Vertrag zur Auftragsverarbeitung

Parteien

Dieser Vertrag wird geschlossen zwischen dem Kunden als Verantwortlichem im Sinne von Art. 4 Nr. 7 DSGVO (nachfolgend „Verantwortlicher") und Richard Golz, Karl-Liebknecht-Str. 8, 16548 Glienicke/Nordbahn, kontakt.golz@outlook.de, handelnd unter Zverd, als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO (nachfolgend „Auftragsverarbeiter").

Er ergänzt den zwischen den Parteien geschlossenen Hauptvertrag über Gestaltung, Aufbau, Hosting und Pflege einer Website und gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen durchführt.

1. Gegenstand und Dauer

Gegenstand der Verarbeitung ist die technische Bereitstellung, das Hosting und die Pflege der Website des Verantwortlichen einschließlich etwaiger Kontakt-, Login- und Verkaufsfunktionen. Die Verarbeitung beginnt mit Aufnahme der Leistung und endet mit Beendigung des Hauptvertrags.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen. Dazu zählen Speicherung und Bereitstellung von Website-Inhalten, Betrieb von Kontakt- und Anfrageformularen, technische Fehleranalyse, Sicherheits- und Verfügbarkeitsmaßnahmen sowie, soweit beauftragt, der Betrieb von Shop-, Bestell- und Auswertungsfunktionen. Eine Nutzung zu eigenen Zwecken findet nicht statt.

3. Art der Daten und Kategorien betroffener Personen

Verarbeitet werden je nach Funktionsumfang der Website: Bestands- und Kontaktdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer), Inhalte von Anfragen und Nachrichten, Vertrags- und Bestelldaten einschließlich gekaufter Artikel und Bestellwerte, Zahlungsbezogene Metadaten ohne vollständige Zahlungsmittel, Nutzungs- und Verbindungsdaten wie IP-Adresse, Zeitpunkt des Zugriffs und übertragene Datenmenge sowie Zugangsdaten von Redaktions- und Kundenkonten.

Betroffene Personengruppen sind Interessent:innen und Kund:innen des Verantwortlichen, Besucher:innen der Website sowie Beschäftigte und Ansprechpartner:innen des Verantwortlichen.

4. Weisungsbindung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet; in diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Weisungen erfolgen in Textform, auch per E-Mail. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung aussetzen.

5. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

6. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Dazu gehören insbesondere:

• Verschlüsselte Übertragung sämtlicher Inhalte über TLS/HTTPS
• Verschlüsselte Speicherung von Zugangsdaten, Zugriff nur über Passwortmanager
• Zwei-Faktor-Authentifizierung für alle administrativen Zugänge
• Zugriff auf Produktivsysteme ausschließlich durch den Auftragsverarbeiter selbst
• Regelmäßige Sicherheitsupdates von Servern, Abhängigkeiten und Plattformen
• Automatisierte Sicherungen mit Wiederherstellungsmöglichkeit
• Trennung der Daten unterschiedlicher Auftraggeber auf System- und Kontoebene
• Protokollierung administrativer Zugriffe

Die Maßnahmen unterliegen der technischen Fortentwicklung. Der Auftragsverarbeiter darf sie anpassen, solange das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung der nachfolgend genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mindestens 14 Tage im Voraus in Textform. Der Verantwortliche kann innerhalb dieser Frist Einspruch erheben; kann daraufhin keine einvernehmliche Lösung gefunden werden, steht beiden Parteien ein Sonderkündigungsrecht zu.

Welche dieser Anbieter im Einzelfall zum Einsatz kommen, richtet sich nach dem beauftragten Leistungsumfang und wird im Angebot festgehalten. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das dem dieses Vertrags entspricht.

Zahlungsdienstleister wie Stripe oder PayPal werden nicht als Unterauftragsverarbeiter des Auftragsverarbeiters tätig. Der Verantwortliche schließt mit ihnen eigene Verträge; sie verarbeiten Zahlungsdaten in eigener Verantwortung.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch zu erfüllen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich weiter und beantwortet es nicht selbst.

Er unterstützt den Verantwortlichen außerdem bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, der Meldung von Verletzungen des Schutzes personenbezogener Daten und der Datenschutz-Folgenabschätzung. Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung.

9. Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Auf Verlangen stellt der Auftragsverarbeiter die Daten zuvor in einem gängigen, maschinenlesbaren Format bereit. Sicherungskopien werden im Rahmen des regulären Sicherungszyklus gelöscht, spätestens 90 Tage nach Vertragsende.

10. Nachweise und Überprüfungen

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. Überprüfungen werden mit angemessener Vorankündigung während der üblichen Geschäftszeiten durchgeführt und dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Nachweis kann auch durch aktuelle Zertifikate, Testate oder Berichte unabhängiger Stellen geführt werden.

11. Drittlandtransfer

Soweit Verarbeitungen außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums stattfinden, erfolgt dies nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage von Standardvertragsklauseln der Europäischen Kommission einschließlich der erforderlichen ergänzenden Maßnahmen.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Regelungen des Hauptvertrags. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie die Verarbeitung personenbezogener Daten betreffen. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen davon unberührt.