Auftragsverarbeitungsvereinbarung

11.08.2026

Diese Vereinbarung nach Art. 28 DSGVO wird zwischen dir als Kunden und uns geschlossen, sobald auf deinem Server personenbezogene Daten anderer Personen verarbeitet werden. Sie ist Bestandteil der Allgemeinen Geschäftsbedingungen und bedarf keiner gesonderten Unterschrift.

Warum es diese Vereinbarung gibt

Betreibst du einen Server, auf dem andere Menschen spielen, entstehen dort Daten über diese Menschen: Spielernamen, Spieler-IDs, IP-Adressen, Chatprotokolle, Verbindungszeiten. Datenschutzrechtlich bist du dafür der Verantwortliche — du entscheidest, dass es diesen Server gibt, wer darauf spielt und was protokolliert wird.

Wir stellen nur die Maschine bereit, auf der das läuft. Damit sind wir dein Auftragsverarbeiter, und die DSGVO verlangt dafür einen Vertrag. Das ist dieser hier.

Er schützt vor allem dich: ohne ihn wäre die Verarbeitung auf deinem Server formal rechtswidrig, und zwar unabhängig davon, wie sorgfältig wir beide arbeiten.

1. Gegenstand, Dauer und Zweck

Gegenstand ist die Bereitstellung und der Betrieb von Game-Servern samt zugehöriger Verwaltungs-, Sicherungs- und Supportleistungen.

Zweck der Verarbeitung ist ausschließlich die Erbringung dieser Leistung. Wir verfolgen mit den Daten auf deinem Server keine eigenen Zwecke.

Dauer: die Vereinbarung läuft, solange der zugrundeliegende Vertrag über den Server besteht.

2. Art der Daten und betroffene Personen

Kategorien personenbezogener Daten (je nach Spiel und Konfiguration deines Servers):

• Spielernamen und Spielerkennungen (UUIDs, Gamertags, Konto-IDs)
• IP-Adressen und Verbindungszeitpunkte
• Chat-, Konsolen- und Ereignisprotokolle
• Spielstände und spielbezogene Daten, die einzelnen Spielern zugeordnet sind
• Inhalte von Berechtigungs-, Whitelist-, Operator- und Sperrlisten
• alles Weitere, was du selbst oder eine von dir installierte Erweiterung auf dem Server ablegt

Kategorien betroffener Personen: die Spielerinnen und Spieler auf deinem Server sowie die Personen, denen du administrative Rechte eingeräumt hast.

3. Weisungsbindung

Wir verarbeiten die Daten auf deinem Server ausschließlich auf deine dokumentierte Weisung. Als Weisung gilt der Vertrag selbst sowie die Einstellungen, die du im Kundenbereich vornimmst; weitergehende Weisungen erteilst du in Textform an privacy@mcbalkan.xyz.

Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werten wir die Inhalte deines Servers nicht aus, erstellen daraus keine Profile und geben sie nicht an Dritte weiter.

Sind wir gesetzlich zu einer Verarbeitung verpflichtet, informieren wir dich vorher, sofern das Gesetz das nicht verbietet.

Halten wir eine Weisung für rechtswidrig, sagen wir es dir und dürfen ihre Ausführung aussetzen, bis du sie bestätigst oder änderst.

4. Vertraulichkeit

Zugriff auf die Systeme hat ausschließlich der Inhaber; es gibt keine Mitarbeiter. Sollte sich das ändern, werden alle Zugriffsberechtigten vorab schriftlich zur Vertraulichkeit verpflichtet und in ihre Pflichten eingewiesen. Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

5. Sicherheit der Verarbeitung

Wir treffen die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und überprüfen sie regelmäßig. Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

Du erteilst hiermit eine allgemeine Genehmigung für den Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter.

Für sie gilt:

• Wir schließen mit jedem von ihnen einen Vertrag, der ihm mindestens dieselben Pflichten auferlegt, die uns hier treffen.
• Wir informieren dich mindestens 30 Tage vorher per E-Mail über die Aufnahme eines neuen oder den Austausch eines bestehenden Unterauftragsverarbeiters.
• Du kannst innerhalb dieser Frist aus einem sachlichen, datenschutzbezogenen Grund widersprechen. Können wir den Einwand nicht ausräumen, kannst du den Vertrag außerordentlich und kostenfrei kündigen; nicht verbrauchtes Guthaben zahlen wir aus.

Reine Nebenleistungen — Telekommunikation, Post, Wartung von Endgeräten — gelten nicht als Unterauftragsverarbeitung.

7. Ort der Verarbeitung

Die Verarbeitung findet in Rechenzentren in Deutschland statt. Die Daten deines Servers, einschließlich der Sicherungskopien, verlassen die Europäische Union nicht.

Bei den in Anlage 3 gekennzeichneten Diensten mit Sitz außerhalb der EU kann es zu einer Verarbeitung in einem Drittland kommen. Diese stützt sich auf die Standardvertragsklauseln der EU-Kommission und, soweit einschlägig, auf einen Angemessenheitsbeschluss. Die Inhalte deines Servers sind davon nicht betroffen.

8. Unterstützung bei den Rechten der Betroffenen

Wendet sich eine deiner Spielerinnen oder Spieler direkt an uns, verweisen wir sie an dich und informieren dich darüber. Wir beantworten solche Anfragen nicht selbst.

Wir unterstützen dich mit geeigneten Mitteln dabei, Auskunfts-, Berichtigungs-, Löschungs- und Einschränkungsersuchen zu erfüllen — insbesondere dadurch, dass du über den Kundenbereich vollen Zugriff auf sämtliche Dateien deines Servers hast und Daten dort selbst einsehen, ändern und löschen kannst. Reicht das im Einzelfall nicht aus, hilf dir der Support.

9. Weitere Unterstützungspflichten

Wir unterstützen dich, soweit dir die Informationen nicht ohnehin vorliegen, bei:

• der Sicherheit der Verarbeitung (Art. 32)
• der Meldung von Datenschutzverletzungen an die Aufsichtsbehörde (Art. 33) und der Benachrichtigung Betroffener (Art. 34)
• einer Datenschutz-Folgenabschätzung (Art. 35) und einer vorherigen Konsultation (Art. 36)

Verletzung des Schutzes personenbezogener Daten: Wird uns eine Verletzung bekannt, die Daten auf deinem Server betrifft, informieren wir dich unverzüglich nach Kenntniserlangung, mit allen uns vorliegenden Angaben zu Art, Umfang, wahrscheinlichen Folgen und ergriffenen Maßnahmen. Die Meldung an die Aufsichtsbehörde obliegt dir als Verantwortlichem.

10. Löschung und Rückgabe

Während der Vertragslaufzeit kannst du sämtliche Daten deines Servers jederzeit selbst herunterladen — über die Dateiverwaltung und die Sicherungsfunktion im Kundenbereich. Ein gesondertes Herausgabeverlangen ist dafür nicht nötig.

Nach Beendigung des Vertrags stehen dir 7 Tage zur Verfügung, um deine Daten zu sichern. Danach werden Server, Daten und Sicherungskopien gelöscht.

Bei Zahlungsrückstand gilt stattdessen der in den AGB beschriebene Ablauf: 7 Tage Kulanz, anschließend Aussetzung, Löschung 30 Tage nach der Aussetzung.

Gesetzliche Aufbewahrungspflichten bleiben unberührt; sie betreffen ausschließlich Abrechnungsdaten, nicht die Inhalte deines Servers.

11. Nachweise und Überprüfung

Auf Anfrage weisen wir dir die Einhaltung dieser Vereinbarung nach — durch Auskunft, durch die Dokumentation der Maßnahmen aus Anlage 2 und durch die Nachweise, die uns unsere eigenen Unterauftragsverarbeiter zur Verfügung stellen.

Du hast das Recht, die Verarbeitung zu überprüfen. Prüfungen sind mit angemessener Vorlaufzeit anzukündigen, dürfen den Betrieb nicht unangemessen beeinträchtigen und dürfen die Vertraulichkeit der Daten anderer Kunden nicht gefährden. In der Regel genügt eine Auskunft in Textform.

12. Haftung

Es gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen sowie Art. 82 DSGVO.

• Gegenstand — Bereitstellung und Betrieb von Game-Servern
• Art der Verarbeitung — Speichern, Ausführen, Übermitteln im Rahmen des Spielbetriebs, Sichern, Löschen
• Zweck — ausschließlich Erbringung der vertraglichen Leistung
• Datenkategorien — siehe Punkt 2
• Betroffene Personen — Spieler und Administratoren auf dem Server des Kunden
• Dauer — Laufzeit des Serververtrags zzgl. der Fristen aus Punkt 10
• Ort — Rechenzentren in Deutschland

Zutrittskontrolle. Die Rechenzentren werden von unseren Infrastruktur-Anbietern betrieben und verfügen über Zutrittssicherung, Videoüberwachung, unterbrechungsfreie Stromversorgung und Brandschutz. Ihre jeweiligen Nachweise nach Art. 32 sind Bestandteil unserer Verträge mit ihnen.

Zugangskontrolle. Kein Passwortlogin — Anmeldung ausschließlich per Magic Link oder Discord. Zwei-Faktor-Authentifizierung verfügbar; TOTP-Geheimnisse werden verschlüsselt gespeichert, Wiederherstellungscodes nur als Prüfwert. Administrativer Zugriff ist auf den Inhaber beschränkt.

Zugriffskontrolle. Jeder Zugriff auf einen Server wird gegen die Eigentümerschaft des angemeldeten Kontos geprüft. Kunden sehen ausschließlich ihre eigenen Server. Sicherheitsrelevante Vorgänge werden mit Zeitpunkt, handelnder Person, IP-Adresse und Browserkennung protokolliert; das gilt auch für Support-Zugriffe.

Trennungskontrolle. Jeder Kundenserver läuft in einer eigenen, isolierten Umgebung mit eigenen Dateien und eigenen Ressourcengrenzen.

Übertragungskontrolle. Sämtliche Verbindungen zur Website, zum Kundenbereich und zwischen unseren Systemen sind verschlüsselt.

Eingabekontrolle. Protokollierung sicherheitsrelevanter Aktionen, Aufbewahrung 12 Monate.

Verfügbarkeitskontrolle. Redundante Stromversorgung und Netzanbindung im Rechenzentrum, vorgelagerte DDoS-Filterung, Sicherungsfunktion im Kundenbereich.

Belastbarkeit und Wiederherstellung. Wiederherstellung aus Sicherungskopien über den Kundenbereich; regelmäßige Sicherheitsaktualisierungen der Plattform.

Auftragskontrolle. Verträge nach Art. 28 mit sämtlichen Unterauftragsverarbeitern; Weisungsbindung nach Punkt 3.

Überprüfung. Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

Infrastruktur — hier liegen die Daten deines Servers:

• Hetzner Online GmbH, Gunzenhausen — Deutschland — freigegeben für Server-Nodes, derzeit nicht im Einsatz
• WIIT AG, Düsseldorf — Deutschland — Server-Nodes in Düsseldorf (Marke „webtropia”) — derzeit einziger Standort
• IONOS SE, Montabaur — Deutschland — Betrieb der Server-Verwaltungssoftware

Plattform — hier liegen Konto- und Abrechnungsdaten, nicht die Inhalte deines Servers:

• Neon — Datenbankstandort EU — Datenbank für Konten und Abrechnung
• Vercel Inc. — USA * — Hosting und Auslieferung der Website
• Brevo (Sendinblue SAS) — Frankreich — Versand von Transaktionsnachrichten
• Cloudflare — USA * / EU — Schutz des Anmeldeformulars

* Drittlandsbezug; abgesichert über Standardvertragsklauseln. Die Inhalte deines Servers sind hiervon nicht betroffen.

Diese Liste wird aktuell gehalten. Änderungen werden nach Punkt 6 angekündigt.

Fragen zu dieser Vereinbarung: privacy@mcbalkan.xyz