Rechtliches

Vertrag zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO

Fassung 1.0 – Stand 06.11.2026

Zwischen dem Kunden (Unternehmer im Sinne von § 14 BGB), wie in der Bestellung bzw. im Kundenkonto angegeben – „Auftraggeber“ – und KLBX Hosting GmbH, Ostendstraße 111, 90482 Nürnberg, Amtsgericht Nürnberg HRB 45216, USt-IdNr. DE362000070, vertreten durch [wird ergänzt] – „Auftragnehmer“.

Präambel

Der Auftragnehmer erbringt für den Auftraggeber Hosting-Leistungen (insbesondere Bereitstellung und Betrieb von WordPress-, PrestaShop- und JTL-Systemen, Terminalservern und virtuellen Servern) nach Maßgabe des Hauptvertrags (Bestellung bzw. Vertrag einschließlich der Hosting-AGB). Vermarktet werden die Leistungen u. a. über shopexperten.de und klbx.cloud; die Verwaltung erfolgt über das Kundenportal portal.klbx.cloud. Dabei verarbeitet der Auftragnehmer personenbezogene Daten, für die der Auftraggeber Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist. Der Vertrag wird bei Bestellung bzw. Testanfrage online in Textform abgeschlossen.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Hosting-Leistungen aus dem Hauptvertrag.
2. Der Auftragnehmer verarbeitet die Daten nicht inhaltlich. Er stellt Infrastruktur, Betrieb, Datensicherung, Überwachung und – soweit gebucht oder beauftragt – technische Betreuung (z. B. Updates, Staging-Kopien, Wiederherstellungen, Umzüge) bereit. Ein Zugriff auf Inhalte erfolgt nur, soweit dies für die Leistungserbringung, die Fehlerbehebung oder auf Weisung des Auftraggebers erforderlich ist.
3. Die Dauer entspricht der Laufzeit des Hauptvertrags einschließlich einer kostenlosen Testphase. Der Vertrag endet nicht vor Abschluss der Löschung bzw. Rückgabe nach § 10. Pflichten, die ihrer Natur nach fortbestehen (insbesondere Vertraulichkeit), gelten über das Vertragsende hinaus.
4. Auch für Test-Websites ohne Vertrag (20 Tage ab Anlage, verlängerbar) gilt dieser Vertrag. Der Auftraggeber verarbeitet in Test-Websites keine personenbezogenen Echtdaten Dritter; tut er es dennoch, trägt er im Innenverhältnis die Verantwortung für die Zulässigkeit dieser Verarbeitung (§ 13). Die Pflichten des Auftragnehmers nach diesem Vertrag bleiben unberührt.

§ 2 Art, Zweck, Datenarten und Betroffene

1. Art der Verarbeitung: Speichern, Hosten, Bereitstellen über das Internet, Übermitteln (Auslieferung an Website-Besucher bzw. Nutzer), Sichern, Spiegeln (Replikation), Wiederherstellen, Kopieren (Staging-Kopie auf Antrag), Einschränken (Sperren) und Löschen; bei beauftragter Betreuung zusätzlich Einsehen im erforderlichen Umfang.
2. Zweck: Erbringung der Hosting-Leistungen, Aufrechterhaltung von Betrieb, Sicherheit und Verfügbarkeit, Datensicherung und Wiederherstellung, Fehleranalyse und Support.
3. Arten personenbezogener Daten: Welche Daten der Auftraggeber speichert, bestimmt allein er. Typischerweise:

Leistung	Typische Daten
WordPress-/Website-Hosting	Inhalte der Website, Kontaktformular-Eingaben, Benutzerkonten (Name, E-Mail, Passwort-Hash), Kommentare, technische Zugriffsdaten der Besucher (IP-Adresse, Zeitpunkt, aufgerufene Seite, User-Agent)
Shop-Hosting (PrestaShop, JTL-Shop)	zusätzlich Kundenkonten, Liefer- und Rechnungsadressen, Bestellungen, Zahlungs- und Versandinformationen, Kommunikation
JTL-Wawi / Terminalserver	Stamm- und Bewegungsdaten der Warenwirtschaft (Kunden, Lieferanten, Aufträge, Rechnungen), Dokumente und Dateien, Benutzerkonten und Anmeldedaten der Nutzer
Virtuelle Server	beliebige vom Auftraggeber eingebrachte Daten
Betrieb (alle Leistungen)	Protokolldaten des Reverse-Proxys und der Systeme (IP-Adressen, Zeitpunkte, Anfragen), Konten im Kundenportal (Name, E-Mail, Rolle, Passwort-Hash, 2FA-Geheimnis verschlüsselt, Anmeldeprotokoll)

4. Besondere Kategorien (Art. 9 DSGVO) und Daten nach Art. 10 DSGVO sind nicht Gegenstand der Verarbeitung, es sei denn, der Auftraggeber teilt dies vor der Einbringung in Textform mit. Der Auftraggeber prüft selbst und in eigener Verantwortung, ob die TOM dafür ausreichen; zusätzliche Maßnahmen schuldet der Auftragnehmer nur nach gesonderter, vergütungspflichtiger Vereinbarung. Bringt der Auftraggeber solche Daten ohne Mitteilung ein, trägt er im Innenverhältnis die Verantwortung für die Zulässigkeit der Einbringung; die Pflichten des Auftragnehmers nach diesem Vertrag bleiben unberührt.
5. Betroffene: Besucher und Nutzer der Websites und Shops des Auftraggebers; Kunden, Interessenten, Lieferanten und Geschäftspartner des Auftraggebers; Beschäftigte und sonstige Nutzer des Auftraggebers; Ansprechpartner des Auftraggebers.
6. Ort der Verarbeitung: Speicherung und Hosting ausschließlich in Rechenzentren in der EU (Deutschland: Falkenstein/Vogtland; Finnland: Helsinki), siehe Anlage 2. Übermittlungen in Drittländer nur wie in Anlage 2 angegeben und im Übrigen nur nach § 7.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; dann teilt er dem Auftraggeber die rechtlichen Anforderungen vorher mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen werden zunächst durch den Hauptvertrag und diesen Vertrag festgelegt und können durch Einzelweisungen geändert, ergänzt oder ersetzt werden. Als dokumentierte Weisungen gelten zusätzlich Aufträge im Kundenportal (z. B. Sicherung anlegen, Staging-Kopie erstellen oder entfernen, WordPress-Login freischalten oder sperren, Updates einspielen, Website entfernen oder wiederherstellen, Domain eintragen); sie werden protokolliert.
3. Sonstige Weisungen erteilt der Auftraggeber in Textform (E-Mail oder Ticket) durch die in Anlage 3 benannten oder im Portal mit Admin-Rolle ausgestatteten Personen. Mündliche Weisungen bestätigt er unverzüglich in Textform.
4. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er unverzüglich darauf hin (Art. 28 Abs. 3 Unterabs. 2 DSGVO) und darf die Ausführung bis zur Bestätigung oder Änderung durch den Auftraggeber aussetzen. Zu einer umfassenden rechtlichen Prüfung der Weisungen ist der Auftragnehmer nicht verpflichtet. Der Auftraggeber ist für die Rechtmäßigkeit seiner Weisungen einschließlich der Portal-Aufträge allein verantwortlich. Für Folgen, die allein auf dem Inhalt einer Weisung beruhen, haftet der Auftragnehmer im Verhältnis zum Auftraggeber nicht, es sei denn, er hat eine von ihm erkannte oder offensichtliche Rechtswidrigkeit nicht angezeigt. Die Haftung gegenüber Betroffenen nach Art. 82 DSGVO bleibt unberührt.
5. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Änderungswunsch behandelt (§ 14).

§ 4 Pflichten des Auftragnehmers, Vertraulichkeit

1. Der Auftragnehmer verarbeitet die Daten nur im Rahmen dieses Vertrags und nicht für eigene Zwecke. Kopien werden ohne Wissen des Auftraggebers nicht erstellt; ausgenommen sind Sicherungskopien und Spiegelungen, soweit zur Leistungserbringung erforderlich.
2. Die zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO) und sind mit den Datenschutzbestimmungen vertraut gemacht.
3. Der Auftragnehmer trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen (§ 5, Anlage 1).
4. Datenschutzbeauftragter bzw. Datenschutz-Kontakt des Auftragnehmers: [wird ergänzt].
5. Der Auftragnehmer führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.
6. Er unterrichtet den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen von Aufsichtsbehörden, soweit sie diesen Auftrag betreffen.

§ 5 Technische und organisatorische Maßnahmen (TOM)

1. Die TOM ergeben sich aus Anlage 1 und sind Vertragsbestandteil. Der Auftraggeber prüft vor der Einbringung von Daten in eigener Verantwortung, ob die TOM für das Risiko der von ihm eingebrachten Daten angemessen sind (Art. 28 Abs. 1, Art. 32 DSGVO). Benötigt er ein höheres Schutzniveau, teilt er dies vorher in Textform mit; zusätzliche Maßnahmen werden gesondert vereinbart und vergütet.
2. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie auf Anfrage mit.
3. Er überprüft die Wirksamkeit regelmäßig (Art. 32 Abs. 1 lit. d DSGVO), insbesondere durch automatische Prüfung der Datensicherungen und Wiederherstellungstests.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. Der Auftragnehmer informiert mindestens 30 Tage vor Hinzuziehung oder Ersetzung in Textform (E-Mail an die hinterlegte Adresse und/oder Hinweis im Portal). Der Auftraggeber kann innerhalb der Frist nur aus einem wichtigen datenschutzrechtlichen Grund widersprechen; der Widerspruch bedarf der Textform und ist zu begründen. Erhebt der Auftraggeber keinen fristgerechten, begründeten Widerspruch, gilt die Änderung als genehmigt. Ohne Einigung kann jede Partei den betroffenen Vertrag zum Zeitpunkt des Wechsels außerordentlich kündigen; weitergehende Ansprüche wegen des Wechsels bestehen nicht.
3. Jeder Unterauftragsverarbeiter wird vertraglich auf dieselben Datenschutzpflichten verpflichtet (Art. 28 Abs. 4 DSGVO). Der Auftragnehmer haftet für deren Einhaltung.
4. Keine Unteraufträge sind Nebenleistungen ohne Verarbeitung personenbezogener Daten (z. B. Telekommunikation, Hardware-Wartung ohne Datenzugriff, TLS-Zertifikate).

§ 7 Verarbeitung außerhalb der EU/des EWR

1. Speicherung und Hosting finden ausschließlich in der EU statt. Übermittlungen in Drittländer nur wie in Anlage 2 angegeben (z. B. mögliche Zugriffe aus den USA bei Microsoft 365 auf Grundlage des EU-US Data Privacy Framework bzw. von Standardvertragsklauseln).
2. Darüber hinaus nur auf dokumentierte Weisung oder unter Einhaltung der Art. 44 ff. DSGVO und nach vorheriger Information nach § 6 Abs. 2.

§ 8 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt bei der Erfüllung der Betroffenenrechte (Art. 12–22 DSGVO). Der Auftraggeber erfüllt Auskünfte, Berichtigungen und Löschungen grundsätzlich selbst in seinen Anwendungen. Anfragen Betroffener an den Auftragnehmer werden unverzüglich weitergeleitet und nicht selbst beantwortet.
2. Er unterstützt bei den Pflichten aus Art. 32–36 DSGVO, insbesondere durch Auskünfte zu Anlage 1 und 2.
3. Einzelne Datensätze können in Sicherungen nicht gezielt gelöscht werden; sie werden mit Ablauf der Aufbewahrungsfristen entfernt. Nach einer Wiederherstellung weist der Auftragnehmer darauf hin, dass zwischenzeitlich gelöschte Daten wieder vorhanden sein können.
4. Unterstützung, die nicht auf einem Verstoß des Auftragnehmers beruht und über geringfügigen Aufwand hinausgeht, wird nach § 14 vergütet.

§ 9 Meldung von Datenschutzverletzungen

1. Der Auftragnehmer meldet eine ihm bekannt gewordene Verletzung (Art. 33 Abs. 2 DSGVO) unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, in Textform an die hinterlegte Kontaktadresse.
2. Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechpartner. Fehlendes wird nachgereicht.
3. Der Auftragnehmer ergreift unverzüglich Maßnahmen zur Sicherung und Schadensminderung und stimmt sich ab.
4. Meldung an die Aufsichtsbehörde und Benachrichtigung Betroffener (Art. 33, 34 DSGVO) obliegen dem Auftraggeber; der Auftragnehmer unterstützt.
5. Die Meldung ist kein Schuldanerkenntnis.

§ 10 Löschung und Rückgabe nach Vertragsende

1. Nach Ende der Leistungserbringung löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück, sofern keine Speicherpflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Der Auftraggeber kann bis zum Vertragsende (und während der Frist nach Abs. 3) eine Kopie seiner Daten verlangen, z. B. als Dateien- und Datenbankexport.
3. Ablauf: Bei Vertragsende werden Domains aus dem Reverse-Proxy genommen, die Website zeigt eine Hinweisseite, das System wird gestoppt vorgehalten. Entfernte Websites sind 14 Tage wiederherstellbar, danach werden sie endgültig entfernt; die Pflicht-Sicherung bleibt noch 30 Tage. In den regulären Sicherungen verbleiben Daten bis zum Ablauf der Aufbewahrung (bis zu ca. 6 Monate). Spätestens nach ca. 7 Monaten nach Vertragsende sind die Daten aus allen Sicherungen entfernt.
4. Die Löschung wird auf Verlangen in Textform bestätigt.
5. Nachweisdokumentation (z. B. Auftragsprotokolle) darf entsprechend den gesetzlichen Aufbewahrungsfristen aufbewahrt werden.
6. Test-Websites ohne Vertrag werden nach Ablauf der Testlaufzeit nach demselben Verfahren entfernt.

§ 11 Kontrollrechte des Auftraggebers

1. Der Auftragnehmer stellt alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Nachweis kann vorrangig durch Anlage 1, Auskünfte in Textform, Selbstauskunft, Nachweise der Unterauftragsverarbeiter und Berichte unabhängiger Prüfer erbracht werden.
3. Vor-Ort-Kontrollen finden statt, soweit der Auftraggeber nachvollziehbar darlegt, dass die Nachweise nach Abs. 2 im Einzelfall nicht ausreichen. Sie finden nach Anmeldung in Textform (mindestens 30 Tage, bei konkretem Anlass eines Verstoßes angemessen kürzer) während der Geschäftszeiten, in der Regel für höchstens einen Arbeitstag, ohne Betriebsstörung und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden statt. Anlasslose Vor-Ort-Kontrollen sind höchstens einmal je Kalenderjahr möglich. Prüfer sind vorab zur Verschwiegenheit zu verpflichten; Wettbewerber des Auftragnehmers als Prüfer können abgelehnt werden. Zutritt zu den Rechenzentren des Unterauftragsverarbeiters ist regelmäßig nicht möglich; an dessen Stelle treten dessen Nachweise. Kontrollen durch eine Aufsichtsbehörde bleiben unberührt.
4. Die Bereitstellung der Nachweise nach Abs. 2 ist kostenfrei. Den angemessenen Aufwand des Auftragnehmers für Vor-Ort-Kontrollen und für über Abs. 2 hinausgehende Prüfungen vergütet der Auftraggeber nach § 14, es sei denn, die Kontrolle deckt einen nicht nur unerheblichen Verstoß des Auftragnehmers gegen diesen Vertrag oder die DSGVO auf. Eigene Kosten und die Kosten seiner Prüfer trägt der Auftraggeber.

§ 12 Pflichten des Auftraggebers

1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung (Rechtsgrundlage, Information der Betroffenen, Datenschutzerklärung und Cookie-Einwilligung seiner Websites) allein verantwortlich.
2. Er informiert unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.
3. Er sichert die ihm überlassenen Zugänge eigenverantwortlich; der Auftragnehmer empfiehlt die Zwei-Faktor-Anmeldung (für Konten mit Website-Aufträgen ist sie Pflicht).
4. Er ist für Sicherheit, Updates und Konfiguration selbst installierter Software verantwortlich, soweit keine Betreuung gebucht ist.
5. Er ist für die Sicherung seiner Daten nach Maßgabe von § 11 Abs. 5 der Hosting-AGB, für die Prüfung der Angemessenheit der TOM (§ 5 Abs. 1) und für die Erfüllung der Betroffenenrechte in seinen Anwendungen (§ 8) verantwortlich. Er stellt den Auftragnehmer im Innenverhältnis von Ansprüchen Dritter und Kosten frei, die auf einer Verletzung seiner Pflichten als Verantwortlicher beruhen, soweit er dies zu vertreten hat.

§ 13 Haftung

1. Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Der Auftragnehmer haftet danach nur, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Auftraggebers oder gegen diese Anweisungen gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO); er ist von der Haftung befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist (Art. 82 Abs. 3 DSGVO).
2. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags, soweit kein zwingendes Recht entgegensteht; sie gelten nicht für Vorsatz, grobe Fahrlässigkeit und die Verletzung von Leben, Körper oder Gesundheit.
3. Wird eine Partei in Anspruch genommen, stellt die andere sie im Innenverhältnis frei, soweit der Schaden auf deren Verantwortungsbereich beruht (Art. 82 Abs. 4, 5 DSGVO).

§ 14 Vergütung von Zusatzaufwand

Unterstützungs-, Herausgabe- und Kontrollleistungen nach §§ 3 Abs. 5, 8, 9 Abs. 4, 10 Abs. 2 und 11, die nicht auf einem Verstoß des Auftragnehmers beruhen und über geringfügigen Aufwand (bis zu 30 Minuten je Anlass) hinausgehen, werden nach Aufwand zum jeweils gültigen Stundensatz des Auftragnehmers netto je angefangene Viertelstunde vergütet. Für die Unterstützung nach § 9 Abs. 4 gilt dies nur, soweit die Verletzung nicht im Verantwortungsbereich des Auftragnehmers eingetreten ist. Die kostenfreie Bereitstellung der Nachweise nach § 11 Abs. 4 Satz 1 bleibt unberührt. Auslagen (z. B. Kosten von Unterauftragsverarbeitern) werden in nachgewiesener Höhe weiterberechnet.

§ 15 Schlussbestimmungen

1. Bei Widersprüchen zum Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
2. Änderungen bedürfen der Textform. Änderungen dieses Vertrags bietet der Auftragnehmer mindestens 6 Wochen vor Inkrafttreten in Textform an; sie werden mit Zustimmung des Auftraggebers wirksam (Textform oder Funktion im Kundenportal). Ohne Zustimmung gilt der bisherige Vertrag fort; jede Partei kann den Hauptvertrag dann nach § 19 Abs. 2 der Hosting-AGB kündigen. Änderungen der TOM richten sich nach § 5 Abs. 2, Änderungen der Anlage 2 nach § 6.
3. Bei Gefährdung der Daten durch Pfändung, Beschlagnahme, Insolvenz o. Ä. informiert der Auftragnehmer unverzüglich und weist Dritte auf die Verantwortung des Auftraggebers hin. Ein Zurückbehaltungsrecht an den Daten ist ausgeschlossen.
4. Es gilt deutsches Recht. Gerichtsstand richtet sich nach § 21 Abs. 2 der AGB (Nürnberg).
5. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand 06.11.2026. Die Anlage beschreibt die derzeit umgesetzten Maßnahmen; geschuldet ist das damit erreichte Schutzniveau. Einzelne Maßnahmen können nach § 5 Abs. 2 durch gleichwertige oder bessere ersetzt werden.

1. Infrastruktur

• Eigener Virtualisierungs-Cluster (Proxmox VE) aus sechs dedizierten Servern (pve1–pve6) des Rechenzentrumsbetreibers. Die Server stehen in Rechenzentren des Rechenzentrumsbetreibers in der EU (derzeit überwiegend Falkenstein, Deutschland).
• Kunden-Systeme laufen als virtuelle Maschinen, Websites in der Regel je in einer eigenen VM.
• Datensicherung auf einen eigenen Backup-Server in Helsinki (Finnland) und eine wöchentliche Zweitkopie auf eine Storage Box in Falkenstein.
• Öffentlicher Zugriff auf Websites nur über ein redundantes Reverse-Proxy-Paar; Kunden-Websites haben nur interne Adressen. Das Kundenportal läuft auf einer abgeschotteten VM (DMZ).

2. Vertraulichkeit

• Zutritt: Physischer Schutz durch den Rechenzentrumsbetreiber; der Auftragnehmer hat keinen physischen Zutritt.
• Zugang: SSH nur mit Schlüssel, Passwort-Anmeldung abgeschaltet, kein direkter root-Login; kein SSH aus dem Internet, nur über Sprungserver oder persönliche WireGuard-Tunnel mit Host-Key-Pinning. Verwaltungsoberflächen nur aus festgelegten Netzen; Zwei-Faktor-Anmeldung für persönliche Verwaltungskonten.
• Netzfilter in mehreren Stufen: u. a. Firewall des Rechenzentrumsbetreibers (soweit für den jeweiligen Server eingerichtet), Proxmox-Firewall (eingehend verwerfen), Firewall je VM mit IP-/MAC-Bindung, Firewall im Gastsystem; wo anwendbar automatische IP-Sperre bei Fehlversuchen.
• Terminalserver: RDP nur aus freigegebenen Adressen bzw. DE/AT/CH (GeoIP), IP-Sperre bei Fehlversuchen, SMB/RPC von außen geschlossen.
• Kundenportal: Passwörter mindestens 10 Zeichen (bcrypt); 2FA (TOTP) verfügbar und für Website-Aufträge und Betreuer-Konten Pflicht; Kontosperre nach 5 Fehlversuchen für 15 Minuten; Rate-Limits; Sitzungsende nach 60 Minuten Inaktivität, spätestens nach 12 Stunden; Cookies nur über HTTPS; CSRF-Schutz.
• Interne Verwaltung: bcrypt, 2FA Pflicht für alle Mitarbeiter mit bedienenden oder verwaltenden Rechten, Kontosperre nach 5 Fehlversuchen.
• Geheimnisse: nicht im Quellcode, nur in geschützten Konfigurationsdateien bzw. Secret-Store; 2FA-Geheimnisse verschlüsselt.
• Berechtigungen: Rollen- und Rechtekonzept nach Minimalprinzip; API-Tokens mit minimalen Rechten, kein root-Token; der Cluster darf Sicherungen schreiben, aber nicht löschen. Im Portal sieht jede Person nur die Systeme ihrer Verträge (Prüfung bei jeder Anfrage und erneut vor jeder Ausführung, Mandantentrennung per Row-Level-Security). Konsolen- und Gastzugriff nur mit Sonderrecht und 2FA, jede Aktion unveränderlich protokolliert.
• Zugriff Dritter: Externe IT-Dienstleister erhalten Zugang nur im erforderlichen Umfang, mit Zwei-Faktor-Anmeldung, über gesicherte Tunnel und nach Verpflichtung auf Vertraulichkeit.
• Trennung: Kunden-Websites in eigenen VMs ohne Zugriff ins interne Netz; das Portal hat keine Verbindung ins interne Netz; Test, Staging und Produktion getrennt, Live wird nie überschrieben.
• Verschlüsselung: Sicherungen clientseitig mit AES-256-GCM, bevor sie den Cluster verlassen; Websites und Portal aus dem Internet nur über HTTPS. Vom Reverse-Proxy zu den Kunden-Websites läuft der Verkehr unverschlüsselt über das private, gefilterte Netz des Rechenzentrumsbetreibers.
• Monitoring: nur technische Kennzahlen (Auslastung, Speicher, Dienste, Update-Stand, fehlgeschlagene Anmeldungen), keine Dateiinhalte; bei Terminalservern zusätzlich Benutzername, Sitzungsstatus, Anmeldezeiten und fehlgeschlagene RDP-Anmeldungen mit Quell-IP.

3. Integrität

• Übertragungen nur verschlüsselt; Schnittstellen zwischen eigenen Systemen nur zwischen freigegebenen internen Adressen mit Schlüssel. Keine Weitergabe außer an Unterauftragsverarbeiter nach Anlage 2.
• Unveränderliche Protokolle in Verwaltung und Portal (Person, Zeitpunkt, Ergebnis); Aufgabenprotokoll des Clusters.

4. Verfügbarkeit und Belastbarkeit

• Datenträger je Server gespiegelt (ZFS-Mirror); Replikation der VMs auf einen zweiten Server alle 1–15 Minuten, Umschalten bei Ausfall manuell.
• Täglich 02:00 Uhr Sicherung aller Kunden-VMs nach Helsinki (7 tägliche, 4 wöchentliche, 6 monatliche Stände); wöchentliche Zweitkopie in Falkenstein (4 wöchentliche, 6 monatliche Stände, dazu 14 tägliche Snapshots); Sicherung auf Antrag im Portal; automatische Sicherung vor Updates und vor dem Entfernen einer Website.
• Neue Sicherungen werden binnen einer Woche per Prüfsumme verifiziert, ältere alle 30 Tage erneut.
• Wiederherstellungstests einmal pro Quartal, zuletzt erfolgreich am 08. und 09.10.2026.
• Minuten-Monitoring mit Alarmierung, Rate-Limits und IP-Sperren, überwachte automatische Sicherheitsupdates, dokumentierte Notfall-Runbooks.

5. Regelmäßige Überprüfung

• Firewall-Änderungen nur nach Freigabe mit Sicherung und Zeit-Rückfall; Datenbankänderungen nur additiv mit vorheriger Sicherung; Betriebshandbuch mit Runbooks; regelmäßige Restore-Tests.

6. Auftragskontrolle

• Verarbeitung nur nach Weisung; Portal-Aufträge protokolliert; Unterauftragsverarbeiter nur mit AVV.

Anlage 2 – Unterauftragsverarbeiter

Nr.	Unterauftragsverarbeiter	Leistung	Ort
1	Hetzner Online GmbH, Gunzenhausen	Rechenzentrum und dedizierte Server (Cluster-Knoten), Netz, privates Netz	Falkenstein, Deutschland
2	Hetzner Online GmbH	Backup-Server (verschlüsselte Sicherungen)	Helsinki, Finnland
3	Hetzner Online GmbH	Storage Box (wöchentliche Zweitkopie, verschlüsselt)	Falkenstein, Deutschland
4	Hetzner Online GmbH	Cloud-Server für Verwaltung/Monitoring und Sprungserver	EU, u. a. Falkenstein, Deutschland
5	Microsoft Ireland Operations Ltd., Dublin	E-Mail-Versand (Microsoft 365) für Benachrichtigungen, Support und Portal-Mails; Zugriff der US-Mutter möglich (EU-US Data Privacy Framework bzw. Standardvertragsklauseln)	EU
6	Cloudflare	DNS der Test-/Staging-Zonen und von shopexperten.de, Zertifikatsausstellung; entfällt als Unterauftragsverarbeiter, wenn der Proxy für alle Kunden-Domains aus ist	[wird ergänzt]
7	Shopexperten	Betreuung von Kunden-Systemen durch Shopexperten-Mitarbeiter im Portal, Vermarktung und Bestellannahme über shopexperten.de	Deutschland
8	Externer IT-Dienstleister [wird ergänzt]	Notfallzugang zur Verwaltungsoberfläche (Fernwartung)	Deutschland

Keine Unterauftragsverarbeitung: Let’s Encrypt (nur Domainnamen für TLS-Zertifikate, USA) und die eigenen Systeme des Auftragnehmers (interne Verwaltung, Kundenportal) im eigenen Cluster.

Anlage 3 – Weisungsberechtigte Personen und Kontakte

Rolle	Auftraggeber	Auftragnehmer
Weisungsberechtigt	Personen mit Admin-Rolle im Kundenportal sowie weitere vom Auftraggeber in Textform benannte Personen	–
Weisungsempfänger	–	support@klbx.cloud
Datenschutz-Kontakt	vom Auftraggeber in Textform zu benennen	[wird ergänzt]
Meldung von Datenschutzverletzungen an	vom Auftraggeber hinterlegte Kontaktadresse	–
Missbrauchsmeldungen	–	abuse@klbx.io

Diese Seite können Sie über die Druckfunktion Ihres Browsers speichern oder ausdrucken.