Auftrags­verarbeitungs­vertrag

§ 1 Gegenstand und Dauer

1. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Maximilian Francke, OranienCloud, Bernauer Straße 93, 16515 Oranienburg („Auftragnehmer“) im Auftrag des Kunden von OranienCloud Business („Auftraggeber“) nach Art. 28 DSGVO.
2. Er ist Bestandteil des Vertrags über OranienCloud Business und gilt für dessen Dauer sowie bis zur vollständigen Löschung der Daten nach § 9.

§ 2 Art, Zweck, Daten und Betroffene

1. Art und Zweck: Speicherung, Synchronisierung, Freigabe, Versionierung, Sicherung und, bei gebuchtem Office, Darstellung und Bearbeitung von Dateien sowie die Verwaltung der Nutzerkonten des Auftraggebers.
2. Datenarten: alle Daten, die der Auftraggeber und seine Nutzer in OranienCloud Business ablegen (Inhalte, Dateinamen, Metadaten), Nutzerdaten (Name, E-Mail-Adresse, Rollen, Anmelde- und Aktivitätsprotokolle). In Ende-zu-Ende-verschlüsselten Ordnern verarbeitet der Auftragnehmer nur verschlüsselte Inhalte, die er nicht lesen kann.
3. Betroffene: Beschäftigte und sonstige Nutzer des Auftraggebers sowie Personen, deren Daten in den abgelegten Inhalten enthalten sind (z. B. Kunden, Lieferanten, Ansprechpartner).

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; als solche gelten dieser Vertrag, die Leistungsbeschreibung und die Einstellungen, die der Auftraggeber in OranienCloud Business vornimmt. Weitere Weisungen erfolgen in Textform.
2. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
3. Eine Verarbeitung ohne Weisung erfolgt nur, wenn das Recht der EU oder Deutschlands sie verlangt; der Auftragnehmer teilt dies vorher mit, soweit das Recht es nicht verbietet.

§ 4 Vertraulichkeit

Der Auftragnehmer ist Inhaber und einzige Person mit administrativem Zugriff. Sollten weitere Personen Zugriff erhalten, werden sie vorher zur Vertraulichkeit verpflichtet. Zugriffe auf Kundendaten am Server werden protokolliert und sofort gemeldet; sie erfolgen nur, soweit es für Betrieb, Support auf Anfrage oder gesetzliche Pflichten nötig ist.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Zugang und Zugriff: Server-Anmeldung nur per Schlüssel und nur aus dem eigenen Netz; zentrale Anmeldung mit Sperre bei Fehlversuchen; Zwei-Faktor-Pflicht für Administratoren; getrennte Konten, Instanzen und Datenbanken je Dienst; Mandantentrennung zwischen Firmen; Protokollierung und Sofortmeldung manueller Zugriffe auf Kundendaten.
• Verschlüsselung: HTTPS für alle Verbindungen; Ende-zu-Ende-Verschlüsselung in Tresor-Ordnern; verschlüsselte Sicherungen.
• Verfügbarkeit: gespiegelte Datenplatten (RAID 1) mit Überwachung; versionierte, verschlüsselte Sicherung alle 4 Stunden mit rund 60 Tagen Aufbewahrung und Kopie außer Haus; Überwachung aller Dienste mit Alarm; regelmäßige Sicherheitsupdates.
• Überprüfung: regelmäßige automatische Prüfungen der Sicherungen und Wiederherstellungstests der Datenbanken; Änderungen nur mit Sicherung und dokumentiertem Rückweg.

Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Eine ausführliche Übersicht stellt er auf Anfrage zur Verfügung.

§ 6 Unterauftragsverarbeiter

Für die Speicherung der Inhalte setzt der Auftragnehmer keine Unterauftragsverarbeiter ein; alle Dienste laufen auf seinen eigenen Servern in Deutschland. Für den Versand von E-Mails (z. B. Einladungen, Benachrichtigungen) nutzt er die IONOS SE, Montabaur, Deutschland. Der Auftraggeber stimmt dem zu. Über beabsichtigte Änderungen informiert der Auftragnehmer vorher in Textform; der Auftraggeber kann aus wichtigem Grund widersprechen.

§ 7 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber im zumutbaren Rahmen bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung, Export) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Viele dieser Aufgaben kann der Auftraggeber über die Firmenverwaltung selbst erledigen.
2. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen.

§ 8 Nachweise und Kontrollen

Der Auftragnehmer stellt die zum Nachweis der Pflichten nötigen Informationen zur Verfügung. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung, zu üblichen Geschäftszeiten und ohne Störung des Betriebs möglich; da sich die Server in privaten Räumen befinden, kann der Nachweis vorrangig durch Unterlagen erfolgen.

§ 9 Löschung und Rückgabe

Nach Vertragsende kann der Auftraggeber seine Daten 14 Tage lang herunterladen. Danach löscht der Auftragnehmer alle Daten nach weiteren 7 Tagen; aus den Sicherungen werden sie nach spätestens rund 60 Tagen entfernt. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

§ 10 Schlussbestimmungen

Bei Widersprüchen geht dieser Vertrag den übrigen Vereinbarungen vor, soweit es um den Schutz personenbezogener Daten geht. Für die Haftung gilt Art. 82 DSGVO.