Auftragsverarbeitungsvertrag

Dieser AVV wird Bestandteil des zugrunde liegenden Hosting-Vertrags, sobald er von beiden Parteien in Textform oder elektronisch vereinbart wurde. Der Auftragsverarbeiter stellt dem Verantwortlichen die vereinbarte Vertragsfassung dauerhaft zur Verfügung.

(nachfolgend „Auftragsverarbeiter“) sowie der jeweilige Hosting-Kunde (nachfolgend „Verantwortlicher“).

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der bereitgestellten Hosting-Dienste (VPS, Container, Managed Apps) gemäß den AGB.

Art der Verarbeitung

Speicherung, Übermittlung, Abruf und Löschung von Daten im Rahmen des Betriebs der vom Verantwortlichen genutzten Hosting-Infrastruktur.

Zweck

Bereitstellung und Betrieb von Serverkapazitäten (VPS, Container, VMs) für den Verantwortlichen entsprechend der beauftragten Hosting-Leistung.

Dauer

Die Verarbeitung erfolgt für die Dauer des zugrunde liegenden Hosting-Vertrags. Nach Vertragsende beginnt die Lösch- oder Rückgabephase gemäß § 11 dieses AVV.

Datenkategorien

Alle Datenkategorien, die der Verantwortliche im Rahmen seines Dienstes verarbeitet und auf der vom Auftragsverarbeiter bereitgestellten Infrastruktur speichert. Der Auftragsverarbeiter hat keine Kenntnis über den konkreten Inhalt der verarbeiteten Daten.

Betroffene Personen

Endnutzer und Besucher der vom Verantwortlichen betriebenen Dienste (z. B. Website-Besucher, Nutzer eines WordPress- oder Nextcloud-Systems).

Pflichten des Verantwortlichen

Der Verantwortliche trägt die alleinige Verantwortung für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten und für die Einhaltung der Betroffenenrechte auf seiner Ebene.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich Weisungen zu Übermittlungen personenbezogener Daten in ein Drittland oder an eine internationale Organisation, sofern keine gesetzliche Verpflichtung zur Verarbeitung besteht.

Besteht eine gesetzliche Verpflichtung zur Verarbeitung ohne Weisung, informiert der Auftragsverarbeiter den Verantwortlichen grundsätzlich vorab, soweit dies rechtlich zulässig ist.

Weisungen können in Textform, insbesondere per E-Mail, erteilt werden. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, falls eine erteilte Weisung nach seiner Einschätzung gegen geltendes Datenschutzrecht verstößt.

• Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO).
• Sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
• Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu treffen (§ 8 dieses AVV).
• Den Verantwortlichen unverzüglich zu informieren, falls eine erteilte Weisung gegen geltendes Datenschutzrecht verstößt.
• Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung zu stellen und Kontrollen zu ermöglichen (§ 12 dieses AVV).

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung von Anträgen betroffener Personen, insbesondere auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch.

Anfragen betroffener Personen, die direkt an den Auftragsverarbeiter gerichtet werden, werden nicht eigenständig beantwortet, sondern unverzüglich an den Verantwortlichen weitergeleitet.

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Dies umfasst insbesondere:

• Sicherheit der Verarbeitung (Art. 32 DSGVO)
• Meldung von Datenschutzverletzungen an die Aufsichtsbehörde (Art. 33 DSGVO)
• Benachrichtigung betroffener Personen bei Datenschutzverletzungen (Art. 34 DSGVO)
• Datenschutz-Folgenabschätzungen (Art. 35 DSGVO)
• Vorherige Konsultation der Aufsichtsbehörde (Art. 36 DSGVO)

Der Verantwortliche verpflichtet sich:

• Den Auftragsverarbeiter unverzüglich und vollständig zu informieren, wenn er Fehler oder Unregelmäßigkeiten in der Verarbeitung feststellt.
• Die Rechtmäßigkeit der Datenverarbeitung auf der bereitgestellten Infrastruktur sicherzustellen.
• Weisungen in Textform, insbesondere per E-Mail, zu erteilen.
• Den Auftragsverarbeiter von Ansprüchen Dritter freizustellen, die aus einer nicht vertragskonformen Nutzung entstehen.

Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen werden regelmäßig überprüft und bei Bedarf angepasst.

Zutrittskontrolle

Serverinfrastruktur in gesicherten Rechenzentren (IONOS SE, Deutschland) mit physischer Zugangskontrolle durch den Rechenzentrumsbetreiber.

Zugangskontrolle

SSH-Zugang ausschließlich per Public-Key-Authentifizierung. Passwörter werden nicht dauerhaft im Klartext gespeichert. Administrativer Zugang ist auf das technisch notwendige Minimum beschränkt.

Zugriffskontrolle

Container und VMs sind durch Namespaces und cgroups (LXC) sowie KVM-Virtualisierung voneinander isoliert. Zugriff auf Container-Inhalte erfolgt nur im technisch notwendigen Umfang.

Trennungskontrolle

Daten verschiedener Kunden werden in getrennten Containern oder VMs gespeichert und sind technisch voneinander isoliert.

Übertragungssicherheit

Administrative und öffentlich bereitgestellte Verbindungen werden, soweit technisch vorgesehen und unterstützt, durch Transportverschlüsselung (TLS) geschützt. Cloudflare-Tunnel werden für ausgewählte Dienste eingesetzt, nicht notwendigerweise für alle Kundenzugänge.

Vertraulichkeit und Integrität

Zugriffe auf administrative Systeme werden, soweit technisch vorhanden, protokolliert. Berechtigungen werden nach dem Prinzip der minimalen Rechtevergabe vergeben.

Verfügbarkeit und Belastbarkeit

Die Serverinfrastruktur nutzt die Redundanzmaßnahmen des Rechenzentrumsbetreibers. Eine Verfügbarkeit von 99,0 % im Jahresdurchschnitt wird angestrebt, jedoch nicht als absolute Garantie zugesichert.

Wiederherstellung

Regelmäßige Datensicherungen durch den Auftragsverarbeiter sind nicht im Standardumfang enthalten. Der Verantwortliche ist für Backups selbst verantwortlich. Auf Anfrage können Backup-Lösungen vereinbart werden.

Schutz vor Schadsoftware

Sicherheitsupdates und Patches werden zeitnah für Host-Systeme eingespielt. Schutzmaßnahmen auf Anwendungsebene liegen im Verantwortungsbereich des Verantwortlichen.

Sichere Datenlöschung

Bei Vertragsende werden Container-Daten sicher gelöscht. Datenträger werden nicht ohne vorherige sichere Löschung wiederverwendet oder ausgesondert.

Regelmäßige Überprüfung

Die TOMs werden regelmäßig auf ihre Wirksamkeit überprüft und bei Änderungen der technischen oder organisatorischen Rahmenbedingungen angepasst.

Der Verantwortliche erteilt mit Abschluss dieses AVV die allgemeine Genehmigung zum Einsatz der nachfolgend genannten Unterauftragnehmer. Änderungen im Unterauftragnehmer-Verhältnis werden dem Verantwortlichen vorab in Textform mitgeteilt. Der Verantwortliche kann innerhalb von 14 Tagen nach Bekanntgabe in Textform Einspruch erheben. Der Auftragsverarbeiter bleibt dem Verantwortlichen gegenüber vollumfänglich verantwortlich.

IONOS SE

Karl-Theodor-Str. 60, 68165 Mannheim, Deutschland — Serverinfrastruktur (Bare-Metal-VPS), Rechenzentrum Deutschland.

Cloudflare Inc.

101 Townsend St, San Francisco, CA 94107, USA — CDN, Tunnel, DDoS-Schutz. Drittlandverarbeitung möglich (Art. 44 ff. DSGVO, EU-US DPF und SCCs).

Unterauftragnehmer werden vertraglich zu gleichwertigen Datenschutzverpflichtungen verpflichtet, soweit dies technisch und vertraglich umsetzbar ist.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich — spätestens innerhalb von 24 Stunden nach Bekanntwerden — über Sicherheitsvorfälle, die personenbezogene Daten des Verantwortlichen betreffen könnten. Die Meldung enthält, soweit bekannt:

• Art des Vorfalls (z. B. Datenverlust, unbefugter Zugriff, Ransomware)
• betroffene Kategorien personenbezogener Daten
• ungefähre Anzahl betroffener Personen und Datensätze
• voraussichtliche Folgen des Vorfalls
• bereits ergriffene oder vorgeschlagene Abhilfemaßnahmen
• Kontaktdaten für Rückfragen

Die Meldung erfolgt per E-Mail an die vom Verantwortlichen zuletzt mitgeteilte Adresse. Sind nicht alle Informationen sofort verfügbar, können sie schrittweise nachgereicht werden.

Nach Abschluss der Verarbeitungsleistungen löscht oder übergibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten und vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.

Eine Rückgabe ist nur in einem technisch üblichen und vereinbarten Format geschuldet. Nach Rückgabe oder Ablauf der vereinbarten Übergangsfrist werden verbleibende Daten spätestens innerhalb von 30 Tagen gelöscht.

Der Auftragsverarbeiter bestätigt die vollständige Löschung auf Anfrage des Verantwortlichen in Textform.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

Der Verantwortliche ist berechtigt, nach angemessener Vorankündigung (mindestens 5 Werktage) Kontrollen durchzuführen oder durch einen zur Vertraulichkeit verpflichteten Prüfer durchführen zu lassen. Kontrollen sollen den Geschäftsbetrieb des Auftragsverarbeiters möglichst wenig beeinträchtigen.

Der gewöhnliche Nachweis durch vorhandene Dokumentationen ist ohne gesonderte Vergütung umfasst. Darüber hinausgehende Prüfungen oder Vor-Ort-Kontrollen können nach vorheriger Abstimmung nach tatsächlichem Aufwand berechnet werden, sofern sie nicht aufgrund eines vom Auftragsverarbeiter zu vertretenden Verstoßes erforderlich wurden.

Dieser AVV gilt für die Dauer des zugrunde liegenden Hosting-Vertrags und endet automatisch mit dessen Beendigung. Die Lösch- und Rückgabepflichten aus § 11 bleiben hiervon unberührt und gelten über das Vertragsende hinaus bis zur vollständigen Abwicklung.

Es gilt das Recht der Bundesrepublik Deutschland. Änderungen und Ergänzungen sollen aus Nachweisgründen in Textform erfolgen. Individuelle Vereinbarungen bleiben hiervon unberührt.

Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.