Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen:
Axioma100Teorema - Unipessoal Lda, eingetragen in Portugal unter der NIPC 519435583, mit Sitz in Rua Fialho de Almeida, Número 14, 2.º Esq. Escritório Fj8, 1070-129, Lisboa, Portugal (nachfolgend „Auftragsverarbeiter“), und
der juristischen oder natürlichen Person, die über das Abrechnungssystem Paymenter ein Konto registriert und die VPS-Hosting-Dienste nutzt (nachfolgend „Verantwortlicher“).
Der Verantwortliche und der Auftragsverarbeiter werden gemeinsam als „Parteien“ bezeichnet.
1Geltungsbereich, Zweck und Rollen
1.1.Dieser AVV gilt für die Verarbeitung personenbezogener Daten, die der Verantwortliche auf den vom Auftragsverarbeiter bereitgestellten virtuellen privaten Servern (VPS) speichert, hostet oder anderweitig verarbeitet.
1.2.Im Rahmen dieses Dienstes ist der Kunde der Verantwortliche (er bestimmt den Zweck der Daten seiner Nutzer), und Axioma100Teorema, LDA ist der Auftragsverarbeiter (er stellt lediglich die technische Infrastruktur bereit).
2Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich ausdrücklich:
2.1.Nur auf Weisung: Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (einschließlich technischer automatisierter API-Aktionen über das Abrechnungspanel Paymenter und den Hypervisor Proxmox VE).
2.2.Vertraulichkeit: Sicherzustellen, dass sich alle zur Verwaltung der Infrastruktur befugten Personen zu strikter Vertraulichkeit verpflichtet haben.
2.3.Datenisolierung: Die logische Trennung der virtuellen Umgebungen auf Hypervisor-Ebene (Proxmox VE) aufrechtzuerhalten, um unbefugten Zugriff zwischen verschiedenen Kundenknoten zu verhindern.
2.4.Kein Zugriff auf Daten: Der Auftragsverarbeiter greift nicht auf die im VPS des Verantwortlichen gespeicherten Daten zu, sieht sie nicht ein und verändert sie nicht, es sei denn, der Verantwortliche verlangt dies ausdrücklich über eine offizielle Support-Anfrage zur Fehlerbehebung.
3Technische und organisatorische Maßnahmen (Einhaltung von Artikel 32 DSGVO & NIS 2)
Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, darunter:
3.1.Sicherheit der Infrastruktur: Die physische Infrastruktur, die Rechenzentren, die Stromversorgung und der DDoS-Schutz auf Netzebene sind vollständig an OVHcloud ausgelagert, ausschließlich innerhalb der Europäischen Union (EU), im Einklang mit den Normen ISO 27001 und NIS 2.
3.2.Zugangskontrolle: Strikte Mehr-Faktor-Authentifizierung (MFA) und Zugangskontrollmechanismen für die Verwaltungsebene der Infrastruktur.
3.3.Isolierung der Verwaltungsebene: Der Zugriff auf die Verwaltungsoberflächen von Proxmox VE ist streng auf sichere verschlüsselte VPN-Verbindungen beschränkt.
4Unterauftragsverarbeiter
4.1.Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter für den Betrieb der Infrastruktur hinzuzuziehen.
4.2.Der wichtigste genehmigte Unterauftragsverarbeiter für das Hosting der Infrastruktur ist:
OVH Groupe SA (OVHcloud) — Standort: Europäische Union. Zweck: Miete dedizierter Bare-Metal-Server.
4.3.Der Auftragsverarbeiter informiert den Verantwortlichen per E-Mail oder über den Neuigkeitenbereich des Systems Paymenter über jede beabsichtigte Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern.
5Rechte der betroffenen Personen & Zusammenarbeit mit Behörden
5.1.Unterstützung: Unter Berücksichtigung der Art des Hosting-Dienstes unterstützt der Auftragsverarbeiter den Verantwortlichen nach Möglichkeit mit geeigneten technischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen zu beantworten (Rechte nach Kapitel III DSGVO).
5.2.Verletzung des Schutzes personenbezogener Daten: Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich (spätestens binnen 48 Stunden), nachdem ihm ein bestätigter Sicherheitsvorfall auf seiner Seite bekannt geworden ist, der zur unbeabsichtigten oder unrechtmäßigen Vernichtung, zum Verlust oder zur Veränderung personenbezogener Daten führt.
6Internationale Datenübermittlungen
6.1.Alle Verwaltungsserver (Paymenter) und Kundenumgebungen (Proxmox-Knoten) befinden sich ausschließlich im Europäischen Wirtschaftsraum (EWR). Der Auftragsverarbeiter übermittelt keine in den VPS gehosteten personenbezogenen Daten außerhalb der EU/des EWR.
7Laufzeit und Beendigung
7.1.Dieser AVV gilt für die Dauer des Hauptvertrags (Nutzungsbedingungen).
7.2.Nach Beendigung des Dienstes löscht der Auftragsverarbeiter die betreffende virtuelle Maschine (VPS) und alle zugehörigen lokalen Datenreste innerhalb von 7 bis 14 Tagen aus dem Proxmox-Cluster, sofern nicht EU-Recht oder portugiesisches Recht eine längere Aufbewahrung von Buchhaltungs- oder Abrechnungsdaten verlangt.
Anlage A: Einzelheiten der Verarbeitung
Kategorien betroffener Personen: Nutzer der Websites, Anwendungen oder Dienste des Verantwortlichen, die auf dem VPS gehostet werden.
Arten personenbezogener Daten: Alle digitalen Daten, die der Verantwortliche auf den VPS hochlädt, dort speichert oder überträgt (darunter möglicherweise IP-Adressen, Protokolle, Datenbanken, Nutzerprofile).
Art und Zweck der Verarbeitung: Digitale Speicherung, Hosting und Bereitstellung von Rechenressourcen auf Cloud-Servern.