Zwischen dem Kunden von Homepage-Pros (Verantwortlicher, nachfolgend „Kunde“) und der meta-dot. UG (haftungsbeschränkt), Lilienthalstr. 4b, 53424 Remagen (Auftragsverarbeiter, nachfolgend „wir“), nach Art. 28 der Datenschutz-Grundverordnung (DSGVO). Dieser Vertrag ist Bestandteil des Vertrags über Homepage-Pros nach unseren AGB (nachfolgend „Hauptvertrag“).
1. Gegenstand und Dauer
(1) Wir betreiben für den Kunden seine Website und nehmen über deren Anmeldeformular Anfragen von Interessenten entgegen. Dabei verarbeiten wir personenbezogene Daten im Auftrag des Kunden. Einzelheiten stehen in Abschnitt 2.
(2) Dieser Vertrag gilt, solange der Hauptvertrag läuft, und darüber hinaus, solange wir noch Daten des Kunden verarbeiten (Abschnitt 9).
2. Art, Zweck und Umfang der Verarbeitung
Zweck
- Website: Speichern der Inhalte des Kunden, Erzeugen und Ausliefern seiner Website, Vorschau und frühere Fassungen;
- Anmeldeformular: Entgegennehmen der Anfragen, Weiterleiten per E-Mail an die vom Kunden genannte Adresse, Aufbewahren im Posteingang, bis sie gelöscht werden;
- Sicherung: tägliche Sicherung aller Daten zur Wiederherstellung nach einem Ausfall.
Arten von Daten
- Anfragen über das Anmeldeformular: Name, Telefonnummer, E-Mail-Adresse, gewünschte Führerscheinklasse, gewünschter Standort, Nachricht, Zeitpunkt der Anfrage;
- Inhalte der Website mit Personenbezug: Namen, Funktionen und Fotos von Mitarbeitenden des Kunden, Bewertungen mit Namen der Bewertenden, Kontaktdaten des Kunden;
- beim Aufruf der Website technisch notwendig: IP-Adresse und Anfragedaten des Browsers. Sie werden nur für die Auslieferung verwendet und nicht gespeichert.
Betroffene Personen
- Interessenten und Fahrschüler des Kunden, die das Anmeldeformular nutzen;
- Mitarbeitende des Kunden, die auf der Website genannt oder gezeigt werden;
- Personen, deren Bewertungen der Kunde auf der Website zeigt;
- Besucher der Website.
Daten der Personen, die für den Kunden den Kundenbereich nutzen, verarbeiten wir zur Durchführung des Hauptvertrags als eigene Verantwortliche; dafür gilt unsere Datenschutzerklärung.
3. Weisungen
(1) Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, das Recht der Union oder Deutschlands verpflichtet uns dazu; dann teilen wir dem Kunden das vorher mit, soweit das Gesetz es nicht verbietet.
(2) Weisungen sind der Hauptvertrag, dieser Vertrag und alles, was der Kunde im Kundenbereich einstellt und auslöst. Weitere Weisungen erteilt der Kunde in Textform, zum Beispiel per E-Mail an hallo@homepage-pros.de.
(3) Halten wir eine Weisung für rechtswidrig, sagen wir das dem Kunden unverzüglich und dürfen sie aussetzen, bis er sie bestätigt oder ändert.
4. Vertraulichkeit
Wer bei uns Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet oder unterliegt einer gesetzlichen Verschwiegenheitspflicht. Zugang hat nur, wer ihn für seine Aufgabe braucht.
5. Sicherheit der Verarbeitung
Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
6. Unterauftragsverarbeiter
(1) Der Kunde ist mit den Unterauftragsverarbeitern in Anlage 2 einverstanden.
(2) Einen neuen oder anderen Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher in Textform an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; finden wir keine Lösung, kann er den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.
(3) Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die uns dieser Vertrag auferlegt.
(4) Wir verarbeiten die Daten nur in der Europäischen Union oder im Europäischen Wirtschaftsraum.
7. Unterstützung des Kunden
(1) Wir unterstützen den Kunden dabei, Anfragen betroffener Personen zu beantworten (Art. 12 bis 23 DSGVO). Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter.
(2) Wir unterstützen den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO, soweit es um unsere Verarbeitung geht.
(3) Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Kunden unverzüglich, möglichst innerhalb von 24 Stunden, nachdem wir sie bemerkt haben, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen.
8. Nachweise und Kontrollen
(1) Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen.
(2) Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf uns nach Absprache und mit angemessener Vorankündigung während der üblichen Geschäftszeiten kontrollieren. Die Rechenzentren unserer Unterauftragsverarbeiter werden durch deren Nachweise und Zertifikate kontrolliert.
9. Löschung und Rückgabe
(1) Während der Vertragslaufzeit löschen wir Anfragen über das Anmeldeformular 90 Tage, nachdem sie im Posteingang als erledigt markiert wurden. Der Kunde kann einzelne Anfragen jederzeit vorher löschen lassen.
(2) Nach dem Ende des Hauptvertrags kann der Kunde seine Daten nach § 11 der AGB herunterladen. 30 Tage nach Vertragsende löschen wir alle Daten des Kunden. Kopien in Sicherungen werden mit deren Ablauf überschrieben, spätestens 14 Tage später.
10. Haftung
Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis zwischen dem Kunden und uns gilt die Haftungsregelung des Hauptvertrags.
11. Schlussbestimmungen
Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht. Im Übrigen gelten die Schlussbestimmungen der AGB.
Anlage 1: Technische und organisatorische Maßnahmen
Zutritt zu den Rechenzentren
Unsere Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland. Zutrittskontrolle, Videoüberwachung und Brandschutz stellt Hetzner; die Rechenzentren sind nach ISO/IEC 27001 zertifiziert.
Zugang zu den Systemen
- Anmeldung am Server nur mit kryptografischem Schlüssel, nicht mit Passwort;
- Firewall: von außen erreichbar sind nur die Anmeldung am Server und die Webdienste (HTTP und HTTPS); wiederholte Fehlversuche werden automatisch gesperrt;
- Datenbank und interne Dienste sind von außen nicht erreichbar;
- unsere Mitarbeitenden melden sich mit Zwei-Faktor-Authentifizierung an; es gibt keine Selbstregistrierung;
- Sicherheitsupdates des Betriebssystems werden automatisch eingespielt.
Zugriff auf die Daten
- Zugänge für unsere Mitarbeitenden legen wir einzeln an und entziehen sie, sobald sie nicht mehr gebraucht werden;
- Kundenzugänge entstehen nur durch persönliche Einladung; ein Kunde sieht ausschließlich seine eigenen Websites;
- die Daten jedes Kunden liegen getrennt in einem eigenen Bereich.
Weitergabe
- alle Verbindungen zur Website und zum Kundenbereich sind per TLS verschlüsselt;
- Anfragen über das Anmeldeformular gehen nur an die E-Mail-Adresse, die der Kunde festgelegt hat.
Verfügbarkeit und Wiederherstellung
- tägliche Sicherung von Datenbank, Inhalten und Fotos; die letzten 14 Sicherungen werden aufbewahrt;
- jede Veröffentlichung bleibt als Fassung erhalten (die aktuelle und die zehn vorherigen) und kann zurückgeholt werden;
- die Wiederherstellung aus einer Sicherung proben wir mindestens einmal im Quartal.
Datensparsamkeit
- die Websites der Kunden setzen keine Cookies, enthalten keine Analyse- oder Trackingdienste und laden nichts von fremden Servern;
- Zugriffe auf die Websites werden nicht protokolliert;
- hochgeladene Fotos werden ohne Metadaten (zum Beispiel GPS-Standort) gespeichert und veröffentlicht;
- offensichtliche Spam-Anfragen über das Formular werden verworfen und nicht gespeichert.
Anlage 2: Unterauftragsverarbeiter
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Server und Speicherung (Rechenzentrum Falkenstein, Deutschland) sowie Versand der E-Mails aus dem Anmeldeformular (Mailserver in Deutschland).