Vertrag zur Auftragsverarbeitung

Auftragsverarbeiter ist Elvis Ayong, Kitmon360 – Webdesign (Einzelunternehmen), Düppelstraße 15, 45897 Gelsenkirchen. Verantwortlicher ist der Kunde nach dem zugrunde liegenden Hauptvertrag.

Gegenstand der Verarbeitung ist der Betrieb, das Hosting und die Pflege der für den Verantwortlichen erstellten Website einschließlich der dabei anfallenden Daten.

Die Laufzeit dieses Vertrages entspricht der Laufzeit des Hauptvertrages. Er endet automatisch mit dessen Beendigung.

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

Zweck der Verarbeitung ist die Bereitstellung und der technische Betrieb der Website des Verantwortlichen sowie die Übermittlung von Anfragen an ihn.

Verarbeitet werden insbesondere folgende Arten personenbezogener Daten:

• Kontakt- und Bestandsdaten aus Formularen: Name, E-Mail-Adresse, Telefonnummer, Nachrichtentext
• Nutzungsdaten aus Server-Protokollen: IP-Adresse, Zeitpunkt des Zugriffs, abgerufene Adresse, übertragene Datenmenge
• soweit vereinbart: Termin- und Buchungsdaten

Kreise der betroffenen Personen sind Besucherinnen und Besucher der Website, Interessentinnen und Interessenten sowie Kundinnen und Kunden des Verantwortlichen und, soweit die Website ein Bewerbungsformular enthält, Bewerberinnen und Bewerber.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet, es sei denn, die Parteien vereinbaren dies ausdrücklich und gesondert in Textform.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Weisungen erfolgen in Textform. Der zugrunde liegende Hauptvertrag und dieser Vertrag gelten als Erstweisung.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis sie bestätigt oder geändert wird.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich selbst. Setzt er Beschäftigte oder sonstige Personen ein, verpflichtet er diese vor Aufnahme der Tätigkeit auf Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des Vertrages fort.

Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere:

• Verschlüsselte Übertragung sämtlicher Verbindungen über TLS (HTTPS); Aufrufe über unverschlüsselte Verbindungen werden umgeleitet
• Verschlüsselte Speicherung der Daten beim eingesetzten Hosting-Dienstleister
• Zugriff auf Produktionssysteme ausschließlich über persönliche Konten mit Zwei-Faktor-Authentisierung
• Trennung der Projekte verschiedener Kunden voneinander
• regelmäßige automatisierte Sicherungen sowie Prüfung der Wiederherstellbarkeit
• zeitnahes Einspielen sicherheitsrelevanter Aktualisierungen der eingesetzten Software
• Protokollierung administrativer Zugriffe und Veränderungen
• Grundsatz der Datenminimierung: Es werden keine Cookies zu Analysezwecken und keine Tracking-Dienste eingesetzt, soweit dies nicht ausdrücklich mit dem Verantwortlichen vereinbart ist
• festgelegtes Vorgehen zur Löschung der Daten nach Vertragsende
• Überprüfung und Bewertung der Wirksamkeit dieser Maßnahmen mindestens einmal jährlich

Der Auftragsverarbeiter darf die Maßnahmen im Laufe des Vertrages anpassen, sofern das Schutzniveau dadurch nicht unterschritten wird.

Der Verantwortliche stimmt der Beauftragung folgender Unterauftragsverarbeiter zu:

• Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA – Hosting und Auslieferung der Website

Die jeweils aktuelle und vollständige Liste der eingesetzten Unterauftragsverarbeiter, einschließlich der Anbieter für E-Mail-Postfach und Domainverwaltung, stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage in Textform zur Verfügung.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann der Änderung innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, kann jede Partei den Hauptvertrag mit einer Frist von einem Monat kündigen, wenn keine einvernehmliche Lösung gefunden wird.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf Datenschutzpflichten, die denen dieses Vertrages entsprechen.

Eine Verarbeitung personenbezogener Daten außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

Soweit ein Unterauftragsverarbeiter Daten in einem Drittland verarbeitet, stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission oder auf Standardvertragsklauseln nebst gegebenenfalls erforderlicher ergänzender Maßnahmen.

Die Auslieferung der Website erfolgt nach Möglichkeit über Standorte innerhalb der Europäischen Union.

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Auskünfte an Dritte oder betroffene Personen erteilt der Auftragsverarbeiter nur nach vorheriger Weisung des Verantwortlichen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten und bei einer Datenschutz-Folgenabschätzung.

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er dies dem Verantwortlichen unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, und teilt die ihm bekannten Umstände mit.

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

Der Verantwortliche kann sich nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten von der Einhaltung überzeugen. Die Überprüfung darf den Betriebsablauf nicht unangemessen beeinträchtigen.

Der Nachweis kann auch durch die Vorlage geeigneter Zertifizierungen, Testate oder Berichte unabhängiger Stellen geführt werden, auch solcher der eingesetzten Unterauftragsverarbeiter.

Nach Beendigung des Vertrages gibt der Auftragsverarbeiter dem Verantwortlichen die verarbeiteten Daten nach dessen Wahl heraus oder löscht sie.

Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende in Textform mit. Trifft er keine Wahl, löscht der Auftragsverarbeiter die Daten nach Ablauf dieser Frist.

Bestehen gesetzliche Aufbewahrungspflichten, bleiben die betroffenen Daten bis zum Ablauf der jeweiligen Frist gespeichert; die Verarbeitung wird insoweit eingeschränkt.

Sicherungskopien werden im Rahmen der üblichen Sicherungszyklen gelöscht.

Für die Haftung gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrages.

Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform.

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Sollte eine Bestimmung dieses Vertrages unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.