Vereinbarung zur Auftragsverarbeitung (AVV)

(1) Diese Vereinbarung zur Auftragsverarbeitung (nachfolgend „AVV“) regelt die Verarbeitung personenbezogener Daten im Auftrag im Rahmen der Erbringung von Webhosting-, DNS-Hosting- sowie Domainregistrierungs- und -verwaltungsleistungen (nachfolgend „Leistungen“) durch Bredow Systems, Inh. Jan Christopher Bredow (nachfolgend „Anbieter“ oder „Auftragsverarbeiter“) für seine Kunden (nachfolgend „Auftraggeber“ oder „Verantwortlicher“).

(2) Diese AVV wird automatisch Bestandteil des zwischen den Parteien bestehenden Vertrages (Angebot bzw. Leistungsbeschreibung im Sinne der Allgemeinen Geschäftsbedingungen des Anbieters, nachfolgend „Hauptvertrag“), soweit der Anbieter im Rahmen der Leistungserbringung personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Eine gesonderte Unterzeichnung ist hierfür nicht erforderlich. Auf Wunsch stellt der Anbieter dem Auftraggeber diese AVV auch als gesondert zu unterzeichnendes Dokument zur Verfügung.

(3) Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag geht diese AVV in Fragen der Verarbeitung personenbezogener Daten vor.

(1) Gegenstand der Verarbeitung ist, je nach den vom Auftraggeber gebuchten Leistungen, insbesondere:

1. Webhosting (Bereitstellung von Speicherplatz, Serverinfrastruktur und ggf. E-Mail-Postfächern)
2. DNS-Hosting (Verwaltung von Nameserver-Einträgen und DNS-Zonen)
3. Domain-Registrierung und -Verwaltung (Vermietung bzw. Verkauf und Verwaltung von Domains, Kommunikation mit der jeweiligen Vergabestelle bzw. dem jeweiligen Registrar, z. B. DENIC eG für .de-Domains)

(2) Die Verarbeitung erfolgt für die Dauer des Hauptvertrages.

(3) Zweck der Verarbeitung ist die Bereitstellung und der Betrieb der beauftragten Infrastruktur, die Registrierung, Verwaltung und Verlängerung von Domains, technischer Support und Störungsbehebung sowie die Erstellung von Sicherungskopien im Rahmen der Leistungserbringung.

(1) Betroffene Personen sind insbesondere Mitarbeiter und Ansprechpartner des Auftraggebers sowie dessen Kunden, Nutzer bzw. Website-Besucher, deren Daten über die vom Anbieter bereitgestellte Infrastruktur verarbeitet werden.

(2) Verarbeitet werden insbesondere Bestands- und Kontaktdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer) im Rahmen der Domain- bzw. Hostingverwaltung, Zugangsdaten, Nutzungs- und Protokolldaten (u. a. IP-Adressen, Zugriffszeiten) sowie Inhaltsdaten, die der Auftraggeber über die gehosteten Systeme selbst verarbeitet (z. B. Inhalte von Webseiten, E-Mails, Datenbanken), soweit diese personenbezogene Daten enthalten.

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf die Übermittlung an ein Drittland oder eine internationale Organisation, sofern er nicht nach dem Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist; in einem solchen Fall teilt der Anbieter dem Auftraggeber diese Anforderungen vorab mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Die im Hauptvertrag vereinbarten Leistungen gelten als Erstweisung. Weitere Weisungen sind in Textform zu erteilen bzw. unverzüglich in Textform zu bestätigen.

(3) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich hierauf hin und ist berechtigt, deren Durchführung bis zur Klärung auszusetzen.

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich im Rahmen dieser AVV und der Weisungen des Auftraggebers.

(2) Der Anbieter gewährleistet, dass alle Personen mit Zugang zu den Daten zur Vertraulichkeit verpflichtet sind; dies gilt auch nach Beendigung der jeweiligen Tätigkeit fort.

(3) Der Anbieter unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Betroffenenrechte (Art. 12 bis 22 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter, ohne sie selbst zu beantworten, sofern nicht anders angewiesen.

(4) Ansprechpartner des Anbieters für Datenschutzfragen im Zusammenhang mit dieser AVV ist Jan Christopher Bredow, E-Mail: info@bredow.systems. Ein Datenschutzbeauftragter ist beim Anbieter gesetzlich nicht bestellt.

(1) Der Anbieter trifft technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, die ein dem Risiko angemessenes Schutzniveau gewährleisten, u. a. Zugangs- und Zugriffskontrolle, Verschlüsselung der Übertragung, regelmäßige Datensicherung sowie die Trennung der Daten verschiedener Kunden.

(2) Eine detaillierte Übersicht der getroffenen Maßnahmen (TOM), einschließlich einer aktuellen Liste der eingesetzten Unterauftragsverarbeiter, stellt der Anbieter dem Auftraggeber auf Anfrage zur Verfügung.

(3) Der Anbieter ist berechtigt, die getroffenen Maßnahmen dem Stand der Technik entsprechend anzupassen, sofern das ursprüngliche Schutzniveau dabei nicht unterschritten wird.

(1) Der Anbieter informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieser AVV verarbeitete Daten des Auftraggebers betrifft, und teilt die ihm bekannten Umstände mit (Art des Vorfalls, betroffene Kategorien und ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen sowie ergriffene bzw. vorgeschlagene Abhilfemaßnahmen).

(2) Die Bewertung der Meldepflicht nach Art. 33, 34 DSGVO sowie eine etwaige Meldung an die Aufsichtsbehörde bzw. Benachrichtigung betroffener Personen obliegt dem Auftraggeber als Verantwortlichem.

(1) Der Auftraggeber gestattet dem Anbieter allgemein den Einsatz von Unterauftragsverarbeitern zur Erbringung der vertraglich vereinbarten Leistungen (allgemeine Genehmigung).

(2) Eine aktuelle Übersicht der eingesetzten Unterauftragsverarbeiter ist Bestandteil der technischen und organisatorischen Maßnahmen (TOM) des Anbieters (vgl. §6 Abs. 2) und wird dem Auftraggeber auf Anfrage zur Verfügung gestellt.

(3) Der Anbieter informiert den Auftraggeber vor der Beauftragung neuer oder dem Austausch bestehender Unterauftragsverarbeiter in Textform. Der Auftraggeber kann der Änderung innerhalb von 14 Tagen nach Zugang der Mitteilung aus wichtigem, in der Person des Unterauftragsverarbeiters liegendem datenschutzrechtlichen Grund widersprechen; erfolgt kein Widerspruch innerhalb dieser Frist, gilt die Änderung als genehmigt.

(4) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter zu den in dieser AVV genannten Pflichten in einer dem Art. 28 DSGVO entsprechenden Weise.

(5) Nicht als Unterauftragsverhältnis im Sinne dieser Regelung gelten Nebenleistungen ohne Zugriff auf personenbezogene Daten des Auftraggebers, wie z. B. Telekommunikationsleistungen, Wartungs- und Benutzerservice oder die Entsorgung von Datenträgern.

(1) Der Auftraggeber hat das Recht, sich vor Beginn der Verarbeitung und danach regelmäßig von der Einhaltung dieser AVV zu überzeugen; der Anbieter stellt hierzu auf Anfrage geeignete Nachweise zur Verfügung.

(2) Kontrollen vor Ort sind nach vorheriger Anmeldung mit angemessener Frist (mind. 2 Wochen), unter Berücksichtigung der berechtigten Geheimhaltungsinteressen des Anbieters und höchstens einmal jährlich möglich, sofern nicht ein konkreter Anlass eine weitere Kontrolle rechtfertigt. Kosten, die dem Anbieter durch eine Kontrolle vor Ort entstehen, trägt der Auftraggeber, sofern die Kontrolle keine Mängel aufdeckt, die der Anbieter zu vertreten hat.

(1) Nach Beendigung des Hauptvertrages löscht der Anbieter sämtliche im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

(2) Erteilt der Auftraggeber innerhalb von 30 Tagen nach Vertragsende keine abweichende Weisung zur Rückgabe, ist der Anbieter berechtigt, die betreffenden Daten nach Ablauf dieser Frist unwiderruflich zu löschen; dies entspricht der in den Allgemeinen Geschäftsbedingungen des Anbieters geregelten Frist.

Die Haftung der Parteien richtet sich, soweit diese AVV keine abweichenden Regelungen enthält, nach den gesetzlichen Bestimmungen sowie ergänzend nach den Haftungsregelungen der Allgemeinen Geschäftsbedingungen des Anbieters. Art. 82 DSGVO bleibt unberührt.

(1) Änderungen dieser AVV bedürfen der Textform; dies gilt auch für den Verzicht auf dieses Formerfordernis.

(2) Der Anbieter ist berechtigt, diese AVV anzupassen, soweit dies zur Einhaltung datenschutzrechtlicher Vorgaben erforderlich ist oder das Vertragsgefüge dabei nicht unangemessen verändert wird; Änderungen werden dem Auftraggeber mindestens 6 Wochen vor Inkrafttreten zugänglich gemacht.

(3) Sollte eine Bestimmung dieser AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, Hamburg.