Auftragsverarbeitungsvertrag (AVV)

IVRY GmbH – Datenverarbeitung gemäß DSGVO

Gültig ab 15. Mai 2026

1. Parteien und Definitionen

1.1 Parteien

Verantwortlicher (Kunde): Natürliche oder juristische Person, die das IVRY Portal und Hosting-Services nutzt
Auftragsverarbeiter (Anbieter): IVRY GmbH, Neumuehlenweg 3, 84567 Perach, Deutschland

1.2 Verarbeitungsumfang

Als Auftragsverarbeiter verarbeitet die IVRY GmbH personenbezogene Daten ausschließlich auf Anweisung des Kunden und zur Erbringung der in den AGB genannten Services.

2. Gegenstand der Auftragsverarbeitung

2.1 Kategorien personenbezogener Daten

Kontaktinformationen (Name, E-Mail, Adresse, Telefon)
Authentifizierungsdaten (Passwort-Hashes, Session-Tokens)
Nutzungsdaten (IP-Adressen, Zugriffslogs, Besuchszeiten)
Technische Daten (Browser-Informationen, Geräte-Typ)
Zahlungsdaten (für Abrechnung und Kundenkommunikation)
Inhalte gehosteter Websites (auf Anweisung des Kunden)

2.2 Kategorien von Betroffenen

Portal-Benutzer (Kunden)
Website-Besucher (falls Kunde Website hostet)
Empfänger von E-Mails über IVRY Mail-Services

2.3 Art der Verarbeitung

Speicherung
Organizierung und Strukturierung
Reproduktion
Abfrage
Nutzung
Übermittlung
Einschränkung
Löschung

2.4 Zweck der Verarbeitung

Erbringung von Hosting-, Mail- und Domain-Services
Authentifizierung und Zugriffskontrolle
Rechnungsstellung und Zahlungsabwicklung
Sicherheit und Incident Response
Technischer Support
System-Backups und Disaster Recovery
Compliance und gesetzliche Anforderungen

3. Dauer der Verarbeitung

Für aktive Services: Für die Dauer des Vertragsverhältnisses
Nach Kündigung: 30 Tage Übergangsfrist
Danach: Automatische vollständige Löschung aller Daten

Ausnahmen:

Zahlungsaufzeichnungen: 10 Jahre (steuerliche Aufbewahrung)
Audit-Logs für kritische Aktionen: 90 Tage
Sicherheitslogs: Bis zu 90 Tage für Forensik

4. Weisungen und Compliance

4.1 Art der Weisungen

Der Kunde kann Weisungen zur Datenverarbeitung geben durch:

Nutzung des Kundenportals https://my.ivry.de
Schriftliche E-Mail an kontakt@ivry.de
Mündliche Vereinbarung (mit schriftlicher Bestätigung)

4.2 Einhaltung von Weisungen

Die IVRY GmbH verarbeitet Daten ausschließlich nach dokumentierten Weisungen. Alle Weisungen werden protokolliert und sind abrufbar.

4.3 Widerspruch zu Weisungen

Falls eine Weisung gegen Datenschutzgesetze verstößt, wird die IVRY GmbH:

Den Kunden darauf hinweisen
Die Verarbeitung nicht durchführen
Die Angelegenheit dokumentieren

5. Anforderungen an Sicherheit (Technische und Organisatorische Maßnahmen - TOMs)

5.1 Zugriffskontrolle

5.1.1 Authentifizierung

Multi-Faktor-Authentifizierung (MFA) für Admin-Konten
Starke Passwort-Anforderungen (Mindestens 12 Zeichen, Großbuchstaben, Zahlen, Sonderzeichen)
Passwort-Hashing mit bcrypt oder scrypt
Session-Timeouts nach 30 Minuten Inaktivität
API-Keys mit eindeutiger Authentifizierung

5.1.2 Autorisierung

Role-Based Access Control (RBAC)
Principle of Least Privilege (PoLP): Mitarbeiter erhalten nur notwendige Berechtigungen
Regelmäßige Audits der Zugriffsvergabe (quartalsweise)
Sofortige Deaktivierung bei Mitarbeiterwechsel

5.1.3 Physischer Zugriff

Rechenzentrum-Zugang nur durch autorisiertes Personal
Biometrische Zugangskontrollen
Video-Überwachung
Zugriffsprotokollierung

5.2 Verschlüsselung

5.2.1 Verschlüsselung in Transit (In-Flight)

TLS 1.3 für alle HTTP-Verbindungen (https://my.ivry.de)
TLS 1.3 für Mail-Übertragung (SMTPS, IMAPS)
TLS 1.3 für DNS-Abfragen (DoT)
Cipher-Suites mit Forward Secrecy (z. B. ECDHE)
HSTS-Header mit mindestens 365 Tagen max-age

5.2.2 Verschlüsselung in Ruhe (At Rest)

AES-256-GCM für sensible Datenbankspalten (Passwort-Hashes, API-Keys)
Whole-Disk-Encryption auf Produktionsservern (LUKS)
Verschlüsselte Backup-Speicherung
Separate Verschlüsselungsschlüssel pro Umgebung (Dev/Staging/Production)

5.2.3 Schlüsselverwaltung

Zentrale Schlüsselverwaltung (Hardware Security Module - HSM)
Schlüssel-Rotation alle 12 Monate
Sichere Schlüssel-Speicherung (nicht im Quellcode)
Separate Schlüssel für verschiedene Datentypen

5.3 Datensicherung und Recovery

5.3.1 Backup-Strategie

Häufigkeit: Tägliche Backups um 02:00 Uhr CEST
Aufbewahrung: 30 Tage (22 Backups)
Geografische Redundanz: Mehrere Rechenzentren
Backup-Typen:
- Inkrementelle täglich
- Vollständige wöchentlich
- Monatliche Archive

5.3.2 Recovery Testing

Monatliche Wiederherstellungstests
Dokumentierte Test-Protokolle
Recovery Time Objective (RTO): 4 Stunden
Recovery Point Objective (RPO): 24 Stunden

5.3.3 Backup-Sicherheit

Backups werden verschlüsselt transferiert
Backup-Speicher ist räumlich getrennt
Zugriff auf Backups ist streng kontrolliert
Backups unterliegen ebenfalls Zugangskontrollen

5.4 Verfügbarkeit und Ausfallschutz

5.4.1 Redundanz

Load-Balancing über mindestens 2 physische Server
Automatisches Failover bei Ausfällen
Redundante Stromversorgung (USV, Diesel-Generator)
Redundante Internetanbindung (Multi-ISP)

5.4.2 Monitoring

24/7 Systemüberwachung
Automatische Warnungen bei Anomalien
Response-Zeit < 15 Minuten
Incident-Benachrichtigung an Kunden

5.4.3 Wartung

Geplante Wartung nur zwischen 22:00 und 06:00 CEST
Mindestens 7 Tage Vorankündigung
Wartung mit minimaler Auswirkung (Warm Standby)
Rollback-Plan für jeden Update

5.5 Netzwerk-Sicherheit

5.5.1 Firewalls und Intrusion Detection

Hardware-Firewall auf Netzwerk-Ebene
Software-Firewalls auf Server-Ebene (iptables/nftables)
Intrusion Detection System (IDS)
Web Application Firewall (WAF) für HTTP-Verkehr
DDoS-Mitigation bis 50 Gbps

5.5.2 Netzwerk-Segmentierung

Getrennte Netzwerk-Zonen (DMZ, App-Tier, Database-Tier)
VLANs für Isolation
Begrenzte Kommunikation zwischen Zonen
Whitelist-Prinzip für Netzwerk-Zugang

5.5.3 API-Sicherheit

Rate-Limiting pro API-Key
CORS-Einschränkungen
Input-Validation und Output-Encoding
CSRF-Schutz (Tokens)
OAuth 2.0 für Authentication

5.6 Malware- und Virenschutz

5.6.1 Automatische Scans

Tägliche Malware-Scans mit ClamAV
Echtzeit-Dateiüberwachung
Automatische Quarantäne verdächtiger Dateien
Benachrichtigung des Kunden bei Funden

5.6.2 Datei-Upload-Sicherheit

Beschränkung der Dateitypen
Größenlimits für Uploads
Sandbox-Scanning vor Speicherung
Automatische Entfernung von ausführbarem Code

5.7 Patch-Management und Updates

5.7.1 Automatische Updates

Automatische Sicherheits-Updates des Betriebssystems
Monatliche Anwendungs-Updates
Unmittelbare kritische Patches (0-Day Exploits)
Versionskontrolle und Rollback-Mechanismus

5.7.2 Vulnerability Scanning

Wöchentliche automatische Vulnerability-Scans
Manuelle Penetration Tests (halbjährlich)
Bug-Bounty-Programm
Aktuelle Audit-Protokolle

5.8 Protokollierung und Audit-Trails

5.8.1 Ereignisprotokollierung

Alle administrativen Aktionen werden protokolliert
Alle Daten-Zugriffe werden protokolliert (Select, Update, Delete)
Alle fehlgeschlagenen Anmeldeversuche
Alle Änderungen an Systemkonfigurationen
Aufbewahrung: Mindestens 90 Tage

5.8.2 Datenschutz-spezifische Protokolle

Wer Daten wann zugegriffen hat
Welche Daten verarbeitet wurden
An wen Daten übertragen wurden
Alle Datenauskunfts- und Löschanfragen

5.8.3 Log-Sicherheit

Zentrale Log-Sammlung (Syslog)
Logs sind unveränderlich (Write-Once-Storage)
Logs sind verschlüsselt
Zugriff auf Logs ist eingeschränkt

5.9 Personal und Schulung

5.9.1 Datenschutz-Schulung

Alle Mitarbeiter erhalten jährliche Datenschutz-Schulung
Neue Mitarbeiter: Schulung beim Onboarding
Spezielle Schulung für technisches Personal
Dokumentierte Schulungsprotokolle

5.9.2 Vertraulichkeit

Schriftliche Vertraulichkeitsvereinbarungen (NDAs)
Geheimhaltung von Kundendaten
Keine Weitergabe sensibiler Informationen
Sanktionen bei Verletzungen

5.9.3 Personalwechsel

Sofortige Deaktivierung des Zugriffs
Rückgabe aller Authentifizierungsmittel
Archivierung der Exit-Dokumentation
Zustimmungsbestätigung zur Verschwiegenheit

5.10 Incident Response und Notfallplanung

5.10.1 Incident Response Plan

Dokumentierter Plan für Sicherheitsvorfälle
Eskalationsprozess
Kommunikationsprotokoll
Benachrichtigung des Kunden innerhalb 24 Stunden
Benachrichtigung der Aufsichtsbehörde innerhalb 72 Stunden (falls erforderlich)

5.10.2 Forensische Fähigkeiten

Geschultes Incident-Response-Team
Tools für digitale Forensik
Erinnerung von Log-Dateien
Chain-of-Custody-Dokumentation
Externe Forensik-Unterstützung bei Bedarf

5.10.3 Business Continuity

Dokumentierter Business Continuity Plan (BCP)
Disaster Recovery Plan (DRP)
Regelmäßige Tests (mindestens halbjährlich)
Notfall-Kontaktlisten
Notfall-Hotline für kritische Incidents

6. Subauftragsverarbeiter (Subprozessoren)

6.1 Autorisierte Subprozessoren

Die IVRY GmbH nutzt folgende Subprozessoren:

Subprozessor	Land	Zweck	Kategorie
Mollie B.V.	Niederlande	Zahlungsabwicklung	Zahlungen
GHOSTnet	Deutschland	Infrastruktur (Hosting, Speicher)	Infrastruktur
Enhance	Deutschland	Hosting-Kontrollpanel	Hosting-Management
Keycloak	Deutschland (Self-hosted)	Authentifizierung/OIDC	Auth
Mailcow	Deutschland (Self-hosted)	Mail-Versand (Transaktionsmails)	Mail
Umami	Deutschland (Self-hosted)	Website-Analytics	Analytics

6.2 Hinzufügung neuer Subprozessoren

Neue Subprozessoren werden dem Kunden 30 Tage vorher mitgeteilt
Der Kunde kann innerhalb von 14 Tagen Einwände erheben
Bei Einwänden wird ein Kompromiss gesucht oder der Vertrag beendet
Bestehende Subprozessoren können unter https://www.ivry.de/legal/avv eingesehen werden

6.3 Anforderungen an Subprozessoren

Schriftliche Auftragsverarbeitungsverträge (AVV)
Gleichwertige Sicherheitsstandards
DSGVO-Compliance
Keine weitere Unterauftragsvergabe ohne schriftliche Zustimmung

7. Internationaler Datentransfer

7.1 Datenlokalisierung

Primär: Alle Daten werden in Deutschland verarbeitet und gespeichert.

Ausnahmen:

Mollie (Niederlande): Zahlungsdaten nur für Transaktionsabwicklung
- Standard Contractual Clauses (SCCs) vorhanden
- Mollie ist DSGVO-zertifiziert

7.2 Keine Übermittlung in unsichere Drittländer

Die IVRY GmbH überträgt Daten nicht in Länder ohne angemessenes Datenschutzniveau (z. B. USA unter CLOUD Act), außer:

Mit expliziter schriftlicher Zustimmung des Kunden
Mit Durchführung einer Datenschutzfolgenabschätzung (DSFA)
Mit Implementierung von Zusatzgarantien (z. B. Verschlüsselung)

8. Rechte der Betroffenen

8.1 Unterstützung durch den Auftragsverarbeiter

Die IVRY GmbH unterstützt den Kunden bei:

Auskunftspflicht (Art. 15 DSGVO): Bereitstellung von Datenexportes
Berichtigungspflicht (Art. 16 DSGVO): Änderung unrichtiger Daten
Löschungspflicht (Art. 17 DSGVO): Schnelle Datenlöschung
Einschränkung (Art. 18 DSGVO): Blockierung von Daten
Datenportabilität (Art. 20 DSGVO): Export strukturierter Daten
Automatisierte Entscheidungsfindung (Art. 22 DSGVO): Keine vollautomatisierten Entscheidungen

8.2 Auskunftsfristen

Standard-Auskunft: Innerhalb von 30 Tagen
Beschleunigte Auskunft (dringend): Innerhalb von 5 Tagen
Zeitaufwendige Auskunft: Mit Mitteilung der voraussichtlichen Dauer

8.3 Kostenlose Verarbeitung

Die erste Auskunftsanfrage pro Jahr ist kostenlos. Weitere Anfragen können mit 50 € berechnet werden (falls missbräuchlich häufig).

9. Dokumentation und Nachweise

9.1 Verarbeitungsverzeichnis

Die IVRY GmbH führt ein Verarbeitungsverzeichnis (Art. 30 DSGVO) mit:

Zweck der Verarbeitung
Kategorien von Daten
Kategorien von Empfängern
Aufbewahrungsfristen
Sicherheitsmaßnahmen

Abruf auf Anfrage unter datenschutz@ivry.de.

9.2 Datenschutzfolgenabschätzung (DSFA)

Die IVRY GmbH unterstützt den Kunden bei Datenschutzfolgenabschätzungen für hochriskante Verarbeitungen.

9.3 Audits und Inspektionen

Der Kunde hat das Recht, Audits durchzuführen oder durchführen zu lassen
Audits können jährlich beantragt werden
Sicherheitskonzept und technisch-organisatorische Maßnahmen (TOMs): Verfügbar auf Anfrage
Externe Sicherheits-Audits: Halbjährlich

10. Beendigung und Datenlöschung

10.1 Daten nach Vertragsende

Nach Beendigung des Vertrages:

Datenlöschung erfolgt innerhalb von 30 Tagen
Sechs-Stufen-Überschreibungsprozess
Zertifikat der Datenlöschung wird bereitgestellt
Backups werden nach 30 Tagen automatisch gelöscht

10.2 Kundendaten-Export

Der Kunde kann vor Vertragsende seine Daten exportieren:

Kostenlos als JSON/CSV-Export
Oder manuell über das Portal herunter laden
Vollständiger Datenexport innerhalb von 7 Tagen

10.3 Notfall-Datenrettung

Falls der Vertrag überraschend endet (z. B. Insolvenz):

Kundendaten werden für 30 Tage verfügbar gemacht
Kunden können ihre Daten kostenfrei extrahieren
Keine Wiederherstellung nach 30 Tagen möglich

11. Gebühren und Entgelt

Dieser Auftragsverarbeitungsvertrag ist kostenlos und in den Hosting-Gebühren enthalten. Keine zusätzlichen Gebühren für:

Datenauskunfts-Anfragen (1x pro Jahr kostenlos)
Datenlöschung
Sicherheits-Audits
Incident Notifications

Kostenpflichtig:

Erweiterte Sicherheits-Services (PEN-Test, WAF-Custom-Rules): Auf Anfrage
Consulting für Datenschutz-Compliance: 150 € pro Stunde

12. Änderungen dieses Vertrages

Änderungen werden mit 30 Tagen Vorankündigung mitgeteilt:

Per E-Mail
Im Portal unter https://my.ivry.de/legal
Im öffentlichen Verzeichnis https://www.ivry.de/legal/avv

Der Kunde kann bei wesentlichen Änderungen innerhalb von 14 Tagen widersprechen.

13. Kontakt und Eskalation

Datenschutzbeauftragte / Legal: E-Mail: datenschutz@ivry.de Telefon: Auf Anfrage über https://my.ivry.de/support

Sicherheitsvorfälle (24/7): E-Mail: security@ivry.de Portal: https://my.ivry.de/support/security

Allgemeine Anfragen: E-Mail: kontakt@ivry.de

Dieser Auftragsverarbeitungsvertrag ist integraler Bestandteil der AGB und gilt ab 15. Mai 2026.

Letzte Änderung: April 2026