Vertrag zur Auftragsverarbeitung

Finn Hendrik Kötting, handelnd unter Kötting Digital
Mittelstraße 61, 58285 Gevelsberg
E-Mail: [email protected]
Telefon: +49 160 98536691

Dieser Vertrag ist Anlage 1 und 2 zu unseren AGB und gilt, soweit wir im Auftrag des Kunden personenbezogene Daten verarbeiten, etwa bei Hosting, Wartung oder Webanalyse.

Diese Anlage regelt die Verarbeitung personenbezogener Daten durch Finn Hendrik Kötting, handelnd unter Kötting Digital (nachfolgend „Auftragsverarbeiter“ oder „wir“) im Auftrag des Kunden (nachfolgend „Verantwortlicher“). Sie ist in Struktur und Pflichtinhalten an Art. 28 Abs. 3 DSGVO sowie an den Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/915 der Kommission orientiert und wird gemäß § 27 Abs. 2 der AGB mit Auftragserteilung Vertragsbestandteil.

1. Gegenstand und Dauer. (1) Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der vom Verantwortlichen gebuchten Leistungen Hosting, Wartung, Pflege, Support und Webanalyse (Reichweitenmessung, Anlage 3). (2) Die Dauer entspricht der Laufzeit der jeweiligen Hauptleistung. Die Pflichten aus Ziffer 11 (Löschung) gelten über das Vertragsende hinaus fort.

2. Art und Zweck der Verarbeitung. (1) Bei Hosting, Wartung, Pflege und Support: Bereitstellung, Administration, Aktualisierung und Störungsbeseitigung der vom Verantwortlichen betriebenen Website und der zugehörigen Systeme; ein Zugriff auf die dort verarbeiteten personenbezogenen Daten erfolgt nur, soweit dies zur Leistungserbringung erforderlich ist. (2) Bei der Webanalyse: Erhebung, Speicherung und statistische Auswertung von Seitenaufrufen und Ereignissen auf der Website des Verantwortlichen zum Zweck der Reichweitenmessung (Zählung eindeutiger Besucher, Bildung von Sitzungen, Reload-Schutz, Auswertung von Seiten, Herkunft, Geräten und Kampagnen). Die Verarbeitung erfolgt ausschließlich in der in Anlage 3 beschriebenen Weise.

3. Art der personenbezogenen Daten. (1) Bei Hosting, Wartung, Pflege und Support: die auf der Website des Verantwortlichen verarbeiteten Daten; deren Art und Umfang bestimmt der Verantwortliche durch die Ausgestaltung seiner Website. Bei reinen Präsentations-Websites sind dies regelmäßig keine oder nur technische Verbindungsdaten; je nach Funktionsumfang kommen insbesondere Kontaktformulardaten (Name, E-Mail-Adresse, Nachricht) sowie Daten von Nutzerkonten (Anmeldedaten, Profilangaben) hinzu. (2) Bei der Webanalyse werden je Ereignis abschließend folgende Daten gespeichert: Website-Zuordnung (Tracking-Key), Typ (Seitenaufruf oder Ereignis), Seitenpfad (ohne Query-String), Ereignisname, Referrer-Domain, Ländercode, Gerätekategorie, Browser-Familie, Betriebssystem-Familie, utm_source, utm_medium, utm_campaign, Besucherkennung (tagesweise wechselnder SHA-256-Hash) sowie Zeitstempel der Speicherung. (3) Die IP-Adresse und der vollständige User-Agent des Besuchers werden bei der Webanalyse nur flüchtig im Arbeitsspeicher verarbeitet (zur Bildung der Besucherkennung bzw. zur Ableitung von Gerätekategorie, Browser- und Betriebssystem-Familie) und nicht gespeichert. Der vorgeschaltete Unterauftragsverarbeiter Cloudflare (Ziffer 8) verarbeitet IP-Adresse und Request-Inhalt der Skript- und Track-Aufrufe transient. Unser Reverse-Proxy führt keine Zugriffsprotokolle. Cloudflare kann als vorgeschalteter Proxy Verbindungsdaten einschließlich IP-Adressen nach seinen eigenen Bedingungen kurzfristig protokollieren.

4. Kategorien betroffener Personen. Besucher der Website des Verantwortlichen; bei Hosting, Wartung und Support zusätzlich die Personen, deren Daten der Verantwortliche auf seiner Website verarbeitet (z. B. Nutzer, Interessenten, Kunden des Verantwortlichen).

5. Weisungen. (1) Wir verarbeiten personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, wir sind nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilen wir dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO). (2) Die Weisungen ergeben sich aus dem Vertrag, den AGB, dieser Anlage und Anlage 3. Weitere Weisungen erteilt der Verantwortliche in Textform. Weisungen, die den vereinbarten Leistungsumfang überschreiten, gelten als Änderungsverlangen (§ 4 der AGB). (3) Wir informieren den Verantwortlichen unverzüglich, wenn wir der Auffassung sind, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Wir sind berechtigt, die Durchführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

6. Vertraulichkeit. Wir gewährleisten, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Zur Verarbeitung befugt ist ausschließlich der Inhaber Finn Hendrik Kötting. Die Vertraulichkeitspflicht besteht nach Beendigung des Vertrags fort.

7. Sicherheit der Verarbeitung. Wir treffen alle nach Art. 32 DSGVO erforderlichen Maßnahmen (Art. 28 Abs. 3 Satz 2 lit. c DSGVO). Die zum Zeitpunkt des Vertragsschlusses getroffenen technischen und organisatorischen Maßnahmen sind in Anlage 2 beschrieben. Wir dürfen diese Maßnahmen weiterentwickeln, soweit das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert.

8. Unterauftragsverarbeiter. (1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der nachfolgend aufgeführten Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO). Für Änderungen gilt § 27 Abs. 3 der AGB (Mitteilung mit mindestens 4 Wochen Vorlauf, Widerspruchsrecht aus wichtigem Grund).

(a) Contabo GmbH, Aschauer Str. 32a, 81549 München, Deutschland. Leistung: Bereitstellung der virtuellen Server, auf denen wir Hosting, Wartung und Support erbringen (insbesondere der Server, auf dem die Website des Kunden sowie deren Inhalte gespeichert sind), sowie – für die Webanalyse – des Anwendungs- und des Datenbankservers und des Object Storage (S3-kompatibel) für Datenbank-Sicherungen. Welche dieser Server im Einzelfall Daten des Kunden verarbeiten, richtet sich danach, welche Leistungen der Kunde gebucht hat. Verarbeitungsort: Europäische Union (Contabo-Region „European Union“; nach Angaben der Contabo GmbH Rechenzentren in Deutschland). Eine Verarbeitung außerhalb der EU findet insoweit nicht statt. Betroffene Daten: sämtliche unter Ziffer 3 genannten gespeicherten Daten.

(b) Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA. Leistung: DNS, Content Delivery Network und TLS-Reverse-Proxy vor unserer Verwaltungsplattform. Cloudflare terminiert die TLS-Verbindung und verarbeitet dabei IP-Adresse und Inhalt sämtlicher Skript- und Track-Aufrufe transient; Cloudflare setzt zudem den Ländercode (Header cf-ipcountry), den wir speichern. Drittlandübermittlung: Cloudflare, Inc. ist unter dem EU-US Data Privacy Framework zertifiziert (Angemessenheitsbeschluss nach Art. 45 DSGVO); ergänzend gelten die Standardvertragsklauseln der EU-Kommission gemäß dem Cloudflare Data Processing Addendum (Art. 46 Abs. 2 lit. c DSGVO).

(2) Wir legen jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in dieser Anlage festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haften wir gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters (Art. 28 Abs. 4 DSGVO).

9. Unterstützung des Verantwortlichen. (1) Wir unterstützen den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12 bis 22 DSGVO) nachzukommen (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). Wenden sich betroffene Personen unmittelbar an uns, verweisen wir sie an den Verantwortlichen, soweit eine Zuordnung zum Verantwortlichen möglich ist. (2) Hinweis zur Webanalyse: Die Besucherkennung wird aus einem serverseitigen geheimen Schlüssel, dem Tracking-Key, der IP-Adresse, dem User-Agent und dem UTC-Kalendertag gebildet; IP-Adresse und User-Agent werden nicht gespeichert. Ein bestimmter Besucher kann daher weder von uns noch vom Verantwortlichen nachträglich einem gespeicherten Datensatz zugeordnet werden. Auskunfts-, Berichtigungs-, Lösch- oder Widerspruchsbegehren einzelner Besucher können folglich nicht auf konkrete Datensätze bezogen werden; wir unterstützen den Verantwortlichen in solchen Fällen durch Bereitstellung dieser technischen Beschreibung. (3) Wir unterstützen den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). (4) Unterstützungsleistungen, die über die Bereitstellung vorhandener Informationen und Dokumentation hinausgehen, vergüten wir nach Aufwand zu den vereinbarten Stundensätzen; die Bereitstellung dieser Anlage, der Anlagen 2 und 3 sowie vorhandener Dokumentation ist kostenfrei.

10. Meldung von Verletzungen des Schutzes personenbezogener Daten. Wir melden dem Verantwortlichen jede uns bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, ohne unangemessene Verzögerung, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, in Textform an die vom Verantwortlichen benannte Kontaktadresse. Die Meldung enthält, soweit bekannt, die in Art. 33 Abs. 3 DSGVO genannten Angaben (Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen). Informationen, die zum Zeitpunkt der Erstmeldung nicht vorliegen, werden ohne unangemessene Verzögerung nachgereicht. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen obliegen dem Verantwortlichen.

11. Löschung und Rückgabe. (1) Ereignisdaten der Webanalyse werden unabhängig vom Vertragsende automatisch 24 Monate nach ihrer Speicherung gelöscht (Datenbank-TTL, siehe Anlage 3). (2) Nach Beendigung der Hauptleistung löschen wir sämtliche im Auftrag verarbeiteten personenbezogenen Daten einschließlich vorhandener Kopien innerhalb von 30 Tagen (§ 21 Abs. 3 der AGB), sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Auf Wunsch bestätigen wir die Löschung in Textform. (3) Eine Herausgabe der Ereignisdaten der Webanalyse erfolgt nicht; die Auswertungen stehen dem Verantwortlichen bis zum Vertragsende im Kundenportal zur Verfügung. (4) In Datensicherungen (Anlage 2 Ziffer 6) enthaltene Daten werden mit dem turnusmäßigen Überschreiben bzw. Ablauf der Sicherung gelöscht, spätestens 24 Stunden nach ihrer Erstellung.

12. Nachweise und Überprüfungen. (1) Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Der Nachweis erfolgt vorrangig durch Selbstauskunft, Bereitstellung der Dokumentation nach Anlage 2 und Beantwortung von Fragen des Verantwortlichen in Textform (Fernprüfung). (2) Soweit eine Fernprüfung im Einzelfall nicht ausreicht, ermöglichen wir dem Verantwortlichen oder einem von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach vorheriger Ankündigung mit einem Vorlauf von mindestens 4 Wochen eine Überprüfung während unserer üblichen Geschäftszeiten, ohne den Geschäftsbetrieb unangemessen zu stören. Ein Zutritt zu Rechenzentren der Unterauftragsverarbeiter ist nicht geschuldet; insoweit stellen wir die von diesen bereitgestellten Nachweise zur Verfügung. (3) Überprüfungen finden höchstens einmal je Kalenderjahr statt, es sei denn, es liegt ein konkreter Anlass (insbesondere eine Verletzung nach Ziffer 10 oder eine behördliche Anordnung) vor. Der durch eine Vor-Ort-Überprüfung entstehende Aufwand wird nach den vereinbarten Stundensätzen vergütet, soweit die Überprüfung keine Pflichtverletzung unsererseits ergibt.

13. Haftung. Für die Haftung der Parteien gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gilt § 24 der AGB, soweit Art. 82 DSGVO und die Vorschriften der DSGVO nicht zwingend etwas anderes bestimmen. Die Freistellungspflicht des Verantwortlichen nach § 27 Abs. 4 der AGB bleibt unberührt.

14. Verarbeitung in Drittländern. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums erfolgt nur durch den in Ziffer 8 lit. b genannten Unterauftragsverarbeiter auf der dort genannten Grundlage. Weitere Übermittlungen in Drittländer nehmen wir nur auf dokumentierte Weisung des Verantwortlichen oder unter den Voraussetzungen von Kapitel V DSGVO vor.

15. Schlussbestimmungen. (1) Änderungen dieser Anlage bedürfen der Textform; § 28 Abs. 5 der AGB gilt entsprechend. (2) Bei Widersprüchen zwischen dieser Anlage und den übrigen Vertragsbestandteilen geht diese Anlage vor, soweit datenschutzrechtliche Fragen betroffen sind (§ 27 Abs. 2 der AGB). (3) Sollten einzelne Bestimmungen dieser Anlage unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; anstelle der unwirksamen Bestimmung gilt Art. 28 DSGVO unmittelbar.

Die nachfolgenden Maßnahmen beschreiben den Stand zum Zeitpunkt der Veröffentlichung dieser AGB für die von Kötting Digital betriebene Verwaltungsplattform, das Kundenportal und die darauf laufende Webanalyse. Kötting Digital ist ein Ein-Personen-Unternehmen ohne eigene physische Serverinfrastruktur; die Maßnahmen sind hierauf zugeschnitten. Zertifizierungen (z. B. ISO/IEC 27001) liegen nicht vor.

1. Zutrittskontrolle. Anwendung und Datenbank werden auf zwei getrennten virtuellen Maschinen bei der Contabo GmbH betrieben; der physische Zutritt zu den Rechenzentren in der Europäischen Union (Contabo-Region „European Union“) unterliegt ausschließlich den Zutrittskontrollmaßnahmen der Contabo GmbH. Wir selbst betreiben keine Server in eigenen Räumen.

2. Zugangskontrolle. (a) Ein-Personen-Betrieb: Administrativer Zugang zu Server, Verwaltungsoberfläche und Datenbank besteht ausschließlich für den Inhaber. (b) Der administrative Zugang zu den Servern erfolgt ausschließlich per SSH mit Schlüsselauthentifizierung; die Passwortanmeldung ist deaktiviert. (c) Die Verwaltungsoberfläche (Coolify) ist durch Passwort und Zwei-Faktor-Authentifizierung geschützt. (d) Die Datenbank (MongoDB) läuft auf einem eigenen Server. Der Zugriff erfordert Authentifizierung und ist per Paketfilter auf die IP-Adressen der berechtigten Server beschränkt.

3. Zugriffskontrolle und Trennungsgebot. (a) Jede Website des Kunden erhält einen eigenen Tracking-Key; Ereignisdaten werden mit dieser Website-Zuordnung gespeichert. (b) Auswertungen im Kundenportal sind nur für Nutzer abrufbar, die dem jeweiligen Projekt zugeordnet sind. (c) Wir greifen über die interne Management-Plattform auf Auswertungen nur zu Zwecken des Supports und der Einrichtung zu.

4. Verschlüsselung. (a) Die Übertragung zwischen dem Browser des Besuchers und Cloudflare sowie zwischen Cloudflare und unserem Anwendungsserver erfolgt TLS-verschlüsselt (Cloudflare-SSL-Modus „Full“). (b) Eine Verschlüsselung ruhender Daten auf den Servern (Datenträgerverschlüsselung) erfolgt nicht.

5. Pseudonymisierung und Datenminimierung. (a) IP-Adressen werden nicht gespeichert und nicht geolokalisiert. Sie fließen ausschließlich flüchtig im Arbeitsspeicher in einen SHA-256-Hash aus serverseitigem geheimem Schlüssel, Tracking-Key, IP-Adresse, User-Agent und UTC-Kalendertag ein (Besucherkennung). Durch den Kalendertag im Eingangswert ist eine Wiedererkennung nur innerhalb eines Tages und nur innerhalb derselben Website möglich. (b) Der User-Agent wird nicht gespeichert; abgeleitet werden nur Gerätekategorie, Browser-Familie und Betriebssystem-Familie ohne Versionsangaben. (c) Der Query-String des Seitenpfads wird verworfen; ausgelesen werden zuvor nur utm_source, utm_medium und utm_campaign. (d) Der Referrer wird auf den Hostnamen reduziert; Referrer der eigenen Domain werden nicht gespeichert. (e) Requests mit den Headern DNT: 1 oder Sec-GPC: 1 werden ohne Speicherung oder Auswertung beantwortet. (f) Das Skript setzt keine Cookies und nutzt weder localStorage, sessionStorage noch IndexedDB.

6. Verfügbarkeit und Belastbarkeit. (a) Die Datenbank wird automatisiert alle 4 Stunden gesichert; die Sicherungen werden verschlüsselt übertragen und im Object Storage (S3-kompatibel) der Contabo GmbH innerhalb der Europäischen Union gespeichert. Es werden rollierend die letzten 6 Sicherungen vorgehalten; ältere Sicherungen werden automatisch überschrieben, sodass keine Sicherung länger als 24 Stunden aufbewahrt wird. (b) Cloudflare ist als Reverse-Proxy vorgeschaltet und dient der Absicherung und Auslieferung.

7. Protokollierung. Der Reverse-Proxy (Traefik) ist ohne Zugriffsprotokoll (Access-Log) konfiguriert; seine Systemmeldungen werden rotierend gespeichert (maximal 3 Dateien à 10 MB) und enthalten keine Zugriffsdaten einzelner Besucher. Cloudflare kann als vorgeschalteter Proxy Verbindungsdaten einschließlich IP-Adressen nach seinen eigenen Bedingungen kurzfristig protokollieren; hierauf haben wir keinen Einfluss. In der Analyse-Datenbank selbst werden keine IP-Adressen gespeichert.

8. Löschung. Ereignisdaten der Webanalyse werden 24 Monate nach Speicherung automatisch gelöscht (Datenbank-TTL). Aggregierte Statistiken werden nicht getrennt vorgehalten, sondern bei Abruf aus den Ereignisdaten berechnet.

9. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung. (a) Abhängigkeiten der Anwendung und die Serversoftware werden regelmäßig aktualisiert. (b) Die Maßnahmen dieser Anlage werden bei wesentlichen Änderungen der Verarbeitung oder der Infrastruktur sowie mindestens jährlich überprüft und bei Bedarf angepasst. (c) Änderungen der Unterauftragsverarbeiter werden nach § 27 Abs. 3 der AGB mitgeteilt.