Auftragsverarbeitungsvereinbarung

gemäß Art. 28 DSGVO

Parteien

Verantwortlicher im Sinne dieser Vereinbarung ist der bei UptimeAlien registrierte Nutzer (natürliche oder juristische Person bzw. Organisation). Die Identifizierung erfolgt über die im Konto hinterlegten Stammdaten (Anzeigename, E-Mail-Adresse, ggf. Rechnungsdaten).

Auftragsverarbeiter: Heiko Stuhrmann, c/o Block Services, Stuttgarter Str. 106, 70736 Fellbach, Deutschland, E-Mail: heiko@uptimealien.de.

§ 1 Gegenstand und Dauer

1. Gegenstand der Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter zur Erbringung des Dienstes UptimeAlien, insbesondere zur Speicherung von Monitoring-Konfigurationen und Prüfergebnissen, zur Entgegennahme und Speicherung eingesendeter Fehler-Ereignisse sowie zum Versand von Benachrichtigungen im Auftrag des Verantwortlichen.
2. Die Vereinbarung beginnt mit der Registrierung des Verantwortlichen und gilt für die Dauer der Hauptleistungsbeziehung. Sie endet automatisch mit Löschung des Kontos.
3. Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit der Auftragsverarbeiter nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. Weisungen werden in der Regel durch Aktionen im UptimeAlien-Kundenbereich erteilt und können durch schriftliche Ergänzungen (E-Mail genügt) konkretisiert werden.

§ 2 Art und Zweck der Verarbeitung

1. Art der Verarbeitung: Erheben, Speichern, Strukturieren, Übermitteln, Auslesen, Verwenden, Einschränken, Löschen oder Vernichten personenbezogener Daten im Rahmen der Monitoring- und Benachrichtigungsfunktionen sowie der Nutzerverwaltung.
2. Zweck: Bereitstellung des Dienstes UptimeAlien, d. h. Überwachung der vom Verantwortlichen konfigurierten Prüfziele, Speicherung von Prüfergebnissen und eingesendeten Fehler-Ereignissen sowie Versand von Benachrichtigungen über die konfigurierten Kanäle.

§ 3 Art der personenbezogenen Daten

Gegenstand der Verarbeitung können insbesondere folgende Datenkategorien sein:

• Stammdaten (Anzeigename, E-Mail-Adresse, Passwort-Hash)
• Monitoring-Konfiguration (Prüfziele wie URLs, Hostnamen, Ports)
• Prüf- und Vorfalldaten (Status, Antwortzeiten, Incident-Verlauf)
• Fehler-Ereignisse (Meldung, Stacktrace, Tags, Kontext) — können personenbezogene Daten enthalten, soweit vom Verantwortlichen übermittelt
• Benachrichtigungsinhalte sowie Empfänger-Daten (Notify-Kontakte, Kanal-Konfiguration wie E-Mail-Adressen oder Webhook-URLs)
• Geräte- und Token-Daten (FCM-Token für die Android-App)
• Nutzungsdaten (Zeitstempel, IP-Adresse, User-Agent in Logs)
• 2FA-Daten (TOTP-Secret), sofern aktiviert

§ 4 Kategorien der betroffenen Personen

• Mitarbeiter des Verantwortlichen, die den Dienst verwenden
• Empfänger von Benachrichtigungen (z. B. Notify-Kontakte), die vom Verantwortlichen veranlasst sind
• Personen, deren personenbezogene Daten in den vom Verantwortlichen übermittelten Fehler-Ereignissen enthalten sein können

§ 5 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen dieser Vereinbarung und nach dokumentierter Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet.
2. Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten.
4. Personenbezogene Daten werden ausschließlich innerhalb der EU/des EWR verarbeitet, mit Ausnahme der in Anhang 2 aufgeführten Unterauftragsverarbeiter, für die ein angemessenes Datenschutzniveau (Art. 46 DSGVO, EU-US Data Privacy Framework, Standardvertragsklauseln) gesichert ist.

§ 6 Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter trifft die in Anhang 1 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und sichert deren Einhaltung während der Vertragslaufzeit zu. Änderungen, die das Sicherheitsniveau nicht herabsetzen, sind zulässig.

§ 7 Berichtigung, Einschränkung und Löschung

1. Der Auftragsverarbeiter darf personenbezogene Daten nur nach Weisung des Verantwortlichen berichtigen, löschen oder deren Verarbeitung einschränken.
2. Anfragen betroffener Personen leitet der Auftragsverarbeiter unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht eigenständig.

§ 8 Unterauftragsverhältnisse

1. Der Verantwortliche erteilt mit Registrierung die allgemeine schriftliche Genehmigung zur Einbeziehung der in Anhang 2 genannten Unterauftragsverarbeiter.
2. Beabsichtigte Änderungen (neue oder Austausch von Unterauftragsverarbeitern) teilt der Auftragsverarbeiter mit angemessener Frist (mindestens 30 Tage) vorab über die im Konto hinterlegte E-Mail-Adresse oder durch Veröffentlichung einer neuen Fassung dieser AVV mit. Der Verantwortliche hat ein Widerspruchsrecht aus wichtigem Grund; bei berechtigtem Widerspruch sind beide Parteien zur außerordentlichen Kündigung berechtigt.
3. Der Auftragsverarbeiter stellt durch vertragliche Regelungen sicher, dass die Pflichten dieser Vereinbarung den Unterauftragsverarbeitern auferlegt werden.

§ 9 Kontrollrechte des Verantwortlichen

1. Der Verantwortliche hat das Recht, die Einhaltung dieser Vereinbarung zu kontrollieren, regelmäßig durch Anforderung einer Selbstauskunft oder Vorlage eines aktuellen Prüfberichts eines unabhängigen Sachverständigen.
2. Vor-Ort-Kontrollen sind nur in begründeten Ausnahmefällen und nach Abstimmung mit angemessener Vorlaufzeit (mindestens 4 Wochen) zulässig; der damit verbundene Aufwand kann nach üblichen Sätzen berechnet werden.

§ 10 Mitteilung bei Verstößen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnisnahme, unter Angabe der nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen. Die Meldung erfolgt an die im Konto hinterlegte E-Mail-Adresse.

§ 11 Weisungsbefugnis des Verantwortlichen

1. Weisungen werden durch Aktionen im UptimeAlien-Kundenbereich sowie durch ergänzende schriftliche Weisungen (E-Mail genügt) erteilt.
2. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, weist er den Verantwortlichen unverzüglich darauf hin und ist berechtigt, die Ausführung auszusetzen, bis die Weisung bestätigt oder geändert wird.

§ 12 Löschung und Rückgabe nach Auftragsende

1. Nach Beendigung der Hauptleistungsbeziehung (Konto-Löschung) löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
2. Die Standard-Löschfristen sind in der Datenschutzerklärung dokumentiert. Backups werden binnen 30 Tagen überschrieben.
3. Der Verantwortliche kann seine Daten vor der Löschung selbständig über die Konto-Funktionen exportieren oder per E-Mail anfordern.

§ 13 Haftung

Es gilt Art. 82 DSGVO. Die Parteien haften gegenüber Betroffenen nach Maßgabe der dort getroffenen Bestimmungen. Im Innenverhältnis haftet jede Partei für die ihr zurechenbaren Verstöße; eine Haftung im Innenverhältnis ist auf grobe Fahrlässigkeit und Vorsatz beschränkt, soweit nicht zwingende gesetzliche Vorschriften entgegenstehen.

§ 14 Änderungen dieser Vereinbarung

1. Der Auftragsverarbeiter ist berechtigt, diese AVV anzupassen, soweit dies aufgrund geänderter Rechtslage, neuer Subprozessoren oder veränderter Verarbeitungsabläufe erforderlich ist. Wesentliche Änderungen werden mit angemessener Frist (mindestens 30 Tage) vorab angekündigt.
2. Widerspricht der Verantwortliche nicht innerhalb der Frist, gelten die Änderungen als angenommen. Bei berechtigtem Widerspruch sind beide Parteien zur Kündigung berechtigt.
3. Die jeweils aktuelle Fassung dieser AVV ist unter /avv abrufbar.

§ 15 Sonstige Regelungen

1. Wird das Eigentum oder die Verfügungsgewalt des Verantwortlichen über die Daten durch Maßnahmen Dritter (z. B. Pfändung, Beschlagnahme, Insolvenzverfahren) gefährdet, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich.
2. Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz des Auftragsverarbeiters.
3. Sollte eine Bestimmung dieser Vereinbarung unwirksam sein oder werden, bleibt die Gültigkeit der übrigen Bestimmungen unberührt.

Anhang 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anhang 2: Genehmigte Unterauftragsverarbeiter

Folgende Unterauftragsverarbeiter werden mit Zustimmung des Verantwortlichen eingesetzt:

Aktualisierungen dieser Liste werden gemäß § 8 dieser Vereinbarung mitgeteilt.