Auftragsverarbeitungsvertrag (AVV / DPA)

Version 1.1, Stand 21.10.2026. Änderungen gegenüber Version 1.0 vom 05.07.2026: Anlage 1 und 2 an den tatsächlichen Stand angepasst (Tokens, Rollen, Mandantentrennung, Monitoring, GitHub als Sub-Prozessor); Art der Verarbeitung um Auto-Regeln ergänzt; Datenarten in Ziff. 2 vervollständigt (Stadt der Anmeldung, Client-App).

Gemäß Art. 28 DSGVO. Auftragsverarbeiter: Aveldra – Daniel Acar, Schlehenweg 10, 74321 Bietigheim-Bissingen, E-Mail: kontakt@aveldra.de. Verantwortlicher: der Kunde; die konkreten Angaben (Firma, Anschrift, Ansprechpartner) werden bei Vertragsschluss ergänzt. Diese Fassung ist zur Einsicht veröffentlicht; die unterschriftsfertige Ausfertigung erhalten Sie auf Anfrage.

Präambel

Der Verantwortliche nutzt den Dienst Aveldra zur Sicherheitsüberwachung und -härtung von Microsoft-365-Tenants. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen (Art. 28 DSGVO). Dieser AVV ist Bestandteil des Nutzungsvertrags (AGB) und geht diesem in datenschutzrechtlichen Fragen vor.

1. Gegenstand, Dauer und Zweck

Gegenstand: Erkennung und Risikobewertung von Drittanbieter-Apps, Erkennung verdächtiger Anmelde-/Weiterleitungsereignisse sowie – auf Weisung eines berechtigten Administrators oder durch eine vom Verantwortlichen aktivierte Auto-Regel – Remediation- und Sicherheits-Durchsetzungsmaßnahmen (z. B. App-Zugriff entziehen, Sitzungen widerrufen, Weiterleitungsregeln deaktivieren, Aktivierung der Microsoft Security Defaults), auch über mehrere betreute Mandanten hinweg.

Art der Verarbeitung: lesende Erhebung von Metadaten über die Microsoft Graph API; schreibende Konfigurationsänderungen nur auf Weisung eines berechtigten Administrators oder durch eine vom Verantwortlichen aktivierte Auto-Regel (Auto-Regeln sind standardmäßig aus); Speicherung/Risikobewertung (PostgreSQL, Fly.io, Region Frankfurt); Anzeige, Berichte, Löschung nach Vertragsende. Dauer: Laufzeit des Hauptvertrags.

2. Betroffene Personen & Datenarten (Metadaten und Kontoangaben)

Betroffene: Administratoren und Nutzer der M365-Tenants des Verantwortlichen (und seiner betreuten Endkunden). Ausdrücklich nicht verarbeitet: E-Mail-, Kalender-, Datei-/SharePoint-Inhalte.

3. Pflichten des Verantwortlichen

Der Verantwortliche ist weisungsberechtigt (schriftlich oder über die Funktionen des Dienstes) und stellt die Rechtsgrundlage sowie die rechtmäßige Erteilung des Microsoft-Entra-Admin-Consents sicher. Im MSP-Modell stellt er sicher, dass er zur Beauftragung und zur Auslösung von Remediation-/Enforcement-Maßnahmen für seine betreuten Endkunden-Mandanten berechtigt ist (Vollmachtskette Endkunde → Verantwortlicher → Auftragsverarbeiter).

4. Pflichten des Auftragsverarbeiters

• Weisungsbindung & Vertraulichkeit: Verarbeitung ausschließlich auf dokumentierte Weisung; zur Vertraulichkeit verpflichtete Personen (Art. 28 Abs. 3 lit. a/b).
• TOMs (Art. 32): siehe Anlage 1.
• Unterauftragsverarbeiter: nur die in Anlage 2 genannten; Änderungen werden mit mindestens 30 Tagen Vorlauf angekündigt (Einspruchsrecht).
• Betroffenenrechte: Unterstützung (Art. 15–22) via DSGVO-Export (JSON), vollständige Löschung auf Anfrage, Auskunft binnen 10 Werktagen.
• Löschung/Rückgabe: Löschung aller Daten binnen 30 Tagen nach Vertragsende (gesetzliche Aufbewahrungspflichten bleiben unberührt); Export auf vorherige Anfrage.
• Nachweise/Audits: Informationssicherheits-Leitlinie + Control-Mapping (ISO 27001 / SOC 2 / NIST / CIS); Audits mit 10 Werktagen Vorankündigung (Kosten trägt der Verantwortliche).
• Meldepflicht: Benachrichtigung bei Datenschutzverletzung unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden.

5. Schlussbestimmungen

Es gilt deutsches Recht. Der AVV geht dem Hauptvertrag in datenschutzrechtlichen Fragen vor. Gerichtsstand (soweit zulässig, § 38 ZPO): Sitz des Auftragsverarbeiters (Bietigheim-Bissingen bzw. Landgericht Stuttgart). Salvatorische Klausel; Textform für Änderungen.

Anlage 1 — Technisch-organisatorische Maßnahmen (Auszug)

• Zugangs-/Zugriffskontrolle: Anmeldung über Microsoft (OAuth/OpenID Connect, signaturgeprüftes id_token) mit CSRF-Schutz; Sitzung im HttpOnly-/Secure-Cookie; serverseitige Session-Invalidierung; rollenbasierte Zugriffskontrolle (Owner/Admin/Readonly). Anmelden können standardmäßig nur Microsoft-365-Administratoren (Globaler Administrator, Administrator für privilegierte Rollen, Sicherheitsadministrator) bzw. vom Aveldra-Support einzeln freigeschaltete Konten (je Tenant und Anmeldename); die Einstellung „Nur Administratoren zulassen“ ist standardmäßig an. Freigeschaltete Konten erhalten Admin-Rechte in Aveldra. Per Einladung aufgenommene Mitglieder eines MSP-Teams können sich ohne Microsoft-Admin-Rolle anmelden, erhalten dann aber nur Lesezugriff. Schreibende Aktionen in Microsoft-365-Tenants (Gegenmaßnahmen, Durchsetzung, Rücknahme) und das Anlegen von Auto-Regeln erfordern ein Konto mit einer dieser Admin-Rollen oder ein freigeschaltetes Konto; die Rolle wird bei jeder Anmeldung aus dem id_token geprüft.
• Verschlüsselung: TLS/HSTS im Transport. Aveldra speichert keine Microsoft-Zugriffstokens der Nutzer des Verantwortlichen; der Zugriff auf dessen Tenant läuft app-only über die Aveldra-App. Zugangsdaten für PSA-Anbindungen liegen symmetrisch verschlüsselt in der Datenbank (Fernet, Schlüssel rotationsfähig).
• Mandantentrennung: Mandantentrennung in der Anwendung: Jede Datenbankabfrage ist auf den Mandanten gefiltert und durch Tests abgesichert. Eine zusätzliche Trennung in der Datenbank selbst (Row-Level-Security) gibt es nicht.
• Integrität: Webhook-Signaturprüfung + Idempotenz; SSRF-Schutz; Rate-Limiting; CSV-Injection-Schutz; vollständige Content-Security-Policy.
• Verfügbarkeit: tägliche, verschlüsselte Datenbank-Backups (GPG, AES-256) mit Integritätsprüfung, 90 Tage als Artefakt bei GitHub, zusätzlich als Off-Site-Kopie bei Backblaze (EU; Aufbewahrungsregel in Einrichtung). Ein dokumentierter Restore-Test steht noch aus. Heartbeat-Überwachung der Hintergrund-Jobs und des Backup-Laufs sowie Fehler-Monitoring (Sentry); nach dem Ausfall im Oktober 2026 (siehe /sla) wird die Alarmkette neu aufgebaut, ein Test steht aus.
• Vorfallmanagement: Incident-Response-Runbook vorhanden (Security- und Breach-Response, technische Playbooks), nicht geübt, kein formal freigegebener Prozess; Vorfallregister nach Art. 33 Abs. 5 DSGVO seit 21.10.2026.
• Löschung: Konto und Daten lassen sich jederzeit sofort in der Anwendung löschen. Nach Vertragsende ist die Löschung binnen 30 Tagen vorgesehen; der automatische Löschjob greift derzeit wegen eines bekannten Fehlers nicht zuverlässig, bis zur Behebung wird manuell gelöscht.
• Überprüfung: Dependency-Audit + Dependabot, Secret-Scan (gitleaks), SAST (bandit) in CI; interne Sicherheits-Reviews (kein externer Penetrationstest).

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Microsoft ist kein Sub-Prozessor im Sinne dieses AVV: Die M365-Daten stammen aus dem eigenen Tenant des Verantwortlichen; Aveldra liest Metadaten über die Microsoft Graph API und führt schreibende Konfigurationsänderungen nur auf Auslösung oder über vom Verantwortlichen aktivierte Auto-Regeln aus. Die aktuelle, datierte Sub-Prozessoren-Liste findest du unter /subprozessoren.