Parteien und Gegenstand
Vorgesehener Auftragsverarbeiter: NEXUS, Herr Nick Jans, c/o POSTFLEX PFX-371-859, Emsdettener Straße 10, 48268 Greven, Deutschland. Der Verantwortliche ist der jeweilige Kunde, soweit er die Zwecke und Mittel der Verarbeitung seiner Team- oder Community-Daten bestimmt. Diese Seite ist eine Grundlage zur Vorbereitung des kundenbezogenen Auftragsverarbeitungsvertrags nach Art. 28 DSGVO; ein Aufruf oder Download schließt noch keinen solchen Vertrag.
[OFFEN: Verantwortlichen, Kontaktpersonen, weisungsberechtigte Personen und Vertragsbezug je Kunde ergänzen; Abschlussverfahren festlegen.]
Umfang und Dauer
Gegenstand ist die Speicherung, Bereitstellung, Organisation, Änderung, Übermittlung an berechtigte Nutzer und gegebenenfalls Löschung der Daten innerhalb des gebuchten Workspaces. Die Dauer richtet sich nach dem zugeordneten Hauptvertrag und den vereinbarten Rückgabe- und Löschpflichten.
Daten und betroffene Personen
Je nach gebuchtem Modul und den Eingaben des Kunden können auch sensible Nachweise oder besondere Kategorien personenbezogener Daten betroffen sein. Der Kunde legt Zweck, Rechtsgrundlage und erforderlichen Umfang seiner Einträge fest. Welche Datenarten im jeweiligen Auftrag zulässig sind und welche zusätzlichen Schutzmaßnahmen dafür gelten, werden kundenspezifisch im AVV und seiner Anlage festgelegt.
[OFFEN: Umgang mit Daten Minderjähriger, besonderen Datenkategorien und sensiblen Nachweisen sowie die dafür erforderlichen technischen und organisatorischen Maßnahmen vor einer verbindlichen Freigabe prüfen.]
Weisungen und Vertraulichkeit
Die Verarbeitung darf im Rahmen des Auftrags nur auf dokumentierte Weisung des Verantwortlichen erfolgen, soweit keine andere gesetzliche Verpflichtung besteht. Zugriffsberechtigte Personen sind auf Vertraulichkeit zu verpflichten. Bei einer aus Sicht des Auftragsverarbeiters rechtswidrigen Weisung ist der Verantwortliche zu informieren.
[OFFEN: Tatsächlichen Weisungsweg, Dokumentation, Verfahren bei unzulässigen Weisungen und Vertraulichkeitsverpflichtungen festlegen.]
Schutzmaßnahmen
Auf dem Windows-Server wird täglich um 04:00 Uhr eine lokale Sicherung erstellt. Die geprüfte Sicherung vom 19. Oktober 2026 enthält eine Kopie der Workspace-Datenbank und des Upload-Verzeichnisses. Die Wiederherstellbarkeit wurde bislang nicht getestet; eine zusätzliche Sicherung außerhalb dieses Servers ist noch nicht bestätigt.
Die Vereinbarung benötigt eine konkrete Anlage zu technischen und organisatorischen Maßnahmen. Im überprüften Anwendungscode existieren Rollen- und Berechtigungsprüfungen, Workspace-Zuordnungen, Passwort-Hashes, begrenzte Sitzungen und Protokollierung bestimmter Verwaltungsvorgänge. Daraus folgt keine Zusage über die gesamte Serverkonfiguration.
[OFFEN: Windows-Zugriffsschutz, Updates, HTTPS, Netzwerkregeln, Verschlüsselung ruhender Daten, Sicherung und Wiederherstellung, Administratorzugriffe, Berechtigungskontrollen und Incident-Verfahren dokumentieren und prüfen. Keine durchgehende Ende-zu-Ende-Verschlüsselung zusagen.]
Unterauftragsverarbeiter und Übermittlungen
Für das Hosting des NEXUS-Servers wird Tube-Hosting Einzelunternehmen, vertreten durch Ferdinand Zink, Schlesierstr. 7, 97631 Bad Königshofen, eingesetzt. Nach Auskunft des Anbieters steht der Server im SkyLink-Rechenzentrum in Eygelshoven, Niederlande. Eine Vereinbarung zur Auftragsverarbeitung mit Tube-Hosting ist noch nicht abgeschlossen.
[OFFEN: Verbindliche Liste der Hosting- und E-Mail-Vertragspartner mit Leistung, Standort und Gesellschaft erstellen. Genehmigungsmodell, Änderungsinformation, Einwandsverfahren, gleichwertige Verpflichtungen und Drittlandgarantien festlegen. Die datenschutzrechtliche Rolle eines Zahlungsdienstes ist gesondert zu prüfen.]
Unterstützung und Sicherheitsvorfälle
Der Auftragsverarbeiter unterstützt den Verantwortlichen im vereinbarten Umfang bei Betroffenenrechten, Datenschutzverletzungen, Sicherheitsmaßnahmen und gegebenenfalls Folgenabschätzungen. Datenschutzverletzungen sind dem Verantwortlichen ohne unangemessene Verzögerung zu melden.
[OFFEN: Meldeweg über support@nexus-workspace.de, zuständige Personen, erforderliche Inhalte, Erreichbarkeit, operative Fristen und Unterstützungspflichten konkret vereinbaren.]
Rückgabe, Löschung und Nachweise
Nach Auftragsende sind personenbezogene Daten nach Wahl des Verantwortlichen zurückzugeben oder zu löschen, soweit keine gesetzliche Pflicht ihre weitere Speicherung erfordert. Kontrollrechte, erforderliche Informationen und Nachweise werden im Vertrag geregelt.
[OFFEN: Exportformat und Bereitstellungsweg, Löschfrist, Backup-Zyklus, zulässige Aufbewahrung, Prüfrechte und Nachweisdokumentation ergänzen und technisch umsetzen.]
Abschluss
Eine wirksame Vereinbarung setzt die vollständigen kundenspezifischen Angaben und Anlagen sowie ein geeignetes Abschlussverfahren voraus. Dieser Entwurf ersetzt weder den Hauptvertrag noch die Datenschutzerklärung des Kunden.