Auftragsverarbeitungsvertrag (AVV)
nach Art. 28 DSGVO zwischen dem Kunden (nachfolgend „Verantwortlicher") und MessingerDesign, Philipp & Werner Messinger GbR, Dahmestraße 10, 12526 Berlin, Deutschland (nachfolgend „Auftragsverarbeiter"), für die Nutzung des Dienstes SpamProtec. Dieser AVV ist Bestandteil des zwischen den Parteien geschlossenen Hauptvertrags.
§ 1 Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zum Zweck der automatisierten Spam-, Phishing- und Schadmail-Erkennung in den vom Verantwortlichen angebundenen E-Mail-Postfächern. Die Dauer entspricht der Laufzeit des Hauptvertrags; dieser AVV endet automatisch mit dessen Beendigung.
§ 2 Art und Zweck der Verarbeitung, Datenkategorien, betroffene Personen
Art und Zweck: Abruf eingehender E-Mails per IMAP, automatisierte Klassifikation und
Verschieben als Spam erkannter Nachrichten in den Spam-Ordner; Bereitstellung von Quarantäne, Statistik
und Berichten.
Datenkategorien: E-Mail-Metadaten (Absender, Empfänger, Betreff, Kopfzeilen, Zeitstempel),
E-Mail-Inhalte einschließlich der darin enthaltenen personenbezogenen Daten sowie technische
Verbindungsdaten.
Kategorien betroffener Personen: Kommunikationspartner des Verantwortlichen sowie dessen
Beschäftigte, deren Postfächer angebunden sind.
Filter-Selbstverbesserung: Zur Verbesserung der Erkennung werden vor-anonymisierte Inhalte
auf eigener Hardware des Auftragsverarbeiters in Berlin in eine numerische Vektor-Darstellung überführt;
gespeichert werden ausschließlich die Vektoren nebst Prüf-Ergebnis — kein Rohtext, keine Absenderadresse.
Die Teilnahme ist je Postfach steuerbar; Postfächer im Modus „Strikt lokal“ nehmen nur nach
ausdrücklicher Zustimmung teil.
§ 3 Weisungsbindung
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte
Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet.
(2) Die Konfiguration des Dienstes durch den Verantwortlichen (z. B. angebundene Postfächer,
Aufbewahrungsdauer, Lokal-Option) gilt als dokumentierte Weisung.
(3) Der Auftragsverarbeiter informiert den Verantwortlichen, wenn er der Auffassung ist, dass eine Weisung
gegen Datenschutzrecht verstößt.
(4) Ist der Auftragsverarbeiter gesetzlich zu einer Übermittlung in ein Drittland verpflichtet, teilt er dem
Verantwortlichen diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht dies
nicht aus wichtigen Gründen des öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verpflichtung der Beschäftigten: Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet bzw. unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).
- Vertraulichkeit: Rollen- und Rechtekonzept, Mandantentrennung, Zugriffsbeschränkung auf das Need-to-know-Prinzip, verschlüsselte Speicherung der IMAP-Zugangsdaten (AES-256-GCM).
- Integrität: TLS-Transportverschlüsselung, Protokollierung sicherheitsrelevanter Vorgänge, Schutz vor unbefugter Veränderung.
- Datenminimierung bei externer KI: Vor-Anonymisierung personenbezogener Daten vor jeder Übermittlung an externe Modelle; unabhängige Fail-Closed-Kontrolle, die die Übermittlung bei Restdaten verhindert.
- Datenminimierung Selbstlernen: Für die Filter-Selbstverbesserung werden ausschließlich numerische Vektoren nebst Prüf-Ergebnis gespeichert (kein Rohtext, keine Absenderadresse); Inhalte werden zuvor anonymisiert. Die Umrechnung erfolgt mit einem selbst betriebenen Modell des maschinellen Lernens ausschließlich auf eigener Hardware in Berlin, ohne Beteiligung externer KI-Anbieter und ohne Drittlandsübermittlung. Die Teilnahme ist je Postfach, Nutzer und Gruppe steuerbar. Konten im Modus „Strikt lokal“ (Berufsgeheimnis) nehmen nicht teil, solange nicht das betroffene Postfach oder sein Nutzer ausdrücklich zustimmt; eine gruppen- oder kontoweite Voreinstellung schließt solche Postfächer nicht ein.
- Verfügbarkeit und Belastbarkeit: Server-Standort Deutschland, tägliche Backups, automatisches Monitoring und Wiederanlaufmechanismen.
- Verfahren zur Überprüfung und Bewertung: regelmäßige Überprüfung der Maßnahmen und der Spam-Erkennungslogik.
§ 5 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt allgemein den Einsatz der nachfolgenden Unterauftragsverarbeiter:
| Dienstleister | Zweck | Ort |
|---|---|---|
| netcup GmbH | Hosting / Infrastruktur | Deutschland |
| Anthropic PBC | KI-Klassifikation (vor-anonymisiert) — nur Modus „Höchste Erkennung" | USA (DPF / EU-SCC) |
| OpenAI | KI-Klassifikation (vor-anonymisiert) — nur Modus „Höchste Erkennung" | USA (DPF / EU-SCC) |
(1a) Modus „Strikt lokal": Wählt der Verantwortliche für ein Postfach oder gruppenweit den Modus „Strikt lokal", werden die vorgenannten KI-Unterauftragsverarbeiter (Anthropic, OpenAI) nicht eingesetzt; eine Übermittlung von Inhaltsdaten an externe KI-Anbieter oder in Drittländer findet dann nicht statt — die Verarbeitung verbleibt auf der deutschen/europäischen Infrastruktur des Auftragsverarbeiters. Dieser Modus ist für Berufsgeheimnisträger (§ 203 StGB — u. a. Rechtsanwälte, Ärzte, Steuerberater) vorgesehen. Die beim Auftragsverarbeiter mitwirkenden Personen sind zur Verschwiegenheit verpflichtet (§ 203 Abs. 4 StGB). Der Verantwortliche bleibt für die Beurteilung verantwortlich, ob eine Einbindung Dritter mit seinen berufsrechtlichen Pflichten vereinbar ist.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen rechtzeitig in Textform über beabsichtigte
Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche
kann einer Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen.
(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten
auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO), und bleibt dem Verantwortlichen gegenüber für
deren Einhaltung verantwortlich.
§ 6 Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO), bei der Gewährleistung der Sicherheit der Verarbeitung (Art. 32) sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 35–36).
§ 7 Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden und stellt die zur Erfüllung der Meldepflichten nach Art. 33/34 DSGVO erforderlichen Informationen bereit.
§ 8 Löschung und Rückgabe
Nach Abschluss der Verarbeitung löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht. IMAP-Zugangsdaten werden mit Beendigung der Anbindung gelöscht.
§ 9 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen beauftragten Prüfer in angemessenem, betrieblich verträglichem Rahmen nach vorheriger Ankündigung.
§ 10 Schlussbestimmungen
Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf die Datenverarbeitung vor. Es gilt deutsches Recht. Die Annahme erfolgt mit Abschluss des Hauptvertrags über SpamProtec.
Stand: Juni 2026 · SpamProtec · MessingerDesign GbR