Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO
Stand: 15. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und Nona Consult LLC, 30 N Gould St Ste R, Sheridan, WY 82801, USA, handelnd unter der Marke „Fuyonet“, als Auftragsverarbeiter („Auftragnehmer“). Er ergänzt die Allgemeinen Geschäftsbedingungen und gilt für alle Dienste, bei denen der Auftragnehmer im Auftrag des Kunden personenbezogene Daten verarbeitet.

Abschluss: Der AVV wird mit Abschluss des Hostingvertrags bzw. mit Nutzung der Dienste Vertragsbestandteil, ohne dass es einer gesonderten Unterschrift bedarf.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung von Webhosting-, E-Mail-, Datenbank-, Server- und damit verbundenen Diensten. Der AVV gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet.

2. Art, Zweck, Datenarten und Betroffene

Art und Zweck: Speicherung, Hosting, Übertragung, Sicherung (Backup) und technische Bereitstellung der vom Auftraggeber eingebrachten Inhalte; Zustellung von E-Mails; Betrieb, Wartung und Fehlerbehebung der Systeme.
Datenarten: alle Daten, die der Auftraggeber oder seine Nutzer auf den Diensten speichern oder verarbeiten, insbesondere Bestands-, Kontakt-, Kommunikations-, Vertrags- und Nutzungsdaten, Inhalte von E-Mails, Dateien und Datenbanken sowie Protokolldaten (z. B. IP-Adressen in Server-Logs).
Betroffene: Kunden, Interessenten, Besucher, Nutzer, Beschäftigte und Kommunikationspartner des Auftraggebers.

Der Auftragnehmer nimmt vom Inhalt der Kundendaten nur Kenntnis, soweit dies zur Erbringung, Sicherung oder Wartung der Dienste, auf Weisung des Auftraggebers oder aufgrund gesetzlicher Pflichten erforderlich ist.

3. Ort der Verarbeitung

Die Server, auf denen die Kundendaten gespeichert und verarbeitet werden, stehen in Rechenzentren in der Europäischen Union (Frankreich). Datensicherungen werden ebenfalls in der EU gespeichert.

Administrative Zugriffe und Support (z. B. Wartung, Fehlerbehebung, Bearbeitung von Anfragen) können durch den Auftragnehmer von außerhalb der EU erfolgen. Soweit hierbei personenbezogene Daten in ein Drittland übermittelt werden, gelten die EU-Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission, Modul 2 (Verantwortlicher an Auftragsverarbeiter), die durch Verweis Bestandteil dieses AVV sind (siehe Ziffer 11).

4. Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers – einschließlich der durch die Konfiguration der Dienste erteilten Weisungen –, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet. In diesem Fall teilt er dies dem Auftraggeber vorher mit, sofern das Gesetz dies nicht verbietet. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber darauf hin.

5. Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutrittskontrolle: Betrieb in professionellen Rechenzentren mit Zugangskontrolle, Videoüberwachung und 24/7-Sicherheitspersonal.
Zugangs- und Zugriffskontrolle: administrativer Zugang nur für berechtigtes Personal über verschlüsselte Verbindungen (SSH mit Schlüsseln, TLS); Trennung der Kunden durch eigene Systembenutzer, Dateirechte und PHP-Prozesse je Abonnement; Schutz gegen Angriffe durch Firewall und automatische Sperrung (fail2ban).
Weitergabekontrolle: verschlüsselte Übertragung (HTTPS/TLS, SMTP/IMAP/POP3 mit TLS, SFTP/FTPS); verschlüsselte Übertragung der Datensicherungen.
Eingabekontrolle: Protokollierung administrativer Vorgänge im Control Panel und auf Systemebene.
Verfügbarkeitskontrolle: regelmäßige Datensicherungen, redundante Stromversorgung und Netzanbindung der Rechenzentren, Überwachung der Systeme rund um die Uhr, zeitnahe Sicherheitsupdates.
Trennungskontrolle: logische Trennung der Daten verschiedener Kunden.
Überprüfung: regelmäßige Überprüfung und Anpassung der Maßnahmen an den Stand der Technik.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Derzeit eingesetzt:

Betreiber der Rechenzentren und der Server-Infrastruktur, Sitz und Verarbeitungsort Frankreich (EU) – Bereitstellung von Rechenzentrum, Hardware und Netzanbindung.
Anbieter von Cloud-Speicher für Datensicherungen, Speicherort Niederlande (EU) – Ablage von Sicherungskopien der Server.

Die vollständigen Angaben zu den Unterauftragsverarbeitern teilen wir Kunden auf Anfrage mit. Über beabsichtigte Änderungen informiert der Auftragnehmer den Auftraggeber vorab; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.

8. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung). Viele Rechte kann der Auftraggeber über das Control Panel selbst umsetzen (z. B. Löschen von Postfächern, Dateien und Datenbanken).

9. Meldung von Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Auftraggebers betrifft, und stellt die für eine Meldung nach Art. 33 DSGVO erforderlichen Informationen bereit, soweit sie ihm vorliegen.

10. Löschung und Rückgabe

Nach Ende des Vertrags löscht der Auftragnehmer die Kundendaten, sofern keine gesetzliche Aufbewahrungspflicht besteht. Der Auftraggeber kann seine Daten bis zum Vertragsende selbst über das Control Panel bzw. per FTP/SFTP, IMAP und Datenbank-Export sichern. Datensicherungen werden im Rahmen der regulären Rotation gelöscht.

11. Drittlandübermittlung – EU-Standardvertragsklauseln

Für Übermittlungen im Sinne von Ziffer 3 vereinbaren die Parteien die Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914, Modul 2, mit folgenden Festlegungen: Klausel 7 (Kopplungsklausel) findet keine Anwendung; Klausel 9 Option 2 (allgemeine Genehmigung, Information mit angemessener Frist); Klausel 11 Option entfällt; Klausel 17: Recht Frankreichs; Klausel 18: Gerichte in Frankreich. Anhang I (Parteien, Beschreibung der Übermittlung) ergibt sich aus Ziffern 1–3, Anhang II (TOM) aus Ziffer 6, Anhang III (Unterauftragsverarbeiter) aus Ziffer 7 dieses AVV. Im Fall von Widersprüchen gehen die Standardvertragsklauseln vor.

12. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung. Kontrollen erfolgen vorrangig durch Auskünfte und Unterlagen; Vor-Ort-Kontrollen nach angemessener Vorankündigung, während der Geschäftszeiten und ohne Störung des Betriebs.

13. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen des Hauptvertrags. Bei Widersprüchen zwischen diesem AVV und anderen Vereinbarungen geht dieser AVV in Bezug auf den Datenschutz vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Kontakt

Nona Consult LLC – Fuyonet. Fragen zum Datenschutz und Anfragen zu diesem AVV bitte über das Kundenkonto (Ticket) oder unser Kontaktformular.