Auftragsverarbeitung

1. Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch Digitmedia e.K. (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher) im Rahmen der Bereitstellung von UptimeNinja. Der Auftragsverarbeiter verarbeitet die betroffenen Daten ausschließlich zur Erbringung des Monitoring-Dienstes. Die Dauer dieses Vertrags entspricht der Dauer des Nutzungsverhältnisses zwischen den Parteien.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere das Speichern von Monitor-Konfigurationen, das Ausführen von HTTP-Prüfungen und API-Workflows, das Speichern von Laufdaten, das Erzeugen von Incidents, den Versand von Benachrichtigungen sowie die Herausgabe von Daten auf Verlangen des Verantwortlichen nach Abschnitt 9.

3. Kategorien betroffener Personen und Daten

Betroffen sind Beschäftigte und Kunden des Verantwortlichen, soweit deren personenbezogene Daten in Zieladressen, Headern, Request-Inhalten, Prüfregeln oder Benachrichtigungstexten enthalten sind.

4. Weisungsrecht

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung etwas anderes vorsieht. Der Verantwortliche erteilt Weisungen in Textform an support@digitmedia.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen darauf hin und darf die Ausführung der Weisung nach Art. 28 Abs. 3 Satz 3 DSGVO bis zu deren Bestätigung oder Änderung aussetzen.

5. Vertraulichkeit

Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung befassten Personen auf die Vertraulichkeit und stellt sicher, dass diese das Datengeheimnis wahren. Diese Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

6. Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf diese Maßnahmen im Zuge der technischen Weiterentwicklung anpassen, solange das vereinbarte Schutzniveau dabei nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt die in Anlage 2 genannten Unterauftragsverarbeiter ein; der Verantwortliche stimmt deren Einsatz mit Abschluss dieses Vertrags zu. Beabsichtigt der Auftragsverarbeiter, einen Unterauftragsverarbeiter auszutauschen oder hinzuzuziehen, kündigt er dies rechtzeitig vorher an. Der Verantwortliche kann der Änderung aus wichtigem Grund innerhalb einer angemessenen Frist widersprechen.

8. Unterstützung des Auftraggebers

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen und Zumutbaren bei der Erfüllung von Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei der damit verbundenen vorherigen Konsultation der Aufsichtsbehörde. Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er dies dem Verantwortlichen unverzüglich nach Kenntniserlangung.

9. Löschung und Rückgabe

Der Verantwortliche entscheidet nach Art. 28 Abs. 3 lit. g DSGVO, ob die im Auftrag verarbeiteten personenbezogenen Daten nach Beendigung dieses Vertrags gelöscht oder herausgegeben werden. Verlangt er bis zur Beendigung in Textform an support@digitmedia.de die Herausgabe, stellt der Auftragsverarbeiter ihm die Daten in einem gängigen, maschinenlesbaren Format bereit.

Ohne eine solche Wahl löscht der Auftragsverarbeiter die Daten entsprechend den in der Datenschutzerklärung beschriebenen Löschroutinen und Fristen. Die Löschung gilt nicht, soweit gesetzliche Aufbewahrungspflichten ihr entgegenstehen; in diesem Fall beschränkt der Auftragsverarbeiter die Verarbeitung auf den jeweiligen Aufbewahrungszweck.

10. Nachweise und Kontrollen

Der Auftragsverarbeiter weist die Einhaltung der in diesem Vertrag vereinbarten Pflichten auf Anfrage in Textform nach. Der Verantwortliche kann die Einhaltung nach angemessener vorheriger Ankündigung selbst oder durch einen beauftragten Dritten kontrollieren, soweit dies den Betrieb des Auftragsverarbeiters für andere Kunden nicht beeinträchtigt.

11. Haftung

Für die Haftung im Zusammenhang mit der Verarbeitung personenbezogener Daten gilt Art. 82 DSGVO. Im Übrigen gilt die Haftungsregelung der Allgemeinen Geschäftsbedingungen.

12. Rangfolge

Soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht, geht dieser Vertrag den Allgemeinen Geschäftsbedingungen vor. Im Übrigen bleiben die Allgemeinen Geschäftsbedingungen unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die folgenden technischen und organisatorischen Maßnahmen, gegliedert nach den Kategorien des Art. 32 DSGVO:

• Pseudonymisierung und Verschlüsselung: Verschlüsselte Übertragung über HTTPS, verschlüsselt gespeicherte Secrets, mit Argon2id und einem serverseitigen Geheimnis gehashte Passwörter sowie gehashte Sitzungstoken.
• Vertraulichkeit: Strikte Trennung der Daten verschiedener Benutzer, Zugriffsbeschränkungen sowie Schutz vor unzulässigen Zieladressen bei ausgeführten Prüfungen.
• Integrität: Sicherheitsprotokollierung und Audit-Ereignisse, die keine Secret-Werte enthalten.
• Verfügbarkeit und Belastbarkeit: Betrieb auf Infrastruktur der Hetzner Online GmbH, regelmäßige Sicherungen sowie automatisierte Löschroutinen.
• Verfahren zur Überprüfung: Der Betriebsleitfaden legt fest, dass ein Wiederherstellungstest Anmeldung, Secret-Entschlüsselung, Monitor-Scheduling, Incident-Evaluation und Benachrichtigungszustellung abdecken muss.

Anlage 2 – Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt den folgenden Unterauftragsverarbeiter ein:

Die folgenden naheliegenden Kandidaten stehen aus diesen Gründen nicht in dieser Liste:

• Der Zahlungsdienstleister Stripe erhält keine Kundeninhalte aus Monitor-Konfigurationen, Request-Inhalten oder Benachrichtigungen; er ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags. Zur Verarbeitung der Abrechnungsdaten, für die Digitmedia e.K. selbst verantwortlich ist, gilt die Datenschutzerklärung.
• Der Versand von E-Mail-Benachrichtigungen erfolgt über die von Digitmedia e.K. selbst betriebene SMTP-Infrastruktur unter mail.skahost.de; insoweit liegt keine Beauftragung eines Dritten vor.
• Pushover wird erst durch die ausdrückliche Aktivierung des Kunden einbezogen und handelt dann auf dessen eigene Veranlassung, nicht als Unterauftragsverarbeiter des Auftragsverarbeiters.