Vertrag über die Auftragsverarbeitung (Art. 28 DSGVO)
zwischen dem Kunden als Verantwortlichem und AMP Beratung, Inhaberin Anja Miebach, Langer Weg 7b, 33332 Gütersloh, Marke regionalflat, als Auftragsverarbeiter („regionalflat“).
1. Gegenstand und Dauer
- regionalflat verarbeitet personenbezogene Daten im Auftrag des Kunden, um die Leistungen aus dem regionalflat-Vertrag (Hauptvertrag) zu erbringen.
- Dieser Vertrag gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange regionalflat Daten des Kunden verarbeitet.
2. Art, Zweck, Daten und Betroffene
| Inhalt | |
|---|---|
| Art der Verarbeitung | Hosting und Betrieb der Website, Empfang und Weiterleitung von Anfragen, Speicherung von Bewerbungen, Auswertung für den Monatsbericht |
| Zweck | Bereitstellung der Website des Kunden und der vereinbarten Sichtbarkeitsleistungen |
| Datenarten | Kontaktdaten (Name, E-Mail, Telefon), Inhalte von Anfragen, Bewerbungsunterlagen (nur Professional und Premium), technische Zugriffsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite) |
| Betroffene | Besucher der Website, Interessenten und Kunden des Kunden, Bewerber |
| Ort | ausschließlich in der EU bzw. im EWR |
Nicht Gegenstand dieses Vertrags: die Pflege des Google-Unternehmensprofils und die Messung der Sichtbarkeit, soweit dabei keine personenbezogenen Daten Dritter verarbeitet werden.
3. Pflichten von regionalflat
- Weisung. regionalflat verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Der Hauptvertrag und dieser Vertrag sind die Weisung; weitere Weisungen erteilt der Kunde in Textform. Hält regionalflat eine Weisung für rechtswidrig, weist sie den Kunden darauf hin.
- Vertraulichkeit. Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
- Sicherheit. regionalflat trifft die technischen und organisatorischen Maßnahmen aus der Anlage und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
- Unterstützung. regionalflat unterstützt den Kunden bei Anfragen Betroffener (Auskunft, Löschung, Berichtigung) und bei seinen Pflichten aus Art. 32 bis 36 DSGVO. Anfragen, die direkt bei regionalflat eingehen, leitet sie unverzüglich weiter.
- Meldung. regionalflat informiert den Kunden unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.
- Nachweis. regionalflat stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind.
4. Unterauftragsverarbeiter
- Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
| Anbieter | Leistung | Ort |
|---|---|---|
| Mittwald, Espelkamp (vorbehaltlich Vertrag) | Betrieb der Websites | Deutschland |
| IONOS SE, Montabaur | E-Mail-Versand von Anfragen und Bewerbungen | Deutschland |
- regionalflat informiert den Kunden mindestens 4 Wochen vorher in Textform über neue oder ersetzte Unterauftragsverarbeiter. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; dann kann jede Seite den Hauptvertrag zum Wechsel kündigen.
- regionalflat verpflichtet Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags.
5. Kontrollrechte des Kunden
Der Kunde kann die Einhaltung dieses Vertrags prüfen, vorrangig durch Auskünfte und Nachweise (z. B. Zertifikate der Unterauftragsverarbeiter), bei begründetem Anlass auch vor Ort nach Anmeldung mit 14 Tagen Vorlauf während der Geschäftszeiten.
6. Löschung und Rückgabe
- Nach Ende des Hauptvertrags löscht regionalflat alle Daten des Kunden binnen 30 Tagen, sofern der Kunde nicht vorher die Rückgabe verlangt und keine gesetzliche Aufbewahrungspflicht besteht.
- Anfragen und Bewerbungen, die über die Website eingehen, leitet regionalflat dem Kunden laufend zu und speichert sie selbst höchstens 90 Tage.
7. Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor. Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO).
Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Stand für ein Ein-Personen-Unternehmen.
| Bereich | Maßnahme |
|---|---|
| Zutritt | Server im Rechenzentrum des Hosting-Anbieters nach ISO 27001 zertifiziert; kein eigener Serverraum |
| Zugang | Anmeldung nur mit persönlichem Konto, starken Passwörtern und Zwei-Faktor-Anmeldung; Passwörter im Passwort-Manager |
| Zugriff | Zugriff auf Kundendaten nur durch Oliver Parrizas; kein Zugriff durch Dritte außer Unterauftragsverarbeitern |
| Weitergabe | Übertragung nur verschlüsselt (HTTPS/TLS); Formulare versenden Anfragen verschlüsselt |
| Eingabekontrolle | Protokollierung von Anmeldungen und Änderungen am Server Aufbewahrung 30 Tage |
| Verfügbarkeit | Tägliche Sicherung, Aufbewahrung 14 Tage, getrennt vom Live-System; Wiederherstellung zweimal im Jahr getestet |
| Trennung | Jede Kunden-Website läuft getrennt; Daten verschiedener Kunden werden nicht zusammengeführt |
| Datensparsamkeit | Formulare fragen nur ab, was für die Anfrage nötig ist; keine Tracking-Dienste Dritter auf Kunden-Websites ohne Einwilligung |
| Endgeräte | Festplattenverschlüsselung, automatische Updates, Bildschirmsperre |
| Überprüfung | Jährliche Durchsicht dieser Maßnahmen |