Auftragsverarbeitungsvertrag

Gültig ab: 1. Januar 2025  |  Version: 1.0

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Vereinbarung zwischen Localtonet („Auftragsverarbeiter“, „wir“, „unser“, „uns“) und dem Kunden, der die Dienste von Localtonet nutzt („Verantwortlicher“, „Kunde“). Dieser AVV gilt, soweit Localtonet im Zusammenhang mit den Diensten personenbezogene Daten im Auftrag des Kunden verarbeitet.

1. Begriffsbestimmungen

Begriffe wie Verantwortlicher, Auftragsverarbeiter, personenbezogene Daten, Verarbeitung, betroffene Person und Verletzung des Schutzes personenbezogener Daten haben die Bedeutung, die ihnen nach den geltenden Datenschutzgesetzen, einschließlich der DSGVO, soweit anwendbar, zukommt.

2. Gegenstand und Zweck der Verarbeitung

Localtonet erbringt Netzwerk-, Tunneling-, Konnektivitäts-, Routing- und damit verbundene Infrastrukturdienste. Personenbezogene Daten dürfen ausschließlich zu folgenden Zwecken verarbeitet werden:

• Kontoregistrierung und -verwaltung;
• Bereitstellung und Betrieb der Dienste;
• Authentifizierung und Zugriffsverwaltung;
• Netzwerk-Routing und Konnektivität;
• Diagnose und Fehlerbehebung;
• Überwachung und Zuverlässigkeit der Dienste;
• Analysen und Verbesserung der Dienste;
• Missbrauchsprävention und Plattformsicherheit;
• Zahlungsabwicklung;
• Kundensupport;
• gesetzliche und vertragliche Pflichten.

Localtonet verarbeitet personenbezogene Daten nur in dem Umfang, der zur Bereitstellung und Aufrechterhaltung der Dienste erforderlich ist.

3. Kategorien personenbezogener Daten

Abhängig von der Konfiguration des Kunden und der Nutzung der Dienste kann Localtonet Folgendes verarbeiten:

Kontoinformationen

• Name (sofern angegeben);
• E-Mail-Adresse;
• Kontokennungen;
• Abonnementinformationen;
• abrechnungsbezogene Metadaten.

Technische und Nutzungsinformationen

• IP-Adressen;
• Zugriffszeitstempel;
• Browserinformationen;
• Informationen zum Betriebssystem;
• Gerätemetadaten;
• Spracheinstellungen;
• Verweisinformationen (Referrer);
• Verbindungsdiagnosen;
• Nutzungsstatistiken und Betriebstelemetrie.

Authentifizierungsinformationen

• verschlüsselte oder kryptografisch geschützte Anmeldedaten;
• Metadaten zur Kontosicherheit.

Analyseinformationen

• Analysen zur Website-Nutzung;
• Sitzungs- und Interaktionsinformationen;
• Analysen zur Leistung der Dienste.

Optionale Diagnoseinformationen

Nur wenn vom Kunden ausdrücklich aktiviert:

• HTTP-Anfrage-Metadaten;
• HTTP-Diagnoseprotokolle;
• Informationen zur betrieblichen Fehlerbehebung.

Localtonet speichert Inhalte des Anwendungsverkehrs von Kunden standardmäßig nicht absichtlich dauerhaft, es sei denn, dies ist für ausdrücklich aktivierte Funktionen erforderlich.

4. Kategorien betroffener Personen

• Administratoren des Kunden;
• Beschäftigte des Kunden;
• Endnutzer des Kunden;
• Website-Besucher;
• Personen, die mit vom Kunden betriebenen Diensten interagieren.

5. Weisungen zur Verarbeitung

Der Kunde weist Localtonet an, personenbezogene Daten ausschließlich zu verarbeiten:

• zur Bereitstellung und Aufrechterhaltung der Dienste;
• gemäß der Konfiguration des Kunden;
• im Rahmen der geltenden Vereinbarungen;
• soweit nach geltendem Recht erforderlich.

6. Technische und organisatorische Sicherheitsmaßnahmen

Localtonet unterhält technische und organisatorische Maßnahmen, die personenbezogene Daten vor unbefugtem Zugriff, unbefugter Offenlegung, Änderung, Vernichtung oder versehentlichem Verlust schützen sollen.

Zugriffsverwaltung

• authentifizierter administrativer Zugriff;
• eingeschränkter Zugriff auf Produktivsysteme;
• Prinzip der minimalen Rechtevergabe.

Datenschutz

• verschlüsselte Übertragungskanäle (TLS/SSL, soweit anwendbar);
• kryptografisch geschützte Anmeldedaten;
• sichere Verfahren für den Umgang mit Zugangsdaten.

Infrastruktursicherheit

• Überwachungs- und Alarmierungssysteme;
• Mechanismen zur Sicherstellung der Verfügbarkeit;
• Erkennung und Abwehr von Missbrauch;
• kontrollierter Zugriff auf die Infrastruktur.

Betriebliche Kontrollen

• Begrenzung der Aufbewahrung;
• Löschkontrollen;
• Protokollierung und betriebliche Überprüfung.

7. Aufbewahrung und Löschung von Daten

Localtonet folgt dem Grundsatz der Datenminimierung und bewahrt Daten nur für betriebliche und gesetzliche Zwecke auf.

Optionale HTTP-Protokolle werden, sofern vom Kunden aktiviert, nach Ablauf der Aufbewahrungsfrist automatisch gelöscht.

8. Datenstandort und Routing der Dienste

Kunden können bevorzugte Infrastrukturregionen auswählen.

Der Datenverkehr wird in der Regel innerhalb der ausgewählten Serviceregion verarbeitet. Zur Sicherstellung der Verfügbarkeit und für Failover-Zwecke kann der Datenverkehr, wenn der ausgewählte Infrastruktur-Endpunkt nicht verfügbar ist, vorübergehend an einen anderen verfügbaren Endpunkt innerhalb derselben geografischen Region geleitet werden, soweit dies vernünftigerweise möglich ist.

Beispiele:

• Europäische Regionen → Failover an einen anderen europäischen Standort
• Regionen in den Vereinigten Staaten → Failover an einen anderen Standort in den Vereinigten Staaten

Ein solches Routing dient ausschließlich der Kontinuität und Verfügbarkeit.

9. Unterauftragsverarbeiter

Der Kunde ermächtigt Localtonet, Unterauftragsverarbeiter hinzuzuziehen, soweit dies für Betrieb, Wartung, Sicherheit und Support der Dienste erforderlich ist. Zu den aktuellen Unterauftragsverarbeitern gehören:

Zahlungsanbieter verarbeiten zahlungsbezogene Informationen direkt im Rahmen ihrer eigenen geltenden Datenschutz- und Compliance-Regelungen. Localtonet speichert keine vollständigen Zahlungskartendaten.

10. Pflichten des Kunden

Der Kunde bleibt verantwortlich für:

• die Beurteilung, ob die Dienste regulatorisch geeignet sind;
• die angemessene Konfiguration der optionalen Protokollierung;
• das Einholen erforderlicher Hinweise und Genehmigungen;
• die Entscheidung, ob personenbezogene Daten über die Dienste übertragen werden sollen.

11. Vorfallmanagement

Localtonet unterhält interne Verfahren zur Erkennung und Untersuchung von Sicherheitsvorfällen sowie zur Reaktion darauf. Soweit nach geltendem Recht erforderlich und sobald Localtonet Kenntnis von einer bestätigten Verletzung des Schutzes personenbezogener Daten erlangt, die personenbezogene Daten des Kunden betrifft, wird Localtonet den Kunden unverzüglich benachrichtigen.

12. Audits und Auskunftsersuchen

Auf angemessene schriftliche Anfrage kann Localtonet verfügbare Informationen über Verarbeitungs- und Sicherheitspraktiken für Compliance-Bewertungen des Kunden bereitstellen.

13. Einschränkung

Nichts in diesem AVV ist als Zertifizierung, Rechtsberatung oder Zusicherung auszulegen, dass der Kunde durch die Nutzung der Dienste automatisch regulatorische Pflichten erfüllt.

14. Kontakt

Fragen zu diesem AVV: support@localtonet.com