Vertrag zur Auftragsverarbeitung

1. Parteien und Gegenstand

Verantwortlicher ist der in der Hosting-Bestellung bezeichnete Kunde. Auftragsverarbeiter ist Dominik Weber, SimplifyVision, Jöllenbecker Str. 143, 33613 Bielefeld. Gegenstand ist die Bereitstellung und technische Betreuung der vereinbarten Server- und Anwendungsumgebung. Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage 1.

2. Dauer

Die Verarbeitung beginnt mit der Bereitstellung und endet mit dem Hostingvertrag. Gesetzliche Aufbewahrungs- und Nachweispflichten sowie technisch erforderliche Löschfristen bleiben unberührt.

3. Weisungen

SimplifyVision verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, soweit keine gesetzliche Pflicht entgegensteht. Hosting-Bestellung, Leistungsbeschreibung und schriftliche Folgeanweisungen gelten als Weisungen. Besteht eine gesetzliche Verarbeitungspflicht, wird der Kunde vor der Verarbeitung informiert, soweit das Gesetz dies nicht aus wichtigem öffentlichen Interesse untersagt. Hält SimplifyVision eine Weisung für rechtswidrig, wird der Kunde unverzüglich informiert und die Ausführung darf bis zur Klärung ausgesetzt werden.

4. Pflichten von SimplifyVision

• Vertraulichkeitsverpflichtung aller zugriffsberechtigten Personen
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO und Anlage 2
• Unterstützung bei Betroffenenrechten sowie den Pflichten des Kunden nach Art. 32 bis 36 DSGVO im angemessenen Umfang
• Unverzügliche Information über Verletzungen des Schutzes personenbezogener Daten an den benannten Kundenkontakt mit den jeweils verfügbaren Angaben
• Führung der erforderlichen Verzeichnisse und Bereitstellung notwendiger Nachweise

5. Pflichten des Kunden

Der Kunde ist für Rechtmäßigkeit, Transparenz, Datenminimierung, Löschkonzept und Weisungen verantwortlich. Er vergibt nur erforderliche Zugriffe, meldet Änderungen des Schutzbedarfs und verwendet keine unverschlüsselten Kanäle für Zugangsdaten oder besondere Kategorien personenbezogener Daten.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine schriftliche Genehmigung und genehmigt konkret den Einsatz der netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland, für Rechenzentrums-, Netzwerk- und Serverinfrastruktur in Nürnberg. SimplifyVision informiert mindestens 14 Tage vor dem Einsatz eines weiteren oder ersetzenden Unterauftragsverarbeiters und stellt die für einen Widerspruch erforderlichen Informationen bereit. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Parteien suchen dann eine zumutbare Alternative; ist keine möglich, kann die betroffene Leistung außerordentlich beendet werden. Unterauftragsverarbeiter werden mindestens gleichwertig verpflichtet. SimplifyVision bleibt gegenüber dem Kunden für deren Pflichterfüllung verantwortlich und stellt auf Anfrage eine erforderlichenfalls geschwärzte Kopie der Datenschutzregelungen bereit.

7. Drittlandübermittlung

Die vereinbarte Kerninfrastruktur wird in Deutschland betrieben. Eine Übermittlung in Drittländer erfolgt nur auf dokumentierte Weisung oder mit zulässigem Übermittlungsinstrument und Information des Kunden.

8. Kontrollen und Audits

SimplifyVision stellt auf Anfrage geeignete Informationen zum Nachweis der Pflichten bereit und ermöglicht erforderliche Überprüfungen einschließlich Inspektionen. Audits werden mit angemessener Vorankündigung, während Geschäftszeiten und unter Schutz der Daten anderer Kunden durchgeführt; bei konkretem Verdacht auf einen wesentlichen Verstoß oder nach einem relevanten Sicherheitsvorfall ist eine kürzere Frist zulässig. Nur nachweisbarer Zusatzaufwand für wiederholte oder nicht anlassbezogene Prüfungen darf nach vorheriger Abstimmung berechnet werden.

9. Rückgabe und Löschung

Nach Vertragsende werden Kundendaten nach Wahl des Kunden herausgegeben oder einschließlich vorhandener Kopien gelöscht, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Produktivdaten werden nach Ablauf einer vereinbarten Übergangsfrist gelöscht; rollierende Sicherungen werden spätestens sieben Tage nach der Produktivlöschung überschrieben. Die Löschung wird auf Anfrage bestätigt.

Anlage 1 – Beschreibung der Verarbeitung

Zweck: Hosting, Speicherung, Auslieferung, Sicherung, Monitoring, Fehleranalyse und vereinbarte Anwendungspflege.

Art der Verarbeitung: Speichern, Übermitteln, Bereitstellen, Sichern, Wiederherstellen, Protokollieren, Einschränken und Löschen.

Datenarten: Stamm-, Kontakt-, Vertrags-, Inhalts-, Nutzungs-, Kommunikations-, Protokoll- und Zugangsdaten. Besondere Kategorien nach Art. 9 DSGVO werden nur nach gesonderter dokumentierter Vereinbarung und Festlegung angemessener Schutzmaßnahmen verarbeitet.

Betroffene: Beschäftigte, Kunden, Interessenten, Lieferanten, Website- und Anwendungsnutzer des Kunden.

Anlage 2 – Technische und organisatorische Maßnahmen

• Zutrittskontrolle: Rechenzentrumsschutz durch netcup; kein eigener physischer Serverzugang von SimplifyVision.
• Zugangskontrolle: individuelle Administrationszugänge, starke Passwörter, SSH-Schlüssel und Mehrfaktorauthentifizierung, soweit verfügbar.
• Zugriffskontrolle: Minimalprinzip, Rollen und getrennte Kundenumgebungen.
• Übertragung: TLS für öffentlich erreichbare Dienste; verschlüsselte Verwaltungsverbindungen.
• Verfügbarkeit: Monitoring, Updates, tägliche verschlüsselte Backups und dokumentierte Wiederherstellungswege.
• Trennung: logische Trennung von Kunden, Produktiv- und Verwaltungsdaten.
• Kontrolle: Protokollierung administrativer Vorgänge soweit technisch angemessen, Schwachstellen- und Updateprüfung.
• Organisation: Vertraulichkeit, Incident-Prozess, regelmäßige Überprüfung der Maßnahmen und datenschutzfreundliche Voreinstellungen.