Vertrag zur Auftragsverarbeitung

1. Parteien und Einbeziehung

Dieser Vertrag nach Art. 28 DSGVO wird zwischen dem in 1stlevel registrierten Unternehmen als Verantwortlichem („Kunde“) und NG IT-Projekte, Inhaber Nikolas Gottschalk, Sonnenhof 150, 53119 Bonn, als Auftragsverarbeiter („Anbieter“) geschlossen. Er wird mit der elektronischen Annahme bei Registrierung Bestandteil des Nutzungsvertrags.

Er gilt vorrangig vor widersprechenden Datenschutzregelungen der AGB. Die AGB, insbesondere deren Haftungsregelungen, gelten ergänzend, soweit zwingendes Datenschutzrecht nicht entgegensteht.

2. Gegenstand, Dauer, Art und Zweck

Gegenstand ist die Bereitstellung und der Betrieb des webbasierten Ticketsystems einschließlich E-Mail-Verarbeitung, Anhängen, Suche, Wissensinhalten, Teamfunktionen, Export, API und Webhooks. Die Verarbeitung dauert für die Laufzeit des Nutzungsvertrags zuzüglich der vereinbarten Rückgabe-, Sicherungs- und Löschzeiträume.

Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Auslesen, Übermitteln, Einschränken, Sichern und Löschen, jeweils nur zur Bereitstellung, Absicherung, Wartung und Unterstützung des Dienstes sowie nach dokumentierter Weisung des Kunden.

3. Datenarten und betroffene Personen

• Stamm-, Kontakt- und Organisationsdaten von Beschäftigten, Dienstleistern, Kunden und sonstigen Anfragenden des Kunden.
• Kommunikations- und Ticketinhalte, E-Mail-Metadaten, Anhänge, interne Notizen, Status-, Zuständigkeits- und Zeitangaben.
• Nutzungs-, Protokoll-, Geräte- und Identifikationsdaten, soweit für Betrieb und Sicherheit erforderlich.
• Betroffen sind insbesondere Nutzer des Kunden, dessen Beschäftigte, Kunden, Interessenten, Lieferanten und sonstige Kommunikationspartner.

4. Weisungen und Verantwortung des Kunden

Der Anbieter verarbeitet Auftragsdaten einschließlich etwaiger Übermittlungen in Drittländer ausschließlich auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Verarbeitungspflicht besteht. In diesem Fall informiert er den Kunden vor der Verarbeitung über die Pflicht, sofern das Gesetz diese Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Konfiguration, Nutzung, Supportanfragen und diese Vereinbarung gelten als dokumentierte Weisungen. Zusätzliche Weisungen können an kontakt@1stlevel.tech in Textform erteilt werden und vergütungspflichtig sein, wenn sie den vereinbarten Leistungsumfang überschreiten.

Der Kunde ist für Zulässigkeit, Transparenz, Datenminimierung, Richtigkeit, Rechtsgrundlagen und Betroffenenrechte verantwortlich. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf ihre Ausführung bis zur Klärung aussetzen.

5. Pflichten des Anbieters

• Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht und erhalten nur bedarfsgerechten Zugriff.
• Umsetzung und regelmäßige Überprüfung angemessener technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO.
• Unter Berücksichtigung der Art der Verarbeitung angemessene Unterstützung durch technische und organisatorische Maßnahmen bei Betroffenenanfragen sowie Unterstützung bei den Pflichten des Kunden nach Art. 32 bis 36 DSGVO, insbesondere Sicherheit, Meldungen, Benachrichtigungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.
• Unverzügliche Information über bekannt gewordene Verletzungen des Schutzes von Auftragsdaten. Soweit verfügbar, nennt die Meldung Art des Vorfalls, Kategorien und ungefähre Zahl betroffener Personen und Datensätze, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Abhilfemaßnahmen und eine Kontaktstelle. Fehlende Angaben werden ohne unangemessene Verzögerung nachgereicht; die rechtliche Meldung an Behörden und Betroffene obliegt dem Kunden.
• Führung der gesetzlich erforderlichen Verzeichnisse und Zusammenarbeit mit zuständigen Aufsichtsbehörden.

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die nachfolgend genannten Unterauftragsverarbeiter. Beabsichtigte Ergänzungen oder Ersetzungen werden mindestens 30 Tage vorher per E-Mail oder im Dienst angekündigt. Der Kunde kann innerhalb dieser Frist aus wichtigem Datenschutzgrund widersprechen. Ist keine zumutbare Alternative möglich, kann jede Partei den betroffenen Dienst außerordentlich beenden.

Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu mindestens denselben Datenschutzpflichten und zu angemessenen TOM. Er bleibt gegenüber dem Kunden für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich. Auf berechtigte Anfrage stellt er verfügbare Informationen zum Nachweis dieser Verpflichtungen bereit, soweit keine Rechte Dritter oder Sicherheitsinteressen entgegenstehen.

• Laravel Holdings Inc. / Laravel Cloud – Hosting, Datenbank, Laufzeit, Warteschlange, Sitzungen, privater Objektspeicher, Backups und Infrastruktur; Region Frankfurt, möglicher Drittlandbezug USA; Laravel-DPA, EU-Standardvertragsklauseln und/oder EU-US Data Privacy Framework; aktuelle Unterauftragnehmer im Laravel Trust Center.
• Hostinger International Ltd., Zypern, sowie die im Hostinger Data Processing Addendum genannten verbundenen Unternehmen und Unterauftragsverarbeiter – Postfach-, SMTP- und E-Mail-Infrastruktur; EU/EWR und gegebenenfalls Drittländer nach Hostinger-DPA und den dort genannten Übermittlungsmechanismen.

7. Drittlandübermittlungen

Auftragsdaten werden primär in der Region Frankfurt verarbeitet. Soweit eine dokumentierte Weisung, ein Unterauftragsverarbeiter oder dessen Supportstelle eine Verarbeitung in einem Drittland erfordert, stellt der Anbieter ein zulässiges Übermittlungsinstrument sicher, insbesondere einen Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework oder EU-Standardvertragsklauseln, und ergreift erforderlichenfalls ergänzende Maßnahmen.

8. Löschung und Rückgabe

Der Kunde kann bis zum Ende des schreibgeschützten Abrufzeitraums von höchstens 60 Tagen zwischen Rückgabe durch Selbstexport und Löschung wählen. Ein Administrator kann die Mandantenlöschung bereits während der Vertragslaufzeit auslösen. Trifft der Kunde nach Vertragsende keine andere dokumentierte Wahl, gilt Löschung als Weisung. Danach löscht oder anonymisiert der Anbieter sämtliche Auftragsdaten und vorhandenen Kopien, soweit Unionsrecht oder deutsches Recht keine weitere Speicherung verlangt; in diesem Fall werden die Daten gesperrt und nur für den gesetzlichen Zweck verarbeitet.

Private vollständige Lösch-Exporte werden für höchstens 30 Tage zugriffsgeschützt aufbewahrt und dann automatisch entfernt. Kopien in Infrastruktur-Sicherungen bleiben bis zur Überschreibung innerhalb des konfigurierten Sicherungsfensters gesperrt und werden nicht für andere Zwecke wiederhergestellt oder verarbeitet. Auf Wunsch bestätigt der Anbieter die Löschung in Textform.

9. Nachweise und Kontrollen

Der Anbieter stellt die zur Prüfung erforderlichen Informationen und vorhandene geeignete Nachweise bereit. Der Kunde darf bei begründetem Anlass oder grundsätzlich einmal jährlich mit angemessener Vorankündigung eine Prüfung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Betriebs-, Sicherheits- und Mandantendaten Dritter dürfen nicht beeinträchtigt werden.

Der Anbieter wirkt an Prüfungen mit und ermöglicht Inspektionen, soweit dies zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich ist. Zusatzaufwand für darüber hinausgehende, unangemessen häufige oder nicht durch einen Anlass gerechtfertigte Kontrollen kann nach vorheriger Ankündigung angemessen berechnet werden, außer die Prüfung weist einen vom Anbieter zu vertretenden erheblichen Verstoß nach.

10. Schlussbestimmungen

Änderungen dieses AV-Vertrags bedürfen der Textform oder einer nachweisbaren elektronischen Annahme. Im Übrigen gelten Laufzeit, Recht, Gerichtsstand und Haftung des Nutzungsvertrags, ohne Rechte betroffener Personen oder zwingende Verantwortlichkeit nach Art. 82 DSGVO einzuschränken.