Auftragsverarbeitungsvertrag

Wenn Sie auf einem Gameserver, einem VPS oder einer Website bei uns personenbezogene Daten verarbeiten, etwa Spielerdaten, Kundendaten Ihres Shops oder die Zugriffsprotokolle Ihrer Website, sind Sie dafür Verantwortlicher im Sinne der DSGVO. Wir verarbeiten diese Daten nur in Ihrem Auftrag. Diese Vereinbarung regelt das so, wie es Art. 28 DSGVO verlangt.

Vertragspartner sind die Kundin oder der Kunde (nachfolgend „Verantwortlicher“) und GoodFlare IT, Inhaber Arne Heidrich, Huthain 1, 09437 Börnichen (nachfolgend „Auftragsverarbeiter“). Die Vereinbarung ergänzt die Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag“) und geht ihnen in Fragen des Datenschutzes vor.

Sie gilt, soweit der Verantwortliche bei der Nutzung unserer Leistungen personenbezogene Daten verarbeitet und dabei nicht ausschließlich persönliche oder familiäre Zwecke verfolgt (Art. 2 Abs. 2 lit. c DSGVO).

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter bei der Erbringung der im Hauptvertrag vereinbarten Leistungen: Gameserver, virtuelle Server (VPS und Container), Webhosting und die zugehörigen Funktionen im Kundenbereich, etwa Dateiverwaltung, Datenbanken, Backups, Protokolle und Statistiken.

Die Vereinbarung beginnt mit dem Hauptvertrag und endet mit ihm. Ihre Pflichten gelten fort, solange der Auftragsverarbeiter noch Daten des Verantwortlichen verarbeitet, insbesondere bis zur Löschung nach § 10.

Der Auftragsverarbeiter stellt Rechenleistung, Speicher und Netzanbindung bereit und betreibt die Systeme, auf denen der Verantwortliche seine Anwendungen einrichtet und betreibt. Die Verarbeitung umfasst insbesondere das Speichern, Bereitstellen, Übermitteln (Ausliefern an Besucher und Spieler), Sichern und Löschen von Daten. Zweck ist allein die Erbringung dieser Leistungen.

Bei Websites protokolliert der vorgeschaltete Webserver des Auftragsverarbeiters jede Anfrage: IP-Adresse, Zeitpunkt, Methode und aufgerufene Adresse, Statuscode, übertragene Datenmenge, Bearbeitungszeit, Referrer, Browserkennung und die übrigen Kopfzeilen der Anfrage außer Cookies und Zugangsdaten. Diese Rohprotokolle werden sieben Tage gespeichert und dann gelöscht; sie dienen der Fehlersuche, der Abwehr von Angriffen und der Statistik „Zugriffe & Fehler“. Für diese Statistik werden daraus Stundenwerte gezählt (Anfragen, Seitenaufrufe, Besuche, Statuscodes, Datenmenge, Antwortzeiten, aufgerufene Seiten ohne Abfrageparameter, verweisende Websites als Name, Land, Kennung bekannter Programme). Das Land wird beim Zählen aus der IP-Adresse ermittelt, mit einer Datenbank auf dem eigenen Server des Auftragsverarbeiters. Besuche werden über einen Hashwert aus IP-Adresse und Browserkennung gezählt, dessen Zufallswert täglich wechselt; Hashwerte und Zufallswert liegen nur im Arbeitsspeicher und sind nach spätestens zwei Tagen gelöscht, sodass niemand über mehrere Tage wiedererkannt wird. Die Stundenwerte enthalten weder IP-Adressen noch Hashwerte und bleiben gespeichert, solange die Website besteht.

Auf Inhalte des Verantwortlichen greift der Auftragsverarbeiter nur zu, soweit es für die Erbringung der Leistung, für eine Supportanfrage des Verantwortlichen oder zur Erfüllung einer gesetzlichen Pflicht erforderlich ist, etwa zur Prüfung einer Meldung rechtswidriger Inhalte nach Art. 16 der Verordnung (EU) 2022/2065 (Digital Services Act, DSA). Er nutzt die Daten nicht für eigene Zwecke.

Welche Daten verarbeitet werden, bestimmt der Verantwortliche durch seine Nutzung. Typischerweise sind das:

• Bestands- und Kontaktdaten, etwa Namen, E-Mail-Adressen und Anschriften
• Konto- und Nutzungsdaten in Anwendungen des Verantwortlichen, etwa Spielernamen, Spieler-IDs, Benutzerkonten, Rechte, Chat- und Spielprotokolle
• Inhalte, die der Verantwortliche oder seine Nutzer einstellen: Texte, Bilder, Dateien, Datenbankinhalte
• Verbindungs- und Protokolldaten: IP-Adressen, Zeitpunkte, aufgerufene Adressen, Browserkennungen
• Vertrags- und Zahlungsdaten, soweit der Verantwortliche etwa einen Shop betreibt

Betroffen sind die Personen, deren Daten der Verantwortliche auf den Systemen verarbeitet, typischerweise:

• Besucherinnen und Besucher seiner Websites
• Spielerinnen und Spieler und Mitglieder von Communitys auf seinen Gameservern
• Nutzerinnen und Nutzer seiner Anwendungen und Dienste
• seine Kundinnen, Kunden, Interessenten und Geschäftspartner
• seine Beschäftigten und die Unterbenutzer, denen er Zugang gibt

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) sind nicht Gegenstand der Standardleistung. Verarbeitet der Verantwortliche solche Daten, prüft er selbst, ob die Maßnahmen in Anlage 1 für ihren Schutz ausreichen, und ergänzt auf einem VPS gegebenenfalls eigene Maßnahmen, etwa eine Verschlüsselung.

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei einer Übermittlung in ein Drittland, es sei denn, er ist durch Unionsrecht oder deutsches Recht dazu verpflichtet. In diesem Fall teilt er dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Weisungen sind der Hauptvertrag, diese Vereinbarung und die Einstellungen und Aktionen, die der Verantwortliche im Kundenbereich oder über die API vornimmt, etwa einen Server anlegen, Dateien löschen, ein Backup erstellen oder wiederherstellen. Weitere Weisungen erteilt der Verantwortliche in Textform, etwa per E-Mail an [email protected].

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

Für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen ist der Verantwortliche verantwortlich.

Vertraulichkeit: Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben können, sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO).

Sicherheit: Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die Anlage 1 beschreibt. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt; wesentliche Änderungen dokumentiert er.

Ort: Die Daten werden in Deutschland verarbeitet. Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur auf dokumentierte Weisung des Verantwortlichen und nur unter den Voraussetzungen der Art. 44 ff. DSGVO statt.

Rechte der Betroffenen: Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Die meisten Daten kann der Verantwortliche im Kundenbereich selbst einsehen, berichtigen, exportieren und löschen. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

Weitere Unterstützung: Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit, Meldung von Verletzungen, Benachrichtigung Betroffener, Datenschutz-Folgenabschätzung und vorherige Konsultation (Art. 28 Abs. 3 lit. f DSGVO).

Verzeichnis: Er führt ein Verzeichnis der Verarbeitungstätigkeiten, die er im Auftrag durchführt (Art. 30 Abs. 2 DSGVO).

Ansprechpartner: Ein Datenschutzbeauftragter ist nicht benannt, weil die Voraussetzungen von Art. 37 DSGVO und § 38 BDSG nicht vorliegen. Ansprechpartner für den Datenschutz ist der Inhaber, Arne Heidrich, [email protected].

Der Verantwortliche erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Abschluss eingesetzten nennt Anlage 2; sie gelten als genehmigt.

Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert der Auftragsverarbeiter den Verantwortlichen mindestens vier Wochen vorher per E-Mail und aktualisiert Anlage 2. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Verantwortliche die betroffenen Leistungen ohne Frist zum Zeitpunkt der Änderung kündigen; bezahlte Zeit danach wird anteilig erstattet.

Der Auftragsverarbeiter legt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die diese Vereinbarung festlegt, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Verantwortlichen dafür, dass sie eingehalten werden.

Keine Unterauftragsverarbeitung sind Nebenleistungen, bei denen keine Daten des Verantwortlichen verarbeitet werden, etwa Wartung von Hardware ohne Zugriff auf Daten oder die Zahlungsabwicklung unserer eigenen Rechnungen.

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO), per E-Mail an die im Konto hinterlegte Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Was noch nicht bekannt ist, reicht er schrittweise nach.

Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen (Art. 33 und 34 DSGVO) bleiben Sache des Verantwortlichen; der Auftragsverarbeiter unterstützt ihn dabei.

Er informiert den Verantwortlichen unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde und über Auskunftsersuchen von Behörden, soweit sie dessen Daten betreffen und eine Mitteilung nicht gesetzlich untersagt ist.

Der Verantwortliche kann seine Daten während der Laufzeit jederzeit selbst exportieren, etwa per SFTP, über den Dateimanager, durch Herunterladen eines Backups oder als Export einer Datenbank.

Zum Ende des Hauptvertrags wird die Leistung angehalten. Die Daten bleiben danach 30 Tage zum Abruf erhalten; dann löscht der Auftragsverarbeiter den Server mit allen Daten, einschließlich der bei ihm gespeicherten Backups (Art. 28 Abs. 3 lit. g DSGVO). Bis dahin kann der Verantwortliche einen Gameserver im Kundenbereich vollständig exportieren („Alles exportieren“); für die übrigen Leistungen stellt der Auftragsverarbeiter auf Wunsch einen Export bereit. Länger gespeichert wird nur, wenn Unionsrecht oder deutsches Recht das vorschreibt.

Datenträger, die außer Betrieb gehen, werden vor ihrer Weitergabe sicher gelöscht oder physisch zerstört.

Die Löschung bestätigt der Auftragsverarbeiter auf Anfrage in Textform.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO).

Überprüfungen finden zunächst durch schriftliche Auskünfte statt. Eine Inspektion vor Ort kündigt der Verantwortliche mit angemessener Frist an, in der Regel mindestens zwei Wochen vorher. Sie findet zu üblichen Geschäftszeiten statt und darf den Betrieb und die Daten anderer Kundinnen und Kunden nicht beeinträchtigen. Ein beauftragter Prüfer darf nicht im Wettbewerb mit dem Auftragsverarbeiter stehen und muss zur Verschwiegenheit verpflichtet sein. Für das Rechenzentrum gelten dessen Zutrittsregeln. Jede Partei trägt ihre eigenen Kosten.

Zertifikate oder Prüfberichte unabhängiger Stellen über den Auftragsverarbeiter liegen derzeit nicht vor.

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

Die Vereinbarung wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO). [Abschlussweg festlegen: Zustimmung bei der Bestellung oder gesonderte Bestätigung im Kundenbereich, jeweils mit gespeichertem Zeitpunkt und der gültigen Fassung.]

Änderungen bedürfen der Textform. Bei Widersprüchen geht diese Vereinbarung dem Hauptvertrag vor. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Es gilt deutsches Recht.

Diese Anlage beschreibt die Maßnahmen für die Systeme, auf denen Daten des Verantwortlichen verarbeitet werden. Sie nennt nur, was umgesetzt ist; was fehlt, steht ausdrücklich dabei.

[Vom Inhaber vor dem Start zu bestätigen: Jede Maßnahme dieser Anlage ist im Produktivbetrieb umgesetzt.]

Die Server sind eigene Hardware des Auftragsverarbeiters, die der Inhaber selbst betreibt. Sie stehen in einem Rechenzentrum in Nürnberg, Deutschland [genaue Anschrift des Standorts]; das Rechenzentrum stellt Fläche, Strom, Kühlung und physische Sicherheit und hat keinen Zugriff auf Daten.

Daten des Verantwortlichen werden nicht auf Arbeitsplatzrechnern oder in Büroräumen gespeichert.

Zugangskontrolle:

• Kundenbereich: Anmeldung per Link an die hinterlegte E-Mail-Adresse, per Passkey oder über Google bzw. Discord; ein Passwort wird nicht gespeichert. Ein zweiter Faktor (Authenticator-App) steht jedem Konto zur Verfügung. Angemeldete Geräte sind mit IP-Adresse und Browser im Konto sichtbar und einzeln beendbar.
• Verwaltungszugänge zur Virtualisierung, zu den Serverknoten und Datenbanken hat nur der Inhaber. Sie sind mit Schlüsseln oder einem zweiten Faktor geschützt.
• Programmschnittstellen, etwa zur Virtualisierung, nutzen eigene Zugangsschlüssel mit den kleinstmöglichen Rechten, beschränkt auf die Ressourcen der Kundendienste.
• Zugangsdaten, die das Portal aufbewahren muss (Schlüssel zu den Serverknoten, Zugangstoken für DNS-Anbieter, Startpasswörter neuer VPS bis zum ersten Abruf), werden mit AES-256-GCM verschlüsselt gespeichert.
• Dateizugriff per SFTP mit eigenen Zugangsdaten je Server; Anmeldung mit Schlüssel statt Passwort ist möglich.

Zugriffs- und Trennungskontrolle:

• Jeder Gameserver und jede Website läuft in einem eigenen Container, jeder VPS als eigene virtuelle Maschine oder eigener Container, jeweils mit festen Grenzen für Prozessor, Arbeitsspeicher und Speicherplatz.
• Die Netze der Kundenserver sind von unseren internen Netzen getrennt und durch eine Firewall abgegrenzt.
• Websites laufen auf eigenen Knoten, getrennt von den Gameservern. Jede Datenbank hat einen eigenen Benutzer.
• Im Kundenbereich sieht jedes Konto nur die eigenen Dienste. Unterbenutzer erhalten nur die Rechte, die der Verantwortliche ihnen gibt.
• Der Auftragsverarbeiter greift auf Inhalte nur in den Fällen von § 2 zu.

Weitergabe- und Eingabekontrolle. Aufbewahrung der Aktivitäts- und Anmeldeprotokolle: [Dauer festlegen].

• Kundenbereich, Programmschnittstellen und Konsolen sind nur verschlüsselt erreichbar (TLS). Dateien werden per SFTP verschlüsselt übertragen.
• Eine Verschlüsselung der gespeicherten Daten auf Ebene der Datenträger sichert der Auftragsverarbeiter nicht zu. Wer sie braucht, kann sie auf einem VPS selbst einrichten.
• Aktionen an Servern und Domains (etwa Start, Stopp, Backups, Änderungen an DNS-Einträgen) werden mit Zeitpunkt und handelnder Person im Aktivitätsprotokoll festgehalten, das der Verantwortliche im Kundenbereich einsehen kann. Anmeldungen werden mit IP-Adresse und Browser gespeichert.
• Rohprotokolle der Website-Zugriffe werden nach sieben Tagen gelöscht (§ 2).

Verfügbarkeitskontrolle und Wiederherstellung:

• Alle Serverknoten werden jede Minute automatisch geprüft; Störungen werden gemeldet und auf der Statusseite angezeigt.
• Die öffentlichen Adressen sind über das Netz von Noez angebunden, das Überlastungsangriffe (DDoS) filtert.
• Feste Ressourcengrenzen je Container und virtueller Maschine verhindern, dass ein Dienst andere beeinträchtigt.
• Backups: Gameserver und Websites lassen sich im Panel sichern, manuell und nach Zeitplan; die Wiederherstellung löst der Verantwortliche selbst aus. Diese Backups liegen derzeit auf demselben Serverknoten wie der Dienst. Sie schützen vor Bedienfehlern und fehlerhaften Updates, nicht vor dem Ausfall dieses Knotens oder des Standorts. Für VPS erstellt der Auftragsverarbeiter derzeit keine Backups. Sicherungskopien an einem zweiten Ort sind geplant; bis dahin sollte der Verantwortliche eigene Kopien außerhalb unserer Systeme aufbewahren.
• Sicherheitsupdates für Virtualisierung und Serverknoten werden zeitnah eingespielt.

Datenschutz durch Voreinstellungen, Auftragskontrolle und regelmäßige Überprüfung:

• Es wird nur erhoben, was für den Betrieb nötig ist. Besucherstatistiken enthalten keine vollständigen IP-Adressen; geteilte Server-Logs werden vor der Veröffentlichung um IP-Adressen und Zugangsdaten bereinigt (Art. 25 DSGVO).
• Unterauftragsverarbeiter werden sorgfältig ausgewählt und nach Art. 28 Abs. 4 DSGVO verpflichtet (Anlage 2).
• Sicherheitsvorfälle werden dokumentiert, bewertet und nach § 9 gemeldet.
• Die Maßnahmen werden mindestens einmal im Jahr und nach jedem erheblichen Vorfall überprüft und angepasst (Art. 32 Abs. 1 lit. d DSGVO).

Stand bei Abschluss dieser Vereinbarung. [Firma und Anschrift von Noez eintragen und den Vertrag nach Art. 28 Abs. 4 DSGVO abschließen.]

• Noez: Anbindung der öffentlichen IP-Adressen und Filterung von Überlastungsangriffen (DDoS). Der Datenverkehr der Dienste läuft durch dieses Netz; Inhalte werden dort nicht gespeichert.

Diese Dienstleister verarbeiten keine Daten im Auftrag des Verantwortlichen und stehen deshalb nicht in Anlage 2:

• Stripe (Zahlungsabwicklung) und unsere E-Mail-Dienstleister (Zoho Mail für unsere Postfächer, ein Dienst für die automatischen E-Mails des Kundenbereichs): Sie verarbeiten nur Daten unseres eigenen Vertragsverhältnisses mit Ihnen; dafür sind wir Verantwortlicher (Datenschutzerklärung).
• Das Rechenzentrum in Nürnberg, in dem unsere eigene Hardware steht: Es stellt nur Fläche, Strom, Kühlung und physische Sicherheit und hat keinen Zugriff auf Daten.
• Cloudflare: Verbinden Sie im Kundenbereich Ihr eigenes Cloudflare-Konto, schreiben wir DNS-Einträge über Ihren Zugang; Cloudflare handelt dabei auf Grundlage Ihres eigenen Vertrags mit Cloudflare. Nutzen wir für Serveradressen eine eigene Zone bei Cloudflare, enthält sie nur Namen und IP-Adressen von Servern.
• Domain-Registrare und Registrierungsstellen: Bei der Registrierung einer Domain handeln sie als eigene Verantwortliche (AGB §§ 9 bis 11).
• Geplant: Sicherungskopien bei einem Speicheranbieter in der EU. Er wird erst nach Mitteilung nach § 8 eingesetzt.