1. Gegenstand und Verhältnis zu bestehenden Vereinbarungen
Der Auftragnehmer setzt im Rahmen des zwischen den Parteien bestehenden Wartungsvertrags den achtbit. Connector zur technischen Überwachung, Wartung und Absicherung der vom Wartungsvertrag umfassten WordPress-Website ein.
Diese Vereinbarung regelt ausschließlich die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Einsatz des achtbit. Connectors.
Soweit zwischen den Parteien bereits eine Vereinbarung zur Auftragsverarbeitung gemäß Art. 28 DSGVO besteht, ergänzt diese Vereinbarung die bestehende Vereinbarung ausschließlich hinsichtlich des Einsatzes des achtbit. Connectors. Die übrigen Regelungen der bestehenden Vereinbarung bleiben unverändert bestehen.
Soweit zwischen den Parteien keine bestehende Vereinbarung zur Auftragsverarbeitung vorliegt, gelten die nachfolgenden Regelungen ausschließlich für die Verarbeitung personenbezogener Daten im Zusammenhang mit dem Einsatz des achtbit. Connectors.
Die Verarbeitung beginnt mit der Aktivierung des Connectors und endet grundsätzlich mit dessen Deaktivierung oder der Beendigung des zugrunde liegenden Wartungsvertrags.
2. Art und Zweck der Verarbeitung
Die Verarbeitung erfolgt zur technischen Überwachung, Wartung und Absicherung der vom Wartungsvertrag umfassten WordPress-Website.
Die Verarbeitung dient insbesondere folgenden Zwecken:
- Überwachung des technischen Zustands der Website;
- Erfassung der eingesetzten WordPress-Version;
- Erfassung installierter und aktiver Plugins und Themes einschließlich Versions- und Aktualisierungsstatus;
- automatisierter Abgleich der eingesetzten Komponenten mit Informationen über bekannte Sicherheitslücken;
- Erkennung und Bewertung sicherheitsrelevanter Aktualisierungen und Veränderungen;
- Vorbereitung, Durchführung und Kontrolle technischer Aktualisierungen;
- Fehleranalyse und Störungsbeseitigung;
- Nachvollziehbarkeit administrativer Änderungen an WordPress, Plugins und Themes;
- Erkennung sicherheitsrelevanter oder unautorisierter Veränderungen;
- Unterstützung bei der Untersuchung konkreter Sicherheits- und Supportfälle.
Die Verarbeitung kann insbesondere das Erfassen, Auslesen, Abfragen, Ordnen, Speichern, Verwenden, Einschränken, Löschen und Vernichten personenbezogener Daten umfassen.
3. Arten personenbezogener Daten
Im Zusammenhang mit dem Einsatz des achtbit. Connectors können insbesondere folgende personenbezogene Daten verarbeitet werden:
- WordPress-Benutzername;
- WordPress-Benutzer-ID;
- Anzeigename des Benutzerkontos;
- Zeitpunkt administrativer Handlungen;
- Art administrativer Handlungen;
- Informationen über Installation, Aktivierung, Deaktivierung, Aktualisierung oder Löschung von WordPress-Komponenten;
- technische Ereignis-, Status- und Protokolldaten.
4. Kategorien betroffener Personen
Von der Verarbeitung können insbesondere folgende Personengruppen betroffen sein:
- Administratoren der WordPress-Website;
- Redakteure und sonstige WordPress-Benutzer mit entsprechenden Berechtigungen;
- Beschäftigte des Auftraggebers mit Zugang zur WordPress-Administration;
- externe Dienstleister des Auftraggebers;
- sonstige vom Auftraggeber autorisierte Personen mit Zugang zur WordPress-Administration.
5. Protokollierung und Zweckbindung
Zur Gewährleistung der IT-Sicherheit, zur Fehleranalyse und zur technischen Nachvollziehbarkeit werden administrative Änderungen an WordPress und den eingesetzten Komponenten protokolliert.
Die personenbezogenen Protokolldaten werden ausschließlich für folgende Zwecke verarbeitet:
- IT-Sicherheit;
- Fehleranalyse;
- Störungsbeseitigung;
- technische Nachvollziehbarkeit von Änderungen;
- Untersuchung konkreter Sicherheitsvorfälle;
- Bearbeitung technischer Supportfälle.
Eine Nutzung der personenbezogenen Protokolldaten durch den Auftragnehmer zur allgemeinen Leistungs- oder Verhaltenskontrolle von Beschäftigten oder sonstigen Nutzern des Auftraggebers erfolgt nicht.
6. Speicherdauer und Anonymisierung
Die Zuordnung administrativer Änderungen zu einem konkreten WordPress-Benutzerkonto wird für einen Zeitraum von 30 Tagen gespeichert.
Nach Ablauf dieser Frist wird der Personenbezug entfernt und die verbleibenden Protokolldaten werden anonymisiert.
Die anonymisierten Protokolldaten können zeitlich unbefristet zur technischen Dokumentation, statistischen Auswertung, Fehleranalyse sowie zur Verbesserung der Sicherheits- und Wartungsleistungen gespeichert und verwendet werden.
Nach der Anonymisierung ist eine Zuordnung der Daten zu einer bestimmten oder bestimmbaren natürlichen Person nicht mehr möglich.
Soweit die weitere personenbezogene Speicherung einzelner Protokolldaten zur Untersuchung eines konkreten Sicherheitsvorfalls oder einer technischen Störung erforderlich ist, können diese Daten für die Dauer der Untersuchung und der erforderlichen Nachbearbeitung gespeichert werden.
7. Weisungsgebundene Verarbeitung
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen dieser Vereinbarung und nach dokumentierten Weisungen des Auftraggebers, sofern der Auftragnehmer nicht durch das Recht der Europäischen Union oder eines Mitgliedstaates zu einer darüber hinausgehenden Verarbeitung verpflichtet ist.
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung personenbezogener Daten in seinem Verantwortungsbereich sowie für die Wahrung der Rechte der betroffenen Personen verantwortlich.
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
8. Vertraulichkeit
Der Auftragnehmer gewährleistet, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
Der Zugriff auf personenbezogene Connector-Daten wird auf Personen beschränkt, die diesen Zugriff zur Erbringung der vereinbarten Wartungs-, Support- und Sicherheitsleistungen benötigen.
9. Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.
Hierzu gehören insbesondere angemessene Maßnahmen:
- zur Zugangs- und Zugriffskontrolle;
- zur Beschränkung von Berechtigungen auf den erforderlichen Umfang;
- zum Schutz der Übertragung personenbezogener Daten;
- zum Schutz der Vertraulichkeit und Integrität der verarbeiteten Daten;
- zur Sicherstellung der Verfügbarkeit und Belastbarkeit der eingesetzten Systeme;
- zur Wiederherstellung der Verfügbarkeit von Daten und Systemen nach technischen oder physischen Zwischenfällen;
- zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit der getroffenen Sicherheitsmaßnahmen.
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage nähere Informationen zu den getroffenen technischen und organisatorischen Maßnahmen zur Verfügung.
Soweit zwischen den Parteien bereits eine Vereinbarung zur Auftragsverarbeitung besteht, gelten die dort vereinbarten technischen und organisatorischen Maßnahmen ergänzend fort.
10. Unterauftragnehmer
Für den Betrieb der technischen Infrastruktur wird die Hetzner Online GmbH, Deutschland, als Unterauftragnehmer eingesetzt.
Der Auftraggeber erteilt seine allgemeine Genehmigung zur Inanspruchnahme von Unterauftragnehmern für die Erbringung der vereinbarten Leistungen.
Der Auftragnehmer informiert den Auftraggeber über jede beabsichtigte Änderung hinsichtlich der Hinzuziehung oder Ersetzung von Unterauftragnehmern. Der Auftraggeber erhält Gelegenheit, aus datenschutzrechtlichen Gründen Einwände gegen die beabsichtigte Änderung zu erheben.
Der Auftragnehmer stellt sicher, dass mit Unterauftragnehmern, die personenbezogene Daten im Auftrag verarbeiten, die erforderlichen datenschutzrechtlichen Vereinbarungen geschlossen werden und diesen im erforderlichen Umfang entsprechende Datenschutzpflichten auferlegt werden.
11. Unterstützung des Auftraggebers und Rechte betroffener Personen
Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen in angemessenem Umfang bei:
- der Bearbeitung von Anträgen betroffener Personen;
- der Gewährleistung der Sicherheit der Verarbeitung;
- der Behandlung und Dokumentation von Datenschutzverletzungen;
- gegebenenfalls erforderlichen Datenschutz-Folgenabschätzungen;
- der Erfüllung sonstiger gesetzlicher Mitwirkungs- und Nachweispflichten im Zusammenhang mit der Connector-Verarbeitung.
Erhält der Auftragnehmer eine Anfrage einer betroffenen Person, die die Verarbeitung im Verantwortungsbereich des Auftraggebers betrifft, leitet er diese an den Auftraggeber weiter.
12. Datenschutzverletzungen
Der Auftragnehmer informiert den Auftraggeber unverzüglich über ihm bekannt gewordene Verletzungen des Schutzes personenbezogener Daten im Zusammenhang mit dem Betrieb des achtbit. Connectors.
Der Auftragnehmer unterstützt den Auftraggeber im erforderlichen Umfang bei der Erfüllung seiner gesetzlichen Melde- und Benachrichtigungspflichten.
13. Nachweis und Kontrolle
Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die erforderlichen Informationen zum Nachweis der Einhaltung der in dieser Vereinbarung geregelten Pflichten zur Verfügung.
Der Auftraggeber ist berechtigt, die Einhaltung der vereinbarten Datenschutz- und Sicherheitsmaßnahmen in angemessenem Umfang selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer zu kontrollieren.
Kontrollen sind grundsätzlich mit angemessener Vorankündigung durchzuführen und so zu gestalten, dass der Geschäftsbetrieb des Auftragnehmers nicht unangemessen beeinträchtigt wird.
14. Löschung nach Beendigung der Verarbeitung
Nach Beendigung der Verarbeitung im Rahmen des achtbit. Connectors werden die noch vorhandenen personenbezogenen Connector-Daten nach Wahl des Auftraggebers gelöscht oder zurückgegeben und vorhandene Kopien gelöscht, soweit keine gesetzliche Verpflichtung zur weiteren Speicherung besteht.
Bereits wirksam anonymisierte Daten, bei denen eine Zuordnung zu einer bestimmten oder bestimmbaren natürlichen Person nicht mehr möglich ist, sind hiervon nicht betroffen.
Soweit zwischen den Parteien bereits eine Vereinbarung zur Auftragsverarbeitung besteht, gelten deren Regelungen zur Beendigung der Verarbeitung und Löschung personenbezogener Daten ergänzend fort.
15. Verhältnis zu bestehenden Verträgen
Soweit zwischen den Parteien bereits eine Vereinbarung zur Auftragsverarbeitung besteht, ergänzt diese Vereinbarung die bestehende Vereinbarung ausschließlich hinsichtlich der Verarbeitung im Zusammenhang mit dem achtbit. Connector.
Bei Widersprüchen gelten für die Connector-Verarbeitung die spezielleren Regelungen dieser Vereinbarung. Im Übrigen bleibt eine bestehende Vereinbarung zur Auftragsverarbeitung unverändert bestehen.
Der bestehende Wartungsvertrag bleibt von dieser Vereinbarung unberührt.