Auftragsverarbeitungsvertrag

§ 1 (Anwendungsbereich und Rollen der Parteien)

Dieser AVV gilt, soweit wir personenbezogene Daten als Auftragsverarbeiter nach den von Ihnen als Verantwortlichem festgelegten Zwecken und Mitteln verarbeiten.

Die Fälle, in denen wir Verantwortlicher sind, und jene, in denen wir Auftragsverarbeiter sind, sind wie folgt getrennt. Wir stellen dies ausdrücklich klar, um Verwechslungen zu vermeiden.

Wir als Verantwortlicher

Angaben zu Ihrem Vertragsansprechpartner, den sich anmeldenden Nutzern und Ihrem Abrechnungskontakt. Wir verarbeiten diese zu eigenen Zwecken (Vertragsverwaltung, Authentifizierung, Abrechnung); insoweit gilt unsere Datenschutzerklärung.

Wir als Auftragsverarbeiter

Personenbezogene Daten innerhalb dessen, was Sie in den Dienst einbringen oder was der Dienst auf Ihre Weisung erhebt. Insoweit gilt dieser AVV.

Die Begriffe „personenbezogene Daten“, „Verantwortlicher“, „Auftragsverarbeiter“, „Verarbeitung“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung des Artikels 4 DSGVO.

§ 2 (Einzelheiten der Verarbeitung)

Gegenstand

Personenbezogene Daten, die Sie uns bei der Nutzung des Dienstes bereitstellen oder die der Dienst auf Ihre Weisung erhebt.

Zweck

Erbringung des Dienstes nach den Nutzungsbedingungen und diesem AVV.

Art der Verarbeitung

Speicherung, Strukturierung, Auswertung, Überprüfung, Ausstellung von Nachweisen sowie die für den Betrieb des Dienstes erforderlichen Vorgänge.

Dauer

Für die Vertragslaufzeit und bis zum Abschluss der Löschung oder Rückgabe nach § 7.

Kategorien personenbezogener Daten

Name bzw. Ansprechpartner, geschäftliche E-Mail-Adresse, Anmeldekennung, IP-Adresse, Zugriffszeitpunkte, Prüfprotokolle sowie die je Produkt verarbeiteten Daten (Datenschutzerklärung, Abschnitt 2).

Kategorien betroffener Personen

Ihre Organmitglieder und Beschäftigten, die von Ihnen autorisierten Nutzer sowie Personen, die an Ihrem Netzwerk oder Ihren Systemen mitwirken.

Zertifikate und Zeitstempel sind so gestaltet, dass sie keine Personennamen oder Kontaktdaten enthalten, die der Nachweis nicht benötigt. Die Minimierung der verarbeiteten personenbezogenen Daten ist ein Gestaltungsgrundsatz, keine nachträgliche Korrektur.

§ 3 (Unsere Pflichten)

• Wir verarbeiten personenbezogene Daten ausschließlich auf Ihre dokumentierten Weisungen; dazu zählen die Nutzungsbedingungen und Ihre Nutzung des Dienstes selbst. Verlangt das Recht eine Verarbeitung außerhalb dieser Weisungen, teilen wir Ihnen dies vorab mit, sofern das Recht dies nicht untersagt.
• Wir verpflichten die mit personenbezogenen Daten befassten Beschäftigten zur Vertraulichkeit und gewähren Zugang nur denjenigen, die ihn benötigen.
• Halten wir eine Weisung von Ihnen für einen Verstoß gegen die DSGVO oder anderes anwendbares Recht, teilen wir Ihnen dies unverzüglich mit.
• Wir verwenden Ihre personenbezogenen Daten zu keinem anderen Zweck als dem dieses AVV und verkaufen sie niemals.

§ 4 (Unterauftragsverarbeiter)

Sie erteilen die allgemeine Genehmigung zur Einbeziehung der folgenden Unterauftragsverarbeiter.

Amazon Web Services Japan

Hosting und E-Mail-Versand für den Dienst. Region Tokio (Japan).

Stripe

Abwicklung von Kreditkartenzahlungen. Vereinigte Staaten. Stripe erhebt die Kartennummer unmittelbar; sie durchläuft unsere Systeme nicht.

Wir verpflichten Unterauftragsverarbeiter vertraglich auf im Wesentlichen gleichwertige Pflichten wie in diesem AVV. Für deren Handeln haften wir wie für eigenes.

Bei Aufnahme oder Austausch eines Unterauftragsverarbeiters veröffentlichen wir dies auf dieser Seite und informieren Sie mindestens 30 Tage vor Wirksamwerden. Sie können aus berechtigtem Grund innerhalb von 14 Tagen nach der Mitteilung widersprechen. Lässt sich der Widerspruch nicht ausräumen, können Sie den Vertrag hinsichtlich der Leistungen kündigen, die diesen Unterauftragsverarbeiter erfordern.

Zum Start des Dienstes können weitere Unterauftragsverarbeiter hinzukommen, etwa für Monitoring oder Log-Infrastruktur. Die jeweils aktuelle Liste steht stets in diesem Paragraphen.

§ 5 (Unterstützung bei Betroffenenrechten)

Richtet eine betroffene Person einen Antrag an uns, beantworten wir ihn nicht nach eigenem Ermessen, sondern leiten ihn unverzüglich an Sie weiter, es sei denn, das Recht verpflichtet uns zur unmittelbaren Beantwortung.

Wir unterstützen Sie in zumutbarem Umfang durch die Administrationsfunktionen des Dienstes und technische Hilfe, damit Sie Anträgen auf Auskunft, Berichtigung, Löschung, Aussetzung der Nutzung, Einschränkung, Widerspruch und Datenübertragbarkeit nachkommen können.

§ 6 (Meldung von Verletzungen des Schutzes personenbezogener Daten)

Erlangen wir innerhalb unseres Verantwortungsbereichs Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, benachrichtigen wir Sie ohne unangemessene Verzögerung.

Die Benachrichtigung enthält, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl betroffener Datensätze, die wahrscheinlichen Folgen, die von uns ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle auf unserer Seite.

Soweit Sie als Verantwortlicher eine Aufsichtsbehörde zu benachrichtigen haben — nach der DSGVO grundsätzlich binnen 72 Stunden nach Kenntnisnahme — unterstützen wir Sie angemessen durch Bereitstellung der erforderlichen Informationen.

§ 7 (Löschung und Rückgabe bei Vertragsende)

Bei Vertragsende löschen wir die verarbeiteten personenbezogenen Daten oder geben sie nach Ihrer Wahl in einem maschinenlesbaren Format zurück. Erteilen Sie keine Weisung, löschen wir sie 30 Tage nach Vertragsende.

Ausgenommen sind Daten, deren Aufbewahrung das Recht vorschreibt, sowie bereits ausgestellte Zertifikate und Zeitstempel. Letztere sind erforderlich, damit Empfänger sie weiterhin überprüfen können; dies erkennen Sie im Voraus an.

In Sicherungskopien enthaltene personenbezogene Daten werden mit Ablauf der Aufbewahrungsdauer der Sicherungen gelöscht. Bis dahin werden sie weder wiederhergestellt noch genutzt.

§ 8 (Übermittlung ins Ausland)

Wir verarbeiten personenbezogene Daten in Japan (AWS-Region Tokio). Übermittlungen aus dem Europäischen Wirtschaftsraum nach Japan können ohne gesonderten Abschluss von Standardvertragsklauseln erfolgen, da für Japan ein Angemessenheitsbeschluss der Europäischen Kommission besteht.

Für die Zahlungsabwicklung können einzelne personenbezogene Daten an Stripe in den Vereinigten Staaten übermittelt werden. Stripe nimmt am EU-US Data Privacy Framework teil und bietet zusätzlich Übermittlungsmechanismen auf Grundlage von Standardvertragsklauseln an.

Weitere Drittlandsübermittlungen finden nicht statt. Sollte eine solche erforderlich werden, informieren wir Sie vorab und stellen einen rechtmäßigen Übermittlungsmechanismus sicher.

§ 9 (Technische und organisatorische Maßnahmen)

Um das von Artikel 32 DSGVO geforderte Niveau zu erreichen, setzen wir Folgendes um.

• Verschlüsselung der Übertragung (TLS) und Verschlüsselung gespeicherter Daten.
• Geheimnisse in einem Schlüsselverwaltungsdienst (KMS / Secrets Manager), niemals im Quellcode oder in Konfigurationsdateien.
• Zugriff nach dem Prinzip der geringsten Rechte und rollenbasierte Zugriffssteuerung (RBAC).
• Zwei-Faktor-Authentifizierung für Administrationsoberflächen.
• Mandantentrennung, die die Daten der einzelnen Kunden voneinander trennt.
• Verwaltung von API-Schlüsseln. Ein vollständiger Schlüssel wird nur bei der Ausstellung angezeigt und danach nie wieder.
• Prüfprotokollierung, gegen Manipulation geschützt.
• Regelmäßige Sicherungen mit erprobten Wiederherstellungsverfahren.
• Beschränkter Direktzugriff auf Produktionsdatenbanken.
• Datenschutz durch Technikgestaltung: die verarbeiteten personenbezogenen Daten so gering wie möglich halten.

§ 10 (Überprüfung, Nachweise und Kontakt)

Auf Ihr angemessenes Verlangen stellen wir die Informationen bereit, die zum Nachweis der Einhaltung dieses AVV erforderlich sind.

Sie können einmal jährlich mit einer Ankündigungsfrist von 30 Tagen in Textform eine Überprüfung verlangen. Überprüfungen erfolgen in einer Weise und zu Zeiten, die unseren Betrieb nicht unangemessen stören; die Kosten tragen Sie. Soweit wir einen Prüfbericht eines Dritten bereitstellen können, kann dieser an die Stelle der Überprüfung treten.

Für Fragen zu diesem AVV oder für ein gesondert unterzeichnetes Exemplar wenden Sie sich bitte hierhin.

Betreiber

Packet Pilot LLC (Packet Pilot合同会社)

E-Mail

product.support@packet-pilot.net