Vertrag zur Auftragsverarbeitung

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und der Moellenbeck-Digital UG (haftungsbeschränkt) als Auftragsverarbeiter, soweit wir im Rahmen von „Betrieb durch uns“ (AGB § 5) personenbezogene Daten im Auftrag des Kunden verarbeiten. Er wird mit der Buchung auf dieser Website Teil des Vertrags und gilt für dessen Dauer, einschließlich der Löschfristen nach § 9.

Gegenstand ist der Betrieb von Control-Server und Relays für die Waves des Kunden: Anmeldung von Nutzern und Geräten, Vergabe von Adressen und Namen, Verteilung signierter Netzkarten und die Vermittlung verschlüsselter Verbindungen.

Zweck ist allein, den Wave des Kunden bereitzustellen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.

Datenarten: Konten der Nutzer (E-Mail-Adresse, Name, Profilbild soweit vom Anmeldedienst geliefert, Passwort-Hash, Geheimnis des zweiten Faktors), Mitgliedschaften und Einladungen, Geräte (Name, Betriebssystem, öffentliche Schlüssel, vergebene Adressen, öffentliche IP-Adressen und Ports als Verbindungskandidaten, Online-Status und Zeitpunkt der letzten Verbindung), Namen der Dienste im Wave, Zugriffsregeln sowie ein Protokoll der Änderungen am Wave.

Inhalte der Verbindungen verarbeiten wir nicht: Der Verkehr zwischen den Geräten ist Ende-zu-Ende mit WireGuard verschlüsselt, ein Relay sieht nur Chiffrat.

Betroffene sind die Nutzer, die der Kunde in seinen Wave aufnimmt, typischerweise seine Beschäftigten und Beauftragten.

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen sind abschließend in diesem Vertrag und in den Einstellungen festgelegt, die der Kunde in seinem Wave vornimmt; weitere Weisungen erteilt er in Textform. Das gilt auch für eine Übermittlung in Drittländer, es sei denn, wir sind nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; dann teilen wir dem Kunden das vorher mit, sofern das Recht es nicht verbietet. Halten wir eine Weisung für rechtswidrig, sagen wir das unverzüglich.

Zugang zu den Daten haben nur Personen, die für den Betrieb zuständig und zur Vertraulichkeit verpflichtet sind.

Wir treffen Maßnahmen nach Art. 32 DSGVO, insbesondere:

Verschlüsselung: alle Verbindungen zum Control-Server über TLS, der Verkehr zwischen Geräten Ende-zu-Ende über WireGuard; private Schlüssel verlassen die Geräte nie.

Zugangsschutz: Passwörter nur als Argon2id-Hash, optional ein zweiter Faktor (TOTP); Einladungen, Einrichtungslinks und Geräteschlüssel nur als SHA-256-Hash; Zugangsdaten zu DNS-Anbietern mit AES-256-GCM versiegelt.

Betrieb: Container in einem Kubernetes-Cluster im Rechenzentrum der Hetzner Online GmbH in Nürnberg; Zugriff auf Cluster und Datenbank nur für Administratoren des Auftragsverarbeiters.

Verfügbarkeit: tägliche Sicherung der Datenbank und fortlaufende Sicherung der Änderungen in Hetzner Object Storage in Nürnberg, 30 Tage aufbewahrt.

Nachvollziehbarkeit: Änderungen an Mitgliedern, Geräten, Regeln und Einstellungen eines Waves werden protokolliert und sind für den Kunden einsehbar.

Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

Der Kunde genehmigt die Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, für Rechenzentrum, Server und Speicher in Deutschland.

Weitere oder andere Unterauftragsverarbeiter kündigen wir mindestens vier Wochen vorher in Textform an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; dann kann jede Seite den Vertrag zum Zeitpunkt des Wechsels kündigen. Wir verpflichten Unterauftragsverarbeiter vertraglich wie in diesem Vertrag.

Eine Verarbeitung außerhalb der EU oder des EWR findet nicht statt.

Nicht Gegenstand dieses Vertrags ist unsere Kommunikation mit dem Kunden über den Vertrag, einschließlich der E-Mail mit dem Link zur Einrichtung seines Kontos; sie verarbeiten wir als eigener Verantwortlicher nach unserer Datenschutzerklärung.

Wir unterstützen den Kunden mit den Funktionen des Dienstes und auf Anfrage dabei, Anträge Betroffener zu beantworten (Art. 12 bis 23 DSGVO), sowie bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Mitglieder und Geräte kann der Kunde selbst entfernen; damit werden ihre Daten im Wave gelöscht.

Wird uns eine Verletzung des Schutzes personenbezogener Daten des Kunden bekannt, informieren wir ihn unverzüglich, möglichst innerhalb von 24 Stunden, mit den Angaben, die er für eine Meldung nach Art. 33 DSGVO braucht.

Nach Vertragsende sperren wir den Wave und löschen seine Daten 30 Tage später. Bis dahin kann der Kunde eine Herausgabe seiner Daten verlangen. Aus den Sicherungen verschwinden die Daten spätestens weitere 30 Tage danach. Gesetzliche Aufbewahrungspflichten bleiben unberührt; sie betreffen unsere Rechnungen, nicht die Daten im Wave.

Wir stellen dem Kunden die Informationen zur Verfügung, die er zum Nachweis der Pflichten nach Art. 28 DSGVO braucht, und ermöglichen Überprüfungen, einschließlich Inspektionen, durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs. Den Aufwand dafür können wir angemessen berechnen, außer die Überprüfung ergibt einen Verstoß.

Für die Haftung gilt Art. 82 DSGVO, im Übrigen § 9 der AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.