Auftragsverarbeitungsvertrag YoureCom Cloud
Stand 18.10.2026
zwischen
dem Kunden von YoureCom Cloud, wie im Kundenkonto bzw. in der Bestellung angegeben
– Verantwortlicher, nachfolgend „Auftraggeber“ –
und
Marcel Beckers, handelnd unter „YoureCom“, Goethestr. 33, 42327 Wuppertal, info@yourecom.de
– Auftragsverarbeiter, nachfolgend „Auftragnehmer“ –
1. Gegenstand und Verhältnis zum Cloud-Vertrag
(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien bei der Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen des Cloud-Vertrags über YoureCom Cloud nach den AGB von YoureCom Cloud („Cloud-Vertrag“).
(2) Gegenstand der Auftragsverarbeitung sind Bereitstellung, Hosting, Betrieb, Wartung und Aktualisierung der Instanz des Auftraggebers, Datensicherung und Wiederherstellung, technische Fehleranalyse und Support sowie Datenexport und Löschung bei Vertragsende.
(3) Nicht Gegenstand dieses Vertrags ist die Verarbeitung von Vertrags-, Kontakt- und Abrechnungsdaten des Auftraggebers für eigene Zwecke des Auftragnehmers (z. B. Vertragsverwaltung, Rechnungsstellung, Erfüllung eigener Aufbewahrungspflichten). Insoweit ist der Auftragnehmer selbst Verantwortlicher.
(4) Bei Widersprüchen geht dieser Vertrag hinsichtlich der Auftragsverarbeitung den Regelungen des Cloud-Vertrags vor.
2. Dauer
(1) Dieser Vertrag beginnt mit Abschluss des Cloud-Vertrags und endet mit dessen Beendigung. Er gilt darüber hinaus fort, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet, insbesondere während eines Übergangs- oder Datenabrufzeitraums und bis zur Löschung aller Sicherungskopien (Ziffer 10).
3. Art und Zweck der Verarbeitung, Datenarten, betroffene Personen
(1) Art der Verarbeitung: Speichern, Organisieren, Auslesen, Abfragen, Übermitteln (an den Auftraggeber bzw. auf dessen Weisung), Sichern, Wiederherstellen, Einschränken und Löschen. Inhaltliche Auswertungen der Daten für eigene Zwecke nimmt der Auftragnehmer nicht vor.
(2) Zweck: Erbringung der Leistungen nach Ziffer 1 Abs. 2 sowie Schutz der Infrastruktur und Erkennung von Sicherheitsvorfällen.
(3) Kategorien betroffener Personen und Datenarten ergeben sich je nach Produkt und Nutzung durch den Auftraggeber aus der folgenden Übersicht:
a) Alle Produkte: registrierte Nutzer, Administratoren und Besucher der Instanz – Benutzername, E-Mail-Adresse, Passwort-Hash, Profilangaben, Rollen und Berechtigungen, IP-Adressen und Zeitstempel, technische Protokolldaten, Inhalte (Beiträge, Kommentare, Nachrichten, Dateien).
b) Tippspiel und Pulse: zusätzlich Tipps, Ranglisten, Aktivitäts- und Interaktionsdaten der Mitglieder.
c) Arbeitsplatz: zusätzlich Aufgaben, Zuständigkeiten, Kommentare und Zeitangaben der beteiligten Personen (häufig Beschäftigte des Auftraggebers).
d) Shop: zusätzlich Kunden des Auftraggebers – Name, Rechnungs- und Lieferanschrift, Bestell- und Kommunikationsdaten, Zahlungsstatus. Vollständige Zahlungsdaten werden nicht in der Instanz gespeichert.
(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) sind nicht Gegenstand der Verarbeitung. Will der Auftraggeber solche Daten verarbeiten, teilt er dies vorher in Textform mit; die Parteien vereinbaren dann ggf. zusätzliche Schutzmaßnahmen.
4. Ort der Verarbeitung, Drittlandübermittlung
(1) Die Verarbeitung erfolgt ausschließlich in der Bundesrepublik Deutschland bzw. in einem Mitgliedstaat der EU oder des EWR.
(2) Eine Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Auftraggebers und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, es sei denn, der Auftragnehmer ist nach Unionsrecht oder dem Recht eines Mitgliedstaats hierzu verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vorher mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
5. Weisungen
(1) Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind abschließend in diesem Vertrag und im Cloud-Vertrag festgelegt und werden durch die Nutzung der Administrationsfunktionen der Instanz sowie durch Einzelweisungen in Textform (z. B. Support-Anfragen per E-Mail) konkretisiert.
(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er darf die Durchführung der Weisung aussetzen, bis sie vom Auftraggeber bestätigt oder geändert wird.
(3) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt. Ein dadurch entstehender, nicht unerheblicher Mehraufwand kann nach vorheriger Vereinbarung vergütet werden.
6. Pflichten des Auftragnehmers
(1) Der Auftragnehmer gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(2) Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Anfrage mit.
(3) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, soweit nicht anders angewiesen.
(4) Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
(5) Der Auftragnehmer führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
(6) Der Auftragnehmer nennt dem Auftraggeber als Ansprechpartner für Datenschutzfragen: Marcel Beckers, info@yourecom.de. Ein Datenschutzbeauftragter ist beim Auftragnehmer derzeit nicht zu benennen (§ 38 BDSG, Art. 37 DSGVO).
7. Pflichten des Auftraggebers
(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, insbesondere das Vorliegen einer Rechtsgrundlage, die Erfüllung der Informationspflichten (Art. 13, 14 DSGVO) und die Wahrung der Rechte betroffener Personen, verantwortlich.
(2) Der Auftraggeber verwaltet die Nutzerkonten und Berechtigungen in seiner Instanz, schützt seine Zugangsdaten und informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung oder Anhaltspunkte für eine Verletzung des Schutzes personenbezogener Daten feststellt.
8. Unterauftragsverarbeiter
(1) Der Auftraggeber genehmigt den Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter.
(2) Der Auftraggeber erteilt darüber hinaus die allgemeine Genehmigung, weitere Unterauftragsverarbeiter hinzuzuziehen oder bestehende zu ersetzen. Der Auftragnehmer informiert den Auftraggeber hierüber mindestens 30 Tage vorher in Textform. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, ist der Auftraggeber berechtigt, den Cloud-Vertrag zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich zu kündigen; im Voraus gezahlte Entgelte werden zeitanteilig erstattet.
(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Pflichterfüllung.
(4) Keine Unterauftragsverhältnisse im Sinne dieser Ziffer sind Leistungen Dritter, die der Auftragnehmer als reine Nebenleistung in Anspruch nimmt und bei denen kein Zugriff auf personenbezogene Daten des Auftraggebers vorgesehen ist (z. B. Telekommunikationsleistungen, reine Domain-Registrierung). Der Auftragnehmer trifft auch insoweit angemessene Vorkehrungen zum Schutz der Daten.
9. Verletzungen des Schutzes personenbezogener Daten
(1) Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse.
(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene oder vorgeschlagene Maßnahmen. Noch nicht verfügbare Informationen werden unverzüglich nachgereicht.
(3) Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen zur Eindämmung und Behebung, dokumentiert den Vorfall und unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO). Die Entscheidung über Meldungen an die Aufsichtsbehörde und die betroffenen Personen trifft der Auftraggeber.
10. Rückgabe und Löschung nach Vertragsende
(1) Nach Beendigung des Cloud-Vertrags gibt der Auftragnehmer nach Wahl des Auftraggebers die personenbezogenen Daten zurück oder löscht sie (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt durch Bereitstellung eines vollständigen Exports (ein Archiv mit der Datenbank als SQL-Datei und den hochgeladenen Dateien) innerhalb des Datenabrufzeitraums von 30 Kalendertagen nach § 17 der AGB; ein Übergangszeitraum nach § 17 Abs. 3 der AGB bleibt unberührt.
(2) Nach Ablauf des Datenabrufzeitraums, oder früher, wenn der Auftraggeber dies verlangt, löscht der Auftragnehmer die produktive Instanz einschließlich Datenbank und Dateien vollständig.
(3) In Sicherungskopien enthaltene Daten werden nicht gesondert gelöscht, sondern spätestens mit Ablauf der Aufbewahrungsfristen der Sicherungen (14 Tage auf dem Server; die letzten sieben Sicherungsstände der externen Sicherung) gelöscht bzw. überschrieben. Bis dahin werden sie ausschließlich zur Wiederherstellung auf Anweisung des Auftraggebers verwendet und durch die Maßnahmen nach Anlage 1 geschützt.
(4) Besteht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung, wird die Verarbeitung der betroffenen Daten eingeschränkt und die Daten nach Wegfall der Pflicht gelöscht.
(5) Der Auftragnehmer bestätigt die Löschung auf Verlangen in Textform.
11. Nachweise und Kontrollen
(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag zur Verfügung, insbesondere eine aktuelle Fassung der Anlagen 1 und 2.
(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber des Auftragnehmers ist, ist berechtigt, Überprüfungen einschließlich Inspektionen durchzuführen. Prüfungen sind mit angemessener Frist, in der Regel mindestens 14 Tage, anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Der Schutz der Daten anderer Kunden und von Sicherheitsinformationen ist zu wahren.
(3) Jede Partei trägt ihre eigenen Kosten einer Prüfung. Übersteigt der Aufwand des Auftragnehmers einen Arbeitstag pro Kalenderjahr, kann er eine angemessene Vergütung nach vorheriger Vereinbarung verlangen, es sei denn, die Prüfung ergibt einen erheblichen Verstoß des Auftragnehmers.
12. Haftung
(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Innenverhältnis haftet jede Partei für Schäden, die auf ihren eigenen Pflichtverletzungen beruhen; Art. 82 Abs. 5 DSGVO bleibt unberührt.
(2) Im Übrigen gelten die Haftungsregelungen des Cloud-Vertrags (§ 16 der AGB), soweit zwingendes Datenschutzrecht nicht entgegensteht.
13. Schlussbestimmungen
(1) Dieser Vertrag wird elektronisch im Rahmen der Bestellung geschlossen (Art. 28 Abs. 9 DSGVO). Änderungen und Ergänzungen bedürfen der Textform.
(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(3) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gilt § 20 der AGB.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Stand: 18.10.2026 Beschrieben ist der tatsächlich umgesetzte Stand; geplante Maßnahmen sind als solche gekennzeichnet.
1. Vertraulichkeit
Zutrittskontrolle (Rechenzentrum): Die Server werden bei der NetzLiving GmbH in Rechenzentren in Frankfurt am Main betrieben. Die physische Zutrittskontrolle (Zugangssysteme, Videoüberwachung, Besucherregelung) obliegt dem Rechenzentrumsbetreiber; Nachweise werden beim Unterauftragsverarbeiter angefordert.
Zutrittskontrolle (externe Sicherung): Die externe Sicherungskopie wird auf einem Rechner des Auftragnehmers im Büro Goethestr. 33, 42327 Wuppertal gespeichert. Die Sicherungsdateien liegen ausschließlich verschlüsselt vor; der Rechner ist mit Benutzerpasswort und automatischer Bildschirmsperre geschützt.
Zugangskontrolle: Administrativer Serverzugang ausschließlich per SSH mit Schlüsselauthentifizierung; Passwort-Login ist deaktiviert. Eine Zwei-Faktor-Authentifizierung wird derzeit nicht eingesetzt; ihre Einführung ist geplant. Administrative Zugänge zu Diensten des Rechenzentrumsbetreibers sind mit starken, individuellen Passwörtern gesichert. Zugang hat ausschließlich der Auftragnehmer persönlich.
Zugriffskontrolle: Jede Instanz verfügt über eine eigene Datenbank mit eigenem Datenbankbenutzer, der nur auf diese Datenbank berechtigt ist, sowie über ein eigenes Installationsverzeichnis. Der Dateisystemzugriff von PHP ist je Instanz per open_basedir auf das eigene Verzeichnis beschränkt. Die PHP-Prozesse der Instanzen laufen derzeit unter einem gemeinsamen Systembenutzer; die Einführung getrennter Systembenutzer bzw. PHP-FPM-Pools je Instanz ist geplant. Innerhalb der Instanz steuert der Auftraggeber Rollen und Berechtigungen selbst.
Trennungskontrolle: Getrennte Installation, Datenbank, Datenbankzugang, Verzeichnisstruktur und Subdomain je Instanz; dadurch auch Trennung von Cookies und Browser-Ursprüngen. Test- und Entwicklungsumgebungen arbeiten nicht mit Produktivdaten.
2. Integrität
Weitergabekontrolle: Zugriff auf Instanzen ausschließlich über HTTPS (TLS) mit automatisch erneuerten Zertifikaten. Administrative Zugriffe ausschließlich über SSH. Sicherungen werden vor der Übertragung an den externen Speicherort verschlüsselt; der Schlüssel wird getrennt von den Sicherungen aufbewahrt. Datenexporte werden auf einem geschützten Übertragungsweg bereitgestellt; das Exportarchiv ist nur für den Auftragnehmer lesbar und wird nach der Übergabe gelöscht.
Eingabekontrolle: Administrative Anmeldungen und Tätigkeiten auf dem Server werden protokolliert. Die Zugriffsprotokolle des Webservers werden 14 Tage, die Protokolle administrativer Anmeldungen und Tätigkeiten 90 Tage aufbewahrt und sind nur dem Auftragnehmer zugänglich. Innerhalb der Instanz stehen die Protokollfunktionen von WoltLab Suite zur Verfügung.
3. Verfügbarkeit und Belastbarkeit
Verfügbarkeitskontrolle: Tägliche Sicherung jeder Instanz (Datenbank und Dateien); Aufbewahrung 14 Tage auf dem Server sowie die letzten sieben Sicherungsstände verschlüsselt an einem räumlich getrennten Ort. Wiederherstellungstests werden quartalsweise durchgeführt und dokumentiert. Der Betrieb erfolgt auf einem einzelnen Server ohne Hochverfügbarkeits-Cluster; die Wiederherstellung im Störungsfall erfolgt aus den Sicherungen.
Belastbarkeit: Zeitnahes Einspielen von Sicherheitsupdates für Betriebssystem, Webserver, PHP, Datenbank und WoltLab Suite; Firewall mit Freigabe nur benötigter Ports.
4. Verfahren zur regelmäßigen Überprüfung
Datenschutz-Management: Die TOM werden mindestens jährlich sowie bei wesentlichen Änderungen der Infrastruktur überprüft und aktualisiert. Ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO wird geführt.
Incident-Response: Sicherheitsvorfälle werden dokumentiert, bewertet und nach Ziffer 9 des Vertrags gemeldet.
Auftragskontrolle: Unterauftragsverarbeiter werden nur nach Abschluss eines Vertrags nach Art. 28 Abs. 4 DSGVO eingesetzt und vorab auf geeignete Garantien geprüft.
Datenschutzfreundliche Voreinstellungen: Instanzen werden mit den Datenschutz-Voreinstellungen von WoltLab Suite ausgeliefert.
Anlage 2 – Genehmigte Unterauftragsverarbeiter
1. NetzLiving GmbH, Tannenweg 24, 66629 Freisen, Deutschland – Bereitstellung der Root-Server-Infrastruktur (Housing/Hosting); Verarbeitungsort: Rechenzentren in Frankfurt am Main, Deutschland; Zugriff auf Daten: nur im Rahmen des physischen und netzwerkseitigen Betriebs der Server.
2. ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland – Versand von System-E-Mails der Instanzen (z. B. Registrierungs- und Benachrichtigungs-E-Mails) und von Zugangsdaten über das SMTP-Postfach noreply@yourecom-cloud.de; Verarbeitungsort: Deutschland; verarbeitete Daten: E-Mail-Adressen und Inhalte der System-E-Mails.
Nicht als Unterauftragsverarbeiter gelistet sind Stripe und PayPal: Sie verarbeiten Zahlungsdaten im Verhältnis zu YoureCom als eigene Verantwortliche. Nutzt der Auftraggeber in einer Shop-Instanz eigene Zahlungsdienstleister, schließt er mit diesen selbst die erforderlichen Verträge.