Auftragsverarbeitungsvertrag
Hinweis: Dies ist ein Muster nach Art. 28 Abs. 3 DSGVO. Es ersetzt keine anwaltliche Prüfung. Für einen gesondert unterzeichneten Vertrag stellt der Betreiber eine eigene Ausfertigung bereit.
1. Parteien und Rollen
Verantwortlicher ist der Kunde, der in Klopfwerk ein Konto anlegt und Monitoring-Ziele verwaltet. Auftragsverarbeiter ist Robert Trepte, c/o MDC Management#1781, Welserstraße 3, 87463 Dietmannsried („Klopfwerk“).
Klopfwerk verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Kunden, soweit dies zur Erbringung der Monitoring-Leistung erforderlich ist.
2. Gegenstand und Dauer
Gegenstand ist die Überwachung der vom Kunden angelegten Ziele, die Speicherung von Messergebnissen, die Alarmierung und – auf Freigabe des Kunden – die Veröffentlichung von Statusseiten. Die Dauer entspricht der Laufzeit des Hauptvertrags; sie endet mit dessen Beendigung und der Löschung bzw. Rückgabe der Daten.
3. Art und Zweck der Verarbeitung
Automatisierte Abfragen der vom Kunden konfigurierten Ziele, Auswertung von Antwortzeiten und Zuständen, Erkennung von Änderungen, Versand von Alarmen, Bereitstellung von Verläufen und Statusseiten sowie Aufbewahrung entsprechend den vom Kunden eingestellten Fristen.
4. Datenkategorien und Betroffene
Verarbeitet werden je nach Konfiguration des Kunden:
- Ziel- und Verbindungsdaten (Hostnamen, IP-Adressen, URLs, Ports),
- technische Messdaten (Statuscodes, Antwortzeiten, Zertifikatsdaten),
- Antwortinhalte, soweit der Kunde Rohinhalte speichern lässt,
- Zugangsdaten für überwachte Systeme (verschlüsselt gespeichert),
- E-Mail-Adressen und Webhook-URLs für Alarmierungen.
Betroffene können der Kunde selbst, seine Beschäftigten, Kunden oder sonstige Nutzer der überwachten Systeme sein. Die konkrete Auswahl trifft der Kunde.
5. Weisungsbindung
Klopfwerk verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, eine gesetzliche Pflicht verlangt etwas anderes. Die Konfiguration in der Weboberfläche gilt als Weisung. Ist Klopfwerk der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert es den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
6. Vertraulichkeit und Berechtigungen
Zugriff haben nur Personen, die ihn für die Vertragserfüllung benötigen. Sie sind zur Vertraulichkeit verpflichtet. Zugriffe werden auf das Notwendige beschränkt; Administrationsrechte liegen beim Betreiber.
7. Technische und organisatorische Maßnahmen
Klopfwerk trifft insbesondere folgende Maßnahmen (Einzelheiten im Anhang „TOM“):
- TLS für die Übertragung, HSTS und sichere Cookies,
- Passwort-Hashing mit bcrypt, verschlüsselte Speicherung von Monitor-Zugangsdaten und Webhook-Secrets,
- Zugriffsbeschränkung, Sitzungsablauf und Schutz vor Rate-Angriffen,
- Filterung von Geheimnissen in Logs und Protokollen,
- verschlüsselte Backups und dokumentiertes Löschkonzept,
- regelmäßige Aktualisierung von Abhängigkeiten und Sicherheitsprüfungen.
Die Maßnahmen dürfen das Schutzniveau nicht unterschreiten. Änderungen sind zulässig, wenn sie mindestens gleichwertig sind.
8. Subunternehmer
Der Kunde stimmt dem Einsatz der unten genannten Dienstleister zu. Beabsichtigt Klopfwerk, einen Subunternehmer hinzuzunehmen oder zu ersetzen, informiert es die Inhaber des Kontos mindestens 14 Tage vor dem Wirksamwerden per E-Mail (Art. 28 Abs. 2 DSGVO). Die Mail nennt den Dienstleister, die Leistung, die betroffenen Daten, das Datum des Inkrafttretens und die neue Version dieses Vertrags; ab dem genannten Datum steht die neue Version auf dieser Seite. Der Kunde kann der Änderung aus wichtigem Grund in Textform an datenschutz@klopfwerk.de widersprechen. Subunternehmer werden nur eingesetzt, wenn sie dieselben Pflichten übernehmen.
Es werden folgende Subunternehmer eingesetzt:
| Dienstleister | Sitz | Leistung | Daten |
|---|---|---|---|
| netcup GmbH | Karlsruhe, Deutschland | Hosting und Betrieb der Server | alle Anwendungsdaten |
| seven.io | Deutschland | SMS-Versand | Telefonnummern, SMS-Inhalte |
| Probe-Standorte außerhalb der EU | je Standort | Durchführung von Messungen | Ziel- und Verbindungsdaten, nur bei ausdrücklicher Buchung |
| E-Mail-Versand | — | eigener Mailserver des Betreibers | kein externer Dienstleister |
Der SMS-Versand über seven.io wird erst aufgenommen, wenn mit seven.io ein Vertrag nach Art. 28 DSGVO geschlossen ist. Bis dahin werden keine Telefonnummern oder SMS-Inhalte an seven.io übermittelt.
Die Abrechnung über den Zahlungsdienstleister Creem.io ist geplant, aber nicht aufgenommen. Vor der Einführung wird geklärt, ob Creem.io Auftragsverarbeiter ist oder als Merchant of Record die Zahlungsdaten als eigener Verantwortlicher verarbeitet. Ist Creem.io Auftragsverarbeiter, wird es hier als Subunternehmer aufgenommen und der Kunde vorher informiert; dann gilt dieser Vertrag entsprechend. Bis dahin fließen keine Zahlungsdaten an Creem.io.
9. Unterstützung bei Betroffenenrechten
Klopfwerk unterstützt den Kunden mit den im Dienst verfügbaren Exportfunktionen und technischen Möglichkeiten, damit dieser Auskunfts-, Löschungs-, Berichtigungs- und Übertragbarkeitsansprüche erfüllen kann. Anfragen, die Klopfwerk direkt erreichen und erkennbar Monitoring-Daten betreffen, leitet Klopfwerk an den Kunden weiter, soweit keine gesetzliche Pflicht entgegensteht.
10. Meldung von Verletzungen
Klopfwerk meldet dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, jede Verletzung des Schutzes personenbezogener Daten, die Daten des Kunden betrifft. Die Meldung enthält mindestens Art der Verletzung, betroffene Daten und Empfängerkategorien, mögliche Folgen und ergriffene Maßnahmen. Wo Angaben noch fehlen, werden sie nachgereicht.
11. Löschung und Rückgabe
Nach Beendigung des Hauptvertrags löscht Klopfwerk die Daten nach der vereinbarten Frist, soweit keine gesetzliche Aufbewahrungspflicht besteht, und bestätigt die Löschung auf Anfrage. Der Kunde kann vorher einen Export anfordern. Backups werden mit der nächsten Rotation bereinigt. Einzelheiten regelt das Löschkonzept.
12. Kontrollrechte
Der Kunde darf die Einhaltung der Pflichten in angemessenem Umfang prüfen, nach Vorankündigung und ohne Störung des Betriebs. Klopfwerk stellt dafür die erforderlichen Informationen bereit. Ergebnisberichte anerkannter Prüfer können herangezogen werden, soweit sie den Dienst abdecken.
13. Haftung
Die Haftung richtet sich nach dem Hauptvertrag und den gesetzlichen Vorschriften, insbesondere Art. 82 DSGVO. Die Haftungsregelungen der AGB gelten entsprechend.
14. Anhänge
Anhang 1 (Technische und organisatorische Maßnahmen) ist Abschnitt 7, Anhang 2 (Subunternehmer) ist Abschnitt 8. Der Vertrag kommt mit der Nutzung des Dienstes zustande; auf Wunsch stellt der Betreiber eine gesonderte Ausfertigung zur Unterzeichnung bereit.