zwischen dem Kunden des Atendu-Cloud-Dienstes – Verantwortlicher
im Sinne der DSGVO, im Folgenden „Auftraggeber" – und
Rico Kirsten (Atendu), Wilhelm-Raabe-Str. 22, 01157 Dresden,
Deutschland – Auftragsverarbeiter im Sinne der DSGVO, im Folgenden „Auftragnehmer".
Der Auftraggeber nutzt den Dienst „Atendu Cloud" (Hauptvertrag gemäß AGB), mit dem wartende Endkunden des Auftraggebers über den Aufruf ihrer Nummer benachrichtigt werden (Warteseite und optionale Push-Benachrichtigung). Dabei verarbeitet der Auftragnehmer personenbezogene Daten der Endkunden des Auftraggebers in dessen Auftrag. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Er wird elektronisch geschlossen und ist Bestandteil der Buchung des Cloud-Abos (§ 10).
1. Gegenstand des Auftrags ist der Betrieb der Kunden-Warteseite und die
Zustellung von Aufruf-Benachrichtigungen an Endkunden des Auftraggebers.
2. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags
(Cloud-Abo). Die Kündigung des Hauptvertrags beendet zugleich diesen Vertrag.
1. Art und Zweck: Speicherung von Benachrichtigungs-Abonnements;
Anzeige aufgerufener Nummern auf der Warteseite; Versand von
Push-Benachrichtigungen bei Aufruf; technische Protokollierung zum sicheren Betrieb.
2. Art der Daten:
Es werden keine Namen, Kontakt- oder Profildaten der Endkunden verarbeitet.
3. Kreis der Betroffenen: Endkunden des Auftraggebers, die die
Warteseite aufrufen oder Benachrichtigungen abonnieren.
1. Die Verarbeitung findet auf Servern in Deutschland statt
(Unterauftragsverarbeiter siehe § 6).
2. Ausnahme: Die Zustellung von Push-Benachrichtigungen erfolgt systembedingt über
den Push-Dienst des jeweiligen Endgeräts bzw. Browsers (z. B. Google Firebase
Cloud Messaging, Apple Push-Dienst, Mozilla Push Service); dabei kann eine
Übermittlung in die USA stattfinden. Google Firebase Cloud Messaging ist unter dem
EU-US Data Privacy Framework zertifiziert (Art. 45 DSGVO); im Übrigen stützt sich
die Übermittlung auf Art. 49 Abs. 1 lit. b DSGVO, da sie für die Zustellung der von
der betroffenen Person angeforderten Benachrichtigung erforderlich ist und nur
anlassbezogen erfolgt. Der Nachrichteninhalt ist nach dem Web-Push-Standard
(RFC 8291) Ende-zu-Ende-verschlüsselt und für den Push-Dienst nicht lesbar;
Klardaten (Name, E-Mail-Adresse) werden nicht übermittelt. Der Push-Dienst wird
durch das Endgerät des Betroffenen bestimmt und ist vom Auftragnehmer nicht wähl-
oder ersetzbar; die Push-Dienste handeln insoweit als eigenständige Verantwortliche
und sind keine Unterauftragsverarbeiter des Auftragnehmers.
3. Darüber hinaus übermittelt der Auftragnehmer im Auftrag verarbeitete Daten nur
dann in ein Drittland, wenn dies auf dokumentierte Weisung des Auftraggebers
geschieht oder er rechtlich dazu verpflichtet ist; in beiden Fällen werden die
Anforderungen des Kapitels V DSGVO eingehalten.
1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen
dieses Vertrags und nach dokumentierten Weisungen des Auftraggebers, sofern er
nicht durch Unions- oder Mitgliedstaatenrecht zur Verarbeitung verpflichtet ist;
in einem solchen Fall teilt er dem Auftraggeber diese Anforderungen vor der
Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Der Auftragnehmer verwendet die Daten für keine anderen, insbesondere keine
eigenen Zwecke.
3. Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
4. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach
Anlage 1 (Art. 32 DSGVO) und passt sie dem Stand der Technik an, sofern das
vereinbarte Schutzniveau nicht unterschritten wird.
5. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten
bei der Erfüllung der Betroffenenrechte (Art. 12–22 DSGVO) sowie der Pflichten aus
Art. 32–36 DSGVO. An den Auftragnehmer gerichtete Anfragen Betroffener, die
erkennbar den Auftraggeber betreffen, leitet er unverzüglich weiter.
6. Der Auftragnehmer benennt keinen Datenschutzbeauftragten (nicht erforderlich
nach § 38 BDSG). Kontakt für alle datenschutzrechtlichen Belange:
info@atendu.eu.
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes der im Auftrag verarbeiteten personenbezogenen Daten unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO) an die im Kundenkonto hinterlegte E-Mail-Adresse und unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten. Die Meldung enthält – soweit zum Meldezeitpunkt verfügbar – mindestens: eine Beschreibung der Art der Verletzung, die Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen. Noch nicht verfügbare Informationen liefert der Auftragnehmer ohne unangemessene Verzögerung schrittweise nach.
1. Der Auftraggeber erteilt die allgemeine Genehmigung zur Einschaltung der folgenden Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Sitz | Leistung |
|---|---|---|
| Hetzner Online GmbH | Deutschland | Server-Infrastruktur (Hosting) und Datensicherung (Backup-Inhalt clientseitig verschlüsselt) |
Hinweis: mailbox.org (E-Mail-Versand) und Lexware/Haufe Service Center (Rechnung)
verarbeiten ausschließlich Konto-/Abrechnungsdaten des Auftraggebers, für die der
Auftragnehmer selbst Verantwortlicher ist – keine Endkundendaten dieses
Auftragsverhältnisses. Sie sind daher hier keine Unterauftragsverarbeiter.
2. Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) informiert der
Auftragnehmer den Auftraggeber mindestens vier Wochen vor Wirksamwerden in
Textform; der Auftraggeber kann binnen zwei Wochen nach Zugang der Information aus
wichtigem datenschutzrechtlichem Grund widersprechen. Bleibt eine einvernehmliche
Lösung aus, können beide Parteien den Hauptvertrag zum Zeitpunkt der Änderung
kündigen.
3. Die Browser-Push-Dienste (§ 3 Abs. 2) sind keine vom Auftragnehmer beauftragten
Unterauftragsverarbeiter; ihre Einschaltung ergibt sich aus der technischen
Funktionsweise des Web-Push-Standards und der Gerätewahl des Betroffenen.
4. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags
im Wesentlichen dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag
festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für
technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Kommt ein
Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der
Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten dieses
Unterauftragsverarbeiters.
Der Auftraggeber kann sich vor Beginn und während der Verarbeitung von der Einhaltung dieses Vertrags überzeugen, insbesondere durch Auskünfte des Auftragnehmers und Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen. Der Auftragnehmer stellt alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO bereit und ermöglicht auf Verlangen Überprüfungen – einschließlich Inspektionen – durch den Auftraggeber oder einen von diesem beauftragten, zur Vertraulichkeit verpflichteten Prüfer und trägt zu ihnen bei (Art. 28 Abs. 3 lit. h DSGVO). Zeitpunkt und Umfang werden mit angemessenem Vorlauf abgestimmt; Geschäftsgeheimnisse des Auftragnehmers und Daten anderer Kunden bleiben geschützt.
Weisungen erfolgen in Textform an info@atendu.eu bzw. support@atendu.eu. Weisungsberechtigt ist der Inhaber des Kundenkontos (Buchungs-E-Mail-Adresse). Hält der Auftragnehmer eine Weisung für datenschutzrechtlich unzulässig, weist er den Auftraggeber unverzüglich darauf hin.
1. Benachrichtigungs-Abonnements und Aufruf-Daten werden bereits während der
Laufzeit automatisiert gelöscht (Aufruf-Status nach wenigen Stunden, ungültige
Abonnements sofort).
2. Nach Ende des Hauptvertrags löscht der Auftragnehmer nach Wahl des
Auftraggebers alle verbleibenden im Auftrag verarbeiteten Daten
(Push-Abonnements) oder gibt sie in einem gängigen, maschinenlesbaren Format an
ihn heraus und löscht sie anschließend. Trifft der Auftraggeber keine Wahl,
erfolgt spätestens 30 Tage nach Vertragsende die automatisierte Löschung.
Server-Logs rotieren unabhängig davon nach 7 Tagen.
3. Eigene Daten des Auftraggebers (Konto-, Vertrags- und Abrechnungsdaten) sind
nicht Gegenstand dieses Vertrags; insoweit ist der Auftragnehmer selbst
Verantwortlicher (siehe Datenschutzerklärung).
1. Dieser Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO): Er ist
Bestandteil der Buchung des Cloud-Abos und wird mit der dortigen Bestätigung
akzeptiert; Fassungsstand und Zeitpunkt der Zustimmung werden vom Auftragnehmer
dokumentiert.
2. Es gilt deutsches Recht. Sollten einzelne Bestimmungen unwirksam sein, bleibt
der Vertrag im Übrigen wirksam.
Fassung dieses Auftragsverarbeitungsvertrags: 12.10.2026 (Vorfassung 12.07.2026; geändert: Anlage 1 – Ergänzung um Patch-Management, Minimalrechte und Betriebsüberwachung. Davor 07.07.2026; geändert: § 3 Abs. 2 – Präzisierung der Drittlandübermittlung bei Push-Diensten)
Convenience translation – the German version of this agreement (Deutsch) is the legally binding one.
between the customer of the Atendu Cloud service – controller
within the meaning of the GDPR, hereinafter "Controller" – and
Rico Kirsten (Atendu), Wilhelm-Raabe-Str. 22, 01157 Dresden,
Germany – processor within the meaning of the GDPR, hereinafter "Processor".
The Controller uses the "Atendu Cloud" service (main contract per the terms and conditions), which notifies the Controller's waiting end customers when their number is called (waiting page and optional push notification). In doing so, the Processor processes personal data of the Controller's end customers on the Controller's behalf. This agreement specifies the parties' data protection obligations. It is concluded electronically and forms part of the Cloud subscription booking (§ 10).
1. The subject of the engagement is the operation of the customer waiting page
and the delivery of call notifications to the Controller's end customers.
2. The term of this agreement corresponds to the term of the main contract
(Cloud subscription). Termination of the main contract also terminates this
agreement.
1. Nature and purpose: storage of notification subscriptions;
display of called numbers on the waiting page; sending of push notifications when
a number is called; technical logging for secure operation.
2. Type of data:
No names, contact or profile data of end customers are processed.
3. Categories of data subjects: end customers of the Controller
who open the waiting page or subscribe to notifications.
1. Processing takes place on servers in Germany (sub-processors: see § 6).
2. Exception: push notifications are, for technical reasons, delivered via the
push service of the data subject's device or browser (e.g. Google Firebase Cloud
Messaging, Apple push service, Mozilla Push Service); this may involve a transfer
to the USA. Google Firebase Cloud Messaging is certified under the EU-US Data
Privacy Framework (Art. 45 GDPR); in all other cases the transfer is based on
Art. 49(1)(b) GDPR, as it is necessary to deliver the notification requested by
the data subject and occurs only on a case-by-case basis. The message content is
end-to-end encrypted according to the Web Push standard (RFC 8291) and is not
readable by the push service; no plain-text personal data (name, email address)
is transmitted. The push service is determined by the data subject's device and
cannot be selected or replaced by the Processor; in this respect the push
services act as independent controllers and are not sub-processors of the
Processor.
3. Beyond this, the Processor transfers data processed on behalf of the
Controller to a third country only on the Controller's documented instructions or
where legally required to do so; in both cases the requirements of Chapter V
GDPR are complied with.
1. The Processor processes personal data exclusively within the scope of this
agreement and on the Controller's documented instructions, unless required to
process by Union or Member State law; in such a case, the Processor informs the
Controller of that legal requirement before processing, unless that law prohibits
this.
2. The Processor does not use the data for any other purposes, in particular not
for its own purposes.
3. Persons with access to the data are bound to confidentiality.
4. The Processor implements the technical and organisational measures set out in
Annex 1 (Art. 32 GDPR) and adapts them to the state of the art, provided the
agreed level of protection is not reduced.
5. The Processor supports the Controller, within its means, in fulfilling data
subject rights (Art. 12–22 GDPR) and the obligations under Art. 32–36 GDPR.
Requests from data subjects addressed to the Processor that evidently concern the
Controller are forwarded without undue delay.
6. The Processor has not appointed a data protection officer (not required under
Section 38 BDSG). Contact for all data protection matters:
info@atendu.eu.
The Processor notifies the Controller of any breach of the security of personal data processed on the Controller's behalf without undue delay after becoming aware of it (Art. 33(2) GDPR), to the e-mail address stored in the customer account, and supports the Controller with its notification obligations. The notification includes – to the extent available at the time – at least: a description of the nature of the breach, the categories and approximate number of data subjects and records concerned, the likely consequences, and the measures taken or proposed. Information not yet available is provided in phases without undue delay.
1. The Controller grants general authorisation for the engagement of the following sub-processors:
| Sub-processor | Location | Service |
|---|---|---|
| Hetzner Online GmbH | Germany | Server infrastructure (hosting) and backups (backup content encrypted client-side) |
Note: mailbox.org (e-mail delivery) and Lexware/Haufe Service Center (invoicing)
process only the Controller's account and billing data, for which the Processor
is itself the controller – no end-customer data of this processing relationship.
They are therefore not sub-processors here.
2. The Processor informs the Controller of intended changes (addition or
replacement) in text form at least four weeks before they take effect; the
Controller may object within two weeks of receipt for important data protection
reasons. If no amicable solution is found, either party may terminate the main
contract as of the date of the change.
3. The browser push services (§ 3(2)) are not sub-processors engaged by the
Processor; their involvement results from the technical design of the Web Push
standard and the data subject's choice of device.
4. The Processor imposes on each sub-processor, by way of contract, essentially
the same data protection obligations as set out in this agreement (Art. 28(4)
GDPR), in particular sufficient guarantees of technical and organisational
measures under Art. 32 GDPR. Where a sub-processor fails to fulfil its data
protection obligations, the Processor remains fully liable to the Controller for
the performance of that sub-processor's obligations.
The Controller may satisfy itself of compliance with this agreement before and during processing, in particular through information provided by the Processor and the documentation of the technical and organisational measures. The Processor makes available all information necessary to demonstrate compliance with Art. 28 GDPR and, on request, allows for and contributes to reviews – including inspections – conducted by the Controller or an auditor mandated by the Controller and bound to confidentiality (Art. 28(3)(h) GDPR). Timing and scope are agreed with reasonable notice; the Processor's business secrets and other customers' data remain protected.
Instructions are given in text form to info@atendu.eu or support@atendu.eu. The holder of the customer account (booking e-mail address) is authorised to issue instructions. If the Processor considers an instruction to infringe data protection law, it informs the Controller without undue delay.
1. Notification subscriptions and call data are already deleted automatically
during the term (call status after a few hours, invalid subscriptions
immediately).
2. After the end of the main contract, the Processor, at the Controller's choice,
deletes all remaining data processed on the Controller's behalf (push
subscriptions) or returns them in a common, machine-readable format and deletes
them afterwards. If the Controller makes no choice, automated deletion takes
place no later than 30 days after the end of the contract. Server logs rotate
independently after 7 days.
3. The Controller's own data (account, contract and billing data) are not subject
to this agreement; in that respect the Processor is itself the controller (see
privacy policy).
1. This agreement is concluded electronically (Art. 28(9) GDPR): it forms part of
the Cloud subscription booking and is accepted with the confirmation given there;
the version and time of acceptance are documented by the Processor.
2. German law applies. Should individual provisions be invalid, the remainder of
the agreement remains in force.
Version of this data processing agreement: 12 October 2026 (previous version 12 July 2026; amended: Annex 1 – addition of patch management, least privilege and operational monitoring. Before that 7 July 2026; amended: § 3(2) – clarification of third-country transfers via push services)