Verarbeitungsvereinbarung

Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag gilt für alle Formen der Verarbeitung personenbezogener Daten, die WP Provider BV., nachfolgend „WP Provider“ genannt, mit Sitz in Bussum, eingetragen bei der Handelskammer unter der Nummer 73142689 (nachfolgend: Auftragsverarbeiter), im Auftrag einer Vertragspartei durchführt, für die sie Dienstleistungen erbringt (nachfolgend: Verantwortlicher).

Nachfolgend gemeinsam als „Parteien“ bezeichnet;

In Erwägung nachstehender Gründe:

1. Die Parteien haben einen Vertrag über Hosting-Dienstleistungen und Domainregistrierungen geschlossen, nachfolgend „Vertrag“ genannt. Zur Erfüllung des Vertrags verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen;
   Die Parteien möchten mit den personenbezogenen Daten, die zur Erfüllung des Vertrags verarbeitet werden bzw. werden sollen, sorgfältig und im Einklang mit der DSGVO sowie anderen anwendbaren Gesetzen und Vorschriften über die Verarbeitung personenbezogener Daten umgehen;
   C. Die Parteien möchten ihre Rechte und Pflichten hinsichtlich der Verarbeitung personenbezogener Daten betroffener Personen im Einklang mit der DSGVO sowie anderen anwendbaren Gesetzen und Vorschriften über die Verarbeitung personenbezogener Daten in diesem Auftragsverarbeitungsvertrag schriftlich festhalten.
   D. Ausschließlich der Verantwortliche legt den Zweck und die Mittel der Verarbeitung personenbezogener Daten fest; der Auftragsverarbeiter hat darauf keinen Einfluss;

Die Parteien vereinbaren Folgendes:

1. Begriffe

1.1 Betroffene Person: die Person, auf die sich personenbezogene Daten beziehen.
1.2 Datenschutzverletzung: eine Verletzung der Sicherheit personenbezogener Daten, die schwerwiegende nachteilige Folgen für den Schutz personenbezogener Daten hat.
1.3 Personal: die von den Parteien zur Durchführung dieses Auftragsverarbeitungsvertrags eingesetzten Personen, die unter ihrer Verantwortung tätig sind.
1.4 Personenbezogene Daten: alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen. Auch (zurückführbare) pseudonymisierte personenbezogene Daten fallen unter diesen Begriff.
1.5 Unterauftragsverarbeiter: ein Dritter, der vom Auftragsverarbeiter eingesetzt wird, um in dessen Auftrag personenbezogene Daten zu verarbeiten, ohne dessen unmittelbarer Weisungsbefugnis zu unterliegen.
1.6 Verantwortlicher: der für die Verarbeitung Verantwortliche im Sinne des niederländischen Datenschutzgesetzes (WBP) und/oder der europäischen Verordnungen und Richtlinien zum Schutz personenbezogener Daten (DSGVO).
1.7 Auftragsverarbeiter: derjenige, der im Auftrag des Verantwortlichen personenbezogene Daten verarbeitet, ohne dessen unmittelbarer Weisungsbefugnis zu unterliegen.
1.8 Verarbeitung: jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang oder jede Vorgangsreihe im Zusammenhang mit personenbezogenen Daten, insbesondere das Erheben, Erfassen, Ordnen, Speichern, Aktualisieren, Ändern, Abfragen, Abrufen, Verwenden, Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Abgleichen, Verknüpfen sowie das Einschränken, Löschen oder Vernichten von Daten.

2. Gegenstand

2.1 Hat der Auftragsverarbeiter lediglich Zugang zu den personenbezogenen Daten, ohne zu deren Verarbeitung verpflichtet zu sein, beachtet er sowohl die nationalen und internationalen Gesetze und Vorschriften über personenbezogene Daten als auch die Bestimmungen dieses Auftragsverarbeitungsvertrags, sofern und soweit der Verantwortliche den Auftragsverarbeiter rechtzeitig im Voraus auf das Vorhandensein personenbezogener Daten und den Ort (path), an dem sich diese Daten befinden, hingewiesen hat.
2.2 Hat sich der Auftragsverarbeiter im Vertrag zur Verarbeitung personenbezogener Daten verpflichtet, führt er diese mit großer Sorgfalt und entsprechend den Verarbeitungszwecken durch und beachtet dabei sowohl die nationalen und internationalen Gesetze und Vorschriften über personenbezogene Daten als auch die Bestimmungen dieses Auftragsverarbeitungsvertrags, sofern und soweit der Verantwortliche den Auftragsverarbeiter rechtzeitig im Voraus auf das Vorhandensein personenbezogener Daten und deren Speicherort hingewiesen hat.

3. Pflichten des Verantwortlichen

3.1 Der Verantwortliche teilt dem Auftragsverarbeiter Änderungen bezüglich der Verarbeitung (sofern zutreffend) und deren mögliche Folgen rechtzeitig, grundsätzlich innerhalb von 10 Arbeitstagen, mit.
3.2 Der Verantwortliche gewährleistet, dass der Auftrag zur Verarbeitung der personenbezogenen Daten (sofern zutreffend) nicht rechtswidrig ist und keine Rechte Dritter verletzt.

4. Pflichten des Auftragsverarbeiters

4.1 Der Auftragsverarbeiter wird die personenbezogenen Daten nur einsehen und/oder verarbeiten, sofern und soweit dies zur Erfüllung des Vertrags erforderlich ist, und alle angemessenen Weisungen des Verantwortlichen befolgen.
4.2 Der Auftragsverarbeiter wird die personenbezogenen Daten nicht an einem Ort außerhalb des Europäischen Wirtschaftsraums speichern. Für Domainregistrierungen kann es erforderlich sein, personenbezogene Daten an Länder außerhalb des Europäischen Wirtschaftsraums zu übermitteln. Dies wird auf das von der jeweiligen Registry verlangte Maß beschränkt.
4.3 Der Auftragsverarbeiter gewährleistet, dass sein Personal die Bestimmungen dieses Auftragsverarbeitungsvertrags einhält, sofern und soweit es in irgendeiner Weise an der Verarbeitung personenbezogener Daten beteiligt ist. Die Beschäftigten des Auftragsverarbeiters unterliegen einer Geheimhaltungspflicht.
4.4 Der Auftragsverarbeiter hat einen Datenschutzbeauftragten benannt.
4.5 Der Auftragsverarbeiter wird dem Verantwortlichen auf dessen erstes Ersuchen unverzüglich alle Kopien der vom Verantwortlichen stammenden und/oder in dessen Auftrag verarbeiteten personenbezogenen Daten aushändigen oder sie auf Wunsch vernichten.
4.6 Der Auftragsverarbeiter trifft geeignete technische und organisatorische Sicherheitsmaßnahmen, um die personenbezogenen Daten vor Verlust und unrechtmäßiger Verarbeitung zu schützen. Diese Maßnahmen gewährleisten unter Berücksichtigung des Stands der Technik und der Implementierungskosten ein den Risiken der Verarbeitung und der Art der zu schützenden Daten angemessenes Sicherheitsniveau.
4.7 Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten, die er im Auftrag des Verantwortlichen durchgeführt hat.
4.8 Der Auftragsverarbeiter unterstützt den Verantwortlichen vollständig und rechtzeitig dabei, betroffenen Personen Einsicht in ihre personenbezogenen Daten zu gewähren, ihre personenbezogenen Daten löschen oder berichtigen zu lassen und/oder nachzuweisen, dass diese Daten gelöscht oder berichtigt wurden, oder, falls der Verantwortliche die Auffassung der betroffenen Person bestreitet, zu vermerken, dass die betroffene Person ihre personenbezogenen Daten für unrichtig hält.
4.9 Der Auftragsverarbeiter trifft angemessene interne Kontrollmaßnahmen zur Erfüllung der Pflichten aus diesem Vertrag und dokumentiert diese so, dass ihre Einhaltung leicht überprüft werden kann. Bei der Verarbeitung personenbezogener Daten werden Tätigkeiten und Vorfälle im Zusammenhang mit den personenbezogenen Daten in Protokolldateien festgehalten.
4.10 Auf Anweisung des Verantwortlichen wirkt der Auftragsverarbeiter bei der Verschlüsselung und Pseudonymisierung personenbezogener Daten mit. Entstehen dem Auftragsverarbeiter dadurch höhere Kosten, erstattet der Verantwortliche diese Kosten.
4.11 Der Verantwortliche kann einmal jährlich die ordnungsgemäße Einhaltung des Auftragsverarbeitungsvertrags bei der Verarbeitung personenbezogener Daten durch eine Prüfung eines unabhängigen, registrierten EDP-Auditors kontrollieren lassen. Der Auditor wird zur Geheimhaltung verpflichtet. Der Auftragsverarbeiter stellt alle vom Auditor angeforderten Informationen bereit. Der Auditor berichtet dem Verantwortlichen in allgemeiner Form, legt jedoch keine Einzelheiten zu den getroffenen Sicherheitsmaßnahmen offen. Die Kosten der Prüfung trägt der Verantwortliche.
4.12 Inhalt und Umfang des Verarbeitungsauftrags und die dafür zu zahlende Vergütung richten sich nach den diesbezüglichen Regelungen im Vertrag. Der Auftragsverarbeiter befolgt die Weisungen des Verantwortlichen hinsichtlich der Verarbeitung und/oder Speicherung personenbezogener Daten.

5. Unterauftragsverarbeiter

5.1 Der Auftragsverarbeiter kann die Durchführung des Auftragsverarbeitungsvertrags ganz oder teilweise an einen Unterauftragsverarbeiter auslagern. Gegenüber dem Verantwortlichen bleibt der Auftragsverarbeiter jederzeit Ansprechpartner und für die Einhaltung der Bestimmungen dieses Auftragsverarbeitungsvertrags verantwortlich.
5.2 Der Auftragsverarbeiter erlegt dem Unterauftragsverarbeiter dieselben Pflichten auf, die sich für ihn selbst aus diesem Auftragsverarbeitungsvertrag ergeben, hält dies schriftlich in einem Vertrag fest und überwacht deren Einhaltung durch den Unterauftragsverarbeiter. Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen vollumfänglich für die Folgen der Auslagerung von Tätigkeiten an einen Unterauftragsverarbeiter.
5.3 Eine Ausnahme von Artikel 5.1 und 5.2 bildet die Auslagerung von Domainregistrierungen. Je nach Top-Level-Domain können Ihre personenbezogenen Daten öffentlich zugänglich gemacht werden und/oder kann der Auftragsverarbeiter die Sicherheit Ihrer personenbezogenen Daten nicht gewährleisten.

6. Offenlegung personenbezogener Daten

6.1 Dem Auftragsverarbeiter ist es nicht gestattet, personenbezogene Daten anderen als dem Verantwortlichen offenzulegen, es sei denn, dies erfolgt aufgrund einer gesetzlichen Verpflichtung oder zum Zweck des Vertrags mit dem Verantwortlichen.
6.2 Muss der Auftragsverarbeiter personenbezogene Daten aufgrund einer gesetzlichen Verpflichtung offenlegen, wird er:

• die Rechtsgrundlage des Ersuchens und die Identität des Antragstellers überprüfen und den Verantwortlichen vor der Offenlegung darüber informieren;
• die Offenlegung auf das gesetzlich vorgeschriebene Maß beschränken;
• dem Verantwortlichen ermöglichen, die Rechte des Verantwortlichen und der betroffenen Personen auszuüben und deren Interessen zu verteidigen;
• bei der Herausgabe an eine betroffene Person die Daten in einem strukturierten, gängigen und maschinenlesbaren Format bereitstellen.

7. Sicherheit

7.1 Der Verantwortliche und der Auftragsverarbeiter treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Sicherheitsniveau zu gewährleisten, damit die Verarbeitung den Anforderungen der DSGVO und anderer anwendbarer Gesetze und Vorschriften über die Verarbeitung personenbezogener Daten entspricht und der Schutz der Rechte betroffener Personen gewährleistet ist. Die vom Auftragsverarbeiter getroffenen Sicherheitsmaßnahmen sind in Anlage A aufgeführt.
7.2 Der Verantwortliche und der Auftragsverarbeiter werden sich nach Kräften bemühen, die personenbezogenen Daten gegen Eindringlinge und äußere Gefahren sowie gegen unsorgfältige Verarbeitung, rechtswidrige oder unbefugte Offenlegung und gegen Verlust, Vernichtung oder Beschädigung zu schützen und dauerhaft zu sichern. Beide Parteien sorgen dafür, dass ihre IT-Einrichtungen und Geräte physisch gegen unbefugten Zugriff sowie gegen Schäden und Störungen geschützt sind, und treffen Maßnahmen zur Verhinderung unbefugten Zugriffs auf Informationssysteme.
7.3 Der Verantwortliche und der Auftragsverarbeiter überwachen fortlaufend, ob die eingesetzten Verarbeitungssysteme angemessene Anforderungen an Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit (schnelle Wiederherstellung nach vorübergehender Nichtverfügbarkeit) erfüllen und weiterhin erfüllen.
7.4 Fordert der Verantwortliche dies schriftlich an, trifft der Auftragsverarbeiter für die dabei bezeichneten personenbezogenen Daten bzw. Datenkategorien besondere Maßnahmen zu deren Sicherheit und/oder Geheimhaltung. Entstehen dem Auftragsverarbeiter dadurch höhere Kosten, erstattet der Verantwortliche diese Kosten.

8. Datenschutzverletzung

8.1 Tritt beim Auftragsverarbeiter eine Datenschutzverletzung auf, meldet er diese unverzüglich, spätestens jedoch innerhalb von 24 Stunden, dem Verantwortlichen und gibt dabei die Art der Datenschutzverletzung, ihre (mutmaßlichen) Folgen und die zur Behebung oder Begrenzung der Folgen getroffenen Maßnahmen an.

9. Geheimhaltung

9.1 Alle Daten des Verantwortlichen und seiner Kunden sind vertraulich und werden vom Auftragsverarbeiter entsprechend behandelt. Der Auftragsverarbeiter ist verpflichtet, alle personenbezogenen Daten und Informationen geheim zu halten, die er verarbeitet oder von denen er im Rahmen des Vertrags oder dieses Auftragsverarbeitungsvertrags Kenntnis erlangt.
9.2 Die Geheimhaltung gilt nicht für Informationen:

• die öffentlich bekannt sind, ohne dass diese Veröffentlichung auf einer unbefugten Handlung beruht;
• deren Offenlegung aufgrund einer gesetzlichen Bestimmung oder gerichtlichen Anordnung erforderlich ist, vorausgesetzt, die offenlegende Partei informiert die Partei, deren Informationen betroffen sind, vorher schriftlich;
• die eine Partei unabhängig entwickelt hat;
• die sich bereits ohne Vertraulichkeitsverpflichtung im Besitz einer Partei befinden.
• Nach Beendigung dieses Auftragsverarbeitungsvertrags bleiben dieser Artikel und die darin festgelegte Geheimhaltungspflicht in Kraft.

10. Geistiges Eigentum

10.1 Alle Rechte des geistigen Eigentums, einschließlich Urheberrechten, Datenbankrechten und sämtlichen sonstigen Rechten des geistigen Eigentums sowie vergleichbaren Rechten zum Schutz von Informationen an der Sammlung von Daten und personenbezogenen Daten sowie an Kopien oder Bearbeitungen davon stehen dem Verantwortlichen (oder einem Kunden des Verantwortlichen) zu.
10.2 Alle Rechte des geistigen Eigentums – einschließlich Urheberrechten, Datenbankrechten und sämtlichen sonstigen Rechten des geistigen Eigentums sowie vergleichbaren Rechten zum Schutz von Informationen – an den Produkten und Dienstleistungen des Auftragsverarbeiters stehen dem Auftragsverarbeiter zu.

11. Haftung und Versicherung

11.1 Der Auftragsverarbeiter haftet für Schäden, die dem Verantwortlichen entstehen, und Bußgelder, die gegen den Verantwortlichen verhängt werden, wenn der Auftragsverarbeiter Vorschriften des oder aufgrund des niederländischen Datenschutzgesetzes und/oder europäischer Verordnungen und Richtlinien zum Schutz personenbezogener Daten und/oder sonstiger einschlägiger Gesetze und Vorschriften und/oder dieses Auftragsverarbeitungsvertrags nicht erfüllt oder ihnen zuwiderhandelt.
11.2 Die Haftung des Auftragsverarbeiters für Schäden und/oder Bußgelder des Verantwortlichen im Sinne von Artikel 11.1 ist auf € 50,- pro Ereignis begrenzt. Diese Haftungsbeschränkung entfällt, sofern und soweit der Schaden auf Vorsatz oder grober Fahrlässigkeit (bewusster Leichtfertigkeit) des Auftragsverarbeiters beruht.
11.3 Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen Dritter (insbesondere betroffener Personen) und daraus entstehenden Schäden frei, die auf der Nichteinhaltung von Vorschriften des oder aufgrund des niederländischen Datenschutzgesetzes und/oder europäischer Verordnungen und Richtlinien zum Schutz personenbezogener Daten und/oder sonstiger einschlägiger Gesetze und Vorschriften und/oder dieses Auftragsverarbeitungsvertrags beruhen.
11.4 Der Auftragsverarbeiter verpflichtet sich, die in den Artikeln 11.1 bis 11.2 genannten Risiken durch eine Haftpflichtversicherung abzudecken.

12. Laufzeit und Beendigung

12.1 Der Auftragsverarbeitungsvertrag tritt am Tag seiner Unterzeichnung durch die Parteien in Kraft.
12.2 Die Bestimmungen des Vertrags über Laufzeit und Beendigung gelten entsprechend für Laufzeit und Beendigung des Auftragsverarbeitungsvertrags. Endet der Vertrag aus irgendeinem Grund, endet auch der Auftragsverarbeitungsvertrag.
12.3 Bei Beendigung des Auftragsverarbeitungsvertrags überträgt der Auftragsverarbeiter alle personenbezogenen Daten an den Verantwortlichen oder vernichtet auf dessen ausdrückliches schriftliches Ersuchen die personenbezogenen Daten, die sich in seinem Besitz befinden.
12.4 Pflichten, die ihrer Natur nach auch nach Beendigung des Auftragsverarbeitungsvertrags fortbestehen sollen, gelten nach der Beendigung weiter. Dazu gehören insbesondere die Bestimmungen über Geheimhaltung, Übertragung und Vernichtung, Haftung und anwendbares Recht.

13. Auflösung

13.1 Jede Partei kann den Vertrag ganz oder teilweise auflösen, wenn die andere Partei ihre Pflichten aus dem Auftragsverarbeitungsvertrag schuldhaft verletzt und die Verletzung auch nach einer Abmahnung nicht behoben wurde; das Recht auf Schadenersatz bleibt unberührt.
13.2 Jede Partei kann den Vertrag mit sofortiger Wirkung ohne Abmahnung ganz oder teilweise auflösen, wenn der anderen Partei Zahlungsaufschub gewährt wird, ein Insolvenzantrag über ihr Vermögen gestellt wird oder ihr Unternehmen liquidiert oder beendet wird, sofern dies nicht zum Zweck der Umstrukturierung oder des Zusammenschlusses von Unternehmen erfolgt.

14. Sonstiges

14.1 Änderungen oder Ergänzungen dieses Vertrags werden zwischen dem Auftragsverarbeiter und dem Verantwortlichen schriftlich vereinbart. Änderungen oder Ergänzungen werden in einem Nachtrag zu diesem Vertrag festgehalten und sind verbindlich, wenn dieser Nachtrag von beiden Parteien unterzeichnet wurde.
14.2 Etwaige Streitigkeiten aus diesem Vertrag werden, nachdem ein Versuch der einvernehmlichen Beilegung erfolglos geblieben ist, durch ein Schiedsverfahren nach den Regeln und Verfahren des Niederländischen Schiedsinstituts entschieden, wobei der bzw. die Schiedsrichter niederländisches Recht anwenden.

Anlage A – Sicherheitsmaßnahmen

Die Maßnahmen, die der Auftragsverarbeiter mindestens erfüllt:

1. Der Auftragsverarbeiter verfügt über ein Richtliniendokument, das ausdrücklich auf die Maßnahmen eingeht, die er zum Schutz der Datenverarbeitung und zur Gewährleistung des Datenschutzes trifft.
2. Die Beschäftigten des Auftragsverarbeiters, die an der Verarbeitung personenbezogener Daten beteiligt sind, unterliegen einer Geheimhaltungspflicht/einem Integritätskodex; sofern zutreffend, wurde vor ihrer Einstellung eine Überprüfung durchgeführt.
3. Alle Beschäftigten der Organisation und, sofern zutreffend, beauftragtes Personal und externe Nutzer erhalten geeignete Schulungen und regelmäßige Fortbildungen zu den Informationssicherheitsrichtlinien und -verfahren der Organisation, soweit dies für ihre Funktion relevant ist. In den Schulungen und Fortbildungen wird ausdrücklich auf den Umgang mit personenbezogenen Daten eingegangen.
4. IT-Einrichtungen und Geräte sind physisch gegen unbefugten Zugriff sowie gegen Schäden und Störungen geschützt.
5. Es bestehen Verfahren, um berechtigten Nutzern Zugang zu den Informationssystemen und -diensten zu gewähren, die sie zur Erfüllung ihrer Aufgaben benötigen, und um unbefugten Zugriff auf Informationssysteme zu verhindern.
6. Bei der Übertragung von Informationen über Netzwerke, die vom Verantwortlichen ausdrücklich als vertraulich gekennzeichnet wurden, ist stets eine angemessene Verschlüsselung anzuwenden.
7. Für die Verwaltung von Zertifikaten und den zugehörigen Schlüsseln gilt ein aktueller Schlüsselplan, in dem Befugnisse und Funktionstrennung sichergestellt sind.
8. Es bestehen Verfahren für die Beschaffung, Entwicklung, Wartung und Vernichtung von Daten und Informationssystemen.
9. Von Nutzern ausgeführte Tätigkeiten (mit personenbezogenen Daten) werden in Protokolldateien festgehalten. Gleiches gilt für andere relevante Ereignisse, etwa Versuche, unbefugt auf personenbezogene Daten zuzugreifen, und Störungen, die zur Beschädigung oder zum Verlust personenbezogener Daten führen können. Die Protokollierung bestimmter Daten ist als individuelle Leistung auf Angebotsbasis möglich.
10. In allen Anwendungssystemen sind Sicherheitsmaßnahmen einschließlich einer angemessenen Zugriffsverwaltung integriert.
11. Das Netzwerk und die Informationssysteme werden aktiv überwacht und verwaltet. Zudem steht ein Verfahren für den Umgang mit möglichen Datenschutzverletzungen zur Verfügung. Dazu gehört die Benachrichtigung des Verantwortlichen.
12. Der Auftragsverarbeiter installiert zeitnah die von den Anbietern bereitgestellten Lösungen für Sicherheitslücken. Dies gilt ausschließlich, sofern und soweit die betreffende Software vom Auftragsverarbeiter geliefert wird/wurde oder im Auftrag des Verantwortlichen verwendet oder gewartet wird.
13. Es bestehen Verfahren zur rechtzeitigen und wirksamen Behandlung von Informationssicherheitsvorfällen und Sicherheitsschwachstellen, sobald diese gemeldet wurden.
14. Der Verantwortliche meldet Datenschutzverletzungen, die einer gesetzlichen Meldepflicht unterliegen, der zuständigen Aufsichtsbehörde (in der Regel der niederländischen Datenschutzbehörde).