Vertrag zur Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO) zwischen dem Kunden als Verantwortlichem und Maximilian Schulz, Dornfelderweg 5 61206 Wöllstadt, E-Mail: [email protected] als Auftragsverarbeiter (nachfolgend „Anbieter“). 1. Gegenstand und Geltung Der Anbieter betreibt für den Kunden Apps nach § 2a der AGB. Soweit der Kunde darin personenbezogene Daten verarbeitet, geschieht das im Auftrag des Kunden. Dieser Vertrag gilt für die Dauer des App-Vertrags und ist mit der Bestellung einer App vereinbart. Für Gameserver gilt er nicht, soweit dort nur Spieldaten anfallen. 2. Art, Zweck und Umfang der Verarbeitung Die Verarbeitung besteht im Speichern der Daten und im technischen Betrieb der App (Hosting). Zweck ist die Bereitstellung der vom Kunden gewählten App. Welche Daten verarbeitet werden, bestimmt der Kunde durch die Wahl und Nutzung der App. Das können insbesondere Stamm- und Kontaktdaten, Inhaltsdaten wie Dokumente und Nachrichten, Nutzungs- und Protokolldaten sein. Betroffen sind die Personen, deren Daten der Kunde in der App speichert, z. B. Nutzer, Beschäftigte, Kunden oder Geschäftspartner des Kunden. Besondere Kategorien personenbezogener Daten darf der Kunde nur speichern, wenn er die dafür nötigen Schutzmaßnahmen selbst trifft. 3. Weisungen Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisung ergibt sich aus diesem Vertrag, den AGB und den Einstellungen im Kundenbereich. Weitere Weisungen erteilt der Kunde in Textform an [email protected]. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin. Eine Verarbeitung ohne Weisung erfolgt nur, wenn das Recht der Union oder eines Mitgliedstaats sie verlangt; der Anbieter teilt dies dem Kunden vorher mit, soweit das zulässig ist. 4. Vertraulichkeit Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Auf Inhalte einer App greift er nur zu, soweit das für Wartung, Fehlerbehebung oder die Abwehr von Missbrauch erforderlich ist. 5. Technische und organisatorische Maßnahmen Der Anbieter trifft Maßnahmen nach Art. 32 DSGVO, insbesondere: - Jede App läuft in eigenen Containern mit eigenem Netz, getrennt von anderen Kunden. - Der Zugriff auf die Weboberfläche einer App erfolgt verschlüsselt über HTTPS. - Zugangsdaten und Schlüssel von Apps werden in der Datenbank des Anbieters verschlüsselt gespeichert und sind auf dem Server nur für den Administrator lesbar. - Der administrative Zugriff auf die Server ist auf den Anbieter beschränkt und erfolgt über SSH. - Für jede App gelten Grenzen für Arbeitsspeicher, Rechenleistung und Speicherplatz. - Datensicherungen stellt der Anbieter als Funktion im Kundenbereich bereit; ihre Durchführung und Aufbewahrung liegt beim Kunden. Der Anbieter darf die Maßnahmen weiterentwickeln, wenn das Schutzniveau nicht sinkt. Für die Sicherheit der App selbst, ihrer Konten und Einstellungen ist der Kunde verantwortlich. 6. Unterauftragsverarbeiter Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: - [Vollständige Firma und Anschrift des Rechenzentrumsbetreibers eintragen]: Betrieb der Server, Standort EU. Über neue oder ersetzte Unterauftragsverarbeiter informiert der Anbieter den Kunden vorab per E-Mail oder im Kundenbereich. Der Kunde kann innerhalb von vier Wochen aus wichtigem Datenschutzgrund widersprechen; kommt keine Einigung zustande, kann er den betroffenen App-Vertrag außerordentlich kündigen. Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags. 7. Unterstützung des Kunden Der Anbieter unterstützt den Kunden angemessen bei Anfragen betroffener Personen sowie bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Anfragen betroffener Personen, die bei ihm eingehen, leitet er an den Kunden weiter, soweit dieser erkennbar ist. Daten kann der Kunde selbst über die App, per SFTP oder über Backups einsehen, berichtigen, löschen und exportieren. 8. Datenschutzverletzungen Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten, die den Auftrag betreffen, unverzüglich nach Kenntnis per E-Mail und gibt die ihm vorliegenden Informationen weiter, die der Kunde für seine Meldepflichten benötigt. 9. Nachweise und Kontrollen Der Anbieter stellt dem Kunden auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung, während der Geschäftszeiten und ohne Störung des Betriebs möglich; bei Rechenzentren richten sie sich nach den Regeln des jeweiligen Betreibers. 10. Ort der Verarbeitung Die Daten werden in der Europäischen Union verarbeitet. Eine Verarbeitung außerhalb erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. 11. Löschung und Rückgabe Der Kunde kann seine Daten während der Laufzeit jederzeit selbst exportieren und löschen. Nach Vertragsende werden die Daten nach Ablauf der Schonfrist von 7 Tagen gelöscht, einschließlich der Backups im Kundenbereich, soweit keine gesetzliche Aufbewahrungspflicht besteht. 12. Schlussbestimmungen Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die AGB.