Auftragsverarbeitungsvertrag

Stand: Datum der Freigabe

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dir als Kundin oder Kunde („Verantwortlicher“) und Giegler Developing (Inhaberin Zoey Evelyn Giegler), Im Mediapark 5, 50670 Köln („Auftragsverarbeiter“, „wir“). Er wird mit der Bestellung Bestandteil des Hosting-Vertrags nach unseren AGB und gilt, solange wir personenbezogene Daten in deinem Auftrag verarbeiten.

1. Gegenstand, Art und Zweck

Wir betreiben für dich eine Fluxer-Instanz. Dabei verarbeiten wir die darin gespeicherten personenbezogenen Daten, um die Instanz bereitzustellen, zu sichern (Backups), zu überwachen, zu aktualisieren, Exporte zu erstellen und Störungen zu beheben. Wir verarbeiten die Daten nur zu diesen Zwecken.

2. Art der Daten und betroffene Personen

• Betroffene: Mitglieder, Moderatorinnen und Moderatoren, Gäste und sonstige Nutzende deiner Instanz.
• Daten: Kontodaten (Benutzername, E-Mail-Adresse, Passwort als Hash, Profilangaben), Nachrichten und Reaktionen, hochgeladene Dateien und Medien, Mitgliedschaften und Rollen, Verbindungs- und Protokolldaten (IP-Adressen, Zeitpunkte, Geräteangaben), Moderationsdaten.
• Besondere Kategorien (Art. 9 DSGVO): können in Inhalten vorkommen, etwa Angaben zur sexuellen Orientierung oder Gesundheit in Nachrichten. Wir behandeln alle Inhalte gleich vertraulich und werten sie nicht aus.

3. Weisungen

Wir verarbeiten die Daten nur auf deine dokumentierte Weisung. Weisungen sind dieser Vertrag, die Einstellungen und Aktionen im Kundenbereich (etwa Export, Tarifwechsel, Kündigung) und Weisungen in Textform an legal@giegler.software. Sind wir gesetzlich zu einer anderen Verarbeitung verpflichtet, teilen wir dir das vorher mit, soweit das Gesetz es nicht verbietet. Halten wir eine Weisung für rechtswidrig, sagen wir dir das unverzüglich.

4. Vertraulichkeit

Zugang zu den Daten haben nur Personen, die zur Vertraulichkeit verpflichtet sind und ihn für ihre Aufgabe brauchen. Derzeit ist das ausschließlich Zoey Evelyn Giegler. bei Mitarbeitenden anpassen Inhalte deiner Instanz sehen wir uns nur an, wenn das für Betrieb, Fehlerbehebung, deine Anfrage oder eine rechtliche Pflicht (etwa eine Meldung nach Art. 16 DSA) nötig ist.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Trennung: Jede Instanz läuft in eigenen Containern mit eigener Datenbank, eigenem Speicher und fest zugeteilten Ressourcen.
• Netz: Die Server stehen in einem eigenen, privaten Netzsegment hinter einer Firewall. Von außen erreichbar ist nur der Webzugang über Cloudflare. Exporte laufen in einer abgeschotteten Umgebung ohne Internetzugang.
• Verschlüsselung: Übertragung ausschließlich über TLS. Datenbank-Backups sind verschlüsselt. prüfen: Verschlüsselung der Datei-Backups und der Datenträger
• Zugang: Die Verwaltung erfordert Single Sign-on mit Gruppenberechtigung bzw. SSH-Schlüssel; der Kundenbereich nutzt Passkeys oder einmalige Mail-Links, keine Passwörter. Verwaltungsaktionen werden protokolliert.
• Verfügbarkeit: Nächtliche Backups an einem zweiten Standort (14 tägliche, 8 wöchentliche Stände), laufende Überwachung mit Alarmierung, neue Versionen zuerst auf einer Testinstanz.
• Überprüfung: Wir prüfen die Maßnahmen regelmäßig, mindestens jährlich, und passen sie dem Stand der Technik an.

6. Unterauftragsverarbeiter

Du stimmst der Beauftragung folgender Unterauftragsverarbeiter zu:

Instanzen, die nicht bei OVHcloud laufen, betreiben wir auf eigenen Servern in Deutschland. E-Mails der Instanz an Mitglieder (etwa Bestätigungen) laufen über ein SMTP-Konto auf unserem eigenen Mailserver, das nur aus der Instanz heraus nutzbar ist. Trägst du in der Instanz einen eigenen SMTP-Server ein, beauftragst du dessen Anbieter selbst.

Neue oder geänderte Unterauftragsverarbeiter kündigen wir mindestens 4 Wochen vorher per Mail an. Du kannst aus wichtigem datenschutzrechtlichem Grund widersprechen; können wir uns nicht einigen, darfst du den Vertrag zum Wirksamwerden der Änderung kündigen. Wir verpflichten Unterauftragsverarbeiter vertraglich mindestens auf das Schutzniveau dieses Vertrags.

7. Unterstützung

Wir unterstützen dich mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Art. 15 bis 22 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen. Viele Anfragen kannst du selbst in deiner Instanz erledigen (Fluxer-Verwaltung) oder über einen Export beantworten. Erreicht uns eine Anfrage, die dich betrifft, leiten wir sie an dich weiter. prüfen: Vergütung für außergewöhnlichen Aufwand

8. Datenschutzverletzungen

Wir informieren dich unverzüglich, spätestens innerhalb von 48 Stunden, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten in deiner Instanz erfahren haben, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen.

9. Löschung und Rückgabe

Während der Laufzeit kannst du jederzeit einen vollständigen Export herunterladen. Nach Vertragsende pausieren wir die Instanz; du kannst noch 30 Tage einen Export abrufen. Danach löschen wir alle Daten der Instanz. Backups laufen nach ihrem Plan ab (Datenbank spätestens nach 8 Wochen, Dateien 30 Tage nach ihrer Löschung). Eine Aufbewahrung über diese Fristen hinaus erfolgt nur, wenn wir gesetzlich dazu verpflichtet sind.

10. Nachweise und Kontrollen

Wir stellen dir auf Anfrage die Informationen bereit, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Kontrollen, auch vor Ort, ermöglichen wir nach angemessener Vorankündigung, während der Geschäftszeiten und ohne Störung des Betriebs. Die Vertraulichkeit gegenüber anderen Kundinnen und Kunden bleibt gewahrt.

11. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht. Vollständige Prüfung durch Anwältin oder Anwalt