Auftragsverarbeitungsvertrag (AVV)

IT-Service Matthias Tichý (MT-Computerservice), Lindenufer 39, 13597 Berlin, E-Mail: support@webalyzr.de (nachfolgend „Auftragnehmer").

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers zum Zweck der Bereitstellung der Webalyzr-Dienste (DMARC-/TLS-RPT-Report-Auswertung, Managed DNS-Dienste, Reputations- und Sicherheitsüberwachung sowie zugehörige Benachrichtigungen). Die Dauer richtet sich nach dem zugrunde liegenden Nutzungsverhältnis und endet mit dessen Beendigung.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Auslesen, Auswerten, Ordnen, Übermitteln (an Berichtsempfänger) und Löschen.

Zweck: Überwachung und Verwaltung der E-Mail-Authentifizierung und -Sicherheit der vom Auftraggeber verwalteten Domains.

Art der Daten: Kontodaten der Nutzer (E-Mail-Adresse), in DMARC-/TLS-RPT-Aggregat-Reports enthaltene IP-Adressen und Server-Kennungen, ggf. in optionalen Forensic-Reports enthaltene E-Mail-Metadaten, Domain- und DNS-bezogene Konfigurationsdaten, Protokolldaten (Audit-Log).

Kategorien betroffener Personen: Nutzer des Mitgliederbereichs des Auftraggebers sowie Absender/Empfänger von E-Mails, die die Domains des Auftraggebers betreffen.

Der Auftragnehmer verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers, soweit er nicht gesetzlich zu einer anderweitigen Verarbeitung verpflichtet ist. Er informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

Der Auftragnehmer gewährleistet, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen zur Sicherheit der Verarbeitung und hält diese während der Vertragsdauer aufrecht.

Der Auftraggeber stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter; der Auftraggeber kann berechtigten Einwendungen widersprechen. Der Auftragnehmer verpflichtet die Unterauftragsverarbeiter auf ein dem vorliegenden Vertrag entsprechendes Datenschutzniveau.

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Möglichen bei der Erfüllung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung).

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden.

Nach Abschluss der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers sämtliche personenbezogenen Daten oder gibt sie zurück, sofern nicht eine gesetzliche Aufbewahrungspflicht besteht. Nach Kontolöschung werden Daten des Mitgliederbereichs regelmäßig innerhalb von 30 Tagen gelöscht.

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang.

Die Verarbeitung findet in der Europäischen Union bzw. im Europäischen Wirtschaftsraum statt. Erfolgt im Einzelfall eine Verarbeitung durch einen Unterauftragsverarbeiter in einem Drittland (siehe Anlage 2), wird ein angemessenes Schutzniveau durch geeignete Garantien (z. B. EU-Standardvertragsklauseln oder einen Angemessenheitsbeschluss / EU-US Data Privacy Framework) sichergestellt.