AUFTRAGSVERARBEITUNG
Vereinbarung zur Auftragsverarbeitung
1. Parteien
Auftragsverarbeiter: Oliver Beeken, Einzelunternehmen „24Ping“, [vollständige Geschäftsanschrift], Hamburg, Deutschland, kontakt@24ping.com.
Verantwortlicher: der im Kundenkonto bezeichnete Kunde mit seiner dort hinterlegten vollständigen Geschäftsanschrift und Kontaktperson.
2. Gegenstand, Dauer und Weisungen
Gegenstand ist die technische Bereitstellung und Administration von Webhosting, Webspace, Datenbanken, Sicherungen und Plesk-Zugang. Die Verarbeitung beginnt mit der Bereitstellung des Webspace und endet mit dem Ende des Hostingvertrags und der Rückgabe oder Löschung der Daten. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, außer eine gesetzliche Verpflichtung verlangt eine Verarbeitung.
3. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst Speichern, Abrufen, Bereitstellen, Übermitteln im Rahmen des Websiteabrufs, Sichern, Wiederherstellen und Löschen von Website-Dateien, Datenbanken und technischen Protokollen. Zweck ist der Betrieb des vom Verantwortlichen verwalteten Webspace. E-Mail-Hosting und ausgehender SMTP-Versand sind nicht Gegenstand der Leistung.
4. Betroffene Personen und Daten
Betroffene Personen können Besucher der Kundenwebsite, Kunden, Beschäftigte, Mitglieder, Lieferanten oder sonstige Personen sein, deren Daten der Verantwortliche in seinem Webspace ablegt. Datenkategorien bestimmt der Verantwortliche durch seine Anwendungen und Inhalte. [Für den konkreten Auftrag Datenkategorien und betroffene Personengruppen präzisieren; besondere Kategorien gesondert dokumentieren]
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind, setzt geeignete technische und organisatorische Maßnahmen um, unterstützt den Verantwortlichen bei Betroffenenrechten und gesetzlichen Pflichten, meldet Datenschutzverletzungen ohne unangemessene Verzögerung, unterstützt Datenschutz-Folgenabschätzungen und stellt die erforderlichen Nachweise bereit. Er informiert den Verantwortlichen, wenn eine Weisung nach seiner Einschätzung gegen Datenschutzrecht verstößt.
6. Technische und organisatorische Maßnahmen
Vorgesehen sind insbesondere individuelle Kundenkonten, rollenbezogene Zugriffsrechte, Passwort-Hashing, verschlüsselte Transportverbindungen, Sicherheitsupdates, Protokollierung, Mandantentrennung innerhalb der Hostingverwaltung und regelmäßige Systemsicherungen. [Anlage 1 TOM mit konkreten Maßnahmen, Zuständigkeiten, Verschlüsselungsumfang, Wiederherstellungszielen und Prüfintervallen vervollständigen]
7. Unterauftragsverarbeiter
Der Auftragsverarbeiter darf für die technische Infrastruktur Unterauftragsverarbeiter einsetzen, sofern die gesetzlichen Voraussetzungen erfüllt sind und der Verantwortliche über Änderungen informiert wird. [Vollständige Liste mit Firma, Leistung, Sitz, Verarbeitungsort und Kontakt ergänzen; insbesondere OVHcloud-Vertragspartner und Region eintragen] Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich zu gleichwertigen Datenschutzpflichten.
8. Unterstützung und Datenschutzverletzungen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei Auskunfts-, Berichtigungs-, Löschungs- und Exportanfragen sowie bei Meldungen an Aufsichtsbehörden und betroffene Personen. Die Parteien stimmen für Sicherheitsvorfälle einen erreichbaren Kontaktweg ab. [Notfallkontakt, Meldeweg und erwartete Bearbeitungszeiten festlegen]
9. Rückgabe und Löschung
Nach Ende des Auftrags stellt der Auftragsverarbeiter die Daten auf Weisung bereit oder löscht sie, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden nach dem festgelegten Sicherungszyklus überschrieben. [Exportformat, Exportfrist, Löschfrist der aktiven Daten und konkrete Backup-Aufbewahrungszeit ergänzen]
10. Kontrollen und Nachweise
Der Verantwortliche darf die Einhaltung dieser Vereinbarung nach angemessener Vorankündigung und unter Wahrung der Sicherheit anderer Kunden prüfen. Die Parteien vereinbaren Umfang, Häufigkeit und Kostentragung der Prüfung. Der Auftragsverarbeiter stellt verfügbare Nachweise und Informationen bereit, die zur Bewertung der Maßnahmen erforderlich sind.
11. Haftung und Schlussbestimmungen
Die gesetzliche Haftung nach Datenschutzrecht bleibt unberührt. Im Übrigen gelten die Hostingbedingungen, soweit sie dieser Vereinbarung nicht widersprechen. Änderungen dieser Vereinbarung bedürfen der gesetzlich erforderlichen Form.
Anlage 1: Technische und organisatorische Maßnahmen
Zutrittskontrolle: [Rechenzentrums- und Zutrittsschutz des Infrastrukturpartners konkretisieren]
Zugangskontrolle: persönliche Konten, starke Passworthashes, verschlüsselte Verbindungen und administrative Zugriffsbeschränkung.
Zugriffskontrolle: rollenbasierte Verwaltung und Trennung der Kundenbereiche innerhalb Plesk.
Weitergabekontrolle: TLS-geschützte Administration und Übertragung.
Verfügbarkeitskontrolle: Monitoring, Wartung und regelmäßige Systemsicherungen; konkrete Wiederherstellungszeiten sind [zu ergänzen].
Trennungsgebot: getrennte Kundenkonten und Abonnements in Plesk.
Prüfung: [Patch-, Protokoll-, Backup- und Berechtigungsprüfintervalle ergänzen].