Data Processing Agreement (Art. 28 GDPR)

Die Bedingungen nach Art. 28 DSGVO, unter denen Hostna die personenbezogenen Daten innerhalb Ihres Hosting-Kontos verarbeitet.

Dieser Vertrag ist Bestandteil Ihres Vertrags mit uns und gilt automatisch, sobald Sie personenbezogene Daten auf Hostna-Infrastruktur verarbeiten. Sie können ihn zusätzlich im Kundenbereich mit einem Klick ausdrücklich abschließen — siehe Abschnitt 11.

1. Rollen

Für die personenbezogenen Daten innerhalb Ihrer Dienste — Ihre Website-Besucher, Ihre Kunden, Ihre Postfächer, Ihre Datenbanken — sind Sie der Verantwortliche und KAUFEX der Auftragsverarbeiter. Für die Daten Ihrer eigenen Kundenbeziehung mit uns sind wir der Verantwortliche; das regelt die Datenschutzerklärung.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist das Hosting und der Betrieb der von Ihnen bestellten Dienste. Die Verarbeitung dauert so lange wie der Vertrag. Ihrer Art nach umfasst sie Speicherung, Hosting, Übermittlung, Sicherung innerhalb der Plattform und Löschung; ihr Zweck ist die Erbringung des von Ihnen gekauften Dienstes. Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierte Weisung; für den gewöhnlichen Betrieb des Dienstes wird diese Weisung durch die Bestellung selbst und durch Ihre Nutzung des Control Panels erteilt.

3. Datenkategorien und betroffene Personen

Welche Kategorien vorkommen, bestimmen Sie, denn Sie entscheiden, was Sie auf den Dienst legen. Typischerweise: Kontakt- und Kontodaten, Inhaltsdaten, Nutzungs- und Verbindungsdaten sowie Kommunikationsinhalte, bezogen auf Ihre Besucher, Ihre Kunden, Ihre Beschäftigten und Ihre Kontakte.

Wenn Sie beabsichtigen, besondere Kategorien von Daten nach Art. 9 DSGVO — Gesundheitsdaten, biometrische, religiöse, politische oder gewerkschaftliche Daten — auf Shared Hosting zu verarbeiten, sprechen Sie uns vorher an. Shared Hosting ist dafür nicht die richtige Umgebung, und Sie benötigen möglicherweise ein dediziertes Setup und eine gesonderte Vereinbarung.

4. Unsere Pflichten

personenbezogene Daten nur auf Ihre Weisung zu verarbeiten und Sie zu informieren, wenn eine Weisung aus unserer Sicht gegen Datenschutzrecht verstößt;
alle Personen mit Zugriff zur Vertraulichkeit zu verpflichten;
die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen umzusetzen, beschrieben in Abschnitt 6;
Sie, soweit uns das vernünftigerweise möglich ist, bei Betroffenenanfragen, bei Datenschutz-Folgenabschätzungen und bei Meldungen an Behörden zu unterstützen;
Sie unverzüglich zu benachrichtigen, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Ihre Daten betrifft;
die zum Nachweis der Einhaltung erforderlichen Informationen bereitzustellen und Überprüfungen zu ermöglichen, wie in Abschnitt 8 beschrieben;
Ihre personenbezogenen Daten am Ende des Vertrags zu löschen oder zurückzugeben, vorbehaltlich gesetzlich vorgeschriebener Aufbewahrung.

5. Unterauftragsverarbeiter

Sie erteilen eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Derzeit eingesetzt sind die in der Empfängertabelle der Datenschutzerklärung genannten — vor allem die Hetzner Online GmbH für das Rechenzentrum. Wir erlegen jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf und bleiben Ihnen gegenüber für dessen Leistung voll verantwortlich.

Über einen beabsichtigten Wechsel eines Unterauftragsverarbeiters informieren wir Sie mit angemessenem Vorlauf in Textform oder im Kundenbereich. Widersprechen Sie aus nachvollziehbaren datenschutzrechtlichen Gründen und können wir Ihnen nicht entgegenkommen, kann jede Seite den betroffenen Dienst mit Wirkung zu dem Zeitpunkt kündigen, zu dem der Wechsel wirksam wird.

6. Technische und organisatorische Maßnahmen

Rechenzentrum in Deutschland mit physischer Zugangskontrolle, redundanter Stromversorgung und Brandschutz;
Transportverschlüsselung per TLS für die Website, den Kundenbereich und die Mail-Einlieferung;
Trennung der Kundenumgebungen auf Konto-, Container- oder VM-Ebene;
rollenbasierter administrativer Zugriff, individuell zuordenbar, mit Multi-Faktor-Authentifizierung für privilegierte Konten;
automatisiertes Patchen der von uns betriebenen Plattformkomponenten;
Edge-Filterung, Rate-Limiting und automatisches Blockieren wiederholt fehlgeschlagener Anmeldeversuche;
Zugriffs-, Mail- und Administrationsprotokolle, aufbewahrt für Betrieb und Sicherheitsanalyse;
dokumentierte Löschung am Vertragsende.

Diese Maßnahmen entwickeln sich mit dem Stand der Technik weiter. Wir können eine Maßnahme durch eine gleichwertige oder bessere ersetzen; das Schutzniveau werden wir nicht absenken.

Die vorstehenden Maßnahmen schützen die Plattform. Sie schützen keine Anwendung, die Sie unsicher konfiguriert haben, und sie sind kein Sicherheitsdienst. Wo die Linie verläuft, steht in der Richtlinie zur geteilten Verantwortung.

7. Drittlandübermittlungen

Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in ein Drittland erfolgt nur, wenn Sie selbst eine konfigurieren oder wenn eine Domain-Registry außerhalb der EU Inhaberdaten für eine von Ihnen bestellte Domain verlangt; in diesem Fall gilt Art. 49 Abs. 1 lit. b DSGVO.

8. Überprüfungen (Audits)

Auf begründete Anfrage und, sofern es keinen Vorfall gegeben hat, höchstens einmal im Jahr stellen wir die Informationen bereit, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Ist eine Prüfung vor Ort wirklich erforderlich, wird sie mit angemessenem Vorlauf vereinbart und findet während der Geschäftszeiten, ohne Störung des Betriebs, unter Vertraulichkeit und auf Ihre Kosten statt.

9. Löschung am Ende

Am Ende des Vertrags werden Ihre Daten gelöscht, vorbehaltlich gesetzlich vorgeschriebener Aufbewahrung. Exportieren Sie, was Sie benötigen, vor dem Enddatum; siehe Abschnitt 6 der Allgemeinen Geschäftsbedingungen.

10. Haftung

Art. 82 DSGVO regelt die Haftung zwischen den Parteien und gegenüber betroffenen Personen. Im Übrigen gilt Abschnitt 11 der Allgemeinen Geschäftsbedingungen.

11. Abschluss und Nachweis dieses Vertrags

Art. 28 Abs. 9 DSGVO verlangt, dass ein Auftragsverarbeitungsvertrag schriftlich vorliegt, und lässt ausdrücklich ein elektronisches Format zu. Die Einbeziehung über den Vertrag, wie in der Einleitung beschrieben, erfüllt das bereits — aber viele Verantwortliche müssen ihrer Aufsichtsbehörde einen abgeschlossenen Vertrag mit Datum vorzeigen können.

Dafür bietet der Kundenbereich den ausdrücklichen Abschluss an: Unter „Profil" zeigt das Panel „Auftragsverarbeitungsvertrag" die derzeit geltende Fassung und die Aktion „AVV akzeptieren". Ein Klick zeichnet die akzeptierte Fassung, Ihr Konto, Datum und Uhrzeit sowie die IP-Adresse auf, sendet eine Bestätigung an die hinterlegte E-Mail-Adresse, und das Panel zeigt von da an die bestehende Annahme. Ändert sich der Vertrag inhaltlich, zeigt das Panel die neue Fassung und fragt erneut; der Nachweis über Ihre frühere Annahme bleibt erhalten.

Eine gegengezeichnete Papierfassung ist auf Anfrage an privacy@hostna.com erhältlich, wenn ein Prüfer auf Tinte besteht.