechtliche Verpflichtung nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht; in diesem Fall wird der Verantwortliche vor der Verarbeitung unterrichtet, soweit das Recht dies nicht verbietet
• Sicherzustellen, dass zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben
• Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen
• Den Verantwortlichen unverzüglich zu informieren, wenn eine Weisung gegen geltendes Datenschutzrecht verstößt
• Bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) mitzuwirken
• Nach Wahl des Verantwortlichen alle personenbezogenen Daten zu löschen oder zurückzugeben
• Dem Verantwortlichen alle zur Nachweisführung erforderlichen Informationen bereitzustellen

Zugangskontrolle

• Passwortgeschützte Systeme mit Mindestlänge und Komplexitätsanforderungen
• Zwei-Faktor-Authentifizierung (TOTP, Passkey, Backup-Codes)
• Rollenbasierte Zugriffskontrolle (RBAC)
• Automatische Session-Invalidierung

Datenübertragung

• Verschlüsselung aller Datenübertragungen via TLS 1.2/1.3
• HTTPS-erzwingung mit HSTS (Strict-Transport-Security)
• Zertifikatsverwaltung via Let's Encrypt / CloudFlare

Verschlüsselung gespeicherter Geheimnisse

• Zugangsdaten wie TOTP-Secrets, SSH-Private-Keys, RCON-, FTP- und Root-Passwörter sowie Webhook-Signaturschlüssel werden mit AES-256-GCM verschlüsselt gespeichert
• Passwörter werden ausschließlich als bcrypt-Hash abgelegt, niemals im Klartext
• Sitzungstoken liegen nur als Hash in der Datenbank

Prüfung von Uploads

• Virenprüfung hochgeladener Dateien vor der Speicherung
• Abgleich des tatsächlichen Dateiinhalts mit dem angegebenen Dateityp
• Abweisung von Dateien mit eingebettetem Skript- oder HTML-Inhalt

Verfügbarkeit und Integrität

• Regelmäßige automatisierte Backups
• DDoS-Schutz auf Netzwerkebene
• Monitoring und Alerting für kritische Dienste
• Redundante Netzwerkanbindung

CTS-Hosting UG nutzt folgende Unterauftragsverarbeiter. Eine Änderung wird dem Verantwortlichen mindestens 30 Tage im Voraus mitgeteilt:

• Cloudflare Inc. (USA) — CDN, DDoS-Schutz, DNS, Bot-Schutz — Standardvertragsklauseln gem. Art. 46 DSGVO
• Kyberio (DE) — Rechenzentrumsinfrastruktur — Sitz in der EU
• Stripe Inc. (USA) — Zahlungsabwicklung — Standardvertragsklauseln gem. Art. 46 DSGVO
• Resend (USA) — Versand transaktionaler E-Mails — Standardvertragsklauseln gem. Art. 46 DSGVO
• Groq Inc. (USA) — KI-gestützte Vorsortierung und Erstbeantwortung von Supportanfragen — Standardvertragsklauseln gem. Art. 46 DSGVO
• Discord Inc. (USA) — Support-Tickets über den Discord-Bot, sofern dieser Kanal genutzt wird — Standardvertragsklauseln gem. Art. 46 DSGVO
• Google Ireland Ltd. — Virenprüfung hochgeladener Dateianhänge (VirusTotal) — Standardvertragsklauseln gem. Art. 46 DSGVO
• INWX GmbH & Co. KG (DE) — Domainregistrierung und DNS-Verwaltung — Sitz in der EU

Bei der KI-gestützten Supportverarbeitung werden IP-Adressen, E-Mail-Adressen, IBANs, Kartennummern und Rufnummern vor der Übermittlung automatisch durch Platzhalter ersetzt und erst in der Antwort wieder eingesetzt. Freitext kann dennoch personenbezogene Angaben enthalten.

Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern nach Maßgabe dieser Regelung.

CTS-Hosting UG informiert den Verantwortlichen unverzüglich, jedoch spätestens innerhalb von 24 Stunden nach Bekanntwerden über:

• Datenpannnen gemäß Art. 33 DSGVO (Verletzung des Schutzes personenbezogener Daten)
• Anfragen von Aufsichtsbehörden, die personenbezogene Daten des Verantwortlichen betreffen
• Anfragen betroffener Personen, sofern erkennbar personenbezogene Daten des Verantwortlichen betroffen sind

Die kurze Frist ist bewusst gewählt: Die 72-Stunden-Frist des Art. 33 Abs. 1 DSGVO gilt für die Meldung des Verantwortlichen an die Aufsichtsbehörde. Würden wir als Auftragsverarbeiter diese Frist selbst ausschöpfen, bliebe dem Verantwortlichen keine Zeit mehr für seine eigene Meldung.

Sicherheitsvorfälle werden über das Kundenpanel unter Einstellungen → Sicherheit und per E-Mail mitgeteilt.

Der Verantwortliche ist berechtigt, die Einhaltung der Datenschutzvorschriften bei CTS-Hosting UG zu überprüfen. Audits sind mit einer Vorlaufzeit von mindestens 4 Wochen anzukündigen und während der regulären Geschäftszeiten durchzuführen.

Alternativ können Prüfberichte oder Zertifizierungen als gleichwertiger Nachweis akzeptiert werden (Art. 28 Abs. 3 lit. h DSGVO).

Anfragen zum AVV und zum Datenschutz sind zu richten an:

Dieser AVV gilt als Anlage zum Hauptvertrag und tritt mit Vertragsschluss in Kraft. Änderungen bedürfen der Textform.