Vereinbarung zur Auftragsverarbeitung

1. Gegenstand und Geltung

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten, wenn CenterView für einen Geschäftskunden personenbezogene Daten im Auftrag verarbeitet, insbesondere im Rahmen von Webhosting, Datenbanken, E-Mail, Backups und technischem Support. Sie wird Bestandteil des Hauptvertrags, sobald der Kunde eine entsprechende Leistung bucht oder die Vereinbarung ausdrücklich akzeptiert.

2. Dauer, Art und Zweck

Die Verarbeitung dauert grundsätzlich so lange wie der Hauptvertrag und eine anschließende technisch oder gesetzlich erforderliche Abwicklung. Zweck ist die Bereitstellung, Übertragung, Speicherung, Sicherung, Wiederherstellung und technische Administration der vom Kunden bestimmten Daten und Anwendungen. Art der Verarbeitung kann Erheben, Ordnen, Speichern, Auslesen, Übermitteln, Einschränken und Löschen umfassen.

3. Datenarten und betroffene Personen

Je nach Nutzung können insbesondere Stamm-, Kontakt-, Vertrags-, Nutzer-, Kommunikations-, Inhalts-, Protokoll-, Standort-, Bewerber-, Kunden-, Beschäftigten- und Abrechnungsdaten verarbeitet werden. Betroffene können Kunden, Interessenten, Beschäftigte, Bewerber, Lieferanten, Webseitenbesucher, Kommunikationspartner und sonstige Personen sein, deren Daten der Auftraggeber in den Systemen verarbeitet.

4. Weisungen und Verantwortlichkeit

Der Auftraggeber ist für Zulässigkeit, Transparenz, Betroffenenrechte, Löschkonzept und Weisungen verantwortlich. CenterView verarbeitet Daten nur auf dokumentierte Weisung, soweit nicht eine gesetzliche Pflicht besteht. Hält CenterView eine Weisung für rechtswidrig, wird der Auftraggeber informiert und die Ausführung bis zur Klärung ausgesetzt, sofern dies zulässig ist.

5. Vertraulichkeit

CenterView setzt nur Personen ein, die zur Vertraulichkeit verpflichtet und für ihre Aufgaben angemessen geschult sind. Zugriffe werden nach dem Erforderlichkeitsprinzip vergeben und bei Wegfall der Aufgabe entzogen.

6. Technische und organisatorische Maßnahmen

• Zutritts- und Zugangsschutz für Server- und Administrationsbereiche;
• rollenbasierte Berechtigungen, starke Authentisierung und Protokollierung administrativer Vorgänge;
• Transportverschlüsselung, soweit technisch vorgesehen, sowie geschützte Verwaltungszugänge;
• Patch-, Schwachstellen-, Malware- und Sicherheitsmanagement;
• Mandanten- beziehungsweise Systemtrennung nach technischer Architektur;
• Backups, Wiederanlauf- und Wiederherstellungsverfahren mit rollierender Aufbewahrung;
• Verfahren zur Meldung, Bewertung und Behandlung von Datenschutz- und Sicherheitsvorfällen;
• regelmäßige Überprüfung und Anpassung der Schutzmaßnahmen nach Risiko und Stand der Technik.

Die Maßnahmen gewährleisten ein dem Risiko angemessenes Schutzniveau. Ein absoluter Schutz vor allen Angriffen oder Ausfällen kann technisch nicht zugesagt werden.

7. Unterauftragnehmer

CenterView darf geeignete Unterauftragnehmer einsetzen. Wesentliche Infrastrukturleistungen können insbesondere durch IONOS SE erbracht werden. Der Auftraggeber erteilt hierzu eine allgemeine Genehmigung. Über die beabsichtigte Aufnahme oder Ersetzung eines wesentlichen Unterauftragnehmers wird angemessen informiert; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Registrare, Registries, Zertifizierungsstellen und Zahlungsdienstleister handeln für ihre jeweiligen Kernleistungen häufig als eigene Verantwortliche und sind insoweit keine Unterauftragnehmer dieser AVV.

8. Unterstützung des Auftraggebers

CenterView unterstützt den Auftraggeber im angemessenen Umfang bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Konsultationen, Sicherheitsfragen und der Erfüllung von Meldepflichten. Zusätzlicher Aufwand außerhalb der geschuldeten Standardleistung kann nach vorheriger Information vergütet werden.

9. Datenschutzverletzungen

CenterView informiert den Auftraggeber unverzüglich, nachdem eine Verletzung des Schutzes personenbezogener Daten im Verantwortungsbereich von CenterView bekannt wurde. Die Information enthält die verfügbaren Angaben zu Art, Umfang, Folgen und Maßnahmen. Der Auftraggeber entscheidet über Meldungen an Behörden und betroffene Personen, soweit nicht CenterView selbst gesetzlich verpflichtet ist.

10. Nachweise und Kontrollen

CenterView stellt auf Anfrage geeignete Informationen zum Nachweis der Pflichten bereit. Prüfungen sollen zunächst durch Dokumente, Zertifikate oder Berichte erfolgen. Vor-Ort-Prüfungen bedürfen angemessener Vorankündigung, dürfen Sicherheit und andere Kunden nicht beeinträchtigen und sind auf das erforderliche Maß zu begrenzen.

11. Rückgabe und Löschung

Nach Ende des Hauptvertrags löscht oder gibt CenterView personenbezogene Daten nach Wahl und technischer Möglichkeit zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Daten können bis zum Ablauf rollierender Backup-Zyklen weiterhin in Sicherungskopien enthalten sein und werden dort nicht produktiv genutzt.

12. Schlussbestimmungen

Bei Widersprüchen geht diese AVV hinsichtlich der Auftragsverarbeitung dem Hauptvertrag vor. Im Übrigen gelten Hauptvertrag, AGB und anwendbares Datenschutzrecht. Änderungen, die gesetzlich erforderlich werden, können mit angemessener Vorankündigung vorgenommen werden.