Auftragsverarbeitungsvertrag (Entwurf)

zwischen dem Kunden (Auftraggeber, Verantwortlicher) Name und Anschrift des Kunden und connect – Media & Teledienst, Marienstraße 54, 26452 Sande (Auftragnehmer) über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO beim Einsatz von hostily Captcha.

§ 1 Gegenstand und Dauer

Der Auftragnehmer verarbeitet im Auftrag des Auftraggebers personenbezogene Daten von Besuchern der Websites des Auftraggebers zum Zweck des Schutzes von Formularen vor automatisierten Einsendungen. Dauer: Laufzeit des Hauptvertrags.

§ 2 Art der Daten, Betroffene

Datenarten: IP-Adresse (nur als Hash gespeichert), Domain der einbindenden Seite, Zeitpunkte, technische Prüfdaten, Hashes von Formularwerten, ggf. von der Anwendung übergebene Formularinhalte (siehe Anlage 1). Betroffene: Besucher und Nutzer der Websites des Auftraggebers.

§ 3 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers (der Hauptvertrag und die Einstellungen in der Verwaltung gelten als Weisung), außer er ist durch Recht zur Verarbeitung verpflichtet. Hält er eine Weisung für rechtswidrig, weist er darauf hin.

§ 4 Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer setzt die Maßnahmen in Anlage 2 um und entwickelt sie fort. Wesentliche Verschlechterungen sind unzulässig.

§ 6 Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter zu. Änderungen kündigt der Auftragnehmer Frist, z. B. 30 Tage vorher an; der Auftraggeber kann aus wichtigem Grund widersprechen.

§ 7 Unterstützung

Der Auftragnehmer unterstützt den Auftraggeber bei Betroffenenanfragen, bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen (unverzügliche Information) und Datenschutz-Folgenabschätzungen. Wegen der Hash-Speicherung kann eine Zuordnung zu einzelnen Personen in der Regel nicht erfolgen.

§ 8 Löschung und Rückgabe

Ereignisdaten werden nach 14 Tagen automatisch gelöscht. Nach Vertragsende löscht der Auftragnehmer die Projektdaten Frist, z. B. 30 Tage und bestätigt dies auf Anfrage.

§ 9 Nachweise und Kontrollen

Der Auftragnehmer stellt die erforderlichen Informationen zum Nachweis der Pflichten bereit und ermöglicht Überprüfungen Umfang/Ankündigung festlegen.

§ 10 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um Datenschutz geht. Haftung und Gerichtsstand regeln

Anlage 1: Einzelheiten der Verarbeitung

Anlage 2: Technische und organisatorische Maßnahmen

• Rechenzentrum: Hosting bei Hetzner in Deutschland; physischer Zugangsschutz durch den Betreiber des Rechenzentrums.
• Verschlüsselung: Übertragung ausschließlich per TLS.
• Pseudonymisierung: IP-Adressen werden nur als HMAC-SHA256-Hash mit täglich wechselndem geheimem Schlüssel gespeichert (128 Bit); Formularwerte zur Doppelerkennung nur als HMAC; Secrets nur als SHA-256-Hash.
• Löschung: automatischer Löschlauf; Ereignisse nach 14 Tagen.
• Zugriffskontrolle: Zugriff auf Verwaltung und Server nur für Administratoren mit Zwei-Faktor-Authentifizierung; Projekte sind voneinander getrennt (Mandantentrennung nach Projekt und Kundenkonto).
• Verfügbarkeit: tägliche Sicherung Aufbewahrungsdauer und Ort der Sicherungen eintragen.
• Herkunftsprüfung: Anfragen werden gegen die erlaubten Domains des Projekts geprüft; Ratenbegrenzung und IP-Sperre.
• Organisation: Verpflichtung der Mitarbeiter, Vorfallsprozess, Datenschutzbeauftragter – ergänzen, soweit zutreffend

Anlage 3: Unterauftragsverarbeiter

Zurück zur Startseite