Auftragsverarbeitungsvereinbarung

Diese Auftragsverarbeitungsvereinbarung (AVV) nach Art. 28 Abs. 3 DSGVO ergänzt die AGB für SlugBase Cloud. Sie wird mit jeder Bestellung als Unternehmer:in und mit jeder Nutzung des Dienstes für unternehmerische Zwecke, auch im Tarif Free, Teil des Vertrags, ohne dass es einer gesonderten Unterzeichnung bedarf (AGB Punkt 20 Absatz 3). Sie gibt es auf Deutsch und auf Englisch; beide Fassungen sind gleichermaßen verbindlich.

1. Parteien und Rollen

1. Verantwortlicher ist die Unternehmer:in, die SlugBase Cloud bestellt oder für unternehmerische Zwecke nutzt („Kund:in“).
2. Auftragsverarbeiter ist Michael David Guggenbichler, Einzelunternehmer, Linzer Straße 17, 4100 Ottensheim, Österreich („wir“).
3. Diese AVV gilt nur, soweit wir personenbezogene Daten im Auftrag der Kund:in verarbeiten (Abschnitt 2). Für Konto, Abrechnung, Sicherheit des Dienstes und Website sind wir selbst Verantwortlicher; dafür gilt die Datenschutzerklärung.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

1. Gegenstand: Bereitstellung von SlugBase Cloud nach den AGB: Speichern, Ordnen, Suchen, Teilen und Öffnen von Lesezeichen in den Arbeitsbereichen der Kund:in, Verwaltung der Mitglieder und Teams, Aktivitätsprotokoll, Import und Export, optional KI-Vorschläge.
2. Dauer: solange der Vertrag über den Dienst besteht, einschließlich des Exportzeitraums nach AGB Punkt 14 Absatz 6 und bis zur Löschung nach Abschnitt 9.
3. Art der Verarbeitung: Erheben, Speichern, Ordnen, Abfragen, Anzeigen, Übermitteln an die von der Kund:in bestimmten Mitglieder, Sichern, Exportieren und Löschen.
4. Zweck: ausschließlich die Erbringung des Dienstes für die Kund:in.

3. Art der Daten und Kategorien betroffener Personen

1. Betroffene Personen: Mitglieder und eingeladene Personen der Arbeitsbereiche der Kund:in (etwa Mitarbeitende) sowie Personen, deren Daten die Mitglieder in Lesezeichen speichern.
2. Datenarten: Inhalte der Arbeitsbereiche (Adressen, Titel, Beschreibungen, Slugs, Ordner, Tags, Freigaben), Mitgliedsdaten im Arbeitsbereich (Anzeigename, E-Mail-Adresse, Rolle, Teams, Beitrittsdatum, letzte Aktivität), Einladungen und das Aktivitätsprotokoll des Arbeitsbereichs (Zeitpunkt, handelnde Person, Art des Vorgangs, betroffenes Objekt, grobes Netzwerkpräfix der IP-Adresse).
3. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeiten wir nicht gezielt. Speichert die Kund:in solche Daten in Lesezeichen, ist sie für die Zulässigkeit verantwortlich.

4. Weisungen

1. Wir verarbeiten die Daten nur auf dokumentierte Weisung der Kund:in, auch bei Übermittlungen in Drittländer, es sei denn, Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet uns zur Verarbeitung; dann teilen wir der Kund:in das vor der Verarbeitung mit, soweit das Recht es nicht verbietet.
2. Die Weisungen sind in den AGB, in dieser AVV und in den Einstellungen, die die Kund:in im Dienst vornimmt, festgelegt. Weitere Weisungen erteilt die Kund:in in Textform an hello@slugbase.app.
3. Halten wir eine Weisung für rechtswidrig, informieren wir die Kund:in unverzüglich. Wir dürfen die Ausführung aussetzen, bis die Kund:in sie bestätigt oder ändert.

5. Vertraulichkeit

Wir verpflichten alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen. Auf Inhalte greifen wir nur in den Fällen zu, die Abschnitt 2 Punkt 3 der Datenschutzerklärung nennt.

6. Sicherheit der Verarbeitung

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage (Abschnitt 14) beschrieben sind; eine Kurzfassung steht in Abschnitt 9 der Datenschutzerklärung. Wir dürfen die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

1. Die Kund:in erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Derzeit sind das:

2. Wir informieren die Kund:in mindestens 30 Tage vorher per E-Mail an die Adresse des Kontos über jeden beabsichtigten neuen oder ersetzten Unterauftragsverarbeiter. Die Kund:in kann innerhalb dieser Frist aus sachlichem Grund in Textform widersprechen. Können wir dem Widerspruch nicht abhelfen, kann die Kund:in den Vertrag kostenlos zum Zeitpunkt des Wechsels kündigen; im Voraus bezahlte Entgelte erstatten wir anteilig (AGB Punkt 8 Absatz 3).
3. Wir legen jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf wie in dieser AVV und haften der Kund:in für seine Pflichtverletzungen wie für eigene.

8. Übermittlung in Drittländer

Wir verarbeiten die Daten in der EU. Außerhalb des EWR kommt es nur zu den Verarbeitungen in Abschnitt 6 der Datenschutzerklärung: in den Postfächern in der Schweiz auf Grundlage des Angemessenheitsbeschlusses und bei der Beantwortung von DNS-Anfragen durch das weltweite DNS-Netzwerk von bunny.net (Abschnitt 6 Punkt 7 der Datenschutzerklärung). Andere Übermittlungen in Drittländer nehmen wir nur nach Art. 44 ff. DSGVO und nach vorheriger Information nach Abschnitt 7 Punkt 2 vor.

9. Löschung und Rückgabe

1. Die Kund:in kann die Daten jederzeit selbst exportieren (AGB Punkt 14 Absätze 3 und 6). Das ist die Rückgabe der Daten.
2. Nach dem Ende des Vertrags und dem Ablauf des Exportzeitraums löschen wir die Daten. Sicherungskopien laufen nach ihrer Aufbewahrungsfrist aus, spätestens nach 125 Tagen (Abschnitt 3.17 der Datenschutzerklärung). Daten, die wir nach Unionsrecht oder dem Recht eines Mitgliedstaats aufbewahren müssen, löschen wir nach Ablauf dieser Pflicht.
3. Auf Anfrage bestätigen wir die Löschung in Textform.

10. Unterstützung der Kund:in

1. Rechte der betroffenen Personen: Wir unterstützen die Kund:in mit geeigneten Maßnahmen bei der Beantwortung von Anträgen nach Kapitel III DSGVO. Viele Anträge kann die Kund:in mit den Funktionen des Dienstes selbst erledigen (Export, Berichtigung, Entfernen von Mitgliedern, Löschen). Wenden sich betroffene Personen mit einem Antrag zu Daten der Kund:in an uns, leiten wir ihn an die Kund:in weiter.
2. Verletzungen des Schutzes personenbezogener Daten: Wir melden der Kund:in eine Verletzung, die ihre Daten betrifft, unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen, und ergänzen sie, sobald wir mehr wissen.
3. Weitere Pflichten: Wir unterstützen die Kund:in unter Berücksichtigung der Art der Verarbeitung und der uns verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Benachrichtigung betroffener Personen (Art. 34), der Datenschutz-Folgenabschätzung und der vorherigen Konsultation, soweit sie den Dienst betreffen.

11. Nachweise und Kontrollen

1. Wir stellen der Kund:in auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieser AVV nachzuweisen.
2. Die Kund:in oder eine von ihr beauftragte, zur Verschwiegenheit verpflichtete Prüfer:in kann die Einhaltung höchstens einmal im Kalenderjahr nach Ankündigung mit einer Frist von mindestens 30 Tagen während der Geschäftszeiten überprüfen, ohne den Betrieb zu stören und ohne Zugang zu Daten anderer Kund:innen. Bei einem begründeten Verdacht einer Verletzung dieser AVV gelten die Beschränkung auf einmal im Jahr und die Frist nicht. Die Kosten einer Überprüfung trägt die Kund:in, es sei denn, sie deckt eine wesentliche Verletzung durch uns auf.

12. Hinweise für die Kund:in

1. Das Aktivitätsprotokoll des Arbeitsbereichs hält fest, wer wann welche wesentlichen Änderungen vorgenommen hat, einschließlich eines groben Netzwerkpräfixes der IP-Adresse (Abschnitt 3.9 der Datenschutzerklärung). Setzt die Kund:in den Dienst für ihre Beschäftigten ein, prüft sie, ob dafür Regeln des Arbeitsrechts gelten, in Österreich etwa die §§ 96 und 96a Arbeitsverfassungsgesetz, und informiert ihre Beschäftigten über die Verarbeitung.
2. Die Kund:in ist dafür verantwortlich, dass sie die Daten, die sie und ihre Mitglieder im Dienst speichern, rechtmäßig verarbeiten darf.

13. Haftung und Schlussbestimmungen

1. Im Verhältnis zwischen der Kund:in und uns gilt für die Haftung Punkt 18 der AGB. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt davon unberührt.
2. Bei Widersprüchen geht diese AVV den AGB vor, soweit es um den Schutz personenbezogener Daten geht.
3. Änderungen dieser AVV richten sich nach Punkt 19 Absatz 5 der AGB. Eine Änderung, die nur einen neuen Unterauftragsverarbeiter betrifft, richtet sich nach Abschnitt 7 Punkt 2.
4. Es gilt österreichisches Recht; der Gerichtsstand richtet sich nach Punkt 21 Absatz 4 der AGB.

14. Anlage: Technische und organisatorische Maßnahmen

1. Zutrittskontrolle: Die Server stehen in Rechenzentren der Hosting-Anbieter in der EU (Abschnitt 7). Deren physische Sicherung regeln unsere Verträge nach Art. 28 DSGVO mit ihnen; wir selbst betreiben keine eigenen Räume mit Kundendaten.
2. Zugangskontrolle: Die Server sind durch eine Firewall geschützt. Datenbanken und interne Dienste sind nicht über offene Ports erreichbar, sondern nur über das Netz des jeweiligen Servers und einen gesicherten Tunnel. Die Betreiberkonsole und die Testumgebung sind nur nach Anmeldung über einen Single-Sign-on-Dienst erreichbar, die Betreiberkonsole zusätzlich mit eigener Anmeldung und verpflichtender Zwei-Faktor-Anmeldung.
3. Zugriffskontrolle: Die Anwendung greift mit einer Datenbankrolle ohne Eigentümerrechte zu, für die eine Zeilensicherheit (Row-Level Security) erzwungen wird; jede Abfrage sieht nur die Daten des jeweiligen Arbeitsbereichs. Für Migrationen, Betrieb und Konsole gibt es getrennte Rollen mit den jeweils nötigen Rechten. Die Betreiberkonsole liest Produktdaten nur über freigegebene Sichten ohne Lesezeichen-Inhalte. Zugangsdaten und Schlüssel liegen nur in der Umgebung der Bereitstellungsplattform, nie im Quellcode. Auf Inhalte greifen wir nur in den Fällen von Abschnitt 5 zu.
4. Weitergabekontrolle: Alle Übertragungen sind mit TLS verschlüsselt, auch die Übertragung der Sicherungen in den Objektspeicher. Übermittlungen in Drittländer erfolgen nur nach Abschnitt 8.
5. Eingabekontrolle: Wesentliche Änderungen in einem Arbeitsbereich stehen im Aktivitätsprotokoll (Abschnitt 3.9 der Datenschutzerklärung); Aktionen in der Betreiberkonsole werden protokolliert. Anwendungsprotokolle enthalten keine Lesezeichen-Inhalte, keine Slugs und keine E-Mail-Adressen und werden 14 Tage aufbewahrt.
6. Auftragskontrolle: Unterauftragsverarbeiter setzen wir nur nach Abschnitt 7 und mit Verträgen nach Art. 28 DSGVO ein.
7. Verfügbarkeitskontrolle: Die Datenbank wird stündlich, täglich und monatlich in einen versionierten Objektspeicher in der EU gesichert (Abschnitt 3.17 der Datenschutzerklärung). Eine automatische Wiederherstellungsprobe läuft monatlich. Fehlgeschlagene Sicherungen und Wiederherstellungsproben, Speicherplatz, Auslastung und Erreichbarkeit werden überwacht und lösen Alarme aus.
8. Trennungskontrolle: Die Arbeitsbereiche sind auf Ebene der Datenbank getrennt (Punkt 3). Test- und Produktionsumgebung laufen auf getrennten Servern mit getrennten Datenbanken.
9. Pseudonymisierung und Verschlüsselung: Passwörter werden mit einem speicherintensiven Verfahren gehasht, Sitzungs-, API- und E-Mail-Token nur als Hash gespeichert, Schlüssel der Zwei-Faktor-Anmeldung mit einem Schlüssel verschlüsselt, der nur in der Bereitstellungsplattform liegt und jährlich erneuert wird. IP-Adressen speichern wir nur als grobes Netzwerkpräfix oder als Hash.
10. Umgang mit Vorfällen: Sicherheitsvorfälle bewerten wir unverzüglich und melden sie nach Abschnitt 10 Punkt 2.
11. Personal: Den Dienst betreibt der Auftragsverarbeiter selbst. Weitere Personen erhalten Zugang nur, soweit nötig, und werden nach Abschnitt 5 zur Vertraulichkeit verpflichtet.
12. Überprüfung: Wir überprüfen diese Maßnahmen mindestens einmal im Jahr und nach wesentlichen Änderungen am Dienst und passen sie nach Abschnitt 6 an.