Backuphaus

Auftragsverarbeitungsvertrag

Stand: 07.11.2026

zwischen

dem Kunden (Verantwortlicher)

und

Deschalet UG (haftungsbeschränkt), August-Hanken-Straße 24, 26125 Oldenburg, vertreten durch Friedrich Stenschke (Auftragsverarbeiter),

über den Dienst Backuphaus.

Der Vertrag wird bei der Einrichtung des Kundenkontos durch eine Checkbox angenommen. Eine zusätzliche unterzeichnete Fassung kannst Du unter support@backuphaus.de anfordern. Er gilt für backuphaus.de und app.backuphaus.de und geht den AGB vor, soweit es um die Auftragsverarbeitung geht.

1. Gegenstand und Dauer

Deschalet verarbeitet personenbezogene Daten nur, um die beauftragte Sicherung von Gmail, Google Drive einschließlich geteilter Ablagen, Google Kalender und Google Kontakten zu erbringen, einschließlich Suche, Export, Wiederherstellung und der dafür nötigen Metadaten.

Art der Daten: Namen, E-Mail-Adressen, Nachrichteninhalte, Dateiinhalte, Termine, Kontaktdaten und die dazugehörigen Metadaten, soweit sie im Schutzumfang liegen. Abrechnungsdaten des Kundenvertrags verarbeitet Deschalet als eigener Verantwortlicher, nicht als Inhalt der Workspace-Sicherung.

Betroffene: Nutzer der Workspace-Organisation des Kunden und Personen, deren Daten in den gesicherten Inhalten stehen.

Dauer: für die Laufzeit des Vertrags. Nach dem Vertragsende bleiben vorhandene Sicherungen 30 Kalendertage für den Abruf verfügbar. Danach werden die produktiven Sicherungen und nicht mehr benötigten Verbindungsdaten gelöscht. Eine frühere, ausdrückliche und zulässige Löschweisung bleibt möglich. Gesetzliche Aufbewahrungspflichten für Rechnungen und Geschäftsbriefe bleiben unberührt und erstrecken sich nicht auf die Workspace-Inhalte.

2. Weisungen

Deschalet verarbeitet die Sicherungsdaten nur auf dokumentierte Weisung des Kunden. Die Nutzung des Dienstes nach den AGB und diesem Vertrag ist die Weisung. Gesetzliche Pflichten, die eine weitere Verarbeitung verlangen, teilt Deschalet dem Kunden mit, soweit das Recht das erlaubt.

3. Personal und Vertraulichkeit

Personen mit Zugriff sind auf Vertraulichkeit verpflichtet. Der Zugriff ist auf das beschränkt, was Vertrag und Weisung erfordern.

4. Technische und organisatorische Maßnahmen

Der Kunde kann die aktuelle Fassung unter support@backuphaus.de anfordern. Die Kurzfassung steht im Anhang B.

5. Unterauftragsverarbeiter

Der Kunde stimmt den im Anhang A genannten Unterauftragsverarbeitern zu. Einen Wechsel teilt Deschalet in Textform mit. Der Kunde kann innerhalb von 14 Tagen widersprechen. Dann suchen beide Seiten eine zumutbare Lösung. Gelingt das nicht, kann der Kunde den Vertrag zum Ende des laufenden Abrechnungszeitraums kündigen.

6. Unterstützung, Löschung und Nachweis

Deschalet unterstützt den Kunden bei Betroffenenrechten und bei der Meldung von Verletzungen, soweit die Informationen vorliegen. Nach Ablauf der 30-tägigen Abrufphase werden die produktiven Sicherungsdaten gelöscht, sofern keine gesetzliche Pflicht entgegensteht. Isolierte verschlüsselte Datenbanksicherungen in Frankfurt werden rollierend spätestens 30 Tage nach ihrer Erstellung gelöscht.

Deschalet stellt die Informationen bereit, die der Kunde für den Nachweis nach Art. 28 DSGVO braucht. Vor-Ort-Prüfungen nur nach Absprache, während der üblichen Geschäftszeiten und ohne Zugriff auf Daten anderer Kunden.

Anhang A: Unterauftragsverarbeiter

Anbieter Leistung Ort
IONOS SE Betrieb von Website, Anwendung, API und PostgreSQL sowie Object Storage der Sicherungsobjekte Deutschland. Produktivsysteme Berlin. Betriebliche Datenbanksicherungen Frankfurt, eu-central-4.
Google Anmeldung und Google-Workspace-APIs als Quelle der Daten. Keine Speicherung der Sicherungsinhalte bei Google durch Deschalet. Die Verarbeitung richtet sich nach den Bedingungen, die der Kunde mit Google geschlossen hat. Nach den Google-Bedingungen, einschließlich möglicher Verarbeitung in der EU und in den USA.
Stripe Payments Europe, Ltd. Zahlung, Abonnement und Rechnungen. Keine Workspace-Sicherungsinhalte. Irland, mit möglicher Verarbeitung in den USA auf Grundlage der EU-Standardvertragsklauseln.

Anhang B: Technische und organisatorische Maßnahmen, Kurzfassung

  • Zugriff nur für das Betriebspersonal von Deschalet, getrennte Konten, Anmeldung mit einem zweiten Faktor, soweit das Konto das hergibt.
  • Trennung der Kunden über die serverseitige Mandantenkennung. Kunden können Mandanten- und Abrechnungsfelder nicht selbst schreiben.
  • Ein Bucket je Kunde für die Sicherungsobjekte. Buckets sind nicht öffentlich.
  • Refresh-Token und der Mandanten-Datenschlüssel werden mit AES-256-GCM geschützt. Der Schlüssel stammt aus einem Secret und liegt nicht im Quellcode.
  • Neue Sicherungsobjekte werden mit einem eigenen Datenschlüssel verschlüsselt, der mit einem Schlüssel des Mandanten umhüllt ist.
  • Übertragung über TLS.
  • Protokolle ohne Geheimnisse. Technische Protokolle regelmäßig höchstens 14 Tage, außer einem gesondert gesicherten Auszug eines konkreten Vorfalls.
  • Metadaten der Anwendung liegen in PostgreSQL in Berlin. Betriebliche Datenbanksicherungen liegen verschlüsselt in Frankfurt und werden rollierend nach höchstens 30 Tagen gelöscht.
  • Nach Vertragsende: 30 Kalendertage Abruf, danach Löschung der produktiven Sicherungen. Notfallkontakt: support@backuphaus.de.