Auftragsverarbeitungsvertrag

1. Wann dieser Vertrag gilt

Kurz gesagt: Er gilt, wenn NINAWA für Sie personenbezogene Daten Ihrer Kunden oder Besucher verarbeitet, zum Beispiel über eine Website oder ein System, das NINAWA erstellt, hostet oder pflegt.

Dieser Auftragsverarbeitungsvertrag ist Teil des Vertrags zwischen dem Kunden und dem verifizierten rechtlichen Betreiber hinter NINAWA. Er gilt immer dann, wenn NINAWA personenbezogene Daten im Auftrag des Kunden verarbeitet, um die vereinbarte Leistung zu erbringen, zum Beispiel Kontakt- oder Buchungsformulare, Kundenkonten, Bestelldaten oder Verteilerlisten auf einer Website oder in einem System, das NINAWA erstellt, hostet, pflegt oder betreut.

Er gilt nicht für personenbezogene Daten, die NINAWA für eigene Zwecke verarbeitet, etwa die eigenen Kontaktdaten des Kunden, Angebote, Rechnungen oder Support-Nachrichten. Diese Verarbeitung ist in der Datenschutzerklärung beschrieben.

2. Rollen und Weisungen

Kurz gesagt: Sie entscheiden, was mit den Daten geschieht; NINAWA folgt nur Ihren dokumentierten Weisungen.

Der Kunde ist Verantwortlicher, und der verifizierte rechtliche Betreiber hinter NINAWA ist Auftragsverarbeiter. NINAWA verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, sofern nicht EU- oder belgisches Recht etwas anderes verlangt. In diesem Fall informiert NINAWA den Kunden vor der Verarbeitung, sofern dieses Recht dies nicht verbietet.

• Dokumentierte Weisungen sind dieser Vertrag, das angenommene Angebot und der Projektanhang sowie schriftliche Anfragen über Client Studio oder per E-Mail.
• NINAWA verwendet die Daten nicht für eigene Zwecke, verkauft sie nicht und verknüpft sie nicht mit Daten anderer Kunden.
• Ist NINAWA der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, teilt NINAWA dies dem Kunden mit und kann die Weisung aussetzen, bis sie bestätigt oder geändert wird.

3. Verarbeitungsdetails (Anlage I)

Kurz gesagt: Die Tabelle zeigt, was üblicherweise verarbeitet wird; Ihr Projektanhang hält die genauen Details Ihres Projekts fest.

Das angenommene Angebot oder der Projektanhang legt für jedes Projekt Gegenstand, Dauer, Zwecke, Datenkategorien und betroffene Personen fest. Weicht er von der folgenden Tabelle ab, gilt der Projektanhang.

4. Vertraulichkeit

Kurz gesagt: Nur wer für die Leistung Zugriff braucht, sieht die Daten, und diese Personen sind zur Verschwiegenheit verpflichtet.

NINAWA gewährt Zugriff auf personenbezogene Daten nur Personen, die ihn für die Leistung benötigen und vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet sind. Ihr Zugriff endet, sobald er nicht mehr benötigt wird.

5. Sicherheitsmaßnahmen (Anlage II)

Kurz gesagt: NINAWA schützt die Daten mit technischen und organisatorischen Maßnahmen, die zum Risiko passen.

NINAWA trifft geeignete technische und organisatorische Maßnahmen unter Berücksichtigung des Stands der Technik, der Kosten, der Art der Verarbeitung und der Risiken für die betroffenen Personen. Die aktuellen Maßnahmen sind:

• Verschlüsselte Übertragung (HTTPS/TLS) für Websites, Client Studio und Verwaltung.
• Zugriff nur über persönliche Konten mit starken Passwörtern, Sitzungsschutz und Begrenzung wiederholter Anmeldeversuche.
• Trennung zwischen Kunden: Jede Anfrage wird gegen den zugehörigen Kunden geprüft, und automatisierte Tests decken dies ab.
• Private Speicherung von Dateien außerhalb der öffentlichen Website, Download nur nach einer Berechtigungsprüfung; Uploads, Downloads und Löschungen werden protokolliert.
• Regelmäßige verschlüsselte Backups, getrennt vom Produktionsserver bei Hetzner in der EU gespeichert, für einen begrenzten Zeitraum (derzeit 30 Tage), mit einem dokumentierten Wiederherstellungsverfahren.
• E-Mails von Websites und Client Studio werden über die eigenen Mailserver von NINAWA versendet, und Besucherstatistiken laufen auf dem eigenen Server von NINAWA (selbst gehostetes Umami): Kein externer E-Mail- oder Analyseanbieter erhält die Daten.
• Software-Updates und Sicherheitskorrekturen im Rahmen von Wartung und Managed Care.
• Ein dokumentiertes Verfahren für Sicherheitsvorfälle, Protokollierung wichtiger Aktionen und Teamzugriff beschränkt auf das, was jede Rolle benötigt.

NINAWA kann diese Maßnahmen mit der Zeit verbessern, senkt das allgemeine Schutzniveau jedoch nicht, ohne den Kunden zu informieren.

6. Unterauftragsverarbeiter

Kurz gesagt: NINAWA nutzt nur andere Anbieter, die für Ihr Projekt erfasst sind, und informiert Sie, bevor einer hinzukommt oder ersetzt wird.

Der Kunde erteilt eine allgemeine Genehmigung für die im Projektanhang erfassten Unterauftragsverarbeiter. Derzeit werden die Server von NINAWA in der EU von Hetzner und einem belgischen Hosting-Unternehmen betrieben, und verschlüsselte Backups werden bei Hetzner gespeichert. Der Name jedes für ein Projekt eingesetzten Anbieters steht im Projektanhang und wird auf Anfrage mitgeteilt. E-Mail und Besucherstatistiken laufen auf den eigenen Servern von NINAWA, ohne externen E-Mail- oder Analyseanbieter.

NINAWA informiert den Kunden per E-Mail und in Client Studio mindestens 14 Tage, bevor ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird. Der Kunde kann aus berechtigten Datenschutzgründen widersprechen. Wird keine angemessene Lösung gefunden, kann der Kunde die betroffene Leistung ohne Vertragsstrafe beenden.

NINAWA erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf und bleibt gegenüber dem Kunden für deren Erfüllung verantwortlich.

7. Unterstützung bei Ihren Pflichten

Kurz gesagt: Wenn einer Ihrer Kunden seine Rechte ausübt oder Sie ein Risiko bewerten müssen, hilft Ihnen NINAWA.

Unter Berücksichtigung der Leistung und der verfügbaren Informationen unterstützt NINAWA den Kunden bei:

• Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Widerspruch, Übertragbarkeit): NINAWA leitet jede eingehende Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht ohne Weisung;
• der Sicherheit der Verarbeitung, der Bewertung von Verletzungen und den zugehörigen Meldungen;
• Datenschutz-Folgenabschätzungen und der vorherigen Konsultation der Aufsichtsbehörde, wo erforderlich.

Unterstützung über den normalen Aufwand hinaus wird zum vereinbarten Stundensatz berechnet, und nur nachdem der Kunde die Schätzung genehmigt hat.

8. Verletzungen des Schutzes personenbezogener Daten

Kurz gesagt: Wenn mit Ihren Daten etwas schiefgeht, informiert NINAWA Sie schnell, damit Sie Ihre eigenen Fristen einhalten können.

NINAWA informiert den Kunden unverzüglich, möglichst innerhalb von 48 Stunden, nachdem NINAWA eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Kundendaten betrifft. Soweit bekannt, beschreibt die Meldung:

• was wann geschehen ist;
• die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze;
• die wahrscheinlichen Folgen;
• die ergriffenen oder vorgeschlagenen Maßnahmen zur Schadensbegrenzung;
• eine Kontaktperson.

NINAWA ergänzt die Informationen, sobald sie vorliegen. Als Verantwortlicher entscheidet der Kunde, ob die Aufsichtsbehörde (wo erforderlich innerhalb von 72 Stunden) und die betroffenen Personen benachrichtigt werden; NINAWA unterstützt dabei.

9. Übermittlungen außerhalb des EWR

Kurz gesagt: Ihre Daten bleiben im Europäischen Wirtschaftsraum, sofern Ihr Projektanhang nichts anderes bestimmt und eine gültige rechtliche Garantie besteht.

NINAWA übermittelt keine Kundendaten außerhalb des Europäischen Wirtschaftsraums, es sei denn, dies ist im Projektanhang festgehalten und durch eine gültige Garantie abgedeckt, etwa einen Angemessenheitsbeschluss oder die Standardvertragsklauseln der Europäischen Kommission.

10. Ende der Leistung: Rückgabe und Löschung

Kurz gesagt: Wenn die Leistung endet, entscheiden Sie: Sie erhalten Ihre Daten zurück oder sie werden gelöscht. Backups folgen in ihrem normalen Zyklus.

Am Ende der Leistung entscheidet der Kunde, ob NINAWA die Kundendaten zurückgibt (einen Export der Website, ihrer Inhalte und Daten) oder löscht. NINAWA wird dann:

• die Daten weisungsgemäß zurückgeben oder löschen und dies schriftlich bestätigen;
• Backups in ihrem normalen Zyklus ablaufen lassen, derzeit innerhalb von 30 Tagen, und sie nur wiederherstellen, um dem Kunden Daten zurückzugeben;
• nur aufbewahren, was EU- oder belgisches Recht verlangt, für die vorgeschriebene Dauer.

Die Schritte beim Abschied (Export, Übertragung von Domain und Konten, Löschanweisungen und Ablauf der Backups) werden dem Kunden in Client Studio angezeigt.

11. Audits und Informationen

Kurz gesagt: Sie können NINAWA bitten nachzuweisen, dass dieser Vertrag eingehalten wird.

NINAWA stellt die Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen, zunächst durch Dokumentation und schriftliche Antworten. Reicht dies nicht aus, kann der Kunde oder ein zur Vertraulichkeit verpflichteter Prüfer nach angemessener Ankündigung ein verhältnismäßiges Audit während der Geschäftszeiten durchführen, ohne die Sicherheit anderer Kunden zu beeinträchtigen. Jede Partei trägt ihre eigenen Auditkosten, es sei denn, das Audit deckt einen wesentlichen Verstoß von NINAWA auf.

12. Laufzeit, Haftung und Vorrang

Kurz gesagt: Dieser Vertrag gilt, solange NINAWA Ihre Daten verarbeitet, und beim Datenschutz hat er Vorrang vor den allgemeinen Bedingungen.

Dieser Vertrag gilt, solange NINAWA Kundendaten verarbeitet, einschließlich des Zeitraums für Rückgabe und Löschung. Die Haftung richtet sich nach den Bedingungen, vorbehaltlich zwingenden Rechts und Artikel 82 DSGVO. Widerspricht dieser Vertrag beim Datenschutz den Bedingungen oder einem anderen allgemeinen Vertragsdokument, hat dieser Vertrag Vorrang; ein für ein bestimmtes Projekt angenommener Projektanhang hat für dieses Projekt Vorrang vor diesem Standardtext.

Die englische und die niederländische Fassung dieses Vertrags sind verbindlich; andere Sprachen sind Übersetzungen zur Information. Fragen: support@ninawa.net.