Dieser AVV wird geschlossen zwischen:
Dieser AVV gilt für sämtliche Verarbeitung personenbezogener Daten, die ich im Auftrag des Kunden im Zusammenhang mit der Bereitstellung von Sitealarm vornehme — insbesondere Daten, die im Rahmen von Website-Monitoring, Alert-Benachrichtigungen oder Status-Pages anfallen und sich auf Dritte (z. B. Endnutzer des Kunden) beziehen können.
Für die Verarbeitung der Daten des Kunden selbst (Account-Daten, Zahlungsdaten) gilt vorrangig die Datenschutzerklärung — dort ist der Kunde selbst betroffene Person, nicht Verantwortlicher.
Es gelten die Begriffsbestimmungen der DS-GVO (Art. 4 DS-GVO), insbesondere „personenbezogene Daten", „Verarbeitung", „Verantwortlicher", „Auftragsverarbeiter" und „Auftragsverarbeitungsvertrag". Ergänzend gilt:
Gegenstand der Verarbeitung ist die Erbringung der Sitealarm-Monitoring-Dienstleistung entsprechend dem gebuchten Plan. Die Verarbeitung dauert für die Laufzeit des zugrunde liegenden Nutzungsvertrags zwischen Kunde und mir an.
Art und Zweck der Verarbeitung umfassen insbesondere:
Kategorien betroffener Personen:
Datenarten:
Eine bewusste Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DS-GVO) ist nicht vorgesehen. Sollten überwachte Endpoints des Kunden solche Daten in ihren Antworten enthalten, obliegt es dem Kunden, hierfür eine geeignete Rechtsgrundlage sicherzustellen.
Weisungsgebundenheit: Ich verarbeite personenbezogene Daten des Kunden ausschließlich auf dokumentierte Weisung des Kunden, es sei denn, ich bin durch EU- oder Mitgliedstaatenrecht zu einer anderweitigen Verarbeitung verpflichtet; in diesem Fall informiere ich den Kunden vorab, soweit rechtlich zulässig. Die Konfiguration des Dienstes durch den Kunden selbst (z. B. angelegte Monitore, hinterlegte Kontakte) gilt als dokumentierte Weisung.
Vertraulichkeit: Der Zugriff auf Kundendaten ist auf das für den Betrieb des Dienstes notwendige Maß beschränkt. Da Sitealarm aktuell von einer Einzelperson betrieben wird, besteht keine interne Mehrpersonen-Zugriffsproblematik; sobald weitere Personen Zugriff auf Produktivsysteme erhalten, werden diese vertraglich zur Vertraulichkeit verpflichtet.
Unterstützung bei Betroffenenrechten: Ich unterstütze den Kunden im zumutbaren Rahmen bei der Beantwortung von Anfragen betroffener Personen (Art. 15–22 DS-GVO), soweit der Kunde diese nicht bereits selbst über die Sitealarm-Oberfläche (z. B. Löschen eines Alarm-Kontakts) erledigen kann.
Meldung von Datenschutzverletzungen: Kommt es zu einer Datenschutzverletzung, die Daten betrifft, für die der Kunde Verantwortlicher ist, informiere ich den Kunden unverzüglich, in der Regel innerhalb von 72 Stunden nach Bekanntwerden, einschließlich der mir zu diesem Zeitpunkt bekannten Angaben zu Art, Umfang und ergriffenen Maßnahmen.
Nachweispflichten: Ich stelle dem Kunden auf Anfrage die notwendigen Informationen zur Verfügung, um die Einhaltung der in Art. 28 DS-GVO niedergelegten Pflichten nachzuweisen (siehe auch Abschnitt 8).
Der Kunde erteilt hiermit die allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DS-GVO. Aktuell eingesetzte Unterauftragsverarbeiter:
| Unterauftragsverarbeiter | Zweck | Ort der Verarbeitung |
|---|---|---|
| Netcup GmbH | Server-Hosting (Infrastruktur, auf der Sitealarm betrieben wird) | Deutschland (EU) |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung kostenpflichtiger Pläne | Irland (EU) |
Ergänzend werden folgende Zhylon-eigene, selbst betriebene Systeme eingesetzt, die keine Unterauftragsverarbeiter im rechtlichen Sinne sind (kein fremdes Unternehmen, gleicher Verantwortlicher wie Sitealarm selbst), aber der Vollständigkeit halber genannt werden: Mailcow (Versand von Alarm- und Systembenachrichtigungen), Zhylon Realtime (Live-Aktualisierung im Dashboard), Zhylon Analytics (anonyme Statistik der Sitealarm-Website, betrifft nicht die vom Kunden überwachten Daten).
Beabsichtigte Änderungen bei den Unterauftragsverarbeitern kündige ich mit mindestens 30 Tagen Vorlauf per E-Mail oder In-App-Hinweis an. Widerspricht der Kunde aus nachvollziehbaren datenschutzrechtlichen Gründen innerhalb dieser Frist, bemühe ich mich um eine alternative Lösung; ist diese nicht möglich, kann der Kunde die betroffene Leistung ohne Vertragsstrafe kündigen.
Ich setze folgende technische und organisatorische Maßnahmen um:
Diese Maßnahmen werden dem jeweiligen Stand der Technik und dem Risiko der Verarbeitung entsprechend fortlaufend angepasst.
Ich stelle dem Kunden auf Anfrage die zur Nachweisführung der Einhaltung dieses AVV notwendigen Informationen zur Verfügung. Angesichts der Betriebsgröße als Solo-Founder-Produkt erfolgt dies primär durch schriftliche Auskunft statt durch Vor-Ort-Audits; sollte ein Kunde ein berechtigtes Bedürfnis für eine weitergehende Prüfung haben, stimmen wir Umfang, Zeitpunkt und Kostentragung individuell ab.
Die Haftung richtet sich nach den Regelungen der AGB, soweit gesetzlich zulässig. Für Schäden, die durch eine Verarbeitung entstehen, die gegen die Vorgaben der DS-GVO oder gegen dokumentierte Weisungen des Kunden verstößt, hafte ich im gesetzlich vorgesehenen Umfang. Für Unterauftragsverarbeiter hafte ich dem Kunden gegenüber wie für eigenes Handeln.
Dieser AVV gilt für die Dauer des zugrunde liegenden Sitealarm-Nutzungsvertrags und endet automatisch mit dessen Beendigung.
Nach Vertragsende lösche ich die im Auftrag des Kunden verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen (vgl. Datenschutzerklärung, Abschnitt „Speicherung & Löschung"). Der Kunde kann seine Daten vor Vertragsende über die im jeweiligen Plan verfügbaren Export-Funktionen sichern.
Ich kann diesen AVV anpassen, um Änderungen der Rechtslage oder meiner Verarbeitungspraxis abzubilden. Über wesentliche Änderungen informiere ich mindestens 30 Tage im Voraus per E-Mail oder In-App-Hinweis. Widerspricht der Kunde einer wesentlichen Änderung nicht innerhalb dieser Frist, gilt sie als akzeptiert; andernfalls kann der Kunde den zugrunde liegenden Vertrag zum Ende der Frist kündigen.
Bei Fragen zu diesem AVV erreichen Sie mich unter:
Wesentliche Änderungen dieses AVV werden ab sofort hier dokumentiert. Über materielle Änderungen informiere ich zusätzlich gemäß Abschnitt 11.