Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO · Fassung vom 2. November 2026

zwischen dem Nutzer von Absender, der eine oder mehrere Domains angelegt hat („Auftraggeber“), und hasenkamp solutions, Tim Hasenkamp, Bombergstraße 8, 36115 Hilders („Auftragnehmer“). Der Vertrag wird mit der Registrierung elektronisch geschlossen (Art. 28 Abs. 9 DSGVO) und ist Teil der Nutzungsbedingungen.

1. Gegenstand, Art und Zweck

Der Auftragnehmer nimmt für die Domains des Auftraggebers DMARC-Sammelberichte (Aggregate-Reports nach RFC 7489) von Postfach-Anbietern an, prüft ihre Herkunft, speichert und wertet sie aus, ordnet sendende IP-Adressen Diensten zu (Reverse-DNS, Netzbetreiber) und stellt dem Auftraggeber die Ergebnisse in der Anwendung und per E-Mail bereit. Zweck ist es, dem Auftraggeber zu zeigen, wer E-Mails mit seinen Domains versendet und ob diese authentifiziert sind.

2. Art der Daten und Betroffene

• Daten: IP-Adressen und Hostnamen sendender Mailserver, Anzahl der Nachrichten, Absender- und Envelope-Domains, Ergebnisse von SPF, DKIM und DMARC, Zeiträume, Angaben zum berichtenden Anbieter einschließlich seiner Kontaktadresse.
• Betroffene: Betreiber und Nutzer der sendenden Mailserver, soweit IP-Adressen oder Hostnamen auf natürliche Personen beziehbar sind, sowie Ansprechpartner der berichtenden Anbieter.
• Inhalte von E-Mails werden nicht verarbeitet. Forensische Berichte (ruf) nimmt der Auftragnehmer nicht an.

3. Dauer und Löschung

Der Vertrag gilt, solange der Auftraggeber Absender nutzt. Während der Laufzeit löscht der Auftragnehmer automatisch: eingegangene Berichte nach 30 Tagen, Einzeldaten mit IP-Adressen nach 13 Monaten, Zusatzangaben zu IP-Adressen 30 Tage nach ihrer letzten Verwendung. Tageswerte ohne IP-Adressen bleiben, solange das Konto besteht. Löscht der Auftraggeber sein Konto in der Anwendung, werden alle seine Daten sofort gelöscht; endet der Vertrag auf anderem Weg, löscht der Auftragnehmer sie innerhalb von 30 Tagen; Datensicherungen laufen spätestens nach 6 Monaten ab. Eine Herausgabe vor der Löschung (Export) erfolgt auf Anfrage.

4. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen sind durch diesen Vertrag und die Einstellungen in der Anwendung festgelegt (etwa welche Domains ausgewertet werden). Weitere Weisungen erteilt der Auftraggeber in Textform an info@hkp-solutions.de. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

5. Pflichten des Auftragnehmers

• Er verarbeitet die Daten nur in der EU: Speicherung und Auswertung ausschließlich in Deutschland, der Versand von E-Mails an den Auftraggeber in Frankreich (Anlage 2).
• Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12–23 DSGVO) und bei seinen Pflichten nach Art. 32–36 DSGVO.
• Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
• Er stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung, in der Regel durch schriftliche Auskunft.

6. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens 30 Tage vorher per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau.

7. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er über die angelegten Domains verfügen darf. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

8. Haftung und Schluss

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Nutzungsbedingungen. Bei Widersprüchen geht dieser Vertrag den Nutzungsbedingungen vor. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Betrieb ausschließlich in Rechenzentren der Hetzner Online GmbH mit deren Zutrittskontrollen (zertifiziert nach ISO/IEC 27001).
• Zugang: Administration nur per SSH mit Schlüssel, Passwort-Anmeldung und Root-Login abgeschaltet; SSH nur aus festgelegten Netzen (Firewall). Von außen erreichbar sind nur HTTP(S) und der SMTP-Empfang.
• Zugriff: Mandantentrennung in jeder Datenbankabfrage nach Organisation; Passwörter als argon2id-Hash; serverseitige Sessions mit Höchstdauer; Begrenzung von Anmeldeversuchen je Netz und Konto; Ablehnung häufiger Passwörter.
• Trennung: Datenbank nur im internen Netz der Container erreichbar; jeder Dienst mit eigenen, minimalen Rechten.

Integrität

• Weitergabe: Verschlüsselung aller Verbindungen zur Anwendung (TLS, HSTS); STARTTLS beim Berichtsempfang; verschlüsselte Datensicherungen.
• Eingabe: Berichte werden nur für bekannte Berichtsadressen angenommen, auf Größe, Aufbau und Absender geprüft (SPF/DKIM des Reporters); nicht belegbare Berichte zählen nicht mit.

Verfügbarkeit und Belastbarkeit

• Tägliche, verschlüsselte Sicherung mit Aufbewahrung von 7 Tagen, 4 Wochen und 6 Monaten; dokumentiertes und vor Inbetriebnahme getestetes Wiederherstellungsverfahren.
• Gehärtete Container (ohne Root-Rechte, schreibgeschützt, ohne Zusatzrechte), Ressourcenlimits, Begrenzungen für Verbindungen, Datenmengen und Rechenzeit am Berichtsempfang; automatische Sicherheitsupdates des Servers.

Überprüfung und Datenschutz durch Technik

• Automatische Löschung nach den Fristen in Ziffer 3; Zugriffsprotokolle nur mit gekürzten IP-Adressen.
• Automatisierte Tests der Mandantentrennung und der Container-Härtung; Sicherheitsüberprüfungen des Quellcodes.
• Keine Nutzung von Diensten mit Sitz in den USA; keine Analyse- oder Werbewerkzeuge.

Anlage 2: Unterauftragsverarbeiter

E-Mails an den Auftraggeber (Warnungen, Wochenzusammenfassung) enthalten Auszüge der Auswertung; sie werden über Scaleway versendet.