Source: http://58234662.swh.strato-hosting.eu/Impressum/
Timestamp: 2018-07-20 00:55:13
Document Index: 33161421

Matched Legal Cases: ['Art. 28', 'Art. 4', '§ 88', '§ 203', 'Art. 38', 'Art. 33', 'Art 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 32', 'Art. 25']

Fon: 06039-937857
Umsatzsteuer-Identifikationsnummer: DE 61 428 095 636
Version 3.0 zur Kundennummer [73035922] zwischen Nadine, Grammel / Hocks Restaurant Einzelfirma Gronauer Weg 9 61184 Karben als Auftraggeber – nachfolgend Auftraggeber – und STRATO AG Pascalstraße 10 10587 Berlin als Auftragnehmer - nachfolgend Auftragnehmer –
1.1. Gegenstand der Vereinbarung sind die Rechte und Pichten der Parteien im Rahmen der Leistungserbringung gemäß Auftrag, Leistungsbeschreibung und AGB (nachfolgend Hauptvertrag), soweit eine Verarbeitung von personenbezogenen Daten durch den Auftragnehmer als Auftragsverarbeiter für den Auftraggeber gemäß Art. 28 DSGVO erfolgt. Dies umfasst alle Tätigkeiten, die der Auftragnehmer zur Erfüllung des Auftrags erbringt und die eine Auftragsverarbeitung darstellen. Dies gilt auch, sofern der Auftrag nicht ausdrücklich auf diese Vereinbarung zur Auftragsverarbeitung verweist. 1.2. Die Dauer der Verarbeitung entspricht der im Auftrag vereinbarten Laufzeit.
2.2. Zwecke der Verarbeitung sind alle zur Erbringung der vertraglich vereinbarten Leistung im Bereich CloudDienstleistungen, Hosting, Software as a Service (SaaS) und IT-Support erforderlichen Zwecke.
4.1. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (»Verantwortlicher« im Sinne des Art. 4 Nr. 7 DSGVO). Dies gilt auch im Hinblick auf die in dieser Vereinbarung geregelten Zwecke und Mittel der Verarbeitung. 31.5.2018
5.1. Der Auftragnehmer darf Daten von betroffenen Personen nur im Rahmen des Auftrages und der dokumentierten Weisungen des Auftraggebers verarbeiten außer es liegt ein Ausnahmefall im Sinne des Artikel 28 Abs. 3 a) DSGVO vor (Verpflichtung nach dem Recht der Europäischen Union oder eines Mitgliedstaates). Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwend bare Gesetze verstößt. Der Auftragnehmer darf die Umsetzung der Weisung solange aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde.
5.4. Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeiter und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftragnehmer, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Gleiches gilt für das Fernmeldegeheimnis nach § 88 TKG und – in Kenntnis der Strafbarkeit – für die Wahrung von Geheimnissen der Berufsgeheimnisträger nach § 203 StGB. Die Vertraulichkeits-/ Verschwiegenheitspflicht besteht auch nach Beendigung des Auftrages fort.
5.6. Der Auftragnehmer gewährleistet die schriftliche Bestellung eines Datenschutzbeauftragten, der seine 31.5.2018 Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt. Eine Kontaktmöglichkeit wird auf der Webseite des Auftragnehmers veröffentlicht.
6. Pichten des Auftraggebers
6.2. Im Falle der Beendigung verpichtet sich der Auftraggeber, diejenigen personenbezogenen Daten vor Vertragsbeendigung zu löschen, die er in den Diensten gespeichert hat.
8.3. Das Inspektionsrecht des Auftraggebers hat das Ziel, die Einhaltung der einem Auftragsverarbeiter obliegenden Pichten gemäß der DSGVO und dieses Vertrages zu überprüfen. Der Nachweis der Einhaltung dieser Pichten wird durch die Zertizierung nach vorstehendem Absatz erbracht. Sofern der Auftraggeber auf Basis tatsächlicher Anhaltspunkte berechtigte Zweifel daran geltend macht, dass diese Zertifizierungen zureichend oder zutreffend sind, oder besondere Vorfälle im Sinne von Art. 33 Abs. 1 DSGVO im Zusammenhang mit der Durchführung der Auftragsverarbeitung für den Auftraggeber dies rechtfertigen, kann er Vor-Ort-Kontrollen durchführen. Diese können zu den üblichen Geschäftszeiten ohne Störung des Betriebsablaufs nach Anmeldung unter Berücksichtigung einer angemessenen Vorlaufzeit durchgeführt werden.
9.4. Der Einspruch gegen die beabsichtigte Änderung kann nur aus einem wichtigen datenschutzrechtlichen Grund innerhalb einer angemessenen Frist nach Zugang der Information über die Änderung gegenüber dem Auftragnehmer erhoben werden. Im Fall des Einspruchs kann der Auftragnehmer nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder - sofern die Erbringung der Leistung ohne die beabsichtigte Änderung für den Auftragnehmer nicht zumutbar ist - die von der Änderung betroene Leistung gegenüber dem Auftraggeber innerhalb einer angemessenen Frist nach Zugang des Einspruchs einstellen.
9.5. Erteilt der Auftragnehmer Aufträge an weitere Auftragsverarbeiter, so obliegt es dem Auftragnehmer, seine datenschutzrechtlichen Pichten aus diesem Vertrag auf den weiteren Auftragsverarbeiter zu übertragen.
9.6. Als weitere Auftragsverarbeiter im Sinne dieser Regelung sind nur solche Subunternehmer zu verstehen, die Dienstleistungen erbringen, die sich unmittelbar auf die Erbringung der Hauptleistung beziehen. Nicht hierzu gehören solche Nebenleistungen, die sich auf Telekommunikationsleistungen, Druck-/Post-/Transportdienstleistungen, Wartung und Pflege, Benutzerservice oder die Entsorgung von Datenträgern sowie sonstige Maßnahmen zur Sicherstellung der Vertraulichkeit, Verfügbarkeit, Integrität und Belastbarkeit der personenbezogenen Daten, Netze, Dienste, Datenverarbeitungsanlagen und sonstiger ITSysteme, beziehen. Der Auftragnehmer ist jedoch verpichtet, zur Gewährleistung des Datenschutzes und der Datensicherheit in Bezug auf die Daten des Auftraggebers auch bei solchen Nebenleistungen angemessene und gesetzeskonforme vertragliche Vereinbarungen sowie Kontrollmaßnahmen zu ergreifen.
11.5. Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als »Verantwortlicher « im Sinne der DSGVO liegen. Anhang 1 zur Vereinbarung zur Auftragsverarbeitung - Genehmigte Subunternehmer / weitere Auftragsverarbeiter Stand 20180321 Subunternehmer Land Adresse Kurzbeschreibung der Leistung Content Management AG Deutschland Im Medienpark 6, 50670 Köln Entwicklung, Wartung und Pege des Hompagebaukastens ePages GmbH Deutschland Pilatuspool 2, 20355 Hamburg Entwicklung, Wartung und Pege der Webshops Open-Xchange GmbH Deutschland Martinstraße 41, 57462 Olpe Entwicklung, Wartung und Pege des Communicators 1&1 Internet SE Deutschland Elgendorfer Straße 7, 56410 Montabaur Entwicklung und Betrieb der STRATO Online Buchhaltung Seven IT GmbH Deutschland SevenIT, Hauptstraße 40, 77652 Oenburg Betrieb und Support der STRATO Online Buchhaltung Anhang 2 zur Vereinbarung zur Auftragsverarbeitung - Technische und Organisatorische Sicherheitsmaßnahmen gemäß Art 32 DSGVO Version
1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO) 1.1 Zutrittskontrolle Unbefugten ist der Zutritt zu Räumen zu verwehren, in denen Datenverarbeitungsanlagen untergebracht sind. Festlegung von Sicherheitsbereichen • Realisierung eines wirksamen Zutrittsschutzes • Protokollierung des Zutritts • Festlegung Zutrittsberechtigter Personen • Verwaltung von personengebundenen Zutrittsberechtigungen • Begleitung von Fremdpersonal • Überwachung der Räume 1.2 Zugangskontrolle Es ist zu verhindern, dass Datenverarbeitungssysteme von Unbe fugten genutzt werden. • Festlegung des Schutzbedarfs • Zugangsschutz • Umsetzung sicherer Zugangsverfahren, starke Authentisierung • Umsetzung einfacher Authentisierung per Username Passwort • Protokollierung des Zugangs • Monitoring bei kritischen IT-Systemen • Gesicherte (verschlüsselte) Übertragung von Authentifisierungsgeheimnissen • Sperrung bei Fehlversuchen/Inaktivität und Prozess zur Rücksetzung gesperrter Zugangskennungen • Verbot Speicherfunktion für Passwörter und/oder Formulareingaben (Server/Clients) • Festlegung befugter Personen • Verwaltung und Dokumentation von personengebundenen Authentifizierungsmedien und Zugangsberechtigungen • Automatische Zugangssperre und Manuelle Zugangssperre 1.3 Zugriffskontrolle Es kann nur auf die Daten zugegriffen, für die eine Zugriffsberechtigung besteht. Daten können bei der Verarbeitung, Nutzung und nach der Speicherung nicht unbefugt gelesen, kopiert, verändert oder entfernt werden. • Erstellen eines Berechtigungskonzepts • Umsetzung von Zugriffsbeschränkungen • Vergabe minimaler Berechtigungen • Verwaltung und Dokumentation von personengebundenen Zugriffsberechtigungen • Vermeidung der Konzentration von Funktionen 1.4 Verwendungszweckkontrolle Es ist zu gewährleisten, dass zu unterschiedlichen Zwecken erhobene Daten getrennt verarbeitet werden können. • Datensparsamkeit im Umgang mit personenbezogenen Daten • Getrennte Verarbeitung verschiedener Datensätze • Regelmäßige Verwendungszweckkontrolle und Löschung • Trennung von Test- und Entwicklungsumgebung 1.5 datenschutzfreundliche Voreinstellungen • Sofern Daten zur Erreichung des Verwendungszwecks nicht erforderlich sind, werden die technischen Voreinstellungen so festgelegt, dass Daten nur durch eine Aktion der Betroffenen Person erhoben, verarbeitet, weitergegeben oder veröffentlicht werden.
2. Integrität (Art. 32 Abs. 1 lit. b DSGVO) 2.1 Weitergabekontrolle Ziel der Weitergabekontrolle ist es, zu gewährleisten, dass personenbezogene Daten bei der elektronischen Übertragung oder während ihres Transports oder ihrer Speicherung auf Daten träger nicht unbefugt gelesen, kopiert, verändert oder entfernt werden können, und dass über prüft und festgestellt werden kann, an welche Stellen eine Übermittlung personenbezogener Daten durch Einrichtungen zur Datenübertragung vorgesehen ist. • Festlegung empfangs- /weitergabeberechtigter Instanzen/Personen • Prüfung der Rechtmäßigkeit der Übermittlung ins Ausland • Protokollierung von Übermittlungen gemäß Protokollierungskonzept • Sichere Datenübertragung zwischen Server und Client • Sicherung der Übertragung im Backend • Sichere Übertragung zu externen Systemen • Risikominimierung durch Netzseparierung • Implementation von Sicherheitsgateways an den Netzübergabepunkten • Härtung der Backendsysteme • Beschreibung der Schnittstellen • Umsetzung einer Maschine-Maschine-Authentisierung • Sichere Ablage von Daten, inkl. Backups • Gesicherte Speicherung auf mobilen Datenträgern • Einführung eines Prozesses zur Datenträgerverwaltungen • Prozess zur Sammlung und Entsorgung • Datenschutzgerechter Lösch- und Zerstörungsverfahren • Führung von Löschprotokollen 2.2 Eingabekontrolle Zweck der Eingabekontrolle ist es, zu gewährleisten, dass nachträglich überprüft und festgestellt werden kann, ob und von wem personenbezogene Daten in Datenverarbeitungssysteme eingegeben, verändert oder entfernt worden sind. • Protokollierung der Eingaben • Dokumentation der Eingabeberechtigungen
3. Verfügbarkeit, Belastbarkeit, Desaster Recovery 3.1 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DSGVO) • Brandschutz • Redundanz der Primärtechnik • Redundanz der Stromversorgung • Redundanz der Kommunikationsverbindungen • Monitoring • Resourcenplanung und Bereitstellung • Abwehr von systembelastendem Missbrauch • Datensicherungskonzepte und Umsetzung • Regelmäßige Prüfung der Notfalleinrichtungen 3.2 Desaster Recovery – Rasche Wiederherstellung nach Zwischenfall Zwischenfall (Art. 32 Abs. 1 lit. c DSGVO) • Notfallplan • Datensicherungskonzepte und Umsetzung
4. Datenschutzorganisation • Festlegung von Verantwortlichkeiten • Umsetzung und Kontrolle geeigneter Prozesse • Melde- und Freigabeprozess • Umsetzung von Schulungsmaßnahmen • Verpichtung auf Vertraulichkeit • Regelungen zur internen Aufgabenverteilung • Beachtung von Funktionstrennung und –zuordnung • Einführung einer geeigneten Vertreterregelung
5. Auftragskontrolle Ziel der Auftragskontrolle ist es, zu gewährleisten, dass personenbezogene Daten, die im Auftrag verarbeitet werden, nur entsprechend den Weisungen des Auftraggebers verarbeitet werden können. • Auswahl weiterer Auftragnehmer nach geeigneten Garantien • Abschluss einer Vereinbarung zur Auftragsverarbeitung mit weiteren Auftragnehmern • Abschluss einer Vereinbarung zur Auftragsverarbeitung mit STRATO
6. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO; Art. 25 Abs. 1 DSGVO) • Informationssicherheitsmanagement nach ISO 27001 • Prozess zur Evaluation der Technischen und Organisatorischen Maßnahmen • Prozess Sicherheitsvorfall-Management • Durchführung von technischen Überprüfungen Sie haben am 30.05.2018 erfolgreich eine Vereinbarung zur Auftragsverarbeitung mit STRATO abgeschlossen.
Kostenlose Homepage / Disclaimer in Zusammenarbeit mit ROSE & PARTNER LLP – Hamburg
E-Mail: reservierungen@hocks-restaurant.de
Die Hock's Kochschule
Diese Webseite nutzt Cookies um Ihnen das Bestmögliche Online-Erlebnis zu bieten.