Zurück zu Alethira OS

Vertrag zur Auftragsverarbeitung (AVV)

Stand: 10. Juli 2026 | Gemäß Art. 28 DSGVO

§1 Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten im Auftrag durch die Alethira OS (Sven Hädrich, Eppsteiner Straße 6, 65719 Hofheim am Taunus) als Auftragsverarbeiter für den Kunden als Verantwortlichen im Sinne von Art. 4 Nr. 7 DSGVO.

Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags über die Nutzung der Alethira OS CRM-Plattform.

§2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Hosting, die Speicherung und die Verarbeitung von Kundendaten (Kontakte, Projekte, Rechnungen, Kommunikation) auf der Alethira OS Plattform. Die Datenverarbeitung erfolgt ausschließlich auf Servern in Deutschland (Hetzner GEX44, Nürnberg).

Art der verarbeiteten Daten: Kontaktdaten (Name, Adresse, Telefon, E-Mail), Vertragsdaten (Rechnungen, Angebote, Projekte), Kommunikationsdaten (CRM-Notizen, Aktivitäten), ggf. Gesundheitsdaten (bei Heilpraxis-Modul), ggf. Bankdaten (IBAN).

Kategorien betroffener Personen: Kunden des Verantwortlichen, Interessenten, Lieferanten, Mitarbeiter des Verantwortlichen.

§3 Technisch-organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter setzt folgende TOMs gemäß Art. 32 DSGVO ein:

  • Zutrittskontrolle: Rechenzentrum mit Zutrittssicherung (Hetzner ISO 27001)
  • Zugangskontrolle: Firewall (UFW) mit Default-Deny-Policy, SSH-Schlüsselauthentifizierung, Fail2Ban
  • Zugriffskontrolle: Rollenbasiertes Berechtigungskonzept (Superadmin/Admin/Benutzer), Container-Isolation
  • Weitergabekontrolle: Verschlüsselung sensibler Felder (AES-256-GCM), TLS-Transportverschlüsselung
  • Eingabekontrolle: Audit-Logs mit 200 Einträgen, Protokollierung von Login/Export/Löschung
  • Verfügbarkeitskontrolle: Tägliche GPG-verschlüsselte Backups auf lokale SSD, RAID-Konfiguration, USV
  • Trennungskontrolle: Mandantenfähige Datenbank-Architektur (pro Tenant eigene PostgreSQL-Datenbank)
  • Speicherbegrenzung: Datei-Uploads sind je Tarif auf ein festes Kontingent begrenzt (10–500 GB). Bei 80% Auslastung erfolgt eine automatisierte Benachrichtigung an den Kunden.

§4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Er stellt sicher, dass sich die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO).

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung).

§5 Rechte und Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich (Art. 5 Abs. 2 DSGVO). Er hat das Recht, die Einhaltung der TOMs beim Auftragsverarbeiter zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO).

§6 Subunternehmer

Folgende Subunternehmer werden eingesetzt:

  • Hetzner Online GmbH (Industriestr. 25, 91710 Gunzenhausen) – Server-Hosting, Rechenzentrum Nürnberg. Zertifiziert nach ISO 27001.
  • Immobilien Scout GmbH (Invalidenstr. 65, 10557 Berlin) – ImmobilienScout24-API für das optionale Exposé-Publishing. Die Datenübermittlung erfolgt nur nach aktiver OAuth-Autorisierung durch den Kunden.

Der Auftragsverarbeiter informiert den Verantwortlichen vor der Einbindung weiterer Subunternehmer und räumt ein Widerspruchsrecht ein.

§7 Betroffenenrechte

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) im Rahmen seiner Möglichkeiten (Art. 28 Abs. 3 lit. e DSGVO).

§8 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags werden alle personenbezogenen Daten des Verantwortlichen gelöscht. Auf Wunsch erhält der Verantwortliche vor der Löschung eine vollständige Kopie seiner Daten (Export-Funktion unter Einstellungen → DSGVO & Daten).

§9 Schriftform

Dieser Vertrag wird elektronisch geschlossen. Die elektronische Bestätigung der AVV im Rahmen des Onboarding-Wizards gilt als verbindliche Zustimmung beider Parteien.

Auf Wunsch wird dem Kunden eine personalisierte PDF-Version mit Stammdaten zur Verfügung gestellt.