Vereinbarung zur Auftragsverarbeitung

Wann dies gilt

Diese Vereinbarung gilt, wenn Sie einen von Gelhaus Solutions betriebenen gehosteten Dienst nutzen und dabei personenbezogene Daten anderer Menschen einbringen — Ihrer Mitglieder, Ihrer Beschäftigten, Ihrer Nutzerinnen und Nutzer, der Personen, die Ihnen Schwachstellen melden. In der Sprache des Art. 28 DSGVO sind Sie der Verantwortliche und wir der Auftragsverarbeiter.

Für Software, die Sie auf eigener Infrastruktur betreiben, gilt sie nicht. Dort haben wir keinen Zugriff auf Ihre Systeme und keinen Anteil an Ihrer Verarbeitung, und Sie sind allein verantwortlich. Welcher der beiden Fälle vorliegt, sagen die Bedingungen des jeweiligen Produkts.

Sie gilt ab dem Zeitpunkt, zu dem Ihnen der Dienst bereitgestellt wird, bis zum Ende des Dienstes und dem Abschluss der unten beschriebenen Löschung.

Wer wer ist

Auftragsverarbeiter ist Gelhaus Solutions, Einzelunternehmen von Enno Gelhaus, Eichenwald 3, 49624 Löningen, Deutschland. Kontakt für alles aus dieser Vereinbarung: egelhaus@ennogelhaus.de.

Verantwortlicher sind Sie als Vertragspartner.

Was verarbeitet wird, und wofür

Gegenstand ist der Betrieb des von Ihnen beauftragten gehosteten Dienstes. Zweck ist die Erbringung genau dieses Dienstes und nichts sonst.

Art der Verarbeitung, Kategorien personenbezogener Daten und Kategorien betroffener Personen hängen vollständig davon ab, um welchen Dienst es geht, und stehen im Anhang des jeweiligen Dienstes:

• GAdvisory
• GControl
• GPlatform Control
• GPlatform Billing
• GeGroups
• DAnalytics
• GAnalytics
• GBoarse
• Contribution Checker
• Discord Tickets

Die beiden letzten betreiben wir, ohne dass sie zu GHub gehören oder auf GPlatform laufen. Das ändert ihre Lizenz, nicht unsere Pflichten: Soweit wir personenbezogene Daten in Ihrem Auftrag halten, gilt diese Vereinbarung genauso.

Jeder Anhang ist für den dort genannten Dienst Bestandteil dieser Vereinbarung.

Weisungen

Wir verarbeiten personenbezogene Daten ausschließlich auf Ihre dokumentierten Weisungen, auch hinsichtlich einer Übermittlung in ein Drittland. Ihre Weisungen sind diese Vereinbarung, die von Ihnen im Dienst gewählten Einstellungen und alles Weitere, was Sie uns in Textform mitteilen.

Erscheint uns eine Weisung als Verstoß gegen die DSGVO oder eine andere Datenschutzvorschrift, weisen wir Sie darauf hin und können die Ausführung aussetzen, bis sie bestätigt oder zurückgenommen wird. Zur Ausführung einer Weisung, die wir für rechtswidrig halten, sind wir nicht verpflichtet.

Sind wir nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer über Ihre Weisungen hinausgehenden Verarbeitung verpflichtet, teilen wir Ihnen diese Anforderung vor der Verarbeitung mit, sofern das Recht die Mitteilung nicht verbietet.

Vertraulichkeit

Alle Personen, die wir zur Verarbeitung personenbezogener Daten nach dieser Vereinbarung befugen, sind zur Vertraulichkeit verpflichtet, vertraglich oder kraft Gesetzes. Diese Pflicht besteht nach dem Ende ihrer Tätigkeit fort.

Der Zugang zu Produktivsystemen ist auf die für den Betrieb erforderlichen Personen beschränkt und wird protokolliert.

Sicherheit

Wir treffen die nach Art. 32 DSGVO erforderlichen Maßnahmen. Die für den einzelnen Dienst spezifischen stehen in dessen Anhang, denn eine Liste allgemeiner Zusicherungen sagt wenig; das Folgende gilt für alle.

Der Transport ist verschlüsselt. Passwörter, API-Token und vergleichbare Geheimnisse werden als Hashwerte statt als Werte gespeichert, Integrationsgeheimnisse verschlüsselt gespeichert. Zugriffe sind rollenbasiert und werden in einem Prüfprotokoll festgehalten. Sicherungen sind verschlüsselt, und ihre Wiederherstellung wird geprüft statt angenommen. Systeme werden planmäßig aktualisiert und außerplanmäßig, wo eine Schwachstelle es verlangt.

Wir können eine Maßnahme durch eine mindestens gleichwertige ersetzen. Das Schutzniveau insgesamt senken wir nicht.

Unterauftragsverarbeiter

Sie erteilen die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Für alle gehosteten Dienste sind das:

• IONOS SE, Elgendorfer Straße 57, 56410 Montabaur, Deutschland — Serverhosting.
• Contabo GmbH, Aschauer Straße 32a, 81549 München, Deutschland — Serverhosting, wird abgelöst.

Beide sitzen in Deutschland. Ein Teil der Dienste läuft auf eigener Hardware, ebenfalls in Deutschland. Der Mailbetrieb läuft auf eigenen Servern, die Dateiablage auf einem eigenen MinIO; der Grundsatz lautet: Was sich vernünftig selbst betreiben lässt, wird selbst betrieben.

Kein für einen gehosteten Dienst eingesetzter Unterauftragsverarbeiter sitzt außerhalb der EU. Setzt ein Dienst weitere ein, sind sie in dessen Anhang genannt — GPlatform Advisory setzt einen ein, und dieser arbeitet in einer EU-Datenregion.

Das ist eine Aussage über Unterauftragsverarbeiter und bewusst nicht die weitergehende Behauptung, dass niemals etwas eine Grenze überschreitet. Zweierlei kann das, und beides steht im Anhang des Dienstes, zu dem es gehört: Ein Browser-Push wird von dem Push-Dienst zugestellt, den der Browser der lesenden Person benennt, und wer ein Dokument veröffentlicht, sendet es an die Stelle, bei der veröffentlicht wird. Keines davon ist eine Verarbeitung in Ihrem Auftrag, und beides geschieht, weil jemand darum gebeten hat.

Jeder Unterauftragsverarbeiter wird vertraglich auf dieselben Pflichten verpflichtet wie wir. Kommt er ihnen nicht nach, haften wir Ihnen gegenüber weiterhin in vollem Umfang für seine Leistung.

Vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informieren wir Sie und räumen Ihnen eine angemessene Frist zum Widerspruch ein. Widersprechen Sie aus nachvollziehbaren Datenschutzgründen und können wir keine Alternative anbieten, können Sie den betroffenen Dienst beenden; ein im Voraus gezahltes, nicht verbrauchtes Entgelt wird erstattet.

Unterstützung Ihrer eigenen Pflichten

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie:

Bei Anfragen betroffener Personen (Art. 12–23). Macht jemand Ihnen gegenüber ein Recht geltend und liegen die Daten in unseren Systemen, helfen wir beim Auffinden, Berichtigen, Exportieren oder Löschen. Gibt es dafür im Dienst eine Funktion, verweisen wir darauf, statt es von Hand zu tun. Wendet sich eine betroffene Person unmittelbar an uns wegen Daten, für die Sie verantwortlich sind, antworten wir nicht in der Sache, sondern verweisen an Sie und sagen Ihnen Bescheid.

Bei Ihren Pflichten aus Art. 32 bis 36: Sicherheit der Verarbeitung, Meldung von Verletzungen, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung und Konsultation Ihrer Aufsichtsbehörde. Unsere Unterstützung beschränkt sich auf das, was wir wissen und beeinflussen können — bei den meisten dieser Punkte sind das Auskünfte darüber, wie der Dienst arbeitet.

Übliche Unterstützung ist eingeschlossen. Ist ein Verlangen unverhältnismäßig — wiederholt oder mit erheblichem Entwicklungsaufwand verbunden —, können wir den Aufwand berechnen und sagen das vorher.

Wenn etwas schiefgeht

Wir benachrichtigen Sie über eine Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, unverzüglich nach Kenntniserlangung, jedenfalls so rechtzeitig, dass Sie Ihre eigene 72-Stunden-Frist aus Art. 33 wahren können.

Die Benachrichtigung beschreibt den Vorfall, die Kategorien und die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktstelle. Liegt uns nicht alles auf einmal vor, senden wir das Vorhandene und reichen nach, statt auf ein vollständiges Bild zu warten.

Ihre Aufsichtsbehörde oder Ihre betroffenen Personen benachrichtigen wir nicht an Ihrer Stelle, sofern Sie uns nicht in Textform darum bitten. Diese Meldung ist Ihre.

Löschung und Rückgabe

Nach Ende des Dienstes haben Sie die Wahl: Wir geben Ihre personenbezogenen Daten zurück, oder wir löschen sie.

Sofern Sie nichts anderes sagen, halten wir sie nach dem Ende des Dienstes 30 Tage zum Export bereit und löschen sie danach. Auf Wunsch löschen wir früher. Hat der Dienst eine Exportfunktion, ist das der schnellste Weg, und er steht Ihnen jederzeit offen.

Sicherungen werden nicht einzeln gelöscht. Sie laufen nach ihrem eigenen Aufbewahrungszyklus ab, und Daten aus einer Sicherung werden nur zur Wiederherstellung des Dienstes eingespielt, nie um etwas zurückzuholen, das Sie gelöscht haben. Das ist die übliche Grenze der Löschung in jedem gesicherten System, und sie wird hier genannt, statt später entdeckt zu werden.

Was wir nach Unionsrecht oder dem Recht eines Mitgliedstaats aufbewahren müssen, löschen wir nicht; sollte das je zutreffen, sagen wir Ihnen was und warum.

Überprüfungen

Wir stellen Ihnen die Informationen zur Verfügung, die zum Nachweis der Einhaltung des Art. 28 erforderlich sind, und ermöglichen Überprüfungen durch Sie oder eine von Ihnen beauftragte prüfende Person und tragen zu ihnen bei.

Praktisch heißt das: fragen Sie, und Sie bekommen eine Beschreibung der technischen und organisatorischen Maßnahmen, die Liste der Unterauftragsverarbeiter und Antworten dazu, wie der Dienst mit Daten umgeht. Damit ist nahezu jede Prüfung abgedeckt, die tatsächlich gebraucht wird.

Reicht das nicht, lässt sich eine Prüfung vor Ort vereinbaren: mit angemessener Vorankündigung, während der Geschäftszeiten, ohne Störung des Betriebs und durch eine zur Vertraulichkeit verpflichtete Person, die nicht mit uns im Wettbewerb steht. Geht eine Prüfung über das hinaus, was Art. 28 Abs. 3 lit. h verlangt, können wir den Zeitaufwand berechnen.

Haftung, und alles Weitere

Haftung, anwendbares Recht und Gerichtsstand richten sich nach den allgemeinen Nutzungsbedingungen. Die Haftung nach Art. 82 DSGVO wird durch diese Vereinbarung nicht beschränkt.

Weichen diese Vereinbarung und eine andere Vereinbarung zwischen uns in einem Punkt zur Verarbeitung personenbezogener Daten in Ihrem Auftrag voneinander ab, geht diese vor. Weicht der Anhang eines Dienstes in einem Punkt zu diesem Dienst von diesem Dokument ab, geht der Anhang vor.

Änderungen

Wir können diese Vereinbarung ändern, soweit Gesetz, Aufsichtsbehörde oder eine Änderung des Dienstes es erfordern. Wesentliche Änderungen teilen wir Kundinnen und Kunden in laufenden Verträgen vorab mit.