Auftragsverarbeitungsvertrag.

Dieser Vertrag ist Teil der AGB von guruburu Care und gilt für jede Website, die wir für dich hosten. Er ist der Vertrag, den Artikel 28 DSGVO (Verordnung (EU) 2016/679) verlangt, in elektronischer Form geschlossen, wenn du die AGB akzeptierst: Es gibt nichts weiter zu unterschreiben.

Wer wer ist

Du, der im Konto genannte Kunde, bist Verantwortlicher für die personenbezogenen Daten auf deinen Websites. Wir, Vălcăneanțu Alin-Ștefan PFA (Steuernummer 44410738, F35/197/2024), Timișoara, Rumänien, sind dein Auftragsverarbeiter.

Wenn du selbst Auftragsverarbeiter für jemand anderen bist, zum Beispiel eine Agentur, die die Websites ihrer Kunden hostet, sind wir dein Unterauftragsverarbeiter, und du sorgst dafür, dass dein Kunde dem zugestimmt hat.

Was wir verarbeiten

• Zweck: das Hosting deiner WordPress-Websites und ihre Pflege: sie betreiben, sichern, Updates ausprobieren und einspielen, prüfen, ob sie antworten, sie wiederherstellen, sie zu uns umziehen, Support und technische Eingriffe.
• Art: Speichern, Kopieren (Backups, die Staging-Kopie und die Kopie, auf der Updates ausprobiert werden), Lesen für Prüfungen und Screenshots, Übertragen zwischen unseren Servern und Löschen.
• Dauer: so lange wie der Vertrag, danach bis die Website gelöscht ist, 30 Tage nach dem Ende des Tarifs, und ihre Backups 7 Tage später.
• Daten: alles, was deine Websites enthalten. Meist Namen, E-Mail- und Postadressen, Telefonnummern, Benutzerkonten und Passwort-Hashes, Bestellungen, über Formulare gesendete Nachrichten, Kommentare sowie die IP-Adressen und Browser der Besucher in den Server-Logs.
• Personen: die Besucher, Kunden, Benutzer, Abonnenten und Mitarbeiter deiner Website und alle, um die es in deinen Inhalten geht.

Unser Dienst ist nicht für besondere Kategorien personenbezogener Daten gebaut, etwa Gesundheitsdaten. Wenn deine Website solche enthält, sorgst du dafür, dass die Maßnahmen unten für sie ausreichen.

Nur auf deine Weisung

Wir verarbeiten die Daten nur auf deine dokumentierte Weisung: die AGB, dein Tarif und was du im Portal, per Ticket oder per E-Mail tust oder verlangst. Wir nutzen sie für keine eigenen Zwecke. Wir übermitteln sie nur so außerhalb der EU, wie es die Liste der Unterauftragsverarbeiter unten angibt.

Wenn wir meinen, dass eine Weisung gegen Datenschutzrecht verstößt, sagen wir es dir sofort. Wenn uns EU-Recht oder rumänisches Recht zu einer anderen Verarbeitung verpflichtet, sagen wir es dir vorher, es sei denn, dieses Recht verbietet das.

Vertraulichkeit

Zugang bekommen nur die Personen, die ihn brauchen, um den Dienst zu erbringen, und sie sind zur Vertraulichkeit verpflichtet. Unser Team sieht in eine Website nur aus den Gründen, die unter „Support und technische Eingriffe“ in den AGB stehen, und jeder Zugriff wird protokolliert und 3 Jahre aufbewahrt.

Sicherheit

Wir schützen die Daten mit technischen und organisatorischen Maßnahmen, die dem Risiko angemessen sind (DSGVO, Art. 32). Derzeit sind das:

• Server in Deutschland, auf denen die Sicherheitsupdates des Betriebssystems automatisch eingespielt werden.
• Jede Website läuft als eigener Systembenutzer, mit eigenen PHP-Prozessen, eigener Datenbank und eigenem Object Cache, getrennt von den anderen Websites.
• HTTPS auf jeder Website und im Portal.
• Verschlüsselte Backups, aufbewahrt, wie dein Tarif es vorsieht, dazu eine tägliche Kopie des ganzen Servers, die unser Serveranbieter 7 Tage aufbewahrt.
• Administratorzugang zu den Servern nur mit SSH-Schlüsseln, und wiederholte fehlgeschlagene Anmeldungen werden gesperrt.
• Portal-Passwörter nur als Hashes gespeichert, mit optionaler Anmeldung mit Code; das Panel unseres Teams nur mit Anmeldung mit Code.
• Passwörter, die wir für dich erstellen, werden einmal angezeigt und höchstens 7 Tage verschlüsselt aufbewahrt.
• Webserver-Logs werden höchstens 14 Tage aufbewahrt.
• In den Tarifen mit Pflege werden Updates auf einer Kopie der Website ausprobiert, bevor sie die Website erreichen.

Wir dürfen diese Maßnahmen ändern, solange das Schutzniveau nicht sinkt.

Unterauftragsverarbeiter

Du erteilst uns eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Derzeit sind das:

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: die Server, in Nürnberg, Deutschland, und ihre täglichen Kopien. Die Daten bleiben in der EU.
• Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Niederlande: unsere E-Mail (ZeptoMail und Zoho Mail), in den EU-Rechenzentren von Zoho; nur für Daten deiner Website, die uns per E-Mail erreichen, zum Beispiel in einer Support-Anfrage.
• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA: leitet die E-Mails an unsere Adressen weiter; ebenfalls nur für Daten, die uns per E-Mail erreichen.

Wir schreiben dir mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen. Du kannst in dieser Zeit aus einem vernünftigen Grund widersprechen; können wir dem nicht abhelfen, kannst du den Vertrag vor der Änderung beenden.

Jeder Unterauftragsverarbeiter ist an Datenschutzbedingungen gebunden, die die Daten so schützen wie dieser Vertrag, und wir bleiben dir gegenüber für ihn verantwortlich.

Außerhalb der EU

Deine Websites und ihre Backups bleiben in der EU. Das Support-Team von Zoho in Indien kann auf das EU-Rechenzentrum von Zoho zugreifen, auf Grundlage der Standardvertragsklauseln der Europäischen Kommission. Cloudflare, Inc. ist nach dem EU-US Data Privacy Framework zertifiziert, mit den Standardvertragsklauseln als Rückfalllösung.

Unterstützung für dich

Wir helfen dir, den Personen zu antworten, um deren Daten es geht, wenn sie verlangen, ihre Daten einzusehen, zu berichtigen, zu löschen oder mitzunehmen, meist über das, was WordPress und das Portal dich selbst tun lassen; für alles Weitere schreib uns. Wir unterstützen dich auch bei Sicherheit, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und der Konsultation der Aufsichtsbehörde, soweit unser Teil der Verarbeitung es erlaubt.

Datenschutzverletzungen

Wenn wir von einer Verletzung des Schutzes personenbezogener Daten auf unserer Seite erfahren, die deine Websites betrifft, informieren wir dich unverzüglich, spätestens innerhalb von 48 Stunden, mit dem, was wir wissen: was passiert ist, welche Websites und Daten betroffen sind, was wir getan haben und was du womöglich tun musst. Du entscheidest, ob du die Aufsichtsbehörde und die betroffenen Personen informierst, und wir geben dir dafür, was wir haben.

Am Ende

Wenn der Vertrag endet, bleiben die Website und ihre Backups 30 Tage bestehen, damit du zurückkommen oder uns um eine Kopie bitten kannst. Dann löschen wir die Website und 7 Tage später ihre Backups; innerhalb von weiteren 7 Tagen verschwinden sie auch aus den täglichen Kopien unseres Serveranbieters. Wir behalten nichts, es sei denn, EU-Recht oder rumänisches Recht verlangt es.

Informationen und Audits

Wir geben dir die Informationen, die du brauchst, um nachzuweisen, dass diese Pflichten erfüllt sind. Du oder ein unabhängiger, zur Vertraulichkeit verpflichteter Prüfer dürfen uns einmal im Jahr prüfen, mit einer Ankündigung von 30 Tagen und auf deine Kosten, ohne Zugang zu den Daten anderer Kunden. Wir dürfen zuerst mit Unterlagen antworten.

Haftung und Kontakt

Die Haftungsregeln der AGB gelten für diesen Vertrag, soweit die DSGVO es zulässt. Für alles rund um den Datenschutz schreib an hello@guruburu.eu.