Auftragsverarbeitungsvertrag (AVV)

1. Parteien und Geltungsbereich

Dieser Auftragsverarbeitungsvertrag ("AVV") wird zwischen Nodesty LLC ("Auftragsverarbeiter") und dem Kunden geschlossen, der die Nutzungsbedingungen akzeptiert ("Verantwortlicher"), und ist Bestandteil der Nutzungsbedingungen.

Der AVV gilt, wenn der Verantwortliche auf den Diensten personenbezogene Daten hostet oder verarbeitet, die der DSGVO, der UK GDPR, dem Schweizer Datenschutzgesetz oder dem KVKK unterliegen. Bei Widersprüchen zu den Nutzungsbedingungen in Datenschutzfragen hat der AVV Vorrang.

2. Begriffe

"Kundendaten" sind personenbezogene Daten, die der Verantwortliche auf den Diensten hostet, überträgt oder verarbeitet. Begriffe wie "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter" und "Verletzung des Schutzes personenbezogener Daten" haben die Bedeutung aus dem anwendbaren Datenschutzrecht.

3. Einzelheiten der Verarbeitung

• Gegenstand: Erbringung von Hostingdiensten wie virtuellen Servern, dedizierten Servern, Webhosting und Mail-Hosting.
• Dauer: Laufzeit der Dienste und nach deren Ende bis zum Abschluss der Löschung.
• Art: Speicherung, Hosting, Übertragung über das Netzwerk, Backup und technischer Support.
• Zweck: Erbringung der Dienste nach den Nutzungsbedingungen.
• Datenarten: vom Verantwortlichen bestimmt; alle personenbezogenen Daten, die der Verantwortliche auf die Dienste lädt.
• Betroffene Personen: vom Verantwortlichen bestimmt, zum Beispiel dessen Kunden, Nutzer und Beschäftigte.

4. Weisungen

Der Auftragsverarbeiter verarbeitet Kundendaten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisungen gelten die Nutzungsbedingungen, dieser AVV sowie die Aktionen, die der Verantwortliche über das Kundenpanel, die API oder Supportkanäle ausführt.

Der Auftragsverarbeiter greift auf den Inhalt der Kundendaten nur auf Supportanfrage des Verantwortlichen, zur Behebung eines Sicherheitsvorfalls oder aufgrund einer gesetzlichen Pflicht zu. Hält er eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich.

5. Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die Personen, die er zum Zugriff auf Kundendaten berechtigt, vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind, und beschränkt den Zugriff auf diejenigen, die ihn für ihre Arbeit benötigen.

6. Sicherheitsmaßnahmen

Gemäß Art. 32 DSGVO und Art. 12 KVKK wendet der Auftragsverarbeiter mindestens folgende Maßnahmen an:

• Physisch gesicherte Rechenzentren und redundante Netzwerkinfrastruktur.
• DDoS-Schutz und Verkehrsfilterung auf Netzwerkebene.
• Rollenbasierter Zugriff auf Verwaltungssysteme, Zwei-Faktor-Authentifizierung und Zugriffsprotokolle.
• TLS-Verschlüsselung des Datenverkehrs von Kundenpanel und API.
• Sicherheitsprotokollierung und Überwachung von Vorfällen.

Bei nicht verwalteten (unmanaged) Diensten liegen Betriebssystem, Anwendungen, Zugangsdaten und Backups der Kundendaten in der Verantwortung des Verantwortlichen.

7. Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung, die auf der Seite Unterauftragsverarbeiter aufgeführten Anbieter einzusetzen. Der Auftragsverarbeiter aktualisiert die Liste mindestens 30 Tage, bevor er einen neuen Unterauftragsverarbeiter hinzufügt.

Innerhalb dieser Frist kann der Verantwortliche aus berechtigten datenschutzrechtlichen Gründen per E-Mail an privacy@nodesty.com widersprechen. Finden die Parteien keine angemessene Lösung, kann der Verantwortliche den betroffenen Dienst kündigen und erhält im Voraus gezahlte Entgelte für den ungenutzten Zeitraum zurück.

Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern Pflichten auf, die denen dieses AVV gleichwertig sind, und haftet gegenüber dem Verantwortlichen für deren Nichterfüllung.

8. Anfragen betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen über das Kundenpanel und die Supportkanäle in angemessenem Umfang bei der Beantwortung von Anfragen betroffener Personen. Geht eine Anfrage direkt beim Auftragsverarbeiter ein, leitet er sie ohne Beantwortung an den Verantwortlichen weiter.

9. Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Kundendaten betrifft. Die Meldung beschreibt, soweit zu diesem Zeitpunkt bekannt, die Art der Verletzung, die betroffenen Datenkategorien, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen.

10. Folgenabschätzung und Konsultation

Der Auftragsverarbeiter stellt dem Verantwortlichen in angemessenem Umfang die Informationen bereit, die dieser für Datenschutz-Folgenabschätzungen und die vorherige Konsultation der Aufsichtsbehörden benötigt.

11. Löschung oder Rückgabe

Der Verantwortliche ist dafür verantwortlich, Kundendaten vor dem Ende des Dienstes zu exportieren. Nach dem Ende des Dienstes werden die Server und Speicherbereiche mit Kundendaten gelöscht. Daten, die gesetzlich aufbewahrt werden müssen, werden für die Dauer dieser Pflicht aufbewahrt.

12. Informationen und Prüfungen

Der Auftragsverarbeiter stellt auf Anfrage die Informationen bereit, die zum Nachweis der Einhaltung dieses AVV erforderlich sind. Der Verantwortliche kann höchstens einmal jährlich mit 30 Tagen schriftlicher Vorankündigung, auf eigene Kosten und vorrangig durch Dokumentenprüfung eine Prüfung durchführen. Prüfungen erfolgen, ohne die Daten oder die Sicherheit anderer Kunden des Auftragsverarbeiters zu beeinträchtigen.

13. Internationale Übermittlungen

• EWR: Die Standardvertragsklauseln nach dem Durchführungsbeschluss 2021/914 der Europäischen Kommission, Modul 2 (Verantwortlicher an Auftragsverarbeiter) und Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), sind durch Verweis Bestandteil dieses AVV. Klausel 7 (Kopplungsklausel) gilt nicht; für Klausel 9 gilt die allgemeine Genehmigung mit einer Frist von 30 Tagen; die optionale Formulierung in Klausel 11 gilt nicht. Für die Klauseln 17 und 18 gelten irisches Recht und die Gerichte Irlands. Die Anhänge gelten als mit den Einzelheiten der Verarbeitung und den Sicherheitsmaßnahmen dieses AVV ausgefüllt.
• Vereinigtes Königreich: Das International Data Transfer Addendum (IDTA Addendum) des britischen Information Commissioner gilt als den obigen Klauseln hinzugefügt.
• Schweiz: Die Standardvertragsklauseln gelten mit Verweisen, die als Verweise auf das Schweizer Datenschutzgesetz zu lesen sind.
• Türkei: Der vom Datenschutzrat nach Art. 9 KVKK veröffentlichte Standardvertrag wird auf Wunsch des Verantwortlichen von den Parteien unterzeichnet.

14. Haftung und Laufzeit

Die Haftung der Parteien aus diesem AVV unterliegt den Beschränkungen der Nutzungsbedingungen; diese Beschränkungen schränken jedoch die gesetzlichen Rechte betroffener Personen nicht ein. Der AVV gilt, solange der Auftragsverarbeiter Kundendaten verarbeitet.

15. Annahme

Mit der Annahme der Nutzungsbedingungen wird auch dieser AVV angenommen. Wenn Sie ein unterzeichnetes Exemplar benötigen, schreiben Sie mit Ihren Unternehmensdaten an privacy@nodesty.com.