zwischen dem Auftraggeber (Verantwortlicher, Angaben laut Angebot)
und Adarsh Malhotra – Webdesign & Hosting, Am Hofhaus 1a, 65589 Hadamar, kontakt@adarshmalhotra.de (Auftragsverarbeiter, „Anbieter“)
§ 1 Gegenstand und Dauer
(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Anbieter im Auftrag des Auftraggebers. Er gilt für alle Leistungen nach den AGB für Webdesign, Hosting und Wartung, bei denen der Anbieter Zugriff auf personenbezogene Daten hat, für die der Auftraggeber verantwortlich ist.
(2) Der Vertrag wird mit Annahme eines Angebots wirksam, das eine solche Leistung umfasst. Eine gesonderte Unterschrift ist nicht nötig; auf Wunsch einer Seite wird er zusätzlich unterzeichnet.
(3) Er läuft so lange, wie der Anbieter personenbezogene Daten für den Auftraggeber verarbeitet, einschließlich der Abruf- und Löschfristen nach § 9.
§ 2 Art, Zweck und Umfang der Verarbeitung
| Leistungen | Hosting der Website, Betrieb von Anfrageformularen und Funnels, E-Mail-Postfächer, Redaktionsbereich, Wartung und Pflege, Fehlerbehebung, Einrichtung der Website beim Hoster des Auftraggebers |
| Art der Verarbeitung | Speichern, Weiterleiten (z. B. Formulareingaben per E-Mail), Sichern, Wiederherstellen, Einsehen im Rahmen von Wartung und Fehlerbehebung, Löschen |
| Zweck | technische Bereitstellung und Betrieb der Website und Postfächer des Auftraggebers |
| Arten von Daten | Kontaktdaten (z. B. Name, E-Mail, Telefon, Anschrift), Inhalte von Anfragen und Funnel-Antworten, E-Mail-Inhalte und -Metadaten, Zugangsdaten zum Redaktionsbereich, technische Verbindungsdaten (z. B. IP-Adressen in Server-Logdateien), Inhalte, die der Auftraggeber auf der Website veröffentlicht |
| Betroffene Personen | Besucher der Website, Interessenten und Kunden des Auftraggebers, Absender und Empfänger von E-Mails, Beschäftigte und Beauftragte des Auftraggebers |
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, verarbeitet der Anbieter nur, wenn der Auftraggeber sie vorher in Textform mitteilt und beide Seiten zusätzliche Schutzmaßnahmen vereinbaren.
§ 3 Weisungen
(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, sofern er nicht gesetzlich zur Verarbeitung verpflichtet ist; in diesem Fall teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Gesetz das nicht verbietet. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und dem Angebot. Weitere Weisungen erteilt der Auftraggeber in Textform.
(2) Hält der Anbieter eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit. Er darf ihre Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.
§ 4 Pflichten des Anbieters
(1) Der Anbieter verarbeitet die Daten ausschließlich in der Europäischen Union. Eine Übermittlung in Drittländer erfolgt nicht.
(2) Der Anbieter arbeitet allein. Setzt er künftig weitere Personen ein, verpflichtet er sie vorher zur Vertraulichkeit, soweit sie keiner gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage zu diesem Vertrag beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
(4) Er unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Wenden sich betroffene Personen direkt an ihn, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
(5) Er informiert den Auftraggeber unverzüglich, möglichst innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, und stellt die ihm verfügbaren Informationen für eine Meldung nach Art. 33 DSGVO bereit.
(6) Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO, soweit er dazu verpflichtet ist.
§ 5 Pflichten des Auftraggebers
(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlagen, die Information der betroffenen Personen (z. B. in der Datenschutzerklärung) und die Erfüllung ihrer Rechte.
(2) Er informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
§ 6 Unterauftragsverarbeiter
(1) Der Auftraggeber erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Derzeit setzt der Anbieter ein:
| Unterauftragsverarbeiter | Leistung | Ort der Verarbeitung |
|---|---|---|
| ALL-INKL.COM – Neue Medien Münnich, Sachsen (Anschrift laut Impressum unter all-inkl.com) | Rechenzentrum: Webspace, Datenbanken, E-Mail-Server, Domainverwaltung | Deutschland |
(2) Der Anbieter informiert den Auftraggeber mindestens 4 Wochen vorher in Textform über jede beabsichtigte Änderung (Hinzuziehung oder Ersetzung). Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann jede Seite die betroffene Leistung zum Zeitpunkt der Änderung kündigen.
(3) Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind.
(4) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Internetzugang oder Postdienste. Nutzt der Auftraggeber eigenes Hosting, ist dessen Anbieter kein Unterauftragsverarbeiter des Anbieters.
§ 7 Nachweise und Kontrollen
(1) Der Anbieter weist die Einhaltung seiner Pflichten auf Anfrage nach, insbesondere durch Auskünfte, die Beschreibung der Maßnahmen und Nachweise des Rechenzentrumsbetreibers (z. B. Zertifikate).
(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann sich nach rechtzeitiger Anmeldung, in der Regel mindestens 2 Wochen vorher, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs von der Einhaltung überzeugen. Der Anbieter kann für seinen Aufwand eine angemessene Vergütung verlangen, wenn die Kontrolle keine Verstöße ergibt.
§ 8 Haftung
Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nichts anderes bestimmt.
§ 9 Löschung und Rückgabe
(1) Nach Ende der Leistungen stellt der Anbieter dem Auftraggeber die personenbezogenen Daten nach § 25 der AGB zum Abruf bereit und löscht sie nach Ablauf der dort genannten Fristen, sofern keine gesetzliche Pflicht zur Speicherung besteht. Auf Wunsch des Auftraggebers löscht er sie früher.
(2) Datensicherungen werden im regulären Sicherungskreislauf gelöscht. Der Anbieter bestätigt die Löschung auf Anfrage in Textform.
§ 10 Schlussbestimmungen
(1) Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor.
(2) Änderungen bedürfen der Textform.
Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Beim Rechenzentrumsbetreiber: Es gelten die technischen und organisatorischen Maßnahmen von ALL-INKL.COM für Rechenzentrum, Server und Netzwerk (z. B. Zutrittskontrolle, Brandschutz, redundante Stromversorgung, Datensicherung). Der Anbieter stellt sie auf Anfrage bereit.
Beim Anbieter:
- Zugang und Zugriff: Zugang zur Verwaltung des Webspace, zu Datenbanken und Postfächern nur durch den Anbieter selbst; individuelle, starke Passwörter, gespeichert in einem Passwort-Manager; Zwei-Faktor-Anmeldung, wo verfügbar.
- Geräte: Arbeitsgeräte mit verschlüsseltem Speicher, Bildschirmsperre und aktuellen Sicherheitsupdates.
- Übertragung: Datenübertragung zur Website ausschließlich verschlüsselt (SSL/TLS, SFTP oder FTPS); Websites nur über HTTPS; E-Mail-Abruf verschlüsselt.
- Trennung: Getrennte Speicherbereiche, Datenbanken und Zugänge je Kunde.
- Verfügbarkeit: Datensicherungen beim Rechenzentrumsbetreiber; zusätzliche Sicherung der Website-Dateien durch den Anbieter bei Abnahme und nach Änderungen.
- Datensparsamkeit: Formulare erfassen nur die vom Auftraggeber festgelegten Angaben.
- Organisation: Unverzügliche Bearbeitung von Sicherheitsvorfällen; regelmäßige Überprüfung dieser Maßnahmen.