Vertrag zur Auftragsverarbeitung
1. Gegenstand und Dauer der Verarbeitung
Der Auftragsverarbeiter protokolliert über das auf der Website des Abonnenten angezeigte Cookie-Banner die Cookie-Einwilligung der Besucher, damit der Abonnent das Vorliegen der Einwilligung nachweisen kann (Art. 7 Abs. 1 DSGVO). Darüber hinaus nimmt der Auftragsverarbeiter die über das gehostete Formular für Betroffenenanfragen des Abonnenten eingereichten Anfragen entgegen, speichert sie und leitet sie per E-Mail an die vom Abonnenten bestimmten Kontomitglieder weiter. Die Verarbeitung erfolgt für die Dauer des Abonnements.
2. Betroffene Personen und Datenkategorien
Betroffene Personen: die Besucher der Website des Abonnenten sowie Personen, die das Formular für Betroffenenanfragen ausfüllen.
- Einwilligungsprotokoll: eine zufällige Einwilligungs-ID, der Zeitpunkt der Entscheidung, die gewählten Kategorien und Dienste, Version und Sprache des Banners, die angewendete regionale Regel, das aus der Zeitzone des Browsers ermittelte ungefähre Land, Gerätetyp, Browser und Betriebssystem, die Seitenadresse (ohne Abfrageparameter), die User-Agent-Zeichenfolge des Browsers und ein Einweg-Hashwert der IP-Adresse. Die IP-Adresse wird nicht im Klartext gespeichert.
- Betroffenenanfragen: Name, E-Mail-Adresse, Nachricht, Art und Sprache der Anfrage sowie ein Einweg-Hashwert der IP-Adresse.
- Cookie-Erklärung: Das Banner übermittelt die Namen (nicht die Werte) der auf der Website festgestellten Cookies zur Erstellung der Cookie-Erklärung.
Statistiken (nach Gerät, Browser, Betriebssystem, ungefährem Land und Sprache) sind aggregierte Zählwerte und enthalten keine personenbezogenen Daten. Das ungefähre Land wird aus der Zeitzone des Browsers ermittelt, nicht aus der IP-Adresse. Zur Messung des Kontingents an Seitenaufrufen sendet das Banner pro Seitenaufruf ein leeres Signal; gespeichert wird nur die tägliche Anzahl der Seitenaufrufe der Website.
3. Pflichten des Auftragsverarbeiters
- Er verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Abonnenten, d. h. entsprechend den Einstellungen des Dienstes, und nutzt sie nicht für eigene Zwecke.
- Er verpflichtet die Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit.
- Er trifft geeignete technische und organisatorische Maßnahmen: verschlüsselter Datenverkehr (HTTPS), rollenbasierte Zugriffskontrolle, Zwei-Faktor-Authentifizierung, begrenzte Anmeldeversuche, Einweg-Hashing von IP-Adressen, eine isolierte Scanner-Umgebung, regelmäßige Sicherungen und automatische Löschung veralteter Daten.
- Er unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenanfragen: Der zu einer Einwilligungs-ID gehörende Datensatz kann in der Verwaltungsoberfläche gesucht und exportiert werden, und die über das Formular für Betroffenenanfragen eingereichten Anfragen können dort bearbeitet werden.
- Er informiert den Abonnenten über eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden.
- Er stellt die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung.
4. Unterauftragsverarbeiter
Der Abonnent erteilt eine allgemeine Genehmigung für den Einsatz der folgenden Unterauftragsverarbeiter:
- Hosting: Microsoft Ireland Operations Ltd. (Microsoft Azure, Rechenzentrum Sweden Central), One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, D18 P521, Irland;
- Microsoft Ireland Operations Ltd. (Irland): Hosting in Microsoft Azure sowie E-Mail-Zustellung über Microsoft 365 / Microsoft Graph, einschließlich der Benachrichtigungen über Betroffenenanfragen;
- E-Mail-Versand: Microsoft Ireland Operations Ltd. (Microsoft 365);
- Stripe Payments Europe Ltd. (Irland): Einzug der Abonnemententgelte; Stripe erhält keine Besucherdaten.
- KBOSS.hu Kft. (Számlázz.hu, Ungarn): Ausstellung und Versand der Rechnungen an den Abonnenten; erhält keine Besucherdaten.
Über den Einsatz eines neuen Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Abonnenten mindestens 15 Tage im Voraus. Der Abonnent kann widersprechen und in diesem Fall den Vertrag kündigen.
5. Speicherort, Aufbewahrung und Löschung
Die Daten werden in der Europäischen Union gespeichert. Einträge im Einwilligungsprotokoll werden 12 Monate (im kostenlosen Tarif 30 Tage) aufbewahrt und danach automatisch gelöscht, sofern der Abonnent sie nicht früher löscht. Betroffenenanfragen werden aufbewahrt, bis der Abonnent sie löscht. Bei Vertragsende übergibt der Auftragsverarbeiter die Daten auf Verlangen des Abonnenten in exportierbarer Form und löscht sie anschließend innerhalb von 30 Tagen.