Vertrag zur Auftragsverarbeitung

Anlage zu den AGB

Vertrag zur Auftragsverarbeitung

Geltung: Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und PureHost | IT-Solutions, Inhaber Heinz-Wilhelm Jankord, Münsterstraße 14, 48341 Altenberge (PureHost), als Auftragsverarbeiter.Er ist Bestandteil jedes Vertrags über einen Dienst von PureHost, soweit PureHost dabei personenbezogene Daten im Auftrag des Kunden verarbeitet (§ 18 AT), und gilt für alle Marken.Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags.

#§ 1 Gegenstand und Dauer

(1) Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich je Dienst aus Anlage 1.Der Vertrag gilt, solange PureHost Daten im Auftrag des Kunden verarbeitet, einschließlich Rückgabe und Löschung nach § 10.

(2) Daten, die PureHost für eigene Zwecke verarbeitet, etwa Vertrags- und Abrechnungsdaten, fallen nicht unter diesen Vertrag; dafür gelten die Datenschutzhinweise für Kunden.Nutzt ein Verbraucher einen Dienst nur für persönliche oder familiäre Zwecke, hält PureHost diesen Vertrag als vertragliche Zusage ein.

#§ 2 Weisungen

(1) PureHost verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland, es sei denn, das Recht der EU oder Deutschlands verpflichtet PureHost zur Verarbeitung.Dann teilt PureHost dem Kunden diese Pflicht vorab mit, soweit das Recht es nicht verbietet.

(2) Die Weisungen ergeben sich aus dem Vertrag, der Leistungsbeschreibung und den Einstellungen des Kunden.Einzelweisungen erteilen die im Kundenkonto berechtigten Personen in Textform; mündliche Weisungen bestätigen sie unverzüglich in Textform.Weisungen über den vereinbarten Leistungsumfang hinaus gelten als Antrag auf Leistungsänderung.

(3) Hält PureHost eine Weisung für rechtswidrig, informiert PureHost den Kunden unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

#§ 3 Vertraulichkeit

(1) PureHost setzt nur Personen ein, die auf Vertraulichkeit und, bei Diensten zur Übermittlung von E-Mails, auf das Fernmeldegeheimnis (§ 3 TDDDG) verpflichtet sind.

(2) PureHost greift auf Inhalte des Kunden nur zu, soweit dies für die Leistung, die Störungsbeseitigung, auf Weisung oder zur Abwehr von Gefahren erforderlich ist.

#§ 4 Sicherheit

(1) PureHost trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 (Art. 32 DSGVO) und darf sie an den Stand der Technik anpassen, ohne das Schutzniveau zu senken.

(2) Für die Sicherheit dessen, was der Kunde selbst einrichtet und verwaltet, etwa in seinem Webspace oder auf seinem Server, ist der Kunde verantwortlich, soweit PureHost es nicht nach dem Vertrag betreut.

#§ 5 Unterauftragsverarbeiter

(1) Der Kunde genehmigt allgemein den Einsatz von Unterauftragsverarbeitern.Die in Anlage 3 genannten gelten als genehmigt.

(2) Über die Aufnahme oder den Austausch eines Unterauftragsverarbeiters informiert PureHost den Kunden mindestens zwei Wochen vorher in Textform.Muss PureHost wegen einer Störung oder Sicherheitsgefahr kurzfristig wechseln, informiert PureHost so früh wie möglich.

(3) Der Kunde kann einer Änderung innerhalb von zwei Wochen nach Zugang aus einem datenschutzrechtlichen Grund widersprechen.Kann PureHost den Grund nicht ausräumen, kann der Kunde den betroffenen Dienst ohne Kosten zum Zeitpunkt der Änderung kündigen; im Voraus gezahlte Entgelte erstattet PureHost anteilig.

(4) PureHost verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten und haftet für ihn (Art. 28 Abs. 4 DSGVO).Keine Unterauftragsverarbeiter sind Stellen, die Daten als eigene Verantwortliche erhalten, etwa Vergabestellen, und Anbieter, die der Kunde selbst beauftragt hat.

#§ 6 Drittländer

PureHost verarbeitet die Daten in der EU oder im EWR.Eine Übermittlung in ein Drittland erfolgt nur, soweit Anlage 3 sie nennt oder der Kunde sie anweist, und nur unter den Voraussetzungen der Art. 44 bis 49 DSGVO.

#§ 7 Unterstützung

(1) PureHost unterstützt den Kunden bei den Rechten betroffener Personen (Art. 12 bis 22 DSGVO) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO.Anfragen betroffener Personen leitet PureHost unverzüglich an den Kunden weiter.

(2) Kostenfrei sind die Funktionen der Dienste, die der Kunde selbst nutzen kann, die Weiterleitung von Anfragen, die Meldungen nach § 8, die Standardunterlagen zu diesem Vertrag und jede Unterstützung, die ein Verstoß von PureHost ausgelöst hat.Weitere Unterstützung ist bis zu einer Stunde je Kalenderjahr kostenfrei, darüber berechnet PureHost den Aufwandssatz nach § 8 Abs. 7 AT.Den voraussichtlichen Aufwand nennt PureHost vorab und beginnt erst nach Zustimmung, außer bei gesetzlichen Fristen.

#§ 8 Datenschutzverletzungen

PureHost meldet dem Kunden eine Verletzung des Schutzes seiner Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.Die Meldung an Behörde und Betroffene ist Sache des Kunden; PureHost unterstützt ihn dabei.

#§ 9 Berufsgeheimnisse

Ist der Kunde Berufsgeheimnisträger nach § 203 StGB, verpflichtet sich PureHost zur Verschwiegenheit über fremde Geheimnisse, verpflichtet die eingesetzten Personen und Unterauftragsverarbeiter in Textform entsprechend und belehrt sie über die strafrechtlichen Folgen.PureHost nimmt fremde Geheimnisse nur zur Kenntnis, soweit die Leistung es erfordert.Für Rechtsanwälte und Steuerberater gilt dies zugleich als Vereinbarung nach § 43e BRAO bzw. § 62a StBerG.

#§ 10 Rückgabe und Löschung

Nach Ende der Leistungen gibt PureHost die Daten nach Wahl des Kunden zurück oder löscht sie; Ablauf und Fristen richten sich nach § 13 AT.Datensicherungen laufen im Rotationsverfahren aus.Gesetzliche Aufbewahrungspflichten bleiben unberührt.Auf Verlangen bestätigt PureHost die Löschung in Textform.

#§ 11 Nachweise und Kontrollen

(1) PureHost stellt dem Kunden die zum Nachweis nötigen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen zur Verschwiegenheit verpflichteten Prüfer.

(2) Inspektionen vor Ort kündigt der Kunde vier Wochen vorher an, außer bei konkretem Verdacht.Sie dürfen den Betrieb und die Daten anderer Kunden nicht beeinträchtigen.Jede Partei trägt ihre Kosten; ab der zweiten Inspektion im Kalenderjahr berechnet PureHost den Aufwand nach § 7 Abs. 2, außer sie deckt einen Verstoß von PureHost auf.

#§ 12 Schlussbestimmungen

Für die Haftung gilt § 16 AT, soweit Art. 82 DSGVO nicht entgegensteht.In Fragen des Datenschutzes geht dieser Vertrag anderen Vereinbarungen vor.Er wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO) und im Kundenportal bereitgestellt.Änderungen richten sich nach § 14 AT, Änderungen der Anlagen 2 und 3 nach § 4 Abs. 1 und § 5.

#Anlage 1 Gegenstand der Verarbeitung je Dienst

#Anlage 2 Technische und organisatorische Maßnahmen

**1.Zutritt.** Die Systeme stehen in Rechenzentren in der EU mit Zutrittskontrolle, Brandschutz und unterbrechungsfreier Stromversorgung.

**2.Zugang und Zugriff.** Administrative Zugriffe erfolgen über persönliche Zugänge mit Schlüssel oder Zwei-Faktor-Anmeldung, soweit technisch möglich, und werden protokolliert, soweit die eingesetzten Systeme das ermöglichen.Rechte werden nach dem Prinzip der minimalen Rechte vergeben und bei Ausscheiden sofort entzogen.Zugangsdaten liegen verschlüsselt.

**3.Trennung.** Daten verschiedener Kunden sind logisch getrennt.Tests laufen nicht mit Echtdaten von Kunden, außer auf deren Weisung.

**4.Verschlüsselung.** Übertragungen zu Websites, Portalen und Postfächern erfolgen per TLS, administrative Verbindungen verschlüsselt.

**5.Verfügbarkeit.** Kundensysteme werden auf getrennte Systeme gesichert, automatisch überwacht und mit Sicherheitsupdates versorgt.

**6.Organisation.** Beschäftigte sind auf Vertraulichkeit verpflichtet.Datenschutzverletzungen werden nach einem festgelegten Ablauf bearbeitet.PureHost überprüft die Maßnahmen jährlich und nach Sicherheitsvorfällen.

#Anlage 3 Unterauftragsverarbeiter

Ein hier genannter Anbieter erhält Daten des Kunden erst, wenn PureHost mit ihm einen Vertrag nach Art. 28 Abs. 4 DSGVO geschlossen hat.Bei KI-Anbietern nutzt PureHost nur Geschäftskonten und Programmierschnittstellen, bei denen das Training mit Kundendaten ausgeschlossen ist.

Übermittlungen in die USA erfolgen auf Grundlage des EU-US Data Privacy Framework oder der Standardvertragsklauseln der EU-Kommission.Bei Anbietern mit Sitz oder Konzernmutter in den USA sind Zugriffe von US-Behörden möglich.Selbst betriebene Systeme von PureHost, auch lokale KI-Modelle, sind keine Unterauftragsverarbeiter.