Vereinbarung zur Auftragsverarbeitung

Muster gemäß Art. 28 DSGVO

Diese Vereinbarung wird Bestandteil des jeweiligen Hauptvertrags, sobald FRANTASTIC.media personenbezogene Daten im Auftrag des Geschäftskunden verarbeitet. Die projektspezifischen Angaben werden im Angebot oder Kundenportal ergänzt.

1. Gegenstand und Dauer

Gegenstand, Art, Zweck und Dauer ergeben sich aus dem Hauptvertrag und der Projektanlage. Die Auftragsverarbeitung dauert grundsätzlich so lange wie die beauftragte Leistung, sofern keine gesetzlichen Pflichten entgegenstehen.

2. Verarbeitung

Je nach Projekt insbesondere: Bereitstellung und technische Betreuung von Websites, Formularen, Datenbanken und Kundenbereichen; Fehleranalyse; Support; Migration; Sicherung und technisch erforderliche Protokollierung. Eine Nutzung zu eigenen Werbe-, Profiling- oder Verkaufszwecken erfolgt nicht.

3. Daten und betroffene Personen

Mögliche Datenarten: Stamm-, Kontakt-, Kommunikations-, Vertrags-, Inhalts-, Nutzungs-, Protokoll-, Termin- und Anfragedaten sowie freigegebene Dateien. Betroffene können Beschäftigte, Interessenten, Kunden, Lieferanten, Bewerber und Websitebesucher des Auftraggebers sein. Besondere Kategorien nach Art. 9 DSGVO werden nur nach ausdrücklicher Vereinbarung verarbeitet.

4. Weisungen

FRANTASTIC.media verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern keine gesetzliche Verpflichtung entgegensteht. Hält FRANTASTIC.media eine Weisung für datenschutzwidrig, wird der Auftraggeber unverzüglich informiert und die Umsetzung bis zur Klärung ausgesetzt.

5. Vertraulichkeit und Rechte

Zugriffsberechtigte Personen werden auf Vertraulichkeit verpflichtet und erhalten nur notwendige Rechte. Berechtigungen werden regelmäßig sowie bei Rollenwechsel oder Projektende geprüft und entzogen.

6. Sicherheit

FRANTASTIC.media trifft risikogerechte technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Die TOM-Anlage ist Bestandteil der Vereinbarung und darf dem technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung zum Einsatz der projektspezifisch benannten Dienstleister für Plattformbetrieb, Hosting, Domains, E-Mail, Entwicklung und Infrastruktur. Änderungen werden vorab mitgeteilt; aus wichtigem datenschutzrechtlichem Grund kann widersprochen werden. Unterauftragnehmer werden mindestens gleichwertig verpflichtet.

8. Drittlandtransfers

Übermittlungen außerhalb des EWR erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder von EU-Standardvertragsklauseln und erforderlichenfalls ergänzenden Maßnahmen.

9. Unterstützung und Vorfälle

FRANTASTIC.media unterstützt angemessen bei Betroffenenrechten, Datenschutz-Folgenabschätzungen, Nachweisen sowie Pflichten nach Art. 32 bis 36 DSGVO. Datenschutzverletzungen werden dem Auftraggeber unverzüglich nach Bekanntwerden mit den verfügbaren Angaben zu Art, Umfang, Folgen und Gegenmaßnahmen gemeldet.

10. Nachweise, Rückgabe und Löschung

Erforderliche Nachweise werden bereitgestellt; angemessen angekündigte Kontrollen bleiben möglich. Nach Ende der Leistung werden Daten auf Weisung zurückgegeben oder gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im Rahmen der festgelegten Zyklen entfernt und bis dahin gesperrt.

Anlage 1 – Technische und organisatorische Maßnahmen

Zugang: Individuelle Konten, starke Authentisierung, Mehrfaktor-Authentisierung soweit verfügbar, keine gemeinsamen Administratorkonten.

Berechtigungen: Rollen- und Mandantentrennung, Least-Privilege-Prinzip, serverseitige Autorisierungsprüfung, regelmäßiger Rechteentzug.

Übertragung und Geheimnisse: Transportverschlüsselung, geschützte Speicherung, keine Zugangsdaten in Frontend, Quelltext oder Kundenkommunikation, serverseitige Geheimnisverwaltung.

Integrität: Eingabevalidierung, parametrisierte Datenbankzugriffe, Schutz vor unberechtigten Objektzugriffen, Build- und Abhängigkeitsprüfung, getrennte Produktionsfreigabe, Audit-Protokolle.

Verfügbarkeit und Datenschutz: Plattformredundanz und Wiederherstellung nach Leistungsumfang, Incident-Prozess, Datenminimierung, Löschfristen, Prüfung von Unterauftragnehmern und Schnittstellen, keine Nutzung von Kundendaten zum Training eigener Modelle.

Anlage 2 – Projektspezifische Angaben

Vor Beginn werden ergänzt: Auftraggeber, Projekt, Zwecke, Datenarten, Betroffenengruppen, Laufzeit, Löschkonzept, Unterauftragnehmer, Verarbeitungsländer und besondere Weisungen. Erst diese Angaben machen das Muster für das konkrete Projekt vollständig.