Vereinbarung zur Auftragsverarbeitung

Diese Vereinbarung zur Auftragsverarbeitung („Vereinbarung“) ist Bestandteil des zwischen MIRAKL SRL und dem Kunden gemäß den Allgemeinen Geschäftsbedingungen geschlossenen Vertrags. Die Vereinbarung legt die Bedingungen fest, unter denen wir personenbezogene Daten im Auftrag des Kunden verarbeiten, gemäß Art. 28 der Verordnung (EU) 2016/679 („DSGVO“).

• Die Vereinbarung gilt für Kunden, die juristische Personen oder Unternehmer sind, sowie für jeden Kunden, dessen gehostete Inhalte personenbezogene Daten Dritter enthalten (zum Beispiel Daten der Besucher einer Website, der Kunden eines Onlineshops, der Abonnenten eines Newsletters oder den Inhalt von E-Mail-Postfächern).
• Für diese Daten ist der Kunde der Verantwortliche und MIRAKL SRL der Auftragsverarbeiter.
• Die Vereinbarung gilt nicht für Daten, die wir als Verantwortlicher in eigenem Namen verarbeiten (Kundenkonto, Rechnungsstellung, Zahlungen, an die Registries übermittelte Daten der Domaininhaber, Sicherheitsprotokolle). Für diese gilt die Datenschutzerklärung.
• Ist Ihre Tätigkeit rein persönlicher oder familiärer Natur, findet die DSGVO auf die von Ihnen vorgenommene Verarbeitung möglicherweise keine Anwendung; in diesem Fall wenden wir die Maßnahmen dieser Vereinbarung dennoch auf vertraglicher Grundlage an.
• Die Annahme der Allgemeinen Geschäftsbedingungen bei der Bestellung schließt die Annahme dieser Vereinbarung ein. Kunden, die juristische Personen sind, nehmen sie bei der Bestellung ausdrücklich an.

• Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen an Drittländer, sofern wir nicht nach dem Recht der Union oder Rumäniens zu einer Verarbeitung verpflichtet sind. In einem solchen Fall teilen wir dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
• Die Weisungen des Kunden ergeben sich aus dem Vertrag, aus dieser Vereinbarung, aus der vom Kunden vorgenommenen Konfiguration des Dienstes und aus den über den Kundenbereich oder per E-Mail übermittelten Anfragen.
• Wir informieren den Kunden unverzüglich, wenn eine Weisung unserer Auffassung nach gegen die DSGVO oder andere Datenschutzbestimmungen verstößt.
• Wir verwenden die Daten des Kunden nicht für eigene Zwecke, verkaufen sie nicht und greifen nur insoweit auf sie zu, als dies für die Erbringung des Dienstes, für den technischen Support, für die Sicherheit oder zur Einhaltung des Gesetzes erforderlich ist (zum Beispiel bei einer Anordnung einer Behörde oder einer Meldung rechtswidriger Inhalte).

Wir stellen sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen (Beschäftigte, Mitarbeiter) zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass ihr Zugriff auf das Erforderliche beschränkt ist.

Wir treffen geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO unter Berücksichtigung des Stands der Technik, der Kosten und der Risiken. Allgemein umfassen diese:

• das Hosting der Server in einem Rechenzentrum in der Europäischen Union, mit physischer Sicherheit und Zugangskontrolle durch den Rechenzentrumsanbieter;
• die Beschränkung des administrativen Zugriffs auf befugte Personen, mit sicherer Authentifizierung;
• die Trennung der Kundenkonten auf den Servern;
• die Verschlüsselung des Datenverkehrs während der Übertragung, soweit der Dienst dies ermöglicht (zum Beispiel TLS/SSL-Zertifikate);
• Schutz auf Netzwerkebene (Firewall, Filterung und Schutz vor DDoS-Angriffen);
• die rechtzeitige Einspielung von Sicherheitsupdates für die von uns verwaltete Infrastruktur;
• Überwachung und Protokollierung zu Sicherheitszwecken;
• Verfahren zur Behandlung von Sicherheitsvorfällen.

Wir verfügen über keine Sicherheitszertifizierungen und behaupten keine Konformität mit einem bestimmten Standard. Die Sicherheit der vom Kunden installierten und verwalteten Anwendungen, Passwörter und Inhalte (zum Beispiel WordPress, Module, Skripte) liegt in der Verantwortung des Kunden, ebenso wie die Aufbewahrung eigener Sicherungskopien (siehe die Allgemeinen Geschäftsbedingungen).

1. Allgemeine Genehmigung. Mit der Annahme dieser Vereinbarung erteilt uns der Kunde eine allgemeine schriftliche Genehmigung im Sinne von Art. 28 Abs. (2) DSGVO, weitere Auftragsverarbeiter („Unterauftragsverarbeiter“) für die zur Erbringung der Dienste erforderlichen Verarbeitungstätigkeiten in Anspruch zu nehmen, zum Beispiel: Rechenzentren und Serverinfrastruktur, Netzwerk, DNS und Schutz vor Angriffen, Speicherung von Sicherungskopien, Zustellung von E-Mails und spezialisierter technischer Support.
2. Liste der Unterauftragsverarbeiter. Die aktuelle Liste mit der Tätigkeit jedes Unterauftragsverarbeiters, dem Ort der Verarbeitung und den für Übermittlungen geltenden Garantien ist auf der Seite Liste der Unterauftragsverarbeiter veröffentlicht. Die Liste dient der Information und ist nicht Bestandteil der Klauseln dieser Vereinbarung, sodass ihre gemäß diesem Abschnitt vorgenommene Aktualisierung keine Änderung der Vereinbarung darstellt.
3. Vorherige Information. Wir informieren den Kunden über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mit Zugriff auf die Daten des Kunden mindestens 14 Tage, bevor die Änderung wirksam wird, per E-Mail an die im Kundenkonto hinterlegte Adresse oder durch eine Nachricht im Kundenkonto, und aktualisieren gleichzeitig die Liste.
4. Dringende Ersetzungen. Muss ein Unterauftragsverarbeiter dringend ersetzt werden, um die Kontinuität oder Sicherheit des Dienstes zu gewährleisten (zum Beispiel bei Einstellung seiner Geschäftstätigkeit, einem Sicherheitsvorfall oder einer Verletzung seiner Pflichten), können wir die Ersetzung vor Ablauf der oben genannten Frist vornehmen und informieren den Kunden unverzüglich. Das nachstehende Widerspruchsrecht gilt auch in diesem Fall, wobei die Frist ab dem Tag der Information läuft.
5. Widerspruchsrecht. Der Kunde kann einer Änderung innerhalb von 14 Tagen nach der Information durch eine datenschutzbezogen begründete E-Mail an [email protected] widersprechen. Wir prüfen den Widerspruch nach Treu und Glauben und suchen nach einer angemessenen Lösung (zum Beispiel einer Alternative für den Dienst des Kunden). Finden wir keine Lösung, kann der Kunde die von der Änderung betroffenen Dienste ohne Vertragsstrafe beenden, unter anteiliger Erstattung des nicht genutzten Teils des bezahlten Zeitraums. Erfolgt kein fristgerechter Widerspruch, gilt die Änderung als angenommen.
6. Pflichten der Unterauftragsverarbeiter. Wir erlegen jedem Unterauftragsverarbeiter durch einen Vertrag oder ein anderes Rechtsinstrument dieselben Datenschutzpflichten auf, wie sie in dieser Vereinbarung festgelegt sind, insbesondere hinreichende Garantien hinsichtlich der technischen und organisatorischen Maßnahmen, gemäß Art. 28 Abs. (4) DSGVO.
7. Haftung. Wir haften gegenüber dem Kunden in vollem Umfang für die Erfüllung der Pflichten jedes Unterauftragsverarbeiters.
8. Wer kein Unterauftragsverarbeiter ist. Der Zahlungsdienstleister, die Registries für Domainnamen, die Registrare und die Behörden verarbeiten die Daten als unabhängige Verantwortliche nach ihren eigenen Regeln und haben keinen Zugriff auf die vom Kunden gehosteten Inhalte. Wir nennen sie auf der oben genannten Seite lediglich aus Gründen der Transparenz.

Die gehosteten Daten werden in der Europäischen Union gespeichert. Verarbeitet ein Unterauftragsverarbeiter Daten des Kunden außerhalb des Europäischen Wirtschaftsraums (zum Beispiel im Rahmen eines globalen Netzwerks zur Verteilung und zum Schutz des Datenverkehrs), erfolgt die Übermittlung nur mit einer der in Kapitel V DSGVO vorgesehenen Garantien: einem Angemessenheitsbeschluss der Europäischen Kommission (einschließlich des EU-US Data Privacy Framework für zertifizierte Stellen), von der Europäischen Kommission genehmigten Standardvertragsklauseln oder anderen geeigneten Garantien. Die für jeden Unterauftragsverarbeiter geltende Garantie ist in der Liste der Unterauftragsverarbeiter angegeben.

Angesichts der Art der Verarbeitung unterstützen wir den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Üblicherweise kann der Kunde diese Anträge direkt beantworten, da er vollen Zugriff auf seine Inhalte hat. Erhalten wir einen Antrag einer betroffenen Person zu den Daten des Kunden direkt, leiten wir ihn unverzüglich an den Kunden weiter und beantworten ihn inhaltlich nur mit Zustimmung des Kunden oder wenn wir gesetzlich dazu verpflichtet sind.

• Wir benachrichtigen den Kunden unverzüglich, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die Daten des Kunden betrifft.
• Wir sind bestrebt, die Benachrichtigung so rechtzeitig zu senden, dass der Kunde als Verantwortlicher die Frist von 72 Stunden einhalten kann, innerhalb derer er die Aufsichtsbehörde gemäß Art. 33 DSGVO benachrichtigen muss (eine Frist, die ab dem Zeitpunkt läuft, zu dem dem Verantwortlichen die Verletzung bekannt wurde).
• Die Benachrichtigung enthält, soweit verfügbar: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und der betroffenen Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie Kontaktdaten für weitere Informationen. Informationen, die anfänglich nicht verfügbar sind, werden unverzüglich nachgereicht.
• Die Benachrichtigung wird an die im Kundenkonto hinterlegte E-Mail-Adresse gesendet.
• Wir ergreifen angemessene Maßnahmen, um die Auswirkungen der Verletzung zu begrenzen, und arbeiten mit dem Kunden zusammen.
• Vorfälle, die durch Anwendungen, Passwörter oder Konfigurationen des Kunden verursacht werden (zum Beispiel eine kompromittierte WordPress-Website), sind keine Sicherheitsverletzungen unsererseits; wir informieren den Kunden jedoch darüber, wenn wir sie feststellen.

Unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen unterstützen wir den Kunden bei der Erfüllung der in Art. 32–36 DSGVO vorgesehenen Pflichten (Sicherheit, Meldung von Verletzungen, Benachrichtigung der betroffenen Personen, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde), insbesondere durch die Bereitstellung relevanter Informationen über den Dienst und die Sicherheitsmaßnahmen. Unterstützung, die über die Bereitstellung dieser Informationen hinausgeht, kann zu angemessenen, vorab mitgeteilten Kosten in Rechnung gestellt werden.

• Während der Vertragslaufzeit kann der Kunde seine Inhalte jederzeit mit den Werkzeugen des Dienstes herunterladen (zum Beispiel über das Control Panel, FTP/SFTP oder den Export der Datenbanken).
• Bei Beendigung des Dienstes löschen wir nach Wahl des Kunden alle personenbezogenen Daten oder stellen sie dem Kunden zum Herunterladen bereit und löschen anschließend die vorhandenen Kopien, sofern nicht nach dem Recht der Union oder Rumäniens eine Pflicht zu ihrer Speicherung besteht.
• Der Kunde muss seine Daten vor der Beendigung oder in dem in den Allgemeinen Geschäftsbedingungen vorgesehenen Zeitraum zwischen Sperrung und Löschung herunterladen. Nach Ablauf dieses Zeitraums werden die Daten von den aktiven Servern gelöscht.
• Die Sicherungskopien (7 tägliche, 4 wöchentliche, 3 monatliche) werden im Rahmen des üblichen Rotationszyklus spätestens 90 Tage nach der Löschung der Daten von den aktiven Servern überschrieben oder gelöscht.

• Wir stellen dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.
• Wir ermöglichen Audits, einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden, und tragen dazu bei, unter folgenden Bedingungen: eine vorherige Ankündigung von mindestens 30 Tagen; ein zur Vertraulichkeit verpflichteter Prüfer; eine Durchführung ohne Beeinträchtigung der Sicherheit oder der Daten anderer Kunden; höchstens einmal pro Jahr, es sei denn, es ist eine Verletzung des Schutzes personenbezogener Daten eingetreten oder eine Aufsichtsbehörde verlangt das Audit.
• Inspektionen in den Rechenzentren der Unterauftragsverarbeiter erfolgen nach deren Richtlinien; anstelle der Inspektion können wir die von den Unterauftragsverarbeitern bereitgestellten Berichte oder Unterlagen vorlegen.
• Die Kosten des Audits trägt der Kunde, es sei denn, das Audit stellt einen erheblichen Verstoß unsererseits gegen diese Vereinbarung fest.

• Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung der von ihm gehosteten Daten verantwortlich: Rechtsgrundlage, Information der betroffenen Personen, Beantwortung ihrer Anträge und gegebenenfalls Meldung von Verletzungen an die Behörde und an die betroffenen Personen.
• Der Kunde stellt sicher, dass seine Weisungen rechtmäßig sind und dass er berechtigt ist, uns die Daten zu übermitteln.
• Der Kunde wählt und konfiguriert die in seinen Bereich fallenden Sicherheitsmaßnahmen (Passwörter, Updates, Sicherungskopien, Verschlüsselung sensibler Daten auf Anwendungsebene).

• Die Vereinbarung gilt für die Laufzeit des Vertrags und nach dessen Beendigung bis zur Löschung aller Daten des Kunden.
• Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und den Allgemeinen Geschäftsbedingungen, im gesetzlich zulässigen Rahmen.
• Bei Widersprüchen zwischen dieser Vereinbarung und den Allgemeinen Geschäftsbedingungen in Bezug auf den Datenschutz hat diese Vereinbarung Vorrang.
• Die Vereinbarung unterliegt rumänischem Recht. Wir können die Vereinbarung nach dem Verfahren für Änderungen der Allgemeinen Geschäftsbedingungen aktualisieren, mit Ausnahme von Änderungen in Bezug auf Unterauftragsverarbeiter, für die Abschnitt 6 gilt.
• Fragen zu dieser Vereinbarung richten Sie bitte an [email protected].
• Die Vereinbarung ist seit dem 29. Oktober 2026 in Kraft.