Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

zwischen dem Kunden als Verantwortlichem oder, soweit er selbst im Auftrag Dritter handelt, als Auftragsverarbeiter („Kunde“) und der ELEVAYTE Online UG (haftungsbeschränkt), Rüdigerstraße 16, 40472 Düsseldorf, als (weiterem) Auftragsverarbeiter („PiPort“).

§ 1 Gegenstand, Geltung und Dauer

(1) PiPort verarbeitet im Rahmen des Nutzungsvertrags über den Dienst PiPort (AGB) personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag gilt, soweit PiPort personenbezogene Daten im Auftrag des Kunden verarbeitet. Bei Unternehmern mit PRO-Paket ist das regelmäßig der Fall; für sie wird der Vertrag mit der Buchung Vertragsbestandteil. Nutzt ein Verbraucher PiPort ausschließlich für persönliche oder familiäre Tätigkeiten, findet die DSGVO auf ihn als Verantwortlichen keine Anwendung (Art. 2 Abs. 2 lit. c DSGVO). Verarbeitet ein Verbraucher darüber hinaus Daten Dritter, kann er diesen Vertrag im Dashboard abschließen.

(2) Dieser Vertrag läuft so lange wie der Nutzungsvertrag und darüber hinaus, solange PiPort personenbezogene Daten des Kunden verarbeitet (§ 9).

(3) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die PiPort selbst verantwortlich ist, insbesondere die Vertragsabwicklung und Abrechnung mit dem Kunden, die Sicherheit des Dienstes einschließlich der Erkennung von Missbrauch sowie die Erfüllung gesetzlicher Pflichten. Diese beschreibt die Datenschutzerklärung.

(4) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor.

(5) Verarbeitet der Kunde die Daten seinerseits im Auftrag eines Dritten (z. B. als Dienstleister, der Geräte seiner Auftraggeber verwaltet), ist PiPort weiterer Auftragsverarbeiter (Art. 28 Abs. 4 DSGVO). Der Kunde gibt die Weisungen seines Auftraggebers weiter und stellt sicher, dass dieser dem Einsatz von PiPort und der Unterauftragsverarbeiter nach Anlage B zugestimmt hat. Kontroll- und Informationsrechte des Auftraggebers übt der Kunde für ihn aus.

(6) Für Hosting und Betrieb des Dienstes setzt PiPort die ELEVAYTE Systems UG (haftungsbeschränkt), Rüdigerstraße 16, 40472 Düsseldorf, als Dienstleisterin und damit als Unterauftragsverarbeiterin ein. Zwischen beiden Gesellschaften besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO mit denselben Datenschutzpflichten wie in diesem Vertrag. Die übrigen Unterauftragsverarbeiter (z. B. das Rechenzentrum) beauftragt die ELEVAYTE Systems UG; alle stehen in Anlage B.

§ 2 Art, Zweck und Ort der Verarbeitung, Daten und Betroffene

(1) Zweck der Verarbeitung ist die Bereitstellung des Dienstes: Fernzugriff auf Geräte des Kunden über das Relay, Anzeige und Verlauf von Gerätedaten, Benachrichtigungen und die Verwaltung von Organisation und Team.

(2) Art der Verarbeitung: Erheben, Speichern, Anzeigen, Übermitteln an Nutzer des Kunden, Durchleiten, Löschen.

(3) Datenkategorien:

(4) Nicht verarbeitet werden Passwörter und private Schlüssel für die Anmeldung am Gerät; PiPort erhält sie nicht. Inhalte von SSH-Sitzungen und des Browser-Terminals sind Ende-zu-Ende verschlüsselt; PiPort kann sie nicht lesen. Inhalte sonstiger TCP-Weiterleitungen leitet das Relay nur weiter; sind sie nicht durch das übertragene Protokoll verschlüsselt, liegen sie dabei kurzzeitig im Arbeitsspeicher des Relays im Klartext vor. PiPort speichert, protokolliert und wertet diese Inhalte nicht aus; das Durchleiten ist eine Verarbeitung im Sinne dieses Vertrags.

(5) Betroffene Personen: Beschäftigte und Beauftragte des Kunden, die PiPort nutzen; eingeladene Personen; Personen, die Geräte des Kunden nutzen oder deren Daten in Gerätenamen, Hostnamen oder Bildschirminhalten vorkommen; bei Unterorganisationen (Enterprise-Add-on) auch Kunden des Kunden und deren Beschäftigte.

(6) Ort: Die Verarbeitung findet in der Europäischen Union statt, im Wesentlichen in Rechenzentren in Deutschland. Eine Verarbeitung in einem Drittland erfolgt nur über die in Anlage B genannten Unterauftragsverarbeiter und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 3 Weisungen

(1) PiPort verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich der Übermittlung in ein Drittland, es sei denn, PiPort ist nach dem Recht der Union oder Deutschlands zu einer anderen Verarbeitung verpflichtet; dann teilt PiPort dem Kunden das vorher mit, sofern dieses Recht es nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen, die der Kunde im Dashboard oder über die API vornimmt. Weitere Weisungen erteilt der Kunde in Textform.

(3) Hält PiPort eine Weisung für rechtswidrig, weist PiPort den Kunden unverzüglich darauf hin und darf ihre Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 4 Pflichten von PiPort

(1) PiPort verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht gesetzlich zur Verschwiegenheit verpflichtet sind.

(2) PiPort trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage A beschrieben sind. PiPort darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

(3) PiPort unterstützt den Kunden mit angemessenen Mitteln bei seinen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen, soweit es um den Dienst geht.

(4) Einen Datenschutzbeauftragten hat PiPort nicht bestellt, weil die gesetzlichen Voraussetzungen derzeit nicht vorliegen. Ansprechpartner für den Datenschutz ist Jonas Trettin, [email protected].

(5) PiPort führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

§ 5 Meldung von Datenschutzverletzungen

PiPort meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die im Dashboard hinterlegte Adresse der Inhaber der Organisation. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht PiPort nach, sobald sie vorliegen.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde erteilt PiPort die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage B und unter piport.io/de/unterauftragsverarbeiter; sie gelten als genehmigt.

(2) PiPort informiert den Kunden mindestens 30 Tage, bevor ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird, per E-Mail und auf der genannten Seite. Der Kunde kann innerhalb von 14 Tagen nach Zugang in Textform aus datenschutzrechtlichen Gründen widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Nutzungsvertrag zum Zeitpunkt des Wechsels kündigen; im Voraus gezahlte Entgelte erstattet PiPort anteilig. Bei Gefahr im Verzug (z. B. Ausfall eines Anbieters) kann die Frist kürzer sein. PiPort informiert den Kunden auch dann vor dem Einsatz und begründet die Eile; Widerspruchs- und Kündigungsrecht bleiben bestehen.

(3) PiPort verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet PiPort gegenüber dem Kunden dafür wie für eigenes Handeln.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikationsdienste ohne Zugriff auf die Daten.

§ 7 Nachweise und Kontrollen

(1) PiPort stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, insbesondere die TOMs nach Anlage A und Zertifikate der Unterauftragsverarbeiter (z. B. ISO 27001 der Rechenzentren).

(2) Reichen diese Nachweise im Einzelfall nicht aus, kann der Kunde Überprüfungen einschließlich Inspektionen selbst durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber von PiPort ist. Prüfungen ohne besonderen Anlass finden höchstens einmal im Kalenderjahr statt und sind 30 Tage vorher anzukündigen. Bei konkreten Anhaltspunkten für einen Verstoß, nach einer Datenschutzverletzung oder auf Verlangen einer Aufsichtsbehörde ist eine Prüfung jederzeit mit einer dem Anlass angemessenen Vorankündigung möglich. Prüfungen finden zu üblichen Geschäftszeiten statt; der Kunde vermeidet unnötige Störungen des Betriebs und wahrt die Vertraulichkeit der Daten anderer Kunden.

(3) Die Kosten einer Prüfung trägt der Kunde, es sei denn, sie deckt einen erheblichen Verstoß von PiPort auf.

§ 8 Rechte der betroffenen Personen

(1) PiPort unterstützt den Kunden bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO). Viele Anfragen kann der Kunde selbst im Dashboard erledigen, etwa durch Export, Berichtigung oder Löschung von Nutzern und Geräten.

(2) Wendet sich eine betroffene Person direkt an PiPort, leitet PiPort die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, sofern der Kunde das nicht anweist.

§ 9 Löschung und Rückgabe

(1) Nach Ende der Leistungen entscheidet der Kunde, ob PiPort ihm alle personenbezogenen Daten aus diesem Auftrag zurückgibt oder sie löscht (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe erfolgt durch den Export nach § 17 Abs. 4 AGB während der Exportfrist nach § 17 Abs. 5 AGB; Daten aus § 2 dieses Vertrags, die dort nicht exportierbar sind, stellt PiPort auf Verlangen in einem gängigen Format bereit, soweit Rechte Dritter oder die Sicherheit des Dienstes nicht entgegenstehen. Trifft der Kunde keine Wahl, löscht PiPort nach Ablauf der Exportfrist.

(2) Die Löschung umfasst alle Kopien; Sicherungskopien werden spätestens 14 Tage nach der Löschung im laufenden System überschrieben. Daten dürfen nur gespeichert bleiben, soweit das Recht der Union oder Deutschlands dazu verpflichtet; sie werden bis dahin gesperrt. Auf Verlangen bestätigt PiPort die Löschung in Textform.

§ 10 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen Kunde und PiPort gilt § 18 AGB.

§ 11 Schlussbestimmungen

(1) Änderungen dieses Vertrags bedürfen der Textform; § 12 AGB gilt entsprechend.

(2) Rechtswahl und Gerichtsstand richten sich nach § 23 AGB.

(3) Anlagen: Anlage A Technische und organisatorische Maßnahmen, Anlage B Unterauftragsverarbeiter.

Anlage A zum AVV: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Server in Rechenzentren der Hetzner Online GmbH in Deutschland mit Zugangskontrolle, Videoüberwachung und Zertifizierung nach ISO/IEC 27001. Der Dienst läuft in einem eigenen Kubernetes-Cluster bei Hetzner in Deutschland. Die Datenbank läuft als verwalteter Dienst MongoDB Atlas in Rechenzentren von Microsoft Azure in Frankfurt am Main, ebenfalls nach ISO/IEC 27001 zertifiziert. PiPort betreibt keine eigenen Serverräume.
• Zugangskontrolle: Anmeldung am Dashboard mit Passwort, gespeichert nur als bcrypt-Hash; Sitzungs-, Zugriffs-, Geräte- und Enrollment-Tokens werden nur als Hash gespeichert. Begrenzung von Anmelde- und Enrollment-Versuchen (Rate-Limits, z. B. Enrollment 10 je Minute und IP-Adresse). Eine Zwei-Faktor-Anmeldung für Kunden gibt es noch nicht. Administrativer Zugang zur Infrastruktur nur für autorisierte Administratoren der Betreiberin mit persönlichen Konten, Schlüsseln und Zwei-Faktor-Anmeldung.
• Zugriffskontrolle: Rollen in jeder Organisation (Inhaber, Administrator, Betrachter); Fernzugriff und Browser-Terminal nur für Inhaber und Administratoren. Jede Verbindung über das Relay braucht eine signierte Freigabe (Ed25519), die 60 Sekunden gilt, nur einmal verwendbar und an ein Gerät gebunden ist. Nur freigegebene Ports eines Geräts sind erreichbar. Das Relay nimmt Browser-Verbindungen nur von erlaubten Ursprüngen an.
• Trennungskontrolle: Alle Kundendaten sind einer Organisation zugeordnet; jede Abfrage im Backend ist auf die Organisation beschränkt. Getrennte Umgebungen für Entwicklung und Produktion. Keine Kundendaten in den Betriebsmetriken.
• Pseudonymisierung und Datensparsamkeit: Die Hardware-Kennung eines Geräts wird nur als gesalzener SHA-256-Hash übertragen. Fehlerberichte werden vor dem Versand von Passwörtern, Tokens und Cookies bereinigt und enthalten vom Konto nur die interne ID. Die Website protokolliert keine IP-Adressen.
• Verschlüsselung: Alle Verbindungen zu Website, Dashboard, API und Relay per TLS. SSH-Sitzungen, auch im Browser-Terminal, sind Ende-zu-Ende zwischen Client und Gerät verschlüsselt; Zugangsdaten für das Gerät verlassen den Browser nicht.

2. Integrität

• Weitergabekontrolle: Übertragung nur verschlüsselt (siehe oben). SSH-Host-Schlüssel der Geräte werden beim ersten Verbinden bestätigt und danach geprüft; eine Änderung löst eine Warnung aus.
• Eingabekontrolle: Protokolle von API und Relay mit internen IDs von Konto, Organisation und Gerät; soweit vorhanden ein Audit-Log für Aktionen an Geräten und Host-Schlüsseln. Erkennung geklonter SD-Karten durch Hardware-Bindung.
• Software auf Geräten: Der Agent läuft als eigener Systembenutzer ohne Root-Rechte, mit eng begrenzten sudo-Regeln für einzelne Aktionen (z. B. Neustart).

3. Verfügbarkeit und Belastbarkeit

• Betrieb in Kubernetes; Redis wird selbst im Cluster bei Hetzner in Deutschland betrieben. Die Datenbank ist ein MongoDB-Atlas-Replica-Set in der Azure-Region Frankfurt; Verbindungen dorthin sind TLS-verschlüsselt, die Daten werden verschlüsselt gespeichert.
• Datensicherung täglich, Aufbewahrung 14 Tage, gespeichert außerhalb des Clusters.
• Monitoring mit Metriken, Protokollen und Alarmen, Fehlerüberwachung mit Sentry (Anlage B); Server-Protokolle werden 30 Tage aufbewahrt.
• Schutz vor Überlastung durch Rate-Limits an API und Relay und durch Cloudflare für Website, Dashboard und API.

4. Regelmäßige Überprüfung

• Änderungen am Code nur nach Prüfung durch eine zweite Person und mit automatischen Tests.
• Abhängigkeiten werden regelmäßig aktualisiert und auf bekannte Sicherheitslücken geprüft.
• Festgelegter Ablauf für Datenschutzverletzungen mit Meldung an Kunden innerhalb von 48 Stunden (§ 5 AVV).
• Überprüfung dieser Maßnahmen mindestens einmal jährlich.

Anlage B zum AVV: Unterauftragsverarbeiter

Stand: November 2026. Die aktuelle Liste steht unter piport.io/de/unterauftragsverarbeiter. Erste Stufe ist die Betreiberin ELEVAYTE Systems UG (erste Zeile); die übrigen Anbieter beauftragt sie.

Redis läuft selbst betrieben im Cluster bei Hetzner; dafür kommt kein weiterer Anbieter hinzu.

Keine Unterauftragsverarbeiter im Sinne dieses AVV:

• Stripe (Stripe Payments Europe, Limited, Dublin, Irland): Die Zahlungsabwicklung ist eine Verarbeitung in eigener Verantwortung von PiPort (Vertragsabwicklung) und von Stripe als eigenem Verantwortlichen. Stripe erhält Rechnungsdaten des Kunden, aber keine Geräte- oder Nutzungsdaten.
• Plausible: Plausible wird selbst betrieben (stats.elevayte.systems) und misst ohne Cookies nur die Besuche der Website piport.io, in eigener Verantwortung von PiPort; ein externer Anbieter ist nicht beteiligt.
• Monitoring (Grafana, Prometheus, Loki, Tempo): wird im eigenen Cluster betrieben; ein externer Anbieter ist nicht beteiligt.