Vertrag zur Auftragsverarbeitung

Vertragsparteien

Verantwortlicher

Der Kunde nach Maßgabe des Hauptvertrags („Auftraggeber“)

Auftragsverarbeiter

MOJM — Inhaber: Oliver Terp, Heinrich-Lübke-Str. 16, 42579 Heiligenhaus („Auftragnehmer“)

Der Auftraggeber bleibt Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er beurteilt die Zulässigkeit der Verarbeitung und wahrt die Rechte der betroffenen Personen.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand ist die Bereitstellung und der Betrieb der Shop-Software Warfta einschließlich Hosting, Datenspeicherung, Datensicherung, Wartung und Support.

(2) Die Verarbeitung erfolgt ausschließlich zu dem Zweck, dem Auftraggeber den vertragsgemäßen Betrieb seines Onlineshops zu ermöglichen. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers — insbesondere zu Werbe-, Profilbildungs- oder Trainingszwecken — findet nicht statt.

(3) Die Verarbeitung findet ausschließlich in der Bundesrepublik Deutschland statt. Eine Verarbeitung in einem Drittland außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nicht.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags.

§ 2 Art der Daten und Kreis der betroffenen Personen

Kategorien personenbezogener Daten

• Stammdaten: Name, Anschrift, Kundennummer, Unternehmensangaben
• Kontaktdaten: E-Mail-Adresse, Telefonnummer
• Vertragsdaten: Bestellungen, Positionen, Rechnungen, Gutschriften, Retouren, Abonnements
• Zahlungsdaten: Zahlungsart, Zahlungsstatus, Referenznummern des Zahlungsdienstleisters
• Kontodaten: Zugangsdaten in verschlüsselter Form, Rollen und Berechtigungen
• Nutzungsdaten: Protokolldaten, IP-Adressen, Zeitstempel
• Inhaltsdaten: Nachrichten, Bewertungen und sonstige vom Auftraggeber erhobene Angaben

Kategorien betroffener Personen

• Kundinnen und Kunden des Auftraggebers sowie Interessenten
• Beschäftigte und Beauftragte des Auftraggebers mit Zugang zum Backend
• Ansprechpartner bei Lieferanten und Geschäftspartnern des Auftraggebers

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Beabsichtigt der Auftraggeber, solche Daten zu verarbeiten, zeigt er dies vorher an; die Parteien vereinbaren dann ergänzende Schutzmaßnahmen.

§ 3 Weisungsbindung

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag und dieser Vertrag stellen die Erstweisung dar. Weitere Weisungen erteilt der Auftraggeber in Textform.

(2) Ist der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet, unterrichtet er den Auftraggeber vor der Verarbeitung, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies unverzüglich mit. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 4 Vertraulichkeit

(1) Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über das Ende der Tätigkeit hinaus.

(2) Der Auftragnehmer macht die eingesetzten Personen mit den für sie geltenden Datenschutzbestimmungen vertraut und weist sie regelmäßig an.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber mit.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung, die in Anlage 2 genannten Unterauftragsverarbeiter einzusetzen.

(2) Beabsichtigt der Auftragnehmer, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies mindestens 30 Tage vorher in Textform mit. Der Auftraggeber kann innerhalb von 14 Tagen ab Zugang aus einem wichtigen, den Datenschutz betreffenden Grund widersprechen. Widerspricht er, darf er den Hauptvertrag außerordentlich zum Zeitpunkt der beabsichtigten Änderung kündigen, sofern keine einvernehmliche Lösung gefunden wird.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen. Er haftet für dessen Verhalten wie für eigenes.

(4) Nebenleistungen ohne unmittelbaren Bezug zu den Auftragsdaten — etwa Telekommunikationsleistungen, Reinigung oder Wartung durch Dritte — gelten nicht als Unterauftragsverarbeitung. Der Auftragnehmer stellt auch hier den Schutz der Daten sicher.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu erfüllen. Warfta stellt dafür Funktionen zu Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit bereit, die der Auftraggeber selbst bedienen kann.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten und bei Datenschutz-Folgenabschätzungen.

(4) Die Unterstützung nach Absatz 1 und 3 ist mit der Vergütung nach dem Hauptvertrag abgegolten, soweit der Aufwand nicht auf einem Umstand beruht, den der Auftraggeber zu vertreten hat.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung in Textform.

(2) Die Meldung beschreibt die Art der Verletzung, soweit möglich die betroffenen Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Gegenmaßnahmen. Fehlende Angaben reicht der Auftragnehmer ohne unangemessene Verzögerung nach.

(3) Meldungen an die Aufsichtsbehörde und an betroffene Personen nimmt der Auftraggeber vor. Der Auftragnehmer unterstützt ihn dabei.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlich sind.

(2) Der Auftraggeber darf sich von der Einhaltung überzeugen. Der Nachweis kann durch aktuelle Testate, Zertifizierungen oder Prüfberichte einer unabhängigen Stelle geführt werden.

(3) Reichen diese Nachweise nicht aus, darf der Auftraggeber nach Anmeldung mit angemessener Frist während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs vor Ort prüfen oder prüfen lassen. Prüfende Dritte dürfen keine Wettbewerber des Auftragnehmers sein und sind zur Vertraulichkeit zu verpflichten. Regelmäßige Prüfungen finden höchstens einmal jährlich statt; anlassbezogene Prüfungen bleiben davon unberührt.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung der Verarbeitung löscht der Auftragnehmer alle personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück. Der Auftraggeber trifft diese Wahl vor Vertragsende; trifft er sie nicht, werden die Daten gelöscht.

(2) Ein Export der Daten in offenen Formaten ist während der Laufzeit jederzeit und nach Vertragsende noch 30 Tage lang möglich.

(3) Die Löschung erstreckt sich auch auf Sicherungskopien; diese werden im Rahmen des Sicherungszyklus, spätestens 30 Tage nach der Löschung des Datenbestands, überschrieben.

(4) Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, darf der Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren. Gleiches gilt, soweit einer Löschung eine gesetzliche Aufbewahrungspflicht entgegensteht; die Daten werden in diesem Fall in der Verarbeitung eingeschränkt.

(5) Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 11 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO.

(2) Dieser Vertrag geht dem Hauptvertrag in Fragen der Auftragsverarbeitung vor. Änderungen bedürfen der Textform.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

---

Anlage 1 — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutrittskontrolle: Die Server stehen in Rechenzentren des Hosting-Dienstleisters in Falkenstein und Nürnberg. Zutritt nur für autorisiertes Personal, mit Vereinzelungsanlage, Videoüberwachung und dokumentierter Protokollierung.
• Zugangskontrolle: Persönliche Benutzerkonten, keine Sammelkonten, Zwei-Faktor-Authentisierung für administrative Zugänge, Passwörter ausschließlich als Hashwerte mit modernem Verfahren gespeichert, automatische Sitzungsbeendigung.
• Zugriffskontrolle: Rollen- und Rechtekonzept nach dem Prinzip der geringsten Berechtigung, Mandantentrennung, dokumentierte Vergabe und Entzug von Berechtigungen.
• Trennungskontrolle: Logische Trennung der Daten je Kunde; getrennte Umgebungen für Entwicklung, Test und Produktion. In Test- und Entwicklungsumgebungen werden keine produktiven personenbezogenen Daten verarbeitet.
• Pseudonymisierung und Verschlüsselung: Transportverschlüsselung nach dem Stand der Technik, verschlüsselte Datenträger, Sicherungen mit AES-256 verschlüsselt, Schlüsselverwaltung in einem eigenen Schlüsselverwaltungssystem ohne Zugriff des Infrastrukturanbieters.

Integrität

• Weitergabekontrolle: Übertragung ausschließlich über verschlüsselte Verbindungen; Datenexporte nur durch berechtigte Konten und protokolliert.
• Eingabekontrolle: Unveränderliches Protokoll sicherheitsrelevanter Vorgänge mit Zeitstempel und handelndem Konto.

Verfügbarkeit und Belastbarkeit

• Datensicherung: Tägliche verschlüsselte Sicherung an einem zweiten Standort, Vorhaltezeit 30 Tage, Wiederherstellung tagesgenau möglich.
• Schutzmaßnahmen: Unterbrechungsfreie Stromversorgung und Netzersatzanlage im Rechenzentrum, Brandfrüherkennung, Überwachung von Systemzustand und Kapazität, Schutz vor Überlastangriffen.
• Wiederherstellbarkeit: Regelmäßige Prüfung der Rücksicherung.

Verfahren zur Überprüfung und Bewertung

• Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Verpflichtung aller eingesetzten Personen auf Vertraulichkeit und regelmäßige Unterweisung.
• Dokumentierter Prozess zur Behandlung von Datenschutzvorfällen.
• Auswahl von Unterauftragsverarbeitern nach dokumentierten Kriterien; Abschluss von Verträgen nach Art. 28 DSGVO.
• Zeitnahes Einspielen sicherheitsrelevanter Aktualisierungen.

Anlage 2 — Unterauftragsverarbeiter

Hetzner Online GmbH

Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting, Rechenzentren Falkenstein und Nürnberg. Verarbeitung in Deutschland.

Brevo GmbH

Köpenicker Str. 126, 10179 Berlin, Deutschland — Versand transaktionaler und werblicher E-Mails. Verarbeitung in der Europäischen Union.

Zahlungsdienstleister, Versandunternehmen, Buchhaltungsdienste und Anbieter von Rechtstexten sind keine Unterauftragsverarbeiter des Auftragnehmers. Der Auftraggeber schließt die Verträge mit diesen Anbietern unmittelbar und ist ihnen gegenüber selbst Verantwortlicher; Warfta stellt lediglich die technische Verbindung her.

Die jeweils aktuelle Fassung dieser Liste ist auf dieser Seite abrufbar. Änderungen werden nach § 6 Abs. 2 angekündigt.