Auftragsverarbeitungsvertrag

1. Rolle dieses AVV

Dieser Auftragsverarbeitungsvertrag („AVV“) ist der Standardvertrag von Horváth Digital Solutions™ nach Artikel 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung — DSGVO). Der auf dieser Seite veröffentlichte Wortlaut ist der Standardtext, den die Parteien über DocuSeal oder das Kundenportal (oder in sonstiger rechtlich bindender Form) vereinbaren.

Die Veröffentlichung dieser Seite begründet für sich genommen kein Vertragsverhältnis, stellt kein durch bloßen Aufruf angenommenes Angebot dar und beginnt keine Auftragsverarbeitung. Horváth Digital Solutions™ verarbeitet personenbezogene Daten als Auftragsverarbeiter erst, nachdem dieser AVV — oder eine sonstige rechtlich bindende Vereinbarung, die Art. 28 DSGVO genügt — mit dem Auftraggeber vereinbart wurde.

Dieser AVV tritt neben die AGB. Die Nutzung der Dienste bleibt der Richtlinie zur zulässigen Nutzung unterworfen. Service-Level ergeben sich aus dem Service Level Agreement. Unabhängige Verantwortlichen-Verarbeitungen von Horváth Digital Solutions™ beschreibt die Datenschutzerklärung; sie unterliegen nicht diesem AVV. Die Anbieterkennzeichnung steht auch im Impressum. Für allgemeine Anfragen nutzen Sie die Kontaktseite.

2. Parteien und Begriffsbestimmungen

Horváth Digital Solutions™ Inhaber: Semjon Horváth Eichborndamm 90B 13403 Berlin Deutschland

E-Mail: info@horvath-digital.solutions
Telefon: +49 30 81451947-0
Fax: +49 30 81451947-3
Rechtliches: legal@horvath-digital.solutions

Horváth Digital Solutions™ („HDS“) handelt unter diesem AVV als Auftragsverarbeiter („Auftragnehmer“). Weitere Anbieterangaben stehen im Impressum. Für allgemeine Anfragen nutzen Sie die Kontaktseite.

Auftraggeber ist die Kundin bzw. der Kunde, die bzw. der diesen AVV vereinbart („Auftraggeber“). Handelt der Auftraggeber selbst als Auftragsverarbeiter für eine dritte verantwortliche Stelle, sichert er zu, zur Erteilung von Weisungen an HDS berechtigt zu sein; HDS bleibt unter diesem AVV allein gegenüber dem Auftraggeber Auftragsverarbeiter.

Die in diesem AVV verwendeten Begriffe haben die Bedeutung des Art. 4 DSGVO, insbesondere „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“. „Dienste“ sind die in §4 und Anlage 1 genannten Leistungen. „Kundeninhalte“ sind personenbezogene Daten, die HDS nach dokumentierten Weisungen des Auftraggebers in diesen Diensten verarbeitet. „Unterauftragsverarbeiter“ ist ein Auftragsverarbeiter, den HDS zur Verarbeitung von Kundeninhalten heranzieht.

3. Gegenstand, Art, Zweck und Dauer

Gegenstand dieses AVV ist die Verarbeitung von Kundeninhalten durch HDS als Auftragsverarbeiter zur Erbringung der vom Auftraggeber beauftragten oder konfigurierten Leistungen nach §4.

Die Art der Verarbeitung umfasst Speicherung, Hosting, Übermittlung, Organisation, Auslesen, Einschränkung, Löschung und die sonstigen technischen Vorgänge, die zum Betrieb dieser Dienste erforderlich sind (einschließlich Sicherung und Wiederherstellung, soweit enthalten, Ausstellung von TLS-Zertifikaten für Kundendomains auf von HDS betriebener Infrastruktur sowie autoritative DNS-Zonenauslieferung, soweit HDS DNS™ genutzt wird).

Zweck der Verarbeitung ist ausschließlich die Erbringung der beauftragten Dienste nach den dokumentierten Weisungen des Auftraggebers. HDS verarbeitet Kundeninhalte nicht zu eigenen unabhängigen Zwecken, nicht für Werbung und nicht für ein kundenübergreifendes Profiling.

Dieser AVV gilt für die Dauer des Auftragsverhältnisses. Das Auftragsverhältnis besteht für die Laufzeit des Vertrags über die jeweilige Leistung nach §4, einschließlich einer Abwicklung bis zur Löschung oder Rückgabe der Kundeninhalte nach §15, sofern die Parteien nichts anderes in Textform vereinbaren.

4. Umfang der Auftragsverarbeitung

HDS handelt unter diesem AVV als Auftragsverarbeiter nur für Kundeninhalte, die der Auftraggeber HDS in den in Anlage 1 genannten Leistungen zur Verarbeitung überlässt (Managed Hosting, E-Mail & Präsenz, HDS DNS™, HDS Sentinel™ und HDS Verify™ als gemanagte Produkte). Anlage 1 nennt außerdem typische Kategorien personenbezogener Daten und betroffener Personen für diese Produkte.

HDS handelt unter diesem AVV nicht als Auftragsverarbeiter für Verarbeitungen, bei denen HDS Zwecke und Mittel selbst bestimmt. Diese Verantwortlichen-Tätigkeiten beschreibt die Datenschutzerklärung. Dazu gehören insbesondere: Portalkonten und Authentifizierung (einschließlich OAuth-Anmeldung über GitHub oder Google); Abrechnung, Rechnungsstellung, Buchhaltung und Zahlungsabgleich (einschließlich Mollie B.V. als unabhängige Zahlungsdienstleisterin und Lexware Office für die Verwaltung von HDS); Marketing-Websites, Kontaktformulare und zugehörige Website-Protokolle von HDS; Missbrauchs- und Sicherheitsmeldungen; HDS Broadcast™ (der eigene Newsletter von HDS); die elektronische Signatur von Verträgen zwischen HDS und dem Auftraggeber über selbst gehostetes DocuSeal; sowie kurzlebige Plattform-Sicherheits- und Betriebsdaten (etwa Infrastrukturprotokolle, Ratenlimit-Signale und echt anonymisierte oder aggregierte Kapazitätsstatistiken).

5. Kategorien von Daten und betroffenen Personen

Die Kategorien personenbezogener Daten und die Gruppen betroffener Personen richten sich danach, was der Auftraggeber in den Leistungen nach §4 speichert, übermittelt oder konfiguriert. Typische Kategorien und betroffene Personen für die gemanagten Produkte sind in Anlage 1 beschrieben. Der Auftraggeber kann zusätzliche Kategorien oder betroffene Personen in der Bestellung oder einer sonstigen dokumentierten Weisung in Textform angeben.

HDS legt diese Kategorien nicht selbst fest. Betroffene Personen sind typischerweise Endnutzerinnen und Endnutzer des Auftraggebers, Kommunikationspartner, Nutzerinnen und Nutzer gehosteter Websites oder Anwendungen, Postfachnutzerinnen und -nutzer, in Inhalten oder Zoneneinträgen genannte Personen sowie sonstige natürliche Personen, deren Daten der Auftraggeber in Kundeninhalten ablegt.

Ob Kundeninhalte besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) oder Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) enthalten, bestimmt der Auftraggeber. HDS verarbeitet solche Daten nur auf dokumentierte Weisung und nur, soweit der Auftraggeber eine Rechtsgrundlage hat. Der Auftraggeber weist HDS nicht an, solche Daten zu verarbeiten, sofern diese Grundlage fehlt.

6. Pflichten des Auftraggebers

Der Auftraggeber ist Verantwortlicher für Kundeninhalte (oder ein zur Weisung an HDS berechtigter Auftragsverarbeiter). Er trägt die Verantwortung für die Rechtmäßigkeit der Verarbeitung und für die an HDS erteilten dokumentierten Weisungen.

Der Auftraggeber stellt sicher, dass eine Rechtsgrundlage nach Art. 6 DSGVO für die Verarbeitung der Kundeninhalte besteht (und soweit einschlägig nach Art. 9 oder Art. 10 DSGVO). Art. 28 DSGVO bildet den Rahmen für das Auftragsverhältnis; er ist keine Rechtsgrundlage nach Art. 6.

Der Auftraggeber erfüllt seine Informationspflichten gegenüber betroffenen Personen nach Art. 13 und Art. 14 DSGVO. Dieser AVV und die Datenschutzerklärung ersetzen diese Pflichten nicht.

Der Auftraggeber ist für die Richtigkeit der Kundeninhalte, für die Konfiguration der Dienste (einschließlich der Zugriffsrechte eigener Nutzerinnen und Nutzer) und dafür verantwortlich, dass die Nutzung der Dienste der Richtlinie zur zulässigen Nutzung und dem geltenden Recht entspricht. Er benennt befugte Ansprechpersonen, die Weisungen erteilen dürfen.

7. Dokumentierte Weisungen

HDS verarbeitet Kundeninhalte nur auf dokumentierte Weisung des Auftraggebers, einschließlich hinsichtlich der Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, sofern HDS nicht durch Unionsrecht oder das Recht eines Mitgliedstaats, dem HDS unterliegt, zur Verarbeitung verpflichtet ist. In diesem Fall teilt HDS dem Auftraggeber diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 Buchst. a DSGVO).

Dokumentierte Weisungen sind solche über das Kundenportal, die beauftragte Leistungskonfiguration, diesen AVV (einschließlich der Anlagen 1 bis 3) und Weisungen befugter Ansprechpersonen des Auftraggebers in Textform (einschließlich E-Mail). Die Konfiguration eines Dienstes durch den Auftraggeber gilt als Weisung, so zu verarbeiten, wie es zur Erbringung dieses Dienstes erforderlich ist.

HDS teilt dem Auftraggeber unverzüglich mit, wenn HDS der Auffassung ist, eine Weisung verstoße gegen die DSGVO oder gegen andere Datenschutzvorschriften der Union oder der Mitgliedstaaten. HDS darf die Ausführung dieser Weisung aussetzen, bis der Auftraggeber sie in Textform bestätigt oder ändert. Der Auftraggeber bleibt für die Rechtmäßigkeit seiner Weisungen verantwortlich.

HDS verarbeitet Kundeninhalte nicht abweichend von Weisungen, außer soweit gesetzlich nach dem vorstehenden Absatz erforderlich. Der Zugang von Beschäftigten zu Kundeninhalten ist auf das beschränkt, was zur Leistungserbringung, zur Befolgung von Weisungen oder zur Erfüllung gesetzlicher Pflichten erforderlich ist, und wird nach Anlage 2 protokolliert.

8. Vertraulichkeit

HDS gewährleistet, dass sich die zur Verarbeitung der Kundeninhalte befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 Buchst. b DSGVO).

HDS erlegt den eigenen Beschäftigten und den nach §10 herangezogenen Unterauftragsverarbeitern entsprechende Vertraulichkeitspflichten auf. Die Vertraulichkeitspflicht besteht nach Ende des Auftragsverhältnisses fort.

9. Sicherheit der Verarbeitung

HDS trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen (Art. 28 Abs. 3 Satz 2 Buchst. c und Art. 32 DSGVO).

Die geltenden Maßnahmen beschreibt Anlage 2. Sie umfassen insbesondere Zugangskontrolle, Verschlüsselung bei der Übertragung (TLS), Protokollierung privilegierter Zugriffe auf Kundeninhalte, Trennung von Umgebungen, Backup und Wiederherstellung je Produkt sowie Vorfallbehandlung. Eine gesonderte öffentliche Seite zu technischen und organisatorischen Maßnahmen gibt es nicht; Anlage 2 zu diesem AVV ist der Sicherheitsanhang der Auftragsverarbeitung.

HDS darf die Maßnahmen dem technischen und organisatorischen Fortschritt anpassen, sofern das Schutzniveau nicht herabgesetzt wird. Wesentliche Änderungen werden dokumentiert. Der Auftraggeber trifft die in seiner Sphäre liegenden Maßnahmen (etwa starke Authentifizierung eigener Nutzerinnen und Nutzer, rechtmäßige Inhalte und Endgerätesicherheit).

10. Unterauftragsverarbeiter

Der Auftraggeber erteilt HDS die allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO), Unterauftragsverarbeiter heranzuziehen, soweit sie auf der öffentlichen Unterauftragsverarbeiter-Seite (in der nach diesem §10 fortgeschriebenen und in Anlage 3 bezeichneten Fassung) aufgeführt sind und soweit sie Kundeninhalte zur Erbringung der Leistungen nach §4 verarbeiten.

Hetzner Online GmbH (Deutschland, EWR) wird als Infrastruktur-Unterauftragsverarbeiter herangezogen, um die Leistungen nach §4 auf Servern zu hosten und zu betreiben, die HDS konfiguriert und betreibt. Für HDS DNS™ werden The Constant Company, LLC (Vultr) und iFog GmbH ausschließlich für die autoritative DNS-Zonenauslieferung an Anycast-PoPs herangezogen. Primäre Zonendaten verbleiben bei Hetzner. Die Zonensynchronisation enthält keine Client-(Abfrage-)IP-Adressen; abgefragte Namen werden nicht an HDS zurückübermittelt. Zweck ist die Zonenauslieferung, nicht die Analyse von Abfrageprotokollen.

Keine Unterauftragsverarbeiter von Kundeninhalten unter diesem AVV sind: Mollie B.V. (zugelassene Zahlungsdienstleisterin als unabhängige Verantwortliche); Haufe Service Center GmbH / Lexware Office (Art.-28-Auftragsverarbeiter von HDS für eigene Verwaltung, Rechnungsstellung und Buchhaltung von HDS — keine Produkt-Hosting-Infrastruktur für Kundeninhalte); GitHub, Inc. und Google LLC als OAuth-Identitätsanbieter für die Portal-Anmeldung (Verantwortlichen-Tätigkeit von HDS); sowie DocuSeal als Dritt-SaaS (die Vertragssignatur zwischen HDS und dem Auftraggeber nutzt selbst gehostetes DocuSeal auf Hetzner unter Kontrolle von HDS und ist kein SaaS-Unterauftragsverarbeiter).

Let’s Encrypt / ISRG ist technische Zertifizierungsstelle / ACME-Empfängerin für TLS auf Systemen von HDS sowie auf Kunden-Hosting- und Maildomains, die HDS betreibt. Sie erhält nur Domainnamen und technische ACME-Validierungsdaten. HDS übermittelt keinen Postfachinhalt und keine gehosteten Anwendungsinhalte an Let’s Encrypt. Let’s Encrypt ist kein Unterauftragsverarbeiter für Postfach- oder gehostete Anwendungsinhalte; bei Kundendomains läuft ACME auf dokumentierter Weisung des Auftraggebers bzw. im beauftragten Hosting-/Mail-Setup (HDS als Auftragsverarbeiter).

HDS erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags oder eines anderen Rechtsinstruments nach dem Unionsrecht oder dem Recht eines Mitgliedstaats dieselben Datenschutzpflichten auf, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien zur Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Art. 28 Abs. 4 DSGVO). HDS bleibt gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters voll verantwortlich, unbeschadet des §17 und zwingenden Rechts.

HDS unterrichtet den Auftraggeber über beabsichtigte Hinzuziehungen oder Ersetzungen von Unterauftragsverarbeitern per E-Mail von legal@horvath-digital.solutions mindestens 14 Tage vor Wirksamwerden der Änderung, sofern nicht aus dringendem Sicherheits-, Rechts- oder Betriebsbedarf eine kürzere Frist erforderlich ist. Der Auftraggeber kann der Änderung innerhalb der Anzeigefrist durch E-Mail an legal@horvath-digital.solutions widersprechen. Bei Widerspruch erörtern die Parteien diesen nach Treu und Glauben. Kommt keine Lösung zustande und nimmt HDS die Änderung gleichwohl vor, darf der Auftraggeber die betroffene Leistung kündigen. Die aktuelle Liste einschließlich Standorten und Transferinstrumenten steht auf der Unterauftragsverarbeiter-Seite.

11. Internationale Übermittlungen

Datenschutzsensible Hosting- und Mail-Arbeitslasten sowie HDS Verify™ und HDS Sentinel™ sind so ausgelegt, dass sie in Deutschland bzw. der EU/EWR auf von HDS betriebenen Hetzner-Servern verbleiben. Kundeninhalte in diesen Diensten übermittelt HDS nicht in ein Drittland, außer auf dokumentierte Weisung oder soweit gesetzlich nach §7 erforderlich.

Soweit die Anycast-Zonenauslieferung von HDS DNS™ eine Verarbeitung von Zonendatei-Inhalten in Ländern ohne Angemessenheitsbeschluss umfasst (einschließlich der Vereinigten Staaten, Singapur und Australien), übermittelt HDS diesen Inhalt an Vultr und/oder iFog als Unterauftragsverarbeiter auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) — Modul Drei (HDS als Auftragsverarbeiter an Vultr oder iFog als Unterauftragsverarbeiter). Modul Zwei gilt, soweit eine verantwortliche Stelle im EWR an Vultr oder iFog als Auftragsverarbeiter übermittelt. Übermittlungen EWR→Vereinigtes Königreich und EWR→Schweiz stützen sich auf EU-Angemessenheitsbeschlüsse, soweit einschlägig. Für eingeschränkte UK-Übermittlungen: UK-Angemessenheit soweit anwendbar; andernfalls UK-IDTA oder EU-SCC zusammen mit dem UK-Addendum, soweit anwendbar. Schweizerische Anpassungen gelten, soweit schweizerisches Recht dies erfordert. Dieser AVV stützt sich für Vultr oder iFog nicht auf das EU–US Data Privacy Framework.

Die ACME-/TLS-Validierung über Let’s Encrypt / ISRG beschränkt sich auf Domainnamen und technische Validierungsdaten für Systeme von HDS sowie für Kunden-Hosting- und Maildomains, die HDS betreibt; HDS übermittelt keinen Postfachinhalt und keine gehosteten Anwendungsinhalte. Bei Kundendomains weist der Auftraggeber HDS an, diese Daten im beauftragten Hosting-/Mail-Setup offenzulegen (HDS als Auftragsverarbeiter). Dieser AVV stützt sich für Let’s Encrypt nicht auf SCC und sieht keine Zertifizierung unter dem EU–US Data Privacy Framework vor. Siehe auch https://letsencrypt.org/privacy/.

Der Auftraggeber weist HDS an, die in diesem §11 und auf der Unterauftragsverarbeiter-Seite beschriebenen Übermittlungen vorzunehmen, soweit sie zur Erbringung der beauftragten Dienste erforderlich sind (insbesondere Anycast-Auslieferung von HDS DNS™). Weitere Angaben zu Garantien können angefordert werden, wie in der Datenschutzerklärung beschrieben.

Soweit eine eingeschränkte Übermittlung von Kundeninhalten geeignete Garantien nach Art. 46 DSGVO erfordert, sind die anwendbaren Module der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) und, soweit eine eingeschränkte UK-Übermittlung dies erfordert, das UK-Addendum (oder UK-IDTA) Bestandteil des unterzeichneten AVV-Pakets und werden mit Abschluss dieses AVV vereinbart. Diese öffentliche Seite gibt den Kommissionstext der SCC nicht wieder. Welche Module für welche Empfänger gelten, beschreibt die Unterauftragsverarbeiter-Seite.

12. Unterstützung bei Betroffenenrechten

HDS unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung durch geeignete technische und organisatorische Maßnahmen dabei, soweit dies möglich ist, der Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in Kapitel III DSGVO genannten Rechte der betroffenen Person nachzukommen (Art. 28 Abs. 3 Satz 2 Buchst. e DSGVO).

Wendet sich eine betroffene Person unmittelbar an HDS in Bezug auf Kundeninhalte, antwortet HDS in der Sache nicht ohne Weisung des Auftraggebers, sofern Unionsrecht oder das Recht eines Mitgliedstaats HDS nicht hierzu verpflichtet. HDS leitet den Antrag unverzüglich an den Auftraggeber weiter, soweit der Auftraggeber als Verantwortlicher identifizierbar ist.

HDS stellt dem Auftraggeber die in den Diensten vernünftigerweise verfügbaren Informationen und Zugangsmöglichkeiten bereit (einschließlich Selbstbedienung im Portal, soweit angeboten), damit der Auftraggeber Anträge auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch selbst erfüllen kann. Zusätzliche Unterstützung, die über den gewöhnlichen Betrieb der Dienste hinausgeht, darf HDS nach angemessenem Zeitaufwand berechnen, sofern die Unterstützung nicht erforderlich ist, weil HDS gegen diesen AVV verstoßen hat.

13. Weitere Unterstützung (Art. 32 bis 36 DSGVO)

HDS unterstützt den Auftraggeber bei der Einhaltung der Pflichten nach den Artikeln 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der HDS zur Verfügung stehenden Informationen (Art. 28 Abs. 3 Satz 2 Buchst. f DSGVO). Diese Unterstützung umfasst die Sicherheit der Verarbeitung, die Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen, die Datenschutz-Folgenabschätzung und die vorherige Konsultation der Aufsichtsbehörde, jeweils soweit die Pflicht aus der Verarbeitung von Kundeninhalten unter diesem AVV folgt.

Der Auftraggeber bleibt dafür verantwortlich zu entscheiden, ob eine Datenschutz-Folgenabschätzung oder eine vorherige Konsultation erforderlich ist. HDS erteilt auf schriftliche Anfrage sachdienliche Auskünfte über die Dienste und die Maßnahmen der Anlage 2.

14. Verletzung des Schutzes personenbezogener Daten

Der Auftraggeber (als verantwortliche Stelle) unterrichtet HDS über Vorfälle mit personenbezogenen Daten, die für die Verarbeitung unter diesem AVV relevant sind, unverzüglich und spätestens 36 Stunden, nachdem sie ihm bekannt geworden sind, damit HDS den Auftraggeber bei den Pflichten nach Art. 33 DSGVO unterstützen kann. Eine strengere Frist nach zwingendem Recht, die den Auftraggeber trifft, bleibt unberührt.

HDS unterrichtet den Auftraggeber unverzüglich, nachdem HDS eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Kundeninhalte betrifft und für die HDS als Auftragsverarbeiter handelt. Strengere Fristen nach zwingendem Recht bleiben unberührt. Die Unterrichtung beschreibt, soweit zu diesem Zeitpunkt mit zumutbarem Aufwand verfügbar: die Art der Verletzung, einschließlich soweit möglich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; die wahrscheinlichen Folgen; und die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung und zur Abmilderung möglicher nachteiliger Auswirkungen, nebst einer Kontaktstelle bei HDS.

HDS dokumentiert Verletzungen, die Kundeninhalte betreffen, und stellt weitere Angaben bereit, die der Auftraggeber vernünftigerweise benötigt, um Art. 33 und Art. 34 DSGVO zu erfüllen. HDS benachrichtigt Aufsichtsbehörden oder betroffene Personen nicht namens des Auftraggebers, sofern der Auftraggeber HDS nicht in Textform dazu anweist oder HDS gesetzlich verpflichtet ist, in eigenem Namen zu melden.

Die Vorfallbehandlung ergibt sich aus Anlage 2. Meldungen zu Missbrauch oder Schwachstellen, die keine Verletzung des Schutzes von Kundeninhalten darstellen, bearbeitet HDS als der Verantwortliche nach den Missbrauchs- und Sicherheitsverfahren, wie in der Datenschutzerklärung beschrieben.

15. Rückgabe und Löschung

Nach Abschluss der Erbringung der mit der Verarbeitung zusammenhängenden Leistungen wählt der Auftraggeber durch Weisung in Textform, ob HDS die Kundeninhalte zurückgibt oder löscht. HDS gibt die Kundeninhalte daraufhin zurück oder löscht sie und löscht vorhandene Kopien, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats die Speicherung der personenbezogenen Daten verlangt (Art. 28 Abs. 3 Satz 2 Buchst. g DSGVO).

Der Auftraggeber holt Kundeninhalte während der Vertragslaufzeit mit den gewöhnlichen Funktionen der Dienste ab (etwa Postfachzugang, Hosting-Zugang, Zonenexport oder Portal-Konfiguration). Eine Rückgabe nach Ende der Leistung erfolgt in einem gängigen elektronischen Format, das HDS vernünftigerweise bereitstellen kann, oder durch kurzzeitigen Weiterzugriff zur Übergabe, soweit dies praktischer ist.

Erteilt der Auftraggeber binnen 30 Tagen nach Abschluss der Erbringung der mit der Verarbeitung zusammenhängenden Leistungen keine Weisung in Textform, löscht (oder anonymisiert) HDS Kundeninhalte in seinen Systemen, ausgenommen Kopien, zu deren Aufbewahrung HDS gesetzlich verpflichtet ist. Sicherungskopien werden nach den Backup-Zyklen der Anlage 2 gelöscht. Auf Verlangen bestätigt HDS die Löschung.

Bis zur vollständigen Löschung oder Rückgabe behandelt HDS Kundeninhalte weiterhin vertraulich und verarbeitet sie nur, soweit dies zur Löschung, Rückgabe, Streitbeilegung oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

16. Auskunft und Audits

HDS stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Auftraggeber oder einem anderen von diesem beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei (Art. 28 Abs. 3 Satz 2 Buchst. h DSGVO).

Prüfungen erfolgen gestuft. Der Auftraggeber verlangt zunächst schriftliche Auskunft in Textform zur Nachweisführung nach Art. 28 DSGVO. HDS erteilt diese Auskunft. HDS darf Auskunftsverlangen mit aktueller Dokumentation erfüllen; Nachweise der Infrastrukturanbieter (insbesondere Hetzner) dürfen zur Nachweisführung herangezogen werden, soweit sie die Verarbeitung von Kundeninhalten betreffen. Ein von HDS ausgegebener Sicherheitsfragebogen oder ein im Wesentlichen gleichwertiger Fragebogen kann Teil dieser schriftlichen Auskunft sein; HDS beantwortet den Fragebogen zur Nachweisführung. Der Fragebogen ist kein Formular, das der Auftraggeber als Verantwortlicher ausfüllen muss.

Eine Vor-Ort-Kontrolle bei HDS (oder an einem relevanten, der Kontrolle von HDS unterliegenden Verarbeitungsort) findet nur bei wichtigem Grund statt — insbesondere soweit schriftliche Auskünfte zur Nachweisführung nicht genügen, eine Verletzung des Schutzes von Kundeninhalten dies erfordert oder eine Aufsichtsbehörde dies verlangt — oder, ohne solchen Grund, höchstens einmal in einem Zeitraum von zwölf Monaten. Kontrollen erfolgen während der üblichen Geschäftszeiten, mit angemessener Vorankündigung, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit. Eine gleichwertige Fernprüfung tritt an die Stelle einer Vor-Ort-Kontrolle, soweit sie denselben Zweck erfüllt.

Der Auftraggeber trägt die angemessenen Kosten einer Prüfung, einschließlich des internen Aufwands von HDS und etwaiger Entgelte von Infrastrukturanbietern für Nachweise oder Begleitung, soweit kein wesentlicher Pflichtverstoß von HDS gegen diesen AVV vorliegt. Der Auftraggeber und jeder beauftragte Prüfer verpflichten sich zur Vertraulichkeit. Wettbewerber von HDS werden ohne vorherige schriftliche Zustimmung von HDS nicht als Prüfer bestellt.

17. Haftung

Die Haftung aus diesem AVV und aus der Verarbeitung nach diesem AVV richtet sich nach den AGB und nach den zwingenden Vorschriften der DSGVO, einschließlich Art. 82 DSGVO.

Dieser AVV beschränkt oder schließt Haftung nicht aus, soweit geltendes Recht eine Beschränkung oder einen Ausschluss nicht zulässt — einschließlich zwingender Haftung nach der DSGVO und Haftung, die nach deutschem Recht nicht beschränkbar ist (insbesondere für Vorsatz und, soweit vorgeschrieben, grobe Fahrlässigkeit sowie für die Verletzung von Leben, Körper oder Gesundheit). Dieser AVV begründet keinen eigenen vertraglichen Haftungshöchstbetrag.

18. Schlussbestimmungen

Dieser AVV wird auf Deutsch und Englisch bereitgestellt. Bei Widersprüchen oder Unklarheiten geht der deutsche Text vor. Der englische Text ist eine unverbindliche Übersetzung.

Änderungen und Nebenabreden bedürfen einer schriftlichen oder elektronischen Form, die dem geltenden Recht genügt, einschließlich Signatur über das von HDS selbst gehostete DocuSeal oder Annahme im Kundenportal. In Gegenständen des Art. 28 DSGVO geht dieser AVV — sobald er abgeschlossen ist — einer abweichenden Rangfolge in den AGB und der Datenschutzerklärung vor, sofern ein späteres Instrument in Textform diesen AVV nicht ausdrücklich ändert. Kommerzielle Bedingungen, einschließlich Entgelte, Laufzeit der Dienste und Service-Level, bleiben in den AGB und dem Service Level Agreement. Der abgeschlossene AVV geht in Gegenständen des Art. 28 DSGVO vor; das Service Level Agreement geht in Bezug auf Verfügbarkeit und Gutschriften vor.

Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleiben die übrigen Bestimmungen wirksam. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung am nächsten kommt. Anzeigen nach §10 erfolgen von legal@horvath-digital.solutions. Der Auftraggeber widerspricht durch Antwort an diese Adresse. Sonstige Mitteilungen nach diesem AVV können an die im Kundenportal oder in den AGB benannten Kontaktstellen gerichtet werden.

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG) und unter Ausschluss solcher Kollisionsnormen, die zum Recht eines anderen Staates führen würden. Zwingendes Datenschutzrecht der Union, einschließlich der DSGVO, bleibt unberührt. Soweit gesetzlich zulässig, ist ausschließlicher Gerichtsstand Berlin. Zwingende Verbrauchengerichtsstände und ausschließliche gesetzliche Gerichtsstände bleiben unberührt. Im Übrigen gelten Gerichtsstand und kommerzielle Bedingungen der AGB.

Anlage 1 — Verarbeitung im Anwendungsbereich

Diese Anlage 1 ist Bestandteil dieses AVV. Sie bestimmt die gemanagten Produkte, in denen HDS Kundeninhalte als Auftragsverarbeiter verarbeitet, typische Kategorien personenbezogener Daten und typische betroffene Personen. Art, Zweck und Dauer der Verarbeitung richten sich nach §3. Für diese gemanagten Produkte ist kein gesondertes Hetzner-Ausfüllformular erforderlich.

Der Auftraggeber kann zusätzliche Kategorien personenbezogener Daten oder betroffene Personen in der Bestellung oder einer sonstigen dokumentierten Weisung in Textform angeben.

Typische betroffene Personen sind Endnutzerinnen und Endnutzer des Auftraggebers, Kommunikationspartner, Nutzerinnen und Nutzer gehosteter Websites oder Anwendungen, Postfachnutzerinnen und -nutzer, in Inhalten oder Zoneneinträgen genannte Personen sowie sonstige natürliche Personen, deren Daten der Auftraggeber in Kundeninhalten ablegt.

• Managed Hosting — erfasst: Website-, Anwendungs- und Datenbankinhalte, die für den Auftraggeber gehostet werden. Typische Kategorien: Website- und Anwendungsinhalte, Datenbanken und Endnutzerdaten in Systemen des Auftraggebers.
• E-Mail & Präsenz — erfasst: Postfachinhalte zur Bereitstellung professioneller E-Mail. Typische Kategorien: Postfachinhalte und Postfach-Nutzerdaten (Nachrichten, Anhänge, Ordner und zugehörige Postfachobjekte).
• HDS DNS™ — erfasst: Kunden-DNS-Zoneneinträge (Inhalt autoritativer Zonendateien). Typische Kategorien: Resource Records und zugehörige Zonendaten.
• HDS Sentinel™ — erfasst: vom Auftraggeber konfigurierte Monitore, Prüfergebnisse und Alarm-Empfängerlisten. Typische Kategorien: Monitorziele, Prüfergebnisse und Alarm-Empfänger-E-Mails.
• HDS Verify™ — erfasst: Verarbeitung, soweit der Auftraggeber Verify für den eigenen Bot-Schutz einbettet (SiteKey-Konfiguration sowie zugehöriger Challenge-, Proof-of-Work- und Token-Lebenszyklus für diese Einbettung). Typische Kategorien: SiteKey-Konfiguration sowie kurzlebige Challenge-, Proof-of-Work- und Tokendaten; HDS empfängt über Verify keine Passwörter oder sonstigen Anmeldedaten.

Anlage 2 — Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

HDS trifft die folgenden technischen und organisatorischen Maßnahmen für die Auftragsverarbeitung von Kundeninhalten. Die Maßnahmen sind dem Risiko angemessen und dürfen nach §9 fortentwickelt werden, ohne das Schutzniveau herabzusetzen. Die physische Rechenzentrumskontrolle an Hetzner-Standorten obliegt Hetzner Online GmbH; HDS konfiguriert und betreibt die gehosteten Systeme.

• Zutrittskontrolle: Kundeninhalte werden in professionellen Rechenzentren (Hetzner, Deutschland) gehostet. Der Zutritt zu Hallen und Cages ist durch den Infrastrukturanbieter beschränkt (Ausweise, Schließung, Perimeter und Besucherregelungen). HDS hat keinen öffentlichen Laufkundenzugang zu Produktivservern.
• Zugangskontrolle: Administrativer Zugang zu Produktivsystemen ist auf befugtes HDS-Personal beschränkt, erfolgt über personenbezogene Konten und ist durch starke Authentifizierung geschützt. Nicht benötigte Kennungen werden entzogen. Der kundenseitige Zugang erfolgt über Portal- und Dienstzugangsdaten in der Sphäre des Auftraggebers.
• Zugriffskontrolle: Privilegierter Zugriff auf Kundeninhalte wird nach dem Need-to-know-Prinzip für den Betrieb, dokumentierte Weisungen oder gesetzliche Pflichten gewährt. Es gelten rollenbasierte Berechtigungen. Der Auftraggeber steuert den Zugriff eigener Nutzerinnen und Nutzer innerhalb der Dienste.
• Protokoll privilegierter Zugriffe: Privilegierte Zugriffe auf Kundeninhalte werden protokolliert. Protokolle sind gegen unbefugte Veränderung geschützt und werden, wie in der Datenschutzerklärung beschrieben, für Sicherheitsanalyse und Vorfalluntersuchung aufbewahrt.
• Weitergabekontrolle: Kundeninhalte bei der Übertragung über öffentliche Netze schützt HDS mit TLS für die gewöhnlichen Dienstschnittstellen (Web, Mail-Einlieferung/-Abruf soweit angeboten, APIs und Portal). Zonenübertragungen an DNS-Anycast-Partner beschränken sich auf den Inhalt autoritativer Zonendateien und enthalten keine Querier-IP-Adressen.
• Eingabekontrolle: Änderungen an Kundeninhalten sind authentifizierten Nutzerinnen und Nutzern des Auftraggebers oder befugten HDS-Betriebsvorgängen zurechenbar. HDS ändert Postfach-, Hosting-, Verify-, Sentinel- oder Zoneninhalte nicht stillschweigend, außer auf Weisung oder soweit zum Betrieb, zur Absicherung oder zur Wiederherstellung des Dienstes erforderlich.
• Auftragskontrolle: Die Verarbeitung von Kundeninhalten folgt diesem AVV und dokumentierten Weisungen. Unterauftragsverarbeiter sind nach §10 gebunden. HDS verwendet Kundeninhalte nicht für unabhängige Werbung oder kundenübergreifendes Profiling.
• Trennungskontrolle: Kundenumgebungen sind mit dem Produkt angemessenen technischen Mitteln getrennt (einschließlich logischer Isolation auf geteilter Infrastruktur). Test und Produktion sind getrennt. HDS Verify™ verwendet Verifizierungsergebnisse oder Fingerprints nicht kundenübergreifend für Werbung oder Profiling.
• Verschlüsselung und Vertraulichkeit: TLS bei der Übertragung wie vorstehend. Festplatten- und Backup-Verschlüsselung der Infrastrukturanbieter wird genutzt, soweit die jeweilige Plattform sie bereitstellt. Geheimnisse und Zugangsdaten sind zugriffsbeschränkt gespeichert. Das Verify-embed.js setzt keine Cookies und nutzt keinen Browser-Local-Storage.
• Verfügbarkeit, Belastbarkeit und Wiederherstellung: Systeme werden überwacht. Die Check-Historie von HDS Sentinel™ wird höchstens 365 Tage je Konfiguration aufbewahrt. E-Mail-Backups bei E-Mail & Präsenz werden höchstens 7 Tage aufbewahrt und danach gelöscht. Datenbank-Backups im Managed Hosting sind tarifabhängig; soweit enthalten, Aufbewahrung bis zu 14 Tage, danach Löschung. DNS-Zonendaten werden für die Vertragsdauer aufbewahrt. Die Wiederherstellung erfolgt auf Anforderung oder nach einer Störung innerhalb dieser Backup-Fenster, soweit Backups enthalten sind.
• Lebenszyklus HDS Verify™: Challenge-Daten ca. 5 Minuten; Proof-of-Work ca. 2 Minuten; Einmal-Token ca. 10 Minuten (Löschung bei Verwendung); IP-Ratenlimit-Zähler ca. 1 Minute; SiteKey-Konfiguration, solange der Auftraggeber sie konfiguriert.
• Vorfallbehandlung: HDS unterhält betriebliche Verfahren zur Erkennung, Eindämmung und Behebung von Sicherheitsvorfällen, die Kundeninhalte betreffen, zur Unterrichtung des Auftraggebers nach §14 und zur Wiederherstellung der Verfügbarkeit im Rahmen des Backup- und Betriebsmodells des jeweiligen Produkts.
• Evaluierung: HDS überprüft die Maßnahmen in angemessenen Abständen (Art. 32 Abs. 1 Buchst. d DSGVO), einschließlich nach relevanten Vorfällen oder wesentlichen Änderungen der Dienste. Nachweise von Infrastrukturanbietern werden genutzt, soweit sie nach §16 relevant sind.
• Personal: Personen, die auf Kundeninhalte zugreifen dürfen, sind zur Vertraulichkeit verpflichtet (§8) und handeln nur mit Befugnis. Der Zugang wird entzogen, sobald er nicht mehr erforderlich ist.

Anlage 3 — Unterauftragsverarbeiter

Die allgemeine schriftliche Genehmigung nach §10 erfasst Unterauftragsverarbeiter, die auf der öffentlichen Unterauftragsverarbeiter-Seite in der nach §10 fortgeschriebenen Fassung aufgeführt sind. Diese Anlage 3 gibt jene Liste nicht wieder. Standorte, Rollen und Transferinstrumente (einschließlich der anwendbaren EU-SCC-Module) beschreibt jene Seite.

Soweit eine eingeschränkte Übermittlung Instrumente nach Art. 46 DSGVO erfordert, sind die anwendbaren EU-SCC-Module und erforderlichenfalls das UK-Addendum Bestandteil des unterzeichneten AVV-Pakets und werden mit Abschluss dieses AVV vereinbart, wie in §11 dargelegt. Der Kommissionstext der SCC wird auf dieser Seite nicht veröffentlicht.