Auftragsverarbeitungsvertrag

zwischen dem Kunden als Verantwortlichem („Verantwortlicher“) und cloud.consult e.U., Mag. Siegfried Wintereder, Schaunbergerstraße 9/3, 4020 Linz, Österreich, handelnd unter der Marke uptopIQ, als Auftragsverarbeiter („Auftragsverarbeiter“). Dieser Vertrag wird mit der Bestellung einer Leistung Bestandteil des Hauptvertrags (AGB); der Verantwortliche ist die im Bestellvorgang genannte Person oder Firma. Teil A gilt für Webhosting, E-Mail und Domains, Teil B für OpenClaw as a Service, die Ziffern 3 bis 11 für beide.

Teil A – Webhosting, E-Mail und Domains

A.1 Gegenstand

Der Auftragsverarbeiter stellt dem Verantwortlichen Speicherplatz für Websites und Dateien, Datenbanken, E-Mail-Postfächer und eine Verwaltungsoberfläche (Plesk) auf einem vom Auftragsverarbeiter verwalteten Server bereit und registriert Domains in dessen Auftrag. Der Verantwortliche entscheidet allein, welche Inhalte er dort speichert und veröffentlicht.

A.2 Art, Zweck, Datenkategorien, betroffene Personen

Art und Zweck: Speicherung, Bereitstellung über das Internet, Sicherung und Wiederherstellung der vom Verantwortlichen abgelegten Inhalte; Annahme, Speicherung und Zustellung von E-Mails; Verarbeitung von Zugriffsprotokollen des Webservers zur Störungs- und Missbrauchsabwehr.

Datenkategorien: alle Inhalte der Website und der Postfächer, wie sie der Verantwortliche einstellt – typischerweise Namen, Kontaktdaten, Fotos und Videos von Personen, Texte, Formulareingaben von Website-Besuchern, Kundendaten in Datenbanken (z. B. Shops, Kontaktformulare, Mitgliederbereiche), E-Mail-Inhalte und -Anhänge; dazu Protokolldaten der Besucher (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser). Besondere Kategorien (Art. 9 DSGVO, z. B. Gesundheitsdaten, biometrische Daten) verarbeitet der Verantwortliche nur, wenn er dafür eine Rechtsgrundlage hat; er hat dafür zu sorgen, dass für veröffentlichte Personenfotos eine Rechtsgrundlage (z. B. Einwilligung) vorliegt.

Betroffene Personen: Website-Besucher, Kunden, Mitarbeiter, Mitglieder und sonstige auf der Website oder in E-Mails abgebildete oder genannte Personen sowie E-Mail-Kommunikationspartner.

A.3 Besonderheiten

Protokolle: Webserver-Zugriffsprotokolle werden 14 Tage aufbewahrt und danach automatisch gelöscht; E-Mail-Serverprotokolle (nur Verbindungsdaten, keine Inhalte) 14 Tage.
Sicherungen: tägliche Sicherung von Webspace, Datenbanken und Postfächern; Aufbewahrung 14 Tage (rollierend), gespeichert auf demselben Server bzw. verschlüsselt auf einem Sicherungsziel in der EU. Der Verantwortliche kann Sicherungen in Plesk selbst anstoßen und wiederherstellen.
Domains: Zur Registrierung werden die Inhaberdaten (Name, Anschrift, E-Mail, Telefon) an den Registrar und die Vergabestelle übermittelt; soweit die Vergabestelle es zulässt, aktiviert der Auftragsverarbeiter einen Whois-Privacy-Dienst. Diese Übermittlung ist zur Vertragserfüllung erforderlich und keine Auftragsverarbeitung des Registrars im Auftrag des Auftragsverarbeiters, sondern dessen eigene Verantwortung nach den Registrierungsbedingungen.
E-Mail: Postfächer liegen auf dem Server des Auftragsverarbeiters in der EU; Spam- und Virenfilter arbeiten automatisiert auf dem Server, eine inhaltliche Kenntnisnahme findet nicht statt.
Zugriff und Fernwartung: Der Auftragsverarbeiter greift auf Inhalte des Verantwortlichen nur auf dessen Anfrage (Support) oder zur Abwehr konkreter Störungen und Missbrauchs zu und dokumentiert solche Zugriffe. Der Hosting-Anbieter Strato hat Zugriff auf die Hardware, nicht auf entschlüsselte Inhalte, außer im Rahmen seines eigenen AVV.

Teil B – OpenClaw as a Service

B.1 Gegenstand

Der Auftragsverarbeiter betreibt für den Verantwortlichen eine Instanz der Software OpenClaw („Instanz“) auf einem vom Auftragsverarbeiter verwalteten Server und leitet Anfragen der Instanz an den vom Verantwortlichen gewählten KI-Modellanbieter weiter.

B.2 Art, Zweck, Datenkategorien, betroffene Personen

Art und Zweck: Speicherung und Betrieb der Instanz samt ihrer Daten (Konfiguration, Gedächtnis, Dateien, Gesprächsverläufe) sowie Übermittlung von Eingaben an das KI-Modell und Rückgabe der Ergebnisse, jeweils zur Erledigung der vom Verantwortlichen beauftragten Aufgaben.

Datenkategorien: alle Daten, die der Verantwortliche der Instanz übergibt oder zugänglich macht; typischerweise Kontaktdaten, Kommunikationsinhalte (E-Mails, Nachrichten), Dokumente, Termin- und Aufgabendaten sowie Zugangsdaten zu Diensten, die der Verantwortliche anbindet. Der Verantwortliche entscheidet allein, welche Daten das sind; besondere Kategorien (Art. 9 DSGVO) verarbeitet er nur, wenn er dafür eine Rechtsgrundlage hat.

Betroffene Personen: der Verantwortliche selbst, seine Mitarbeiter, Kunden, Lieferanten und sonstige Kommunikationspartner.

B.3 Modellanbieter und Drittland

Eingaben an die KI werden vom gewählten Modellanbieter verarbeitet (Ziffer 7). Bei „IQ Europe“ und „IQ Smart“ in der EU; bei „IQ Power“ (Anthropic) in den USA – der Verantwortliche wählt diese Variante ausdrücklich und trägt die Verantwortung für die Zulässigkeit der Übermittlung (Ziffer 8). Der KI-Proxy des Auftragsverarbeiters protokolliert nur Verbrauchsdaten, keine Inhalte.

1. Dauer

Die Dauer entspricht der Laufzeit des jeweiligen Hauptvertrags; nach dessen Ende gilt Ziffer 10.

2. Allgemeines zur Verarbeitung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich in der EU, mit Ausnahme der in Ziffer 8 beschriebenen, vom Verantwortlichen veranlassten Übermittlung an Anthropic. Eine Nutzung der Daten für eigene Zwecke, Auswertung, Weitergabe an Dritte oder Training von KI-Modellen findet nicht statt.

3. Weisungen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus dem Hauptvertrag, der vom Verantwortlichen gewählten Konfiguration (insbesondere Modellanbieter) und den Aufgaben, die er seiner Instanz gibt. Zusätzliche Weisungen bedürfen der Textform (E-Mail an office@uptopiq.com). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und kann die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragsverarbeiters

Vertraulichkeit: Zugriff auf Daten des Verantwortlichen haben nur der Inhaber und etwaige zur Vertraulichkeit verpflichtete Mitarbeiter, und nur, soweit es für Betrieb, Fehlerbehebung auf Wunsch des Verantwortlichen oder Missbrauchsabwehr erforderlich ist. Inhalte (Websites, Postfächer, Eingaben und Ergebnisse der Instanz) werden nicht zur Kenntnis genommen, nicht ausgewertet und nicht für eigene Zwecke genutzt.
Technische und organisatorische Maßnahmen nach Ziffer 6.
Unterstützung des Verantwortlichen bei Betroffenenrechten (Auskunft, Löschung usw.) durch Bereitstellung von Exporten und Löschung von Daten innerhalb von 14 Tagen nach Aufforderung, soweit der Verantwortliche sie nicht selbst über Plesk bzw. die Instanz vornehmen kann.
Meldung von Verletzungen des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betreffen, unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den dem Auftragsverarbeiter bekannten Informationen nach Art. 33 Abs. 3 DSGVO.
Unterstützung bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde, soweit sie die beauftragte Verarbeitung betreffen.
Führen eines Verzeichnisses der Verarbeitungstätigkeiten als Auftragsverarbeiter.

5. Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Daten, die er speichert, veröffentlicht oder der Instanz übergibt (bei Personenfotos: Einwilligung oder andere Rechtsgrundlage), für die Information der betroffenen Personen (Datenschutzerklärung seiner Website) und – bei OpenClaw – für die Wahl des Modellanbieters. Wählt er die Variante „IQ Power“ (Claude über Anthropic, USA), veranlasst er damit die Übermittlung in ein Drittland und trägt die Verantwortung für deren Zulässigkeit (Ziffer 8). Er gibt der Instanz keine Zugangsdaten zu Diensten, für die er nicht berechtigt ist, prüft KI-Ergebnisse vor ihrer Verwendung und hält seine eigenen Zugangsdaten (Plesk, Postfächer, Instanz) geheim.

6. Technische und organisatorische Maßnahmen

Standort: Server (VPS) des Hosting-Anbieters Strato AG in einem Rechenzentrum in der EU; der konkrete Standort wird auf Anfrage mitgeteilt und kann innerhalb der EU wechseln.
Trennung: jeder Hosting-Kunde hat in Plesk ein eigenes Abonnement mit eigenem Systembenutzer, eigenem Dateisystembereich und eigenen Datenbanken; jede OpenClaw-Instanz läuft in einem eigenen Container mit eigenem Dateisystem. Kein Zugriff zwischen Kunden.
Zugriffskontrolle: Serverzugang nur per SSH-Schlüssel für den Inhaber; Plesk-, Postfach- und Instanzzugang des Verantwortlichen über verschlüsselte Verbindung (HTTPS, IMAPS/SMTPS) mit individuellen Zugangsdaten; Firewall mit automatischer Sperre bei Fehlversuchen (Fail2Ban); Verwaltungszugänge mit Zwei-Faktor-Authentisierung, soweit der Dienst es unterstützt.
Verschlüsselung: alle Verbindungen TLS-verschlüsselt (Websites mit SSL-Zertifikat, E-Mail-Abruf und -Versand, Plesk, Instanz ↔ Proxy ↔ Modellanbieter).
KI-Proxy: Anfragen an Modellanbieter laufen über einen vom Auftragsverarbeiter betriebenen Proxy (LiteLLM, eigener Server), der nur Verbrauchsdaten (Modell, Token-Anzahl, Kosten, Zeitpunkt) protokolliert; Inhalte werden dort nicht gespeichert (Logging von Anfrage- und Antwortinhalten deaktiviert).
Verfügbarkeit: tägliche Sicherung von Webspace, Datenbanken, Postfächern und Instanzdaten auf demselben Server bzw. verschlüsselt auf einem Sicherungsziel in der EU; Aufbewahrung 14 Tage; Sicherheitsupdates von Betriebssystem, Plesk und OpenClaw zeitnah; Überwachung der Erreichbarkeit.
Löschung: Löschung von Webspace, Datenbanken, Postfächern bzw. Instanz samt Sicherungen 30 Tage nach Vertragsende (Ziffer 10); Zugriffsprotokolle nach 14 Tagen; Sicherungen durch Ablauf nach 14 Tagen.
Organisation: Einzelunternehmen; Verantwortlicher für Datenschutz ist der Inhaber; Vorfälle werden dokumentiert.

7. Weitere Auftragsverarbeiter (Subprozessoren)

Der Verantwortliche genehmigt die folgenden weiteren Auftragsverarbeiter. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mindestens 30 Tage vorher per E-Mail; der Verantwortliche kann binnen 14 Tagen aus wichtigem Grund widersprechen, andernfalls gilt die Änderung als genehmigt. Bei begründetem Widerspruch kann jede Partei den Hauptvertrag zum Monatsende kündigen.

Unternehmen	Leistung	Ort der Verarbeitung	Grundlage
Strato AG, Berlin (DE)	Server (VPS) für Webspace, E-Mail, Datenbanken, OpenClaw-Instanzen und KI-Proxy	EU	AVV mit Strato
WebPros International GmbH (Plesk), Schaffhausen (CH)	Verwaltungssoftware Plesk auf dem Server; kein regulärer Zugriff auf Kundendaten, Support nur auf Anforderung	Software läuft auf dem Server in der EU	Plesk-Lizenzbedingungen; Angemessenheitsbeschluss für die Schweiz
Amazon Web Services EMEA SARL, Luxemburg	KI-Modelle Claude über Amazon Bedrock (nur bei Variante „IQ Europe“)	EU-Regionen (Frankfurt, Irland, Paris, Stockholm, Mailand, Spanien)	AWS Data Processing Addendum; Eingaben werden nicht zum Training verwendet
Mistral AI SAS, Paris (FR)	KI-Modelle Mistral (nur bei Variante „IQ Smart“)	EU	Mistral Data Processing Agreement
Anthropic Ireland, Limited, Dublin (IE); Verarbeitung durch Anthropic PBC, San Francisco (USA)	KI-Modelle Claude (nur bei Variante „IQ Power“)	USA – Drittland	Anthropic Data Processing Addendum mit EU-Standardvertragsklauseln; Wahl und Verantwortung beim Verantwortlichen (Ziffer 8)
Stripe Payments Europe Ltd., Dublin (IE)	Zahlungsabwicklung, Kundenkonto, Anmeldedaten des Kundenbereichs (Hashes)	EU / USA (Stripe-Konzern, EU-US Data Privacy Framework)	Stripe Data Processing Agreement
Microsoft Ireland Operations Ltd., Dublin (IE)	E-Mail-Versand von Bestätigungen, Rechnungen und Hinweisen an den Verantwortlichen (Microsoft 365)	EU	Microsoft Products and Services DPA
Namecheap, Inc., Phoenix (USA) / INWX GmbH, Berlin (DE)	Domainregistrierung (Inhaberdaten) – eigene Verantwortung des Registrars, siehe A.3	USA / EU	Registrierungsbedingungen; bei Namecheap EU-Standardvertragsklauseln

Die Modellanbieter sind nur bei OpenClaw beteiligt und erhalten nur die Inhalte der jeweiligen Anfrage; der Verantwortliche nutzt jeweils genau einen der drei Anbieter. Für reines Webhosting sind ausschließlich Strato, WebPros, Stripe, Microsoft und der Registrar beteiligt.

8. Übermittlung in Drittländer

Beim Webhosting und bei den OpenClaw-Varianten „IQ Europe“ und „IQ Smart“ findet keine Übermittlung personenbezogener Daten in Drittländer statt (Ausnahme: Inhaberdaten einer Domain bei Registrierung über Namecheap, A.3), soweit die Anbieter ihre vertraglichen Zusagen einhalten. Bei der Variante „IQ Power“ werden die Eingaben an Anthropic in den USA übermittelt. Grundlage sind die von Anthropic angebotenen EU-Standardvertragsklauseln. Der Verantwortliche wählt diese Variante ausdrücklich und prüft eigenverantwortlich, ob die Übermittlung für seine Daten zulässig ist; für personenbezogene Daten Dritter empfiehlt der Auftragsverarbeiter die EU-Varianten.

9. Kontrollrechte

Der Verantwortliche kann die Einhaltung dieses Vertrags durch schriftliche Auskunft, Vorlage von Nachweisen (z. B. Zertifikate und AVV der Subprozessoren) und – bei begründetem Anlass, nach Ankündigung mit 14 Tagen Vorlauf, höchstens einmal jährlich – durch eine Prüfung zu üblichen Geschäftszeiten kontrollieren. Der Auftragsverarbeiter kann für Prüfungen, die über die Auskunft hinausgehen, den Aufwand zu seinen üblichen Stundensätzen verrechnen.

10. Beendigung, Rückgabe und Löschung

Mit Ende des Hauptvertrags werden Webspace, Postfächer und Datenbanken bzw. die Instanz gesperrt. Innerhalb von 30 Tagen kann der Verantwortliche seine Daten selbst sichern (Plesk-Backup, IMAP-Abruf) oder einen Export (Dateien, Datenbanken, Postfächer; bei OpenClaw Konfiguration, Gedächtnis, Gesprächsverläufe) in einem gängigen Format anfordern. Nach Ablauf der 30 Tage löscht der Auftragsverarbeiter alle Daten und Kopien einschließlich Sicherungen und bestätigt die Löschung auf Anfrage. Gesetzliche Aufbewahrungspflichten (z. B. Rechnungsdaten, § 132 BAO) bleiben unberührt.

11. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und dem Hauptvertrag. Änderungen dieses Vertrags bedürfen der Textform. Es gilt österreichisches Recht; Gerichtsstand ist Linz, für Verbraucher das jeweils zuständige Gericht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Dieser Vertrag wird elektronisch abgeschlossen; er gilt mit Abschluss der Bestellung als vom Verantwortlichen akzeptiert und vom Auftragsverarbeiter angeboten. Eine unterschriebene Fassung stellt der Auftragsverarbeiter auf Anfrage bereit.