Auftragsverarbeitungsvertrag

Stand und Status dieses Dokuments

Fassung vom 9. Oktober 2026. Neue Fassungen werden nach dem Abschnitt „Haftung und Schlussbestimmungen" wirksam.

Für Rückfragen zum Inhalt oder für den Abschluss eines individuellen Auftragsverarbeitungsvertrages wenden Sie sich bitte an hello@erseni.com.

Abschluss dieses Vertrages

Dieser AVV ist Bestandteil des Vertrages über die Plattform Erseni Hub und kommt zusammen mit diesem nach der Regelung der Allgemeinen Geschäftsbedingungen zum Vertragsschluss zustande. Er erfasst auch personenbezogene Daten, die wir ab der Registrierung des Betriebs für den Verantwortlichen verarbeitet haben. Er ist im Kundenbereich jederzeit abrufbar und kann dort ausgedruckt oder als PDF gespeichert werden. Die Angaben zum Abschluss halten wir mit der Bestätigung der Registrierung fest.

Wir speichern beim Abschluss die Vertragspartei, den angegebenen Namen, die abgeschlossene Fassung, die Sprachfassung und den Zeitpunkt des Abschlusses und senden den vollständigen Text der abgeschlossenen Fassung an die hinterlegte E-Mail-Adresse. Die beim Abschluss geltende Liste der Unterauftragsverarbeiter und der selbst betriebenen Systeme ist als Anlage Teil des abgeschlossenen Textes und wird mit ihm gespeichert und übersandt. Der Abschluss auf elektronischem Weg wahrt die elektronische Form nach Art. 28 Abs. 9 DSGVO; einer Unterschrift bedarf es nicht.

Parteien und Gegenstand der Verarbeitung

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung des Dienstes ergeben. Er gilt für alle Verarbeitungen personenbezogener Daten, die wir im Auftrag und nach Weisung des Verantwortlichen durchführen.

Verantwortlicher

Verantwortlicher im Sinne dieses AVV ist der Betrieb, dessen Website wir auf der Plattform Erseni Hub erstellen und betreiben und dessen Angaben im Kundenbereich hinterlegt sind. Er entscheidet über Zwecke und Mittel der Verarbeitung der personenbezogenen Daten, die beim Betrieb seiner Website anfallen.

Auftragsverarbeiter

Erseni Ltd, Private Company Limited by Shares
Archiepiskopou Makariou III, 59, MOUYIAS TOWER, 3rd floor, Flat/Office 301
6017 Larnaca, Cyprus
Registernummer: HE 487031
E-Mail: hello@erseni.com

Gegenstand der Verarbeitung

Gegenstand der Verarbeitung ist die Erstellung und der Betrieb der Website des Verantwortlichen auf der Plattform Erseni Hub (nachfolgend „Dienst"). Dazu gehören das Hosting und die Auslieferung der Seiten, die Entgegennahme und Weiterleitung von Anfragen aus gebuchten Modulen, die Datensicherung und die Wartung.

Ergänzend gilt unsere Datenschutzerklärung für die Verarbeitungen, für die wir selbst Verantwortlicher sind. Im Falle von Widersprüchen zwischen diesem AVV und der Datenschutzerklärung geht dieser AVV vor.

Art, Umfang und Zweck der Verarbeitung

Art der Verarbeitung

Erheben, Speichern, Bereitstellen, Weiterleiten, Sichern und Löschen der personenbezogenen Daten, die beim Betrieb der Website und ihrer gebuchten Module anfallen. Die Verarbeitung erfolgt weitgehend automatisiert. Eine Auswertung der Daten für eigene Zwecke findet nicht statt.

Zweck der Verarbeitung

Zweck ist ausschließlich die Bereitstellung der Website und ihrer Funktionen für den Verantwortlichen.

Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Vertrages über die Plattform Erseni Hub und endet mit der Löschung nach dem Abschnitt zur Rückgabe und Löschung.

Kategorien personenbezogener Daten

Im Auftrag des Verantwortlichen verarbeiten wir die folgenden Datenkategorien:

Anfragen aus gebuchten Modulen, etwa dem Kontaktformular: Name, E-Mail-Adresse, Telefonnummer und Nachricht.
Stammdaten und Inhalte der Website, soweit sie Personen betreffen, etwa der Name der Geschäftsführung und Kontaktangaben.
Server-Zugriffsprotokolle mit der vor der Speicherung gekürzten IP-Adresse (bei IPv4 ohne das letzte Oktett, bei IPv6 ohne den hinteren Teil), dem Zeitpunkt, dem aufgerufenen Pfad, dem Statuscode, der übertragenen Datenmenge, dem Referrer und dem User-Agent. Sie werden nach 90 Tagen gelöscht.

Verarbeitungen in eigener Verantwortung

Nicht Gegenstand dieses AVV sind die Vertrags- und Rechnungsdaten des Verantwortlichen sowie die Konten und Kontaktdaten der Personen, die den Betrieb im Kundenbereich verwalten; sie verarbeiten wir zur Durchführung des Vertrages über die Plattform selbst. Für sie gilt unsere Datenschutzerklärung.

Kategorien betroffener Personen

Besucherinnen und Besucher der Website.
Personen, die über die Website eine Anfrage stellen.
Inhaberinnen und Inhaber, Geschäftsführung und Beschäftigte des Verantwortlichen.

Besondere Kategorien personenbezogener Daten

Die Website ist nicht auf die Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO ausgerichtet. Erfasst der Verantwortliche solche Daten dennoch, liegt die Zulässigkeit dieser Verarbeitung allein bei ihm.

Weisungsgebundenheit

Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, wir sind nach dem Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet. In diesem Fall teilen wir dem Verantwortlichen die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen erteilt der Verantwortliche über die Einstellungen im Kundenbereich oder in Textform, etwa per E-Mail an die im Abschnitt „Stand und Status dieses Dokuments" genannte Adresse. Die Einstellungen im Kundenbereich gelten als Weisung.

Wir informieren den Verantwortlichen unverzüglich, wenn wir der Auffassung sind, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Wir sind berechtigt, die Ausführung einer solchen Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

Eine Verarbeitung personenbezogener Daten in einem Drittland oder durch eine internationale Organisation erfolgt nur, soweit sie in der Liste der Unterauftragsverarbeiter ausgewiesen ist und die Voraussetzungen des Kapitels V der DSGVO erfüllt sind. Die Server stehen in einem Rechenzentrum in Deutschland und damit in der Europäischen Union.

Ist der Verantwortliche außerhalb des Europäischen Wirtschaftsraums niedergelassen, gelten für die Übermittlung personenbezogener Daten von uns an ihn ergänzend die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 in Modul 4 (Übermittlung von Auftragsverarbeitern an Verantwortliche). Wir sind Datenexporteur, der Verantwortliche ist Datenimporteur. Die Angaben dieses AVV zu Parteien, Gegenstand, Datenkategorien und betroffenen Personen gelten als Anhang I, die technisch-organisatorischen Maßnahmen als Anhang II der Standardvertragsklauseln. Bei Widersprüchen gehen die Standardvertragsklauseln vor.

Vertraulichkeit der Beschäftigten

Wir stellen sicher, dass sich alle zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Der Kreis der Personen mit administrativem Zugang zu den Produktivsystemen ist auf das für den Betrieb zwingend erforderliche Minimum beschränkt.

Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der jeweiligen Tätigkeit sowie nach Beendigung dieses Vertrages fort.

Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

Wir treffen unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

Zutrittskontrolle

Der physische Betrieb der Server erfolgt in einem Rechenzentrum der Hetzner Online GmbH in Falkenstein, Deutschland. Zutrittsschutz, Videoüberwachung, Brandschutz und unterbrechungsfreie Stromversorgung werden dort durch den Rechenzentrumsbetreiber gewährleistet; die entsprechenden Nachweise sind über den Betreiber verfügbar. Eigene Räumlichkeiten mit Zugriff auf personenbezogene Daten des Verantwortlichen unterhalten wir nicht.

Zugangskontrolle

Administrativer Zugang zu den Servern erfolgt ausschließlich über SSH mit Public-Key-Authentifizierung; die Anmeldung mit Passwort ist deaktiviert.
Administrative Zugänge sind personenbezogen vergeben und auf den für den Betrieb erforderlichen Personenkreis beschränkt.
Passwörter von Benutzerkonten werden ausschließlich als Hashwert mit einem für Passwörter geeigneten, rechenintensiven Verfahren gespeichert. Zugangsdaten und Schlüsselmaterial für Dienste werden verschlüsselt abgelegt und nicht im Quellcode hinterlegt.
Die Systeme sind durch eine Firewall abgesichert; nach außen sind nur die für den Betrieb erforderlichen Dienste erreichbar. Datenbank- und Cache-Dienste sind von außen nicht zugänglich.

Zugriffskontrolle

Innerhalb der Anwendung besteht ein rollenbasiertes Berechtigungskonzept.
Es werden nur die für den Zweck erforderlichen Daten erhoben.

Weitergabekontrolle

Sämtliche Übertragungen zwischen Endgerät und Server erfolgen ausschließlich über TLS-verschlüsselte Verbindungen. Unverschlüsselte Aufrufe werden auf HTTPS umgeleitet.
Die Anwendung setzt sicherheitsrelevante HTTP-Header ein, unter anderem eine Content-Security-Policy sowie HTTP Strict Transport Security, um die Ausführung fremden Codes und ein Herabstufen der Transportverschlüsselung zu erschweren.

Eingabekontrolle

Anmeldungen im Kundenbereich setzen den Zugriff auf die hinterlegte E-Mail-Adresse voraus. Anmeldungen an den Servern werden im Systemprotokoll festgehalten.

Verfügbarkeitskontrolle und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Der Anwendungsserver mit der Datenbank wird täglich automatisch gesichert. Vorgehalten werden die Sicherungen der letzten 7 Tage, ältere Sicherungen werden automatisch überschrieben. Die Sicherungen liegen bei unserem Hosting-Dienstleister in der Europäischen Union. Die selbst betriebenen Systeme für den Mailversand werden nicht gesichert.
Betriebssystem und eingesetzte Komponenten werden regelmäßig aktualisiert; sicherheitsrelevante Aktualisierungen werden zeitnah eingespielt.
Der Betrieb wird überwacht; Störungen und Fehlerzustände werden automatisiert gemeldet.

Trennungskontrolle

Daten unterschiedlicher Projekte werden logisch getrennt in eigenen Datenbanken verarbeitet. Produktiv-, Staging- und Entwicklungsumgebungen sind voneinander getrennt; in Entwicklungsumgebungen werden keine produktiven personenbezogenen Daten verwendet.

Sichere Entwicklung

Änderungen am Quellcode durchlaufen ein Review und werden über eine automatisierte Pipeline ausgeliefert.
Es kommen statische Codeanalyse und automatisierte Tests zum Einsatz, die vor der Auslieferung fehlerfrei durchlaufen werden müssen.
Eingesetzte Fremdbibliotheken sind in ihren Versionen festgeschrieben und werden ausschließlich über die Auslieferungspipeline geändert. Die Auslieferungspipeline prüft diese Bibliotheken automatisiert auf bekannte Schwachstellen; ein Fund wird gemeldet und von uns bewertet, hält die Auslieferung aber nicht an.

Überprüfung und Bewertung (Art. 32 Abs. 1 lit. d DSGVO)

Die Wirksamkeit der Maßnahmen wird anlassbezogen sowie bei wesentlichen Änderungen an Architektur, Systemen oder Unterauftragsverarbeitern überprüft und dieses Dokument entsprechend fortgeschrieben.

Grenzen der Maßnahmen

Wir halten es für Teil eines belastbaren Sicherheitsversprechens, auch offenzulegen, was wir nicht leisten:

Wir verfügen derzeit über keine Zertifizierung nach ISO/IEC 27001, keine Zertifizierung nach Art. 42 DSGVO und sind keinen genehmigten Verhaltensregeln nach Art. 40 DSGVO unterworfen.
Es wurde bislang kein externes Sicherheitsaudit und kein Penetrationstest durchgeführt.
Datenbanken und Sicherungen sind auf den Servern nicht zusätzlich verschlüsselt, soweit im Einzelfall nichts anderes vereinbart ist.

Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine schriftliche Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 Satz 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in der gesondert geführten Liste ausgewiesen und gelten als genehmigt. Die dort daneben aufgeführten, von uns selbst betriebenen Systeme sind keine Unterauftragsverarbeiter; die Regelungen dieses Abschnitts gelten für sie nicht.

Neben dem Hosting-Dienstleister setzen wir von uns selbst betriebene Systeme ein: einen eigenen Mailserver für den Versand von Benachrichtigungen und eine selbst betriebene GitLab-Instanz für technische Fehlerberichte. Sie laufen auf Servern desselben Hosting-Dienstleisters in Deutschland und sind in der Liste gesondert als selbst betriebene Systeme ausgewiesen. Fehlerberichte enthalten technische Angaben zum Fehler und können personenbezogene Daten aus dem betroffenen Aufruf enthalten; Passwörter und Zugangsschlüssel entfernen wir vor der Übermittlung. Fehlerberichte bewahren wir auf, solange sie für die Fehlerbehebung und deren Nachvollziehbarkeit erforderlich sind.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die uns nach diesem Vertrag obliegen, und bleiben gegenüber dem Verantwortlichen für die Einhaltung der datenschutzrechtlichen Pflichten durch den Unterauftragsverarbeiter verantwortlich.

Über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung eines Unterauftragsverarbeiters informieren wir den Verantwortlichen mindestens 30 Tage vorab per E-Mail an die hinterlegte Adresse sowie auf der Seite mit der Liste der Unterauftragsverarbeiter. Der Verantwortliche kann einer Änderung innerhalb dieser Frist aus datenschutzrechtlichen Gründen in Textform widersprechen. Widerspricht er nicht fristgerecht, gilt die Änderung als genehmigt. Widerspricht er, setzen wir den neuen Unterauftragsverarbeiter für ihn nicht ein, soweit uns das zumutbar ist; andernfalls kann er diesen AVV und den zugrunde liegenden Vertrag mit Wirkung zum Zeitpunkt der Änderung ohne weitere Kosten kündigen. Im Voraus gezahlte Entgelte für die Zeit nach dem Ende erstatten wir anteilig.

Unterauftragsverarbeiter erhalten Zugriff auf personenbezogene Daten nur, soweit dies für ihre jeweilige Leistung erforderlich ist.

Werkzeuge externer Anbieter, mit denen wir Fehlerberichte oder Daten aus dem Dienst verarbeiten lassen, insbesondere KI-gestützte Analysewerkzeuge, setzen wir nur ein, wenn der Anbieter in der Liste der Unterauftragsverarbeiter ausgewiesen ist, und nur für den dort genannten Zweck.

Die jeweils aktuelle Liste der Unterauftragsverarbeiter mit Zweck, Region und Datenschutzhinweisen finden Sie hier: Liste der Unterauftragsverarbeiter

Unterstützung bei Betroffenenrechten

Wir unterstützen den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).

Wendet sich eine betroffene Person unmittelbar an uns, leiten wir das Anliegen unverzüglich an den Verantwortlichen weiter, soweit sich der Antrag auf Verarbeitungen im Auftrag bezieht. Eine eigenständige Beantwortung nehmen wir in diesem Fall nicht vor.

Wir unterstützen den Verantwortlichen ferner bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde, und stellen hierfür die uns vorliegenden Informationen zur Verfügung.

Die Unterstützungsleistungen erbringen wir im üblichen Umfang unentgeltlich. Für einen darüber hinausgehenden Aufwand, der nicht auf einem uns zurechenbaren Umstand beruht, können wir eine angemessene Vergütung verlangen; hierauf weisen wir vorab hin.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Wir informieren den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Rahmen der Auftragsverarbeitung eingetreten ist (Art. 33 Abs. 2 DSGVO). Die Information erfolgt in Textform an die E-Mail-Adresse, die bei Abschluss dieses AVV hinterlegt war oder die der Verantwortliche uns seitdem mitgeteilt hat.

Die Meldung enthält, soweit uns bekannt, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl betroffener Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Sofern nicht alle Angaben sofort verfügbar sind, liefern wir sie unverzüglich nach.

Wir ergreifen unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen und stimmen weitergehende Maßnahmen mit dem Verantwortlichen ab.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO obliegen dem Verantwortlichen. Wir nehmen solche Meldungen nicht eigenständig für den Verantwortlichen vor, unterstützen ihn hierbei jedoch.

Sicherheitsvorfälle und Schwachstellen können jederzeit an hello@erseni.com sowie über den unter „/.well-known/security.txt" veröffentlichten Meldeweg gemeldet werden.

Löschung und Rückgabe nach Vertragsende (Löschkonzept)

Jeder Betrieb hat eine eigene Datenbank mit eigenem Datenbankbenutzer, getrennt von den Daten anderer Betriebe. Anfragen aus dem Kontaktformular löscht die Plattform automatisch 180 Tage nach ihrem Eingang.

Eine Kündigung des Vertrages über die Plattform, die bis zum 15. eines Monats eingeht, beendet den Vertrag zum Ende dieses Monats, eine später eingehende zum Ende des folgenden Monats. Bis zum Vertragsende bleibt die Website online, und der Verantwortliche kann die Kündigung im Kundenbereich zurücknehmen. Mit dem Vertragsende geht die Website offline und besteht noch 30 Tage offline weiter; zurücknehmen lässt sich die Kündigung dann nicht mehr. Bis zum Ablauf dieser Frist kann der Verantwortliche seine Daten im Kundenbereich einsehen und eine Kopie seiner Daten anfordern. Mit Ablauf der Frist löschen wir automatisch und endgültig die Datenbank des Betriebs mit Stammdaten, Inhalten und Anfragen, die Zugänge zum Betrieb und die für den Betrieb erzeugten Bilddateien.

Sicherungen

Der Anwendungsserver mit der Datenbank wird täglich automatisch gesichert; die selbst betriebenen Systeme für den Mailversand werden nicht gesichert. Vorgehalten werden die Sicherungen der letzten 7 Tage, ältere Sicherungen werden automatisch überschrieben. Ein gelöschter Datensatz ist damit spätestens 7 Tage nach seiner Löschung auch aus allen Sicherungen entfernt; eine gezielte Einzellöschung innerhalb bestehender Sicherungen erfolgt nicht. Die Transaktionsprotokolle der Datenbank werden im laufenden Betrieb fortlaufend überschrieben und nicht archiviert.

Rückgabe und Löschung nach Vertragsende

Nach Beendigung des Vertrages geben wir nach Wahl des Verantwortlichen die im Auftrag verarbeiteten Daten in einem gängigen maschinenlesbaren Format heraus oder löschen sie, spätestens 30 Tage nach Vertragsende und sofern nicht das Recht der Union oder eines Mitgliedstaats eine Aufbewahrung verlangt. Trifft der Verantwortliche keine Wahl, löschen wir die Daten. Bei diesem Dienst trifft der Verantwortliche die Wahl bis zum Ablauf der Offline-Frist nach dem Abschnitt zum Löschkonzept: Bis dahin kann er im Kundenbereich oder in Textform eine Kopie seiner Daten in einem gängigen maschinenlesbaren Format anfordern; wir stellen sie ihm vor der Löschung bereit. Fordert er keine Kopie an, gilt dies als Wahl der Löschung. Die Löschung erfolgt mit Ablauf der Offline-Frist und damit 30 Tage nach dem Vertragsende; auf diese Folge weisen wir in der Bestätigung der Kündigung hin.

Auf Anforderung bestätigen wir dem Verantwortlichen die Löschung in Textform.

Nachweise und Kontrollrechte

Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglichen Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden (Art. 28 Abs. 3 lit. h DSGVO).

Der Nachweis erfolgt vorrangig durch Vorlage dieser Dokumentation, der Beschreibung der technisch-organisatorischen Maßnahmen, der Liste der Unterauftragsverarbeiter sowie der von unseren Dienstleistern bereitgestellten Nachweise.

Hält der Verantwortliche diese Nachweise im Einzelfall für nicht ausreichend, ermöglichen wir eine Überprüfung vor Ort nach rechtzeitiger Ankündigung, in der Regel höchstens einmal je Kalenderjahr, bei einem konkreten Anlass oder auf Verlangen einer Aufsichtsbehörde auch häufiger, während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Der beauftragte Prüfer darf nicht in Wettbewerb zu uns stehen.

Wir weisen ausdrücklich darauf hin, dass wir derzeit keine Zertifizierung und keinen externen Auditbericht vorlegen können, die eine Überprüfung durch den Verantwortlichen ersetzen würden.

Haftung und Schlussbestimmungen

Die Haftung gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Für Schäden aus der Verarbeitung personenbezogener Daten im Auftrag haften wir im Verhältnis der Parteien zueinander unbeschränkt bei Vorsatz und grober Fahrlässigkeit, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, bei Arglist, soweit wir eine Garantie übernommen haben, sowie nach zwingenden gesetzlichen Vorschriften. Bei einfacher Fahrlässigkeit haften wir nur für die Verletzung einer wesentlichen Vertragspflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages erst ermöglicht und auf deren Einhaltung der Verantwortliche regelmäßig vertrauen darf, begrenzt auf den vertragstypischen, vorhersehbaren Schaden und auf die Entgelte, die der Verantwortliche in den zwölf Monaten vor dem schädigenden Ereignis gezahlt hat, mindestens auf 500 Euro. Werden wir oder der Verantwortliche von einer betroffenen Person nach Art. 82 DSGVO in Anspruch genommen, trägt im Innenverhältnis jede Partei den Teil des Schadensersatzes, der ihrem Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO); die vorstehenden Beschränkungen gelten für diesen Ausgleich nicht. Bußgelder trägt die Partei, gegen die sie verhängt werden.

Der Verantwortliche ist für die Zulässigkeit der Verarbeitung allein verantwortlich, insbesondere für die Inhalte seiner Website, die Datenschutzhinweise gegenüber ihren Besucherinnen und Besuchern und die Rechtsgrundlagen der gebuchten Module.

Dieser AVV gilt für die Dauer des Vertrages über die Plattform Erseni Hub und endet mit diesem. Die Regelungen zur Vertraulichkeit und zur Löschung gelten darüber hinaus fort. Bei Widersprüchen zu den Allgemeinen Geschäftsbedingungen gehen die Bestimmungen dieses AVV vor, soweit sie die Verarbeitung personenbezogener Daten betreffen, einschließlich der Haftung für Schäden aus dieser Verarbeitung.

Die Beschreibung der technisch-organisatorischen Maßnahmen dürfen wir fortschreiben, soweit das Schutzniveau dadurch nicht unterschritten wird; für Unterauftragsverarbeiter gilt das Verfahren des Abschnitts „Unterauftragsverarbeiter". Jede andere neue Fassung dieses AVV kündigen wir dem Verantwortlichen nach der Regelung der Allgemeinen Geschäftsbedingungen für deren Änderung per E-Mail an die hinterlegte Adresse an und weisen dabei auf die Frist und die Bedeutung des Schweigens hin; zugleich stellen wir die neue Fassung im Kundenbereich bereit. Widerspricht der Verantwortliche nicht bis zum angekündigten Zeitpunkt in Textform, wird die neue Fassung wirksam. Widerspricht er, gilt für ihn die bisherige Fassung weiter; das Recht beider Seiten zur Kündigung nach den Allgemeinen Geschäftsbedingungen bleibt unberührt. Auf diesem Weg ändern wir den AVV nur, soweit die Änderung das vereinbarte Schutzniveau nicht unterschreitet, insbesondere um geänderte Rechtsvorschriften, Anforderungen von Aufsichtsbehörden oder neue Funktionen der Plattform abzubilden; andere Änderungen werden erst wirksam, wenn der Verantwortliche sie im Kundenbereich abschließt.

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Formerfordernisses.

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden die unwirksame Bestimmung durch eine wirksame Regelung ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

Dieser AVV unterliegt dem Recht der Republik Zypern unter Ausschluss des UN-Kaufrechts; zwingende Vorschriften der DSGVO bleiben unberührt. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem AVV ist Larnaca, Zypern, sofern der Verantwortliche Unternehmer, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Die Zuständigkeit der Datenschutz-Aufsichtsbehörden bleibt unberührt.

Dieser AVV liegt in deutscher, englischer und griechischer Sprache vor. Bei Abweichungen zwischen den Sprachfassungen ist die deutsche Fassung maßgeblich.

Anlage: Unterauftragsverarbeiter und selbst betriebene Systeme

Stand der Liste: 29. September 2026

Die Liste führt alle Unterauftragsverarbeiter und selbst betriebenen Systeme, die wir für die unter diesem AVV erbrachten Dienste einsetzen. Einträge mit dem Zusatz „Nur für ..." betreffen ausschließlich die dort genannten Anwendungen. Die Genehmigung nach dem Abschnitt „Unterauftragsverarbeiter" erstreckt sich nur auf die Unterauftragsverarbeiter, die für den Dienst des Verantwortlichen tatsächlich tätig werden; für einen Dienst, der eine Anwendung nicht umfasst, setzen wir die dafür ausgewiesenen Unterauftragsverarbeiter nicht ein und übermitteln ihnen keine Daten des Verantwortlichen.

Eingesetzte Unterauftragsverarbeiter

Hetzner Online GmbH: Betrieb der Server und Datenbanken der Anwendungen, Sicherungen sowie Auflösung der Domains (DNS). Rechenzentrum Falkenstein, Deutschland (EU). Datenschutzhinweise AVV
seven communications GmbH & Co. KG: Versand von SMS, etwa Anmelde-PINs und Benachrichtigungen: Mobilfunknummer und Nachrichtentext. Nur für die Anwendungen Meine MAV und Mein Betriebsrat. Kiel, Deutschland (EU). Datenschutzhinweise
DeepL SE: Übersetzung von Nutzerbeiträgen wie Forenbeiträgen, Kommentaren, Chatnachrichten und Tickets. Nur für die Anwendung Cyber Sovereigns. Köln, Deutschland (EU). Datenschutzhinweise
Groq, Inc.: Erkennung der Sprache von Nutzerbeiträgen und ersatzweise deren Übersetzung, wenn der Übersetzungsdienst nicht antwortet. Nur für die Anwendung Cyber Sovereigns. USA. Grundlage der Übermittlung sind die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914) im Auftragsverarbeitungsvertrag des Anbieters für seine kommerziellen Dienste. Datenschutzhinweise
Portunity GmbH (faxnummer.de): Faxversand von Formularen: Inhalt des Formulars und Faxnummer des Empfängers. Nur für die Anwendung Cyber Sovereigns. Deutschland (EU). Datenschutzhinweise

Selbst betriebene Systeme (keine Unterauftragsverarbeitung)

Stalwart Mail Server: Versand von E-Mails der Anwendungen, etwa Benachrichtigungen und Anmelde-PINs. Von uns selbst betriebene Instanz auf gemieteter Infrastruktur in Deutschland (EU); kein externer Dienstleister. Datenschutzhinweise
Matomo Analytics: Cookielose Reichweitenmessung der öffentlichen Seiten ohne Weitergabe an Dritte. Von uns selbst betriebene Instanz auf gemieteter Infrastruktur in Deutschland (EU); kein externer Dienstleister. Datenschutzhinweise
GitLab: Erfassung technischer Fehlerberichte zur Störungsbeseitigung. Sie können personenbezogene Daten aus dem betroffenen Aufruf enthalten. Von uns selbst betriebene Instanz auf gemieteter Infrastruktur in Deutschland (EU); kein externer Dienstleister. Datenschutzhinweise
Jitsi Meet: Videokonferenzen in den Anwendungen: Name, E-Mail-Adresse und Profilbild der Teilnehmenden sowie Audio und Video während der Sitzung. Von uns selbst betriebene Instanz auf gemieteter Infrastruktur in Deutschland (EU); kein externer Dienstleister. Datenschutzhinweise