Auftragsverarbeitungsvertrag

Dieser Vertrag gilt zwischen dem Kunden (Verantwortlicher) und Garbæk IT, Inhaber Peter Hjardemaal Garbæk, CVR 21 66 44 80 (Auftragsverarbeiter), und ergänzt die AGB. Er gilt, wenn der Kunde Posthut für ein Unternehmen, einen Verein oder eine andere Organisation nutzt und dabei personenbezogene Daten anderer verarbeitet. Eine beidseitig unterschriebene Fassung bekommst du auf Anfrage unter support@garbaek.it.

1. Gegenstand und Dauer

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen allein, um Posthut bereitzustellen (E-Mail, Kalender und Kontakte, Bluesky-Identität und zugehörige Funktionen). Der Vertrag gilt, solange solche Daten verarbeitet werden.

2. Weisungen

Die Verarbeitung erfolgt nur auf dokumentierte Weisung des Verantwortlichen, einschließlich dieses Vertrags, der AGB und der Nutzung des Dienstes, es sei denn, das Recht der EU oder eines Mitgliedstaats verlangt etwas anderes. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

3. Art der Daten und betroffene Personen

Betroffen sind Nutzer, Mitglieder, Kontakte und Korrespondenzpartner des Verantwortlichen. Verarbeitet werden Konto- und Kontaktdaten, E-Mail-Inhalte und Metadaten, Kalender- und Kontaktdaten sowie weitere Daten, die der Verantwortliche über den Dienst verarbeitet.

4. Vertraulichkeit

Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet. E-Mail-Inhalte werden nicht für Werbung, Profilbildung oder KI-Training genutzt. Eingehende E-Mails werden automatisch auf Spam und Schadsoftware geprüft. Ein manueller Zugriff erfolgt nur, wenn er für Support, die Behebung einer Sicherheitsstörung oder aufgrund einer rechtlichen Pflicht nötig ist.

5. Sicherheit (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen, darunter TLS-Verschlüsselung des Web- und Mailverkehrs, Zugriffskontrollen, Zwei-Faktor-Anmeldung für Administratoren, ein nicht veränderbares Audit-Protokoll und laufende Updates.

6. Unterauftragnehmer

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragnehmern. Derzeit sind das Contabo GmbH (Unternehmen in Deutschland, Rechenzentrum in Frankreich; Server), Hetzner Online GmbH (Rechenzentrum in Finnland; DNS und Systemmails) und Stripe Payments Europe, Ltd. (Irland; Zahlungen). Änderungen kündigt der Auftragsverarbeiter vorab an, damit der Verantwortliche widersprechen kann. Er legt Unterauftragnehmern dieselben Datenschutzpflichten auf.

7. Übermittlung in Drittländer

Die Verarbeitung findet grundsätzlich in der EU/im EWR statt. Kommt es ausnahmsweise zu einer Übermittlung in ein Drittland, stellt der Auftragsverarbeiter eine gültige Grundlage nach Kapitel V DSGVO sicher, etwa Standardvertragsklauseln.

8. Unterstützung

Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei Anfragen betroffener Personen sowie bei Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzungen.

9. Datenschutzverletzungen

Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, und stellt die nötigen Informationen bereit.

10. Löschung und Rückgabe

Nach Vertragsende löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern das Recht keine weitere Speicherung verlangt. Ein Export ist im Dashboard möglich.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht nach vorheriger Absprache angemessene Überprüfungen.

12. Recht und Kontakt

Es gilt dänisches Recht, soweit nicht zwingendes Recht entgegensteht. Kontakt: support@garbaek.it.