Rechtliche Hinweise und Richtlinien
Auftragsverarbeitungsvereinbarung (DPA)
Diese Begriffe beziehen sich auf FIRST SERVER. Die juristische Person, die registrierte Adresse und die Kontaktdaten werden in unserem veröffentlicht Rechtlicher Hinweis. Sie können uns über kontaktieren Kontaktseite.
1. Parteien, Rollen und Bewerbung
Diese DPA soll in einen akzeptierten Servicevertrag integriert werden, bei dem der Kunde als Verantwortlicher (oder autorisierter Verarbeiter) fungiert und FIRST SERVER personenbezogene Daten in seinem Namen verarbeitet. Durch die Veröffentlichung allein kommt noch kein Verarbeitungsvertrag zustande. Vor Beginn der Verarbeitung müssen die Parteien die dienstspezifischen Informationen in Abschnitt 11 erfassen und die geltenden Sicherheits- und Unterauftragsverarbeitervereinbarungen vereinbaren. Wenn der Kunde ein Auftragsverarbeiter ist, bestätigt er die Befugnis seines Verantwortlichen, FIRST SERVER zu ernennen.
2. Dokumentierte Anweisungen
Die Verarbeitung beschränkt sich auf die Bereitstellung und Sicherung der vertraglich vereinbarten Infrastruktur sowie die Durchführung dokumentierter rechtmäßiger Weisungen, einschließlich Weisungen zu Übermittlungen. Die Vereinbarung, der ausgefüllte Bearbeitungsplan und die autorisierten Serviceanfragen bilden diese Anweisungen. Sollte das Gesetz eine andere Verarbeitung erfordern, wird FIRST SERVER den Kunden vorher darüber informieren, sofern dies nicht verboten ist. FIRST SERVER wird den Kunden unverzüglich informieren, wenn es der Ansicht ist, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzgesetze der EU oder der Mitgliedstaaten verstößt.
3. Vertraulichkeit und Sicherheit
Autorisiertes Personal muss zur Verschwiegenheitspflicht verpflichtet sein. FIRST SERVER muss unter Berücksichtigung von Risiko, Umfang, Kosten und Stand der Technik geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO ergreifen. Der vereinbarte Sicherheitsplan muss Zugriffskontrolle und geringste Privilegien, Vertraulichkeit, Integrität und Verfügbarkeit, Mietertrennung, Vorfallbehandlung, Wiederherstellung, physische Sicherheit und regelmäßige Bewertung berücksichtigen. Spezifische Verschlüsselung, Backup-Häufigkeit, Wiederherstellungszeiten oder Zertifizierungen gelten nur, wenn sie dokumentiert und vereinbart sind; Hier wird keine ungeprüfte Zertifizierung beansprucht.
Der Kunde bleibt für seine rechtmäßige Erfassung, Anweisungen, Berechtigungen auf Anwendungsebene und die ihm durch die Servicevereinbarung zugewiesenen Sicherheitsaufgaben verantwortlich.
4. Unterauftragsverarbeiter
FIRST SERVER darf Unterauftragsverarbeiter nur mit vorheriger ausdrücklicher oder allgemeiner schriftlicher Genehmigung des Kunden einsetzen. Im Rahmen einer Allgemeingenehmigung muss die aktuelle Liste vorgelegt und vorgeschlagene Ergänzungen oder Ersetzungen mindestens 30 Tage im Voraus mitgeteilt werden, sodass ein begründeter datenschutzrechtlicher Einspruch zulässig ist. Die Parteien werden eine geeignete Lösung anstreben; Ist dies nicht möglich, darf die betroffene Verarbeitung nicht ohne eine rechtmäßig vereinbarte Lösung fortgesetzt werden, zu der auch die Beendigung des betroffenen Dienstes gehören kann.
Unterauftragsverarbeiter müssen an Datenschutzpflichten gebunden sein, die denen entsprechen, die für die delegierte Verarbeitung gelten. FIRST SERVER bleibt gegenüber dem Kunden für die Erfüllung dieser Verpflichtungen durch den Unterauftragsverarbeiter verantwortlich. Ein Website-Bereitstellungsanbieter ist nicht automatisch ein Unterauftragsverarbeiter für jede gehostete Kundenarbeitslast.
5. Unterstützung und Verstöße gegen den Schutz personenbezogener Daten
Unter Berücksichtigung der Art der Verarbeitung muss FIRST SERVER den Kunden bei Anfragen betroffener Personen und gemäß Artikel 32–36 DSGVO unterstützen, einschließlich der Reaktion auf Verstöße, Folgenabschätzungen und vorheriger Konsultation. Unmittelbar eingegangene Anfragen werden umgehend weitergeleitet, sofern nicht gesetzlich eine andere Antwort erforderlich ist.
FIRST SERVER muss den Kunden unverzüglich benachrichtigen, nachdem ihm ein Verstoß gegen den Schutz personenbezogener Daten des Kunden bekannt geworden ist. Zu den verfügbaren Details gehören die Art, die betroffenen Kategorien und ungefähre Zahlen, sofern bekannt, wahrscheinliche Folgen, Kontaktstelle und Schadensbegrenzungsmaßnahmen. Die Bereitstellung der Informationen kann phasenweise ohne unangemessene weitere Verzögerung erfolgen. Die eigenen gesetzlichen Anzeigefristen des Kunden bleiben in dessen Verantwortungsbereich.
6. Internationale Überweisungen
Bearbeitungsorte und Übergaben sind im Leistungsplan zu dokumentieren. Für Übermittlungen außerhalb des EWR sind rechtmäßige Anweisungen und ein gültiger DSGVO-Mechanismus gemäß Kapitel V erforderlich, beispielsweise ein anwendbarer Angemessenheitsbeschluss oder geeignete Standardvertragsklauseln mit den erforderlichen ergänzenden Maßnahmen. Dieses DPA selbst ist kein Ersatz für internationale Transferklauseln.
7. Nachweis von Compliance und Audits
FIRST SERVER muss die Informationen zur Verfügung stellen, die zum Nachweis der Einhaltung von Artikel 28 erforderlich sind, und Audits ermöglichen und dazu beitragen, einschließlich Inspektionen durch den Kunden oder einen autorisierten Auditor. Angemessene Vorkehrungen können die Vertraulichkeit, andere Kunden und die Sicherheit schützen, dürfen jedoch nicht das Prüfungsrecht oder den Zugang der Aufsichtsbehörden beeinträchtigen. Die Parteien sollten Umfang und Zeitpunkt koordinieren, es sei denn, die Dringlichkeit erfordert etwas anderes.
8. Ende der Bearbeitung
Nach Wahl des Kunden muss FIRST SERVER die personenbezogenen Daten des Kunden nach Beendigung des Dienstes zurückgeben oder löschen und vorhandene Kopien löschen, es sei denn, das Recht der EU oder eines Mitgliedstaats schreibt eine Aufbewahrung vor. Die Parteien dokumentieren das Exportformat und den Löschplan, einschließlich des Backup-Ablaufs. Zurückbehaltene Kopien müssen geschützt bleiben, gegebenenfalls vom gewöhnlichen Gebrauch getrennt werden und nach Ablauf der Aufbewahrungspflicht gelöscht werden.
9. Haftung und Vorrang
Das DPA hat Vorrang vor widersprüchlichen Allgemeinen Geschäftsbedingungen für die Verarbeitung personenbezogener Daten. Vertragliche Beschränkungen gelten zwischen den Parteien nur im gesetzlich zulässigen Umfang und können die Betroffenenrechte aus Art. 82 DSGVO, Pflichten gegenüber Aufsichtsbehörden oder sonstige zwingende Haftung nicht einschränken. Die Verarbeitung der eigenen Abrechnungs- und Geschäftskontaktdaten durch FIRST SERVER als Verantwortlicher wird in der Datenschutzrichtlinie gesondert beschrieben.
10. Kontakte
Der Kunde muss im Serviceplan einen betrieblichen Ansprechpartner für Datenschutz und Vorfälle benennen. Die Kontaktdaten von FIRST SERVER finden Sie auf der Kontaktseite. Für zeitkritische Benachrichtigungen müssen die Kontaktdaten aktuell bleiben.
11. Erforderlicher dienstspezifischer Verarbeitungsplan
Folgendes muss für jeden anwendbaren Dienst abgeschlossen und vereinbart werden, bevor diese DPA als vollständige Verarbeitungsvereinbarung herangezogen werden kann:
- Identität des Kunden/Controllers und autorisierte Kontakte; die angenommene Bestellung und das Datum des Inkrafttretens der DPA.
- Gegenstand, Dauer, Art und Zwecke: z. B. Speicherung, Übermittlung, Sicherung und Löschung von Daten in der angegebenen Hosting-Umgebung für die Leistungsdauer und vereinbarte Schließungsdauer.
- Kategorien betroffener Personen und tatsächlich beteiligter personenbezogener Daten, einschließlich etwaiger Sonderkategorien- oder Straftatdaten und vereinbarter Beschränkungen.
- Verarbeitungsstandorte, autorisierte Unterauftragsverarbeiter, delegierte Aufgaben und Garantien für den internationalen Transfer.
- Konkrete technische und organisatorische Maßnahmen, Zuständigkeitsverteilung und ggf. vereinbarte Wiederherstellungs- oder Backup-Maßnahmen.
- Rückgabe-, Lösch- und Backup-Ablaufvereinbarungen sowie dokumentierte zusätzliche Anweisungen.
Auf dieser Seite wird der vertragliche Rahmen festgelegt; es wird nicht behauptet, dass der Zeitplan oder die Unterauftragsverarbeiterliste eines unbekannten Kunden bereits vereinbart wurde.