Auftragsverarbeitungsvertrag (AVV)

Dies ist eine Übersetzung, die zur besseren Verständlichkeit bereitgestellt wird. Bei Abweichungen gilt die englische Fassung.

Fassung vom 2026-10-20.

1. Vertragsparteien und Geltungsbereich

Dieser Vertrag wird geschlossen zwischen dem Hosting-Kunden (dem Verantwortlichen) und Casapu Cristian-Costinel Întreprindere Individuală, tätig als MediaLab Works, Handelsregisternummer F16/641/2020, Steuernummer (CUI) 43060600, Sitz in Ciupercenii Vechi, mun. Calafat, jud. Dolj, Rumänien (dem Auftragsverarbeiter, „wir“). Er gilt für die personenbezogenen Daten, die der Kunde oder die Besucher und Nutzer der Dienste des Kunden in einem Hosting-Konto speichern oder verarbeiten: Websites, Anwendungen, Datenbanken, Postfächer, Dateien und Backups („gehostete Daten“). Er ist Teil der AGB und wird mit der Bestellung des Hostings angenommen.

Die Daten, die wir als Verantwortlicher für eigene Zwecke verarbeiten (dein Kundenkonto, Abrechnung, Support, die Sicherheit unserer Systeme), beschreibt die Datenschutzerklärung, nicht dieser Vertrag.

2. Einzelheiten der Verarbeitung

• Gegenstand und Art: Speicherung, Hosting, Bereitstellung im Internet, Übermittlung (Web und E-Mail), Sicherung und Wiederherstellung der gehosteten Daten sowie die dafür nötigen technischen Vorgänge (Protokolle, Monitoring, Sicherheit).
• Zweck: Erbringung des vom Kunden bestellten Hosting-Dienstes.
• Dauer: solange das Hosting-Konto besteht, zuzüglich der Löschfristen in Abschnitt 9.
• Kategorien betroffener Personen: nach Entscheidung des Kunden, typischerweise die Besucher, Nutzer, Kunden, Beschäftigten und Korrespondenzpartner der Websites und Postfächer des Kunden.
• Kategorien personenbezogener Daten: nach Entscheidung des Kunden, typischerweise Identifikations- und Kontaktdaten, Kontodaten, Inhalte von Nachrichten und Dateien sowie technische Daten (IP-Adressen und Angaben zu Anfragen in den Webserver-Protokollen). Besondere Kategorien von Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen werden nur verarbeitet, wenn der Kunde sie speichert; der Kunde ist dafür verantwortlich, eine Rechtsgrundlage und etwaige zusätzliche Garantien zu haben.

3. Weisungen

Wir verarbeiten die gehosteten Daten nur auf dokumentierte Weisung des Kunden; diese sind: die AGB, dieser Vertrag und die Handlungen, die der Kunde in seinem Konto und in der gehosteten Software vornimmt. Wir greifen nicht auf den Inhalt der gehosteten Daten zu, außer wenn es nötig ist, um den Dienst zu erbringen, für vom Kunden angeforderten Support, um auf Wunsch des Kunden ein Backup wiederherzustellen, um die Sicherheit des Servers zu schützen oder um dem Gesetz oder einer behördlichen Anordnung nachzukommen (in diesem Fall informieren wir den Kunden, sofern das Gesetz es nicht verbietet). Wir verwenden die gehosteten Daten nicht für eigene Zwecke, verkaufen sie nicht und analysieren sie nicht für Werbung. Halten wir eine Weisung für einen Verstoß gegen die DSGVO, teilen wir das dem Kunden mit.

4. Vertraulichkeit

Nur die Personen, die den Dienst betreiben, haben Zugang zum Server, und sie sind zur Vertraulichkeit verpflichtet. MediaLab Works ist ein Einzelunternehmen: Derzeit ist diese Person sein Inhaber.

5. Sicherheitsmaßnahmen (Art. 32 DSGVO)

• Standort: Die gehosteten Daten, ihre Backups und die Postfächer werden auf unseren eigenen Servern in Rumänien, in der EU, gespeichert.
• Isolation: ein Linux-Benutzer pro Kunde, mit Ressourcengrenzen; Websites in rootless Containern, ohne Zugriff auf andere Konten oder auf das lokale Netzwerk; Datenbanken mit einem eigenen Benutzer pro Kunde, aus dem Internet nicht erreichbar.
• Zugang: Zwei-Faktor-Authentifizierung für unser Admin-Panel, der Root-Agent des Servers ist auf eine feste Liste von Vorgängen beschränkt; Kundenzugang über SFTP / SSH (Schlüssel ab dem Tarif Standard).
• Verschlüsselung bei der Übertragung: HTTPS mit kostenlosen Zertifikaten für jede Website, SFTP / SSH und TLS für E-Mail.
• Backups: täglich, verschlüsselt (restic), auf einer separaten Festplatte im selben Server, gemäß dem Tarif aufbewahrt. Sie werden nicht an einem zweiten Standort gespeichert.
• Monitoring und Updates: Verfügbarkeitsüberwachung, Updates des Betriebssystems und der Container-Images, Protokolle administrativer Vorgänge ohne Geheimnisse; Webserver-Protokolle werden 14 Tage aufbewahrt.
• Passwörter werden dem Kunden einmal angezeigt und von uns nur als Hash oder gar nicht gespeichert.

Der Kunde ist für die Sicherheit dessen verantwortlich, was er installiert und konfiguriert (Anwendungen, Plugins, Passwörter, Zugänge für andere).

6. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung für die unten genannten Unterauftragsverarbeiter. Wir informieren den Kunden mindestens 30 Tage vor der Hinzunahme oder dem Austausch eines Unterauftragsverarbeiters per E-Mail; der Kunde kann aus berechtigtem Grund widersprechen, und können wir dem Widerspruch nicht abhelfen, kann der Kunde das Hosting mit Erstattung des nicht genutzten vorausbezahlten Zeitraums kündigen.

Stripe (Stripe Payments Europe, Ltd.) verarbeitet die Zahlungen für das Hosting als eigenständiger Verantwortlicher für die Zahlungsdaten; es erhält die gehosteten Daten nicht. Siehe die Datenschutzerklärung.

7. Unterstützung des Kunden

Unter Berücksichtigung der Art der Verarbeitung helfen wir dem Kunden dabei,

• Anfragen betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Übertragbarkeit …): Der Kunde kann die gehosteten Daten selbst finden, exportieren, ändern oder löschen, über das Konto, über SFTP / SSH und in den Datenbanken; schreibt uns eine betroffene Person direkt, leiten wir die Anfrage unverzüglich an den Kunden weiter;
• seine Pflichten zu Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 32–36 DSGVO) mit den uns vorliegenden Informationen zu erfüllen.

8. Verletzungen des Schutzes personenbezogener Daten

Wir benachrichtigen den Kunden unverzüglich, in jedem Fall innerhalb von 72 Stunden, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die gehosteten Daten betrifft, per E-Mail an die Adresse des Kontos. Die Benachrichtigung beschreibt, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle. Informationen, die uns noch nicht vorliegen, senden wir nach, sobald wir sie haben. Der Kunde entscheidet als Verantwortlicher über die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen.

9. Rückgabe und Löschung am Ende

• Solange das Konto aktiv ist, kann der Kunde alle gehosteten Daten jederzeit herunterladen (SFTP / SSH, Datenbank-Exporte, IMAP für Postfächer).
• Nach dem Ende des Abonnements wird das Konto gesperrt und 30 Tage später gelöscht, zusammen mit den Websites, Datenbanken, Postfächern und DNS-Zonen. Das letzte Backup wird in diesen 30 Tagen aufbewahrt und dann gelöscht. Ältere tägliche Backups werden zusammen mit dem Konto gelöscht.
• Nach einer Erstattung (Geld zurück) oder einer Beendigung wegen eines Verstoßes gelten dieselben Fristen, sofern der Kunde keine frühere Löschung verlangt.
• Eine Kopie behalten wir nur, wenn das Gesetz es verlangt.

10. Informationen und Audits

Wir stellen dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind (dieser Vertrag, die Beschreibung der Maßnahmen, Antworten auf angemessene Fragen). Audits, einschließlich Inspektionen, durch den Kunden oder einen zur Vertraulichkeit verpflichteten Prüfer sind einmal pro Jahr oder nach einer Datenschutzverletzung zulässig, mit mindestens 30 Tagen Vorankündigung, während der Geschäftszeiten, ohne Zugriff auf Daten anderer Kunden und auf Kosten des Kunden.

11. Haftung und Vorrang

Die Haftung richtet sich nach den AGB und nach Art. 82 DSGVO. Bei Widersprüchen hinsichtlich der Verarbeitung gehosteter Daten hat dieser Vertrag Vorrang vor den AGB. Es gilt rumänisches Recht.