Stand: September 2026
Dieser Auftragsverarbeitungsvertrag (AVV) wird zwischen Rheono, Inhaber Samir Abis, Daimlerstr. 5E, 76669 Bad Schönborn, Deutschland (nachfolgend „Auftragsverarbeiter“), und dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) über die im Vertrag vereinbarte Security-Prüfung geschlossen. Er regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter nach Art. 28 DSGVO. Er geht den Allgemeinen Geschäftsbedingungen für den von ihm erfassten Bereich vor.
Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten, die im Rahmen der vereinbarten Security-Prüfung auf der externen Web- und API-Oberfläche des Auftraggebers anfallen. Der Auftragsverarbeiter verarbeitet diese Daten ausschließlich zur Erbringung der vereinbarten Leistung und auf Grundlage der Weisungen des Auftraggebers.
Der Auftragsverarbeiter führt eine kontinuierliche, autonome Schwachstellenprüfung (extern, nicht-mutierend) durch, verifiziert jeden Befund manuell per Proof of Concept und stellt signierte Berichte mit CVSS-Bewertung sowie Zuordnung zu NIS2- und ISO-27001-Evidenz. Die Verarbeitung umfasst das Erfassen, Prüfen, Dokumentieren, Aufbewahren und nach Ablauf löschen von Befunden, Proof-of-Concepts und damit zusammenhängenden Metadaten.
Betroffene Personen können sein: Endnutzer der geprüften Systeme (etwa im Rahmen eines Befunds), Mitarbeitende des Auftraggebers (etwa als Kontakt- oder Ansprechperson) sowie Dritte, deren Systeme im Rahmen eines Befunds berührt werden.
Personenbezogene Daten, die unvermeidbar im Rahmen eines Befunds oder der Kommunikation anfallen, insbesondere: Namen, E-Mail-Adressen, IP-Adressen, Rolle-/Kontextdaten im Kontext eines Schwachstellenbefunds sowie technisch unvermeidbar erfasste Kennzahlen. Der Auftragsverarbeiter vermeidet den Zugriff auf personenbezogene Daten, soweit technisch zumutbar, und hält die Verarbeitung auf das Notwendige beschränkt (Datenminimierung, Art. 5 DSGVO). Berichte und PoCs enthalten nur die für den jeweiligen Befund erforderlichen Daten.
Die Verarbeitung dauert für die Dauer des jeweiligen Vertrags (der jeweiligen Autorisierung) plus die vereinbarte Aufbewahrungsfrist an. Die vom Auftraggeber im Kundenportal einstellbare Aufbewahrungsfrist (30 Tage bis 100 Jahre) gilt für Prüfdaten und unberichtete Befunde. Berichte und signierte Snapshots unterliegen einer gesetzlichen Aufbewahrung von 10 Jahren.
Der Auftragsverarbeiter verarbeitet die Daten des Auftraggebers ausschließlich in einem Rechenzentrum in der Europäischen Union. Er trifft die nach Art. 32 DSGVO geeigneten technisch-organisatorischen Maßnahmen, insbesondere: Verschlüsselung in Transit und bei Speicherung, Zugriffskontrolle (prinzip der geringsten Berechtigung), getrennte Produktionsumgebung, Protokollierung signierrelevanter Vorgänge (Append-only) sowie sichere Vernichtung.
Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten nur auf dokumentierte Weisungen des Auftraggebers, sofern nicht die Verarbeitung durch Unionsrecht oder nationales Recht verlangt wird. Weisungen des Auftraggebers sind die schriftliche Autorisierung, die Rules of Engagement und die im Kundenportal gesondert getroffenen Einstellungen. Auf Weisungen, die der DSGVO zuwiderlaufen, weist der Auftragsverarbeiter den Auftraggeber unverzüglich hin.
Der Auftragsverarbeiter bezieht nur solche Unterauftragsverarbeiter ein, die die gleichwertigen Pflichten aus Art. 28 DSGVO übernehmen, und trägt gegenüber dem Auftraggeber für die Auswahl, Weisung und Überwachung des Unterauftragsverarbeiters wie für eigenes Verschulden. Der Auftraggeber kann der Einbeziehung eines Unterauftragsverarbeiters widersprechen, wenn der Auftragsverarbeiter keine technische oder organisatorische Alternative anbieten kann, ohne die Leistung wesentlich zu verschlechtern.
Der Auftraggeber stellt alle für die Leistungserbringung erforderlichen Informationen, Zugänge, Test-Accounts und Freigaben rechtzeitig in brauchbarer Form zur Verfügung und gewährleistet, dass er als Verantwortlicher berechtigt ist, die zu prüfenden Systeme in den Auftrag einzubeziehen.
Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung seiner Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Wahrung der Sicherheit, bei der Meldung von Datenschutzpannen an die Aufsichtsbehörde und betroffene Personen sowie bei Datenschutz-Folgenabschätzungen und Konsultationen.
Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden, über einen bekannt gewordenen Vorfall, der personenbezogene Daten des Auftraggebers betrifft, und unterstützt ihn bei der Erfüllung seiner Pflichten aus Art. 33 DSGVO sowie bei der technischen und organisatorischen Aufarbeitung.
Der Auftragsverarbeiter gibt dem Auftraggeber alle für die Nachweisführung erforderlichen Informationen bereit und ermöglicht Kontrollen (Prüfungen), einschließlich Audits, durch den Auftraggeber oder einen anderen vom Auftraggeber beauftragten Prüfer.
Nach Beendigung des Vertrags oder nach Abschluss der einzelnen Leistung liefert der Auftragsverarbeiter auf Wahl des Auftraggebers alle personenbezogenen Daten zurück oder löscht sie (einschließlich aller Kopien), sofern keine gesetzliche Aufbewahrungspflicht (insbesondere steuerrechtliche, handelsrechtliche oder verfahrensrechtliche) entgegensteht; in diesem Fall werden die Daten auf den gesetzlichen Aufbewahrungszweck beschränkt.
Die Haftung des Auftragsverarbeiters gegenüber dem Auftraggeber richtet sich nach Ziffer 14 der Allgemeinen Geschäftsbedingungen, sofern nicht in diesem Vertrag ausdrücklich etwas anderes geregelt ist.
Auf diesen Vertrag finden die Gesetze der Bundesrepublik Deutschland Anwendung. Im Streitfall ist die deutsche Fassung maßgeblich. Änderungen bedürfen der Textform.
Hinweis: Dieser AVV ist Bestandteil des jeweiligen Vertrags über Security-Leistungen (AGB §13) und gilt, sobald im Rahmen der Leistung personenbezogene Daten verarbeitet werden. Er geht den AGB für den von ihm erfassten Bereich vor.