Auftragsverarbeitungsvertrag (AVV)

Stand: Juli 2026

Zugehörige Dokumente: Für die Nutzung der Dienste gelten unsere Allgemeinen Geschäftsbedingungen; die Verarbeitung von Kontodaten ist in der Datenschutzerklärung beschrieben.

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO ("AVV") wird geschlossen zwischen:

• dem Kunden als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO und
• Lanisce, razvoj programske opreme, d.o.o. (nachfolgend "Anbieter") als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO.

Dieser AVV gilt, soweit der Kunde gehostete Control Planes nutzt und dabei personenbezogene Daten verarbeitet werden, die in Cluster- bzw. Control-Plane-Daten auf der Infrastruktur des Anbieters enthalten sind.

Abgrenzung:

• Beim Self-Hosted Monitoring verarbeitet der Anbieter ausschließlich Konto- und Heartbeat-Metadaten als eigener Verantwortlicher gemäß der Datenschutzerklärung; dieser AVV findet insoweit keine Anwendung.
• Worker-Nodes im eigenen Hetzner-Konto des Kunden liegen außerhalb dieses AVV; insoweit besteht ein eigenes, direktes Vertragsverhältnis des Kunden mit Hetzner (siehe die AGB, Abschnitt 3).

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Punkt	Beschreibung
Gegenstand	Betrieb verwalteter Kubernetes-Control-Planes (etcd, apiserver, scheduler, controller-manager) einschließlich Speicherung und Sicherung der Control-Plane-Daten
Dauer	Laufzeit des Nutzungsvertrags (AGB); der AVV endet mit dessen Beendigung
Art und Zweck	Hosting, Speicherung, Sicherung und technischer Betrieb der Control-Plane-Daten zur Erbringung des Dienstes
Kategorien von Daten	Sämtliche personenbezogenen Daten, die der Kunde in Control-Plane-Daten (insbesondere etcd, z. B. in Kubernetes-Objekten, ConfigMaps, Secrets) speichert; der Inhalt wird allein vom Kunden bestimmt
Kategorien betroffener Personen	Werden allein vom Kunden bestimmt (z. B. Mitarbeiter, Kunden oder Nutzer des Kunden)

3. Weisungen

• Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO). Die vom Kunden vorgenommene Konfiguration des Dienstes (z. B. Anlegen, Ändern und Löschen von Clustern und deren Inhalten) gilt als Weisung.
• Weitergehende Weisungen bedürfen der Textform.
• Ist der Anbieter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich.

4. Vertraulichkeit

Der Anbieter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

5. Sicherheit der Verarbeitung

Der Anbieter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die aktuellen Maßnahmen sind im Anhang "Technische und organisatorische Maßnahmen" am Ende dieses Dokuments beschrieben; sie dürfen weiterentwickelt werden, solange das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

• Der Kunde erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Der Anbieter informiert den Kunden über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) vorab; der Kunde kann aus wichtigem datenschutzrechtlichem Grund Einspruch erheben.
• Der Anbieter erlegt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).

Derzeit eingesetzte Unterauftragsverarbeiter:

Unterauftragsverarbeiter	Zweck	Standort
Hetzner Online GmbH, Deutschland	Infrastruktur-Hosting (Rechenzentren FSN1/NBG1)	Deutschland (EU)

Es findet keine Datenübermittlung außerhalb der EU/des EWR statt. Worker-Nodes im eigenen Hetzner-Konto des Kunden sind kein Fall der Unterauftragsverarbeitung durch den Anbieter (siehe Abschnitt 1).

7. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen:

• mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12-23 DSGVO) (Art. 28 Abs. 3 lit. e DSGVO),
• bei der Einhaltung der Pflichten aus Art. 32-36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 lit. f DSGVO).

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betreffen, unverzüglich nach Bekanntwerden und stellt die für die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) erforderlichen Informationen bereit, soweit sie ihm vorliegen.

9. Löschung und Rückgabe

• Nach Beendigung des Nutzungsvertrags löscht der Anbieter sämtliche im Auftrag verarbeiteten personenbezogenen Daten, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen (Art. 28 Abs. 3 lit. g DSGVO).
• Die vollständige Löschung erfolgt gemäß den AGB innerhalb von 30 Tagen nach Vertragsbeendigung.
• Der Kunde kann seine Daten vor Vertragsbeendigung über die bereitgestellten Funktionen des Dienstes exportieren.

10. Nachweise und Prüfungen

• Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).
• Prüfungen erfolgen vorrangig durch schriftliche Auskünfte und die Vorlage geeigneter Unterlagen. Prüfungen vor Ort sind nur zulässig, soweit gesetzlich zwingend erforderlich, erfolgen mit angemessener Vorankündigung, während der üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebs; die Kosten trägt der Kunde.

11. Haftung und Rangfolge

• Die Haftung richtet sich nach dem Haftungsabschnitt der AGB (Abschnitt 12); die gesetzliche Haftung nach Art. 82 DSGVO bleibt unberührt.
• Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in Angelegenheiten der Verarbeitung personenbezogener Daten vor.

Anhang: Technische und organisatorische Maßnahmen (TOM)

• EU-Infrastruktur: Ausschließlich Infrastruktur in der EU (Hetzner, Deutschland — FSN1/NBG1); keine Datenübermittlung außerhalb der EU/des EWR
• Verschlüsselung bei Übertragung: TLS für sämtliche Dienste-Endpunkte; das Cluster-interne Netzwerk (CNI) der Nutzer-Cluster ist WireGuard-verschlüsselt
• Verschlüsselung gespeicherter Daten: Kubernetes-Secrets in der etcd gehosteter Cluster werden anwendungsseitig verschlüsselt gespeichert (Secretbox-Verschlüsselung mit je Cluster eigenem Schlüsselmaterial); die Massendaten-Ebene des Plattform-Speicher-Clusters liegt zusätzlich auf blockverschlüsselten Datenträgern (LUKS)
• Mandantentrennung: Dedizierte Control Planes je Kunde, mandantengetrennte OIDC-Organisationen, Netzwerkrichtlinien zwischen Mandanten-Workloads
• Zugriffskontrolle: Rollenbasierte Zugriffssteuerung; Multi-Faktor-Authentifizierung bzw. Step-up-Verifizierung für sensible Vorgänge
• Sicherung und Wiederherstellung: Regelmäßige Sicherungen mit erprobten, dokumentierten Wiederherstellungsverfahren; Sicherungen verbleiben ausschließlich in der EU; die externe Sicherungskopie wird verschlüsselt gespeichert (authentifizierte Verschlüsselung) und regelmäßig automatisiert auf Integrität geprüft; Geheimnis- und Schlüsselmaterial wird verschlüsselt gespeichert
• Protokollierung: Protokollierung und Audit-Trails für administrative Zugriffe
• Personal: Zugriff des Personals ist auf das betrieblich Erforderliche beschränkt

Der Anbieter verfügt derzeit über keine Zertifizierungen (z. B. ISO 27001) und behauptet keine.

---

Diese deutsche Fassung ist die maßgebliche Fassung dieses Auftragsverarbeitungsvertrags. English translation: Data Processing Agreement. Für Fragen: privacy@kubehz.io.