Auftragsverarbeitungsvertrag

Fassung avv-2026-10 · Stand: 26. Oktober 2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Nutzer, der Zeptha bei der Registrierung für geschäftliche Zwecke anmeldet („Kunde“, Verantwortlicher), und Olgun Istanbullu, Mozartstr. 9, 76744 Wörth am Rhein, Deutschland, kontakt@zeptha.de („Zeptha“, Auftragsverarbeiter). Der Vertrag wird bei der Registrierung durch ausdrückliche Annahme in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand und Dauer

(1) Zeptha stellt dem Kunden die Web-Anwendung Zeptha bereit und verarbeitet dabei personenbezogene Daten, die der Kunde und seine Nutzer in ihrem Workspace speichern.

(2) Der Vertrag gilt für die Dauer der Nutzung von Zeptha durch den Kunden; § 9 gilt darüber hinaus.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

§ 3 Weisungen

(1) Zeptha verarbeitet die Daten nur auf dokumentierte Weisung des Kunden – auch bei Übermittlungen in Drittländer –, sofern Zeptha nicht gesetzlich zur Verarbeitung verpflichtet ist; in diesem Fall teilt Zeptha dem Kunden die Verpflichtung vorher mit, soweit das Gesetz dies nicht verbietet.

(2) Die Weisungen sind in diesem Vertrag und durch die Nutzung der Funktionen von Zeptha festgelegt. Weitere Weisungen erteilt der Kunde per E-Mail an kontakt@zeptha.de. Hält Zeptha eine Weisung für rechtswidrig, informiert Zeptha den Kunden unverzüglich.

§ 4 Vertraulichkeit

Zeptha wird persönlich von Olgun Istanbullu betrieben. Werden weitere Personen mit Zugriff auf die Daten eingesetzt, werden sie vorher zur Vertraulichkeit verpflichtet.

§ 5 Sicherheit der Verarbeitung

Zeptha trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine Genehmigung, Art. 28 Abs. 2 DSGVO).

(2) Zeptha informiert den Kunden mindestens 30 Tage vorher per E-Mail über beabsichtigte Änderungen. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; lässt sich keine Lösung finden, kann er den Vertrag kündigen.

(3) Zeptha verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags (Art. 28 Abs. 4 DSGVO).

§ 7 Unterstützung des Kunden

(1) Zeptha unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Anträge, die direkt bei Zeptha eingehen, leitet Zeptha unverzüglich an den Kunden weiter. Einen Export der Daten des Workspace stellt Zeptha auf Anforderung in einem gängigen maschinenlesbaren Format bereit.

(2) Zeptha unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der verfügbaren Informationen.

(3) Zeptha meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, soweit verfügbar mit den Angaben nach Art. 33 Abs. 3 DSGVO.

§ 8 Nachweise und Kontrollen

Zeptha stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer. Überprüfungen werden mit angemessener Frist angekündigt und erfolgen vorrangig durch Auskunft und die Unterlagen dieses Vertrags.

§ 9 Ende der Verarbeitung

Nach Ende der Nutzung gibt Zeptha die Daten auf Wunsch des Kunden als Export zurück und löscht sie anschließend innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Kopien in Datensicherungen verfallen mit deren Ablauf. Zeptha bestätigt die Löschung auf Anfrage in Textform.

§ 10 Sonstiges

Es gilt deutsches Recht. Bei Widersprüchen gehen die Regelungen dieses Vertrags den Nutzungsbedingungen vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1 – Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung über HTTPS mit HSTS; Verbindung zwischen Server und Datenbank über TLS innerhalb der Region Frankfurt am Main.
• Anmeldung mit E-Mail und Passwort; Passwörter nur als bcrypt-Hash; Sitzungs-Cookie nur für den Server lesbar, nur über HTTPS, höchstens 30 Tage gültig; Abmelden anderer Sitzungen möglich; Begrenzung von Anmelde- und Registrierungsversuchen.
• Trennung der Workspaces; Rechteprüfung auf dem Server bei jeder Anfrage; deaktivierte Konten verlieren den Zugang.
• Unveränderliches Protokoll sicherheitsrelevanter Vorgänge.
• Strenge Sicherheitseinstellungen im Browser (Content-Security-Policy ohne fremde Quellen, Schutz vor Einbettung); Prüfung hochgeladener Dateien auf ihren tatsächlichen Inhalt; Größenlimits.
• Wiederherstellungspunkte der Datenbank für die letzten 3 Tage; eigene, geprüfte Datensicherungen.
• Anwendungsprotokolle ohne IP-Adressen und ohne Inhalte; Fehler-Monitoring nur mit bereinigten technischen Daten, Speicherung in der EU.
• Betrieb durch eine Person; Zugriff auf Inhalte nur bei Bedarf für Support oder Störungsbehebung; Sicherungen nur auf verschlüsselten Datenträgern.

Anlage 2 – Unterauftragsverarbeiter

Übermittlungen in die USA stützen sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework (Art. 45 DSGVO), unter dem die Anbieter nach eigenen Angaben zertifiziert sind, und ergänzend auf die EU-Standardvertragsklauseln in deren Auftragsverarbeitungsbedingungen (Art. 46 Abs. 2 lit. c DSGVO).