Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Anlage zu den Allgemeinen Geschäftsbedingungen von Okinami Consulting. Diesen Vertrag kannst du auch als PDF herunterladen.

1. Parteien, Gegenstand und Dauer

1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Sara Häuslschmid, handelnd unter Okinami Consulting, Platz der Einheit 2, 60327 Frankfurt am Main („Okinami“, Auftragsverarbeiter), im Auftrag des Kunden („Kunde“, Verantwortlicher).

1.2 Gegenstand ist die Verarbeitung personenbezogener Daten bei Erstellung, Hosting und Betrieb der Website des Kunden im Rahmen des Website-Pakets und des Website-Service nach den Allgemeinen Geschäftsbedingungen von Okinami („Hauptvertrag“).

1.3 Der Vertrag gilt, solange Okinami personenbezogene Daten für den Kunden verarbeitet, längstens bis zum Ende des Hauptvertrages einschließlich der Löschfrist nach Ziffer 6.

1.4 Der Vertrag wird mit Annahme der AGB im Bestellprozess Bestandteil des Hauptvertrages. Einer gesonderten Unterzeichnung bedarf es nicht.

2. Art und Zweck der Verarbeitung, Daten und Betroffene

2.1 Okinami verarbeitet personenbezogene Daten ausschließlich zur Erfüllung des Hauptvertrages:

2.2 Das Kontaktformular betreibt Okinami mit eigener Software auf der Infrastruktur der in Anlage 1 genannten Unterauftragsverarbeiter. Anfragen werden per E-Mail an den Kunden weitergeleitet.

2.3 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO werden nicht verarbeitet. Der Kunde stellt sicher, dass solche Daten nicht über die Website erhoben werden.

2.4 Die Verarbeitung findet in der Europäischen Union oder im Europäischen Wirtschaftsraum statt, soweit Ziffer 4 nichts anderes bestimmt.

3. Weisungen und Pflichten von Okinami

3.1 Okinami verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, eine gesetzliche Pflicht verlangt etwas anderes; in diesem Fall informiert Okinami den Kunden vorher, soweit das Gesetz dies nicht verbietet. Der Hauptvertrag und dieser Vertrag sind die Weisungen des Kunden. Weitere Weisungen erteilt der Kunde in Textform.

3.2 Hält Okinami eine Weisung für rechtswidrig, weist Okinami den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

3.3 Okinami verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen.

3.4 Okinami trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Okinami darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

3.5 Okinami unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO und bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an Okinami, leitet Okinami die Anfrage unverzüglich an den Kunden weiter.

3.6 Okinami kann für Unterstützungsleistungen, die über den üblichen Umfang hinausgehen, eine angemessene Vergütung verlangen, es sei denn, der Aufwand beruht auf einem Verstoß von Okinami gegen diesen Vertrag.

4. Unterauftragsverarbeiter und Drittländer

4.1 Der Kunde genehmigt den Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter.

4.2 Okinami informiert den Kunden mindestens 14 Tage vorher in Textform, bevor ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann Okinami die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht zumutbar erbringen, können beide Parteien den Hauptvertrag zum Zeitpunkt der Änderung kündigen.

4.3 Okinami verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrages entsprechen.

4.4 Eine Verarbeitung außerhalb der EU oder des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss wie das EU-U.S. Data Privacy Framework oder durch Standardvertragsklauseln der EU-Kommission.

5. Kontrollen und Datenschutzverletzungen

5.1 Okinami stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind. Überprüfungen vor Ort sind nach Anmeldung mit einer Frist von mindestens 14 Tagen während der Geschäftszeiten möglich, höchstens einmal pro Kalenderjahr, es sei denn, es besteht ein konkreter Anlass. Die Kosten einer Überprüfung trägt der Kunde.

5.2 Okinami meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis, in Textform. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie Okinami vorliegen.

5.3 Okinami ergreift unverzüglich die erforderlichen Maßnahmen, um die Daten zu sichern und mögliche nachteilige Folgen für die Betroffenen zu mindern.

6. Löschung, Rückgabe und Schlussbestimmungen

6.1 Nach Ende des Hauptvertrages löscht Okinami alle personenbezogenen Daten des Kunden innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Vor der Löschung kann der Kunde den Export der Website nach Ziffer 9.2 der AGB verlangen. Datensicherungen werden im Rahmen ihres regulären Zyklus überschrieben.

6.2 Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.

6.3 Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen in Fragen des Datenschutzes die Regelungen dieses Vertrages vor.

6.4 Änderungen dieses Vertrages bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Unterauftragsverarbeiter

Anlage 2: Technische und organisatorische Maßnahmen

Zugang und Zugriff

• Zugang zu Hosting, Code-Verwaltung, E-Mail und Zahlungsdiensten nur mit persönlichem Konto und Zwei-Faktor-Authentifizierung
• Zugriff nur für Personen, die ihn für ihre Aufgabe brauchen; Entzug bei Ausscheiden
• Zugangsdaten des Kunden und technische Schlüssel liegen in einem verschlüsselten Passwort-Tresor, nicht im Programmcode

Übertragung und Speicherung

• Auslieferung der Website und Übermittlung von Formularanfragen ausschließlich verschlüsselt per HTTPS (TLS)
• Formularanfragen werden nur so lange gespeichert, wie es für die Weiterleitung an den Kunden nötig ist
• Schutz des Kontaktformulars vor automatisierten Spam-Einträgen
• Vorschauen sind für Suchmaschinen gesperrt und nur über nicht öffentlich verlinkte Adressen erreichbar

Verfügbarkeit und Wiederherstellung

• Website-Inhalte werden versioniert gespeichert, jeder Stand ist wiederherstellbar
• Hosting über ein verteiltes Netzwerk mit Schutz vor Überlastungsangriffen
• Regelmäßige Sicherheitsupdates der eingesetzten Software

Organisation

• Verpflichtung aller Beteiligten auf Vertraulichkeit
• Prüfung neuer Unterauftragsverarbeiter vor ihrem Einsatz
• Festgelegter Ablauf für die Meldung von Datenschutzverletzungen nach Ziffer 5.2