Auftragsverarbeitungsvertrag

1. Geltung und Vertragsschluss

Dieser Vertrag gilt für alle Leistungen, bei denen der Auftragnehmer personenbezogene Daten im Auftrag des Kunden verarbeitet, insbesondere Hosting und Wartung von Websites. Er wird Vertragsbestandteil, wenn das Angebot auf ihn verweist und der Kunde das Angebot annimmt. Eine gesonderte Unterschrift ist nicht erforderlich. Die Annahme in elektronischer Form, etwa per E-Mail, erfüllt die Schriftform gemäß Art. 28 Abs. 9 DSGVO.

Der Vertrag ergänzt das Angebot und die Allgemeinen Geschäftsbedingungen. In Fragen des Datenschutzes geht dieser Vertrag vor.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen von Hosting, Wartung, Fehlerbehebung und technischer Betreuung der Website des Kunden. Die Verarbeitung umfasst insbesondere das Speichern, Bereitstellen, Übermitteln (etwa von Formularanfragen per E-Mail), Sichern und Löschen von Daten.

Der Vertrag gilt für die Dauer der zugrunde liegenden Leistungen. Er endet mit dem letzten Hosting- oder Wartungsvertrag, jedoch nicht bevor alle Daten des Kunden gemäß Punkt 10 zurückgegeben oder gelöscht sind.

3. Daten und betroffene Personen

Arten personenbezogener Daten

• technische Zugriffsdaten in Server-Logfiles, wie IP-Adresse, Zeitpunkt, aufgerufene Seite und Browser
• Angaben aus Kontakt- und Anfrageformularen, wie Name, Kontaktdaten und Nachricht
• Benutzerkonten im Content-Management-System, wie Name, E-Mail-Adresse und Zugangsdaten
• sonstige Inhalte, die der Kunde auf der Website veröffentlicht oder speichert

Über Formulare können Besucher auch besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO übermitteln, etwa Gesundheitsdaten bei Arztpraxen. Solche Daten unterliegen ebenfalls diesem Vertrag.

Betroffene Personen

• Besucher der Website
• Personen, die über die Website Anfragen senden, etwa Kunden oder Patienten des Kunden
• Mitarbeiter und Redakteure des Kunden mit Zugang zur Website

4. Weisungen und Vertraulichkeit

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Weisungen ergeben sich aus dem Angebot, den AGB und diesem Vertrag. Einzelweisungen können per E-Mail erteilt werden. Eine Verarbeitung zu eigenen Zwecken findet nicht statt, es sei denn, der Auftragnehmer ist gesetzlich dazu verpflichtet. In diesem Fall informiert er den Kunden vorab, soweit das Gesetz dies nicht verbietet.

Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Kunden unverzüglich darauf hin.

Alle Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet und unterliegen dem Datengeheimnis gemäß § 6 DSG.

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft geeignete Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu zählen insbesondere:

• Betrieb der Server in Rechenzentren in der Europäischen Union, die nach ISO/IEC 27001 zertifiziert sind
• verschlüsselte Übertragung aller Daten zwischen Browser und Server (HTTPS/TLS)
• Zugang zu Servern und Administrationsoberflächen nur für den Auftragnehmer, geschützt durch SSH-Schlüssel und starke Passwörter
• regelmäßiges Einspielen von Sicherheitsupdates für Betriebssystem, Server-Software und Content-Management-System
• tägliche Datensicherung an zwei voneinander unabhängigen Speicherorten
• Löschung von Server-Logfiles nach in der Regel 14 Tagen

Der Auftragnehmer überprüft die Maßnahmen regelmäßig und darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.

6. Sub-Auftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Derzeit sind dies:

Der Auftragnehmer informiert den Kunden mindestens vier Wochen vorab per E-Mail über jede beabsichtigte Änderung. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Parteien die betroffenen Leistungen zum Zeitpunkt der Änderung kündigen.

Der Auftragnehmer verpflichtet jeden Sub-Auftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau. Außerhalb der EU und des EWR werden Daten nur in Ländern mit Angemessenheitsbeschluss der EU-Kommission oder auf Grundlage geeigneter Garantien gemäß Art. 46 DSGVO verarbeitet.

7. Unterstützung des Verantwortlichen

Der Auftragnehmer unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 15 bis 22 DSGVO) sowie bei den Pflichten gemäß Art. 32 bis 36 DSGVO, etwa bei einer Datenschutz-Folgenabschätzung. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Kunden weiter.

Aufwand, der über eine geringfügige Unterstützung hinausgeht, kann zum vereinbarten Stundensatz verrechnet werden, sofern er nicht auf einen Verstoß des Auftragnehmers zurückgeht.

8. Datenschutzverletzungen

Der Auftragnehmer meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Daten und Personen, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen. Der Auftragnehmer unterstützt den Kunden bei dessen Meldepflichten gegenüber der Datenschutzbehörde und den betroffenen Personen.

9. Kontrollrechte

Der Auftragnehmer stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Der Kunde ist berechtigt, die Einhaltung einmal pro Kalenderjahr selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer zu kontrollieren. Kontrollen sind mindestens vier Wochen vorab anzukündigen und finden während der üblichen Geschäftszeiten statt. Bei einem konkreten Verdacht auf einen Verstoß entfallen die Beschränkungen auf einmal jährlich und die Vorankündigungsfrist.

10. Löschung und Rückgabe

Nach Ende der Leistungen stellt der Auftragnehmer dem Kunden auf Wunsch eine Kopie der Website und der gespeicherten Daten in einem gängigen Format zur Verfügung. Der Wunsch ist bis zum Ende der Laufzeit mitzuteilen. Anschließend löscht der Auftragnehmer alle personenbezogenen Daten des Kunden innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Daten in Datensicherungen werden im Rahmen der regulären Rotation überschrieben.

11. Pflichten des Verantwortlichen

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Datenschutzerklärung seiner Website und für die Information der betroffenen Personen. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

12. Haftung und Schlussbestimmungen

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen den Parteien gelten ergänzend die Haftungsbestimmungen der AGB (Punkt 9), soweit Art. 82 DSGVO dem nicht entgegensteht.

Es gilt österreichisches Recht. Gerichtsstand ist das für den Geschäftssitz des Auftragnehmers sachlich zuständige Gericht. Änderungen dieses Vertrags werden dem Kunden mitgeteilt und gelten für bestehende Verträge erst nach seiner Zustimmung, die auch per E-Mail erteilt werden kann. Sollten einzelne Bestimmungen unwirksam sein, bleibt der übrige Vertrag davon unberührt.