1. Präambel & Anwendungsbereich

SharpMailserver ist selbst betriebene Software. Im Regelbetrieb verarbeitet die iqmeta GmbH ("Auftragsverarbeiter") keine personenbezogenen Daten aus dem Mailsystem des Kunden ("Verantwortlicher"). Dieser AVV gilt nur, soweit der Auftragsverarbeiter Zugriff auf solche Daten erhält, insbesondere wenn der Verantwortliche Fernwartungszugriff gewährt, Logdateien, Diagnosepakete oder Beispielnachrichten übermittelt oder Installation, Migration oder Betriebsleistungen beauftragt. Er ist Bestandteil des Lizenzvertrags und wird mit Annahme der AGB wirksam. Eine unterschriebene Ausfertigung kann jederzeit angefordert werden.

2. Gegenstand, Art und Zweck

Gegenstand: Support, Fehleranalyse, Installation, Migration und (falls beauftragt) Betrieb von SharpMailserver. Art: Zugriff, Lesen, Kopieren zur Analyse, Löschen. Zweck: Erfüllung der Support- und Serviceverpflichtungen. Dauer: Laufzeit des Lizenzvertrags bzw. des jeweiligen Serviceauftrags.

3. Datenkategorien und Betroffene

Daten: E-Mail-Metadaten und -Inhalte, Anhänge, Adressbücher, Kalendereinträge, Konto- und Protokolldaten (IP-Adressen, Zeitstempel, Benutzernamen). Betroffene: Beschäftigte und Nutzer des Verantwortlichen, deren Kommunikationspartner und Kontakte. Besondere Kategorien (Art. 9 DSGVO) können in Nachrichteninhalten enthalten sein; der Verantwortliche minimiert deren Übermittlung.

4. Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Drittlandübermittlungen, sofern er nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten dazu verpflichtet ist. Weisungen erfolgen über das Supportticket, die Fernwartungssitzung oder den Serviceauftrag. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

5. Pflichten des Auftragsverarbeiters

Vertraulichkeit: Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
Sicherheit: Umsetzung der technischen und organisatorischen Maßnahmen gemäß Anlage 1 (Art. 32 DSGVO).
Unterstützung bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen und Konsultationen (Art. 32 bis 36 DSGVO).
Meldung von Datenschutzverletzungen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
Löschung oder Rückgabe aller Daten nach Abschluss der Leistung, sofern keine gesetzliche Aufbewahrungspflicht besteht; Supportdaten werden spätestens 30 Tage nach Ticketabschluss gelöscht.
Bereitstellung aller zum Nachweis erforderlichen Informationen und Duldung von Kontrollen, vorrangig durch Vorlage von Dokumentation; Vor-Ort-Kontrollen mit 30 Tagen Vorankündigung zu Geschäftszeiten.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der in der Liste der Unterauftragsverarbeiter genannten Dienstleister. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mindestens 30 Tage im Voraus durch Aktualisierung der Liste und auf Wunsch per E-Mail; der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen widersprechen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf. Bei reiner Fernwartung erhält kein Unterauftragsverarbeiter Mail-Daten des Kunden.

7. Internationale Übermittlung

Mail-Daten des Kunden werden ausschließlich innerhalb der Europäischen Union verarbeitet. Fernwartung erfolgt aus Deutschland. Eine Übermittlung in Drittländer setzt eine vorherige Weisung und eine geeignete Garantie nach Art. 44 ff. DSGVO voraus.

8. Anlage 1: Technische und organisatorische Maßnahmen

Zutrittskontrolle: Server in nach ISO/IEC 27001 zertifizierten Rechenzentren in Deutschland; Bürozugang beschränkt.
Zugangskontrolle: persönliche Konten, starke Passwörter und Mehr-Faktor-Authentifizierung, automatische Bildschirmsperre, Vollverschlüsselung aller Endgeräte.
Zugriffskontrolle: rollenbasierte Berechtigungen nach dem Minimalprinzip; Fernwartung nur in vom Verantwortlichen initiierten und beobachtbaren Sitzungen; kein dauerhafter Zugriff.
Weitergabekontrolle: TLS 1.2+ für alle Übertragungen; Diagnosedateien nur über verschlüsselte Kanäle (z. B. Encrypted File Share mit AES-256-GCM).
Eingabekontrolle: Protokollierung von Supportsitzungen und Ticketverlauf.
Verfügbarkeitskontrolle: Datensicherung, Patchmanagement, Malwareschutz, Monitoring.
Trennungsgebot: Kundendaten werden je Ticket getrennt gespeichert und nach Abschluss gelöscht.
Überprüfung: regelmäßige Überprüfung der Maßnahmen, Schulung der Mitarbeitenden zu Datenschutz und Vertraulichkeit.

9. Schlussbestimmungen

Bei Widersprüchen geht dieser AVV anderen Vereinbarungen in Datenschutzfragen vor. Die Haftung richtet sich nach Art. 82 DSGVO und den AGB. Es gilt deutsches Recht; Gerichtsstand ist Stuttgart.

Auftragsverarbeitungsvertrag (AVV)