Vertrag zur Auftragsverarbeitung

Vertragsparteien

Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist die Nutzerin oder der Nutzer, die oder der die betreffende Seite mit Pagery veröffentlicht hat, mit den im Nutzerkonto hinterlegten Angaben.

Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist Benjamin Heim, Ernst-Heinkel-Straße 21, 73630 Remshalden, erreichbar unter kontakt@pagery.net.

Diese Vereinbarung wird mit der Registrierung eines Nutzerkontos geschlossen und gilt zusätzlich zu den Nutzungsbedingungen. Sie ist auf Anfrage auch als unterschriftsfähiges Dokument erhältlich.

§ 1 Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten, die der Verantwortliche im Rahmen der Nutzung von Pagery in den Dienst einstellt oder die über die von ihm veröffentlichten Seiten erhoben werden.

Die Vereinbarung beginnt mit dem Abschluss des Nutzungsvertrags und läuft so lange, wie der Nutzungsvertrag besteht. Sie endet automatisch mit dessen Beendigung. Eine gesonderte Kündigung dieser Vereinbarung bei fortbestehendem Nutzungsvertrag ist nicht möglich, weil die Verarbeitung untrennbar mit der Leistungserbringung verbunden ist.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zu dem Zweck, die vertraglich vereinbarten Leistungen zu erbringen. Dazu gehören im Einzelnen:

• das Speichern, Ausliefern und Bereithalten der veröffentlichten Seite und ihrer Inhalte,
• die Entgegennahme, Speicherung und Anzeige von Formulareingängen im Posteingang des Verantwortlichen,
• das Speichern hochgeladener Dateien wie Bilder,
• die technische Sicherung, Fehleranalyse und Datensicherung der genannten Daten.

Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zu Werbezwecken, zur Profilbildung oder zum Training von Modellen der künstlichen Intelligenz, findet nicht statt.

Die Verarbeitung erfolgt automatisiert. Ein Zugriff von Personen auf Klartextinhalte erfolgt nur, soweit dies zur Fehlerbehebung, zur Erfüllung rechtlicher Pflichten oder zur Bearbeitung einer ausdrücklichen Supportanfrage erforderlich ist.

§ 3 Art der Daten und Kategorien betroffener Personen

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind vom Auftrag nicht umfasst. Der Verantwortliche stellt sicher, dass er über die Formulare seiner Seite keine solchen Daten erhebt, sofern hierfür keine gesonderte Vereinbarung getroffen wurde.

§ 4 Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der Funktionen des Dienstes gilt als Weisung; darüber hinausgehende Weisungen sind in Textform an kontakt@pagery.net zu richten und werden dokumentiert.

Ist der Auftragsverarbeiter nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, unterrichtet er den Verantwortlichen vor der Verarbeitung über diese rechtlichen Anforderungen, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung auszusetzen.

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Technische und organisatorische Maßnahmen nach Art. 32 DSGVO

Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung die folgenden Maßnahmen:

• Verschlüsselung im Transport: Der gesamte Datenverkehr zur Anwendung und zu den veröffentlichten Seiten läuft ausschließlich über TLS. Unverschlüsselte Verbindungen werden abgewiesen oder umgeleitet.
• Verschlüsselung im Ruhezustand: Datenbank, Datensicherungen und Dateispeicher sind auf Ebene der Speichermedien verschlüsselt. Passwörter werden ausschließlich als kryptografischer Hash abgelegt.
• Zugriffstrennung über Row Level Security: Der Zugriff auf Datensätze wird unmittelbar in der Datenbank durch Row-Level-Security-Regeln durchgesetzt. Jeder Datensatz ist einem Konto zugeordnet; Anfragen ohne passenden Kontobezug liefern kein Ergebnis. Die Trennung wirkt damit unabhängig von der Anwendungsschicht.
• Rechenzentrum in der EU: Datenbank und Dateispeicher werden in einer Region innerhalb der Europäischen Union betrieben.
• Zugangskontrolle: Administrative Zugänge sind auf einen engen Personenkreis beschränkt, individuell vergeben und durch Mehr-Faktor-Authentisierung geschützt.
• Verfügbarkeit und Wiederherstellbarkeit: Regelmäßige automatische Datensicherungen ermöglichen die Wiederherstellung nach einem Zwischenfall.
• Datenminimierung durch Voreinstellung: Auf veröffentlichten Seiten kommen keine Cookies, keine Analysedienste und keine externen Schriftarten zum Einsatz. Formulareingänge werden nach 90 Tagen automatisch gelöscht.
• Überprüfung und Bewertung: Die Wirksamkeit der Maßnahmen wird regelmäßig sowie anlassbezogen überprüft und bei Bedarf an den Stand der Technik angepasst.

Der Auftragsverarbeiter darf die Maßnahmen fortentwickeln, sofern das Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche erteilt hiermit die allgemeine schriftliche Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO zur Hinzuziehung der folgenden Unterauftragsverarbeiter:

Mit allen genannten Unterauftragsverarbeitern bestehen Verträge, die diesen dieselben Datenschutzpflichten auferlegen, die in dieser Vereinbarung festgelegt sind. Soweit ein Zugriff aus einem Drittland nicht ausgeschlossen werden kann, stützt sich die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission nach Art. 46 Abs. 2 lit. c DSGVO nebst ergänzenden technischen Schutzmaßnahmen.

Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall eines Widerspruchs, der eine Fortführung der Leistung unmöglich macht, steht beiden Seiten ein Sonderkündigungsrecht zu.

Nebenleistungen wie Telekommunikationsdienste, Post- und Transportdienste oder Wartungsleistungen gelten nicht als Unterauftragsverarbeitung im Sinne dieser Vereinbarung.

§ 7 Unterstützungspflichten des Auftragsverarbeiters

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen und mit angemessenen Mitteln bei:

• der Beantwortung von Anträgen betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 12 bis 23 DSGVO),
• der Einhaltung der Pflichten zur Sicherheit der Verarbeitung nach Art. 32 DSGVO,
• der Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde nach Art. 33 DSGVO und der Benachrichtigung betroffener Personen nach Art. 34 DSGVO,
• einer gegebenenfalls erforderlichen Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und der vorherigen Konsultation nach Art. 36 DSGVO.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung, und stellt die für die Meldung nach Art. 33 DSGVO erforderlichen Informationen zur Verfügung.

§ 8 Berufsgeheimnisträger nach § 203 StGB

Personen, die einem besonderen Berufsgeheimnis unterliegen — insbesondere Ärztinnen und Ärzte, Zahnärztinnen und Zahnärzte, Psychotherapeutinnen und Psychotherapeuten, Rechtsanwältinnen und Rechtsanwälte, Steuerberaterinnen und Steuerberater sowie weitere in § 203 Abs. 1 StGB genannte Berufe — dürfen fremde Geheimnisse nur unter den Voraussetzungen des § 203 Abs. 3 StGB an mitwirkende Personen offenbaren.

Für diese Nutzergruppe reicht der vorliegende Vertrag zur Auftragsverarbeitung allein nicht aus. Erforderlich ist zusätzlich eine gesonderte Verpflichtungserklärung, mit der sich der Auftragsverarbeiter und die bei ihm tätigen Personen ausdrücklich zur Geheimhaltung nach § 203 StGB verpflichten und über die Strafbarkeit einer Verletzung belehrt werden.

Eine entsprechende Erklärung wird auf Anfrage unter kontakt@pagery.net bereitgestellt. Bis zu ihrem Abschluss sollten Berufsgeheimnisträger keine dem Berufsgeheimnis unterliegenden Inhalte über die Formulare ihrer Seite erheben oder im Dienst speichern.

§ 9 Löschung und Rückgabe nach Beendigung

Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern der Verantwortliche nicht zuvor deren Rückgabe verlangt hat. Die Löschung erstreckt sich auch auf Datensicherungen, sobald deren regulärer Aufbewahrungszyklus abgelaufen ist.

Von der Löschung ausgenommen sind Daten, für deren Aufbewahrung eine gesetzliche Pflicht nach dem Recht der Union oder eines Mitgliedstaats besteht. Solche Daten werden gesperrt und ausschließlich zur Erfüllung der jeweiligen Pflicht verarbeitet.

Der Verantwortliche kann seine Inhalte während der Vertragslaufzeit jederzeit über den Dienst abrufen und sichern. Die Löschung wird auf Anfrage in Textform bestätigt.

§ 10 Nachweise und Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO genannten Pflichten erforderlich sind. Dazu gehören insbesondere die Dokumentation der technischen und organisatorischen Maßnahmen und, soweit vorhanden, Zertifizierungen oder Prüfberichte der eingesetzten Unterauftragsverarbeiter.

Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung zu überprüfen oder durch einen zur Verschwiegenheit verpflichteten Prüfer überprüfen zu lassen. Kontrollen vor Ort sind nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig. Der Auftragsverarbeiter kann für einen über die Bereitstellung der Dokumentation hinausgehenden Aufwand eine angemessene Vergütung verlangen.

Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es der Aufsichtsbehörde auf Anfrage zur Verfügung.

§ 11 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der Nutzungsbedingungen, soweit sie den Vorgaben der DSGVO nicht entgegenstehen.

Bei Widersprüchen zwischen dieser Vereinbarung und den Nutzungsbedingungen gehen die Regelungen dieser Vereinbarung vor, soweit sie die Verarbeitung personenbezogener Daten im Auftrag betreffen.

Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt das Recht der Bundesrepublik Deutschland.