Vereinbarung zur Auftragsverarbeitung

1. Parteien und Geltungsbereich

Verantwortlicher ist der Kunde, der diese Vereinbarung mit einem Auftrag einbezieht. Auftragsverarbeiter ist die /dev/null GmbH, Rosa-Luxemburg-Straße 37, 14482 Potsdam, Deutschland, Amtsgericht Potsdam, HRB 42272 P. Datenschutzkontakt ist Geschäftsführer Gregor Bigalke unter abuse@d0.eu.

Diese Vereinbarung gilt für Kundeninhalte in verwalteten Kubernetes-Clustern, S3-kompatiblem Objektspeicher und devacc sowie für personenbezogene Daten, die wir bei beauftragter Entwicklung, Migration, IT-Sicherheit oder Betriebsunterstützung nach Weisung des Kunden bearbeiten. Der Auftrag oder seine Leistungsbeschreibung bestimmt, welche Leistungen, Systeme und Datenbestände betroffen sind. Für eigene Konto-, Vertrags-, Support- und Abrechnungszwecke handeln wir als eigener Verantwortlicher. Die Übermittlung von Registrierungsdaten an Registrar und Registry und die Zahlungsabwicklung durch Mollie gehören nicht zu dieser Auftragsverarbeitung.

2. Gegenstand, Dauer und Datenkategorien

Gegenstand ist die Bereitstellung, Speicherung, Übermittlung, Sicherung, Bearbeitung, Rückgabe und Löschung der Daten, soweit dies für die bestellte Leistung erforderlich ist. Die Verarbeitung beginnt mit Bereitstellung oder Übergabe der Daten und endet nach Abschluss der in Abschnitt 7 geregelten Rückgabe und Löschung. Laufzeit und Beendigung der Leistung richten sich nach dem Auftrag und den AGB. Bei Kubernetes und S3 kann der Kunde jederzeit kündigen; für devacc und Einzelprojekte gelten die vereinbarten Laufzeiten. Die monatliche Abrechnung verlängert diese Verarbeitungsdauer nicht.

Betroffen sein können Namen, Kontakt- und Adressdaten, Nutzerkennungen, Berechtigungen, technische Kennungen und Protokolldaten sowie Inhalte von Anwendungen, Dateien, Objekten, Buchungsjournalen und Dokumenten. Bei Cloud-Leistungen bestimmen die vom Kunden eingestellten Inhalte die konkreten Datenarten; bei Projektleistungen der vereinbarte Arbeitsgegenstand. Betroffene sind insbesondere Beschäftigte, Nutzer, Kunden, Geschäftspartner und sonstige Kontakte des Kunden. Besondere Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nur umfasst, wenn der Auftrag sie ausdrücklich vorsieht und der dafür erforderliche Schutz festgelegt ist.

3. Weisungen und Pflichten des Kunden

Der Kunde bestimmt Zwecke und Rechtsgrundlagen seiner Verarbeitung, informiert Betroffene und erteilt dokumentierte Weisungen. Der Auftrag und spätere Weisungen in Textform sind dokumentierte Weisungen; mündliche Eilweisungen werden nachträglich dokumentiert. /dev/null verarbeitet die Auftragsdaten ausschließlich danach, auch bei einer Übermittlung in ein Drittland, sofern nicht Unionsrecht oder mitgliedstaatliches Recht eine andere Verarbeitung verlangt. In diesem Fall informiert /dev/null den Kunden vorab, soweit das Recht dies nicht aus wichtigem öffentlichem Interesse verbietet.

Hält /dev/null eine Weisung für datenschutzrechtswidrig, informiert es den Kunden unverzüglich. Der Kunde stellt die für sichere Verarbeitung nötigen Angaben zum Schutzbedarf bereit und nutzt die vereinbarten Wege zur Datenübermittlung.

4. Vertraulichkeit und Sicherheit

/dev/null gewährt Zugang nur Personen, die für die Leistung zuständig und zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterworfen sind. Es trifft unter Berücksichtigung von Risiko, Stand der Technik, Implementierungskosten sowie Art und Umfang der Verarbeitung die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen und weitere nach Art. 32 DSGVO erforderliche Maßnahmen. Änderungen dürfen das Schutzniveau nicht absenken. Kann /dev/null eine für den Auftrag erforderliche Maßnahme nicht gewährleisten, informiert es den Kunden vor der betroffenen Verarbeitung.

5. Unterauftragsverarbeiter und internationale Übermittlungen

Der Kunde erteilt eine allgemeine Genehmigung für den in Anlage 2 bezeichneten Unterauftragsverarbeiter. Über weitere Anbieter oder wesentliche Änderungen ihrer Aufgabe oder ihres Verarbeitungsorts informiert /dev/null mindestens 30 Kalendertage vor dem geplanten Einsatz über Identität, Aufgabe, Verarbeitungsort und geplanten Beginn. Der Kunde kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Bis zur Klärung werden die betroffenen Daten nicht an den neuen Unterauftragsverarbeiter übergeben. Lässt sich der Widerspruch nicht durch eine zumutbare Alternative lösen, kann der Kunde die betroffene Leistung vor dessen Einsatz beenden. /dev/null bleibt dem Kunden für die Erfüllung der Datenschutzpflichten des Unterauftragsverarbeiters verantwortlich.

Die Genehmigung entbindet /dev/null nicht davon, einen Unterauftragsverarbeiter vor dem Einsatz für Auftragsdaten durch einen Vertrag nach Art. 28 Abs. 4 DSGVO auf im Wesentlichen gleiche Datenschutzpflichten zu verpflichten und ausreichende Garantien zu prüfen. Eine Übermittlung oder ein Zugriff außerhalb des EWR erfordert zusätzlich eine dokumentierte Weisung und eine tragfähige Grundlage nach Kapitel V DSGVO; ein deutscher Serverstandort schließt Auslandszugriffe nicht aus.

6. Mitwirkung und Nachweise

/dev/null unterstützt den Kunden unter Berücksichtigung der verfügbaren Informationen und der Art der Verarbeitung bei Anfragen betroffener Personen, bei Sicherheit und Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Es meldet dem Kunden eine Verletzung des Schutzes von Auftragsdaten unverzüglich nach Bekanntwerden und liefert die verfügbaren Angaben für dessen gesetzliche Pflichten nach. Meldungen an Behörden oder Betroffene verantwortet der Kunde, soweit das Gesetz nichts anderes bestimmt.

/dev/null stellt die zum Nachweis dieser Vereinbarung erforderlichen Informationen bereit und ermöglicht angemessene, angekündigte Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Vertraulichkeit verpflichteten Prüfer. Prüfungen dürfen den Betrieb und die Rechte anderer Kunden nicht unnötig beeinträchtigen. Gesetzliche Kontrollrechte bleiben unberührt.

7. Rückgabe und Löschung

Auf Wunsch des Kunden gibt /dev/null die Auftragsdaten in einem vereinbarten, nutzbaren Format zurück. Bei Kubernetes umfasst dies vom Kunden eingebrachte Manifeste und Konfigurationen sowie persistente Anwendungsdaten in gängigen maschinenlesbaren Formaten, bei S3 Objekte und Metadaten über die S3-kompatible Schnittstelle. Bei devacc und Projektleistungen bestimmen Auftrag und Leistungsbeschreibung den Umfang der Rückgabe. Der Kunde kann stattdessen die Löschung wählen; eine vorzeitige unwiederbringliche Löschung und ihre Folgen bestätigt /dev/null vor Ausführung. Rückgabe und Löschung sind getrennte Pflichten.

Bei einem vom EU Data Act erfassten Wechsel einer Datenverarbeitungsleistung gelten die Übergangs- und Abrufrechte nach den AGB: eine Übergangsphase von grundsätzlich höchstens 30 Kalendertagen und danach mindestens 30 Kalendertage zum Abruf. Nach Ablauf der Abruffrist löscht /dev/null die betroffenen Daten aus produktiven Systemen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Ohne Anbieterwechsel erhält der Kunde eine angemessene Gelegenheit zur Rückgabe; anschließend werden die Daten gelöscht. Gesetzliche Aufbewahrung bleibt auf erforderliche Daten und Zwecke beschränkt.

Soweit Sicherungskopien für die Leistung vereinbart oder angelegt werden, sind sie vor laufender Nutzung zu schützen und spätestens 30 Kalendertage nach ihrer Erstellung zu löschen oder zu überschreiben. Ab Ende der Abruffrist werden keine neuen Sicherungen der zu löschenden Daten angelegt; spätestens 30 Kalendertage danach sind die verbliebenen Kopien vollständig gelöscht. Bei einer Wiederherstellung werden bereits erfolgte Löschungen erneut angewandt.

Anlage 1 – technische und organisatorische Maßnahmen

Zugriff auf Auftragsdaten wird auf den dokumentierten Bedarf beschränkt. Berechtigungen werden rollenbezogen vergeben, regelmäßig geprüft und entzogen, sobald sie nicht mehr benötigt werden. Administrative Zugänge werden durch starke Authentisierung geschützt. Übertragungen über öffentliche Netze werden verschlüsselt; Schlüssel und Geheimnisse werden zugriffsbeschränkt verwahrt. Kundenumgebungen werden voneinander getrennt. Physische Sicherung und Zutrittsschutz am Serverstandort werden durch entsprechende Pflichten des Infrastrukturproviders abgesichert.

Sicherheitsrelevante Aktualisierungen und Schwachstellen werden nach Risiko bearbeitet. Vorfälle werden dokumentiert und über einen festgelegten Prozess gemeldet. Routineprotokolle werden auf erforderliche Angaben begrenzt und spätestens sieben Tage nach Erhebung gelöscht. Vorfallbelege werden getrennt und zugriffsbeschränkt nur solange aufbewahrt, wie ihr Zweck dies erfordert; ihre Erforderlichkeit wird mindestens vierteljährlich geprüft.

Soweit eine Datensicherung geschuldet oder eingerichtet wird, gelten die Fristen aus Abschnitt 7; ihre Wiederherstellbarkeit wird regelmäßig und dokumentiert geprüft. Die Wirksamkeit der Maßnahmen wird regelmäßig überprüft und an veränderte Risiken angepasst.

Anlage 2 – Unterauftragsverarbeiter

Netrouting B.V., Niederlande, stellt die Serverinfrastruktur für die betroffenen Cloud-Leistungen bereit. Serverstandort ist Deutschland. Die Genehmigung nach Abschnitt 5 umfasst diese Infrastrukturleistung; für den Einsatz und Änderungen gelten die dort geregelten Datenschutzpflichten und Informationsrechte.