Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO

Zaskoku & Haupt GbR, Lange Str. 54 - 56, 48683 Ahaus, Deutschland

Version 3.1 · Stand: 26. Oktober 2026

Dieser Vertrag regelt, wie wir personenbezogene Daten in deinem Auftrag verarbeiten, wenn du Uptimeify nutzt. Er ist Bestandteil unserer AGB und gilt für dich, sobald der Vertrag über die Nutzung von Uptimeify zustande kommt.

§ 1 Parteien, Rollen und Zustandekommen

1.1 Parteien. Dieser Vertrag besteht zwischen dir, dem Kunden von Uptimeify (im Folgenden auch Verantwortlicher), und der Zaskoku & Haupt GbR, Lange Str. 54 - 56, 48683 Ahaus, Deutschland, handelnd unter der Marke Uptimeify (im Folgenden "wir", "uns", auch Auftragsverarbeiter).

1.2 Rollen. Du bist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die personenbezogenen Daten, die du in Uptimeify einbringst oder dort erzeugen lässt. Wir sind Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO und verarbeiten diese Daten ausschließlich nach deinen dokumentierten Weisungen.

1.3 Nutzung für deine Endkunden. Nutzt du Uptimeify für deine eigenen Kunden und ist dabei dein Endkunde der Verantwortliche, bist du Auftragsverarbeiter und wir Unterauftragsverarbeiter. In diesem Fall stellst du sicher, dass du gegenüber deinem Endkunden zur Beauftragung von Unterauftragsverarbeitern berechtigt bist und dass die Anforderungen aus Art. 28 Abs. 4 DSGVO erfüllt sind. Zwischen uns und deinem Endkunden entsteht kein unmittelbares Vertragsverhältnis (§ 8.2 der AGB).

1.4 Zustandekommen. Dieser Vertrag wird mit dem Zustandekommen des Vertrags über die Nutzung von Uptimeify wirksam, ohne dass es einer weiteren Erklärung oder einer Unterschrift bedarf. Er erfüllt damit das Schriftformerfordernis des Art. 28 Abs. 9 DSGVO in elektronischer Form. Auf Wunsch stellen wir dir eine gesondert unterzeichnete Ausfertigung zur Verfügung; wende dich dafür an hello@uptimeify.io.

1.5 Vorrang. Dieser Vertrag geht den AGB in datenschutzrechtlichen Fragen vor. Im Übrigen gelten die AGB, insbesondere zu Laufzeit, Kündigung und Haftung.

§ 2 Gegenstand und Dauer

2.1 Gegenstand. Gegenstand der Verarbeitung ist der Betrieb der Monitoring-, Incident-, Eskalations- und Reporting-Plattform Uptimeify zur technischen Überwachung von Websites, APIs, DNS-Ressourcen, Heartbeat- und Cronjobs, SSL- und TLS-Zertifikaten, Domain-Abläufen, DNSBL-Einträgen sowie Protokollendpunkten wie ICMP, SMTP, SSH, FTP und IMAP oder POP. Erfasst und verarbeitet werden außerdem Daten für Benachrichtigungen, Wartungsfenster, Statusseiten, White-Label-Konfigurationen, API-Zugänge und Berichte. Zur Durchführung der Prüfungen lösen wir die von dir hinterlegten Ziel-Hostnamen über eigene Resolver auf; bei deren Auslastung leiten wir die Abfrage an öffentliche DNS-Resolver weiter, die wie jeder Nameserver im Internet ausschließlich den Hostnamen erhalten und keine Unterauftragsverarbeiter sind. Für Benachrichtigungen per SMS und per Sprachanruf setzen wir die in Anlage 2 genannten Gateways ein; bei Störung oder Auslastung des primären Gateways nutzen wir das dort genannte Fallback-Gateway.

2.2 Dauer. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Vertrags über die Nutzung von Uptimeify, soweit sich aus diesem Vertrag keine weitergehenden Verpflichtungen ergeben. § 12 gilt über das Vertragsende hinaus.

§ 3 Art und Zweck der Verarbeitung

3.1 Art der Verarbeitung. Die Verarbeitung umfasst insbesondere das Erheben, Entgegennehmen, Speichern, Strukturieren, Anreichern, Auslesen, Abgleichen, Auswerten, Aggregieren, Übermitteln und Löschen von Daten. Hinzu kommen das automatisierte Abrufen technischer Zielsysteme, die Generierung von Incident- und Verfügbarkeitsdaten, die Auslösung von Benachrichtigungen, die Bereitstellung von Statusseiten sowie die Erstellung technischer Reports.

3.2 Zwecke. Die Zwecke der Verarbeitung sind:

• Sicherstellung der Verfügbarkeit: automatisierte Prüfung der Erreichbarkeit von Infrastrukturkomponenten
• Performance-Auswertung: Ermittlung technischer Kennzahlen wie TTFB und Latenz
• Security-Auditing und technische Resilienz: Erkennung von Zertifikatsabläufen, DNS-Auffälligkeiten und Authentifizierungsfehlern
• Incident- und Eskalationsmanagement: Dokumentation von Störungen und Alarmierung, einschließlich der Verarbeitung von Alarmen, die du aus anderen Systemen per Webhook oder E-Mail an Uptimeify weiterleitest
• Transparenz gegenüber Endkunden: Darstellung von Zuständen auf Statusseiten, auch im White-Label, einschließlich Abonnements per E-Mail und RSS
• Vertragliche Leistungsdokumentation: Erstellung von SLA-Nachweisen und Reports
• Mandanten- und White-Label-Betrieb: Bereitstellung individualisierter Monitoring-Kontexte
• Technischer Minimalzweck bei Credentials: Nutzung von Zugangsdaten ausschließlich zur Durchführung technischer Prüfungen

3.3 Keine Zweckänderung. Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere nutzen wir die Daten nicht für das Training von KI-Modellen (§ 14.1 der AGB). Für Verarbeitungen, die wir zu eigenen Zwecken vornehmen, etwa Vertragsabwicklung, Abrechnung, Sicherheit und aggregierte Betriebsstatistik, sind wir Verantwortlicher; Einzelheiten stehen in unserer Datenschutzerklärung.

§ 4 Art der Daten und Kategorien betroffener Personen

4.1 Datenkategorien. Gegenstand der Verarbeitung sind:

• Stammdaten: Organisations-, Kunden- und Ansprechpartnerdaten wie E-Mail, Telefon und Anschrift
• Benutzer- und Zugriffsverwaltungsdaten: Benutzerkonten, Rollen, API-Tokens sowie bei Nutzung unserer Apps Push-Tokens und Gerätekennungen
• Metadaten der Infrastruktur: URLs, Hostnamen, IP-Adressen, DNS-Konfigurationen, Heartbeat-Tokens
• Performance- und Verfügbarkeitsdaten: Prüfergebnisse, Antwortzeiten, Statuscodes, Zertifikatsdaten
• Diagnose- und Evidenzdaten: Fehlertexte, technische Details, Screenshots der geprüften Oberflächen
• Status- und Kommunikationsdaten: Incident-Historien, Benachrichtigungskanäle und deren Empfänger sowie Inhalte eingehender Alarme, die du per Webhook oder E-Mail weiterleitest, etwa Absender, Betreff und Text
• Meldungen über Meldeformulare: Beschreibung, Zeitpunkt, Auswirkung, Angriffsverdacht sowie freiwillig Name und E-Mail-Adresse der meldenden Person (ab 1. Dezember 2026)
• Abonnementdaten von Statusseiten: E-Mail-Adressen von Abonnenten sowie Zeitpunkt, IP-Adresse und User-Agent der Anmeldung als Einwilligungsnachweis
• Reporting-Daten: Verfügbarkeitsstatistiken, SLA-Kennzahlen
• Credentials und sonstige Zugangsdaten: HTTP-Auth, SSH-Schlüssel und Passwörter, FTP-, SMTP- und IMAP- oder POP-Logins sowie technische Secrets
• Potenziell personenbezogene Inhaltsdaten der Zielsysteme: Response-Inhalte oder HTML-Ausgaben

4.2 Besondere Kategorien. Die Verarbeitung besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO ist nicht Vertragszweck. Nach § 13.4 der AGB bringst du solche Daten nicht in den Dienst ein. Technisch ist nicht auszuschließen, dass solche Daten als Beifang in Screenshots oder Response-Inhalten erfasst werden. Du konfigurierst deine Monitore so, dass das vermieden wird, insbesondere durch die Auswahl geprüfter Seiten und den Verzicht auf Inhalts- und Screenshot-Prüfungen bei Seiten mit sensiblen Inhalten. Wir stellen dir dafür entsprechende Einstellungen bereit.

4.3 Kategorien betroffener Personen.

• Mitarbeitende des Verantwortlichen, etwa Administration, Support und Betrieb
• Endkunden des Verantwortlichen, etwa Kunden-Administratoren sowie Rechnungs- und Benachrichtigungskontakte
• Mitarbeitende oder Nutzer der Endkunden, soweit Konten für Monitoring oder Statusseiten hinterlegt sind
• Besucher der überwachten Websites, soweit Daten in Inhaltsprüfungen oder Screenshots sichtbar werden
• Empfänger von Benachrichtigungen
• Besucher und Abonnenten öffentlicher Statusseiten
• Personen, die über ein Meldeformular des Verantwortlichen einen Vorfall melden, etwa Mitarbeitende, Lieferanten oder Endkunden (ab 1. Dezember 2026)

§ 5 Weisungsrecht

5.1 Weisungsgebundenheit. Wir verarbeiten personenbezogene Daten ausschließlich im Rahmen dieses Vertrags und nach deinen dokumentierten Weisungen. Deine Konfiguration im Dienst, etwa angelegte Monitore, Prüfintervalle, Benachrichtigungskanäle und Statusseiten, gilt als dokumentierte Weisung.

5.2 Form. Weisungen erteilst du in Textform an hello@uptimeify.io oder über die dafür vorgesehenen Funktionen im Dienst. Mündliche Weisungen bestätigst du unverzüglich in Textform.

5.3 Hinweispflicht. Sind wir der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, teilen wir dir das unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO). Bis zu deiner Bestätigung oder Änderung der Weisung dürfen wir deren Ausführung aussetzen.

5.4 Gesetzliche Verpflichtungen. Sind wir nach Unionsrecht oder mitgliedstaatlichem Recht zu einer Verarbeitung verpflichtet, informieren wir dich vor der Verarbeitung über diese Anforderung, sofern das jeweilige Recht diese Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.5 Behördliche Anfragen. Erhalten wir eine behördliche oder gerichtliche Anordnung zur Herausgabe von Daten, die wir in deinem Auftrag verarbeiten, informieren wir dich unverzüglich, soweit das rechtlich zulässig ist, und beschränken eine Herausgabe auf das rechtlich Gebotene.

§ 6 Vertraulichkeit

6.1 Wir setzen zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

6.2 Wir sensibilisieren die eingesetzten Personen im erforderlichen Umfang zum Datenschutz und machen sie mit den für sie geltenden Weisungen vertraut.

6.3 Datenschutzanfragen richtest du an hello@uptimeify.io. Wir benennen dir auf Anfrage die für den Datenschutz zuständige Ansprechperson. Einen Datenschutzbeauftragten bestellen wir, sobald wir dazu gesetzlich verpflichtet sind, und teilen dir die Kontaktdaten dann mit.

§ 7 Technische und organisatorische Maßnahmen

7.1 Wir treffen die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste auf Dauer zu gewährleisten. Die Maßnahmen sind in Anlage 1 beschrieben.

7.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Wir dürfen alternative, gleichwertige Maßnahmen umsetzen, solange das vereinbarte Sicherheitsniveau nicht unterschritten wird. Wesentliche Änderungen dokumentieren wir und teilen sie dir auf Anfrage mit.

7.3 Du prüfst vor Beginn der Verarbeitung und danach regelmäßig, ob die Maßnahmen aus Anlage 1 für deinen Verarbeitungskontext angemessen sind.

§ 8 Unterauftragsverarbeiter

8.1 Allgemeine Genehmigung. Du erteilst uns die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern nach Art. 28 Abs. 2 Satz 2 DSGVO. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und mit ihrer Genehmigung durch den Abschluss dieses Vertrags erfasst.

8.2 Aktuelle Liste. Die jeweils aktuelle Liste veröffentlichen wir unter https://uptimeify.io/de/subprozessoren. Änderungen an unserer Infrastruktur und unseren Unterauftragsverarbeitern veröffentlichen wir zusätzlich in unserem Infrastruktur-Changelog unter https://uptimeify.io/de/changelog mit RSS-Feed.

8.3 Ankündigung von Änderungen. Die Beauftragung eines neuen Unterauftragsverarbeiters oder den Wechsel eines bestehenden kündigen wir dir mindestens vier Wochen vor Wirksamwerden in Textform an die in deinem Konto hinterlegte Adresse an. Die Ankündigung nennt Name, Sitz, Rolle und Verarbeitungsstandort.

8.4 Widerspruchsrecht. Du kannst der Änderung innerhalb von vier Wochen ab Zugang der Ankündigung aus datenschutzrechtlichen Gründen in Textform widersprechen. Widersprichst du, suchen wir gemeinsam mit dir eine einvernehmliche Lösung, etwa durch zusätzliche Garantien oder eine alternative Konfiguration. Kommt innerhalb von vier weiteren Wochen keine Lösung zustande, kannst du den Vertrag über die Nutzung von Uptimeify mit Wirkung zum Wirksamwerden der Änderung kündigen; § 12 der AGB zu Export und Übergangsfrist gilt entsprechend. Bis zum Wirksamwerden der Kündigung setzen wir den neuen Unterauftragsverarbeiter für deine Daten nicht ein, soweit uns das technisch und wirtschaftlich zumutbar ist.

8.5 Dringende Fälle. Ist der sofortige Wechsel eines Unterauftragsverarbeiters zur Abwehr einer akuten Gefahr für Sicherheit, Verfügbarkeit oder Rechtmäßigkeit erforderlich, dürfen wir ihn ohne Einhaltung der Frist aus § 8.3 vornehmen. Wir informieren dich unverzüglich nachträglich; dein Widerspruchsrecht nach § 8.4 bleibt bestehen.

8.6 Vertragliche Weitergabe. Wir verpflichten Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags mindestens gleichwertig sind, insbesondere auf die Anforderungen aus Art. 28 Abs. 4 DSGVO. Wir haften dir gegenüber für die Einhaltung dieser Pflichten wie für eigenes Handeln.

8.7 Keine Unterauftragsverarbeitung. Nebenleistungen ohne Bezug zur Hauptleistung, etwa Reinigungsdienste, Postversand oder Telekommunikationsleistungen, sind keine Unterauftragsverarbeitung im Sinne dieses Vertrags.

8.7.1 Abfragen bei öffentlichen Stellen. Abfragen, die wir zur Erfüllung eigener gesetzlicher Pflichten bei öffentlichen Stellen und amtlichen Registern durchführen, sind keine Unterauftragsverarbeitung. Das gilt insbesondere für die Prüfung deiner Umsatzsteuer-Identifikationsnummer über das MIAS-Verfahren (VIES) der Europäischen Kommission nach § 10.2 der AGB. Für diese Verarbeitung sind wir Verantwortlicher; sie erfolgt vor Vertragsschluss und nicht in deinem Auftrag. Einzelheiten stehen in unserer Datenschutzerklärung.

8.8 Optionale Integrationen sind keine Unterauftragsverarbeiter. Verbindest du oder dein Endkunde optionale Drittdienste zur Alarmierung, etwa Slack, Discord, Telegram, PagerDuty, Opsgenie, Google Chat, Jira, Matrix oder eigene Webhooks, übermitteln wir Alarmdaten wie Monitor-Name, Status und Fehlerdetails an den von dir gewählten Anbieter. Grundlage ist deine eigene Vereinbarung mit diesem Anbieter. Diese Anbieter sind insoweit keine Unterauftragsverarbeiter von uns; die datenschutzrechtliche Verantwortung für diese Übermittlung liegt bei dir. Eine aktuelle Übersicht der verfügbaren Integrationen findest du unter https://uptimeify.io/de/subprozessoren.

§ 9 Verarbeitungsorte und Drittlandtransfer

9.1 Verarbeitung in der EU. Die Kern-Infrastruktur betreiben wir ausschließlich in Rechenzentren innerhalb der Europäischen Union. Auch die Monitoring-Prüfstandorte liegen in der EU beziehungsweise im EWR.

9.2 Übermittlungen in Drittländer. Soweit personenbezogene Daten außerhalb des EWR verarbeitet werden, stellen wir geeignete Garantien nach Kapitel V DSGVO sicher, insbesondere durch:

• Angemessenheitsbeschlüsse der Europäischen Kommission
• das EU-US Data Privacy Framework für zertifizierte US-Anbieter
• von der Europäischen Kommission genehmigte Standardvertragsklauseln
• ergänzende technische und organisatorische Maßnahmen

9.3 Die Unterauftragsverarbeiter mit Sitz außerhalb des EWR sowie solche mit Konzernbezug zu einem Drittland und die jeweilige Grundlage der Übermittlung sind in Anlage 2 gekennzeichnet. Keiner dieser Anbieter verarbeitet Monitoring-Daten. Alle Unterauftragsverarbeiter, die Monitoring-Daten verarbeiten, haben ihren Sitz in der Europäischen Union beziehungsweise im EWR und verarbeiten dort.

§ 10 Unterstützung und Betroffenenrechte

10.1 Betroffenenanfragen. Wendet sich eine betroffene Person unmittelbar an uns, um Auskunft, Berichtigung, Löschung oder Einschränkung der Verarbeitung zu verlangen, leiten wir das Ersuchen unverzüglich an dich weiter und beantworten es nicht selbst.

10.2 Unterstützung. Wir unterstützen dich mit geeigneten technischen und organisatorischen Maßnahmen dabei, deinen Pflichten zur Beantwortung von Anträgen betroffener Personen nachzukommen (Art. 28 Abs. 3 lit. e DSGVO), sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO), insbesondere bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.

10.3 Selbstbedienung. Soweit du die erforderlichen Handlungen über die Funktionen des Dienstes selbst vornehmen kannst, insbesondere Auskunft, Berichtigung, Export und Löschung, nutzt du vorrangig diese Funktionen.

10.4 Keine eigenmächtige Änderung. Wir berichtigen, löschen oder beschränken die im Auftrag verarbeiteten Daten nicht eigenmächtig, sondern nur nach deiner dokumentierten Weisung oder nach den in § 12 vereinbarten Fristen.

10.5 Vergütung. Unterstützungsleistungen, die über den vertraglich geschuldeten Umfang und über die im Dienst verfügbaren Funktionen hinausgehen und die nicht auf einem von uns zu vertretenden Umstand beruhen, vergütest du nach Aufwand. Wir weisen dich vor Beginn auf die Vergütungspflicht hin und stimmen den Aufwand mit dir ab.

§ 11 Verletzungen des Schutzes personenbezogener Daten und Sicherheitsvorfälle

11.1 Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die die im Auftrag verarbeiteten Daten betrifft, informieren wir dich unverzüglich, spätestens jedoch innerhalb von 24 Stunden ab Kenntnisnahme, damit du deinen Pflichten aus Art. 33 und 34 DSGVO nachkommen kannst. Maßgeblich für den Fristbeginn ist der Zeitpunkt, zu dem uns die Verletzung bekannt wird; wir halten ihn fest. Die Meldung erfolgt auch dann innerhalb dieser Frist, wenn die Ursache noch nicht abschließend geklärt ist.

11.2 Die Meldung enthält, soweit zu diesem Zeitpunkt möglich, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben reichen wir unverzüglich nach.

11.3 Wir unterstützen dich bei der Aufklärung, bei der Schadensbegrenzung und bei der Erfüllung deiner Melde- und Benachrichtigungspflichten.

11.4 Meldungen an die Aufsichtsbehörde oder an betroffene Personen nehmen wir nicht in deinem Namen vor, es sei denn, du weist uns ausdrücklich dazu an.

11.5 Sicherheitsvorfälle. Dieser Absatz gilt ab dem 1. Dezember 2026. Über einen erheblichen Sicherheitsvorfall bei uns informieren wir dich auch dann, wenn keine personenbezogenen Daten betroffen sind. Erheblich ist ein Vorfall, der die Verfügbarkeit, Integrität, Authentizität oder Vertraulichkeit des Dienstes für dich schwerwiegend beeinträchtigt oder beeinträchtigen kann, insbesondere ein schwerwiegender Ausfall des Dienstes oder ein vermuteter böswilliger, unbefugter Zugriff auf unsere Systeme. Wir informieren dich unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnisnahme, mit dem Stand, den wir zu diesem Zeitpunkt haben. Bis der Vorfall behoben ist, teilen wir dir mindestens alle 72 Stunden den neuen Stand mit. Spätestens einen Monat nach der ersten Information erhältst du einen Abschlussbericht mit Ursache, Auswirkung und den ergriffenen Maßnahmen. Die Information geht per E-Mail an die Administratoren deiner Organisation. So kannst du eigene Pflichten erfüllen, etwa Meldepflichten nach § 32 BSIG oder Pflichten aus deinem Lieferkettenmanagement. Meldungen an Behörden nimmt jede Seite für sich selbst vor.

§ 12 Löschung und Rückgabe

12.1 Wahlrecht. Nach Beendigung der Verarbeitungsleistungen löschen wir die im Auftrag verarbeiteten personenbezogenen Daten oder geben sie an dich zurück, je nachdem, wofür du dich entscheidest (Art. 28 Abs. 3 lit. g DSGVO).

12.2 Export. Du kannst deine Daten während der gesamten Vertragslaufzeit und in den Fristen nach § 12.3 selbst exportieren, über die Weboberfläche und über die API, in einem strukturierten, gängigen und maschinenlesbaren Format (CSV und JSON). Dafür berechnen wir nichts.

12.3 Fristen. Es gelten die Fristen aus den AGB:

12.4 Vorzeitige Löschung. Auf deine ausdrückliche Weisung in Textform löschen wir vorzeitig. Der Verlust der Daten geht dann zu deinen Lasten.

12.5 Ausnahmen. Von der Löschung ausgenommen sind Daten, die wir aufgrund gesetzlicher Aufbewahrungspflichten weiter speichern müssen, insbesondere Rechnungs- und Buchhaltungsdaten, sowie aggregierte Betriebsstatistiken ohne Bezug zu dir oder zu deinen Endkunden. Für solche Daten besteht die Verpflichtung zur Vertraulichkeit fort, und die Verarbeitung beschränkt sich auf den Aufbewahrungszweck.

12.6 Nachweis. Auf Anfrage bestätigen wir dir die erfolgte Löschung in Textform.

§ 13 Nachweise und Kontrollrechte

13.1 Nachweise. Wir stellen dir die zum Nachweis der Einhaltung unserer Pflichten erforderlichen Informationen zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO). Vorrangig geschieht das durch Anlage 1, die Subprozessorenseite, den Infrastruktur-Changelog, die Sicherheitsdokumentation sowie durch aktuelle Zertifikate oder Prüfberichte, soweit vorhanden.

13.2 Ergänzende Prüfung. Reichen diese Nachweise im Einzelfall nicht aus, kannst du eine weitergehende Überprüfung verlangen, auch durch einen von dir benannten unabhängigen Prüfer, der nicht in einem Wettbewerbsverhältnis zu uns steht. Du kündigst die Prüfung mindestens vier Wochen vorher in Textform an, führst sie zu üblichen Geschäftszeiten und ohne vermeidbare Betriebsstörung durch und verpflichtest den Prüfer zur Vertraulichkeit.

13.3 Umfang. Prüfungen erstrecken sich nicht auf Daten anderer Kunden, nicht auf Betriebs- und Geschäftsgeheimnisse, die für die Prüfung nicht erforderlich sind, und nicht auf Räumlichkeiten unserer Unterauftragsverarbeiter, soweit deren eigene Prüfberichte oder Zertifikate ausreichen.

13.4 Häufigkeit und Kosten. Ohne besonderen Anlass ist eine ergänzende Prüfung einmal je Kalenderjahr vorgesehen. Weitere Prüfungen sind bei begründetem Anlass zulässig, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf Verlangen einer Aufsichtsbehörde. Den eigenen Aufwand trägt jede Seite selbst; unseren Aufwand für ergänzende Prüfungen ohne besonderen Anlass, die über die Bereitstellung der Nachweise nach § 13.1 hinausgehen, vergütest du nach Aufwand.

13.5 Aufsichtsbehörden. Kontrollen durch eine zuständige Aufsichtsbehörde dulden wir und wirken daran mit. Diese unterliegen den Beschränkungen aus § 13.2 bis § 13.4 nicht.

§ 14 Haftung

14.1 Für die Haftung gelten die Regelungen aus § 16 der AGB. Die Haftung nach Art. 82 DSGVO gegenüber betroffenen Personen bleibt davon unberührt.

14.2 Im Innenverhältnis trägt jede Seite den Anteil des Schadens, der ihrem Verantwortungsbeitrag entspricht.

§ 15 Änderungen dieses Vertrags

15.1 Wir dürfen diesen Vertrag ändern, wenn ein sachlicher Grund vorliegt, insbesondere bei Änderungen der Rechtslage, der Rechtsprechung, der Vorgaben von Aufsichtsbehörden oder bei technischen Weiterentwicklungen. Es gilt das Verfahren aus § 20 der AGB, einschließlich der Ankündigungsfrist und deines Widerspruchsrechts.

15.2 Änderungen an Anlage 2 richten sich ausschließlich nach § 8.3 bis § 8.5 dieses Vertrags.

15.3 Frühere Fassungen halten wir mit Versionsnummer und Datum abrufbar.

§ 16 Schlussbestimmungen

16.1 Es gilt deutsches Recht. Gerichtsstand ist Ahaus, Deutschland, entsprechend § 22.2 der AGB.

16.2 Ist eine Bestimmung dieses Vertrags unwirksam, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

16.3 Dieser Vertrag liegt in deutscher und englischer Sprache vor. Bei Abweichungen ist die deutsche Fassung maßgeblich.

16.4 Anlage 1 und Anlage 2 sind Bestandteil dieses Vertrags.

Anlage 1: Technische und organisatorische Maßnahmen

Diese Anlage konkretisiert die nach § 7 dieses Vertrags und nach Art. 32 DSGVO geschuldeten Maßnahmen. Maßgeblich ist der jeweils aktuelle Stand der Technik; gleichwertige Maßnahmen sind nach § 7.2 zulässig.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

• Rechenzentren: Verarbeitung ausschließlich in EU-Rechenzentren unserer Unterauftragsverarbeiter (Hetzner, Deutschland; OVH, Frankreich und EWR; netcup, Deutschland; UpCloud, Deutschland und Dänemark; IONOS, Deutschland). Datenbank-Instanzen betreiben wir ausschließlich an deutschen Standorten. Physische Sicherung durch die Betreiber: Zutritt nur für autorisiertes Personal, Vereinzelungsanlagen, Bewachung rund um die Uhr, Videoüberwachung, protokollierter Zutritt. Die eingesetzten Betreiber unterhalten Zertifizierungen nach ISO 27001 oder gleichwertige Nachweise.
• Eigene Räumlichkeiten: Zutritt nur für berechtigte Personen, Besucher werden begleitet.

1.2 Zugangskontrolle

• Authentifizierung: persönliche, individuelle Benutzerkonten, keine Sammelkonten für administrative Zugriffe. Zwei-Faktor-Authentifizierung für administrative Zugänge und für das Kunden-Dashboard verfügbar.
• Passwörter: Durchsetzung von Passwortrichtlinien zu Mindestlänge und Komplexität, Speicherung ausschließlich als gesalzene Hashes nach Stand der Technik.
• Administrativer Zugriff: Server sind ausschließlich über ein privates VPN und mit hinterlegtem SSH-Schlüssel erreichbar. Ein Zugriff ohne VPN-Zugang oder ohne SSH-Schlüssel ist technisch nicht möglich. Ein Login mit Passwort ist deaktiviert. Verwaltungsschnittstellen sind aus dem öffentlichen Internet nicht erreichbar.
• Netzwerktrennung: Die Prüf- und Verarbeitungsknoten kommunizieren untereinander ausschließlich innerhalb eines geschlossenen VPN-Mesh. Zugänge werden bei Ausscheiden einer Person unverzüglich entzogen.

1.3 Zugriffskontrolle

• Rollen- und Rechtekonzept: rollenbasierte Zugriffssteuerung nach dem Need-to-know-Prinzip, Mandantentrennung zwischen dir und deinen Endkunden.
• Credentials der Zielsysteme: technische Zugangsdaten wie SSH-, FTP-, SMTP-, IMAP- oder POP-Logins, HTTP-Auth sowie API- und Heartbeat-Tokens werden ausschließlich verschlüsselt in der Datenbank gespeichert. Die Entschlüsselung erfolgt erst im Prüf-Worker zum Zeitpunkt der Prüfung. Maskierung in Logs, Reports und Oberflächen.
• Keine Zugangsdaten in Warteschlangen: Die Auftragswarteschlangen enthalten zu keinem Zeitpunkt Zugangsdaten. Sie transportieren ausschließlich Auftragsverweise; die zugehörigen Zugangsdaten bezieht der Worker verschlüsselt und direkt aus der Datenbank.
• Push-Benachrichtigungen: Der Alarmtext in Push-Benachrichtigungen unserer Apps wird mit einem Schlüssel verschlüsselt, den ausschließlich das empfangende Gerät öffnen kann. Der private Schlüssel verlässt das Gerät nicht.
• Protokollierung: administrative Zugriffe und sicherheitsrelevante Ereignisse werden protokolliert.

1.4 Trennungskontrolle

• Mandantentrennung: logische Trennung der Daten je Mandant und Sub-Account auf Anwendungs- und Datenbankebene. Jeder Zugriff wird gegen den Mandantenkontext geprüft; ein Zugriff über Mandantengrenzen hinweg ist ausgeschlossen.
• Eine Datenbank, mehrere Standorte: Die Anwendungsdaten liegen in einem logischen Datenbank-Cluster mit einer schreibenden Instanz und synchron geführten Replikaten bei mehreren Anbietern. Die Datenbank-Instanzen stehen ausschließlich an deutschen Standorten. Die Mandantentrennung gilt unverändert über alle Instanzen hinweg.
• Verteilte Verarbeitung: Anwendung, Warteschlangen und Prüfknoten laufen bei mehreren Anbietern innerhalb der EU (Anlage 2). Die Verteilung berührt die Mandantentrennung nicht.
• Umgebungstrennung: Trennung von Produktiv-, Test- und Entwicklungsumgebungen. Produktivdaten werden nicht in Test- oder Entwicklungsumgebungen verwendet.

1.5 Pseudonymisierung und Verschlüsselung

• Transportverschlüsselung: verschlüsselte Übertragung nach Stand der Technik (TLS 1.2 und 1.3).
• Speicherverschlüsselung: Verschlüsselung sensibler Daten und Secrets im Ruhezustand.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

• Übermittlung: Datenübermittlung an Unterauftragsverarbeiter nur verschlüsselt und auf Grundlage von Auftragsverarbeitungsverträgen beziehungsweise Standardvertragsklauseln.
• Datenträger: kontrollierte, datenschutzkonforme Entsorgung und Löschung von Datenträgern.

2.2 Eingabekontrolle

• Nachvollziehbarkeit: Protokollierung von Eingabe, Änderung und Löschung in den relevanten Systemen, sodass nachträglich überprüfbar ist, von wem Daten verarbeitet wurden.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

3.1 Verfügbarkeitskontrolle

• Backups: regelmäßige, automatisierte, verschlüsselte Datensicherungen. Speicherung ausschließlich innerhalb der EU und getrennt vom Primärsystem. Die Aufbewahrung richtet sich nach § 12.3 dieses Vertrags.
• Datenbank-Hochverfügbarkeit: Der Datenbank-Cluster hält an mehreren Standorten Instanzen vor, die die schreibende Rolle übernehmen können. Fällt die schreibende Instanz aus, übernimmt automatisch eine Replik; die Entscheidung darüber trifft ein verteilter Konsensdienst. Ziel ist ein Failover ohne manuellen Eingriff.
• Infrastruktur: redundante Verteilung der Prüfknoten über mehrere Anbieter und Standorte innerhalb der EU. Prüfung und Alarmierung laufen unabhängig von der Web-Anwendung und arbeiten weiter, wenn diese nicht erreichbar ist. Schutz vor Stromausfall und Überlast durch die Rechenzentrumsbetreiber.
• Entkoppelte Verarbeitung: Prüfaufträge, Benachrichtigungen, Berichte und Abrechnungsläufe werden über Warteschlangen verteilt. Aufträge, die nur einmal ausgeführt werden dürfen, sind gegen Doppelausführung abgesichert.
• Schutzmaßnahmen: Firewalls, VPN-Pflicht für administrative Zugriffe (Ziffer 1.2), Überwachung der eigenen Systeme.

3.2 Wiederherstellbarkeit

• Recovery: definierte Verfahren zur Wiederherstellung der Verfügbarkeit von Daten nach einem physischen oder technischen Zwischenfall.

4. Regelmäßige Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

• Überprüfung: regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen.
• Auftragskontrolle: Verarbeitung im Auftrag nur nach dokumentierter Weisung (§ 5, § 10.4), Verpflichtung der Unterauftragsverarbeiter auf entsprechende Maßnahmen (§ 8.6).
• Incident-Response: Prozess zur Erkennung und Meldung von Verletzungen des Schutzes personenbezogener Daten (§ 11). Der Zeitpunkt der Kenntnisnahme wird dokumentiert, der Verantwortliche wird unverzüglich, spätestens innerhalb von 24 Stunden informiert. Für die Meldung ist eine verantwortliche Person mit benannter Vertretung bestimmt, sodass die Frist auch bei Abwesenheit eingehalten wird. Ab dem 1. Dezember 2026 gilt derselbe Prozess für erhebliche Sicherheitsvorfälle ohne Personenbezug (§ 11.5), mit Zwischenstand mindestens alle 72 Stunden und Abschlussbericht innerhalb eines Monats.
• Mitarbeitende: Verpflichtung auf Vertraulichkeit und Datengeheimnis, Sensibilisierung und Schulung zum Datenschutz.
• Sicherheitsmeldungen: Meldeweg für Sicherheitslücken nach § 19.3 der AGB.

Anlage 2: Unterauftragsverarbeiter

Stand dieser Anlage: 24. September 2026. Maßgeblich ist die jeweils aktuelle Liste unter https://uptimeify.io/de/subprozessoren.

Die Spalte Monitoring-Daten gibt an, ob Kundenkonto- oder Monitoring-Daten wie überwachte URLs, Prüfergebnisse, Alarminhalte oder Benachrichtigungsempfänger durch diesen Unterauftragsverarbeiter verarbeitet werden.

Service-Unterauftragsverarbeiter

Diese Anbieter sind am Betrieb der Uptimeify-Plattform beteiligt.

Geschäftsbetrieb

Diese Anbieter unterstützen unseren internen Geschäftsbetrieb und verarbeiten keine Monitoring-Daten.

Mobile Apps (optional)

Diese Anbieter setzen wir nur ein, wenn eine Person eine unserer Apps installiert und Push-Benachrichtigungen aktiviert. Sie erhalten keine Monitoring-Daten: Die Push-Nachricht trägt ein Wecksignal, eine Alarmkennung, den Schweregrad, ein signiertes Bestätigungstoken und den Alarmtext, verschlüsselt mit einem Schlüssel, den ausschließlich das empfangende Gerät öffnen kann. Dieser Abschnitt gilt ab dem 30. Oktober 2026.

Optionale Integrationen

Optionale Integrationen zur Alarmierung sind keine Unterauftragsverarbeiter (§ 8.8). Sie werden nur aktiv, wenn du sie selbst konfigurierst. Die aktuelle Übersicht findest du unter https://uptimeify.io/de/subprozessoren.

Zaskoku & Haupt GbR Lange Str. 54 - 56, 48683 Ahaus, Deutschland Vertreten durch Florian Zaskoku und Pascal Haupt E-Mail: hello@uptimeify.io

Version 3.1 · Stand: 26. Oktober 2026