Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AV-Vertrag" oder „Vertrag") konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien im Zusammenhang mit der Verarbeitung personenbezogener Daten, die im Rahmen des zwischen den Parteien geschlossenen Hauptvertrags über die nachstehend bezeichneten Dienste erfolgt.

der regfish GmbH, Bleichstraße 8a, 35390 Gießen, Deutschland (nachfolgend „regfish", „Auftragsverarbeiter" oder „wir")

der Kundin oder dem Kunden gemäß den Stammdaten des jeweiligen Kundenkontos (nachfolgend „Kunde", „Verantwortlicher" oder „Sie") (nachfolgend gemeinsam die „Parteien" und einzeln die „Partei") Hinweis zur Sprachform: Aus Gründen der besseren Lesbarkeit wird im Folgenden überwiegend die männliche Sprachform verwendet. Gemeint sind stets Kundinnen und Kunden gleichermaßen.

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch regfish im Auftrag und nach Weisung des Kunden im Sinne von Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, nachfolgend „DSGVO"). regfish handelt insoweit als Auftragsverarbeiter, der Kunde als Verantwortlicher. (2) Dieser Vertrag gilt für alle Leistungen, bei denen regfish personenbezogene Daten weisungsgebunden für den Kunden ohne eigene Zweckbestimmung verarbeitet, namentlich: – Webhosting und WordPress-Hosting (Speicherung und Verarbeitung der vom Kunden eingestellten Inhalte einschließlich darin enthaltener personenbezogener Daten Dritter), – E-Mail-Dienste (Postfächer und E-Mail-Weiterleitungen), – DNS-Dienste (DNS-Hosting, DNSSEC, DynDNS, Hidden Primary, DNS-Automation), – Web-Weiterleitung (HTTP-Weiterleiter), – die öffentliche Programmierschnittstelle (API) zur DNS- und TLS-Automatisierung, soweit über sie personenbezogene Daten des Kunden verarbeitet werden. Die in Anlage 1 enthaltene Verarbeitungsbeschreibung konkretisiert Gegenstand, Art, Zweck, Datenarten, Kategorien betroffener Personen und Dauer der Verarbeitung. (3) Nicht von diesem Vertrag erfasst und ausdrücklich ausgenommen sind: – die Registrierung, der Transfer und die Verlängerung von Domains: Die Übermittlung der Domaininhaber- und Kontaktdaten (insbesondere Inhaber, administrativer und technischer Ansprechpartner) an die jeweilige Vergabestelle (Registry, z. B. DENIC eG, EURid, nic.at, Nominet) beruht auf einer eigenen rechtlichen und vertraglichen Pflicht von regfish und der Registry. regfish und die Registry handeln insoweit als eigene oder gemeinsam Verantwortliche und nicht als Auftragsverarbeiter. – die Ausstellung von TLS-/SSL- und sonstigen Zertifikaten (DV, OV, EV, Wildcard, SAN, S/MIME, Code-Signing): Die Verarbeitung der Antragsdaten erfolgt durch die ausstellende Zertifizierungsstelle (CA, z. B. DigiCert, Sectigo, GeoTrust, Thawte, RapidSSL) nach den Vorgaben des CA/Browser-Forums in eigener Verantwortlichkeit. regfish vermittelt diese Leistungen lediglich. Die Verarbeitung der vorgenannten Daten wird in der Datenschutzerklärung (abrufbar unter regfish.de/legal/privacy) als eigene oder gemeinsame Verantwortlichkeit dargestellt. (4) Im Verhältnis zu den weiteren Vertragsdokumenten gilt in Datenschutzfragen folgende Rangfolge; bei Widersprüchen geht das jeweils vorrangige Dokument vor: – eine zwischen den Parteien getroffene individuelle Abrede, – dieser Auftragsverarbeitungsvertrag, – die Zusatzbedingungen und Leistungsbeschreibungen (abrufbar unter regfish.de/legal/additional-terms), – die Vereinbarung zum Servicelevel (SLA, abrufbar unter regfish.de/legal/sla), – die Allgemeinen Geschäftsbedingungen (abrufbar unter regfish.de/legal/terms), – die Nutzungsrichtlinie (AUP, abrufbar unter regfish.de/legal/acceptable-use). In allen Fragen des Datenschutzes geht dieser AV-Vertrag den Allgemeinen Geschäftsbedingungen und der Nutzungsrichtlinie vor. (5) Dieser Vertrag gilt ausschließlich gegenüber Unternehmern im Sinne von § 14 BGB sowie gegenüber juristischen Personen des öffentlichen Rechts und öffentlich-rechtlichen Sondervermögen. Er richtet sich nicht an Verbraucher im Sinne von § 13 BGB.

(1) Art, Zweck und Umfang der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1 zu diesem Vertrag. (2) Die Verarbeitung findet im Gebiet der Europäischen Union oder des Europäischen Wirtschaftsraums statt. Eine Verarbeitung in einem Drittland erfolgt nur unter den Voraussetzungen des § 11 dieses Vertrags und im Rahmen des Einsatzes weiterer Auftragsverarbeiter gemäß § 7 und Anlage 3. (3) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags über die jeweilige Leistung. Dieser AV-Vertrag endet mit Beendigung des letzten betroffenen Hauptvertrags, unbeschadet fortwirkender Pflichten nach § 9 und § 4 Absatz 3.

(1) regfish verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden, einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation. Dies gilt nicht, sofern regfish durch das Recht der Europäischen Union oder das Recht eines Mitgliedstaats, dem regfish unterliegt, zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt regfish dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. (2) Die diesem Vertrag, seinen Anlagen und dem Hauptvertrag zugrunde liegenden Festlegungen gelten als Erstweisung des Kunden. Die Nutzung der von regfish bereitgestellten technischen Funktionen, Konfigurationsoberflächen und der API durch den Kunden gilt als Einzelweisung im Rahmen der vertraglich vereinbarten Leistungen. (3) Weisungen, die über die vertraglich vereinbarte Leistung hinausgehen, ergehen in Textform (z. B. per E-Mail an support@regfish.de) und sind für regfish verbindlich, sofern regfish ihnen nicht aus den in Absatz 4 genannten Gründen widerspricht. Mündliche Weisungen bestätigt der Kunde unverzüglich in Textform. (4) Ist regfish der Auffassung, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, informiert regfish den Kunden unverzüglich. regfish ist berechtigt, die Ausführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch einen vertretungsberechtigten Ansprechpartner des Kunden auszusetzen. Diese Hinweispflicht kann durch die Parteien nicht abbedungen werden. (5) Jede Partei benennt die zur Erteilung und Entgegennahme von Weisungen berechtigten Personen. Änderungen sind der jeweils anderen Partei in Textform mitzuteilen.

(1) regfish verpflichtet die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit, soweit diese nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. (2) regfish stellt sicher, dass die mit der Verarbeitung befassten Personen die einschlägigen datenschutzrechtlichen Bestimmungen kennen und entsprechend ihrer Aufgaben unterwiesen sind. (3) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung dieses Vertrags und nach dem Ausscheiden der betreffenden Personen fort.

(1) regfish trifft die zur Sicherheit der Verarbeitung erforderlichen technischen und organisatorischen Maßnahmen (nachfolgend „TOM") nach dem Stand der Technik unter Berücksichtigung der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen. (2) Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben. Der Kunde erkennt diese Maßnahmen als angemessen an. (3) Die TOM unterliegen dem technischen Fortschritt und der Weiterentwicklung. regfish ist berechtigt, die TOM anzupassen und fortzuentwickeln, sofern das vereinbarte Schutzniveau dadurch nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert; die jeweils aktuelle Fassung der Anlage 2 wird dem Kunden auf Anforderung zur Verfügung gestellt.

(1) regfish unterstützt den Kunden im Rahmen des Zumutbaren und unter Berücksichtigung der Art der Verarbeitung sowie der regfish zur Verfügung stehenden Informationen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Pflicht des Kunden zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO (Art. 12 bis 23 DSGVO). (2) Wendet sich eine betroffene Person unmittelbar an regfish zur Wahrnehmung ihrer Rechte, leitet regfish dieses Ersuchen unverzüglich an den Kunden weiter und beantwortet es nicht selbst, es sei denn, der Kunde hat hierzu eine abweichende Weisung erteilt. (3) regfish unterstützt den Kunden ferner bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Gewährleistung der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen des Schutzes personenbezogener Daten (§ 8 dieses Vertrags), bei der Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) sowie bei einer etwaigen vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO). (4) Die nach Art. 28 Abs. 3 lit. e, f und h DSGVO zwingend geschuldete Mitwirkung erbringt regfish unentgeltlich. Für Unterstützungsleistungen, die über die gesetzlich geschuldete Mitwirkung oder über die im Hauptvertrag vereinbarten Leistungen hinausgehen, kann regfish eine angemessene Vergütung nach dem jeweils gültigen Stundensatz gemäß der Preisliste (abrufbar unter regfish.de/legal/additional-terms) verlangen, sofern die Leistung nicht auf einem regfish zurechenbaren Umstand beruht. Auf einen entstehenden Aufwand weist regfish vor Ausführung hin.

(1) Der Kunde erteilt regfish hiermit die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (nachfolgend „Unterauftragsverarbeiter") im Sinne von Art. 28 Abs. 2 Satz 1 DSGVO. Anlage 3 gibt den Stand der eingesetzten Unterauftragsverarbeiter zum Zeitpunkt des Vertragsschlusses wieder. Maßgeblich ist die jeweils aktuelle Fassung, die unter regfish.de/legal/subprocessors abrufbar ist; Änderungen richten sich nach den Absätzen 2 bis 4. (2) regfish informiert den Kunden über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern in Textform mit einer angemessenen Vorlauffrist von mindestens vierzehn (14) Tagen vor der beabsichtigten Beauftragung. Die Information erfolgt durch Mitteilung an die im Kundenkonto hinterlegte E-Mail-Adresse oder durch Bekanntgabe über die unter Absatz 1 genannte Webseite mit gesonderter Benachrichtigung. (3) Der Kunde kann der Änderung innerhalb der Vorlauffrist aus einem wichtigen, datenschutzrechtlich begründeten Anlass in Textform widersprechen. Widerspricht der Kunde nicht innerhalb der Frist, gilt die Änderung als genehmigt. (4) Im Falle eines berechtigten Widerspruchs werden sich die Parteien um eine einvernehmliche Lösung bemühen. Kann eine solche nicht erzielt werden und ist der Einsatz des betreffenden Unterauftragsverarbeiters für die Leistungserbringung erforderlich, ist regfish berechtigt und der Kunde berechtigt, die von der Änderung betroffene Leistung mit angemessener Frist außerordentlich zu kündigen. Weitergehende Ansprüche bestehen nicht. (5) regfish erlegt jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die in diesem AV-Vertrag festgelegt sind, insbesondere die Pflicht zur Gewährleistung hinreichender Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet regfish gegenüber dem Kunden für die Einhaltung der Pflichten dieses Unterauftragsverarbeiters in vollem Umfang. (6) Als Unterauftragsverarbeiter im Sinne dieses Paragraphen gelten nicht solche Dienstleistungen, die regfish als Nebenleistung zur Unterstützung der Geschäftstätigkeit in Anspruch nimmt und bei denen kein nicht nur zufälliger Zugriff auf personenbezogene Daten des Kunden besteht (z. B. Telekommunikations-, Reinigungs- oder reine Wartungsleistungen). regfish gewährleistet auch bei solchen Leistungen ein angemessenes Schutzniveau.

(1) regfish meldet dem Kunden jede ihr bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Rahmen der Auftragsverarbeitung eingetreten ist, unverzüglich, ohne schuldhaftes Zögern und in der Regel innerhalb von achtundvierzig (48) Stunden ab Kenntniserlangung. (2) Die Meldung enthält, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Angaben, insbesondere eine Beschreibung der Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, den Namen und die Kontaktdaten des Ansprechpartners, eine Beschreibung der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und zur Abmilderung möglicher nachteiliger Auswirkungen. (3) Soweit nicht alle Angaben gleichzeitig bereitgestellt werden können, stellt regfish sie schrittweise und ohne unangemessene weitere Verzögerung zur Verfügung. Die Pflicht zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und gegebenenfalls an die betroffenen Personen (Art. 34 DSGVO) obliegt dem Kunden als Verantwortlichem; regfish unterstützt ihn hierbei nach § 6 Absatz 3.

(1) Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht regfish nach Wahl des Kunden sämtliche personenbezogene Daten oder gibt sie an den Kunden zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. (2) Der Kunde teilt regfish seine Wahl (Löschung oder Rückgabe) spätestens bei Beendigung des betreffenden Hauptvertrags in Textform mit. Trifft der Kunde keine Wahl, ist regfish nach Ablauf einer angemessenen Frist und nach vorheriger Aufforderung des Kunden zur Datensicherung zur Löschung berechtigt. (3) Die Rückgabe erfolgt in einem gängigen, maschinenlesbaren Format oder durch Bereitstellung zum Export über die vereinbarten Schnittstellen. Ein über die Standardexportfunktionen hinausgehender Aufwand wird nach § 6 Absatz 4 vergütet. (4) Soweit gesetzliche Aufbewahrungspflichten der Löschung entgegenstehen, insbesondere nach § 257 Handelsgesetzbuch oder § 147 Abgabenordnung, speichert regfish die betreffenden Daten bis zum Ablauf der jeweiligen Frist und beschränkt deren Verarbeitung entsprechend; nach Fristablauf werden sie gelöscht. (5) regfish weist dem Kunden die Löschung oder Rückgabe auf dessen Anforderung in geeigneter Weise nach.

(1) regfish stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Kunden oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei. (2) regfish erbringt den Nachweis vorrangig durch Vorlage geeigneter Unterlagen, insbesondere durch die Beschreibung der TOM nach Anlage 2, durch aktuelle Testate, Zertifizierungen oder Berichte unabhängiger Stellen (z. B. nach ISO/IEC 27001, soweit vorhanden) sowie durch Selbstauskünfte. (3) Reichen die nach Absatz 2 vorgelegten Nachweise zur Erfüllung der Kontrollpflicht des Kunden nicht aus, ist der Kunde berechtigt, eine Überprüfung vor Ort durchzuführen oder durch einen zur Verschwiegenheit verpflichteten, nicht in einem Wettbewerbsverhältnis zu regfish stehenden Prüfer durchführen zu lassen. Hierfür gilt: – Die Überprüfung wird mit angemessener Vorankündigung von mindestens zwei (2) Wochen angekündigt. – Sie findet während der üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebsablaufs von regfish statt. – Sie erfolgt grundsätzlich höchstens einmal je Kalenderjahr; bei einem konkreten Anlass, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder auf begründetes Verlangen einer Aufsichtsbehörde, auch häufiger. – Die Vertraulichkeit der Daten anderer Kunden und Dritter sowie Betriebs- und Geschäftsgeheimnisse von regfish sind zu wahren; der Prüfer kann zur Unterzeichnung einer gesonderten Verschwiegenheitserklärung verpflichtet werden. (4) Den durch eine Überprüfung nach Absatz 3 bei regfish entstehenden, über die übliche Mitwirkung hinausgehenden angemessenen Aufwand kann regfish dem Kunden nach dem jeweils gültigen Stundensatz gemäß der Preisliste (abrufbar unter regfish.de/legal/additional-terms) in Rechnung stellen. Das Kontroll- und Auditrecht des Kunden wird hierdurch nicht ausgeschlossen; die nach Art. 28 Abs. 3 lit. h DSGVO zwingend geschuldete Mitwirkung bleibt unentgeltlich. (5) regfish informiert den Kunden unverzüglich, wenn eine Aufsichtsbehörde Kontrollmaßnahmen gegenüber regfish ergreift, soweit diese die Auftragsverarbeitung für den Kunden betreffen.

(1) Eine Übermittlung personenbezogener Daten in ein Land außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (Drittland) oder an eine internationale Organisation erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind und im Rahmen der Weisungen des Kunden sowie der nach § 7 und Anlage 3 zulässigen Unterauftragsverarbeitung. (2) Eine Übermittlung wird vorrangig auf einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO gestützt. Bei einer Übermittlung an Empfänger in den Vereinigten Staaten von Amerika setzt dies voraus, dass der jeweilige Empfänger nach dem EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795) aktiv zertifiziert ist. (3) Besteht für den jeweiligen Transfer kein Angemessenheitsbeschluss oder entfällt ein solcher, oder ist der Empfänger nicht oder nicht mehr nach dem EU-US Data Privacy Framework zertifiziert, stützt regfish die Übermittlung auf die Standardvertragsklauseln der Europäischen Kommission gemäß dem Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021 in der jeweils einschlägigen Modulfassung, ergänzt um eine Bewertung der Übermittlungswirkung (Transfer Impact Assessment) und um erforderliche zusätzliche Schutzmaßnahmen (insbesondere Verschlüsselung und Pseudonymisierung). Die Standardvertragsklauseln greifen in diesem Fall automatisch ein. (4) regfish informiert den Kunden, soweit gesetzlich zulässig, über an regfish oder einen Unterauftragsverarbeiter gerichtete rechtlich bindende Aufforderungen einer Behörde eines Drittlands zur Offenlegung der für den Kunden verarbeiteten personenbezogenen Daten. (5) Die für den jeweiligen Unterauftragsverarbeiter geltende Transfergrundlage ist in Anlage 3 ausgewiesen.

(1) Der Kunde ist für die Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte der betroffenen Personen als Verantwortlicher allein verantwortlich. Er stellt insbesondere sicher, dass für die Verarbeitung der von ihm eingestellten oder übermittelten personenbezogenen Daten eine Rechtsgrundlage besteht. (2) Nutzt der Kunde die bezogenen Leistungen, um seinerseits Leistungen an Dritte zu erbringen (Reseller-Konstellation), so bleibt der Kunde gegenüber regfish unmittelbarer Vertragspartner. In diesem Fall ist der Kunde gegenüber seinen Endkunden Verantwortlicher beziehungsweise Auftragsverarbeiter, und regfish wird gegenüber dem Kunden als dessen Auftragsverarbeiter beziehungsweise Unterauftragsverarbeiter tätig. Der Kunde stellt sicher, dass die datenschutzrechtliche Verantwortungskette gegenüber seinen Endkunden lückenlos abgebildet ist; er ist berechtigt und verpflichtet, die Pflichten dieses Vertrags in seinem Verhältnis zu seinen Endkunden weiterzugeben, soweit dies erforderlich ist. (3) Der Kunde benennt regfish einen Ansprechpartner für Datenschutzfragen, soweit er einen Datenschutzbeauftragten bestellt hat.

(1) Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Verhältnis der Parteien untereinander (Innenverhältnis) gelten ergänzend die Haftungsregelungen des Haftungsparagraphen der Allgemeinen Geschäftsbedingungen (§ 14 der Allgemeinen Geschäftsbedingungen, abrufbar unter regfish.de/legal/terms), soweit diese nicht zwingenden datenschutzrechtlichen Vorgaben widersprechen. Eine etwaige summenmäßige Begrenzung der Haftung nach den Allgemeinen Geschäftsbedingungen wirkt ausschließlich im Innenverhältnis zwischen den Parteien; die gesamtschuldnerische Haftung gegenüber betroffenen Personen im Außenverhältnis nach Art. 82 DSGVO bleibt hiervon unberührt (Absatz 2). (2) Eine Begrenzung der Haftung gegenüber betroffenen Personen oder Aufsichtsbehörden nach Art. 82 und Art. 83 DSGVO ist mit diesem Vertrag nicht verbunden und nicht beabsichtigt. (3) Stellt eine Partei fest, dass die andere Partei oder ein Unterauftragsverarbeiter gegen datenschutzrechtliche Pflichten verstößt, informieren sich die Parteien gegenseitig unverzüglich.

(1) regfish hat einen Datenschutzbeauftragten bestellt: Rudolf Fiedler, c/o DPP Data Protection GmbH, Zum Gottschalkhof 2, 60594 Frankfurt am Main, Telefon +49 69 175366960, E-Mail datenschutz@regfish.de. (2) Die für regfish zuständige Aufsichtsbehörde ist: Der Hessische Beauftragte für Datenschutz und Informationsfreiheit, Postfach 3163, 65021 Wiesbaden, E-Mail poststelle@datenschutz.hessen.de.

(1) Dieser Vertrag tritt mit Wirksamwerden des ersten Hauptvertrags über eine in § 1 Absatz 2 genannte Leistung in Kraft und endet mit Beendigung des letzten betroffenen Hauptvertrags. Die Pflichten nach § 4 (Vertraulichkeit) und § 9 (Löschung und Rückgabe) wirken über das Vertragsende hinaus fort. (2) Dieser Vertrag wird in Textform oder in einem gleichwertigen elektronischen Format geschlossen (Art. 28 Abs. 9 DSGVO). Ein Abschluss durch elektronische Bestätigung im Kundenkonto oder im Bestellprozess ist ausreichend und wird von beiden Parteien anerkannt. (3) Änderungen und Ergänzungen dieses Vertrags und seiner Anlagen bedürfen der Textform. Dies gilt auch für die Aufhebung des Textformerfordernisses. Die Aktualisierung der Anlagen 2 und 3 nach Maßgabe von § 5 Absatz 3 und § 7 Absatz 2 bleibt hiervon unberührt. (4) Sollten einzelne Bestimmungen dieses Vertrags ganz oder teilweise unwirksam oder undurchführbar sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hierdurch nicht berührt. Die Parteien werden eine unwirksame oder undurchführbare Bestimmung durch eine wirksame ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung möglichst nahekommt. (5) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Soweit der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag der Sitz von regfish in Gießen, soweit nicht ein anderer ausschließlicher gesetzlicher Gerichtsstand besteht. ==============================================================================

Gegenstand, Art und Zweck der Verarbeitung, Datenarten und Kategorien betroffener Personen

Gegenstand ist die Erbringung der vom Kunden beauftragten Dienste, bei denen regfish personenbezogene Daten weisungsgebunden verarbeitet: – Webhosting und WordPress-Hosting, – E-Mail-Dienste (Postfächer und Weiterleitungen), – DNS-Dienste (DNS-Hosting, DNSSEC, DynDNS, Hidden Primary, DNS-Automation), – Web-Weiterleitung (HTTP-Weiterleiter), – öffentliche API zur DNS- und TLS-Automatisierung, soweit personenbezogene Daten verarbeitet werden.

Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln (Übertragen und Auflösen von Datenverkehr im Rahmen der Dienste), Verbreiten durch den Kunden veranlasste Bereitstellung, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten durch automatisierte und nicht automatisierte Verfahren.

Bereitstellung, Betrieb, Wartung und Sicherung der beauftragten Hosting-, E-Mail-, DNS-, Weiterleitungs- und API-Dienste sowie die hierfür erforderliche technische Administration, Fehlerbehebung und Gewährleistung der Betriebssicherheit, jeweils im Rahmen der Weisungen des Kunden.

Je nach beauftragter Leistung und nach den vom Kunden eingestellten oder übermittelten Inhalten können verarbeitet werden: – Bestands- und Kontaktdaten (Namen, Anschriften, E-Mail-Adressen, Telefonnummern), – Inhaltsdaten der vom Kunden betriebenen Webseiten, Anwendungen und Datenbanken einschließlich darin enthaltener personenbezogener Daten Dritter, – E-Mail-Kommunikationsdaten (Absender, Empfänger, Betreff, Inhalt, Metadaten), – DNS- und Konfigurationsdaten (z. B. Hostnamen, Zonendaten, IP-Adressen), – Nutzungs-, Verbindungs- und Protokolldaten (z. B. Zugriffs- und Server-Logs, IP-Adressen, Zeitstempel), – Authentifizierungs- und Zugangsdaten (z. B. Benutzerkennungen, gehashte Passwörter, API-Schlüssel), – besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO nur dann, wenn und soweit der Kunde solche Daten in die von ihm betriebenen Inhalte einstellt; deren Verarbeitung liegt allein im Verantwortungsbereich des Kunden.

– Kundinnen und Kunden des Kunden sowie deren Interessenten, – Beschäftigte, Mitarbeitende und sonstige Ansprechpartner des Kunden, – Endnutzer und Besucher der vom Kunden betriebenen Webseiten und Anwendungen, – Kommunikationspartner des Kunden (insbesondere im E-Mail-Verkehr), – sonstige Dritte, deren personenbezogene Daten der Kunde im Rahmen der Dienste verarbeitet.

Die Verarbeitung erfolgt für die Laufzeit des jeweiligen Hauptvertrags zuzüglich der Zeiträume, die für Löschung oder Rückgabe nach § 9 des Vertrags sowie für die Erfüllung gesetzlicher Aufbewahrungspflichten erforderlich sind.

Die Hosting- und Mail-Infrastruktur wird von regfish selbst innerhalb der Europäischen Union betrieben. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur im Rahmen der in Anlage 3 ausgewiesenen Unterauftragsverarbeitung und unter den Voraussetzungen des § 11 des Vertrags statt. ==============================================================================

Technische und organisatorische Maßnahmen nach Art. 32 DSGVO regfish unterhält die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen. Sie gelten nach Maßgabe des jeweiligen Dienstes und des Schutzbedarfs der verarbeiteten Daten; nicht jede Maßnahme ist für jeden Dienst gleichermaßen einschlägig. Maßgeblich ist jeweils die zum Zeitpunkt der Verarbeitung aktuelle Fassung; das vereinbarte Schutzniveau wird dabei nicht unterschritten (§ 5 Absatz 3 des Vertrags).

1.1 Zutrittskontrolle (Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen) – Betrieb der Server in Rechenzentren mit kontrolliertem Zutritt, Zutrittsberechtigungskonzept und Protokollierung, – elektronische Zutrittssicherung und Videoüberwachung der Rechenzentren durch die jeweiligen Betreiber, – Besucherregelungen und Begleitung externer Personen, – Sicherung der Geschäftsräume von regfish gegen unbefugten Zutritt. 1.2 Zugangskontrolle (Schutz vor unbefugter Systemnutzung) – individuelle Benutzerkennungen, keine Sammelkonten für administrative Zugriffe, – Authentifizierung mit Passwortrichtlinien und Zwei-Faktor-Authentisierung für administrative und kundenseitige Zugänge, – Speicherung von Passwörtern ausschließlich in gehashter Form, – automatische Sperrung von Sitzungen nach Inaktivität, – gesicherte und verschlüsselte Administrationszugänge (z. B. SSH mit Schlüsselauthentisierung, VPN), – Sperrung von Zugängen ausgeschiedener Mitarbeitender. 1.3 Zugriffskontrolle (Schutz vor unbefugter Kenntnisnahme, Veränderung und Löschung) – rollen- und bedarfsbasiertes Berechtigungskonzept nach dem Prinzip der geringsten Rechte, – Trennung von Administrations- und Anwendungsberechtigungen, – Protokollierung von Zugriffen und administrativen Tätigkeiten, – regelmäßige Überprüfung und Anpassung der vergebenen Berechtigungen. 1.4 Trennungskontrolle (getrennte Verarbeitung von Daten unterschiedlicher Zwecke) – mandantenfähige Trennung der Daten unterschiedlicher Kunden auf logischer Ebene, – Trennung von Produktiv-, Test- und Entwicklungssystemen, – zweckgebundene Verarbeitung getrennt nach Auftrag. 1.5 Pseudonymisierung und Verschlüsselung – Transportverschlüsselung der Datenübertragung (TLS) für Web-, Mail- und API-Zugriffe, – DNSSEC zur Sicherung der Integrität und Authentizität von DNS-Antworten, soweit beauftragt, – Verschlüsselung gespeicherter Daten nach Maßgabe ihres Schutzbedarfs sowie ausschließlich gehashte Speicherung von Zugangsdaten, – Pseudonymisierung personenbezogener Daten, soweit dies nach dem Verarbeitungszweck möglich und angemessen ist.

2.1 Weitergabekontrolle (Schutz bei Übertragung und Transport) – verschlüsselte Übertragung personenbezogener Daten über öffentliche Netze, – gesicherte Schnittstellen (API) mit Authentisierung, – dokumentierte Verfahren für die Datenübergabe an Unterauftragsverarbeiter. 2.2 Eingabekontrolle (Nachvollziehbarkeit von Eingabe, Änderung und Löschung) – Protokollierung von Eingaben, Änderungen und Löschungen in administrativen Systemen, – Nachvollziehbarkeit, durch wen Daten in Verarbeitungssysteme eingegeben, verändert oder entfernt wurden, – Aufbewahrung der Protokolle nach einem festgelegten Konzept.

3.1 Verfügbarkeitskontrolle – regelmäßige, automatisierte Datensicherungen (Backups) mit getrennter Aufbewahrung, – redundante Auslegung kritischer Komponenten, – unterbrechungsfreie Stromversorgung und Klimatisierung in den Rechenzentren, – Schutzmaßnahmen gegen Schadsoftware und gegen Überlastungs- und Missbrauchsangriffe (unter anderem Abwehr von Distributed-Denial-of-Service-Angriffen), – Überwachung der Systeme (Monitoring) und Statusinformationen über status.regfish.de. 3.2 Wiederherstellbarkeit – dokumentierte Verfahren zur raschen Wiederherstellung der Verfügbarkeit personenbezogener Daten nach einem physischen oder technischen Zwischenfall, – Überprüfung der Wiederherstellbarkeit aus Datensicherungen. 3.3 Belastbarkeit – Auslegung der Systeme auf Lastspitzen und auf den dauerhaften Betrieb, – Kapazitäts- und Ressourcenüberwachung.

4.1 Datenschutz-Management – benannter Datenschutzbeauftragter (siehe § 14 des Vertrags), – interne Richtlinien und Unterweisung der Mitarbeitenden zum Datenschutz, – Verpflichtung der Mitarbeitenden auf Vertraulichkeit, – Verzeichnis von Verarbeitungstätigkeiten, soweit erforderlich, – Prozesse zur Bearbeitung von Betroffenenanfragen und zur Meldung von Verletzungen des Schutzes personenbezogener Daten. 4.2 Auftragskontrolle – Auswahl der Unterauftragsverarbeiter nach Eignungskriterien, – vertragliche Verpflichtung der Unterauftragsverarbeiter nach Art. 28 DSGVO, – Überprüfung der Einhaltung der Pflichten der Unterauftragsverarbeiter. 4.3 Überprüfung der Wirksamkeit – regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen, – Anpassung der Maßnahmen an den Stand der Technik und an veränderte Risiken, – Verwendung von Zertifizierungen oder Testaten als Nachweis, soweit vorhanden. ==============================================================================

Verzeichnis der Unterauftragsverarbeiter Die nachfolgenden Unterauftragsverarbeiter sind zum Stand Juni 2026 allgemein genehmigt (§ 7 des Vertrags). Die jeweils aktuelle Fassung ist abrufbar unter regfish.de/legal/subprocessors. Die Hosting- und Mail-Infrastruktur betreibt regfish selbst; insoweit kommt kein externer Unterauftragsverarbeiter zum Einsatz.

– Zweck: Abwicklung von Zahlungen (SEPA-Lastschrift und Kreditkarte). – Sitz: Irland (Europäische Union). – Transfergrundlage: Verarbeitung innerhalb der Europäischen Union; ein Drittlandtransfer findet im Regelfall nicht statt. Soweit eine Übermittlung an die Stripe-Unternehmensgruppe in den Vereinigten Staaten erfolgt, gilt die Grundlage nach § 11 des Vertrags (EU-US Data Privacy Framework, hilfsweise Standardvertragsklauseln (EU) 2021/914).

– Zweck: Support- und Chat-Funktion auf der Website (Einbindung im Click-to-Load-Verfahren). – Sitz: Irland (Europäische Union); konzernverbundene Verarbeitung auch in den Vereinigten Staaten von Amerika. – Transfergrundlage: für die Verarbeitung in den Vereinigten Staaten EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795), hilfsweise Standardvertragsklauseln (EU) 2021/914 mit zusätzlichen Schutzmaßnahmen.

– Zweck: Schutz vor automatisierten Angriffen und missbräuchlicher Nutzung durch den Bot-Schutzdienst Cloudflare Turnstile. – Sitz: Cloudflare, Inc., Vereinigte Staaten von Amerika; Cloudflare Ireland Ltd., Irland (Europäische Union). – Transfergrundlage: Soweit eine Verarbeitung in den Vereinigten Staaten von Amerika erfolgt, EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795), hilfsweise Standardvertragsklauseln (EU) 2021/914 mit zusätzlichen Schutzmaßnahmen.

– Zweck: Kundenbeziehungsmanagement (CRM) sowie Support- und Chat-Funktion auf der Website (Einbindung im Click-to-Load-Verfahren); wird die bisherige Support- und Chat-Lösung (Intercom, Nr. 2) künftig ablösen; bis dahin bleiben beide im Einsatz. – Sitz: Frankfurt am Main, Deutschland (Europäische Union). – Transfergrundlage: Verarbeitung innerhalb der Europäischen Union; ein Drittlandtransfer findet nicht statt.