Vertrag zur Auftragsverarbeitung
Präambel
Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der TK ENTERPRISES LTD, Griva Digeni 51, Athinaion Court, Flat/Office 202, 8047 Paphos, Zypern (nachfolgend „Auftragnehmer“), gegenüber ihren Kunden (nachfolgend „Auftraggeber“). Er ist Bestandteil des Vertrags über die gebuchten Leistungen (nachfolgend „Hauptvertrag“).
1. Gegenstand, Dauer, Art und Zweck der Verarbeitung
Gegenstand ist die Erbringung der im Hauptvertrag gebuchten Leistungen, insbesondere Webhosting (inkl. Domains, DNS, CDN, E-Mail) sowie Erstellung, Wartung und Optimierung von Websites. Die Verarbeitung umfasst das Speichern, Bereitstellen, Sichern, Einsehen, Bearbeiten und Löschen der Daten ausschließlich zur Erbringung dieser Leistungen. Die Dauer entspricht der Laufzeit des Hauptvertrags.
2. Art der Daten und Kategorien betroffener Personen
Daten: alle personenbezogenen Daten, die der Auftraggeber auf den Systemen des Auftragnehmers speichert, insbesondere Kontakt-, Inhalts-, Kommunikations-, Vertrags- und Protokolldaten (z. B. IP-Adressen).
Betroffene: Website-Besucher, Kunden, Interessenten, Beschäftigte und Kommunikationspartner des Auftraggebers.
3. Weisungen
Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall teilt er dies dem Auftraggeber vorab mit, sofern das Gesetz dies nicht verbietet.
Die Weisungen ergeben sich abschließend aus dem Hauptvertrag und den dort vereinbarten Funktionen. Darüber hinausgehende Weisungen bedürfen der Textform und können gesondert vergütet werden. Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber und darf die Ausführung aussetzen.
4. Pflichten des Auftragnehmers
Der Auftragnehmer verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit.
Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und darf diese anpassen, sofern das Schutzniveau nicht unterschritten wird.
Er unterstützt den Auftraggeber im erforderlichen Umfang bei Anfragen Betroffener sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Für Unterstützungsleistungen, die nicht auf einem Verstoß des Auftragnehmers beruhen, kann er eine angemessene Vergütung verlangen.
5. Unterauftragnehmer
Der Auftraggeber genehmigt den Einsatz folgender Unterauftragnehmer:
| Unterauftragnehmer | Leistung | Sitz / Standort |
|---|---|---|
| Klauke Enterprises GmbH & Co. KG | Colocation für die eigene Hardware des Auftragnehmers | Am Kindergarten 16, 59872 Meschede, Deutschland; Rechenzentrum Maincubes FRA01, Frankfurt am Main |
| Cloud DNS Ltd. | DNS-Dienste | ul. Iskar 4, 1000 Sofia, Bulgarien |
| BunnyWay d.o.o. | CDN (sofern gebucht) | Cesta komandanta Staneta 4A, 1215 Medvode, Slowenien |
| Firma Febas, Inh. Roman Baumgärtner | Domain-Dienste | Ostlandstraße 5, 49565 Bramsche, Deutschland |
Der Auftraggeber erteilt zudem die allgemeine Genehmigung für weitere Unterauftragnehmer. Über Änderungen informiert der Auftragnehmer vorab in Textform. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. In diesem Fall kann jede Partei die betroffene Leistung kündigen.
Der Auftragnehmer erlegt Unterauftragnehmern dieselben Datenschutzpflichten auf.
6. Datenschutzverletzungen
Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis und unterstützt ihn bei den Pflichten nach Art. 33 und 34 DSGVO.
7. Nachweise und Kontrollen
Der Auftragnehmer weist die Einhaltung dieses Vertrags vorrangig durch Dokumentationen und Zertifikate, auch des Rechenzentrumsbetreibers, nach. Vor-Ort-Kontrollen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer sind nur zulässig, wenn diese Nachweise nicht ausreichen. Sie sind mindestens 14 Tage vorher anzumelden, finden zu üblichen Geschäftszeiten ohne Störung des Betriebs statt und erfolgen auf Kosten des Auftraggebers.
8. Löschung nach Vertragsende
Nach Vertragsende stehen die Daten mindestens 30 Kalendertage zum Abruf bereit, in denen der Auftraggeber sie selbst exportieren kann. Danach löscht der Auftragnehmer die Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Backups werden im Rahmen der regulären Backup-Rotation gelöscht.
9. Haftung
Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags.
10. Schlussbestimmungen
Es gilt das Recht der Republik Zypern. Gerichtsstand ist Nikosia, Zypern. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Anlage 1
Technische und organisatorische Maßnahmen (TOM) des Auftragnehmers gemäß Art. 32 DSGVO: TOM als PDF herunterladen