Auftragsverarbeiter
Einzelunternehmen Julian Fegert
Montessoriweg 11
71634 Ludwigsburg
Deutschland
E-Mail: support@hosting-fuchs.de
Telefon: +49 157 82347955
Ein Datenschutzbeauftragter ist nicht bestellt.
Auftraggeber
Auftraggeber ist der Kunde, der die Leistung bei Hosting-Fuchs.de bestellt hat. Maßgeblich sind die im Kundenkonto hinterlegten Bestandsdaten (Firma bzw. Vor- und Nachname, Anschrift, E-Mail-Adresse); sie sind im Kundenportal einsehbar und dort änderbar. Ansprechpartner für datenschutzrechtliche Angelegenheiten ist der im Kundenkonto hinterlegte Kontakt, soweit der Auftraggeber keinen abweichenden Ansprechpartner in Textform benennt.
Anwendungsbereich. Diese Vereinbarung gilt, soweit der Auftragsverarbeiter im Rahmen der gebuchten Leistung personenbezogene Daten im Auftrag des Auftraggebers verarbeitet und die Voraussetzungen einer Auftragsverarbeitung nach Art. 28 DSGVO vorliegen. Verarbeitet der Auftraggeber ausschließlich zu persönlichen oder familiären Zwecken (Art. 2 Abs. 2 lit. c DSGVO), findet diese Vereinbarung keine Anwendung.
Zustandekommen. Die Vereinbarung wird mit Abschluss des Hauptvertrags Bestandteil des Vertragsverhältnisses; der Auftraggeber stimmt ihrer Einbeziehung im Bestellprozess mit der Anerkennung der Allgemeinen Geschäftsbedingungen zu (§ 4 der AGB). Einer gesonderten Unterzeichnung bedarf es nicht (Art. 28 Abs. 9 DSGVO). Die bei Vertragsschluss geltende Fassung wird dem Auftraggeber mit der Auftragsbestätigung in Textform übermittelt; die jeweils aktuelle Fassung wird auf der Webseite bereitgestellt.
Ausfertigung. Benötigt der Auftraggeber eine unterzeichnete Ausfertigung für seine eigene Dokumentation, kann er die Unterzeichnung digital im Kundenportal vornehmen. Die dortigen Angaben sind für die Wirksamkeit dieser Vereinbarung nicht erforderlich.
(1) Der Auftragsverarbeiter stellt dem Auftraggeber nach Maßgabe des Hauptvertrags virtuelle Server (V-Server) auf Basis von KVM-Virtualisierung einschließlich der zugeordneten Rechen-, Speicher- und Netzwerkressourcen, der Netzanbindung und der Sicherungskopien im Umfang des gebuchten Leistungspakets zur Verfügung.
(2) Betriebssystem, Anwendungen und Dienste innerhalb der virtuellen Maschine administriert ausschließlich der Auftraggeber. Der Auftragsverarbeiter richtet sich keinen eigenen administrativen Benutzer innerhalb der virtuellen Maschine ein.
(3) Zweck der Verarbeitung ist die Bereitstellung und der Betrieb dieser Leistung. Die Verarbeitung erfolgt weit überwiegend automatisiert im Rahmen des technischen Betriebs und umfasst insbesondere Speicherung, Übertragung, Vervielfältigung zur Datensicherung sowie Löschung. Der Auftragsverarbeiter verarbeitet die Daten nicht für eigene, mit der Auftragsverarbeitung unvereinbare Zwecke.
(4) Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Die Vereinbarung endet mit dem Hauptvertrag; § 11 gilt bis zur vollständigen Löschung fort.
(5) Der Auftraggeber ist Verantwortlicher (Art. 4 Nr. 7 DSGVO), der Auftragsverarbeiter ist Auftragsverarbeiter (Art. 4 Nr. 8 DSGVO). Ist der Auftraggeber selbst Auftragsverarbeiter eines Dritten, gilt diese Vereinbarung entsprechend; der Auftraggeber stellt in diesem Fall sicher, dass die erforderliche Genehmigung des Verantwortlichen vorliegt.
(6) Nicht Gegenstand dieser Vereinbarung ist die Verarbeitung der Bestands-, Vertrags-, Zahlungs- und Kommunikationsdaten des Auftraggebers als Vertragspartner (Kundenkonto, Bestellung, Rechnungsstellung, Support). Hierfür ist der Auftragsverarbeiter selbst Verantwortlicher; es gilt seine Datenschutzerklärung.
(1) Der Auftraggeber bestimmt allein, welche personenbezogenen Daten er auf der virtuellen Maschine verarbeitet. Gegenstand sind sämtliche Daten, die er dort speichert oder durch seine Anwendungen verarbeiten lässt, einschließlich der hiervon erstellten Sicherungskopien. Der Auftragsverarbeiter hat keinen inhaltlichen Einblick in diese Daten und trifft keine Auswahl der Datenkategorien.
(2) In Betracht kommen insbesondere Bestands- und Kontaktdaten, Vertrags- und Abrechnungsdaten, Zugangs- und Authentifizierungsdaten, Nutzungs-, Verbindungs- und Protokolldaten, Inhalts- und Kommunikationsdaten sowie Beschäftigtendaten.
(3) Betroffen sein können insbesondere Kunden und Interessenten, Nutzer der Websites, Anwendungen und Dienste des Auftraggebers, Beschäftigte, Geschäftspartner, Mitglieder sowie sonstige Personen, deren Daten der Auftraggeber dort verarbeitet.
(4) Beabsichtigt der Auftraggeber die Verarbeitung von Daten nach Art. 9 Abs. 1 oder Art. 10 DSGVO, teilt er dies vor Beginn der Verarbeitung in Textform mit. Die Parteien vereinbaren dann etwaige zusätzliche Schutzmaßnahmen. Unterbleibt die Mitteilung, kann der Auftragsverarbeiter den erhöhten Schutzbedarf nicht berücksichtigen; die gesetzlichen Pflichten nach Art. 32 DSGVO bleiben unberührt.
(5) Eine Verschlüsselung der Datenträger auf Blockebene erfolgt nicht (Anlage 1 Ziffer 5). Der Auftraggeber prüft in eigener Verantwortung, ob die Leistung für seine beabsichtigte Verarbeitung geeignet ist, und setzt gegebenenfalls eigene Verschlüsselung innerhalb der virtuellen Maschine ein.
(1) Die Verarbeitung erfolgt ausschließlich im SkyLink Data Center, Bart van Slobbestraat 16B, 6471 WV Eygelshoven, Niederlande. Die Sicherungskopien liegen auf eigener Hardware innerhalb derselben Rechenzentrumsinfrastruktur.
(2) Der Auftragsverarbeiter nutzt die Fläche auf Grundlage eines Colocation-Vertrags mit der XSServer GmbH, die für die Unterbringung der Hardware im SkyLink Data Center zuständig ist. Sitz der XSServer GmbH ist die F. W.-Raiffeisen-Straße 34, 52531 Übach-Palenberg, Deutschland; dieser Unternehmenssitz ist nicht Verarbeitungsort.
(3) Die Serverhardware steht im Eigentum des Auftragsverarbeiters und wird grundsätzlich von ihm administriert. Arbeiten unmittelbar an der Hardware (Hands-On) können im Einzelfall auf Anforderung des Auftragsverarbeiters durch den Colocation-Anbieter ausgeführt werden. Administrative Zugänge zu den Betriebssystemen der Host- und Virtualisierungssysteme bestehen davon unberührt ausschließlich für den Auftragsverarbeiter (§ 5 Abs. 1).
(4) Weitere Verarbeitungsstandorte bestehen nicht. Eine Verarbeitung der im Auftrag verarbeiteten Daten außerhalb des Europäischen Wirtschaftsraums findet nicht statt. Eine etwaige Übermittlung in ein Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers; dies gilt auch für Übermittlungen in ein Drittland oder an eine internationale Organisation. Die anfänglichen Weisungen ergeben sich aus dem Hauptvertrag, dieser Vereinbarung und der vertragsgemäßen Nutzung der Leistung.
(2) Weitere Weisungen sind in Schrift- oder Textform zu erteilen. Weisungsberechtigt sind die im Kundenkonto hinterlegten vertretungsberechtigten Personen sowie in Textform benannte Ansprechpartner.
(3) Ist der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung oder zur Offenlegung gegenüber Behörden verpflichtet, teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
(4) Hält der Auftragsverarbeiter eine Weisung für datenschutzrechtlich unzulässig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
(5) Weisungen, die technisch nicht umsetzbar sind oder über den vereinbarten Leistungsumfang hinausgehen – insbesondere solche, die einen inhaltlichen Zugriff innerhalb der vom Auftraggeber administrierten virtuellen Maschine erfordern –, setzt der Auftragsverarbeiter nur nach gesonderter Vereinbarung um; für den Aufwand gilt § 8 Abs. 6 lit. c entsprechend, soweit nichts anderes vereinbart wird. Er informiert den Auftraggeber unverzüglich, wenn eine Weisung nicht umgesetzt werden kann.
(1) Der Auftragsverarbeiter ist Einzelunternehmer. Administrative Zugänge zur Infrastruktur bestehen ausschließlich für den Inhaber; weiteren Personen sind keine Zugänge eingerichtet. Der Inhaber verpflichtet sich, die im Auftrag verarbeiteten Daten nur zu den vertraglich vereinbarten Zwecken zu verwenden.
(2) Werden künftig Beschäftigte eingestellt oder Dritte mit Tätigkeiten befasst, bei denen ein Zugriff auf im Auftrag verarbeitete Daten möglich ist, werden diese vor Aufnahme der Tätigkeit zur Vertraulichkeit verpflichtet und unterrichtet.
(3) Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.
(1) Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen sind in Anlage 1 beschrieben; Anlage 1 ist Bestandteil dieser Vereinbarung. Der Auftraggeber hat die dort beschriebenen Maßnahmen einschließlich der ausdrücklich bezeichneten Einschränkungen zur Kenntnis genommen und erachtet sie für die vereinbarte Verarbeitung als angemessen.
(2) Der Auftragsverarbeiter darf die Maßnahmen an den Stand der Technik anpassen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Über wesentliche Änderungen informiert er in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse; die aktuelle Fassung der Anlage 1 wird im Kundenportal bereitgestellt.
(3) Abgrenzung. Die Maßnahmen beziehen sich ausschließlich auf die vom Auftragsverarbeiter betriebene Infrastruktur, die von ihm administrierten Host- und Virtualisierungssysteme und seine Verwaltungssysteme. Für die virtuelle Maschine des Auftraggebers – Betriebssystem, Anwendungen, Datenbanken, Benutzerkonten, Zugangsdaten, Aktualisierungen, Verschlüsselung, Zugriffsrechte, Protokollierung und Konfiguration – ist ausschließlich der Auftraggeber verantwortlich.
(1) Der Auftraggeber erteilt die allgemeine Genehmigung zur Inanspruchnahme von Unterauftragsverarbeitern (Art. 28 Abs. 2 Satz 2 DSGVO). Die derzeit eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und werden mit Einbeziehung dieser Vereinbarung genehmigt.
(2) Der Auftragsverarbeiter schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der im Wesentlichen dieselben Datenschutzpflichten auferlegt (Art. 28 Abs. 4 DSGVO), und bleibt gegenüber dem Auftraggeber im gesetzlich vorgesehenen Umfang verantwortlich. Erfolgt eine Verarbeitung in einem Drittland, stellt er die Voraussetzungen der Art. 44 ff. DSGVO sicher.
(3) Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen ein Zugriff auf die im Auftrag verarbeiteten Daten weder vorgesehen noch technisch möglich ist, insbesondere Telekommunikations- und Konnektivitätsleistungen, die Verwaltung von IP-Adressbereichen über eine Local Internet Registry, Transportleistungen sowie die Kundenportal- und Abrechnungssoftware (Näheres in Anlage 2). Ist bei Wartungs-, Reparatur- oder Entsorgungsleistungen an Hardware ein Zugriff nicht auszuschließen, schließt der Auftragsverarbeiter einen Vertrag nach Art. 28 DSGVO oder stellt durch Ausbau bzw. sichere Löschung der Datenträger sicher, dass ein Zugriff ausgeschlossen ist.
(4) Änderungen. Der Auftragsverarbeiter informiert über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 30 Tage im Voraus in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse und weist dabei auf die Widerspruchsfrist und die Bedeutung des Schweigens hin. Der Auftraggeber kann innerhalb von 14 Tagen ab Zugang aus sachlich begründeten datenschutzrechtlichen Gründen in Textform widersprechen; der Widerspruch ist zu begründen. Ohne Widerspruch gilt die Änderung als genehmigt.
(5) Bei begründetem Widerspruch suchen die Parteien binnen 14 Tagen eine einvernehmliche Lösung. Gelingt dies nicht und kann der Auftragsverarbeiter die betroffene Leistung ohne den Unterauftragsverarbeiter nicht zu wirtschaftlich zumutbaren Bedingungen erbringen, kann jede Partei den Hauptvertrag hinsichtlich der betroffenen Leistung fristlos kündigen; im Voraus gezahlte Entgelte werden anteilig erstattet.
(6) Fällt ein Unterauftragsverarbeiter unvorhergesehen und ohne Verschulden des Auftragsverarbeiters aus, insbesondere durch Insolvenz oder länger andauernden Ausfall, und ist die Leistungserbringung ohne kurzfristigen Wechsel nicht möglich, darf der Auftragsverarbeiter einen Unterauftragsverarbeiter mit gleichwertigem Datenschutzniveau vorübergehend einsetzen. Er informiert unverzüglich, spätestens innerhalb von sieben Tagen; das Widerspruchsrecht nach Absatz 4 besteht ab Zugang dieser Information, die Regelung nach Absatz 5 gilt entsprechend.
(1) Der Auftragsverarbeiter stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und dokumentiert die getroffenen Maßnahmen. Auf begründete Anfrage stellt er den die Verarbeitung für den Auftraggeber betreffenden Auszug aus dem Verzeichnis nach Art. 30 Abs. 2 DSGVO bereit.
(2) Vorrang der Dokumentenprüfung. Der Nachweis wird durch Vorlage der Anlage 1, aktueller Dokumentationen, Selbstauskünfte, Nachweise des Colocation-Anbieters sowie vergleichbarer Unterlagen oder Zertifizierungen erbracht. Die Parteien sind sich einig, dass dieser Weg für die vereinbarte Standardleistung regelmäßig ausreichend ist.
(3) Kontrolle vor Ort. Hält der Auftraggeber den Nachweis nach Absatz 2 für nicht ausreichend, kann er eine Kontrolle vor Ort verlangen; er hat hierfür konkret darzulegen, welche Angaben er für unzureichend hält und weshalb. Für Kontrollen gilt:
(4) Ein konkreter Anlass – insbesondere eine Verletzung des Schutzes personenbezogener Daten im Verantwortungsbereich des Auftragsverarbeiters oder eine behördliche Anordnung – berechtigt zu einer kurzfristigeren oder zusätzlichen Kontrolle; Absatz 3 lit. c bis f bleibt anwendbar.
(5) Technische Prüfungen. Sicherheitsüberprüfungen technischer Art, insbesondere Penetrationstests, Schwachstellen- oder Portscans der Infrastruktur des Auftragsverarbeiters, bedürfen einer gesonderten schriftlichen Vereinbarung über Umfang, Zeitpunkt und Verfahren. Prüfungen innerhalb der eigenen virtuellen Maschine bleiben dem Auftraggeber unbenommen.
(6) Kosten und Aufwand.
(1) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich nach Kenntniserlangung in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse, wenn eine Verletzung des Schutzes personenbezogener Daten vorliegt, von der im Auftrag des Auftraggebers verarbeitete Daten betroffen sind. Er stellt die ihm verfügbaren Informationen bereit, die der Auftraggeber zur Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO benötigt, und reicht fehlende Angaben ohne unangemessene Verzögerung nach.
(2) Der Auftragsverarbeiter trifft in seinem Verantwortungsbereich geeignete Maßnahmen zur Begrenzung und Behebung. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Auftraggeber. Betrifft eine Verletzung ausschließlich die vom Auftraggeber administrierte virtuelle Maschine, obliegen Feststellung und Bewertung ebenfalls dem Auftraggeber.
(3) Der Auftragsverarbeiter unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen mit geeigneten Maßnahmen bei der Erfüllung von dessen Pflichten nach Kapitel III sowie nach Art. 32 bis 36 DSGVO.
(4) Der Auftragsverarbeiter hat keinen regelmäßigen inhaltlichen Zugriff auf die im Auftrag verarbeiteten Daten. Auskünfte über einzelne Datensätze sowie deren Berichtigung, Löschung oder Herausgabe kann er nicht vornehmen; die Bearbeitung von Betroffenenanfragen obliegt dem Auftraggeber, der hierzu während der Vertragslaufzeit über vollständigen administrativen Zugriff auf seine virtuelle Maschine verfügt. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er die Anfrage weiter, soweit eine Zuordnung möglich ist; eine eigenständige Beantwortung erfolgt nicht.
(5) Für Unterstützungsleistungen, die über die gesetzlich geschuldete Mitwirkung hinausgehen oder einen erheblichen Aufwand verursachen, kann der Auftragsverarbeiter nach vorheriger Ankündigung des voraussichtlichen Aufwands eine Vergütung nach dem in § 8 Abs. 6 lit. c genannten Stundensatz verlangen. Dies gilt nicht, soweit der Aufwand durch eine ihm zuzurechnende Pflichtverletzung veranlasst ist.
(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, für eine ausreichende Rechtsgrundlage, für seine Berechtigung zur Übermittlung der Daten und für die Wahrung der Rechte der betroffenen Personen verantwortlich. Er führt das Verzeichnis nach Art. 30 Abs. 1 DSGVO in eigener Verantwortung.
(2) Der Auftraggeber ist für die Sicherheit der von ihm administrierten virtuellen Maschine verantwortlich, insbesondere für Aktualisierung von Betriebssystem und Software, Vergabe und Absicherung von Zugangsdaten, Konfiguration von Zugriffsrechten und Verschlüsselung sowie Protokollierung innerhalb der eigenen Systeme.
Der Auftraggeber ändert das bei der Bereitstellung erzeugte initiale Passwort des privilegierten Benutzers unverzüglich nach Übernahme des Systems und stellt, soweit möglich, auf Schlüsselauthentifizierung um.
(3) Der Auftraggeber ist für die Sicherung seiner Daten selbst verantwortlich, soweit eine Datensicherung nicht ausdrücklich Leistungsbestandteil ist. Er ist gehalten, eigene Sicherungskopien anzufertigen und diese nicht ausschließlich auf den Systemen des Auftragsverarbeiters vorzuhalten.
(4) Der Auftraggeber informiert den Auftragsverarbeiter unverzüglich über festgestellte Fehler oder Unregelmäßigkeiten bei der Verarbeitung sowie über Anhaltspunkte für eine Kompromittierung seiner virtuellen Maschine.
(1) Nach Beendigung der Verarbeitungsleistungen löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht.
(2) Der Auftraggeber hat während der Vertragslaufzeit vollständigen administrativen Zugriff auf seine virtuelle Maschine und kann die Daten eigenständig exportieren. Ergänzend kann er während der aktiven Vertragslaufzeit über ein Support-Ticket kostenfrei ein vollständiges Abbild seiner virtuellen Maschine (vzdump) anfordern; die Bereitstellung erfolgt über einen zugriffsgeschützten, verschlüsselten Übertragungsweg. Die Rückgabe nach Absatz 1 erfolgt auf diesem Weg; eine weitergehende Aufbereitung, Formatkonvertierung oder Bereitstellung auf physischen Datenträgern ist nicht geschuldet.
(3) Nach Ablauf der Prepaid-Laufzeit wird der V-Server nach Maßgabe des Hauptvertrags gesperrt; mit der Sperrung endet der Zugriff des Auftraggebers. Erfolgt keine Verlängerung, werden die produktiven Daten anschließend endgültig gelöscht. Nach der Löschung kann kein Abbild nach Absatz 2 mehr erstellt werden. Der Auftraggeber ist gehalten, benötigte Daten rechtzeitig vorher zu sichern.
(4) Daten, die sich nach Vertragsende noch in Sicherungskopien befinden, werden im Rahmen der regulären Backup-Rotation spätestens acht Wochen nach Vertragsende automatisiert gelöscht; auf Wunsch des Auftraggebers erfolgt eine vorzeitige Löschung. Bis zur Löschung werden diese Daten nicht für andere Zwecke weiterverarbeitet; eine Verarbeitung erfolgt nur zur Wiederherstellung, zur Sicherheit der Systeme oder aufgrund gesetzlicher Verpflichtung.
(5) Gesetzliche Aufbewahrungspflichten bleiben unberührt; betroffene Daten werden für die Dauer der Pflicht in ihrer Verarbeitung eingeschränkt und danach gelöscht. Die vertragsgemäße Löschung wird auf begründetes Verlangen in Textform bestätigt.
(1) Die gesetzlichen Haftungsregelungen, insbesondere Art. 82 DSGVO, bleiben unberührt. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.
(2) Wird der Auftragsverarbeiter wegen einer Verarbeitung in Anspruch genommen, die auf einer rechtswidrigen Weisung, auf unzutreffenden Angaben nach § 2 oder auf einer sonstigen Pflichtverletzung des Auftraggebers beruht, stellt der Auftraggeber ihn von den hieraus entstehenden Ansprüchen und den Kosten einer angemessenen Rechtsverteidigung frei. Dies gilt nur, soweit der Auftraggeber die Inanspruchnahme zu vertreten hat und den Auftragsverarbeiter kein eigenes Verschulden trifft.
(3) Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich über eine solche Inanspruchnahme, stellt die zur Verteidigung erforderlichen Informationen bereit und schließt ohne Zustimmung des Auftraggebers keine Anerkenntnisse oder Vergleiche, es sei denn, er ist hierzu rechtlich verpflichtet oder der Auftraggeber äußert sich trotz Aufforderung nicht innerhalb angemessener Frist.
(1) Änderungen dieser Vereinbarung bedürfen grundsätzlich der Zustimmung des Auftraggebers.
(2) Ohne Zustimmung des Auftraggebers darf der Auftragsverarbeiter Änderungen vornehmen, wenn diese
(3) Untergrenze. Ohne Zustimmung des Auftraggebers werden in keinem Fall
Eine Änderung nach Absatz 2, die im Ergebnis eine dieser Wirkungen hätte, ist von Absatz 2 nicht gedeckt.
(4) Wirksamwerden. Änderungen nach Absatz 2 werden mit der nächsten Verlängerung der gebuchten Leistung wirksam. Für die laufende Prepaid-Laufzeit gilt die dem Auftraggeber zuletzt in Textform übermittelte Fassung. Abweichend hiervon werden Änderungen nach Absatz 2 lit. a zu dem Zeitpunkt wirksam, zu dem die rechtliche Vorgabe dies erfordert.
(5) Mitteilung. Über Änderungen nach Absatz 2 informiert der Auftragsverarbeiter in Textform an die im Kundenkonto hinterlegte E-Mail-Adresse; bei Änderungen mit nicht nur unerheblichen Auswirkungen für den Auftraggeber erfolgt die Information mindestens 30 Tage vor Wirksamwerden. Die jeweils aktuelle Fassung wird im Kundenportal bereitgestellt.
(6) Zustimmungsbedürftige Änderungen. Änderungen, die nicht unter Absatz 2 fallen, teilt der Auftragsverarbeiter dem Auftraggeber mindestens 30 Tage vor dem beabsichtigten Wirksamwerden in Textform mit. Stimmt der Auftraggeber nicht zu, bleibt die bisherige Fassung für die laufende Prepaid-Laufzeit maßgeblich. Kann der Auftragsverarbeiter die Leistung auf Grundlage der bisherigen Fassung nicht zu wirtschaftlich zumutbaren Bedingungen fortführen, kann jede Partei den Hauptvertrag zum Ende der laufenden Prepaid-Laufzeit kündigen.
(7) Kündigungsrecht. Wird eine Änderung nach Absatz 2 lit. a bereits während der laufenden Prepaid-Laufzeit wirksam und beeinträchtigt sie den Auftraggeber nicht nur unerheblich, kann dieser den Hauptvertrag hinsichtlich der betroffenen Leistung außerordentlich kündigen. Im Voraus gezahlte Entgelte werden anteilig für den nicht in Anspruch genommenen Leistungszeitraum erstattet. Weitergehende gesetzliche und vertragliche Kündigungsrechte bleiben unberührt.
(8) Vorrang der Sonderregelungen. Für die Anpassung der technischen und organisatorischen Maßnahmen gilt § 6 Abs. 2, für die Änderung des Verzeichnisses der Unterauftragsverarbeiter § 7 Abs. 4 bis 6. Diese Regelungen gehen den Absätzen 1 bis 7 vor.
(1) Diese Vereinbarung ist Bestandteil des Vertragsverhältnisses. Bei Widersprüchen gehen ihre datenschutzrechtlichen Regelungen denen des Hauptvertrags vor.
(2) Änderungen und Ergänzungen einschließlich Änderungen dokumentierter Weisungen können in Schrift- oder Textform erfolgen. Für inhaltliche Änderungen dieser Vereinbarung gilt § 13.
(3) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts. Ist der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand Ludwigsburg.
(4) Sollten einzelne Bestimmungen unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
(5) Bestandteil dieser Vereinbarung sind Anlage 1 (Technische und organisatorische Maßnahmen) und Anlage 2 (Unterauftragsverarbeiter).
Anwendungsbereich. Die Maßnahmen betreffen die vom Auftragsverarbeiter betriebene Infrastruktur, die von ihm administrierten Host- und Virtualisierungssysteme sowie seine Verwaltungssysteme. Die physische Rechenzentrumssicherheit erbringt der Colocation-Anbieter. Für Betriebssystem, Anwendungen, Datenbanken, Benutzerkonten und Konfigurationen innerhalb der vom Auftraggeber administrierten virtuellen Maschine ist ausschließlich der Auftraggeber verantwortlich.
Unternehmensstruktur. Der Auftragsverarbeiter ist ein Einzelunternehmen ohne Beschäftigte; alle administrativen Tätigkeiten führt ausschließlich der Inhaber aus. Maßnahmen, die auf mehrere zugriffsberechtigte Personen zugeschnitten sind, sind daher nicht einschlägig und werden nicht eingesetzt – insbesondere kein rollenbasiertes Berechtigungskonzept, keine personenbezogene Zuordnung und gesonderte Protokollierung einzelner administrativer Tätigkeiten und kein Verfahren zur Vergabe und zum Entzug von Berechtigungen mehrerer Administratoren. Die Zuordenbarkeit ergibt sich daraus, dass nur eine Person über administrative Zugänge verfügt. Werden künftig weitere Personen mit administrativen Aufgaben befasst, werden ein Berechtigungskonzept und eine personenbezogene Zugangsverwaltung eingeführt und diese Anlage fortgeschrieben.
Der physische Zutritt zu den Serversystemen wird durch die Zutrittskontrolle des Rechenzentrums gewährleistet, in dem Colocation-Fläche genutzt wird: nach Angaben des Anbieters gesicherte Gebäude- und Serverraumzugänge, Beschränkung auf autorisierte Personen, Protokollierung der Zutritte und Videoüberwachung der Zugangs- und Serverbereiche. Ein Zutritt des Auftragsverarbeiters erfolgt ausschließlich im Rahmen dieser Regelungen. Nachweise werden auf begründete Anfrage im Rahmen des § 8 vorgelegt.
| Maßnahme | Beschreibung |
|---|---|
| Alleiniger Administrator | Administrative Zugänge zu Host- und Virtualisierungssystemen bestehen ausschließlich für den Inhaber. |
| Management-VPN | Administrativer Zugriff auf Host- und Virtualisierungssysteme sowie auf die Out-of-Band-Verwaltung (IPMI) ausschließlich über verschlüsselte VPN-Verbindung; diese Systeme sind aus dem öffentlichen Internet nicht erreichbar. |
| Verschlüsselte Administration | Administrative Zugriffe innerhalb der VPN-Verbindung über verschlüsselte Protokolle (SSH). |
| Firewall | Der Netzzugang zur Management- und Hostinfrastruktur ist durch Firewall-Regeln beschränkt; nicht benötigte Dienste sind von außen nicht erreichbar. |
| Web Application Firewall | Das Kundenportal ist durch eine Web Application Firewall (ModSecurity) geschützt. |
| Fail2Ban | Fehlgeschlagene Anmelde- und Zugriffsversuche werden erkannt; betreffende IP-Adressen werden automatisiert temporär gesperrt. |
| Zwei-Faktor-Authentifizierung | Für administrative Portalzugänge eingesetzt; Kunden können sie für ihr Kundenkonto aktivieren. |
| Passwortanforderungen | Anforderungen an Länge und Komplexität für Zugänge zu den Systemen des Auftragsverarbeiters. |
| Maßnahme | Beschreibung |
|---|---|
| Kein Zugriff Dritter | Ein administrativer Zugriff Dritter auf Host- und Virtualisierungssysteme oder auf Kundensysteme ist nicht eingerichtet; dies gilt auch für den Hersteller der Kundenportalsoftware (Anlage 2). |
| Virtualisierungsebene | Der Inhaber verfügt betriebsbedingt dauerhaft über administrativen Zugriff auf Host- und Virtualisierungssysteme; dieser ist für Betrieb, Wartung, Fehlerbehebung, Sicherung und Wiederherstellung erforderlich. Eine Beschränkung auf Ausnahmefälle findet nicht statt und wird nicht zugesagt. |
| Kein eigener Zugang in die virtuelle Maschine | Der Auftragsverarbeiter richtet sich keinen eigenen administrativen Benutzer innerhalb der virtuellen Maschine des Auftraggebers ein und unterhält keinen laufenden Zugang zu deren Betriebssystem. |
| Initiale Produkt-Zugangsdaten | Die bei der Bereitstellung erzeugten Zugangsdaten der virtuellen Maschine (Passwort des privilegierten Benutzers) werden zur Produktverwaltung so gespeichert, dass sie administrativ ausgelesen werden können; eine ausschließlich gehashte Speicherung erfolgt insoweit nicht. Solange der Auftraggeber dieses Passwort im Betriebssystem des Servers nicht ändert, ist ein Zugang zum Betriebssystem der virtuellen Maschine mit diesen Daten technisch möglich. Der Auftraggeber ist zur unverzüglichen Änderung gehalten (§ 10 Abs. 2). Der Zugriff auf diese Daten ist auf den Inhaber beschränkt; nach endgültiger Löschung des Produkts werden sie dem Auftraggeber nicht mehr angezeigt und mit Löschung des Kundenkontos entfernt. |
| Kein routinemäßiger Inhaltszugriff | Ein inhaltlicher Zugriff auf die in der virtuellen Maschine gespeicherten Daten erfolgt nicht routinemäßig. Auf Ebene der Virtualisierungsinfrastruktur ist er technisch möglich und erfolgt nur, soweit im Einzelfall zur Störungsbeseitigung, zur Abwehr von Sicherheitsvorfällen, zur Wiederherstellung, auf Anforderung des Auftraggebers oder aufgrund gesetzlicher Verpflichtung erforderlich. |
| Maßnahme | Beschreibung |
|---|---|
| Virtualisierung | Kundensysteme werden als getrennte virtuelle Maschinen (KVM) betrieben; die Trennung erfolgt auf Ebene des Hypervisors. |
| Netzsegmentierung | Getrennte VLANs für Out-of-Band-Verwaltung (IPMI) und Hostsysteme |
| Getrennte Zugangsdaten | Je Kunde und Produkt eigene Zugangsdaten. |
| Sicherungskopien | Getrennt von den produktiven Systemen und je Kunde getrennt abgelegt. |
| Maßnahme | Beschreibung |
|---|---|
| Transportverschlüsselung | Zugriffe auf Website und Kundenportal ausschließlich über TLS; administrative Verbindungen ausschließlich verschlüsselt. |
| Passwortspeicherung | Passwörter für den Login zum Kundenportal werden ausschließlich gehasht gespeichert. Für Produkt-Zugangsdaten gilt abweichend Ziffer 3. |
| Kein Datenträgerversand | Ein Versand personenbezogener Daten auf physischen Datenträgern findet nicht statt. Angeforderte Abbilder werden über einen zugriffsgeschützten, verschlüsselten Weg bereitgestellt. |
| Ruhende Daten | Eine Verschlüsselung der Datenträger auf Blockebene erfolgt nicht. Der Schutz ruhender Daten erfolgt durch physische Zutrittssicherung, Trennung der Kundensysteme, Beschränkung administrativer Zugänge auf eine Person und sichere Löschung ausgesonderter Datenträger. Die Verschlüsselung innerhalb der virtuellen Maschine obliegt dem Auftraggeber. |
| Maßnahme | Beschreibung |
|---|---|
| Systemprotokolle | Die Systeme führen die vom Betriebssystem vorgesehenen Protokolle über sicherheitsrelevante Vorgänge, insbesondere Anmeldevorgänge. |
| Sicherheitsprotokolle | Fail2Ban-Protokolle werden bis zu 28 Tage gespeichert; Webserver-Protokolle 14 Tage und anschließend rotierend gelöscht bzw. überschrieben. |
| Keine Revisionsprotokollierung | Eine über die Standardprotokollierung hinausgehende, revisionssichere Protokollierung einzelner administrativer Tätigkeiten sowie eine gesonderte Archivierung von Protokolldaten erfolgt nicht. |
| Kundensysteme | Die Protokollierung innerhalb der virtuellen Maschine obliegt dem Auftraggeber. |
| Maßnahme | Beschreibung |
|---|---|
| Monitoring | Hostsysteme und wesentliche Infrastrukturkomponenten werden durch ein Monitoring-System (Zabbix) überwacht; ausgelöste Benachrichtigungen werden bearbeitet. |
| Redundante Speichersysteme | Hostsysteme werden mit redundanten Speicherverbünden betrieben, um den Ausfall einzelner Datenträger abzufangen. |
| Rechenzentrumsinfrastruktur | Unterbrechungsfreie Stromversorgung, Netzersatzanlagen, redundante Klimatisierung, Brandschutz und redundante Netzanbindung werden im Rahmen der Colocation-Leistung bereitgestellt. |
| DDoS-Schutz | Schutzmaßnahmen gegen netzwerkbasierte Überlastangriffe im Umfang der jeweiligen Leistung. |
| Datensicherung | Wöchentliche automatisierte Sicherungskopien; abhängig vom Leistungspaket kann der Auftraggeber zusätzlich eigene Sicherungen über das Kundenportal erstellen und zurückspielen. |
| Wiederherstellung | Innerhalb der Aufbewahrungsfrist auf Anforderung möglich; die Wiederherstellbarkeit wird stichprobenartig überprüft. Eine Garantie für Verfügbarkeit oder Wiederherstellbarkeit eines bestimmten Sicherungsstands besteht nicht. |
| Patch-Management | Sicherheitsupdates werden auf den betriebenen Host- und Verwaltungssystemen regelmäßig eingespielt, bei kritischen Schwachstellen vorrangig. |
| Reaktion auf Vorfälle | Meldungen aus dem Monitoring und Störungsmeldungen werden nach einem definierten Ablauf bearbeitet; für Verletzungen des Schutzes personenbezogener Daten besteht der Prozess nach § 9. |
Die Wirksamkeit der Maßnahmen wird regelmäßig sowie anlassbezogen bei wesentlichen Änderungen von Technik, Infrastruktur oder Verarbeitungsvorgängen überprüft und bewertet; das Ergebnis wird dokumentiert und diese Anlage fortgeschrieben. Unterauftragsverarbeiter werden nach ihrer Eignung ausgewählt und in Anlage 2 dokumentiert; mit ihnen bestehen Vereinbarungen nach Art. 28 Abs. 4 DSGVO. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
| Gegenstand | Regelung |
|---|---|
| Produktive Systeme | Mit Sperrung endet der Zugriff des Auftraggebers; die Daten werden anschließend nach Maßgabe des Hauptvertrags gelöscht. |
| Sicherungskopien | Löschung spätestens acht Wochen nach Erstellung bzw. nach Vertragsende im Rahmen der automatisierten Backup-Rotation; auf Wunsch vorzeitig. |
| Protokolldaten | Webserver-Protokolle nach 14 Tagen, Fail2Ban-Protokolle nach bis zu 28 Tagen, sonstige Systemprotokolle im Rahmen der Standardrotation; keine gesonderte Archivierung. |
| Datenträger | Ausgesonderte Datenträger werden vor Wiederverwendung sicher gelöscht oder vernichtet. |
| Gesetzliche Aufbewahrung | Betroffene Daten werden in ihrer Verarbeitung eingeschränkt und nach Ablauf der Frist gelöscht. |
Stand: 30.07.2026. Der Auftragsverarbeiter darf die Maßnahmen im Rahmen des technischen Fortschritts weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird; über wesentliche Änderungen wird gemäß § 6 Abs. 2 informiert.
| Angabe | Details |
|---|---|
| Anschrift (Unternehmenssitz) | F. W.-Raiffeisen-Straße 34, 52531 Übach-Palenberg, Deutschland |
| Leistung | Colocation einschließlich Rechenzentrumsinfrastruktur (Stellfläche, Strom, Klimatisierung, Netzanbindung, physische Sicherheit) sowie Hands-On-Services an der Hardware des Auftragsverarbeiters |
| Verarbeitungsort | SkyLink Data Center, Bart van Slobbestraat 16B, 6471 WV Eygelshoven, Niederlande |
| Grundlage | Colocation-Vertrag; die XSServer GmbH ist gegenüber dem Auftragsverarbeiter für das Rechenzentrum verantwortlich |
| Zugriff | Beschränkt auf den physischen Zugang zur Hardware. Ein administrativer oder inhaltlicher Zugriff auf Betriebssysteme, Hypervisor oder Kundensysteme ist nicht vorgesehen und nicht eingerichtet. |
| Drittlandbezug | Nein (EWR) |
Weitere Unterauftragsverarbeiter werden derzeit nicht eingesetzt; insbesondere bestehen keine weiteren Rechenzentrumsstandorte und keine externen Backup-Dienstleister.
Kundenportal- und Abrechnungssoftware (hostware GmbH, Mecklenburger Weg 24, 33178 Borchen, Deutschland). Die Software wird auf eigener Infrastruktur des Auftragsverarbeiters betrieben. Der Hersteller kann im konkreten Support- oder Fehlerfall anlassbezogen Fernzugriff auf den Portalserver erhalten. Ein Zugriff auf Host- und Virtualisierungssysteme oder auf virtuelle Maschinen der Kunden besteht nicht und ist nicht eingerichtet. Im Kundenportal werden ausschließlich Bestands-, Vertrags-, Abrechnungs- und Kommunikationsdaten der Vertragspartner des Auftragsverarbeiters verarbeitet, für die dieser selbst Verantwortlicher ist; hierfür besteht mit dem Hersteller eine gesonderte Vereinbarung zur Auftragsverarbeitung.
IP-Netze (Local Internet Registry). Dem Auftragsverarbeiter sind über eine Local Internet Registry IP-Adressbereiche zugeteilt; das Routing erfolgt über das autonome System des Colocation-Anbieters. Der Auftragsverarbeiter bleibt registrierter Inhaber; eine Registrierung von Daten des Auftraggebers in öffentlichen Registerdatenbanken findet nicht statt. Missbrauchsmeldungen Dritter werden an den Auftragsverarbeiter weitergeleitet.
Dienstleister der eigenen Verarbeitung. Dienstleister, die der Auftragsverarbeiter ausschließlich für seine eigene Verarbeitung als Verantwortlicher einsetzt – insbesondere Zahlungsdienstleister, Buchhaltungssoftware, Consent-Management, Captcha- und Bewertungsdienst – verarbeiten keine im Auftrag des Auftraggebers verarbeiteten Daten. Es gilt die Datenschutzerklärung des Auftragsverarbeiters.
Änderungen dieses Verzeichnisses werden gemäß § 7 Abs. 4 mindestens 30 Tage im Voraus in Textform mitgeteilt; die aktuelle Fassung wird im Kundenportal bereitgestellt.