Vereinbarung zur Auftragsverarbeitung

1. Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten beim Hosting und bei der Betreuung der im Betreuungsauftrag bezeichneten Website. Kontaktanfragen werden über den Server des Auftragnehmers entgegengenommen und weitergeleitet. Die Vereinbarung gilt für die Laufzeit des Betreuungsauftrags sowie bis zur Rückgabe oder Löschung der Daten.

2. Daten, Betroffene und Zweck

• Daten: Kontaktdaten und Nachrichteninhalte aus Kontaktformularen sowie personenbezogene Website-Inhalte. Fehlerprotokolle enthalten keine Formularinhalte.
• Betroffene: Website-Besucher, Anfragende, Beschäftigte und Ansprechpartner des Auftraggebers sowie auf der Website dargestellte Personen.
• Zweck: Hosting, Sicherung, Pflege, Aktualisierung und technische Überwachung der Website sowie Entgegennahme und Weiterleitung von Kontaktanfragen.
• Besondere Kategorien personenbezogener Daten werden nur verarbeitet, soweit der Auftraggeber sie über die Formularfelder seiner Website erhebt. Sie werden im unterzeichneten Exemplar ausdrücklich benannt; ohne eine solche Benennung werden keine verarbeitet.

3. Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung des Auftraggebers, sofern keine gesetzliche Pflicht zur Verarbeitung besteht.
• Vertraulichkeit, angemessene technische und organisatorische Maßnahmen sowie Unterstützung bei Betroffenenanfragen und den Pflichten nach Art. 32 bis 36 DSGVO.
• Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten nach Kenntnis.
• Nach Abschluss Rückgabe oder Löschung einschließlich Kopien nach Wahl des Auftraggebers, soweit keine gesetzliche Aufbewahrungspflicht besteht.

4. Unterauftragsverarbeiter

Genehmigt sind die in Anhang III genannten Unterauftragsverarbeiter. Neue oder ersetzende Unterauftragsverarbeiter bedürfen der vorherigen gesonderten Genehmigung in Textform. Der Auftragnehmer verpflichtet sie vertraglich auf dieselben Datenschutzpflichten, soweit ihre Tätigkeit betroffen ist.

5. Drittlandübermittlung

Der Auftragnehmer hat seinen Sitz im Kosovo. Es gelten die EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914, Modul 2, die durch Bezugnahme Bestandteil dieser Vereinbarung sind. Klausel 7 und die fakultative Option in Klausel 11 finden keine Anwendung; in Klausel 9 und Klausel 17 gilt jeweils Option 1. Bei Widersprüchen gehen die Standardvertragsklauseln vor.

6. Weisungen, Nachweis und Löschung

Weisungen erfolgen in Textform. Der Auftragnehmer stellt die Informationen zum Nachweis der Pflichterfüllung bereit und ermöglicht Überprüfungen. Kontaktanfragen werden unverzüglich nach Versand bzw. Weiterleitung gelöscht. Sicherungen werden rollierend sieben Tage bei Hetzner und auf dem Server sowie acht Wochen für die Kopie außerhalb aufbewahrt. Zugriffsprotokolle werden nicht geführt. Die Löschung ist zu bestätigen.

Anhang I — Beschreibung der Übermittlung

A. Parteien

• Datenexporteur: der im Betreuungsauftrag benannte Auftraggeber; Rolle: Verantwortlicher.
• Datenimporteur: ARO Digital Group LLC (Marke: ossma), Behar Begolli 2, 10000 Prishtina, Kosovo; Kontakt: Arion Osmani, info@ossma.de; Rolle: Auftragsverarbeiter.

B. Übermittlung

• Kategorien, Betroffene und Zweck gemäß Ziffer 2. Häufigkeit: fortlaufender Website-Betrieb sowie anlassbezogene Betreuung und Fehlerbehebung.
• Art: Hosting bei Hetzner in Nürnberg, Sicherung, Entgegennahme und Weiterleitung von Kontaktanfragen sowie Fernzugriff aus dem Kosovo im Rahmen der Betreuung.
• Dauer: Laufzeit des Betreuungsauftrags und anschließende Rückgabe oder Löschung gemäß Ziffer 6.

C. Zuständige Aufsichtsbehörde

Zuständig ist die Datenschutzaufsichtsbehörde des Auftraggebers. Sie wird im unterzeichneten Exemplar namentlich benannt.

Anhang II — Technische und organisatorische Maßnahmen

• Server in Deutschland (Hetzner, Nürnberg), Firewall aktiv.
• Zugang nur per SSH-Schlüssel, Passwort-Anmeldung abgeschaltet, Schutz gegen wiederholte Anmeldeversuche.
• Sicherheitsupdates automatisch.
• Jede Website läuft unter einem eigenen Systembenutzer; PHP darf die Seitendateien nicht verändern.
• Verbindungen ausschließlich verschlüsselt (TLS).
• Keine Zugriffsprotokolle des Webservers.
• Formularanfragen nur bis zum Versand gespeichert, Ordner je Seite getrennt.
• Täglicher Server-Snapshot bei Hetzner mit sieben Ständen, jede Nacht eine Sicherung der Website-Dateien und Konfiguration auf dem Server mit sieben Ständen sowie wöchentlich eine Kopie außerhalb des Rechenzentrums auf einem Gerät des Auftragnehmers im Kosovo mit acht Ständen.
• Überwachung alle fünf Minuten, stündlich zusätzlich von außerhalb.
• Gerät des Auftragnehmers: Windows-PC mit vollständiger Festplattenverschlüsselung (BitLocker) und passwortgeschützter Anmeldung.

Anhang III — Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland. Tätigkeit: Server-Hosting und tägliche Server-Snapshots; Rechenzentrum Nürnberg, Deutschland.
• Resend (Plus Five Five, Inc., USA), soweit im Betreuungsauftrag angekreuzt. Tätigkeit: Versand von Kontaktformular-E-Mails; Senderegion EU/Irland.