Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag zur Auftragsverarbeitung gemäß Art. 28 DSGVO (nachfolgend „AVV“) ist Bestandteil des Vertrags zwischen dem Kunden (nachfolgend „Verantwortlicher“) und Dunja Al-Kuwaiti, Germaniastraße 148, 45355 Essen (nachfolgend „Auftragsverarbeiter“) über die Nutzung der FastWall-Dienste. Er gilt automatisch mit Vertragsschluss für alle Leistungen, bei denen der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand der Verarbeitung ist der Betrieb der FastWall-Schutzdienste, insbesondere: Weiterleitung und Filterung des Web-Traffics der Kunden-Domains (Shield-Proxy, WAF, Bot-Schutz, Rate Limiting), Durchführung beauftragter Sicherheitsprüfungen (Security Checks) sowie das Captcha auf Seiten des Verantwortlichen.

(2) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Sie endet mit dessen Beendigung, soweit dieser AVV nichts anderes bestimmt.

§ 2 Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Art und Zweck: Entgegennahme, Analyse, Filterung und Weiterleitung von HTTP(S)-Anfragen zum Schutz der Systeme des Verantwortlichen vor Angriffen, Missbrauch und Bots; Protokollierung sicherheitsrelevanter Ereignisse; Durchführung vereinbarter Schwachstellen-Scans.

(2) Datenarten: IP-Adressen, User-Agent- und Browser-Informationen, angefragte URLs, HTTP-Header, Geo-Informationen (aus der IP-Adresse abgeleitet), sicherheitsrelevante Anfrage-Inhalte (z. B. bei WAF-Prüfungen), Captcha-Interaktionssignale.

(3) Kategorien betroffener Personen: Besucher und Nutzer der Websites, Web-Apps und APIs des Verantwortlichen.

§ 3 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. Die Konfiguration der Dienste über das Dashboard gilt als Weisung.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen, insbesondere: TLS-Verschlüsselung sämtlicher Übertragungen, Zugriffskontrolle mit Zwei-Faktor-Authentifizierung, rollenbasierte Berechtigungen, Protokollierung administrativer Zugriffe (Audit-Log), Härtung und regelmäßige Aktualisierung der eingesetzten Systeme, Trennung der Kundendaten (Mandantentrennung), regelmäßige Datensicherungen sowie kurze Speicherfristen für Traffic-Protokolle. Die Maßnahmen werden dem Stand der Technik entsprechend fortlaufend weiterentwickelt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Derzeit eingesetzt werden: Hosting-/Infrastruktur-AnbieterOVH SAS, 2 rue Kellermann, 59100 Roubaix, Frankreich (Server-Betrieb, Serverstandort Deutschland/EU) sowie Resend Inc. (E-Mail-Versand, USA — Absicherung über EU-Standardvertragsklauseln).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 7 Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit dies möglich und erforderlich ist.

§ 8 Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, und stellt die für die Meldung nach Art. 33 DSGVO erforderlichen Informationen zur Verfügung.

§ 9 Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — in der Regel durch Beantwortung schriftlicher Anfragen oder Vorlage geeigneter Nachweise.

§ 10 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht. Traffic-Protokolle werden bereits während der Laufzeit nach kurzen Fristen automatisch gelöscht (siehe Datenschutzerklärung).

§ 11 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht dieser AVV hinsichtlich der Verarbeitung personenbezogener Daten vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.