Auftragsverarbeitungsvertrag

Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 Abs. 3 DSGVO zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der UTRANET GbR, Kleine Schmidtgasse 1, 63571 Gelnhausen (nachfolgend „Auftragsverarbeiter“ oder „Anbieter“). Diese Vereinbarung ist Bestandteil des Hosting-Vertrags (siehe AGB, Abschnitt 8) und gilt für alle Kunden, die über die gebuchten Hosting-Leistungen personenbezogene Daten Dritter verarbeiten. Sie wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO); einer gesonderten Unterschrift bedarf es nicht.

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung von Webhosting-Leistungen (Webspace, Datenbanken, E-Mail, DNS, SSL, Backups, Kundenportal) gemäß dem gebuchten Tarif. Der Auftragsverarbeiter verarbeitet personenbezogene Daten dabei ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Die Dauer entspricht der Laufzeit des Hosting-Vertrags; die Pflichten aus Abschnitt 11 gelten darüber hinaus bis zur vollständigen Löschung.

2. Art, Zweck und Umfang der Verarbeitung

Art der Verarbeitung: Speicherung, Bereitstellung, Übermittlung (Auslieferung an Website-Besucher und E-Mail-Empfänger), Sicherung und Löschung. Eine inhaltliche Auswertung der Daten durch den Anbieter findet nicht statt.

Zweck: Betrieb der vom Verantwortlichen gehosteten Websites, Webanwendungen (z. B. Shops, CMS), Datenbanken und E-Mail-Postfächer.

Kategorien betroffener Personen: Besucher und Nutzer der gehosteten Websites, Kunden, Interessenten und Lieferanten des Verantwortlichen, Kommunikationspartner (E-Mail), Mitarbeiter des Verantwortlichen.

Datenkategorien: Alle Daten, die der Verantwortliche auf dem Hosting ablegt oder die durch dessen Anwendungen anfallen, insbesondere Stamm- und Kontaktdaten, Bestell-, Vertrags- und Zahlungsdaten (ohne vollständige Kartendaten), Kommunikationsinhalte (E-Mail), Nutzungs- und Protokolldaten (IP-Adresse, Zeitstempel, aufgerufene URL, User-Agent). Besondere Kategorien nach Art. 9 DSGVO sind nicht Vertragsgegenstand; legt der Verantwortliche solche Daten ab, trägt er die Verantwortung für die Zulässigkeit.

3. Weisungsrecht des Verantwortlichen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich aus dem Hosting-Vertrag und den Einstellungen, die der Verantwortliche im Kundenportal vornimmt (z. B. Anlegen oder Löschen von Domains, Postfächern, Datenbanken, Backups). Darüber hinausgehende Weisungen sind in Textform an billing@utra.network zu richten. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich im Rahmen dieser Vereinbarung und der Weisungen; keine Nutzung für eigene Zwecke.
• Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
• Umsetzung und regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen nach Abschnitt 5 (Art. 32 DSGVO).
• Benennung eines Datenschutzbeauftragten, sofern gesetzlich erforderlich; Ansprechpartner für Datenschutz ist die unter Abschnitt 12 genannte Adresse.
• Unverzügliche Information des Verantwortlichen, wenn eine Aufsichtsbehörde oder ein Dritter Zugriff auf Daten des Verantwortlichen verlangt, soweit gesetzlich zulässig.
• Führung eines Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft mindestens folgende Maßnahmen nach Art. 32 DSGVO:

• Zutrittskontrolle: Betrieb der Server in zertifizierten Rechenzentren (Equinix, NTT; Frankfurt am Main) mit Zutrittskontrolle, Videoüberwachung und 24/7-Sicherheitspersonal.
• Zugangskontrolle: Administrativer Zugriff nur per SSH mit Schlüssel- bzw. Passwort-Authentifizierung über gesicherte Verbindungen; Kundenzugänge mit individuellen Passwörtern (Hash-Speicherung), Rate-Limiting und Sperre bei Fehlversuchen.
• Zugriffskontrolle: Strikte Trennung der Kundenkonten auf Betriebssystemebene (eigene Systembenutzer, getrennte PHP-Prozesse, open_basedir); Kundendaten sind für andere Kunden nicht zugänglich.
• Trennungskontrolle: Getrennte Datenbanken und Postfächer je Kunde; Mandantentrennung im Kundenportal.
• Weitergabekontrolle: TLS-Verschlüsselung für Websites (Let’s-Encrypt-Zertifikate), E-Mail (STARTTLS/TLS), SFTP, Kundenportal und API; verschlüsselte Übertragung der Backups.
• Verfügbarkeitskontrolle: Tägliche Sicherung aller Kundendaten; Kopie in ein zweites, räumlich getrenntes Rechenzentrum; Firewall, Fail2ban, Monitoring, USV und redundante Stromversorgung im Rechenzentrum.
• Eingabekontrolle: Protokollierung administrativer Vorgänge und Änderungen im Kundenportal.
• Löschkonzept: Fristen nach Abschnitt 11; Zugriffsprotokolle der Websites werden nach vier Wochen, Systemprotokolle nach zwölf Monaten gelöscht.

Die Maßnahmen können an den Stand der Technik angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz folgender Unterauftragsverarbeiter:

Die Rechenzentrumsbetreiber haben keinen logischen Zugriff auf die Daten; ihre Leistung beschränkt sich auf Stellfläche, Strom, Netzanbindung und physische Sicherheit. Weitere Unterauftragsverarbeiter werden nicht eingesetzt. Zahlungsdienstleister (PayPal, Stripe) verarbeiten ausschließlich Daten des Verantwortlichen selbst für die Abrechnung des Hosting-Vertrags und sind keine Unterauftragsverarbeiter im Sinne dieser Vereinbarung. Beabsichtigte Änderungen werden dem Verantwortlichen mindestens vier Wochen vorher per E-Mail mitgeteilt; der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichen Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten den Hosting-Vertrag zum Zeitpunkt der Änderung kündigen.

7. Verarbeitungsort

Die Verarbeitung findet ausschließlich in Deutschland statt (Hosting-Server und Backup-Server in Frankfurt am Main). Eine Übermittlung in Drittländer außerhalb des EWR erfolgt nicht. Wählt der Verantwortliche selbst Dienste in Drittländern (z. B. durch eingebundene Skripte oder E-Mail-Weiterleitungen), liegt dies in seiner Verantwortung.

8. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Mitteln bei der Erfüllung der Betroffenenrechte (Art. 12 bis 22 DSGVO), bei der Datenschutz-Folgenabschätzung und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, wird die Anfrage unverzüglich an den Verantwortlichen weitergeleitet. Der Verantwortliche kann die meisten Anfragen eigenständig über das Kundenportal, SFTP, phpMyAdmin und Webmail erledigen; weitergehender Aufwand wird nach dem jeweils gültigen Stundensatz vergütet.

9. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich, spätestens innerhalb von 36 Stunden nach Kenntnis, per E-Mail an die im Kundenkonto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die in Art. 33 Abs. 3 DSGVO genannten Angaben. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der Betroffenen obliegt dem Verantwortlichen.

10. Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind, insbesondere diese Beschreibung der technischen und organisatorischen Maßnahmen. Der Verantwortliche kann einmal jährlich sowie bei konkretem Anlass eine Überprüfung verlangen; diese erfolgt vorrangig durch schriftliche Auskunft oder Vorlage von Nachweisen (z. B. Zertifikate der Rechenzentren). Vor-Ort-Kontrollen sind mit angemessener Vorankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten möglich und dürfen den Betrieb und die Daten anderer Kunden nicht beeinträchtigen.

11. Löschung und Rückgabe

Der Verantwortliche kann seine Daten jederzeit während der Vertragslaufzeit per SFTP, Datenbank-Export und Backup-Download selbst sichern. Nach Beendigung des Hosting-Vertrags werden alle Kundendaten (Webspace, Datenbanken, Postfächer, DNS-Zonen) spätestens 30 Tage nach Vertragsende gelöscht, sofern der Verantwortliche nicht vorher die Löschung verlangt. Backups, die diese Daten enthalten, werden spätestens 30 Tage danach überschrieben. Von der Löschung ausgenommen sind Vertrags- und Abrechnungsdaten des Verantwortlichen selbst, die gesetzlichen Aufbewahrungspflichten unterliegen.

12. Haftung, Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO sowie die Haftungsregelung der AGB. Änderungen dieser Vereinbarung bedürfen der Textform. Bei Widersprüchen zwischen dieser Vereinbarung und den AGB gehen die Regelungen dieser Vereinbarung in Datenschutzfragen vor. Es gilt deutsches Recht.

Kontakt für Datenschutzfragen und Weisungen:
UTRANET GbR, Kleine Schmidtgasse 1, 63571 Gelnhausen
E-Mail: billing@utra.network

Diese Seite kann über die Druckfunktion des Browsers als PDF gespeichert werden und dient als Nachweis gemäß Art. 28 Abs. 9 DSGVO.