Vereinbarung zur Auftragsverarbeitung

Verantwortlicher ist der Geschäftskunde, auf den das Konto lautet („der Kunde“). Auftragsverarbeiter ist Pandem Network, eingetragener Verein nach französischem Recht (Gesetz vom 1. Juli 1901), SIREN 131 572 885, mit Sitz in Dom Ici, 57 rue Auguste Chevallier, 37000 Tours, France („Pandem“). Pandem verarbeitet diese Daten im Auftrag des Kunden, ausschließlich um die abgeschlossenen Leistungen zu erbringen, abzusichern und zu sichern.

Für die Daten Ihres eigenen Kundenkontos (Kontaktdaten, Rechnungen, Verbindungsprotokolle) ist Pandem der Verantwortliche: siehe die Datenschutzerklärung.

• Betroffene Leistungen: E-Mail (Postfächer, Aliase, Adressbücher und Kalender), virtuelle Server (VPS), Gameserver und Discord-Bots, Webhosting (Dateien, Datenbanken), DNS-Hosting.
• Vorgänge: Hosting, Speicherung, Übermittlung, Replikation zwischen Standorten, Sicherung und Löschung.
• Zweck: Erbringung der abgeschlossenen Leistungen, ihre Sicherheit und Sicherung.
• Daten: alles, was der Kunde in den Leistungen ablegt; bei E-Mail die Nachrichten und Anhänge, Kontakte, Kalender, Zugangsdaten und Verbindungsprotokolle der Postfächer.
• Betroffene Personen: die Nutzer, Kunden und Korrespondenten des Kunden sowie die Besucher seiner Websites.
• Dauer: die der abgeschlossenen Leistungen, danach Löschung nach Artikel 9.

Pandem verlangt keine besonderen Kategorien von Daten (Artikel 9 DSGVO). Der Kunde legt in den Leistungen keine Gesundheitsdaten ab, die der Pflicht zum zertifizierten Hosting unterliegen (Artikel L.1111-8 des französischen Gesetzbuchs über die öffentliche Gesundheit), es sei denn, Pandem stimmt schriftlich zu.

Pandem:

• verarbeitet die Daten nur auf dokumentierte Weisung des Kunden: die AGB, diese Vereinbarung, die Einstellungen im Kundenbereich und die schriftlichen Anfragen des Kunden, auch für jede Übermittlung außerhalb der Europäischen Union; hält Pandem eine Weisung für einen Verstoß gegen die DSGVO, informiert es den Kunden; verpflichtet das Gesetz zu einer Verarbeitung, informiert Pandem den Kunden vorher, sofern das Gesetz dies nicht verbietet;
• stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind; die Verwaltungsansichten zeigen nur Metadaten der Postfächer, nie den Inhalt der Nachrichten;
• trifft die Sicherheitsmaßnahmen nach Artikel 5;
• beauftragt Unterauftragsverarbeiter nur unter den Bedingungen von Artikel 6;
• unterstützt den Kunden bei der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte (Artikel 7);
• unterstützt den Kunden bei der Einhaltung seiner Pflichten zu Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation (Artikel 32 bis 36 DSGVO) unter Berücksichtigung der Pandem vorliegenden Informationen;
• löscht die Daten am Ende der Leistungen nach Artikel 9;
• stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind, und ermöglicht Prüfungen nach Artikel 10.

Die Daten des Kunden werden auf den Servern von Pandem im Raum Tours (Indre-et-Loire, Frankreich) und bei den im Anhang aufgeführten Unterauftragsverarbeitern an den dort genannten Orten gehostet. Pandem übermittelt die Daten des Kunden nicht ohne Weisung des Kunden und ohne die Garantien von Kapitel V DSGVO außerhalb der Europäischen Union.

• TLS-Verschlüsselung aller Zugänge (IMAP, POP, SMTP, DAV, Panels, APIs) und des Verkehrs zwischen den Standorten;
• Passwörter gehasht gespeichert und Server-Geheimnisse verschlüsselt abgelegt; widerrufbare App-Passwörter für E-Mail; Zwei-Faktor-Authentifizierung für Konten verfügbar;
• Netze der Leistungen durch die Router von Pandem gefiltert, E-Mail-Netze isoliert; Serververwaltung nur per SSH-Schlüssel;
• E-Mail auf drei Standorte repliziert; regelmäßige Sicherungen der Maschinen; externe Kopien vor dem Versand verschlüsselt, mit einem Schlüssel, den Pandem offline aufbewahrt;
• Protokollierung von Anmeldungen und Verwaltungsaktionen;
• die Festplatten der Server sind nicht verschlüsselt.

Diese Maßnahmen entwickeln sich weiter; Pandem senkt sie nicht unter das hier beschriebene Niveau.

Der Kunde genehmigt Pandem den Einsatz der im Anhang aufgeführten Unterauftragsverarbeiter. Pandem informiert den Kunden mindestens 30 Tage im Voraus per E-Mail über jede Hinzufügung oder Ersetzung; der Kunde kann innerhalb dieser Frist widersprechen und, wenn keine Einigung zustande kommt, die betroffene Leistung kostenlos kündigen, mit Erstattung des bezahlten, nicht genutzten Zeitraums.

Pandem erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten wie in dieser Vereinbarung auf und haftet gegenüber dem Kunden für deren Einhaltung.

Pandem leitet jede Anfrage einer betroffenen Person, die es direkt erhält, unverzüglich an den Kunden weiter, ohne sie ohne Weisung selbst zu beantworten. Der Kundenbereich gibt dem Kunden die Werkzeuge dafür (Export der Postfächer per IMAP, Löschen von Postfächern, Aliasen und Websites, Bearbeiten von DNS-Zonen); bei allem Weiteren hilft Pandem auf Anfrage.

Pandem meldet dem Kunden jede ihn betreffende Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem es davon Kenntnis erlangt hat, per E-Mail an die Kontoadresse, mit den ihm vorliegenden Informationen nach Artikel 33 Abs. 3 DSGVO, die es laufend ergänzt. Es ist Sache des Kunden als Verantwortlichem, die Aufsichtsbehörde zu benachrichtigen und die betroffenen Personen bei Bedarf zu informieren; Pandem unterstützt ihn dabei.

Vor dem Ende einer Leistung sichert der Kunde seine Daten: Postfächer per IMAP, Dateien der Websites und Server per SFTP oder über die Panels. Am Ende werden die Daten nach den Regeln der AGB (Artikel 4) gelöscht: E-Mail 30 Tage schreibgeschützt, dann gesperrt und 60 Tage nach dem Fälligkeitstermin gelöscht; Websites 7 Tage offline, dann mit ihren Datenbanken und Backups gelöscht; Server am Ende der Leistung gelöscht.

Die Backups der Leistung werden mit ihr gelöscht; Kopien, die in den Sicherungen der Infrastruktur verbleiben, verschwinden mit deren Rotation. Nur Daten, die Pandem gesetzlich aufbewahren muss, werden für die gesetzliche Dauer aufbewahrt.

Pandem stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung nötig sind (Beschreibung der Sicherheitsmaßnahmen, Liste der Unterauftragsverarbeiter, Auszüge aus dem Verarbeitungsverzeichnis). Der Kunde kann auf schriftliche Anfrage mit einer Frist von 30 Tagen, höchstens einmal pro Jahr außer nach einer festgestellten Verletzung, auf eigene Kosten eine Prüfung durch einen zur Verschwiegenheit verpflichteten Prüfer ohne Zugriff auf Daten anderer Kunden durchführen lassen.

Diese Vereinbarung unterliegt französischem Recht; für Streitigkeiten sind die in Artikel 11 der AGB genannten Gerichte zuständig. Widersprechen sich diese Vereinbarung und die AGB beim Datenschutz, geht diese Vereinbarung vor.

Zum Datum der letzten Aktualisierung dieser Vereinbarung: