Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO

Stand: 04.11.2026Version 1.0

zwischen dem Kunden gemäß den AGB von IT4S (Verantwortlicher, „Auftraggeber“) und der Silvertip IT-Solutions GmbH, Grabenweg 68, 6020 Innsbruck, FN 599795b (Auftragsverarbeiter, „Auftragnehmer“).

1. Gegenstand und Dauer#

1. Der Auftragnehmer betreibt für den Auftraggeber den Online-Dienst IT4S (Projekt- und Issue-Tracker) gemäß den AGB. Dabei verarbeitet er personenbezogene Daten, die der Auftraggeber, seine Nutzer oder von ihnen verbundene Apps im Workspace speichern.
2. Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

2. Art, Zweck, Daten und Betroffene#

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags.

3. Weisungen#

1. Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind abschließend in den AGB, diesem AVV und der Nutzung der Funktionen und Einstellungen von IT4S durch die Administratoren des Auftraggebers festgelegt (z. B. Aktivieren der KI-Funktionen, Verbinden von Apps, Webhooks, Löschen).
2. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich.
3. Eine Verarbeitung aufgrund gesetzlicher Pflicht (Art. 28 Abs. 3 lit. a DSGVO) teilt er vorher mit, soweit gesetzlich zulässig.

4. Pflichten des Auftragnehmers#

1. Vertraulichkeit: Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (§ 6 DSG).
2. Technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO nach Anlage 2. Der Auftragnehmer darf sie weiterentwickeln, sofern das Schutzniveau nicht sinkt.
3. Zugriffe von Mitarbeitern auf Inhalte nur mit Support-Zugriff, den ein Administrator des Auftraggebers genehmigt (höchstens 24 Stunden, standardmäßig nur lesend, protokolliert), oder zur Abwehr einer akuten Störung bzw. Gefahr; im zweiten Fall werden die Administratoren unverzüglich informiert.
4. Unterstützung des Auftraggebers bei Anfragen Betroffener (Art. 12–22 DSGVO), vorrangig durch die Funktionen von IT4S (Export, Bearbeiten, Löschen). Anfragen, die direkt beim Auftragnehmer eingehen, leitet er weiter.
5. Unterstützung bei Art. 32–36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung) im angemessenen Umfang.
6. Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, an Eigentümer und Administratoren des Workspaces, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

5. Unterauftragsverarbeiter#

1. Der Auftraggeber genehmigt die in Anlage 3 (it4s.at/subprocessors) genannten Unterauftragsverarbeiter.
2. Der Auftragnehmer informiert über beabsichtigte Änderungen mindestens 30 Tage im Voraus (E-Mail an Eigentümer und Administratoren, Hinweis auf der Seite). Der Auftraggeber kann aus wichtigem datenschutzrechtlichen Grund widersprechen; ist keine Lösung möglich, kann er den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
3. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf Pflichten, die diesem AVV entsprechen.
4. Dienste, die der Auftraggeber selbst auswählt und mit IT4S verbindet (z. B. die KI-Funktionen von IT4S mit dem eigenen Anthropic-API-Schlüssel des Auftraggebers, KI-Assistenten über MCP, GitHub, eigene SMTP-Server, Webhook-Empfänger, Jira/Confluence), sind keine Unterauftragsverarbeiter des Auftragnehmers. Für ihre Verarbeitung gilt der Vertrag des Auftraggebers mit dem jeweiligen Anbieter.

6. Übermittlung in Drittländer#

Workspace-Inhalte, Dateien, Sicherungen und Betriebsprotokolle (14 Tage) werden in der EU gespeichert (Google Cloud, Frankfurt am Main). Betriebsprotokolle können Bruchstücke personenbezogener Daten oder von Inhalten enthalten, etwa eine E-Mail-Adresse in einer Fehlermeldung oder einen einmaligen Link in einer aufgerufenen Adresse. Eine Übermittlung in Drittländer, etwa bei Support-Zugriffen der Google LLC, erfolgt nur nach Art. 44 ff. DSGVO, insbesondere auf Grundlage des EU-US Data Privacy Framework oder von Standardvertragsklauseln, wie in Anlage 3 angegeben.

7. Kontrollrechte#

Der Auftragnehmer weist die Einhaltung seiner Pflichten vorrangig durch diesen AVV, Anlage 2, Zertifikate seiner Unterauftragsverarbeiter (z. B. ISO 27001 und SOC 2 der Google Cloud) und Auskünfte nach. Vor-Ort-Prüfungen sind nach Anmeldung mit 30 Tagen Vorlauf, während der Geschäftszeiten, höchstens einmal jährlich und unter Wahrung der Vertraulichkeit anderer Kunden möglich; den Aufwand trägt der Auftraggeber, außer es werden wesentliche Verstöße festgestellt.

8. Löschung und Rückgabe#

Der Auftraggeber kann jederzeit einen vollständigen Export herunterladen. Nach Ende des Hauptvertrags bzw. Löschung des Workspaces werden alle Daten nach 30 Tagen gelöscht, einschließlich Dateien und Sicherungen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Reste in Plattform-Sicherungen und Protokollen laufen spätestens 30 Tage danach ab. Auf Anfrage bestätigt der Auftragnehmer die Löschung.

9. Haftung und Schlussbestimmungen#

Für die Haftung gelten Art. 82 DSGVO und ergänzend die Regelungen der AGB. Bei Widersprüchen geht dieser AVV den AGB vor. Es gilt österreichisches Recht; Gerichtsstand ist Innsbruck.

Anlage 1 – Kontakt#

Datenschutzanfragen an den Auftragnehmer: privacy@it4s.at, Silvertip IT-Solutions GmbH, Grabenweg 68, 6020 Innsbruck. Ansprechpersonen des Auftraggebers: Eigentümer und Administratoren des Workspaces.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)#

Stand: 04.11.2026. Die Maßnahmen beschreiben den tatsächlichen Betrieb von IT4S; der Auftragnehmer überprüft sie mindestens jährlich und passt sie an, ohne das Schutzniveau zu senken (§ 4 Abs. 2).

Betrieb und Standort

• IT4S läuft in einem eigenen Google-Cloud-Projekt ausschließlich für die Produktion, in der Region Frankfurt am Main (europe-west3): Anwendung in Google Kubernetes Engine, Datenbank in Cloud SQL (PostgreSQL), Dateien und Sicherungen in Cloud Storage, Betriebsprotokolle in einem Log-Bucket in derselben Region.
• Rechenzentren der Google Cloud mit Zertifizierungen u. a. nach ISO 27001 und SOC 2; der Auftragnehmer betreibt keine eigenen Server. Zutrittskontrolle zu den Rechenzentren durch Google.
• Getrennte Umgebungen für Entwicklung, Vorproduktion und Produktion; Entwicklung und Tests mit Testdaten, nicht mit Kundendaten.

Vertraulichkeit

• Anmeldung der Benutzer mit Passwort (gespeichert nur als Argon2-Hash) und optionaler oder vom Workspace erzwungener Zwei-Faktor-Authentifizierung, oder mit Google. Sitzungen gelten nur für die Adresse ihres Workspaces und werden nur als Hash gespeichert; API-Tokens und App-Verbindungen (OAuth) ebenso, jederzeit widerrufbar.
• Rollen und Berechtigungen je Workspace und Projekt. Die Workspaces sind in der Datenbank durch Row-Level-Security voneinander getrennt; der Datenbankbenutzer der Anwendung hat kein Recht, diese Trennung zu umgehen.
• Datenbank nur über eine private Netzwerkadresse erreichbar, ohne öffentliche Adresse, Verbindungen nur verschlüsselt. Die Rechenknoten haben keine öffentlichen Adressen.
• Administrativer Zugang zum Produktionsprojekt nur für namentlich berechtigte Personen des Auftragnehmers über Google-Cloud-IAM; Auslieferungen über ein Dienstkonto ohne gespeicherte Schlüssel (Workload Identity). Geheimnisse liegen im Google Secret Manager; Integrationsgeheimnisse der Kunden (einschließlich ihrer Anthropic-API-Schlüssel) sind zusätzlich mit AES-256-GCM verschlüsselt gespeichert.
• Plattformverwaltung durch Mitarbeiter des Auftragnehmers nur mit Google-Konten der Firmendomänen mit verpflichtender Bestätigung in zwei Schritten, ohne eigene Passwörter in IT4S, mit Sitzungen von höchstens 8 Stunden (30 Minuten Inaktivität). Zugriff auf Inhalte eines Workspaces nur mit Supportzugang, den ein Admin des Workspaces genehmigt: höchstens 24 Stunden, standardmäßig nur lesend, protokolliert und für den Workspace sichtbar.
• Verschlüsselung gespeicherter Daten (Datenbank, Dateien, Sicherungen, Protokolle) durch die Google Cloud mit von Google verwalteten Schlüsseln.

Integrität

• Übertragung nur verschlüsselt: TLS 1.2 oder höher mit modernen Verschlüsselungsverfahren, HTTP Strict Transport Security. Dateien nur über signierte, zeitlich begrenzte Links; ausgehende Webhooks signiert.
• Lückenloser Verlauf je Issue und Doku-Seite: wer, wann, über welchen Weg (Web-App, API, App oder KI-Agent).
• Audit-Protokoll für alle Aktionen von Mitarbeitern und Abrechnungsereignisse, nur anfügbar (die Anwendung kann Einträge weder ändern noch löschen), 2 Jahre aufbewahrt.

Verfügbarkeit und Belastbarkeit

• Web-App und API laufen in mehreren Instanzen; Schutz vor Überlastung durch Google Cloud Armor und Limits je Workspace.
• Datenbanksicherungen der Cloud SQL täglich, 14 Sicherungen aufbewahrt, mit Point-in-Time-Recovery über 7 Tage; Sicherungen in derselben Region.
• Nächtliche Sicherung jedes Workspaces (Daten und Dateien), im Tarif Free 7 Tage, im Tarif Team 30 Tage aufbewahrt; Wiederherstellung durch den Kunden selbst. Gelöschte Dateien bleiben 7 Tage wiederherstellbar.
• Überwachung der Erreichbarkeit aus mehreren Regionen mit Alarmierung.
• Betriebsprotokolle 14 Tage in der EU.

Verfahren zur regelmäßigen Überprüfung

• Jede Änderung über Code-Review (Pull Request) und automatisierte Tests vor der Auslieferung, darunter Tests der Mandantentrennung und der Sicherung und Wiederherstellung je Workspace; Auslieferung in die Produktion erst nach Prüfung in der Vorproduktion.
• Laufende Aktualisierung der verwalteten Plattform: Kubernetes über einen Release-Kanal der Google Cloud, die Datenbank in einem festen Wartungsfenster.
• Wöchentliche automatische Prüfung der verwendeten Bibliotheken auf neue Versionen und bekannte Sicherheitslücken.
• Dokumentiertes Verfahren für Datenschutzverletzungen: Erkennen, Bewerten, Eindämmen und Sichern von Beweisen, Mitteilung nach § 4, Verzeichnis aller Fälle.
• Überprüfung dieser Maßnahmen mindestens einmal jährlich.

Anlage 3 – Unterauftragsverarbeiter#

Siehe Unterauftragsverarbeiter.