Der Auftraggeber beauftragt den Auftragnehmer mit der Erbringung von IT-Dienstleistungen, insbesondere im Bereich Webhosting, Server-Hosting, E-Mail-Hosting, Domain-Services und weiteren IT-Services. Im Rahmen dieser Leistungserbringung verarbeitet der Auftragnehmer personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers.

Dieser Vertrag zur Auftragsverarbeitung regelt die Rechte und Pflichten beider Vertragsparteien im Hinblick auf den Datenschutz gemäß der Datenschutz-Grundverordnung (DSGVO) und dem Bundesdatenschutzgesetz (BDSG).

Der Auftragnehmer erbringt für den Auftraggeber folgende Leistungen:

Dieser Auftragsverarbeitungsvertrag gilt für die Dauer der Hauptvertragsbeziehung und endet automatisch mit Beendigung des Hauptvertrages. Die Bestimmungen dieses Vertrages gelten über die Beendigung hinaus, soweit dies für die ordnungsgemäße Löschung oder Rückgabe der Daten erforderlich ist.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der dokumentierten Weisungen des Auftraggebers. Dies gilt auch für Übermittlungen personenbezogener Daten an Drittländer oder internationale Organisationen, sofern der Auftraggeber keine anderweitige Weisung erteilt hat. Weisungen werden anfänglich durch diesen Vertrag festgelegt und können danach vom Auftraggeber schriftlich oder in Textform (E-Mail) geändert, ergänzt oder ersetzt werden.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere datenschutzrechtliche Bestimmungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

Der Auftragnehmer verpflichtet sich zur Wahrung der Vertraulichkeit. Die Verarbeitung personenbezogener Daten erfolgt nur durch Personen, die:

• zur Verarbeitung autorisiert sind,
• zur Vertraulichkeit verpflichtet wurden oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen (§ 53 BDSG),
• über die einschlägigen Bestimmungen des Datenschutzes unterrichtet wurden.

Diese Verpflichtungen bleiben auch nach Beendigung des Vertragsverhältnisses bestehen.

Der Auftragnehmer hat gemäß Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen geeignete technische und organisatorische Maßnahmen zu treffen.

Die detaillierten technischen und organisatorischen Maßnahmen sind in Anlage 1 (TOM) zu diesem Vertrag dokumentiert und Vertragsbestandteil.

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten gemäß Art. 33 und 34 DSGVO (Meldung von Datenschutzverletzungen). Bei einer Verletzung des Schutzes personenbezogener Daten meldet der Auftragnehmer dies dem Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden.

Die Meldung muss mindestens folgende Informationen enthalten:

• Beschreibung der Art der Datenschutzverletzung
• Kategorien und ungefähre Anzahl betroffener Personen
• Kategorien und ungefähre Anzahl betroffener Datensätze
• Beschreibung der wahrscheinlichen Folgen
• Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen
• Name und Kontaktdaten einer Kontaktperson für weitere Informationen

Der Auftragnehmer unterstützt den Auftraggeber:

• bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch)
• bei der Einhaltung der Pflichten zur Datensicherheit gemäß Art. 32 DSGVO
• bei der Meldepflicht gegenüber Aufsichtsbehörden gemäß Art. 33 DSGVO
• bei der Benachrichtigung betroffener Personen gemäß Art. 34 DSGVO
• bei der Durchführung von Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO
• bei vorherigen Konsultationen mit Aufsichtsbehörden gemäß Art. 36 DSGVO

Für den erforderlichen Aufwand zur Unterstützung des Auftraggebers kann der Auftragnehmer eine angemessene Vergütung verlangen, sofern die Unterstützung über den üblichen Vertragsumfang hinausgeht.

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zur Beauftragung von Subunternehmern. Aktuell beauftragt der Auftragnehmer folgende Subunternehmer:

Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Subunternehmern mindestens 30 Tage im Voraus per E-Mail. Der Auftraggeber hat die Möglichkeit, gegen diese Änderungen innerhalb von 14 Tagen nach Erhalt der Information Einspruch zu erheben.

Erfolgt kein Einspruch innerhalb der Frist, gilt die Zustimmung als erteilt.

Der Auftragnehmer stellt sicher, dass:

• mit dem Subunternehmer ein Vertrag geschlossen wird, der dieselben Datenschutzpflichten auferlegt wie in diesem Vertrag festgelegt
• der Subunternehmer ausreichende Garantien dafür bietet, dass geeignete technische und organisatorische Maßnahmen getroffen werden
• die Verarbeitung durch den Subunternehmer den Weisungen des Auftraggebers entspricht
• der Auftragnehmer gegenüber dem Auftraggeber die volle Haftung für die Erfüllung der Pflichten des Subunternehmers trägt

Der Auftraggeber hat das Recht, vom Auftragnehmer alle für den Nachweis der Einhaltung der Pflichten aus diesem Vertrag erforderlichen Informationen zu verlangen.

Der Auftraggeber ist berechtigt, Inspektionen - einschließlich Kontrollen vor Ort - sowie Audits durch vom Auftraggeber beauftragte Prüfer durchzuführen, um die Einhaltung dieses Vertrages und der datenschutzrechtlichen Bestimmungen zu überprüfen.

Inspektionen und Audits sind dem Auftragnehmer mindestens 14 Tage im Voraus anzukündigen und in Abstimmung mit dem Auftragnehmer so durchzuführen, dass der Geschäftsbetrieb möglichst wenig beeinträchtigt wird.

Der Auftragnehmer kann die Kontrolle auch durch Vorlage geeigneter Zertifikate, Testberichte oder anderer Nachweise erfüllen (z.B. ISO 27001, SOC 2, Datenschutzaudit).

Der Auftragnehmer kann den Nachweis der Einhaltung der datenschutzrechtlichen Pflichten auch durch folgende Nachweise erbringen:

• Genehmigter Verhaltenskodex gemäß Art. 40 DSGVO
• Zertifizierungsverfahren gemäß Art. 42 DSGVO
• Externe Datenschutzaudits (z.B. durch TÜV oder andere akkreditierte Stellen)
• Berichte über technische und organisatorische Maßnahmen

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht oder gibt der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten zurück, die Gegenstand des Auftrags waren, und löscht alle vorhandenen Kopien.

Von der Löschungs- bzw. Rückgabepflicht ausgenommen sind Daten, die der Auftragnehmer aufgrund rechtlicher Verpflichtungen aufbewahren muss. Diese Daten werden gesperrt und nur für die Zwecke verarbeitet, die ihrer Löschung entgegenstehen. Nach Ablauf der Aufbewahrungspflicht werden auch diese Daten gelöscht.

Der Auftragnehmer bestätigt dem Auftraggeber die vollständige Löschung aller Daten schriftlich. Der Nachweis umfasst:

• Datum und Uhrzeit der Löschung
• Umfang der gelöschten Daten
• Methode der Löschung (inkl. Löschung von Backups)
• Bestätigung der Löschung bei Subunternehmern

Für Schäden, die durch eine Verarbeitung personenbezogener Daten entstehen, haftet der Auftragnehmer gemäß Art. 82 DSGVO, wenn er die ihm obliegenden Pflichten nicht erfüllt hat oder wenn er gegen rechtmäßige Weisungen des Auftraggebers verstoßen hat.

Der Auftragnehmer haftet nicht, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist.

Sind mehrere Verantwortliche oder Auftragsverarbeiter an derselben Verarbeitung beteiligt und sind sie gemäß Art. 82 DSGVO für Schäden verantwortlich, so haftet jeder Verantwortliche oder Auftragsverarbeiter gesamtschuldnerisch für den gesamten Schaden, damit eine wirksame Entschädigung der betroffenen Person sichergestellt ist.

Beide Parteien informieren sich gegenseitig unverzüglich über Änderungen der Kontaktdaten ihrer Datenschutzbeauftragten bzw. datenschutzrechtlichen Ansprechpartner.

Eine Verarbeitung der personenbezogenen Daten durch den Auftragnehmer in einem Drittland (außerhalb der EU/des EWR) findet nicht statt.

Sollte zukünftig eine Verarbeitung in einem Drittland erforderlich werden, wird der Auftragnehmer den Auftraggeber vorab informieren und die Übermittlung nur nach ausdrücklicher Zustimmung des Auftraggebers und unter Einhaltung der Voraussetzungen der Art. 44 ff. DSGVO durchführen.

Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform oder der Textform (E-Mail mit qualifizierter elektronischer Signatur). Dies gilt auch für die Änderung dieser Schriftformklausel.

Die Bestimmungen dieses Auftragsverarbeitungsvertrages gehen widersprüchlichen Bestimmungen in anderen Vereinbarungen zwischen den Parteien vor, soweit sie die Verarbeitung personenbezogener Daten betreffen.

Sollten einzelne Bestimmungen dieses Vertrages unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen dadurch nicht berührt. Die unwirksame Bestimmung ist durch eine wirksame Regelung zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.

Für diesen Vertrag gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG).

Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist Schwelm, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Dieser Auftragsverarbeitungsvertrag tritt mit Unterzeichnung durch beide Parteien in Kraft und wird Bestandteil der zwischen den Parteien geschlossenen Hauptverträge.

Folgende Anlagen sind Bestandteil dieses Vertrages:

• Anlage 1: Technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 DSGVO
• Anlage 2: Liste der autorisierten Subunternehmer
• Anlage 3: Dokumentierte Weisungen des Auftraggebers (optional)

Ziel: Unbefugten den Zutritt zu Datenverarbeitungsanlagen zu verwehren.

Ziel: Verhinderung unbefugter Systemnutzung.

Ziel: Sicherstellung, dass Berechtigte nur auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen können.

Ziel: Getrennte Verarbeitung von Daten, die zu unterschiedlichen Zwecken erhoben wurden.

Ziel: Verarbeitung personenbezogener Daten in einer Weise, dass diese ohne Hinzuziehung zusätzlicher Informationen nicht mehr einer spezifischen betroffenen Person zugeordnet werden können.

Ziel: Verhinderung unbefugten Lesens, Kopierens, Veränderns oder Löschens bei elektronischer Übertragung.

Ziel: Nachträgliche Überprüfbarkeit, ob und von wem Daten eingegeben, verändert oder entfernt wurden.

Ziel: Schutz der Daten gegen zufällige Zerstörung oder Verlust.

Ziel: Schnelle Reaktion auf Sicherheitsvorfälle.

Ziel: Minimierung von Ausfallzeiten.

Ziel: Sicherstellung, dass Daten nur nach Weisung verarbeitet werden.

• Datenschutz-Grundverordnung (DSGVO / EU 2016/679)
• Bundesdatenschutzgesetz (BDSG)
• Telekommunikation-Telemedien-Datenschutz-Gesetz (TTDSG)
• Telemediengesetz (TMG)
• IT-Sicherheitsgesetz

• ISO/IEC 27001 (Informationssicherheits-Managementsystem)
• BSI IT-Grundschutz
• OWASP Top 10 (Web Application Security)
• CIS Benchmarks (Center for Internet Security)
• PCI DSS Grundsätze (bei Zahlungsverkehr)

Diese technischen und organisatorischen Maßnahmen werden regelmäßig überprüft und dem aktuellen Stand der Technik angepasst. Der Auftraggeber wird über wesentliche Änderungen informiert.

Der Auftraggeber bestätigt, dass er die vorstehend beschriebenen technischen und organisatorischen Maßnahmen zur Kenntnis genommen hat und diese als angemessen und ausreichend für die vereinbarte Datenverarbeitung erachtet.

Gemäß § 5 des Auftragsverarbeitungsvertrages setzt DomiXo - IT-Service folgende Subunternehmer für die Erbringung der vereinbarten Leistungen ein:

Derzeit werden keine weiteren Subunternehmer eingesetzt. Sollte der Einsatz weiterer Subunternehmer erforderlich werden, wird der Auftraggeber gemäß § 5.2 des Auftragsverarbeitungsvertrages mindestens 30 Tage im Voraus informiert.

Änderungen an der Liste der Subunternehmer werden dem Auftraggeber wie folgt mitgeteilt:

• Mitteilungsform: Per E-Mail an die im Vertrag hinterlegte E-Mail-Adresse
• Mitteilungsfrist: Mindestens 30 Tage vor geplantem Einsatz
• Widerspruchsfrist: 14 Tage nach Erhalt der Mitteilung
• Widerspruchsfolgen: Bei berechtigtem Widerspruch wird der Subunternehmer nicht eingesetzt oder eine alternative Lösung gefunden

Die nachfolgend dokumentierten Weisungen konkretisieren die Verarbeitung personenbezogener Daten durch DomiXo - IT-Service. Diese Weisungen ergänzen die im Hauptvertrag festgelegten allgemeinen Bestimmungen.

Änderungen oder Ergänzungen dieser Weisungen können vom Auftraggeber jederzeit in Textform (E-Mail) erteilt werden. Der Auftragnehmer bestätigt den Erhalt und die Umsetzbarkeit innerhalb von 5 Werktagen. Bei Unklarheiten oder Bedenken hinsichtlich der Rechtmäßigkeit einer Weisung informiert der Auftragnehmer den Auftraggeber unverzüglich.

Bitte überprüfen Sie vor der Unterzeichnung:

Vielen Dank für Ihr Vertrauen!

DomiXo - IT-Service
Inhaber: Frank Marten
Kirchstr. 21
Schwelm, Deutschland

Web: www.domixo.de
E-Mail: info@domixo.de
Datenschutz: datenschutz@domixo.de