Auftragsverarbeitungsvertrag (AVV)

Wenn du auf deinem Server, deinem Bot, deinem Webspace, deinem Deploy-Projekt, deiner Datenbank oder deinem vServer personenbezogene Daten anderer Menschen speicherst – Spielerdaten, Nutzer deiner Website, Mitglieder deines Discord-Servers –, bist du dafür verantwortlich und CitexNode verarbeitet diese Daten in deinem Auftrag. Dieser Vertrag regelt das nach Art. 28 DSGVO.

Er gilt automatisch für jedes Konto, sobald du einen Dienst bestellst, und ist Teil der AGB. Du musst nichts unterschreiben. Brauchst du für deine Unterlagen eine unterschriebene Fassung, schreib uns ein Ticket; wir schicken sie dir als PDF.

1. Parteien#

• Verantwortlicher: du als Inhaber des Kunden-Kontos („Kunde“).
• Auftragsverarbeiter: Phillipp Jäger, CitexNode, Karl-Liebknecht-Ring 2, 06679 Hohenmölsen, Deutschland, info@citexnode.de („CitexNode“).

2. Gegenstand und Dauer#

Gegenstand ist das Bereitstellen und Betreiben der Dienste, die du bei CitexNode bestellst: Game-Server, Discord-Bots, TeamSpeak-Musikbots, Webspace, CitexNode Deploy (Websites, Apps, Datenbanken, Dateispeicher), MySQL-Datenbanken, vServer und Cloud-Server. CitexNode speichert, sichert und stellt die Daten bereit, die du dort ablegst oder die deine Anwendungen dort erzeugen.

Der Vertrag läuft, solange du Dienste nutzt, und endet mit dem letzten Dienst bzw. mit der Löschung deines Kontos. Pflichten, die über das Ende hinaus gelten (Löschung, Nachweis, Vertraulichkeit), bleiben bestehen.

3. Art der Daten und Betroffene#

Welche Daten auf deinen Diensten liegen, bestimmst du; CitexNode sieht in der Regel nicht hinein. Typischerweise sind es:

• Datenarten: Namen, Benutzernamen, Spieler- und Account-IDs, E-Mail-Adressen, IP-Adressen und Logdaten, Chat- und Forenbeiträge, Inhalte von Datenbanken und Dateien, die deine Anwendung speichert.
• Betroffene: Nutzer deiner Server, Websites und Bots, Spieler, Mitglieder, Besucher, Kunden und Beschäftigte von dir.

Besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten) sind nicht vorgesehen. Willst du solche Daten verarbeiten, sprich uns vorher an.

4. Weisungen#

CitexNode verarbeitet die Daten nur auf deine dokumentierte Weisung. Weisungen sind die Einstellungen und Aktionen, die du im Dashboard, über die API oder per Ticket auslöst, sowie dieser Vertrag und die AGB. Hält CitexNode eine Weisung für rechtswidrig, sagt CitexNode dir das unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

Eine Verarbeitung außerhalb deiner Weisung gibt es nur, wenn ein Gesetz sie verlangt (Art. 28 Abs. 3 lit. a DSGVO). Dann informiert CitexNode dich vorher, soweit das Gesetz es nicht verbietet.

5. Vertraulichkeit#

Wer bei CitexNode Zugriff auf deine Daten hat, ist auf Vertraulichkeit verpflichtet. Einen Zugriff durch den Support gibt es nur für den Betrieb, für deine Support-Anfrage oder zur Abwehr von Missbrauch; jeder solche Zugriff erscheint in deinem Aktivitätsprotokoll (siehe Datenschutzerklärung, „Zugriff durch den Support“).

6. Technische und organisatorische Maßnahmen#

CitexNode trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 stehen. Sie dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter#

Du erlaubst CitexNode, die Unterauftragsverarbeiter einzusetzen, die auf der Seite Unterauftragsverarbeiter stehen. CitexNode verpflichtet jeden davon vertraglich auf dasselbe Schutzniveau wie dieser Vertrag.

Kommt ein neuer Unterauftragsverarbeiter dazu oder wird einer ersetzt, kündigt CitexNode das mindestens 14 Tage vorher auf dieser Seite und per Hinweis im Dashboard an. Du kannst in dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; lässt sich keine Lösung finden, kannst du die betroffenen Dienste ohne Kosten kündigen und bekommst nicht verbrauchtes Guthaben für diese Dienste anteilig gutgeschrieben.

Dienste, die du selbst bei Dritten einbindest (zum Beispiel einen Cloudflare-Proxy vor deinem Deploy-Projekt oder einen externen Mailversand in deiner Anwendung), sind keine Unterauftragsverarbeiter von CitexNode; das Vertragsverhältnis dazu hast du selbst.

8. Unterstützung bei Betroffenenrechten und Pflichten#

CitexNode unterstützt dich mit den Mitteln des Dashboards, der API und per Ticket dabei, Anfragen Betroffener zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit) und deine Pflichten aus Art. 32 bis 36 DSGVO zu erfüllen. Wendet sich eine betroffene Person direkt an CitexNode, leitet CitexNode die Anfrage an dich weiter und beantwortet sie nicht selbst.

9. Meldung von Verletzungen#

Stellt CitexNode eine Verletzung des Schutzes deiner Daten fest, meldet CitexNode dir das unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den Angaben, die du für deine eigene Meldung nach Art. 33 DSGVO brauchst, soweit sie vorliegen. Störungen ohne Datenbezug stehen wie bisher auf status.citexnode.com (öffnet in neuem Tab).

10. Löschung und Rückgabe#

Deine Daten kannst du jederzeit selbst herunterladen (Dateimanager, SFTP, Datenbank-Export, Backups). Endet ein Dienst, löscht CitexNode die Daten dieses Dienstes nach Ablauf der Schonfrist, die in den AGB steht; mit der Kontolöschung sofort. Davon ausgenommen sind Daten, die CitexNode gesetzlich aufbewahren muss (Buchungsdaten), und Sicherungen der Plattform-Datenbank, die nach ihrer Frist (höchstens 30 Tage) von selbst verfallen.

11. Nachweise und Kontrollen#

CitexNode stellt dir die Informationen bereit, die du zum Nachweis brauchst, und beantwortet Fragen dazu per Ticket. Kontrollen vor Ort sind nach Absprache möglich, mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Gefährdung der Daten anderer Kunden; den Aufwand dafür trägst du, es sei denn, die Kontrolle deckt einen Verstoß von CitexNode auf.

12. Ort der Verarbeitung#

Die Verarbeitung findet in Deutschland bzw. in der EU statt. Eine Übermittlung in ein Drittland erfolgt nur mit den Garantien der Art. 44 ff. DSGVO und nur, wenn sie auf der Seite der Unterauftragsverarbeiter genannt ist.

13. Haftung und Schlussbestimmungen#

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regeln der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag für den Schutz personenbezogener Daten vor. Ist eine Bestimmung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht.

---

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)#

Vertraulichkeit#

• Rechenzentren: Die Server stehen in professionellen Rechenzentren mit Zutrittskontrolle (Firstcolo Frankfurt am Main über Tausio, IONOS). CitexNode hat keinen eigenen physischen Zugang.
• Zugang zu den Servern: nur per SSH-Schlüssel, Anmeldung mit Passwort ist abgeschaltet. Zugang haben nur der Inhaber und von ihm beauftragte Personen.
• Zugriff aufs Dashboard: Passwörter als Argon2id-Hash, Sitzungen in httpOnly-Cookies, Anmeldebenachrichtigung bei neuen Geräten, Rate-Limits und eine IP-Sperrliste gegen Angriffe auf die Anmeldung.
• Rechte: Rollen und Rechte je Mitglied eines Servers; persönliche API-Token nur mit festgelegtem Umfang (lesen/schreiben), die Konto, Geld, Bestellungen und Löschungen nie erreichen.
• Trennung: Jeder Dienst läuft in einem eigenen Container bzw. einer eigenen virtuellen Maschine. Container laufen ohne Root-Rechte, ohne zusätzliche Privilegien und mit Grenzen für CPU, Speicher und Prozesse. vServer sind durch eine Firewall gegen das Übernehmen fremder IP-Adressen geschützt.
• Support-Zugriffe: nur für den Betrieb, deine Anfrage oder gegen Missbrauch; jeder Zugriff wird protokolliert und in deinem Aktivitätsprotokoll angezeigt.

Integrität#

• Übertragung: Dashboard, API und Statusseite nur über HTTPS. Sicherungen gehen verschlüsselt (SSH) zum zweiten Anbieter; die Server des Deploy-Clusters sprechen über WireGuard miteinander.
• Protokollierung: Änderungen an Konten, Diensten und Rechten landen in einem Audit-Log.
• Geheimnisse: Zugangsdaten, die CitexNode für dich aufbewahrt (z. B. das erste Root-Passwort eines vServers), liegen verschlüsselt in der Datenbank.

Verfügbarkeit und Belastbarkeit#

• Sicherungen der Plattform: Die Plattform-Datenbank wird täglich gesichert und auf ihre Unversehrtheit geprüft; eine Kopie liegt bei einem zweiten Anbieter an einem anderen Ort, 30 Tage lang, auf einem Ziel, auf das der Sicherungsvorgang nur schreiben, aber nichts lesen oder löschen kann.
• Sicherungen deiner Dienste: Backups legst du im Dashboard selbst an; sie liegen auf derselben Node wie der Dienst. Für eine zusätzliche Sicherung an einem anderen Ort bist du selbst zuständig.
• Betrieb: Datenbanken und Dateispeicher von CitexNode Deploy sind über mehrere Server gespiegelt. Netzschutz gegen Überlastungsangriffe auf den Game-Server-Nodes. Überwachung aller Dienste mit öffentlicher Statusseite.
• Wiederherstellung: Die Rücksicherung der Plattform-Datenbank ist erprobt und wird nach größeren Änderungen wiederholt.

Verfahren zur Überprüfung#

• Sicherheitsupdates der Server werden zeitnah eingespielt; kritische Lücken mit Vorrang und Ankündigung auf der Statusseite.
• Die Maßnahmen werden bei Änderungen der Infrastruktur überprüft und diese Anlage dann angepasst.
• Datenschutzorganisation: Ansprechpartner ist der Inhaber, erreichbar unter info@citexnode.de. Ein Datenschutzbeauftragter ist nach § 38 BDSG nicht zu benennen.