Auftragsverarbeitungsvertrag
Zuletzt aktualisiert:
Diese Übersetzung dient nur Ihrer Information. Weicht sie von der englischen Fassung ab, ist die englische Fassung maßgeblich.
Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen dem Kunden („Verantwortlicher“) und Tomas Pesek, Dritec 214, 533 05 Tschechien, Ident.-Nr. (IČO) 74861280 („Auftragsverarbeiter“) und gilt, wann immer der Auftragsverarbeiter über Frontmail personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten, um E-Mail-Nachrichten zuzustellen, den Nachrichtenverlauf zu speichern, Kontakte und Sperrlisten zu verwalten und Statistiken bereitzustellen, und zwar für die Dauer der Nutzung des Dienstes durch den Verantwortlichen.
2. Art der Verarbeitung
| Punkt | Beschreibung |
|---|---|
| Betroffene Personen | Empfänger und Absender von Nachrichten (z. B. Website-Besucher, die Formulare absenden), Kontakte, Teammitglieder |
| Datenkategorien | E-Mail-Adressen, Namen und alle weiteren Daten, die der Verantwortliche in Vorlagenparameter oder Anhänge aufnimmt; Zustellereignisse (zugestellt, unzustellbar, geöffnet, geklickt); IP-Adresse und User-Agent bei Formularübermittlungen |
| Besondere Kategorien | nicht vorgesehen; der Verantwortliche darf keine besonderen Kategorien personenbezogener Daten übermitteln, es sei denn, sie sind angemessen geschützt und dies wurde schriftlich vereinbart |
| Verarbeitungsvorgänge | Empfangen, Validieren, Rendern, Speichern, Übermitteln an den E-Mail-Anbieter des Verantwortlichen, Protokollieren, Löschen |
3. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter wird:
- personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen verarbeiten, einschließlich der im Dashboard und über die API vorgenommenen Konfiguration;
- sicherstellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben;
- geeignete technische und organisatorische Maßnahmen umsetzen (Anlage 1);
- den Verantwortlichen bei Anfragen betroffener Personen, bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen und bei Datenschutz-Folgenabschätzungen unterstützen;
- den Verantwortlichen über eine Verletzung des Schutzes personenbezogener Daten unverzüglich und in jedem Fall innerhalb von [48] Stunden, nachdem sie ihm bekannt wurde, benachrichtigen;
- nach Beendigung des Dienstes alle personenbezogenen Daten löschen oder zurückgeben, sofern keine gesetzliche Pflicht zur Speicherung besteht;
- alle erforderlichen Informationen zum Nachweis der Einhaltung zur Verfügung stellen und Überprüfungen ermöglichen [Prüfverfahren noch festzulegen].
4. Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der unten aufgeführten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens [30] Tage im Voraus über beabsichtigte Änderungen; der Verantwortliche kann aus berechtigten Gründen Einspruch erheben.
| Unterauftragsverarbeiter | Zweck | Standort |
|---|---|---|
| Amazon Web Services EMEA SARL | Hosting, Speicherung, Warteschlangen, Verschlüsselungsschlüssel | EU (Frankfurt) |
| Cloudflare, Inc. | DNS, Bot-Schutz (Turnstile) | weltweit, SCC |
| Google Cloud EMEA Ltd. | Nutzungsanalyse (BigQuery) | [REGION ZU BESTÄTIGEN] |
| Stripe Payments Europe, Ltd. | Abrechnung (nur Abrechnungsdaten des Verantwortlichen) | EU / USA, SCC |
Die vom Verantwortlichen verbundenen E-Mail-Anbieter (zum Beispiel Gmail, Mailgun oder ein SMTP-Server) werden vom Verantwortlichen ausgewählt und beauftragt und sind keine Unterauftragsverarbeiter des Auftragsverarbeiters.
5. Internationale Übermittlungen
Übermittlungen in Länder außerhalb des EWR erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses oder von Standardvertragsklauseln (SCC), erforderlichenfalls mit ergänzenden Maßnahmen.
Anlage 1 – Technische und organisatorische Maßnahmen
- Verschlüsselung bei der Übertragung (TLS 1.2+) und im Ruhezustand; Zugangsdaten zu Anbietern werden mit datensatzbezogenen Datenschlüsseln verschlüsselt (Envelope-Verschlüsselung mit AWS KMS).
- Zugriff nach dem Prinzip der minimalen Rechte, Mehr-Faktor-Authentifizierung für Mitarbeitende, Protokollierung sensibler Aktionen im Audit-Log.
- Getrennte Produktions- und Entwicklungsumgebungen; Datensicherungen mit Point-in-Time-Wiederherstellung in der Produktion.
- Speicherfristen je Tarif; automatische Löschung abgelaufener Nachrichteninhalte.
- Rate Limiting, Bot-Schutz und Anomalieerkennung zur Verhinderung von Missbrauch.
[Unterschriftenblock / Mechanismus zur Annahme per Klick noch festzulegen.]