Vertrag zur Auftragsverarbeitung.

Fideno GmbH (i.G.) · Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO

zwischen

dem Verantwortlichen (im Folgenden „Auftraggeber" oder „Kunde")

— der natürlichen oder juristischen Person, die FidenoVault im Rahmen eines kostenpflichtigen Geschäftskunden-Plans (Business Basic, Business Pro, Enterprise) bzw. im Rahmen der On-Premise-Variante nutzt —

und

dem Auftragsverarbeiter (im Folgenden „Anbieter" oder „Fideno")

Fideno GmbH

Bahnhofstraße 23-25

53879 Euskirchen

Deutschland

Geschäftsführer: Marcel Blettner

Vertretungsberechtigt: Geschäftsführer

Datenschutz-Kontakt: datenschutz@fideno.io

Datenschutzbeauftragter: Rechtsanwalt Oliver Niederjohann

Stand: 05.06.2026

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand dieses Auftragsverarbeitungsvertrages (im Folgenden „AVV") ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Erbringung der Hauptleistung gemäß den Allgemeinen Geschäftsbedingungen (AGB) der Fideno GmbH und etwaigen ergänzenden individuellen Vereinbarungen (im Folgenden gemeinsam „Hauptvertrag").

(2) Der Auftragsverarbeiter erbringt für den Auftraggeber Leistungen im Bereich des Passwort- und Identitätsmanagements in Form der Software FidenoVault (Cloud-Variante und/oder On-Premise-Variante). Hierbei verarbeitet er personenbezogene Daten ausschließlich im Auftrag und nach den Weisungen des Auftraggebers im Sinne von Art. 28 DSGVO.

(3) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrages. Beide Parteien können diesen AVV nach den Regelungen in § 14 vorzeitig beenden.

(4) Soweit der Auftragsverarbeiter über den Umfang der Auftragsverarbeitung hinaus eigenständig über Zwecke und Mittel der Verarbeitung entscheidet (z. B. für eigene Vertrags- und Abrechnungszwecke), agiert er insoweit als eigenständiger Verantwortlicher und nicht als Auftragsverarbeiter. Hierfür gelten die Bestimmungen der Datenschutzerklärung.

§ 2 Art und Zweck der vorgesehenen Verarbeitung

(1) Art der Verarbeitung: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Abrufen, Verwenden, Übermitteln (an Subprozessoren und Betroffene selbst), Vergleichen, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten in elektronischer Form innerhalb der Software FidenoVault.

(2) Zweck der Verarbeitung: Bereitstellung eines Zero-Knowledge-Passwortmanagers mit folgenden Funktionen für den Auftraggeber und die ihm zuzurechnenden Sub-Accounts:

a) Sichere clientseitig verschlüsselte Speicherung von Anmeldedaten, Notizen, Karten und vergleichbaren sensitiven Daten;

b) Synchronisation der verschlüsselten Vault-Daten zwischen Endgeräten des Kunden (SaaS-Variante);

c) Authentifizierung und Zwei-Faktor-Authentisierung (TOTP, FIDO2, Passkeys nach WebAuthn);

d) Optionale Team-Funktionen mit Sharing und Rollenmanagement (Ordner-Freigaben erfolgen im Zero-Knowledge-Prinzip über asymmetrisch verpackte Ordner-Schlüssel; eine implizite Vollsicht des Admins über fremde Inhalte besteht nicht);

e) Erstellung von Audit-Logs für sicherheitsrelevante Aktionen;

f) Bereitstellung eines Recovery-Mechanismus über einen clientseitig generierten Recovery-Key;

g) Versand transaktionaler E-Mails (Verifizierungscodes, Reset-Hinweise, Benachrichtigungen über sicherheitsrelevante Ereignisse).

(3) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu den vorstehend beschriebenen Zwecken und nicht für eigene Zwecke (insbesondere nicht für Profilbildung, Werbung, Verkauf an Dritte oder Trainingsdaten für KI-Modelle).

(4) Zero-Knowledge-Architektur: Aufgrund der technischen Architektur der Software hat der Auftragsverarbeiter zu keinem Zeitpunkt Zugriff auf die im Vault gespeicherten Klartext-Inhalte. Diese werden ausschließlich auf den Endgeräten des Kunden bzw. seiner Sub-Accounts verschlüsselt und entschlüsselt. Der Auftragsverarbeiter speichert lediglich die verschlüsselten Vault-Daten sowie die zur Vertragsabwicklung notwendigen Metadaten.

§ 3 Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung können folgende Kategorien personenbezogener Daten verarbeitet werden:

Stammdaten der Sub-Accounts

Beispiele: E-Mail-Adresse, Vorname, Nachname, Avatar-Initialen, Rolle (Admin/Editor/Viewer), Spracheinstellung
Anmerkung: Werden vom Auftraggeber im Admin-Panel eingegeben oder per Self-Signup ergänzt

Authentifizierungsdaten

Beispiele: Hash des Master-Passworts (Argon2id), Encryption-Salt, 2FA-Konfiguration (TOTP-Secret, FIDO2-Public-Key, Passkey-Public-Key)
Anmerkung: Klartext-Passwörter werden niemals übertragen oder gespeichert

Sessions und Sicherheits-Tokens

Beispiele: JWT-Refresh-Tokens, Trust-Device-Tokens, Reset-Tokens
Anmerkung: Mit Ablaufzeitpunkten

Vault-Inhalte (verschlüsselt)

Beispiele: Login-Zugangsdaten, Notizen, Karten — als opaque Blob, vom Auftragsverarbeiter nicht entschlüsselbar
Anmerkung: Klartext-Inhalt nur clientseitig sichtbar

Audit-Log

Beispiele: Zeitpunkt, Akteur, Aktion, Ziel, IP-Adresse, User-Agent
Anmerkung: Sicherheits- und Compliance-relevant

Newsletter-Daten

Beispiele: E-Mail-Adresse, Opt-In-Status, Double-Opt-In-Token
Anmerkung: Nur bei expliziter Einwilligung der Sub-Accounts

Sub-Account-Statusdaten

Beispiele: is_active, last_login, last_seen, Anlage-Datum
Anmerkung: Für Benutzerverwaltung

Schlüsselmaterial für Team-Sharing

Beispiele: Öffentlicher RSA-Schlüssel je Nutzer (Klartext), privater Schlüssel je Nutzer (mit Vault-Schlüssel verschlüsselt), je Ordner ein mit dem öffentlichen Schlüssel des Mitglieds verschlüsselter Ordner-Schlüssel (encrypted_folder_key)
Anmerkung: Ermöglicht das Zero-Knowledge-Folder-Sharing; Klartext-Schlüssel sind dem Auftragsverarbeiter nicht zugänglich

Folder-Access-Berechtigungen

Beispiele: Welcher User hat welche Rolle auf welchem Ordner
Anmerkung: Für Team-Funktionen; Sichtbarkeit fremder Inhalte ausschließlich über bewusste Ordner-Freigabe, keine implizite Admin-Vollsicht

Nicht Gegenstand der Auftragsverarbeitung sind:

Klartext-Inhalte des Vaults (technisch unmöglich, siehe § 2 Absatz 4);
Zahlungsdaten des Auftraggebers (werden ausschließlich von Stripe als eigenständig Verantwortlichem verarbeitet — Hinweis: für Business- und Enterprise-Kunden, deren eigene Daten als Auftraggeber, agiert der Anbieter ggf. als Verantwortlicher für die Vertragsabwicklung).

§ 4 Kategorien betroffener Personen

Die Verarbeitung betrifft folgende Kategorien natürlicher Personen:

Mitarbeiter des Auftraggebers: Sub-Accounts, die der Admin im Admin-Panel anlegt
Externe Nutzer mit Sharing-Zugang: Personen, denen der Auftraggeber via Folder-Sharing Zugriff auf bestimmte Ordner gewährt
Eingeladene, noch nicht aktivierte Nutzer: Pending-Invite-Accounts mit ausstehender Aktivierung
Admin des Auftraggebers: Die einzelne Person, die initial den Account angelegt hat und in Vertretung der Organisation handelt

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich gegenüber dem Auftraggeber zu Folgendem:

(1) Verarbeitung nur auf Weisung: Die Verarbeitung erfolgt ausschließlich im Rahmen der schriftlichen Weisungen des Auftraggebers, einschließlich in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland oder an eine internationale Organisation, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Vertraulichkeit: Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Sicherheit der Verarbeitung: Der Auftragsverarbeiter ergreift alle erforderlichen technischen und organisatorischen Maßnahmen im Sinne von Art. 32 DSGVO. Die getroffenen Maßnahmen sind im Detail in Anlage 2 dieses AVV beschrieben.

(4) Subprozessoren: Der Auftragsverarbeiter nimmt keine Subprozessoren in Anspruch, ohne die in § 7 geregelten Bedingungen einzuhalten.

(5) Unterstützung bei Betroffenenrechten: Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anfragen betroffener Personen nach den Art. 12 bis 23 DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit).

(6) Unterstützung bei Datenschutzpflichten: Der Auftragsverarbeiter unterstützt den Auftraggeber bei der Einhaltung seiner in den Art. 32 bis 36 DSGVO genannten Pflichten — insbesondere bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).

(7) Rückgabe und Löschung: Der Auftragsverarbeiter wird nach Beendigung des Hauptvertrages personenbezogene Daten nach Wahl des Auftraggebers zurückgeben oder löschen, sofern nicht eine gesetzliche Aufbewahrungspflicht entgegensteht. Details siehe § 12.

(8) Bereitstellung von Nachweisen: Der Auftragsverarbeiter stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Auftraggeber oder einen anderen vom Auftraggeber beauftragten Prüfer (siehe § 9).

(9) Information bei Weisungsverstoß: Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 lit. h DSGVO).

(10) Schulung: Der Auftragsverarbeiter sorgt für eine regelmäßige Schulung seiner mit der Verarbeitung beauftragten Mitarbeiter zu Datenschutz- und Sicherheitsthemen.

(11) Datenschutzbeauftragter: Der Auftragsverarbeiter hat als Datenschutzbeauftragten Rechtsanwalt Oliver Niederjohann benannt. Bei vorliegender gesetzlicher Pflicht (insbesondere Art. 37 DSGVO i. V. m. § 38 BDSG) ist die Bestellung verbindlich. Kontakt: datenschutz@fideno.io.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

(1) Der Auftragsverarbeiter ergreift technische und organisatorische Maßnahmen, die ein dem Risiko angemessenes Schutzniveau gewährleisten — Art. 32 DSGVO.

(2) Diese Maßnahmen umfassen insbesondere die in Anlage 2 dieses AVV im Detail dokumentierten Aspekte:

a) Pseudonymisierung und Verschlüsselung personenbezogener Daten;

b) Sicherstellung der Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme;

c) Wiederherstellbarkeit personenbezogener Daten bei einem physischen oder technischen Zwischenfall;

d) Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der TOMs.

(3) Der Auftragsverarbeiter ist berechtigt, die TOMs während der Vertragslaufzeit zu aktualisieren, sofern hierdurch das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dem Auftraggeber mitgeteilt.

§ 7 Unterauftragsverhältnisse (Subprozessoren)

(1) Der Auftragsverarbeiter ist berechtigt, weitere Auftragsverarbeiter (im Folgenden „Subprozessoren") einzusetzen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Subprozessoren ergeben sich aus Anlage 1 dieses AVV.

(2) Der Auftraggeber erteilt seine allgemeine schriftliche Genehmigung für die Inanspruchnahme der in Anlage 1 aufgeführten Subprozessoren sowie für zukünftige Subprozessoren, vorbehaltlich des nachstehenden Widerspruchsrechts.

(3) Der Auftragsverarbeiter wird den Auftraggeber mindestens 30 Tage im Voraus über jede beabsichtigte Hinzufügung oder Ablösung eines Subprozessors per E-Mail an die hinterlegte Datenschutz-Kontaktadresse informieren und ihm dadurch die Möglichkeit geben, Einspruch zu erheben.

(4) Bei berechtigtem Einspruch — insbesondere bei begründeten Bedenken hinsichtlich des Datenschutzniveaus des neuen Subprozessors — ist der Auftraggeber berechtigt, den Hauptvertrag und diesen AVV mit einer Frist von 4 Wochen zum Wirksamwerden der Subprozessor-Änderung außerordentlich zu kündigen.

(5) Der Auftragsverarbeiter verpflichtet jeden Subprozessor durch einen schriftlichen Vertrag mit denselben Datenschutzpflichten, die ihm selbst durch diesen AVV auferlegt sind — insbesondere Vertraulichkeit, technisch-organisatorische Maßnahmen und Unterstützung bei Betroffenenrechten.

(6) Bei Subprozessoren mit Sitz außerhalb des EWR (insbesondere USA: Stripe Holdings Inc., Resend Inc.) stellt der Auftragsverarbeiter den Abschluss geeigneter Garantien sicher, insbesondere durch:

a) EU-US Data Privacy Framework (DPF)-Zertifizierung der jeweiligen Anbieter, sofern verfügbar;

b) Standardvertragsklauseln (SCC) nach Durchführungsbeschluss (EU) 2021/914;

c) bei Bedarf ergänzende Transfer Impact Assessments (TIA) nach Maßgabe der Schrems-II-Rechtsprechung.

(7) Der Auftragsverarbeiter haftet gegenüber dem Auftraggeber für die Einhaltung der Datenschutzpflichten durch die Subprozessoren in demselben Umfang wie für seine eigenen Pflichten.

§ 8 Rechte der betroffenen Personen

(1) Macht eine betroffene Person ihre Rechte aus den Art. 15 bis 22 DSGVO direkt gegenüber dem Auftragsverarbeiter geltend, wird der Auftragsverarbeiter die Anfrage unverzüglich an den Auftraggeber weiterleiten, sofern eindeutig erkennbar ist, dass die Anfrage dem Auftraggeber zuzuordnen ist (z. B. weil sie sich auf die Verarbeitung eines Sub-Accounts des Auftraggebers bezieht).

(2) Der Auftragsverarbeiter wird den Auftraggeber bei der Bearbeitung solcher Anfragen unterstützen und auf Verlangen folgende Maßnahmen umsetzen, soweit technisch möglich:

a) Auskunft (Art. 15 DSGVO): Bereitstellung der personenbezogenen Daten des Betroffenen in maschinenlesbarer Form;

b) Berichtigung (Art. 16 DSGVO): Aktualisierung der Stammdaten des Betroffenen;

c) Löschung (Art. 17 DSGVO): Vollständige Entfernung der personenbezogenen Daten des Betroffenen aus den Systemen des Auftragsverarbeiters, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht;

d) Einschränkung der Verarbeitung (Art. 18 DSGVO): Markierung der betreffenden Daten und Pausierung der aktiven Verarbeitung;

e) Datenübertragbarkeit (Art. 20 DSGVO): Bereitstellung der personenbezogenen Daten in einem strukturierten, gängigen, maschinenlesbaren Format (JSON).

(3) Wichtige Einschränkung aufgrund Zero-Knowledge-Architektur: Bezüglich der im Vault gespeicherten Klartext-Inhalte kann der Auftragsverarbeiter nur die verschlüsselten Daten herausgeben oder löschen. Eine Entschlüsselung durch den Auftragsverarbeiter ist technisch unmöglich. Im Rahmen einer Auskunfts- oder Datenübertragungsanforderung wird daher entweder der verschlüsselte Blob übergeben oder — sofern der Betroffene das Master-Passwort kennt — der Betroffene wird auf die Self-Service-Exportfunktion der Software hingewiesen.

(4) Bei Löschanforderungen werden die verschlüsselten Daten gelöscht; die Klartext-Inhalte sind dem Auftragsverarbeiter ohnehin nicht zugänglich.

(5) Der Auftraggeber bleibt in jedem Fall die für die Beantwortung der Anfrage primär verantwortliche Stelle.

§ 9 Kontroll- und Auditrechte

(1) Der Auftraggeber hat das Recht, sich vor Beginn der Datenverarbeitung sowie sodann in regelmäßigen Abständen (jedoch höchstens einmal pro Kalenderjahr ohne besonderen Anlass) von der Einhaltung der vereinbarten technischen und organisatorischen Maßnahmen zu überzeugen.

(2) Diese Überprüfung kann erfolgen durch:

a) Einholung schriftlicher Auskünfte beim Auftragsverarbeiter;

b) Übermittlung aktueller Prüfberichte unabhängiger Stellen (z. B. Pen-Test-Reports, ISO-Zertifikate, SOC-2-Berichte), sofern verfügbar;

c) Vor-Ort-Inspektionen während der üblichen Geschäftszeiten und nach vorheriger Anmeldung von mindestens 4 Wochen, sofern Auskünfte und Berichte nicht ausreichen;

d) bei berechtigtem Anlass (z. B. Datenschutzverletzung) auch außerordentliche Inspektionen mit angemessener Vorankündigung.

(3) Der Auftraggeber trägt die Kosten der Vor-Ort-Inspektionen selbst. Der Auftragsverarbeiter berechnet den dabei entstehenden Personalaufwand seinerseits zum jeweils geltenden Stundensatz.

(4) Bei Vor-Ort-Inspektionen ist der Auftraggeber verpflichtet, die Betriebsabläufe des Auftragsverarbeiters nicht über das notwendige Maß hinaus zu beeinträchtigen und Betriebsgeheimnisse sowie Daten anderer Auftraggeber zu wahren.

(5) Audit-Recht für Aufsichtsbehörden: Datenschutzaufsichtsbehörden haben Zugang nach Maßgabe gesetzlicher Bestimmungen (insbesondere Art. 58 DSGVO). Der Auftragsverarbeiter unterstützt entsprechende Aufsichtshandlungen.

§ 10 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter wird den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden, über jede Verletzung des Schutzes personenbezogener Daten („Data Breach") informieren, von der er Kenntnis erlangt. Dies betrifft insbesondere:

a) unbefugte Offenlegung oder Kenntnisnahme personenbezogener Daten;

b) unbefugte Veränderung oder Löschung;

c) Verlust personenbezogener Daten;

d) erfolgreiche oder begründet vermutete Cyber-Angriffe mit Auswirkungen auf die verarbeiteten Daten.

(2) Die Meldung erfolgt per E-Mail an die hinterlegte Datenschutz-Kontaktadresse des Auftraggebers und enthält mindestens:

a) Eine Beschreibung der Art der Verletzung des Schutzes personenbezogener Daten;

b) Falls möglich: die Kategorien und ungefähre Zahl der betroffenen Personen, die Kategorien und ungefähre Zahl der betroffenen personenbezogenen Datensätze;

c) Den Namen und die Kontaktdaten des Datenschutzbeauftragten oder einer anderen Anlaufstelle für weitere Informationen;

d) Eine Beschreibung der wahrscheinlichen Folgen der Verletzung;

e) Eine Beschreibung der vom Verantwortlichen ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung des Schutzes personenbezogener Daten und gegebenenfalls Maßnahmen zur Abmilderung ihrer möglichen nachteiligen Auswirkungen.

(3) Der Auftragsverarbeiter dokumentiert sämtliche Datenschutzverletzungen einschließlich aller im Zusammenhang stehenden Fakten, ihrer Auswirkungen und der ergriffenen Abhilfemaßnahmen (Art. 33 Abs. 5 DSGVO) und stellt diese Dokumentation dem Auftraggeber auf Anfrage zur Verfügung.

(4) Der Auftraggeber bleibt für die Meldung an die zuständige Aufsichtsbehörde (Art. 33 DSGVO) und ggf. die Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) primär verantwortlich; der Auftragsverarbeiter unterstützt ihn dabei nach Maßgabe von § 5 Absatz 6.

§ 11 Weisungsrecht und Weisungsbefugnis

(1) Weisungen des Auftraggebers werden vorrangig durch den Hauptvertrag und ergänzend durch diesen AVV erteilt. Einzelweisungen, die diese Verträge ändern oder ergänzen, bedürfen der Textform (E-Mail genügt).

(2) Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Weisungsbefugte Personen werden zwischen Auftraggeber und Auftragsverarbeiter über die jeweilige Datenschutz-Kontaktadresse abgewickelt. Soweit der Auftraggeber keine bestimmten weisungsbefugten Personen schriftlich benennt, gilt jede Person als weisungsbefugt, die im Admin-Panel der Software FidenoVault die Admin-Rolle innehat oder im Stripe-Kunden-Portal als Hauptkontakt hinterlegt ist.

(4) Der Auftragsverarbeiter teilt dem Auftraggeber unverzüglich mit, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzbestimmungen verstößt. Der Auftragsverarbeiter ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wurde.

§ 12 Löschung und Rückgabe von Daten nach Vertragsende

(1) Nach Beendigung des Hauptvertrages wird der Auftragsverarbeiter alle personenbezogenen Daten des Auftraggebers nach Wahl des Auftraggebers entweder zurückgeben oder löschen, sofern und soweit nicht zwingende gesetzliche Aufbewahrungspflichten entgegenstehen.

(2) Der Auftraggeber teilt dem Auftragsverarbeiter binnen 30 Tagen nach Vertragsende mit, ob er die Rückgabe oder Löschung wünscht. Erfolgt keine Mitteilung, wird der Auftragsverarbeiter die Daten löschen.

(3) Rückgabe-Verfahren: Auf Verlangen erhält der Auftraggeber seine Daten in einem strukturierten, maschinenlesbaren Format (JSON), das ihm die Migration zu einem anderen Anbieter ermöglicht. Verschlüsselte Vault-Inhalte werden im verschlüsselten Zustand zurückgegeben, da eine Entschlüsselung dem Auftragsverarbeiter nicht möglich ist; der Auftraggeber kann die Inhalte mit dem ihm vorliegenden Master-Passwort selbst entschlüsseln.

(4) Löschung: Die Löschung erfolgt durch sicheres Überschreiben oder physische Vernichtung der Speichermedien nach dem Stand der Technik. Backups werden im Rahmen der regulären Backup-Rotation ebenfalls überschrieben (typische Backup-Vorhaltung: 30 Tage Volle Backups, 14 Tage WAL-Logs).

(5) Die Löschung wird dem Auftraggeber auf Verlangen schriftlich bestätigt.

(6) Personenbezogene Daten, die einer gesetzlichen Aufbewahrungspflicht unterliegen (insbesondere § 257 HGB, § 147 AO), werden bis zum Ablauf der jeweiligen Frist eingeschränkt verarbeitet (Art. 18 DSGVO) und danach gelöscht.

§ 13 Haftung

(1) Für die Haftung des Auftragsverarbeiters gegenüber dem Auftraggeber gelten die Regelungen im Hauptvertrag (§ 23 AGB).

(2) Im Verhältnis zu betroffenen Personen haftet der Auftragsverarbeiter nach Maßgabe von Art. 82 DSGVO.

(3) Sind sowohl Auftraggeber als auch Auftragsverarbeiter an einem Datenschutzverstoß beteiligt, haften sie betroffenen Personen gegenüber gesamtschuldnerisch im Außenverhältnis nach Maßgabe von Art. 82 Abs. 4 DSGVO. Im Innenverhältnis richtet sich die Haftungsquote nach dem Verschuldensanteil der jeweiligen Partei.

§ 14 Dauer und Beendigung des AVV

(1) Dieser AVV beginnt mit dem Wirksamwerden des Hauptvertrages und endet mit dessen Beendigung — unabhängig vom Beendigungsgrund.

(2) Eine isolierte ordentliche Kündigung dieses AVV ohne gleichzeitige Beendigung des Hauptvertrages ist ausgeschlossen.

(3) Eine außerordentliche Kündigung dieses AVV mit gleichzeitiger Wirkung für den Hauptvertrag ist insbesondere möglich:

a) bei wesentlichen, trotz Mahnung nicht behobenen Verstößen einer Partei gegen Datenschutzbestimmungen;

b) bei Einspruch des Auftraggebers gegen einen neuen Subprozessor (§ 7 Absatz 4);

c) bei nicht behebbarer Unmöglichkeit der Vertragserfüllung aufgrund regulatorischer Änderungen.

(4) Auch nach Beendigung dieses AVV bleiben die Pflichten zur Vertraulichkeit (§ 5 Abs. 2), zur Löschung/Rückgabe (§ 12) sowie zur Mitwirkung bei laufenden Audit-/Aufsichtsverfahren bestehen.

§ 15 Geltung Allgemeiner Geschäftsbedingungen, Schlussbestimmungen

(1) Dieser AVV gilt ergänzend zum Hauptvertrag. Bei Widersprüchen zwischen den Regelungen in den AGB des Hauptvertrages und diesem AVV haben in datenschutzrechtlichen Fragen die Regelungen dieses AVV Vorrang.

(2) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

(3) Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem AVV ist — soweit gesetzlich zulässig — der Sitz des Auftragsverarbeiters in Euskirchen.

(4) Änderungen und Ergänzungen dieses AVV bedürfen der Textform (§ 126b BGB). Dies gilt auch für die Aufhebung der Textformklausel selbst.

(5) Sollten einzelne Bestimmungen dieses AVV ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird hierdurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. An die Stelle der unwirksamen oder undurchführbaren Bestimmung tritt eine Regelung, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt und rechtlich zulässig ist.

Anlage 1: Liste der Subprozessoren

Stand: 05.06.2026

IONOS SE

Sitz: Karlsruhe (DE)
Aufgabe: VPS-Hosting (4 Server: A1, A2 [App-Server], D1, D2 [DB-Server]), Object-Storage für pgBackRest, Cloud-Backup
Datenkategorien: Sämtliche bei FidenoVault Cloud verarbeiteten Daten (verschlüsselt + Metadaten + Audit-Log)
Drittland-Garantie: EU/EWR (DSGVO direkt anwendbar)

Stripe Payments Europe, Ltd.

Sitz: Dublin (IE), Konzernmutter USA
Aufgabe: Zahlungsabwicklung, Subscription-Management, Kunden-Portal
Datenkategorien: E-Mail, Stripe-Customer-ID, Zahlungsmethoden-Metadaten, Rechnungspositionen
Drittland-Garantie: EU-US Data Privacy Framework (DPF) + EU-SCC

Resend, Inc.

Sitz: San Francisco (US)
Aufgabe: Transaktionaler E-Mail-Versand (Verifizierungscodes, Reset-Mails, Notifications, Newsletter-DOI)
Datenkategorien: E-Mail-Adresse, Vorname (für Anrede), Sender-Domain, E-Mail-Inhalt
Drittland-Garantie: EU-US Data Privacy Framework (DPF) + EU-SCC

Acronis International GmbH

Sitz: Schaffhausen (CH)
Aufgabe: Off-Site-Backup-Dienst (VM-Snapshots als 2. Backup-Schicht)
Datenkategorien: Verschlüsselte VM-Images mit sämtlichen FidenoVault-Daten
Drittland-Garantie: Schweiz (Angemessenheitsbeschluss der EU-Kommission)

Hinweise zur On-Premise-Variante:

Stripe entfällt vollständig (kein Stripe-Subprozessor) — Lizenz-Abrechnung erfolgt offline per Rechnung.
Resend kann durch eigenen SMTP-Server des Kunden ersetzt werden (Kunde wählt selbst, dann ist Resend kein Subprozessor des Fideno).
IONOS und Acronis entfallen ebenfalls — der Kunde hostet auf eigener Infrastruktur und ist für eigene Backups verantwortlich.

Subprozessor-Wechsel: Änderungen dieser Liste werden auf fideno.io/subprozessoren veröffentlicht und mindestens 30 Tage im Voraus per E-Mail an den hinterlegten Datenschutz-Kontakt mitgeteilt.

Anlage 2: Technische und Organisatorische Maßnahmen (TOMs) im Detail

Stand: 05.06.2026

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

1.1 Zutrittskontrolle

Rechenzentren der Subprozessoren (IONOS Karlsruhe) entsprechen ISO 27001 und sind zutrittskontrolliert (Personalkartensystem, Videoüberwachung, 24/7-Security-Personal).
Eigene Büroräume des Auftragsverarbeiters sind durch Mehrfaktorzugangskontrolle (RFID + PIN) gesichert.

1.2 Zugangskontrolle (Systemebene)

Mitarbeiter-Zugriff auf Produktionssysteme ausschließlich via SSH mit:
Hardware-Sicherheitsschlüsseln (FIDO2);
Verschlüsselten Privat-Keys auf verschlüsseltem Volume;
Multi-Faktor-Authentisierung (MFA) Pflicht.
Kein Passwort-Login auf Produktionssystemen (PasswordAuthentication no).
Root-Login deaktiviert; Sudo nur über benannte Service-Accounts.
WireGuard-VPN-Pflicht für administrativen Zugriff (kein direkter Internet-Zugriff auf SSH-Port).

1.3 Zugriffskontrolle (Datenebene)

Rollen-basierte Zugriffsrechte in PostgreSQL: Application-Service hat nur die für seine Aufgaben notwendigen Rechte (kein Superuser).
Audit-Log für alle Admin- und sicherheitsrelevanten Operationen (tbl_audit_log mit Akteur, Aktion, IP, User-Agent, Zeitstempel).
Need-to-know-Prinzip: Mitarbeiter erhalten Zugriff nur auf die für ihre Tätigkeit notwendigen Daten.

1.4 Trennungskontrolle

Strikte Trennung zwischen Anwendungs-Datenbank (FidenoVault) und Stripe-Datenbestand (separat bei Stripe gehostet).
Mandantentrennung in der App durch company_id als FK in allen relevanten Tabellen.
Separate Volumes für DB-Daten, Backups, Logs und temporäre Dateien.

1.5 Pseudonymisierung / Anonymisierung

Audit-Log-Einträge enthalten Bezugnahme auf interne user_id (UUID), nicht direkt auf E-Mail-Adresse.
IP-Adressen im Audit-Log werden nach 90 Tagen pseudonymisiert (letztes Oktett bei IPv4 / letzte 64 Bit bei IPv6 entfernt), sofern nicht laufende Sicherheitsuntersuchung dies verhindert.
Klartext-Inhalte des Vaults sind aufgrund der Zero-Knowledge-Architektur für den Auftragsverarbeiter zu keinem Zeitpunkt einsehbar.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

2.1 Weitergabekontrolle

TLS 1.3 für sämtliche Verbindungen Client ↔ Server und zwischen internen Diensten.
HSTS aktiv für *.fideno.io, Preload eingereicht.
CAA-Records gesetzt (Letsencrypt + IONOS-CA explizit autorisiert).
Privat-Keys von Service-Accounts in Hardware Security Modules bzw. verschlüsselten Filesystem-Volumes.

2.2 Eingabekontrolle

Anwendungs-seitige Validierung sämtlicher Eingaben (Server-side, nicht nur Client-side).
Audit-Log dokumentiert Änderungen an Stammdaten und Berechtigungen, inkl. wer wann was geändert hat.
Code-Reviews für alle produktionsrelevanten Änderungen über interne Code-Review-Pflicht.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO)

3.1 Verfügbarkeitskontrolle

Hochverfügbarkeits-Architektur für FidenoVault Cloud:
2 redundante App-Server (A1, A2);
2 PostgreSQL-Server (D1 Primary, D2 Sync-Standby) mit repmgr-basierter Streaming-Replikation;
HAProxy-basiertes DB-Failover mit External-Health-Check (Switch in ca. 4 Sekunden bei Primary-Ausfall);
Traefik als Reverse-Proxy mit Let’s-Encrypt-Wildcard-Zertifikat.
Monitoring mit Prometheus, Grafana, Alertmanager (Alerts an sos@fideno.io).

3.2 Schnelle Wiederherstellbarkeit

4-Schicht-Backup-Strategie:
L1: pgBackRest WAL + Diff lokal (täglich Full, kontinuierlich WAL);
L2: Acronis Cyber Protect Cloud VM-Snapshots (täglich);
L3: pgBackRest WAL + Diff verschlüsselt auf IONOS Object-Storage;
L4: restic-basierter Backup über WireGuard auf separates verschlüsseltes Speichermedium (extern, off-site).
Disaster-Recovery-Runbook dokumentiert (docs/deployment/06-disaster-recovery/DR-RUNBOOK.pdf).
Recovery Point Objective (RPO): ≤ 5 Minuten (durch kontinuierliche WAL-Archivierung).
Recovery Time Objective (RTO): ≤ 4 Stunden bei vollständigem Datacenter-Verlust.

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DSGVO)

4.1 Datenschutz-Management

Datenschutzbeauftragter benannt: Rechtsanwalt Oliver Niederjohann (Kontakt: datenschutz@fideno.io).
Verzeichnis von Verarbeitungstätigkeiten geführt (Art. 30 DSGVO).
Regelmäßige Schulungen der Mitarbeiter zu Datenschutz- und Sicherheitsthemen (mindestens jährlich).

4.2 Incident-Response

Incident-Response-Plan vorhanden mit definierten Eskalationsstufen.
Datenschutzverletzungen werden binnen 24 Stunden an den Auftraggeber gemeldet (siehe § 10).

4.3 Penetrationstests

Mindestens jährlich Penetrationstest durch externen Dienstleister.
Vulnerability-Disclosure-Programm mit Public-Disclosure-Policy (security@fideno.io).
Sicherheits-Patches für eingesetzte Open-Source-Komponenten innerhalb von 7 Tagen für High/Critical-CVEs.

4.4 Auftragskontrolle gegenüber Subprozessoren

Vertragliche Verpflichtung jedes Subprozessors auf vergleichbare TOMs.
Stichprobenartige Überprüfung der Subprozessoren mindestens jährlich (insbesondere durch Auswertung deren öffentlich zugänglicher Compliance-Berichte: Stripe SOC-2 Type II, Resend Privacy Documentation, IONOS ISO-27001-Zertifikat, Acronis ISO-27001 + SOC-2).

Anbieter: Fideno GmbH, Bahnhofstraße 23-25, 53879 Euskirchen, Deutschland

Geschäftsführer: Marcel Blettner

Datenschutz-Kontakt: datenschutz@fideno.io