Auftragsverarbeitung für Kundenhosting

Vereinbarung zur Auftragsverarbeitung für Kundenhosting

Diese Vereinbarung wird zwischen dem im Website-/Hostingauftrag vollständig bezeichneten Kunden als Verantwortlichem (Auftraggeber) und Lenara Media UG (haftungsbeschränkt), Urbanstr. 169, 10961 Berlin, als Auftragsverarbeiter (Auftragnehmer) geschlossen. Sie wird erst durch ausdrückliche Vereinbarung und Zuordnung zum konkreten Auftrag wirksam. Die bloße Veröffentlichung dieses Textes ersetzt den Abschluss nicht. Die eigene Buchführung und Vertriebsverwaltung von Lenara fallen nicht unter diese Auftragsverarbeitung.

1. Gegenstand, Dauer und Weisungen

Gegenstand sind Bereitstellung, Wartung, Datensicherung und erforderlicher Support der im Auftrag bezeichneten Website. Die Verarbeitung dauert für die vereinbarte Hosting-/Betreuungsdauer zuzüglich geordneter Rückgabe/Löschung. Art und Zweck sind Speichern, Bereitstellen, Übermitteln an vom Auftraggeber bestimmte Empfänger, Sichern, Wiederherstellen, berichtigen und löschen, soweit für den Auftrag erforderlich. Lenara verarbeitet ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich bezüglich etwaiger Drittlandübermittlungen, sofern nicht eine gesetzliche Verpflichtung besteht. Über eine solche Verpflichtung wird vorher informiert, soweit rechtlich zulässig.

Der Auftraggeber bestimmt die Rechtmäßigkeit der Datenverarbeitung und die Rechte betroffener Personen. Weisungen werden in Textform dokumentiert; bevollmächtigte Ansprechpartner ergeben sich aus dem Auftrag. Lenara informiert unverzüglich, wenn eine Weisung nach ihrer Einschätzung Datenschutzrecht verletzt, und kann ihre Durchführung bis zur Klärung aussetzen.

2. Daten und betroffene Personen

Im Standardumfang: Identifikations- und Kontaktdaten von Websitebesuchern und Interessenten, Inhalte von Kontaktanfragen, erforderliche technische Verbindungs-/Protokolldaten sowie berufliche Angaben der vom Kunden auf seiner Website dargestellten Personen. Betroffene Gruppen sind Besucher, Interessenten, Kunden, Ansprechpartner und Mitarbeitende des Auftraggebers. Besondere Kategorien nach Art. 9 DSGVO sowie Daten nach Art. 10 DSGVO sind nicht Gegenstand des Standardauftrags. Zusätzliche Formulare, Integrationen oder Datenarten sind vor Einsatz gesondert zu dokumentieren und abzusichern.

3. Vertraulichkeit und Sicherheit

Lenara verpflichtet zur Verarbeitung befugte Personen auf Vertraulichkeit, soweit keine entsprechende gesetzliche Pflicht besteht, und begrenzt Zugriffe auf das erforderliche Maß. Unter Berücksichtigung von Risiko, Stand der Technik und Art der Verarbeitung werden geeignete Maßnahmen nach Art. 32 DSGVO umgesetzt und überprüft. Wesentliche Maßnahmen stehen in der Anlage. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

4. Unterauftragnehmer

Für das vereinbarte ALL-INKL-Hosting wird ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland, als Unterauftragnehmer für Infrastruktur, Speicherung, technische Sicherung und gegebenenfalls E-Mail eingesetzt. Vor Beginn muss eine wirksame Unterauftragsvereinbarung mit gleichwertigen Datenschutzpflichten bestehen. Der Auftraggeber erteilt hierfür mit Abschluss dieses Vertrags seine Genehmigung. Bei eigenem Hosting sind Anbieter, Verantwortlichkeit und gegebenenfalls weiterer Unterauftrag vor Beginn im Auftrag gesondert festzuhalten.

Weitere oder ersetzende Unterauftragnehmer werden vor Einsatz unter Mitteilung von Tätigkeit und Verarbeitungsort angekündigt. Der Auftraggeber erhält mindestens 14 Tage für begründete datenschutzbezogene Einwände. Solange ein begründeter Einwand nicht geklärt ist, erfolgt der betreffende neue Einsatz nicht. Lenara bleibt gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragnehmers verantwortlich. Allgemeine Nebenleistungen ohne Zugriff auf Auftragsdaten sind keine Unterauftragsverarbeitung.

5. Unterstützung und Datenschutzverletzungen

Lenara unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung mit geeigneten Maßnahmen bei Anträgen betroffener Personen sowie bei seinen Pflichten aus Art. 32 bis 36 DSGVO. Direkt eingehende Anträge werden unverzüglich weitergegeben und nicht ohne Weisung inhaltlich beantwortet, soweit keine gesetzliche Pflicht besteht. Mögliche Verletzungen des Schutzes personenbezogener Daten werden dem Auftraggeber unverzüglich nach Bekanntwerden gemeldet; verfügbare Angaben zu Art, betroffenen Daten/Personen, wahrscheinlichen Folgen und Gegenmaßnahmen werden übermittelt und bei Bedarf nachgereicht. Die Meldung wird nicht bis zur vollständigen Aufklärung verzögert.

6. Nachweise und Kontrollen

Lenara stellt alle erforderlichen Informationen zum Nachweis der Einhaltung der vereinbarten Pflichten bereit und ermöglicht beziehungsweise unterstützt Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten unabhängigen Prüfer. Praktische Modalitäten werden unter Schutz anderer Kunden und ohne Vereitelung wirksamer Kontrollen abgestimmt. Bestehende aktuelle Nachweise können berücksichtigt werden; sie schließen erforderliche weitere Prüfungen nicht pauschal aus. Gesetzliche Befugnisse der Aufsichtsbehörden bleiben unberührt.

7. Vertragsende

Nach Abschluss der Leistungen werden Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, soweit keine gesetzliche Speicherpflicht besteht. Verbleibende Sicherungskopien werden geschützt, nicht anderweitig verwendet und im dokumentierten Sicherungszyklus gelöscht. Der konkrete Übergabeweg, Termin und Sicherungszyklus werden spätestens zum Vertragsende festgehalten. Die Durchführung wird auf Wunsch bestätigt. Vertraulichkeitspflichten gelten fort.

Anlage: Maßnahmen und konkrete Auftragsdaten

Vor Freigabe des Hostings werden im Auftrag festgehalten: Kunde und bevollmächtigte Ansprechpartner, Website/Domain, Hostinganbieter und Verarbeitungsort, eingesetzte Formulare und Datenfelder, Empfänger, erforderliche Speicherfristen, Sicherungsrhythmus und Aufbewahrungszeit, Wiederherstellungsverfahren sowie etwaige zusätzliche Dienste. Abweichungen vom oben beschriebenen Standardumfang werden ausdrücklich vereinbart.

• Zugang: persönliche Konten, vertrauliche Zugangsdaten, Rechte nach Zuständigkeit; nicht mehr benötigte Berechtigungen widerrufen.
• Übertragung: HTTPS mit gültigem Zertifikat, verschlüsselte Administrations- und E-Mail-Verbindungen; keine ungeschützte Passwortweitergabe.
• Speicherung: Webzugriff auf private Konfiguration, Sicherungen und nicht öffentliche Daten sperren; Zugriff auf erforderliche Personen begrenzen.
• Integrität: dokumentierte Änderungen und Freigaben, Eingabeprüfung, Trennung von Vorschau und Veröffentlichung, zeitnahe Sicherheitsaktualisierungen.
• Verfügbarkeit: mindestens wöchentliche und vor wesentlichen Änderungen erstellte geschützte Sicherungen; praktisch überprüfter Wiederherstellungsweg, gesonderter Speicherort nach Sicherungskonzept.
• Datensparsamkeit: nur erforderliche Formularfelder; keine nicht vereinbarten Tracker; Lösch-/Sperrwünsche auch bei Wiederherstellung beachten.
• Organisation: Vertraulichkeit, dokumentierte Weisungen, Vorfallkontakt und regelmäßige Prüfung der Maßnahmen.

Die Anlage beschreibt die geschuldeten Maßnahmen. Vor produktiver Nutzung werden deren tatsächliche Umsetzung und die kundenspezifischen Angaben dokumentiert; es wird keine noch nicht geprüfte technische Eigenschaft allein durch diesen Text bestätigt.