Vertrag über die Auftragsverarbeitung
Dieser Vertrag konkretisiert die Pflichten aus Artikel 28 der Datenschutz-Grundverordnung für die Leistungen, die Kim Daniel Geisthardt WebDevelopment, Dörffelstraße 12, 08527 Plauen („Auftragsverarbeiter“) für den Kunden („Verantwortlicher“) erbringt. Er gilt ergänzend zu den Allgemeinen Geschäftsbedingungen und für die Dauer des Hostingvertrags.
1. Gegenstand, Art und Zweck der Verarbeitung
Gegenstand ist der Betrieb der vom Verantwortlichen gebuchten Leistungen: Webspace, Managed vServer, Managed Server, Domains, E-Mail-Postfächer und die zugehörige Verwaltung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich, soweit dies für diesen Betrieb erforderlich ist – insbesondere durch Speichern, Sichern, Bereitstellen und Löschen.
Eine Nutzung zu eigenen Zwecken findet nicht statt. Der Auftragsverarbeiter nimmt keine Kenntnis von Inhalten, soweit dies nicht zur Störungsbeseitigung, zur Abwehr von Angriffen oder zur Erfüllung einer gesetzlichen Pflicht erforderlich ist.
2. Dauer
Der Vertrag beginnt mit seinem Abschluss und endet mit dem Ende des Hostingvertrags. Die Pflichten zur Verschwiegenheit und zur Löschung bestehen darüber hinaus fort.
3. Art der Daten und Kategorien betroffener Personen
Welche Daten anfallen, bestimmt der Verantwortliche durch die Inhalte, die er auf den Systemen betreibt. Typischerweise sind das:
- Bestands- und Kontaktdaten (Name, Anschrift, Telefonnummer, E-Mail-Adresse)
- Inhalts- und Kommunikationsdaten (Nachrichten aus Formularen, E-Mails, hochgeladene Dateien)
- Nutzungs- und Verbindungsdaten (IP-Adressen, Zeitpunkte, aufgerufene Adressen in Protokollen)
- Vertrags- und Zahlungsdaten, soweit der Verantwortliche sie auf den Systemen verarbeitet
Betroffene Personen sind insbesondere Besucher, Kunden, Interessenten, Mitglieder, Beschäftigte und Kommunikationspartner des Verantwortlichen.
Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO werden nur verarbeitet, wenn der Verantwortliche sie einstellt; er hat dann von sich aus zu prüfen, ob die getroffenen Maßnahmen dafür ausreichen.
4. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch bei einer Übermittlung in ein Drittland. Als Weisung gelten dieser Vertrag, die Leistungsbeschreibung sowie Anweisungen, die der Verantwortliche über den Kundenbereich oder schriftlich erteilt.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung aussetzen. Besteht eine gesetzliche Pflicht zur Verarbeitung, informiert er vorher darüber, sofern das Gesetz dies nicht verbietet.
5. Vertraulichkeit
Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff ist auf die Personen beschränkt, die ihn zur Erfüllung ihrer Aufgaben benötigen.
6. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die nach Artikel 32 DSGVO erforderlichen Maßnahmen. Dazu gehören insbesondere:
- Übertragung ausschließlich verschlüsselt (TLS), auch zwischen den eigenen Systemen
- Getrennte Mandanten je Vertrag; Zugriff auf fremde Daten ist technisch ausgeschlossen
- Zugang zur Verwaltung nur mit Zwei-Faktor-Anmeldung und rollenabhängigen Rechten
- Protokollierung jeder Änderung in der Verwaltung, einschließlich der handelnden Person
- Verschlüsselte Sicherungen mit regelmäßigem, tatsächlich durchgeführtem Wiederherstellungstest
- Geheimnisse (Schlüssel, Zugangsdaten) verschlüsselt gespeichert; Kennwörter nur als Hash
- Festgelegte Löschfristen mit anschließender Anonymisierung
- Überwachung des Betriebs mit Benachrichtigung bei Störungen
Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst. Eine Änderung darf das Schutzniveau nicht unterschreiten.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt die allgemeine Genehmigung zur Hinzuziehung der nachfolgend genannten weiteren Auftragsverarbeiter. Mit ihnen bestehen Verträge, die den Anforderungen des Artikels 28 DSGVO entsprechen.
| Unternehmen | Leistung | Sitz |
|---|---|---|
| Hetzner Online GmbH | Server- und Rechenzentrumsinfrastruktur, auf der Managed (v)Server und der Plattformbetrieb laufen. | Industriestr. 25, 91710 Gunzenhausen, Deutschland |
| InterNetX GmbH | Domainregistrierung und DNS-Verwaltung der Kundendomains (AutoDNS/Domainrobot). | Johanna-Dachs-Str. 55, 93055 Regensburg, Deutschland |
| Haufe Service Center GmbH (Lexware Office) | Cloud-Buchhaltung: nachgelagerte Übertragung der Belege samt Kontaktdaten. | Munzinger Straße 9, 79111 Freiburg, Deutschland |
| Cloudflare, Inc. | Content-Delivery-Network und Reverse-Proxy für Website und Kundenbereich; Übermittlung in die USA auf Grundlage der EU-Standardvertragsklauseln. | 101 Townsend Street, San Francisco, CA 94107, USA (Drittland) |
Beabsichtigt der Auftragsverarbeiter, einen weiteren Auftragsverarbeiter hinzuzuziehen oder zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus einem datenschutzrechtlichen Grund widersprechen. Widerspricht er, kann der Auftragsverarbeiter den Hostingvertrag zum Wirksamwerden der Änderung kündigen.
8. Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen dabei, Anträge betroffener Personen zu beantworten, und berücksichtigt dabei die Art der Verarbeitung und die ihm zur Verfügung stehenden Informationen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Vorgang unverzüglich weiter.
Er unterstützt den Verantwortlichen ferner bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten, bei der Benachrichtigung betroffener Personen sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Artikel 32 bis 36 DSGVO).
9. Verletzungen des Schutzes personenbezogener Daten
Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, an den im Vertrag benannten Ansprechpartner. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.
10. Löschung und Rückgabe
Nach Abschluss der Erbringung der Leistungen löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie zurück; der Verantwortliche wählt. Kopien werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungen werden mit Ablauf ihres Aufbewahrungszeitraums gelöscht.
Solange der Vertrag läuft, kann der Verantwortliche seine Daten jederzeit selbst über den Kundenbereich abrufen. Nach Vertragsende ist die Leistung gesperrt; die Inhalte bewahren wir noch für den Zeitraum auf, der in Ziffer 12 der Allgemeinen Geschäftsbedingungen genannt ist, und stellen sie in dieser Zeit auf Anfrage als Kopie bereit. Danach werden sie gelöscht.
11. Nachweise und Überprüfungen
Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen. Überprüfungen werden mit angemessener Frist angekündigt, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Nachweis kann auch durch aktuelle Testate, Zertifikate oder Prüfberichte geführt werden.
12. Verantwortlichkeit des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich. Er legt fest, welche Daten er auf den Systemen verarbeitet, informiert die betroffenen Personen und sorgt dafür, dass die eingesetzten Anwendungen aktuell und sicher konfiguriert sind.
13. Schlussbestimmungen
Änderungen bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrags für die Auftragsverarbeitung vor.
Fassung 17a132da9a65.