Zum Inhalt springen
Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Stand: 01.11.2026Version 1.3

Inhalt
  1. Vertragsparteien und Präambel
  2. § 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung
  3. § 2 Weisungen
  4. § 3 Pflichten des Verantwortlichen
  5. § 4 Vertraulichkeit
  6. § 5 Technische und organisatorische Maßnahmen
  7. § 6 Zugriff auf Inhalte durch den Auftragsverarbeiter
  8. § 7 Unterauftragsverarbeiter
  9. § 8 Ort der Verarbeitung
  10. § 9 Rechte betroffener Personen
  11. § 10 Unterstützungspflichten und Meldung von Verletzungen
  12. § 11 Nachweise und Kontrollen
  13. § 12 Löschung und Rückgabe nach Vertragsende
  14. § 13 Haftung und Freistellung
  15. § 14 Zustandekommen, Laufzeit und Schlussbestimmungen
  16. Anlage 1 – Beschreibung der Verarbeitung
  17. Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
  18. Anlage 3 – Unterauftragsverarbeiter
Dieser Vertrag regelt, wie wir personenbezogene Daten verarbeiten, die du auf deinen Gameservern speicherst, etwa Daten deiner Spieler. Er ist Bestandteil unserer AGB und gilt mit jedem Vertrag über einen Gameserver, ohne dass du etwas unterschreiben musst.

Vertragsparteien und Präambel

#

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 DSGVO zwischen

dem Kunden, wie im ByteBlitz-Kundenkonto mit Name bzw. Firma, Anschrift und Kundennummer hinterlegt – nachfolgend „Verantwortlicher“ –

und

Zenesa GmbH, Schwalbenweg 16b, 48231 Warendorf, vertreten durch die Geschäftsführung, eingetragen im Handelsregister des Amtsgerichts Münster unter HRB 21576, handelnd unter der Marke ByteBlitz – nachfolgend „Auftragsverarbeiter“.

Datenschutzkontakt des Auftragsverarbeiters: legal@zenesa.de

Präambel. Der Verantwortliche nutzt Leistungen des Auftragsverarbeiters auf Grundlage des über byteblitz.de geschlossenen Vertrags und der AGB (nachfolgend „Hauptvertrag“). Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen (nachfolgend „Kundendaten“). Dieser AVV regelt die Pflichten der Parteien nach Art. 28 DSGVO. Begriffe haben die Bedeutung nach Art. 4 DSGVO.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

#
  1. Gegenstand ist die Bereitstellung und der Betrieb der im Hauptvertrag gebuchten Leistungen, insbesondere Gameserver in Containern auf dedizierten Servern in Deutschland oder Frankreich, die zugehörigen Datenbanken und Datensicherungen, die Verwaltungsfunktionen im Kundenbereich (Konsole, Dateimanager, Spielerverwaltung, öffentliche Serverseite) sowie der technische Support.
  2. Art der Verarbeitung: Speichern, Ausführen, Sichern und Wiederherstellen, Übertragen, Anzeigen, Ändern und Löschen auf Weisung des Verantwortlichen; Auswertung von Logs nur zur Fehlerdiagnose und im Support nach § 6.
  3. Zweck ist ausschließlich die Erbringung der Leistungen aus dem Hauptvertrag. Der Auftragsverarbeiter nutzt Kundendaten nicht für eigene Zwecke, insbesondere nicht für Werbung, nicht zum Verkauf und nicht zum Training von KI-Modellen.
  4. Art der Daten und Kreis der Betroffenen ergeben sich aus Anlage 1.
  5. Dauer: Der AVV gilt für die Laufzeit des Hauptvertrags; Löschung und Rückgabe regelt § 12.
  6. Abgrenzung. Nicht Gegenstand dieses AVV sind Verarbeitungen, für die der Auftragsverarbeiter selbst verantwortlich ist: Kundenkonto und Vertragsdaten, Abrechnung und Zahlung, Kommunikation mit dem Kunden, Sicherheitsprotokolle der Anmeldung am Kundenbereich, Missbrauchsabwehr, gesetzliche Aufbewahrung, Domainregistrierung sowie Website und Marketing von ByteBlitz. Darüber informiert die Datenschutzerklärung. Ebenfalls nicht erfasst sind Systeme des Verantwortlichen außerhalb der gebuchten Leistungen, etwa eine bei einem anderen Anbieter betriebene Website.

§ 2 Weisungen

#
  1. Der Auftragsverarbeiter verarbeitet die Kundendaten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats dazu verpflichtet (Art. 28 Abs. 3 lit. a DSGVO). In diesem Fall teilt er dem Verantwortlichen die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
  2. Die Weisungen sind abschließend festgelegt durch (a) den Hauptvertrag und diesen AVV, (b) die Nutzung der Funktionen im Kundenbereich, im Server-Panel, per SFTP oder API durch den Verantwortlichen oder von ihm berechtigte Unterbenutzer und (c) Einzelweisungen in Textform über das Support-Ticketsystem oder an legal@zenesa.de.
  3. Einzelweisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Änderungswunsch. Der Auftragsverarbeiter kann sie von einer angemessenen Vergütung abhängig machen oder ablehnen, wenn sie technisch nicht umsetzbar sind.
  4. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 3 Pflichten des Verantwortlichen

#
  1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 24 DSGVO). Dazu gehören insbesondere die Rechtsgrundlage, die Information der betroffenen Personen (Art. 13, 14 DSGVO), die Wahl der Software, Plugins und Mods auf seinem Server und deren Konfiguration, z. B. Log-Umfang und Aufbewahrungsdauer.
  2. Veröffentlicht der Verantwortliche Daten aus seinem Server oder gibt er sie an Dritte weiter, etwa auf einer eigenen Website, über eine Live-Karte, Plugins, Mods, Schnittstellen oder die öffentliche Serverseite, entscheidet er allein über die Zulässigkeit und trägt dafür die Verantwortung. Systeme außerhalb der gebuchten Leistungen sind nicht Gegenstand dieses AVV.
  3. Er legt fest, welche Daten auf dem Server gespeichert werden, und löscht sie selbst, wenn sie nicht mehr benötigt werden. Die dafür nötigen Werkzeuge (Dateimanager, SFTP, Konsole, Datenbankzugang, Backup-Verwaltung) stellt der Auftragsverarbeiter bereit.
  4. Er erteilt nur Weisungen, die mit dem Datenschutzrecht vereinbar sind. Besondere Kategorien personenbezogener Daten (Art. 9 und 10 DSGVO) speichert er auf den Servern nicht, sofern nichts anderes in Textform vereinbart ist.
  5. Er hält Zugangsdaten geheim, vergibt Rechte an Unterbenutzer nur im erforderlichen Umfang und aktiviert, wo angeboten, die Zwei-Faktor-Authentifizierung. Handlungen seiner Unterbenutzer muss er sich zurechnen lassen.
  6. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
  7. Ist der Verantwortliche seinerseits Auftragsverarbeiter eines Dritten, gilt dieser Vertrag als Unterauftragsverarbeitungsvertrag. Der Kunde stellt sicher, dass seine Weisungen denen des Dritten entsprechen.

§ 4 Vertraulichkeit

#

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

§ 5 Technische und organisatorische Maßnahmen

#
  1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO.
  2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie weiterentwickeln und durch gleichwertige ersetzen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er in Anlage 2.
  3. Der Auftragsverarbeiter stellt eine technische Infrastruktur bereit. Die Sicherheit der vom Verantwortlichen installierten Software, Plugins, Mods, Skripte und Zugangsdaten liegt beim Verantwortlichen.

§ 6 Zugriff auf Inhalte durch den Auftragsverarbeiter

#
  1. Im Regelbetrieb sieht der Auftragsverarbeiter die Inhalte der Kundenserver (Welten, Logs, Chat-Protokolle, Datenbanken) nicht ein. Automatisierte Vorgänge wie Backups, Überwachung von Ressourcen und Erreichbarkeit sowie Angriffserkennung verarbeiten Daten technisch, ohne dass Personen Kenntnis vom Inhalt nehmen.
  2. Personal des Auftragsverarbeiters greift auf Inhalte nur zu, wenn (a) der Verantwortliche es für einen Support-Fall anfordert, (b) es zur Abwehr einer Störung oder eines Sicherheitsvorfalls erforderlich ist oder (c) eine gesetzliche Pflicht besteht. Zugriffe nach (b) und (c) werden protokolliert; der Verantwortliche erhält darüber auf Anfrage Auskunft, soweit gesetzlich zulässig.

§ 7 Unterauftragsverarbeiter

#
  1. Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die in Anlage 3 genannten Unterauftragsverarbeiter gelten mit Abschluss dieses AVV als genehmigt.
  2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorher per E-Mail oder im Kundenbereich über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen.
  3. Bei einem Widerspruch suchen die Parteien eine einvernehmliche Lösung. Gelingt dies nicht, kann jede Partei die betroffene Leistung ohne Einhaltung einer Frist zum Wirksamwerden der Änderung kündigen; bereits gezahlte Entgelte für die Zeit danach werden anteilig erstattet.
  4. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen dafür, dass seine Unterauftragsverarbeiter diese Pflichten einhalten.
  5. Keine Unterauftragsverarbeitung sind Nebenleistungen ohne Zugriff auf Kundendaten, z. B. reine Telekommunikations- und Transitleistungen, sowie Dienstleister, die als eigene Verantwortliche handeln (z. B. Zahlungsdienstleister).

§ 8 Ort der Verarbeitung

#
  1. Gameserver und ihre Datenbanken werden in Rechenzentren in Deutschland oder Frankreich betrieben, Backups ausschließlich in Deutschland. Nur für die KI-gestützte Absturzanalyse und Support-Antworten nach Anlage 3 gehen Ausschnitte aus Konsole und Logs an Google, das Daten auch in den USA verarbeiten kann; die Übermittlung stützt sich auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework, hilfsweise auf die EU-Standardvertragsklauseln. Weitere Unterauftragsverarbeiter in Drittländern werden nicht eingesetzt. Bei den Abrufen nach Anlage 1 Abschnitt D werden Spielerkennungen an die Betreiber der Spieleplattformen übermittelt, die ihren Sitz auch außerhalb der EU haben können; diese Abrufe löst der Verantwortliche durch Nutzung der jeweiligen Funktion aus.
  2. Eine Verlagerung in ein Land außerhalb von EU und EWR erfordert die vorherige Information nach § 7 Abs. 2 und ist nur zulässig, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 9 Rechte betroffener Personen

#
  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO). Im Regelfall erfüllt der Verantwortliche diese selbst über die bereitgestellten Werkzeuge, z. B. durch Suchen, Exportieren oder Löschen von Spielerdaten im Dateimanager.
  2. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, sofern der Verantwortliche ihn nicht dazu anweist.

§ 10 Unterstützungspflichten und Meldung von Verletzungen

#
  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung, Benachrichtigung, Datenschutz-Folgenabschätzung, vorherige Konsultation).
  2. Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich nach Kenntnis, möglichst innerhalb von 24 Stunden, an die im Kundenkonto hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht.
  3. Er ergreift unverzüglich Maßnahmen zur Eindämmung und dokumentiert den Vorfall. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen bleiben Sache des Verantwortlichen.
  4. Werden Kundendaten durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich, soweit gesetzlich zulässig. Er weist die Dritten darauf hin, dass die Verantwortung für die Daten beim Verantwortlichen liegt.
  5. Unterstützungsleistungen, die nicht auf einem Verstoß des Auftragsverarbeiters beruhen und über das Übliche hinausgehen, kann der Auftragsverarbeiter nach vorheriger Vereinbarung mit dem Verantwortlichen nach Aufwand abrechnen.

§ 11 Nachweise und Kontrollen

#
  1. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind, vorrangig durch diesen AVV mit seinen Anlagen, Selbstauskünfte und Zertifikate oder Prüfberichte der Rechenzentrumsbetreiber.
  2. Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche eine Prüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, unabhängigen Prüfer durchführen lassen. Sie ist mindestens 30 Tage vorher anzukündigen, findet während der Geschäftszeiten statt, stört den Betrieb nicht und berührt keine Daten anderer Kunden.
  3. Eine Vor-Ort-Prüfung der Rechenzentren der Unterauftragsverarbeiter ist ausgeschlossen, soweit der Auftragsverarbeiter deren aktuelle Zertifikate (z. B. ISO/IEC 27001) und Prüfberichte vorlegt; sie treten dann an die Stelle der Prüfung.
  4. Der Verantwortliche trägt die Kosten von Prüfungen, es sei denn, die Prüfung deckt einen erheblichen Verstoß des Auftragsverarbeiters auf.
  5. Der Auftragsverarbeiter arbeitet auf Anfrage mit der Aufsichtsbehörde zusammen (Art. 31 DSGVO). Er informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.

§ 12 Löschung und Rückgabe nach Vertragsende

#
  1. Bis zum Ende des Hauptvertrags kann der Verantwortliche alle Kundendaten selbst herunterladen (Dateimanager, SFTP, Backup-Download, Datenbank-Export); das ist die Rückgabe im Sinne von Art. 28 Abs. 3 lit. g DSGVO. Für einen Anbieterwechsel gilt § 17 der AGB.
  2. Bei Vertragsende wird der Server gesperrt. Die Kundendaten bleiben 10 Tage für eine mögliche Verlängerung erhalten und werden danach automatisch gelöscht, während eines Anbieterwechsels erst nach den Fristen aus § 17 der AGB.
  3. Mit dem Server werden seine Backups gelöscht; Kopien in internen System-Sicherungen sind spätestens 60 Tage danach überschrieben.
  4. Statistiken der öffentlichen Serverseite und Spielerkennungen in Protokolleinträgen des Kundenkontos werden mit dem Server gelöscht oder anonymisiert.
  5. Eine längere Speicherung erfolgt nur, soweit eine gesetzliche Pflicht besteht. Die Löschung wird auf Anfrage in Textform bestätigt.

§ 13 Haftung und Freistellung

#
  1. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Danach haftet der Auftragsverarbeiter nur, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung oder gegen rechtmäßig erteilte Weisungen des Verantwortlichen gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO).
  2. Im Verhältnis der Parteien zueinander trägt der Verantwortliche die Schäden, die auf seinen Entscheidungen über Zwecke und Mittel der Verarbeitung beruhen (Art. 82 Abs. 5 DSGVO). Dazu gehören insbesondere Schäden aus fehlender Rechtsgrundlage, unterlassener Information der Betroffenen, seinen Weisungen, der Auswahl und Konfiguration von Software, Plugins und Mods sowie der Veröffentlichung oder Weitergabe von Daten nach § 3 Abs. 2.
  3. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen betroffener Personen und sonstiger Dritter frei, die auf einer schuldhaften Verletzung seiner Pflichten aus diesem AVV oder dem Datenschutzrecht beruhen. Die Freistellung umfasst die angemessenen Kosten der Rechtsverteidigung sowie Kosten aus Verfahren einer Aufsichtsbehörde, die der Verantwortliche verursacht hat. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über solche Ansprüche und gibt ihm Gelegenheit zur Stellungnahme.
  4. Im Übrigen gelten für die Haftung des Auftragsverarbeiters gegenüber dem Verantwortlichen die Haftungsregeln des Hauptvertrags. Unberührt bleibt die Haftung für Vorsatz, grobe Fahrlässigkeit, die Verletzung von Leben, Körper oder Gesundheit und nach zwingenden gesetzlichen Vorschriften.

§ 14 Zustandekommen, Laufzeit und Schlussbestimmungen

#
  1. Dieser AVV ist Bestandteil der AGB und kommt mit jedem Vertrag über einen Gameserver zustande, der ab dem 31. Oktober 2026 geschlossen oder verlängert wird. Für einen früher geschlossenen Vertrag kommt er zustande, sobald der Verantwortliche ihn in Textform annimmt, etwa per Support-Ticket oder an legal@zenesa.de; er gilt dann für alle Verarbeitungen seit Beginn des Hauptvertrags. Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragsverarbeiter Kundendaten verarbeitet.
  2. Bei Widersprüchen geht dieser AVV dem Hauptvertrag in Fragen des Datenschutzes vor.
  3. Änderungen und Ergänzungen bedürfen der Textform. Der Auftragsverarbeiter kann diesen AVV und seine Anlagen ändern, wenn dies wegen geänderter Rechtslage oder geänderter Leistungen erforderlich ist und das Schutzniveau nicht sinkt; § 7 Abs. 2 und 3 gilt entsprechend.
  4. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam. An die Stelle der unwirksamen Bestimmung tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.
  5. Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz des Auftragsverarbeiters.

Anlage 1 – Beschreibung der Verarbeitung

#

Welche Daten tatsächlich anfallen, bestimmt der Verantwortliche durch Spiel, Plugins, Mods und deren Konfiguration. Die Aufzählung nennt die typischen Fälle.

A. Betroffene Personen

  • Spieler und Besucher der Server des Verantwortlichen
  • Mitglieder seiner Community, deren Daten Plugins oder Mods speichern (z. B. verknüpfte Discord-Konten)
  • weitere Personen, deren Daten der Verantwortliche auf dem Server ablegt

B. Kategorien personenbezogener Daten

  • Spielerkennungen: Spielernamen, UUIDs, SteamIDs und andere Plattform-IDs
  • Verbindungsdaten: IP-Adressen, Verbindungs- und Trennungszeitpunkte in Server-Logs
  • Kommunikation: Chat-Nachrichten und eingegebene Befehle
  • Spieldaten: Spielstände, Inventare, Positionen, Startpunkte, beanspruchte Gebiete, Statistiken und Fortschritte
  • Verwaltungsdaten: Whitelist, Operatoren, Berechtigungen, Sperren mit Begründung
  • alle weiteren Inhalte von Dateien und Datenbanken, die der Verantwortliche hochlädt oder erzeugen lässt

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung.

C. Verarbeitungsvorgänge

VorgangDatenOrtSpeicherdauer
Betrieb des Gameserversalle Serverdateien, Welten, LogsGameserver-Node, Deutschland oder Frankreichbis zur Löschung durch den Verantwortlichen, spätestens § 12
Datenbanken des ServersInhalte der KundendatenbankenDatenbankdienst auf dem Gameserver-Nodewie oben
Automatische System-BackupsContainer-Archiv und Datenbank-Dumpsgetrennter Backup-Speicher, Deutschland7 Tagesstände; nach Serverlöschung höchstens 60 Tage
Backups des Verantwortlichenwie Gameservergetrennter Backup-Speicher, Deutschlandbis zur Löschung durch den Verantwortlichen, spätestens 60 Tage nach Löschung des Servers
Konsole und Logs im KundenbereichKonsolenausgaben mit Namen, Chat, IP-Adressenals Logdateien auf dem Gameserver und in dessen Backups; der Kundenbereich leitet die Live-Konsole nur durch; über die API gesendete Befehle im AktivitätsprotokollLogdateien wie Gameserver und Backups; Protokolleinträge bis zur Löschung des Servers
Spielerverwaltung (Kick, Sperre, Whitelist, Operatoren, Spielerdaten-Editor, Online-Status)Spielerkennungen und Spielerdateienauf dem Gameserver; Spielerkennung der Aktion im AktivitätsprotokollOnline-Status nur im Arbeitsspeicher (max. 6 Stunden); Protokolleinträge bis zur Löschung des Servers
Öffentliche Serverseite servers.byteblitz.de, nur nach AktivierungOnline-Spieler, Statistiken und Bestenliste; optional Positionen und Gruppenfoto mit Namen und SkinsStatistiken in der ByteBlitz-Datenbank, öffentlich abrufbarbis zur Deaktivierung, spätestens mit dem Server
Absturzerkennungbis zu 350 Konsolenzeilen bei einem Absturzinterner Workflow-Server, Deutschlandca. 3 Stunden

D. Empfänger, die keine Auftragsverarbeiter sind

Einzelne Funktionen fragen öffentliche Profildaten bei den jeweiligen Spieleplattformen ab. Dabei wird die Spielerkennung an den Plattformbetreiber übermittelt.

  • Minecraft-Skins und -UUIDs: Mojang/Microsoft und GeyserMC, über einen eigenen Zwischendienst von ByteBlitz
  • Steam-Profile: Valve (Steam Web API), mit SteamIDs
  • Hytale-Profile: playerdb.co und crafthead.net, direkt aus dem Browser des Nutzers
  • Server-Statusabfragen laufen über eigene Dienste von ByteBlitz

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

#

Die Maßnahmen gelten für alle Systeme, auf denen Kundendaten verarbeitet werden. Die Übersicht beschreibt sie je Schutzziel; eine ausführlichere Beschreibung erhält der Verantwortliche auf Anfrage nach § 11 Abs. 1.

1. Vertraulichkeit

Zutrittskontrolle

  • Alle Server stehen in ISO/IEC-27001-zertifizierten Rechenzentren der Hetzner Online GmbH in Deutschland und der OVH SAS in Frankreich, mit Zutrittskontrolle, Videoüberwachung und Personal rund um die Uhr.
  • Personal des Auftragsverarbeiters hat keinen physischen Zugang zu den Servern.

Zugangskontrolle

  • Administrativer Zugang zu den Systemen nur für berechtigtes Personal, über verschlüsselte Verbindungen und mit mehrstufiger Authentifizierung.
  • Kundenbereich mit sicher gespeicherten Zugangsdaten, Zwei-Faktor-Authentifizierung für Kunden und Schutz gegen automatisierte Anmeldeversuche.
  • Zwei-Faktor-Authentifizierung ist für alle Administratorkonten Pflicht.

Zugriffskontrolle

  • Rollen- und Berechtigungskonzept nach dem Erforderlichkeitsprinzip.
  • Unterbenutzer erhalten Zugriff nur per Einladung und je Funktion.
  • Support-Zugriffe auf Kundenkonten sind zeitlich begrenzt und werden protokolliert.

Trennungskontrolle

  • Jeder Gameserver läuft isoliert in einem eigenen Container mit eigenen Ressourcengrenzen und eigenen Datenbanken.
  • Backups liegen auf einem vom Gameserver getrennten Speichersystem.

Datenminimierung

  • Datenschutzfreundliche Voreinstellungen: Die öffentliche Serverseite ist standardmäßig aus; einzelne Bereiche müssen gesondert aktiviert werden.

2. Integrität

Weitergabekontrolle

  • Verbindungen zum Kundenbereich, zur API, zum Server-Panel und zwischen den Systemen sind verschlüsselt; Dateizugriff über SFTP.

Eingabekontrolle

  • Aktionen im Kundenbereich und administrative Zugriffe werden protokolliert.

3. Verfügbarkeit, Belastbarkeit und Wiederherstellbarkeit

  • Tägliche automatische Backups auf getrenntem Speicher; Wiederherstellung und Download durch den Kunden im Kundenbereich.
  • Zusätzliche, vom Kunden gesteuerte Backups.
  • DDoS-Abwehr.
  • Laufende Überwachung der Systeme und Dienste mit Alarmierung und automatischer Fehlerbehebung.
  • Regelmäßige Sicherheitsupdates.
  • Ressourcenkontingente verhindern, dass ein Kunde andere beeinträchtigt.

4. Regelmäßige Überprüfung und Organisation

  • Regelmäßige Überprüfung der Maßnahmen und Sicherheitsprüfungen; gefundene Schwachstellen werden nach Schwere behoben.
  • Verfahren für Datenschutzvorfälle nach § 10.
  • Personal ist auf Vertraulichkeit verpflichtet und zum Datenschutz unterwiesen.
  • Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO.

Anlage 3 – Unterauftragsverarbeiter

#

Bis auf Google, das nur auf Veranlassung des Verantwortlichen tätig wird, verarbeiten alle Unterauftragsverarbeiter Kundendaten ausschließlich in der EU. Backups liegen auch für Gameserver in Frankreich ausschließlich bei Hetzner in Deutschland.

UnterauftragsverarbeiterLeistungOrt der Verarbeitung
Hetzner Online GmbH, Industriestr. 25, 91710 GunzenhausenRechenzentrum und dedizierte Server (Gameserver, Panel, Kundenbereich, Verwaltungs- und Support-Systeme), Backup-Speicher (Storage Box)Deutschland
OVH SAS, 2 rue Kellermann, 59100 RoubaixRechenzentrum und dedizierte Server (Gameserver)Frankreich
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland, mit Google LLC, USAKI-gestützte Absturzanalyse und Support-Antworten (Gemini API): Ausschnitte aus Konsole und Logs, nur wenn der Verantwortliche die Analyse startet oder ein Support-Ticket stellt; Zugangsdaten und IP-Adressen der Spieler werden vorher entferntEU und USA (EU-US Data Privacy Framework)

Keine Unterauftragsverarbeiter im Sinne von § 7 Abs. 5 sind insbesondere Zahlungsdienstleister wie Mollie, Domain-Registrare und Registries sowie die in Anlage 1 Abschnitt D genannten Spieleplattformen.