Data Processing Agreement (DPA)

1. Gegenstand und Dauer der Verarbeitung

(1) Der Auftragnehmer erbringt für den Auftraggeber Leistungen im Bereich „Website-as-a-Service“ (WaaS), umfassend die Erstellung, das Hosting sowie die Wartung von Webseiten. Im Rahmen dieser Tätigkeit verarbeitet der Auftragnehmer personenbezogene Daten für den Auftraggeber im Sinne des Art. 28 DSGVO.

(2) Die Dauer dieses Vertrags richtet sich nach der Laufzeit des zwischen den Parteien bestehenden Hauptvertrages über die WaaS-Dienstleistung.

2. Art und Zweck der Verarbeitung

(1) Die Verarbeitung erfolgt zum Zweck des Betriebs und der technischen Instandhaltung der Website des Auftraggebers auf Servern von Sub-Auftragsverarbeitern.

(2) Die Art der Verarbeitung umfasst: Erhebung, Speicherung, Übermittlung und Löschung von Daten im Rahmen des Hostings und der Formularverarbeitung.

3. Art der personenbezogenen Daten

Kontaktformulardaten: Name, E-Mail-Adresse, Telefonnummer, Nachrichteninhalte (von Webseitenbesuchern).

Server-Logfiles: IP-Adressen (anonymisiert oder gekürzt, sofern durch Hoster vorgesehen), Zeitstempel, User-Agent.

Hinweis: Es werden keine Cookies zu Tracking-Zwecken, kein Google Analytics und keine Profilbildung durchgeführt.

4. Kategorien betroffener Personen

Besucher der Webseite des Auftraggebers.

Kommunikationspartner und Interessenten, die das Kontaktformular nutzen.

5. Pflichten des Auftragsverarbeiters

(1) Der Auftragnehmer verarbeitet Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers.

(2) Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung berechtigten Personen zur Vertraulichkeit verpflichtet haben.

(3) Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage).

(4) Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten (Art. 15–22 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO.

6. Weisungsrecht des Auftraggebers

(1) Der Auftraggeber behält sich ein umfassendes Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor.

(2) Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Datenschutzvorschriften verstößt (Art. 28 Abs. 3 UAbs. 2 DSGVO).

7. Sub-Auftragsverhältnisse

(1) Der Auftraggeber genehmigt die Beauftragung des folgenden Sub-Auftragsverarbeiters: Neue Medien Münnich (ALL-INKL.COM), Hauptstraße 68, 02742 Friedersdorf, Deutschland — Webhosting, E-Mail-Zustellung und Formularverarbeitung.

Weitere Sub-Auftragsverarbeiter werden derzeit nicht eingesetzt. Formularanfragen werden ausschließlich auf der Infrastruktur des genannten Hosters verarbeitet; eine Übermittlung an Dritt-Dienste findet nicht statt.

(2) Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung bezüglich der Hinzuziehung oder Ersetzung von Sub-Unternehmern. Der Auftraggeber kann Einspruch erheben.

8. Meldepflichten und Datenschutzverletzungen

Der Auftragnehmer teilt dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden mit.

9. Löschung und Rückgabe von Daten

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie dem Auftraggeber zurück, sofern keine gesetzliche Speicherpflicht besteht.

10. Kontrollrechte des Auftraggebers

Der Auftraggeber ist berechtigt, die Einhaltung der Datenschutzvorschriften und der vertraglichen Vereinbarungen beim Auftragnehmer in angemessenem Umfang selbst oder durch Dritte zu kontrollieren (Audits).

Anlage: Technische und organisatorische Maßnahmen (TOM)

1. Vertraulichkeit: Physischer Schutz der Server durch den Hoster (All-Inkl, Deutschland). Verschlüsselter Zugriff auf Administrations-Panels (HTTPS). Starke Passwortrichtlinien und Multi-Faktor-Authentifizierung, wo verfügbar.

2. Integrität: SSL/TLS-Verschlüsselung der Website (HTTPS). Protokollierung von Systemzugriffen.

3. Verfügbarkeit und Belastbarkeit: Regelmäßige Backups durch den Hosting-Provider. Einsatz von Firewalls und Sicherheits-Updates.

4. Überprüfung und Bewertung: Regelmäßige Kontrolle der Updates und der Server-Sicherheit.