Auftragsverarbeitungsvertrag

Gültig ab: 8. Juni 2026. Maßgebliche Fassung: Tschechisch. Dieser Vertrag ist Bestandteil der Nutzungsbedingungen und gilt, wenn Roští.cz, s.r.o. personenbezogene Daten für den Kunden als Auftragsverarbeiter nach Art. 28 DSGVO verarbeitet.

1. Rollen der Parteien

1.1. Der Kunde ist Verantwortlicher der personenbezogenen Daten, die er über Dienste von Roští.cz einfügt, speichert, überträgt oder anderweitig verarbeitet. Der Anbieter ist in Bezug auf diese Daten Auftragsverarbeiter.

1.2. Der Kunde ist verantwortlich für die Rechtmäßigkeit der Verarbeitung, die Rechtsgrundlage, die Erfüllung der Informationspflichten gegenüber betroffenen Personen und die dem Anbieter erteilten Weisungen.

1.3. Der Anbieter verarbeitet personenbezogene Daten nur nach diesem Vertrag, den Nutzungsbedingungen, den Diensteinstellungen, dokumentierten Weisungen des Kunden und rechtlichen Pflichten, die für den Anbieter gelten.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

2.1. Gegenstand der Verarbeitung ist der Betrieb von Webhosting- und verbundenen Diensten, insbesondere Anwendungen, Stacks, Datenbanken, Speicher, DNS, Backups, technischer Support, Sicherheit, Monitoring und Wiederherstellung des Betriebs.

2.2. Die Verarbeitung dauert während der Bereitstellung des Dienstes und anschließend für die Zeit, die zur Löschung der Daten, Abwicklung von Rechten und Pflichten, Wiederherstellung aus Backups oder Erfüllung rechtlicher Pflichten erforderlich ist.

2.3. Die Art der Verarbeitung umfasst Speicherung, Übertragung, Bereitstellung in der Administrationsoberfläche, Backup, Wiederherstellung, Löschung, Verfügbarkeitsmonitoring, Sicherheitslogging und technische Vorgänge, die für den Betrieb des Dienstes erforderlich sind.

2.4. Zweck der Verarbeitung ist, dem Kunden den Betrieb eigener Anwendungen, Dienste und Daten auf der Infrastruktur des Anbieters zu ermöglichen und verbundenen technischen Support bereitzustellen.

3. Kategorien von Daten und betroffenen Personen

3.1. Die Arten personenbezogener Daten bestimmt der Kunde nach dem Inhalt seiner Anwendungen, Datenbanken, Dateien, Logs und Kommunikation. Dazu können beispielsweise Identifikations-, Kontakt-, Authentifizierungs-, Betriebs-, Transaktions-, Kommunikations- oder andere Daten gehören, einschließlich besonderer Kategorien von Daten, wenn der Kunde sie in den Dienst einfügt.

3.2. Die Kategorien betroffener Personen bestimmt der Kunde. Dazu können insbesondere Nutzer, Kunden, Beschäftigte, Lieferanten, Website-Besucher, Kontaktpersonen oder andere Personen gehören, deren Daten der Kunde über den Dienst verarbeitet.

3.3. Der Anbieter ist nicht verpflichtet, den Inhalt von Kundendaten zu ermitteln, und kann nicht beurteilen, ob der Kunde besondere Kategorien personenbezogener Daten oder Daten mit besonderem rechtlichem Regime im Dienst speichert.

4. Weisungen des Kunden

4.1. Als dokumentierte Weisungen gelten die Nutzungsbedingungen, dieser Vertrag, Einstellungen in der Administrationsoberfläche, API oder MCP-Werkzeugen, Dienstbestellungen und schriftliche Kommunikation des Kunden mit dem Support.

4.2. Wenn der Anbieter der Ansicht ist, dass eine Weisung gegen die DSGVO oder andere Rechtsvorschriften verstößt, weist er den Kunden darauf hin, sofern ihn keine Rechtsvorschrift daran hindert.

4.3. Der Anbieter kann eine Weisung ablehnen oder aussetzen, wenn sie Sicherheit, Rechte Dritter, Betrieb der Dienste oder gesetzliche Pflichten des Anbieters gefährden würde.

5. Pflichten des Anbieters

5.1. Der Anbieter stellt sicher, dass zur Verarbeitung personenbezogener Daten befugte Personen zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Vertraulichkeitspflicht unterliegen.

5.2. Der Anbieter trifft technische und organisatorische Maßnahmen entsprechend dem Risiko, insbesondere Zugriffskontrolle, Trennung von Umgebungen, verschlüsselte Übertragung, Sicherheitsupdates, Backups, Logging, Monitoring und interne Regeln für den Umgang mit Kundendaten.

5.3. Der Anbieter unterstützt den Kunden in angemessenem Umfang bei Pflichten zu Betroffenenrechten, Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und Konsultationen mit der Aufsichtsbehörde, soweit dies nach Art des Dienstes und den dem Anbieter verfügbaren Informationen möglich ist.

5.4. Betrifft ein Antrag einer betroffenen Person Daten, die der Anbieter für den Kunden verarbeitet, leitet der Anbieter ihn an den Kunden weiter oder verweist die betroffene Person auf den Kunden, soweit dies möglich ist.

6. Unterauftragsverarbeiter

6.1. Der Kunde erteilt dem Anbieter eine allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Der Anbieter legt Unterauftragsverarbeitern Datenschutzpflichten in einem diesem Vertrag entsprechenden Umfang auf. Wenn ein Unterauftragsverarbeiter seine Datenschutzpflichten nicht erfüllt, bleibt der Anbieter gegenüber dem Kunden für deren Erfüllung verantwortlich.

6.2. Im Zusammenhang mit den Diensten nutzt der Anbieter insbesondere folgende Lieferanten und Empfänger oder plant deren Nutzung. Daten gehosteter Anwendungen, also Inhalte, die der Kunde in den Dienst hochlädt oder über den Dienst betreibt, werden nur auf vom Anbieter betriebenen Servern gespeichert. Die eigenen Server des Anbieters befinden sich in Rechenzentren in der Tschechischen Republik. Daten gehosteter Anwendungen werden nicht an E-Mail-, Fakturierungs- oder Zahlungsanbieter weitergegeben.

6.3. E-Mail-, Fakturierungs- und Zahlungsanbieter verarbeiten nur Daten, die für den jeweiligen Zweck erforderlich sind. Kundendaten gehosteter Anwendungen werden diesen Anbietern nicht offengelegt.

6.4. Über eine wesentliche Änderung eines Unterauftragsverarbeiters informiert der Anbieter in angemessener Weise. Der Kunde kann aus begründeten Gründen widersprechen; wenn die Parteien den Widerspruch nicht lösen, kann der Kunde den betroffenen Dienst beenden.

7. Sicherheit und Vorfälle

7.1. Der Anbieter schützt Kundendaten vor unbefugtem oder zufälligem Zugriff, Veränderung, Verlust, Zerstörung und unbefugter Offenlegung entsprechend dem Risiko und der Art des Dienstes.

7.2. Wenn der Anbieter eine Verletzung des Schutzes personenbezogener Daten feststellt, die für den Kunden verarbeitet werden, meldet er sie dem Kunden ohne unnötige Verzögerung, nachdem er davon erfahren hat, und stellt dem Kunden die dem Anbieter verfügbaren Informationen bereit.

7.3. Der Kunde ist verantwortlich für die Sicherheit seiner Anwendungen, Konten, Zugangsdaten, bereitgestellten Codes und Konfiguration. Der Anbieter haftet nicht für einen Vorfall, der durch eine Anwendung oder Weisung des Kunden verursacht wurde, sofern er seine eigenen Pflichten als Auftragsverarbeiter nicht verletzt hat.

8. Audits und Nachweis der Einhaltung

8.1. Der Anbieter stellt dem Kunden Informationen bereit, die angemessen erforderlich sind, um die Erfüllung der Pflichten nach Art. 28 DSGVO nachzuweisen, insbesondere Beschreibungen von Maßnahmen, Prozessen und Unterauftragsverarbeitern.

8.2. Ein Audit oder eine Inspektion muss im Voraus vereinbart werden, darf Sicherheit, Vertraulichkeit der Daten anderer Kunden oder Betrieb der Dienste nicht unangemessen gefährden und kann von der Vertraulichkeit des Auditors abhängig gemacht werden. Wird das Audit nicht durch eine Pflichtverletzung des Anbieters ausgelöst, kann der Anbieter Ersatz angemessener Kosten verlangen.

9. Rückgabe und Löschung von Daten

9.1. Der Kunde kann Daten mit Mitteln des Dienstes exportieren, soweit die Art des jeweiligen Dienstes dies ermöglicht. Nach Beendigung des Dienstes ist der Kunde verpflichtet, den Export rechtzeitig vorzunehmen.

9.2. Nach Beendigung des Dienstes löscht der Anbieter aktive Daten des jeweiligen Dienstes nach den technischen Prozessen des Dienstes. Backups werden im üblichen Backup-Zyklus gelöscht, spätestens innerhalb von 60 Tagen, sofern keine rechtliche Pflicht oder kein Sicherheitsvorfall eine längere Aufbewahrung erfordert.

9.3. Wenn eine Rechtsvorschrift die Aufbewahrung bestimmter Daten verlangt, bewahrt der Anbieter diese nur im notwendigen Umfang und für die notwendige Dauer auf.

10. Übermittlungen außerhalb EU/EWR

10.1. Der Anbieter übermittelt personenbezogene Daten, die für den Kunden verarbeitet werden, nicht außerhalb EU/EWR ohne einen rechtlichen Mechanismus nach der DSGVO, insbesondere Angemessenheitsbeschluss, Standardvertragsklauseln oder andere Garantien.

10.2. Wenn der Kunde über seine Anwendung oder Konfiguration Daten außerhalb EU/EWR übermittelt, ist der Kunde für Rechtsgrundlage und Garantien einer solchen Übermittlung verantwortlich.

11. Schlussbestimmungen

11.1. Dieser Vertrag wird elektronisch geschlossen und ist für die Dauer verbindlich, in der der Anbieter personenbezogene Daten für den Kunden als Auftragsverarbeiter verarbeitet.

11.2. Für in diesem Vertrag nicht geregelte Fragen gelten die Nutzungsbedingungen und die DSGVO. Bei Widersprüchen hat für die Verarbeitung personenbezogener Daten auf Weisung des Kunden dieser Auftragsverarbeitungsvertrag Vorrang.