Auftragsverarbeitungsvertrag

Parteien

Der Kunde von Pagebase, der mit Pagebase personenbezogene Daten seiner eigenen Kunden, Besucher oder Kontakte verarbeitet („der Verantwortliche“), und Damiën Sluijter, handelnd unter dem Namen Versa Web Solutions, Sint-Luciestraat 5, 3631 Uikhoven (Maasmechelen), Belgien, Unternehmens- und USt-Nummer BE 1027.741.625, Betreiber von Pagebase („der Auftragsverarbeiter“).

Artikel 1 · Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die Dienste von Pagebase zu erbringen, wie in Anlage 1 beschrieben. Dieser Vertrag gilt, solange der Verantwortliche Pagebase nutzt, und danach, bis alle Daten gelöscht oder zurückgegeben sind.

Artikel 2 · Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung von Pagebase, so wie der Verantwortliche sie einrichtet, gilt als Weisung. Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke. Hält er eine Weisung für einen Verstoß gegen die DSGVO, teilt er das sofort mit.

Artikel 3 · Vertraulichkeit

Nur wer die Daten für den Dienst braucht (Wartung, Support, Sicherheit), erhält Zugriff und ist zur Vertraulichkeit verpflichtet. Die Einsicht in ein Konto für den Support wird protokolliert.

Artikel 4 · Sicherheit

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen, beschrieben in Anlage 2, und hält sie nach dem Stand der Technik aktuell.

Artikel 5 · Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für die Unterauftragsverarbeiter in Anlage 3. Der Auftragsverarbeiter kündigt einen neuen oder geänderten Unterauftragsverarbeiter mindestens 30 Tage vorher per E-Mail an; innerhalb dieser Frist kann der Verantwortliche begründet widersprechen und, wenn keine Lösung gefunden wird, den Dienst kündigen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter dieselben Pflichten auf wie in diesem Vertrag.

Artikel 6 · Übermittlung außerhalb des EWR

Daten werden außerhalb des Europäischen Wirtschaftsraums nur auf einer gültigen Grundlage verarbeitet, etwa dem EU-USA-Datenschutzrahmen oder den Standardvertragsklauseln der Europäischen Kommission (siehe Anlage 3).

Artikel 7 · Rechte der betroffenen Personen

Der Auftragsverarbeiter hilft dem Verantwortlichen, Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit, Widerspruch) zu beantworten, unter anderem mit den Funktionen in Pagebase, Daten einzusehen, zu ändern, zu exportieren und zu löschen. Eine Anfrage, die direkt beim Auftragsverarbeiter eingeht, leitet er an den Verantwortlichen weiter.

Artikel 8 · Datenpannen

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich und spätestens 48 Stunden nach ihrer Entdeckung, mit den Informationen, die nötig sind, um sie zu beurteilen und, wo nötig, der Aufsichtsbehörde und den Betroffenen zu melden. Er ergreift sofort Maßnahmen, um die Folgen zu begrenzen.

Artikel 9 · Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit zumutbar, bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde.

Artikel 10 · Ende

Am Ende des Dienstes kann der Verantwortliche seine Daten exportieren. Danach löscht der Auftragsverarbeiter sie innerhalb von 30 Tagen, außer was er gesetzlich aufbewahren muss. Kopien in Backups verschwinden gemäß den Fristen in Anlage 2.

Artikel 11 · Kontrolle

Auf Anfrage gibt der Auftragsverarbeiter dem Verantwortlichen die Informationen, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Eine Prüfung vor Ort ist nach angemessener Ankündigung möglich, höchstens einmal pro Jahr, auf Kosten des Verantwortlichen, es sei denn, eine Aufsichtsbehörde ordnet sie an.

Artikel 12 · Haftung und Recht

Die Haftung richtet sich nach dem Abschnitt zur Haftung in den AGB von Pagebase, außer wo die DSGVO das nicht zulässt. Für diesen Vertrag gilt belgisches Recht.

Anlage 1 · Verarbeitung

Anlage 2 · Sicherheitsmaßnahmen

• Verschlüsselte Verbindungen (TLS) für allen Verkehr.
• Server in der EU (Hetzner, Deutschland), mit Sicherheitsupdates.
• Gehashte Passwörter; Anmeldung in zwei Schritten verfügbar; Begrenzung der Anmeldeversuche.
• Schlüssel verbundener Dienste (SumUp, Sendcloud) verschlüsselt gespeichert.
• Zugriff auf Kundenkonten für den Support nur für Administratoren, und protokolliert.
• Tägliche Backups auf einen getrennten Speicher in einem anderen Rechenzentrum in der EU, mit Snapshots, die vom Server aus nicht gelöscht werden können. Aufbewahrung: tägliche Kopien 7 Tage, Snapshots 14 Tage, monatliche Kopien 12 Monate.
• Fehler und Störungen werden überwacht.

Anlage 3 · Unterauftragsverarbeiter

Stripe, SumUp und Sendcloud arbeiten mit dem eigenen Konto des Shops: Der Shop schließt selbst einen Vertrag mit ihnen.