Auftragsverarbeitungsvertrag

Dieser Auftragsverarbeitungsvertrag (AVV) gilt zwischen dem Kunden als Verantwortlichem und InstantNode als Auftragsverarbeiter im Sinne von Art. 28 DSGVO, soweit der Kunde auf der bei InstantNode gebuchten Infrastruktur personenbezogene Daten seiner eigenen Nutzer speichert oder verarbeitet. Er ergänzt unsere Allgemeinen Geschäftsbedingungen. Nimmt der Kunde ihn elektronisch im Panel oder in Textform an, ist das Formerfordernis des Art. 28 Abs. 9 DSGVO gewahrt.

Für die personenbezogenen Daten des Kunden selbst, insbesondere Konto-, Abrechnungs- und Supportdaten, ist InstantNode Verantwortlicher. Diese Verarbeitung richtet sich nach unserer Datenschutzerklärung und nicht nach diesem AVV.

1. Gegenstand, Art und Zweck

InstantNode verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich zur Erbringung der gebuchten Hosting-, Server-, Infrastruktur- und Verwaltungsleistungen, einschließlich Betrieb, Speicherung, Sicherung, Überwachung, Missbrauchsabwehr und Support. Die Verarbeitung besteht im Speichern, Hosten, Übermitteln, Sichern und, soweit für die Leistungserbringung technisch erforderlich, sonstigen Umgang mit den Daten.

Die Dauer der Verarbeitung entspricht der Laufzeit der jeweiligen Leistung. Die Arten der personenbezogenen Daten und die Kategorien betroffener Personen bestimmt der Kunde, da InstantNode keinen Einfluss darauf hat, welche Inhalte der Kunde speichert. Typischerweise umfassen sie Kontakt- und Kontodaten, Nutzungs- und Verbindungsdaten, Kommunikationsinhalte und sonstige vom Kunden gespeicherte Daten seiner eigenen Kunden, Beschäftigten, Nutzer oder Kommunikationspartner.

2. Weisungen

InstantNode verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Die Buchung einer Leistung und die im Panel vorgenommenen Einstellungen sind solche Weisungen. Mündliche Weisungen sind in Textform zu bestätigen. InstantNode informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen das Datenschutzrecht verstößt, und kann die Ausführung bis zur Bestätigung oder Änderung aussetzen. Ist InstantNode nach dem Recht der Union oder der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet, teilt es dem Kunden diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

3. Vertraulichkeit

InstantNode stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und in die geltenden Datenschutzanforderungen eingewiesen sind.

4. Sicherheit der Verarbeitung

InstantNode setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO um. Die Maßnahmen unterliegen dem technischen Fortschritt; InstantNode darf sie durch gleichwertige oder bessere Maßnahmen ersetzen. Eine Absenkung des Schutzniveaus ist unzulässig.

5. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Abschluss dieses AVV eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. InstantNode verpflichtet jeden Unterauftragsverarbeiter auf datenschutzrechtliche Pflichten, die diesem AVV gleichwertig sind, und haftet dem Kunden gegenüber unverändert für dessen Leistung.

InstantNode informiert den Kunden über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters mindestens 14 Tage vorher in Textform oder im Panel. Der Kunde kann der Änderung innerhalb dieser Frist aus begründeten datenschutzrechtlichen Gründen widersprechen. Ist der Widerspruch berechtigt und besteht keine zumutbare Alternative, kann der Kunde die betroffene Leistung zum Ende des bezahlten Zeitraums kündigen; weitergehende Ansprüche sind ausgeschlossen.

6. Unterstützungspflichten

InstantNode unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten nach Kapitel III DSGVO. Direkt an InstantNode gerichtete Anfragen leiten wir unverzüglich an den Kunden weiter und beantworten sie nicht selbst.

InstantNode unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO. Über den leistungstypischen Aufwand hinausgehende Unterstützung kann nach den jeweils geltenden Sätzen berechnet werden, es sei denn, der Unterstützungsbedarf ist von InstantNode zu vertreten.

7. Verletzungen des Schutzes personenbezogener Daten

InstantNode benachrichtigt den Kunden unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, und stellt die ihm vorliegenden Informationen bereit, die der Kunde für seine eigene Meldung nach Art. 33 und 34 DSGVO benötigt.

8. Löschung und Rückgabe

Nach Beendigung der Leistung löscht InstantNode die im Auftrag verarbeiteten Daten einschließlich vorhandener Backups, sofern nicht das Recht der Union oder der Mitgliedstaaten eine weitere Speicherung verlangt. Backups werden bei Beendigung des Dienstes gelöscht; Protokolldaten werden nach den in der Datenschutzerklärung genannten Fristen gelöscht. Für den Export seiner Daten über die im Panel verfügbaren Funktionen ist der Kunde vor Beendigung selbst verantwortlich.

9. Nachweise und Kontrollen

InstantNode stellt dem Kunden die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung, in der Regel in Gestalt dieses AVV, der Anlage 2 und schriftlicher Auskünfte. Reicht dies nicht aus, kann der Kunde eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht mit InstantNode im Wettbewerb stehenden Prüfer durchführen lassen, und zwar zu Geschäftszeiten, nach Ankündigung in Textform mit einer Frist von mindestens vier Wochen, höchstens einmal je Kalenderjahr und ohne Betriebsstörung. Die Überprüfung darf sich nicht auf Daten oder Systeme anderer Kunden erstrecken. Die Kosten trägt der Kunde, es sei denn, die Überprüfung ergibt einen erheblichen, von InstantNode zu vertretenden Verstoß.

10. Drittlandübermittlungen

Die im Auftrag verarbeiteten Daten werden in der Europäischen Union gespeichert. Soweit ein in Anlage 3 genannter Unterauftragsverarbeiter Daten außerhalb der EU oder des EWR verarbeitet, geschieht dies ausschließlich auf Grundlage eines Angemessenheitsbeschlusses, der EU-Standardvertragsklauseln oder einer anderen nach Kapitel V DSGVO zulässigen Garantie.

11. Haftung und Vorrang

Die Haftung richtet sich nach Art. 82 DSGVO und im Verhältnis der Parteien nach den Haftungsregelungen der Allgemeinen Geschäftsbedingungen. Bei Widersprüchen geht dieser AVV den Allgemeinen Geschäftsbedingungen in Fragen der Auftragsverarbeitung vor.

Anlage 1: Einzelheiten der Verarbeitung

• Gegenstand: Erbringung der vom Kunden gebuchten Hosting-, Server- und Infrastrukturleistungen.
• Dauer: Laufzeit der jeweiligen Leistung.
• Art und Zweck: Speicherung, Hosting, Übermittlung, Sicherung, Überwachung, Missbrauchsabwehr, Support.
• Arten personenbezogener Daten: vom Kunden bestimmt; typischerweise Stamm- und Kontaktdaten, Zugangs- und Nutzungsdaten, Verbindungs- und Protokolldaten, Kommunikationsinhalte, zahlungsbezogene Daten und weitere vom Kunden gespeicherte Inhalte.
• Kategorien betroffener Personen: vom Kunden bestimmt; typischerweise Kunden, Nutzer, Mitglieder, Beschäftigte und Kommunikationspartner des Kunden.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zutrittskontrolle: Die Server werden in einem Rechenzentrum der Skylink Data Centers B.V. in den Niederlanden mit den dort üblichen Zutritts-, Strom- und Brandschutzmaßnahmen betrieben. InstantNode betreibt kein eigenes Rechenzentrum.
• Zugangskontrolle: individuelle Konten, Passwörter ausschließlich als kryptographische Hashes gespeichert, Zwei-Faktor-Authentifizierung und Passkeys (WebAuthn) für alle Konten verfügbar und empfohlen, Sitzungsverwaltung mit Ablauf, administrativer Zugang beschränkt auf den Inhaber und ausdrücklich von ihm autorisierte, zur Verschwiegenheit verpflichtete Personen.
• Zugriffskontrolle: rollenbasierte Berechtigungen im Panel, Trennung von Kunden-, Reseller- und Administratorrollen, Protokollierung administrativer Aktionen.
• Trennungskontrolle: Mandantentrennung durch Virtualisierung (KVM und LXC unter Proxmox), Container-Isolation beim Bot-Hosting, getrennte Zugangsdaten und Netze je Instanz.
• Weitergabekontrolle: TLS-Verschlüsselung für Website, Panel und API, verschlüsselter administrativer Zugang.
• Netzsicherheit: Paketfilter auf Hostebene, Egress-Filterung je Instanz, DDoS-Schutz im Rechenzentrum sowie über den vorgelagerten CDN- und Proxy-Dienst.
• Verfügbarkeitskontrolle: Monitoring und öffentliche Statusseite, optionale kundenseitig konfigurierte Backups mit höchstens fünf rollierenden Kopien, Zielverfügbarkeit von 99,9 % im Jahresmittel.
• Eingabekontrolle: Zugriffsprotokolle 14 Tage, Fehlerprotokolle 30 Tage, Sicherheits- und Auditprotokolle 90 Tage, jeweils mit anschließender automatischer Löschung.
• Löschkontrolle: Löschung von Kundendaten und Backups bei Beendigung des Dienstes, fristgesteuerte Löschung von Protokolldaten.
• Organisatorische Maßnahmen: schriftliche Vertraulichkeitsverpflichtungen, dokumentierter Incident-Response- und Meldeprozess, Überprüfung der Maßnahmen bei Systemänderungen.

Anlage 3: Unterauftragsverarbeiter

• Skylink Data Centers B.V., Niederlande: Rechenzentrum und physische Serverinfrastruktur. Verarbeitungsort: EU.
• Cloudflare: Content-Delivery-Netzwerk, Reverse Proxy und DDoS-Schutz. Verarbeitungsort: EU und USA, auf Grundlage der EU-Standardvertragsklauseln und des EU-US Data Privacy Framework.
• Feather: Verwaltungsoberfläche für Gameserver, soweit der Kunde einen Gameserver bucht. Sitz und Verarbeitungsort werden auf Anfrage mitgeteilt.
• Porkbun LLC, USA: Domainregistrierung und WHOIS-Daten, soweit der Kunde eine Domain registriert oder transferiert. Verarbeitungsort: USA, auf Grundlage der EU-Standardvertragsklauseln.

Zahlungsdienstleister (Stripe, PayPal, OxaPay) handeln für den Zahlungsvorgang als eigene Verantwortliche und sind daher keine Unterauftragsverarbeiter im Sinne dieses AVV.

Diese Liste ist auf dem Stand des oben genannten Datums. Änderungen werden nach Ziffer 5 angekündigt.