Auftragsverarbeitungsvertrag (AVV) – WebDisk Next

Version: 1.1 · Gültig ab: 2026-08-24

Die polnische Fassung ist rechtlich verbindlich. Diese deutsche Übersetzung dient lediglich der Information.

Vertrag über die Auftragsverarbeitung personenbezogener Daten (im Folgenden: „AVV“), geschlossen zwischen:

dem Verantwortlichen (dem Kunden):

Name: [Kundenname]
Anschrift: [Adresse], [Postleitzahl] [Ort]
NIP: [USt-IdNr.]
E-Mail-Adresse: [E-Mail]
vertreten durch den Kontoadministrator im Dienst WebDisk Next

und

dem Auftragsverarbeiter:

Mazura sp. z o.o. mit Sitz in Ząbki, ul. Baśniowa 1C/2, 05-091 Ząbki, eingetragen im Unternehmerregister des Landesgerichtsregisters (Krajowy Rejestr Sądowy), geführt vom Amtsgericht für die Hauptstadt Warschau in Warschau, XIV. Wirtschaftsabteilung des KRS, unter der Nummer KRS 0000971559, NIP 1251732787, Inhaberin der Marke WebDisk.

Der AVV regelt die Verarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung des Dienstes WebDisk Next (im Folgenden: „Dienst“) durch den Kunden nach den in den Nutzungsbedingungen Next festgelegten Grundsätzen.

§1. Definitionen

Die im AVV verwendeten Begriffe haben die Bedeutung, die ihnen in der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten, zum freien Datenverkehr und zur Aufhebung der Richtlinie 95/46/EG („DSGVO“) zukommt, insbesondere:

Personenbezogene Daten – Informationen über eine identifizierte oder identifizierbare natürliche Person, die im Zusammenhang mit dem Dienst verarbeitet werden,
Betroffene Personen – die Endnutzer des Kunden sowie andere natürliche Personen, deren Daten der Kunde in der Nextcloud-Instanz abgelegt hat,
Verletzung des Schutzes personenbezogener Daten – eine Verletzung der Sicherheit, die zur zufälligen oder unrechtmäßigen Vernichtung, zum Verlust, zur Veränderung, zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten führt.

§2. Gegenstand, Art und Zweck der Verarbeitung

2.1. Gegenstand der Auftragsverarbeitung. Der Kunde betraut den Auftragsverarbeiter mit der Verarbeitung der personenbezogenen Daten, die in der Nextcloud-Instanz des Kunden enthalten sind – in Dateien, Benutzerkonten und -profilen, Kontakten, Kalendern sowie in anderen Daten, die der Kunde in die Instanz eingegeben hat.

2.2. Art der Verarbeitung. Die Verarbeitung besteht in:

dem Betrieb einer virtuellen Maschine mit der Nextcloud-Software und der Speicherung der Daten der Instanz,
der Erstellung und Speicherung von Snapshots der Instanz sowie deren Wiederherstellung auf Verlangen des Kunden,
der Durchführung automatisierter Aktualisierungen der Software und des Betriebssystems.

Der Auftragsverarbeiter sichtet, indexiert und analysiert die in der Instanz des Kunden gespeicherten Inhalte nicht und verwendet sie nicht für eigene Zwecke. Im Rahmen des laufenden Betriebs erhält das Personal des Auftragsverarbeiters keinen Zugriff auf das Betriebssystem der Instanz oder auf den Inhalt der Daten des Kunden; Wartungstätigkeiten werden automatisiert auf Infrastrukturebene ausgeführt.

2.3. Zweck der Verarbeitung. Die Erbringung des Dienstes für den Kunden gemäß den Nutzungsbedingungen Next und dem gewählten Plan.

2.4. Kategorien personenbezogener Daten. Der Umfang der Daten hängt von den vom Kunden in die Instanz eingegebenen Inhalten ab und kann insbesondere umfassen: Identifikationsdaten (Vorname, Nachname, E-Mail-Adresse), Kontaktdaten, Daten zur Beschäftigung oder zur ausgeübten Funktion sowie andere Datenkategorien, die sich aus Entscheidungen des Kunden ergeben.

2.5. Kategorien betroffener Personen. Die Endnutzer des Kunden (Mitarbeiter, freie Mitarbeiter, Geschäftspartner) sowie natürliche Personen, deren Daten der Kunde in der Instanz speichert.

2.6. Dauer der Verarbeitung. Für die Dauer des Vertrags über die Erbringung des Dienstes, bis zu dessen Beendigung und bis zur Löschung der Daten gemäß §9.

§3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

3.1. Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten. Als solche Weisung gelten die Nutzungsbedingungen Next, dieser AVV, die vom Kunden vorgenommene Konfiguration der Instanz sowie die zur Erbringung des Dienstes erforderlichen Wartungstätigkeiten. Dies gilt auch für die Übermittlung von Daten in ein Drittland, es sei denn, das Recht der Union oder das Recht eines Mitgliedstaats erlegt dem Auftragsverarbeiter eine solche Pflicht auf – in diesem Fall teilt der Auftragsverarbeiter dem Kunden diese Pflicht vor Beginn der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

3.2. Sicherzustellen, dass sich die zur Verarbeitung personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3.3. Die in §5 festgelegten technischen und organisatorischen Maßnahmen anzuwenden, die ein dem Risiko angemessenes Schutzniveau gewährleisten (Art. 32 DSGVO).

3.4. Den Kunden – nach Möglichkeit und unter Berücksichtigung der Art der Verarbeitung – bei der Erfüllung seiner Pflicht zu unterstützen, auf Anträge betroffener Personen zu antworten (Art. 12–22 DSGVO). Da der Kunde über direkten Zugriff auf die Daten in der Instanz und über die Administrationswerkzeuge von Nextcloud verfügt, erfüllt der Kunde diese Anträge selbständig; der Auftragsverarbeiter leistet Unterstützung nach den in §8 festgelegten Grundsätzen.

3.5. Den Kunden bei der Erfüllung der in Art. 32–36 DSGVO festgelegten Pflichten zu unterstützen, einschließlich der Sicherheit der Verarbeitung, der Meldung von Verletzungen sowie der Datenschutz-Folgenabschätzung – durch Bereitstellung der dem Auftragsverarbeiter zur Verfügung stehenden Informationen über die Art und Weise der Verarbeitung.

3.6. Nach Beendigung der Erbringung des Dienstes die personenbezogenen Daten nach den in §9 festgelegten Grundsätzen zu löschen.

3.7. Dem Kunden die Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der in Art. 28 DSGVO festgelegten Pflichten erforderlich sind, und Audits nach den in §10 festgelegten Grundsätzen zu ermöglichen.

3.8. Den Kunden unverzüglich zu informieren, wenn eine ihm erteilte Weisung nach Auffassung des Auftragsverarbeiters gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

§4. Pflichten des Kunden

Der Kunde verpflichtet sich:

4.1. Personenbezogene Daten im Einklang mit der DSGVO zu verarbeiten, insbesondere für jede in die Instanz eingegebene Datenkategorie über eine Rechtsgrundlage der Verarbeitung zu verfügen.

4.2. Die Informationspflichten gegenüber den betroffenen Personen zu erfüllen, einschließlich der Information über die Betrauung des Auftragsverarbeiters mit der Verarbeitung der Daten.

4.3. Die eigene Nextcloud-Instanz DSGVO-konform zu administrieren – insbesondere Benutzerkonten und Berechtigungen, die Freigabekonfiguration sowie die installierten Anwendungen zu verwalten und Sicherheitsmaßnahmen auszuwählen und umzusetzen, die den Kategorien der verarbeiteten Daten angemessen sind. Der Kunde nimmt zur Kenntnis, dass die Nextcloud-Software eine Funktion zur serverseitigen Datenverschlüsselung bereitstellt, die der Kunde selbständig aktivieren kann.

4.4. Ohne vorherige schriftliche Abstimmung mit dem Auftragsverarbeiter und ohne Umsetzung angemessener Sicherheitsmaßnahmen auf eigener Seite keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO), keine Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) und keine Daten, die besonderen regulatorischen Regelungen unterliegen, in die Instanz einzugeben.

4.5. Mit dem Auftragsverarbeiter bei der Erfüllung der Anträge betroffener Personen sowie bei der Bearbeitung von Verletzungen des Schutzes personenbezogener Daten zusammenzuarbeiten.

§5. Technische und organisatorische Maßnahmen

5.1. Zugriffskontrolle:

personengebundene Konten des Personals des Auftragsverarbeiters mit Mehrfaktor-Authentifizierung bei kritischen Operationen,
administrativer Zugriff auf die Produktionsinfrastruktur ausschließlich über einen dedizierten Jump-Host, mit Authentifizierung per kryptographischem Schlüssel und mit Sitzungsprotokollierung,
kein Zugriff des Personals des Auftragsverarbeiters auf das Betriebssystem der Instanz des Kunden und auf den Inhalt ihrer Daten im Rahmen des laufenden Betriebs,
Trennung von Produktions-, Test- und Entwicklungsumgebung.

5.2. Isolation:

die Instanz jedes Kunden wird auf einer separaten virtuellen Maschine betrieben, was die Isolation der Daten der einzelnen Kunden auf Betriebssystemebene gewährleistet,
separate Zugangsdaten für jede Instanz.

5.3. Verschlüsselung:

Verschlüsselung der Verbindungen mit dem TLS-Protokoll in Version 1.2 oder höher – für das Kundenportal sowie für den Zugriff auf die Nextcloud-Instanz,
Speicherung der Kontopasswörter in Form kryptographischer Hashwerte unter Verwendung einer gegen Wörterbuchangriffe resistenten Funktion,
Verschlüsselung der Konfigurationsgeheimnisse in der Datenbank des Auftragsverarbeiters.

Der Auftragsverarbeiter weist darauf hin, dass die Datenträger der virtuellen Maschinen sowie die Snapshots derzeit nicht im Ruhezustand verschlüsselt werden. Ein Kunde, der Daten verarbeitet, die eine Verschlüsselung im Ruhezustand erfordern, sollte eine anwendungsseitige Verschlüsselung einsetzen, einschließlich der in der Nextcloud-Software verfügbaren Verschlüsselungsfunktion (Ziff. 4.3).

5.4. Protokollierung und Überwachung:

Protokollierung administrativer Operationen (Bereitstellung und Stilllegung der Instanz, Planwechsel, Erstellung und Wiederherstellung von Snapshots, Migration) mit einer Aufbewahrungsdauer von 12 Monaten,
Sicherheitsüberwachung der Infrastruktur mit Anomalieerkennung und Alarmierung im Dauerbetrieb.

5.5. Betriebskontinuität:

Hardware-Redundanz der Stromversorgung, der Netzwerkanbindung sowie des Speichers für die Datenträger der virtuellen Maschinen,
rotierende Snapshots der Instanz gemäß den Parametern des Plans, die eine Wiederherstellung der Instanz nach einem Ausfall ermöglichen.

5.6. Standort: Personenbezogene Daten werden auf Infrastruktur verarbeitet, die sich auf dem Gebiet der Republik Polen befindet. Der Auftragsverarbeiter übermittelt die ihm anvertrauten Daten nicht in Länder außerhalb des Europäischen Wirtschaftsraums.

5.7. Aufrechterhaltung des Sicherheitsniveaus: regelmäßige Sicherheitsaktualisierungen der Software und der Systeme, periodische Sicherheitstests sowie eine periodische Überprüfung der eingesetzten technischen und organisatorischen Maßnahmen, mindestens einmal jährlich.

§6. Unterauftragsverarbeitung

6.1. Der Kunde erteilt seine allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern durch den Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

6.2. Das Verzeichnis der Kategorien von Unterauftragsverarbeitern ist in Kapitel 10 der Nutzungsbedingungen Next enthalten. Das aktuelle Verzeichnis stellt der Auftragsverarbeiter dem Kunden auf Anfrage zur Verfügung.

6.3. Über beabsichtigte Änderungen des Verzeichnisses – die Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters – informiert der Auftragsverarbeiter den Kunden per E-Mail mit einer Vorlaufzeit von 30 Tagen.

6.4. Dem Kunden steht das Recht zu, gegen die Änderung einen begründeten Einspruch zu erheben, der innerhalb von 14 Tagen nach Erhalt der Information einzulegen ist. Im Falle eines Einspruchs unternehmen die Parteien innerhalb von 30 Tagen den Versuch, eine alternative Lösung zu vereinbaren; bleibt dieser erfolglos, steht dem Kunden das Recht zu, den Vertrag über die Erbringung des Dienstes mit sofortiger Wirkung zu kündigen, unter Beibehaltung der Möglichkeit, die Daten herunterzuladen.

6.5. Der Auftragsverarbeiter erlegt den Unterauftragsverarbeitern Datenschutzpflichten auf, die den sich aus diesem AVV ergebenden Pflichten entsprechen, und haftet gegenüber dem Kunden für die Erfüllung dieser Pflichten (Art. 28 Abs. 4 DSGVO).

§7. Meldung von Verletzungen des Schutzes personenbezogener Daten

7.1. Im Falle der Feststellung einer Verletzung des Schutzes der vom AVV erfassten personenbezogenen Daten:

a) benachrichtigt der Auftragsverarbeiter den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Feststellung der Verletzung – per E-Mail sowie über das Kundenportal,

b) übermittelt er die Informationen, die der Kunde zur Erfüllung der Pflichten aus Art. 33 Abs. 3 DSGVO benötigt, darunter: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die möglichen Folgen der Verletzung, die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen sowie die Kontaktstelle des Auftragsverarbeiters,

c) wirkt er mit dem Kunden bei der Benachrichtigung der Aufsichtsbehörde sowie der betroffenen Personen zusammen.

7.2. Der Kunde meldet die Verletzung der Aufsichtsbehörde innerhalb von 72 Stunden nach ihrer Feststellung, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte oder Freiheiten natürlicher Personen.

7.3. Die Parteien nehmen zur Kenntnis, dass Verletzungen, die ausschließlich in der Anwendungsschicht der Instanz des Kunden auftreten – bedingt durch die vom Kunden vorgenommene Konfiguration, die von ihm vergebenen Berechtigungen oder die von ihm eingebrachten Anwendungen –, außerhalb des Kenntnisbereichs des Auftragsverarbeiters liegen können; ihre Erkennung und Bewertung obliegen dann dem Kunden als Verantwortlichem. Erlangt der Auftragsverarbeiter Kenntnis von einer solchen Verletzung, benachrichtigt er den Kunden unverzüglich.

§8. Unterstützung bei der Wahrnehmung der Rechte betroffener Personen

Recht der betroffenen Person	Art der Erfüllung
Auskunft über die Daten (Art. 15 DSGVO)	Der Kunde erfüllt den Antrag selbständig mit den Administrationswerkzeugen von Nextcloud
Berichtigung (Art. 16 DSGVO)	Der Kunde erfüllt den Antrag selbständig in der Instanz; Abrechnungsdaten – im Kundenportal
Löschung der Daten (Art. 17 DSGVO)	Der Kunde erfüllt den Antrag selbständig in der Instanz; die Stilllegung der gesamten Instanz – im Kundenportal, mit einer Karenzfrist von 30 Tagen, nach deren Ablauf die endgültige Löschung der Instanz und der Snapshots erfolgt
Einschränkung der Verarbeitung (Art. 18 DSGVO)	Der Kunde erfüllt den Antrag selbständig; auf Verlangen des Kunden setzt der Auftragsverarbeiter die Erstellung von Snapshots aus
Datenübertragbarkeit (Art. 20 DSGVO)	Der Kunde erfüllt den Antrag selbständig mit der Exportfunktion sowie den Nextcloud-Client-Anwendungen
Widerspruch (Art. 21 DSGVO)	Der Kunde prüft ihn als Verantwortlicher; Unterstützung des Auftragsverarbeiters auf einen an iod@webdisk.io gerichteten Antrag

Der Auftragsverarbeiter führt in Bezug auf die ihm anvertrauten Daten keine automatisierte Entscheidungsfindung und kein Profiling durch.

§9. Löschung der Daten nach Beendigung der Erbringung des Dienstes

9.1. Nach der Beendigung oder dem Erlöschen des Vertrags über die Erbringung des Dienstes – unabhängig vom Grund:

a) gewährleistet der Auftragsverarbeiter dem Kunden die Möglichkeit, die Daten aus der Instanz während der in den Nutzungsbedingungen Next festgelegten Karenzfrist (30 Tage) selbständig herunterzuladen,

b) löscht er nach Ablauf der Karenzfrist oder unverzüglich auf schriftliches Verlangen des Kunden die virtuelle Maschine des Kunden mitsamt allen ihren Snapshots endgültig.

9.2. Der Auftragsverarbeiter behält ausschließlich:

das Protokoll der Infrastrukturoperationen, das keine aus dem Inneren der Instanz stammenden Daten enthält – für 12 Monate, auf der Grundlage von Art. 17 Abs. 3 lit. b und lit. e DSGVO,
die Buchhaltungsunterlagen – für den Zeitraum, der durch die Rechnungslegungs- und Steuervorschriften vorgeschrieben ist.

9.3. Auf Verlangen des Kunden stellt der Auftragsverarbeiter eine schriftliche Bestätigung der Löschung der Daten aus.

§10. Audits

10.1. Dem Kunden steht das Recht zu, ein Audit der Einhaltung dieses AVV durch den Auftragsverarbeiter durchzuführen, insbesondere der in §5 genannten Maßnahmen, nicht häufiger als einmal pro Kalenderjahr sowie darüber hinaus jeweils nach dem Auftreten einer den Kunden betreffenden Verletzung des Schutzes personenbezogener Daten.

10.2. Das Audit wird in schriftlicher oder dokumentarischer Form mit einer Vorlaufzeit von mindestens 30 Tagen angekündigt und während der Geschäftszeiten des Auftragsverarbeiters in einer Weise durchgeführt, die dessen laufende Tätigkeit nicht beeinträchtigt.

10.3. Der Kunde kann die Durchführung des Audits einem zur Vertraulichkeit verpflichteten unabhängigen Auditor übertragen. Der Auditor darf kein Wettbewerber des Auftragsverarbeiters sein.

10.4. Das Audit darf sich weder auf Daten anderer Kunden des Auftragsverarbeiters noch auf Informationen erstrecken, die Geschäftsgeheimnisse des Auftragsverarbeiters darstellen und nicht mit dem Gegenstand des AVV in Zusammenhang stehen.

10.5. Die Kosten des Audits trägt der Kunde. Werden wesentliche Verstöße gegen den AVV festgestellt, trägt der Auftragsverarbeiter die angemessenen Kosten des Audits.

10.6. Der Auftragsverarbeiter kann die Erfüllung seiner Pflichten auch durch Vorlage aktueller Berichte eines unabhängigen Auditors oder von Berichten über Sicherheitstests nachweisen – sofern der Kunde diese als ausreichend anerkennt.

§11. Haftung

11.1. Der Auftragsverarbeiter haftet für den durch die Verarbeitung verursachten Schaden, wenn er den durch die DSGVO unmittelbar den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder wenn er außerhalb der rechtmäßig erteilten Weisungen des Kunden oder entgegen diesen Weisungen gehandelt hat (Art. 82 Abs. 2 DSGVO).

11.2. Die Schadensersatzhaftung des Auftragsverarbeiters wegen Nichterfüllung oder nicht ordnungsgemäßer Erfüllung des AVV ist auf die Höhe der Entgelte begrenzt, die der Kunde in den 12 Monaten vor dem schadensverursachenden Ereignis gezahlt hat. Die Begrenzung gilt nicht für vorsätzlich verursachte Schäden und nicht für Fälle, in denen zwingende gesetzliche Vorschriften eine Haftungsbegrenzung ausschließen.

11.3. Die Grundsätze der Haftung gegenüber den betroffenen Personen regelt Art. 82 DSGVO, einschließlich der Grundsätze der gesamtschuldnerischen Haftung und der Regressansprüche zwischen dem Verantwortlichen und dem Auftragsverarbeiter.

§12. Schlussbestimmungen

12.1. Laufzeit. Der AVV gilt für die Dauer des Vertrags über die Erbringung des Dienstes und erlischt mit der Erfüllung der in §9 festgelegten Pflichten.

12.2. Änderungen. Änderungen des AVV bedürfen der dokumentarischen Form. Als Wahrung dieser Form gilt die Benachrichtigung des Kunden per E-Mail zusammen mit dem Erfordernis der erneuten Annahme im Kundenportal.

12.3. Vorrang. Im Bereich des Schutzes personenbezogener Daten haben die Bestimmungen des AVV Vorrang vor den Nutzungsbedingungen Next sowie den Nutzungsbedingungen SaaS.

12.4. Sprachfassungen. Bei Abweichungen zwischen der polnischen Fassung des AVV und ihrer deutschen, ukrainischen oder englischen Übersetzung ist die polnische Fassung verbindlich.

12.5. Anwendbares Recht und Gerichtsstand. Anwendbar ist polnisches Recht. Streitigkeiten entscheidet das ordentliche Gericht, das für den Sitz des Auftragsverarbeiters zuständig ist, vorbehaltlich der Vorschriften über die gerichtliche Zuständigkeit in Verbrauchersachen.

12.6. Abschluss des AVV. Der AVV kommt mit seiner Annahme im Kundenportal zustande, die unter Angabe der Dokumentversion und des Zeitpunkts der Annahme protokolliert wird, oder mit der Unterzeichnung des Dokuments mit einer qualifizierten elektronischen Signatur.

Mazura sp. z o.o. · WebDisk Next · Auftragsverarbeitungsvertrag (AVV) · Version 1.0 · gültig ab 2026-08-24

Wersja / Version 1.1 · DE