§ 1 Gegenstand und Dauer der Verarbeitung

Der Auftraggeber beauftragt den Auftragsverarbeiter mit der Verarbeitung personenbezogener Daten im Rahmen folgender Leistungen:
– IT-Systembetreuung und Wartung
– Microsoft 365 / Exchange Online Administration
– Web- und E-Mail-Hosting
– Backup-Services und Monitoring
– Remote- und Vor-Ort-Support

Die Laufzeit dieses Vertrags entspricht der Dauer des zugrunde liegenden Hauptvertrags. Nach dessen Beendigung werden die personenbezogenen Daten gemäß § 9 gelöscht oder zurückgegeben.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung erfolgt ausschließlich zur Erfüllung der oben genannten Dienstleistungen im Auftrag des Verantwortlichen. Eine eigenständige Nutzung oder Weitergabe erfolgt nicht.

§ 3 Art der Daten / Kategorien betroffener Personen

Datenarten: Kontaktdaten, Kommunikationsdaten, Zugangsdaten, Vertrags- und Abrechnungsdaten, Protokolldaten

Betroffene Personen: Mitarbeiter, Kunden, Lieferanten, Nutzer von IT-Systemen des Auftraggebers

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich,

personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten,

alle zur Verarbeitung befugten Personen auf Vertraulichkeit zu verpflichten,

geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO umzusetzen,

den Auftraggeber bei Betroffenenrechten und Meldepflichten zu unterstützen,

Datenschutzverletzungen unverzüglich zu melden,

Daten nach Abschluss des Auftrags zu löschen oder zurückzugeben.

§ 5 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter gewährleistet ein dem Risiko angemessenes Schutzniveau, insbesondere durch:

Zugangskontrolle zu Serverräumen und Admin-Systemen

Verschlüsselung (TLS ≥ 1.2, Datenträger-Verschlüsselung)

Firewall-, Viren- und Spam-Schutz

Mehr-Faktor-Authentifizierung

Backup- und Wiederherstellungskonzepte

Rollentrennung und Protokollierung administrativer Zugriffe

Regelmäßige Sicherheits-Updates

Ein detailliertes TOM-Verzeichnis ist diesem Vertrag als Anlage 1 beigefügt und bildet einen Bestandteil des Vertrags.

§ 6 Einsatz von Unterauftragsverarbeitern

Der Auftragsverarbeiter darf Unterauftragsverarbeiter einsetzen, sofern diese den Anforderungen der DSGVO genügen.

Der Auftraggeber wird über Änderungen informiert und kann widersprechen.

Aktuell eingesetzte Unterauftragsverarbeiter:
– Microsoft Ireland Operations Ltd. (Microsoft 365)
– Hornetsecurity GmbH (E-Mail-Security)
– Hetzner Online GmbH / IONOS SE (Hosting)
– Alamos GmbH (Alarmierungs-/Cloud-Dienste, falls im Einsatz)

§ 7 Rechte und Pflichten des Auftraggebers

Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO.
Er ist berechtigt, die Einhaltung der vertraglichen und gesetzlichen Pflichten beim Auftragsverarbeiter zu prüfen.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter informiert den Auftraggeber unverzüglich über jede Verletzung des Schutzes personenbezogener Daten mit Angabe von Art, Umfang, Folgen und getroffenen Maßnahmen.

§ 9 Beendigung der Verarbeitung

Nach Abschluss der vereinbarten Leistungen werden sämtliche personenbezogenen Daten:

auf Wunsch gelöscht oder

dem Auftraggeber in einem gängigen Format zurückgegeben.

Protokolle über Löschung oder Rückgabe werden dokumentiert.

§ 10 Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Schrift- oder elektronischen Form.

Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters.