1. Parteien und Gegenstand
Dieser Vertrag zur Auftragsverarbeitung wird zwischen dem registrierenden Geschäftskunden als Verantwortlichem und DS81 – Manufaktur für digitale Systeme, Inhaber Daniel Schuboth, Frankenhainer Weg 25, 34613 Schwalmstadt, als Auftragsverarbeiter geschlossen.
Er konkretisiert die datenschutzrechtlichen Pflichten der Parteien, soweit DS81 im Rahmen der Leistungsvereinbarung personenbezogene Daten im Auftrag des Kunden verarbeitet. Er gilt für die Dauer der beauftragten Verarbeitung.
2. Art, Zweck und Umfang der Verarbeitung
Die Verarbeitung kann – abhängig vom konkreten Auftrag – Hosting, Wartung, Support, Entwicklung, technische Administration, Kommunikation, Datensicherung, Monitoring, Domainverwaltung sowie ausdrücklich beauftragte KI-gestützte Funktionen umfassen. DS81 verarbeitet personenbezogene Daten ausschließlich im dokumentierten Auftrag des Kunden, soweit keine gesetzliche Verarbeitungspflicht besteht.
3. Datenarten und betroffene Personen
Verarbeitet werden können insbesondere Stamm-, Kontakt-, Kommunikations-, Vertrags-, Nutzungs-, Inhalts-, Protokoll-, Abrechnungs- und Zugangsdaten. Betroffene Personen können insbesondere Beschäftigte, Bewerber, Kunden, Interessenten, Lieferanten, Websitebesucher, Kommunikationspartner und sonstige Personen sein, deren Daten der Kunde in die beauftragten Systeme einbringt.
4. Weisungen und Verantwortlichkeit
Der Kunde bleibt für die Rechtmäßigkeit der Verarbeitung, die Wahrung der Betroffenenrechte und die Erteilung zulässiger Weisungen verantwortlich. Weisungen sollen in Textform erfolgen. Hält DS81 eine Weisung für datenschutzrechtlich unzulässig, wird der Kunde hierauf hingewiesen und die Ausführung darf bis zur Klärung ausgesetzt werden.
5. Vertraulichkeit und Organisation
DS81 setzt nur Personen ein, die auf Vertraulichkeit verpflichtet und über die einschlägigen Datenschutzanforderungen informiert sind. Zugriffsrechte werden nach Aufgaben und Erforderlichkeit vergeben und regelmäßig überprüft.
6. Technische und organisatorische Maßnahmen
DS81 trifft angemessene Maßnahmen gemäß Artikel 32 DSGVO. Dazu gehören insbesondere Zutritts- und Zugangsschutz, rollenbasierte Berechtigungen, starke Authentisierung, Transportverschlüsselung, angemessene Verschlüsselung gespeicherter schutzbedürftiger Daten, Protokollierung, Aktualisierungs- und Schwachstellenmanagement, Datensicherungen auf Hetzner-Infrastruktur, Monitoring auf eigener Hetzner-Infrastruktur, Wiederherstellungsverfahren, Löschkonzepte, Mandantentrennung sowie regelmäßige Wirksamkeitskontrollen.
Die Maßnahmen werden risikoorientiert fortentwickelt. Wesentliche Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.
7. Unterstützungspflichten und Datenschutzverletzungen
DS81 unterstützt den Kunden im angemessenen Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie bei Datenschutz-Folgenabschätzungen und Konsultationen nach Artikel 33 bis 36 DSGVO. Verletzungen des Schutzes personenbezogener Daten im Verantwortungsbereich von DS81 werden dem Kunden unverzüglich mit den verfügbaren Informationen gemeldet.
8. Unterauftragnehmer
Der Kunde erteilt eine allgemeine Genehmigung zum Einsatz von Unterauftragnehmern. DS81 informiert rechtzeitig über beabsichtigte wesentliche Änderungen. Der Kunde kann aus einem sachlich begründeten datenschutzrechtlichen Grund widersprechen. Unterauftragnehmer werden mindestens zu einem gleichwertigen Datenschutzniveau verpflichtet.
- Hetzner Online GmbH: Hosting, Serverbetrieb, Datensicherung, Infrastruktur für eigenes Monitoring und Domainleistungen.
- Gamma Placetel GmbH / Placetel AI: Geschäftstelefonie und KI-gestützte Anrufbearbeitung, soweit dies für Kundendaten konkret eingesetzt wird.
- OpenAI Ireland Limited / OpenAI-Dienste: KI-gestützte Verarbeitung, soweit vom Kunden beauftragt oder für den konkreten Dienst konfiguriert.
- Amazon Web Services EMEA SARL / Amazon Web Services: Cloud-Infrastruktur und Cloud-Dienste.
- Google Cloud EMEA Limited / Google Cloud: Cloud- und KI-Dienste.
- united-domains GmbH / domainreselling.de: Domainregistrierung und Domain-Reselling.
Telekom Deutschland GmbH und Vodafone GmbH werden für Internetzugang, Datenübertragung und bei Telekom zusätzlich Mobiltelefonie eingesetzt. Sie handeln dabei regelmäßig als eigenständige Telekommunikationsanbieter und nicht als Unterauftragnehmer im Sinne von Artikel 28 DSGVO; die Nennung erfolgt zur Transparenz.
9. Drittlandübermittlungen
Verarbeitungen außerhalb des Europäischen Wirtschaftsraums erfolgen nur unter Beachtung der Artikel 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses, geeigneter Garantien oder einer einschlägigen gesetzlichen Ausnahme. DS81 stellt dem Kunden auf Anfrage Informationen zur verwendeten Übermittlungsgrundlage bereit.
10. Nachweise und Kontrollen
DS81 stellt die erforderlichen Informationen zum Nachweis der Pflichten aus Artikel 28 DSGVO bereit. Kontrollen sind mit angemessener Vorankündigung, unter Wahrung von Betriebs- und Geschäftsgeheimnissen und grundsätzlich während üblicher Geschäftszeiten durchzuführen. Gleichwertige Zertifikate, Prüfberichte oder standardisierte Nachweise können Vor-Ort-Prüfungen ersetzen, soweit sie eine angemessene Beurteilung ermöglichen.
11. Rückgabe und Löschung
Nach Ende der Auftragsverarbeitung löscht oder gibt DS81 die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Kunden zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen der festgelegten Lösch- und Überschreibzyklen entfernt und bis dahin geschützt.
12. Haftung und Schlussbestimmungen
Für die Haftung gelten Artikel 82 DSGVO sowie die anwendbaren gesetzlichen und vertraglichen Regelungen. Änderungen dieses Vertrags sollen in Textform dokumentiert werden. Bei Widersprüchen gehen zwingende datenschutzrechtliche Regelungen vor.