Auftragsverarbeitungsvertrag

Übersetzung: Bei Unterschieden gilt die niederländische Fassung.

Legst du personenbezogene Daten auf deinem Daylit-Hosting ab, zum Beispiel von Kunden, Mitgliedern oder Besuchern deiner Website, verarbeiten wir diese Daten in deinem Auftrag. Die DSGVO verlangt, dass wir dazu Vereinbarungen treffen (Artikel 28). Sie stehen unten und gelten automatisch für jeden Kunden, der über unseren Dienst personenbezogene Daten verarbeitet, als Teil unserer Allgemeinen Geschäftsbedingungen.

Dies ist eine Übersetzung der niederländischen verwerkersovereenkomst. Weichen die beiden Fassungen voneinander ab, gilt die niederländische Fassung.

1. Parteien und Rollen

1.1 Du bist der Verantwortliche: Du entscheidest, warum und wie personenbezogene Daten auf deinem Hosting verarbeitet werden.

1.2 BBJL B.V., handelnd unter dem Namen Daylit, Graafschap 5, 5431 DE Cuijk, ist der Auftragsverarbeiter: Wir verarbeiten die Daten nur, um dir den Hosting-Dienst zu erbringen.

2. Gegenstand und Dauer

2.1 Gegenstand: das Speichern, Bereitstellen, Sichern und technische Verwalten von Daten, die du auf deinem Hosting ablegst oder sammelst.

2.2 Arten von Daten: von dir bestimmt. Meist Kontaktdaten, Kontodaten, Bestellungen, Nachrichten und technische Daten wie IP-Adressen.

2.3 Betroffene Personen: von dir bestimmt. Meist Besucher, Kunden, Mitglieder und Mitarbeiter deiner Organisation.

2.4 Dauer: Diese Vereinbarungen gelten, solange wir Daten für dich verarbeiten, also solange der Hosting-Vertrag läuft und bis die Daten nach Artikel 9 gelöscht sind.

3. Nur auf deine Weisung

3.1 Wir verarbeiten die Daten nur, um den Dienst zu erbringen, und gemäß deinen schriftlichen Weisungen. Die Nutzung des Dienstes so, wie du ihn eingerichtet hast, gilt als Weisung.

3.2 Wir nutzen die Daten nie für eigene Zwecke, verkaufen sie nie und sehen uns den Inhalt nicht an, außer es ist für die technische Verwaltung, die Behebung einer Störung oder die Prüfung einer Missbrauchsmeldung nötig, oder weil das Gesetz es verlangt.

3.3 Sind wir der Meinung, dass eine Weisung gegen die DSGVO verstößt, sagen wir dir das sofort.

3.4 Verpflichtet uns das Gesetz, Daten herauszugeben, informieren wir dich vorher, außer das Gesetz verbietet das.

4. Vertraulichkeit

Jeder, der im Auftrag von Daylit Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet.

5. Sicherheit

Wir treffen geeignete technische und organisatorische Maßnahmen zum Schutz der Daten, darunter:

• Server in den Niederlanden, in einem abgeschirmten Netzwerk;
• Trennung zwischen Kunden: Jede Website läuft in einem eigenen isolierten Container;
• verschlüsselte Verbindungen (TLS) für Websites und Verwaltung;
• Zugang zu Systemen nur für diejenigen, die ihn brauchen, mit starker Authentifizierung;
• automatische Sicherheitsupdates des Betriebssystems;
• tägliche Backups;
• Protokollierung und Überwachung, um Missbrauch und Störungen zu erkennen.

Für die Sicherheit dessen, was du selbst verwaltest, etwa deine Themes, Plugins, deinen eigenen Code und deine Passwörter, bist du verantwortlich.

6. Unterauftragsverarbeiter

6.1 Derzeit setzen wir für das Speichern und Verarbeiten deiner Hosting-Daten keine Unterauftragsverarbeiter ein: Der Dienst läuft auf unserer eigenen Ausstattung.

6.2 Wollen wir einen Unterauftragsverarbeiter einsetzen, zum Beispiel für ein zusätzliches Backup an einem anderen Standort, sagen wir dir das mindestens 30 Tage vorher. Du kannst widersprechen. Können wir es nicht lösen, kannst du den Vertrag kostenlos kündigen.

6.3 Einem Unterauftragsverarbeiter erlegen wir dieselben Pflichten auf, wie sie in diesem Vertrag stehen.

6.4 Wir übermitteln keine Daten in Länder außerhalb des Europäischen Wirtschaftsraums ohne deine vorherige Zustimmung und ohne die Garantien, die die DSGVO verlangt.

7. Datenschutzverletzungen

7.1 Entdecken wir eine Sicherheitsverletzung, die deine Daten betrifft, sagen wir dir das unverzüglich und spätestens 48 Stunden nach der Entdeckung.

7.2 Wir geben dir die Informationen, die du brauchst, um zu beurteilen, ob du die niederländische Datenschutzbehörde oder betroffene Personen benachrichtigen musst: was passiert ist, welche Daten und wie viele betroffene Personen ungefähr wahrscheinlich betroffen sind, die möglichen Folgen und die Maßnahmen, die wir getroffen haben.

7.3 Die Meldung an die Aufsichtsbehörde und an betroffene Personen liegt in deiner Verantwortung; wir helfen dir dabei.

8. Unterstützung bei den Rechten betroffener Personen

8.1 Anfragen von betroffenen Personen, etwa auf Auskunft oder Löschung, kannst du meist selbst in deiner Website bearbeiten. Ist das nicht möglich, helfen wir dir in angemessenem Rahmen.

8.2 Erhalten wir selbst eine solche Anfrage zu deinen Daten, leiten wir sie an dich weiter.

8.3 Wir helfen dir außerdem in angemessenem Rahmen bei einer Datenschutz-Folgenabschätzung (DSFA) oder einer Konsultation der Aufsichtsbehörde.

9. Ende der Verarbeitung

Endet der Hosting-Vertrag, kannst du deine Daten bis zum Enddatum selbst herunterladen. 30 Tage nach dem Enddatum löschen wir die Daten endgültig; danach verschwinden sie im normalen Zyklus aus unseren Backups. Das gilt nicht, soweit das Gesetz uns verpflichtet, Daten länger aufzubewahren.

10. Audits

10.1 Auf Anfrage geben wir dir die Informationen, die nötig sind, um nachzuweisen, dass wir diese Vereinbarungen einhalten.

10.2 Hast du einen begründeten Anlass zu Zweifeln, darfst du einmal im Jahr ein Audit durch einen unabhängigen, zur Vertraulichkeit verpflichteten Sachverständigen durchführen lassen. Du kündigst es mindestens 30 Tage vorher an. Das Audit darf den Dienst oder die Daten anderer Kunden nicht gefährden. Die Kosten trägst du, außer es stellt sich heraus, dass wir diese Vereinbarungen in wesentlichem Umfang nicht eingehalten haben.

11. Schulen und Hochschulen

11.1 Nutzt eine Schule oder Hochschule Daylit für Schüler oder Studierende (zum Beispiel mit einem Klassencode), ist die Schule der Verantwortliche und wir sind der Auftragsverarbeiter. Die Schule sorgt für eine Rechtsgrundlage und, wo nötig, für die Einwilligung der Eltern oder Erziehungsberechtigten.

11.2 Von Schülern verarbeiten wir nur, was nötig ist: einen Namen (ein Vorname reicht), eine E-Mail-Adresse, den Inhalt ihrer Website und technische Logs. Websites mit Klassencode sind standardmäßig vor Suchmaschinen verborgen. Wir nutzen die Daten von Schülern für keinen anderen Zweck, etwa Werbung oder Profiling.

11.3 Alle Daten, auch Backups, liegen auf unseren eigenen Servern in den Niederlanden. Für den Dienst nutzen wir keine Unterauftragsverarbeiter außerhalb des EWR.

11.4 Arbeitet die Schule mit dem Muster-Auftragsverarbeitungsvertrag des niederländischen Datenschutzabkommens für das Bildungswesen (Privacyconvenant Onderwijs), können wir statt dieser Vereinbarungen dieses Muster unterschreiben. Widersprechen sich beide, hat das Muster der Schule Vorrang.

12. Sonstige Vereinbarungen

12.1 Die Haftung richtet sich nach den Allgemeinen Geschäftsbedingungen. Jede Partei bleibt für Bußgelder verantwortlich, die die Aufsichtsbehörde gegen sie verhängt.

12.2 Widersprechen sich diese Vereinbarungen und die Allgemeinen Geschäftsbedingungen in Bezug auf personenbezogene Daten, haben diese Vereinbarungen Vorrang.

12.3 Für diesen Vertrag gilt niederländisches Recht.