Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Parteien

Dieser Vertrag ist der Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 DSGVO. Er regelt die Verarbeitung durch die Forge12 Interactive GmbH, Josefstr. 37, 78166 Donaueschingen („Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher"). Er wird mit der Registrierung eines Kontos für WP One geschlossen und gilt für die Dauer des Nutzungsvertrags. Gegenstand ist der Betrieb der Überwachungs- und Verwaltungsplattform für die vom Verantwortlichen eingepflegten Websites.

§ 2 Art, Umfang und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich, um die vertraglich vereinbarten Leistungen zu erbringen: Erreichbarkeits- und Zertifikatsprüfung, Messung der Ladeleistung, Aufnahme von Bildschirmabbildern zum Erkennen visueller Abweichungen, Aktualisierung und Sicherung der überwachten Systeme, Prüfung auf bekannte Sicherheitslücken sowie Benachrichtigung bei Störungen.

§ 3 Betroffene Personen und Datenarten

Betroffen sind Nutzerinnen und Nutzer des Verantwortlichen sowie Besucher und Konteninhaber der überwachten Websites. Verarbeitet werden insbesondere:

• Bestandsdaten der Kontonutzer des Verantwortlichen (Name, E-Mail-Adresse)
• Zugangsdaten zu den Systemen des Verantwortlichen (FTP/SFTP, SSH, Datenbank, Schnittstellenschlüssel)
• Inhalte der überwachten Websites, soweit sie in Sicherungen und Bildschirmabbildern enthalten sind — dazu können Datenbankinhalte mit personenbezogenen Daten Dritter gehören
• technische Protokolldaten der Verbindungen zwischen Plattform und überwachter Website

§ 4 Weisungsrecht

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten die Einstellungen, die der Verantwortliche in der Plattform vornimmt (Auswahl der Websites, aktivierte Module, Zeitpläne, Aufbewahrungsfristen) sowie Weisungen in Textform an info@forge12.com. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin und darf die Ausführung aussetzen.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter unterhält die folgenden Maßnahmen. Jede von ihnen ist im Betrieb umgesetzt und nachprüfbar; Zertifizierungen werden nicht behauptet.

• Vertraulichkeit: Zugangsdaten zu Systemen des Verantwortlichen und Sicherungen werden mit AES-256-GCM verschlüsselt gespeichert. Jede Sicherung wird mit einem eigenen, je Mandant abgeleiteten Datenschlüssel versiegelt.
• Übertragung: Verbindungen laufen ausschließlich über TLS.
• Mandantentrennung: Daten, Dateien und Sicherungen liegen je Kunde getrennt; jede Datenbankabfrage ist an die Kennung des Mandanten gebunden.
• Zugangskontrolle: Anmeldung mit Zwei-Faktor-Verfahren (TOTP) möglich, Rollen und Rechte je Modul, Aktion und einzelner Website, widerrufbare Schnittstellenschlüssel.
• Nachvollziehbarkeit: verändernde Aktionen werden protokolliert; der gesamte Verkehr zwischen Plattform und überwachter Website ist einzeln einsehbar.
• Verfügbarkeit: automatisierte Sicherungen nach den im Tarif vereinbarten Fristen, Wiederherstellbarkeit geprüft.
• Belastbarkeit: Begrenzung der Anfragefrequenz je Konto und je Herkunftsadresse gegen Überlastung und Missbrauch.
• Ort der Verarbeitung: Rechenzentren innerhalb der Europäischen Union.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Eine Änderung wird mindestens vier Wochen vorher in Textform angekündigt; der Verantwortliche kann ihr innerhalb dieser Frist widersprechen und den Vertrag außerordentlich kündigen.

• Stripe (Zahlungsabwicklung) — übermittelt werden ausschließlich die für den Vertrag nötigen Angaben, keine Messdaten und keine Website-Inhalte.
• SMTP-Dienstleister (Versand betrieblicher E-Mails) — Empfängeradresse und Nachrichteninhalt.
• Hosting-Anbieter der Plattform innerhalb der EU.
• Speicherdienste, die der Verantwortliche selbst für die Ablage seiner Sicherungen hinterlegt — die Auswahl trifft er, nicht wir.

§ 7 Mitwirkung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Auskunft und Löschung eines Kontos sind in der Plattform vollständig maschinell ausführbar. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er sie an den Verantwortlichen weiter und wird nicht selbst tätig.

§ 8 Meldung von Verletzungen

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform an die im Konto hinterlegte Adresse. Die Meldung enthält Art und Umfang der Verletzung, die betroffenen Datenarten sowie die ergriffenen Gegenmaßnahmen.

§ 9 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die verarbeiteten Daten oder gibt sie nach Wahl des Verantwortlichen zurück. Der Verantwortliche kann den Export jederzeit selbst auslösen. Sicherungen werden nach den vereinbarten Aufbewahrungsfristen entfernt; gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage nach. Der Verantwortliche kann Kontrollen durchführen oder durchführen lassen; sie werden mit angemessener Vorlaufzeit abgestimmt und dürfen den Betrieb nicht unangemessen beeinträchtigen. Anfragen an info@forge12.com.

§ 11 Vertraulichkeit

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit und stellt sicher, dass sie über die einschlägigen Datenschutzbestimmungen unterrichtet sind.