Vertrag zur Auftragsverarbeitung für Agile Deploy

Dieser Vertrag nach Art. 28 DSGVO wird mit der Registrierung bei Agile Deploy Bestandteil des Vertrags zwischen dem Kunden (Auftraggeber, Verantwortlicher) und der Onestop Software e.K. (Auftragsverarbeiter). Eine gesonderte Unterschrift ist nicht nötig. Auf Wunsch senden wir eine unterschriebene Fassung.

§ 1 Gegenstand und Dauer

1. Auftragsverarbeiter ist Onestop Software e.K., Hummelbergweg 10/1, 72227 Egenhausen.
2. Gegenstand ist das Bauen und Hosten der Anwendungen des Auftraggebers und seiner Datenbanken auf Agile Deploy einschließlich Sicherungen, Protokollen und Domains, wie in den AGB beschrieben.
3. Der Vertrag gilt für die Dauer des Hauptvertrags und endet mit ihm, ohne dass es einer Kündigung bedarf. Pflichten zur Löschung und Rückgabe bestehen fort, bis sie erfüllt sind.

§ 2 Art, Zweck, Daten und Betroffene

1. Wir speichern die Daten, die der Auftraggeber oder seine Anwendungen bei uns ablegen, führen seinen Code aus, liefern die Anwendungen aus, sichern die Datenbanken und löschen Daten. Zweck ist allein die Bereitstellung von Agile Deploy.
2. Welche Daten verarbeitet werden, bestimmt der Auftraggeber durch seine Anwendungen. Typisch sind Stamm-, Kontakt-, Vertrags- und Nutzungsdaten sowie Zugriffsprotokolle mit IP-Adressen der Besucher.
3. Betroffene sind insbesondere Besucher, Nutzer, Kunden und Beschäftigte des Auftraggebers.
4. Besondere Kategorien nach Art. 9 DSGVO verarbeitet der Auftraggeber nur, wenn er die Eignung der Maßnahmen nach § 5 für diese Daten geprüft hat.

§ 3 Weisungen

1. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Auftraggebers. Weisungen sind dieser Vertrag, die Einstellungen in Agile Deploy (etwa Deployments, Datenbanken, Löschungen) und Weisungen in Textform an info@agiledeveloper.de.
2. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das unverzüglich mit und darf die Ausführung bis zur Klärung aussetzen.
3. Eine Verarbeitung in einem Drittland findet nicht statt, außer auf Weisung des Auftraggebers oder aufgrund einer gesetzlichen Pflicht, über die wir vorher informieren, soweit das zulässig ist.
4. Inhalte der Anwendungen sehen wir uns nur an, soweit es für den Betrieb, die Fehlerbehebung, die Abwehr von Missbrauch oder die Prüfung einer Meldung nach dem Digital Services Act erforderlich ist.

§ 4 Vertraulichkeit

Wir setzen nur Personen ein, die zur Vertraulichkeit verpflichtet sind, auch über das Ende ihrer Tätigkeit hinaus.

§ 5 Technische und organisatorische Maßnahmen

Wir treffen die Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Rechenzentren der Hetzner Online GmbH in Deutschland mit Zutrittskontrolle, Zertifizierung nach ISO/IEC 27001
• Anwendungen der Kunden auf einem eigenen Server, getrennt vom Portal mit den Kontodaten
• jede Anwendung und jeder Build in einem eigenen Container unter gVisor, mit schreibgeschütztem Dateisystem, Grenzen für Arbeitsspeicher, CPU und Prozesse und einem eigenen Netz je Projekt
• Datenbanken je Projekt in eigenen Containern mit eigenen Zugangsdaten; öffentlicher Zugang nur auf Wunsch und nur über TLS
• Umgebungsvariablen verschlüsselt gespeichert, Passwörter nur als Hashwerte, API-Schlüssel nur als Hashwerte
• Übertragung ausschließlich verschlüsselt über HTTPS bzw. TLS
• tägliche Sicherung der Datenbanken: drei Tage auf dem Server, 30 Tage verschlüsselt auf einer Hetzner Storage Box in Deutschland
• Zugang zu den Servern nur für berechtigte Personen mit Schlüssel, Firewall mit Freigabe nur benötigter Ports
• Prüfung des Codes vor jedem Build und Überwachung des Betriebs auf Missbrauch
• regelmäßige Updates und wöchentliche Prüfung auf bekannte Schwachstellen

Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

   Hetzner Online GmbH

   Industriestr. 25, 91710 Gunzenhausen: Server, Rechenzentren und Storage Box in Deutschland

   Twilio Germany GmbH bzw. Twilio Inc. (SendGrid)

   Versand der Mails des Portals, etwa Hinweise an den Auftraggeber; Daten der Anwendungen erhält Twilio nicht. Übermittlung in die USA auf Grundlage von Standardvertragsklauseln

2. Stripe Payments Europe, Limited, Irland, wickelt die Zahlungen ab und verarbeitet dabei nur Daten des Auftraggebers als eigener Verantwortlicher, keine Daten seiner Anwendungen.
3. Neue oder geänderte Unterauftragsverarbeiter teilen wir mindestens vier Wochen vorher in Textform mit. Der Auftraggeber kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen. Wird keine Einigung erzielt, kann er den Hauptvertrag zum Wechsel kündigen.
4. Wir verpflichten jeden Unterauftragsverarbeiter auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 7 Unterstützung

1. Wir unterstützen den Auftraggeber bei Anfragen Betroffener nach Art. 15 bis 22 DSGVO. Da der Auftraggeber seine Daten selbst verwaltet, kann er die meisten Anfragen mit seinen eigenen Werkzeugen erfüllen. Richtet sich eine Anfrage an uns, leiten wir sie unverzüglich weiter.
2. Wir unterstützen bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation (Art. 32 bis 36 DSGVO).
3. Verletzungen des Schutzes personenbezogener Daten in unserem Bereich melden wir dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 8 Löschung und Rückgabe

1. Löscht der Auftraggeber ein Projekt oder eine Datenbank, löschen wir die Daten auf dem Server sofort; Sicherungen werden spätestens nach 30 Tagen überschrieben.
2. Löscht der Auftraggeber sein Konto als letztes Mitglied des Teams, löschen wir alle Projekte, Datenbanken und Deployments sofort; für Sicherungen gilt Absatz 1. Endet der Vertrag auf andere Weise, stellen wir die Daten auf Anfrage innerhalb von 30 Tagen nach Vertragsende bereit und löschen sie danach, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

§ 9 Nachweise und Kontrollen

Wir stellen dem Auftraggeber die Informationen zur Verfügung, die er zum Nachweis der Pflichten aus Art. 28 DSGVO braucht. Kontrollen, auch vor Ort, ermöglichen wir nach Anmeldung mit angemessener Frist während der Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Den Nachweis können wir auch durch aktuelle Zertifikate oder Berichte unserer Unterauftragsverarbeiter führen.

§ 10 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
2. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.
3. Es gilt deutsches Recht.