Diese Erklärung beschreibt, wie personenbezogene Daten auf dem Webserver von Thomas Stadler (sthot-systems) verarbeitet werden. Der Server steht im Housing bei der STRATO GmbH und betreibt mehr als 50 Websites mit PHP, relationalen Datenbanken und dem Mailserver Exim, ausgeliefert über nginx.
Gehostete Websites verweisen auf diese Seite, damit Besucherinnen und Besucher nachvollziehen können, wer den Server betreibt und welche Stelle die Daten im Rechenzentrum verarbeitet. Für Inhalte, Formulare, Shops und Mitgliederbereiche einer einzelnen Website bleibt der jeweilige Websitebetreiber verantwortlich.
Anwendbar ist das italienische Datenschutzrecht. Die Verordnung (EU) 2016/679 gilt in Italien unmittelbar. Das gesetzesvertretende Dekret vom 30. Juni 2003, Nr. 196 (Codice in materia di protezione dei dati personali, im Folgenden Datenschutzkodex) gilt in der Fassung des gesetzesvertretenden Dekrets vom 10. August 2018, Nr. 101. Diese Erklärung erfüllt die Informationspflicht nach Art. 13 der Verordnung (EU) 2016/679. Soweit der Datenschutzkodex für eine Verarbeitung eine eigene Regel enthält, ist sie bei dieser Verarbeitung genannt.
Verantwortlicher für den Betrieb dieses Servers und für diese Datenschutzerklärung ist:
Thomas StadlerAnfragen zum Datenschutz richten Sie bitte schriftlich an diese Anschrift. Betrifft Ihre Anfrage eine bestimmte Website, ein Formular oder ein Postfach, wenden Sie sich zusätzlich an den Betreiber dieser Website. Er legt die Zwecke der dort erhobenen Inhaltsdaten fest und ist dafür die verantwortliche Stelle im Sinne von Art. 4 Nr. 7 der Verordnung (EU) 2016/679.
Ein Datenschutzbeauftragter ist nicht benannt.
Auf diesem Server fallen zwei Ebenen auseinander.
Inhaltsdaten der gehosteten Websites. Texte, Formulardaten, Kunden- und Mitgliedsdaten, Shopdaten und Postfachinhalte verarbeitet sthot-systems im Auftrag des jeweiligen Websitebetreibers (Art. 28 der Verordnung (EU) 2016/679). Zweck und Rechtsgrundlage dieser Daten bestimmt der Websitebetreiber. sthot-systems nutzt sie nicht für eigene Zwecke.
Technischer Serverbetrieb. Verbindungsdaten, die nginx, PHP-FPM und Exim erzeugen, verarbeitet der Serverbetreiber, um den Dienst bereitzustellen, Fehler zu finden und Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f der Verordnung (EU) 2016/679. Das berechtigte Interesse ist der sichere und stabile Betrieb eines Servers, auf dem viele voneinander unabhängige Websites liegen. Die Protokolle werden nicht für Werbung und nicht zur Profilbildung verwendet.
Soweit der Betrieb eines Kundenauftrags erfordert, dass diese Protokolle auch für den Websitebetreiber geführt werden, erfolgt das zusätzlich als Auftragsverarbeitung nach dessen Weisung.
Der Server stellt mehr als 50 Websites bereit. Für jede Website werden insbesondere Speicherplatz, eine Anbindung an das Internet, PHP, eine oder mehrere Datenbanken und, soweit beauftragt, E-Mail vorgehalten.
Kategorien betroffener Personen sind Besucherinnen und Besucher der Websites, Personen, die Formulare ausfüllen oder Konten anlegen, Kommunikationspartner per E-Mail sowie die Auftraggeber und deren Mitarbeiter.
Arten der Daten sind, je nach Website und nur soweit der Betreiber sie dort ablegt: Stammdaten, Kontaktdaten, Vertrags- und Buchungsdaten, Inhaltsdaten, Zugangsdaten in der von der Anwendung gespeicherten Form sowie technische Protokolldaten. Besondere Kategorien personenbezogener Daten nach Art. 9 Abs. 1 der Verordnung (EU) 2016/679 werden vom Serverbetreiber nicht gezielt erhoben. Zulässig wäre eine solche Verarbeitung nur unter einer Ausnahme nach Art. 9 Abs. 2 der Verordnung. Erfolgt sie aus Gründen eines erheblichen öffentlichen Interesses nach Art. 9 Abs. 2 lit. g, verlangt zusätzlich Art. 2-sexies des Datenschutzkodex eine gesetzliche oder verordnungsrechtliche Grundlage, die Datenarten, Verarbeitungen, den Grund des öffentlichen Interesses und geeignete Schutzmaßnahmen bestimmt. Ob eine einzelne Website solche Daten abfragt, entscheidet und verantwortet ihr Betreiber.
Die Bereitstellung der Hostingleistung beruht auf dem Vertrag mit dem Websitebetreiber (Art. 6 Abs. 1 lit. b der Verordnung (EU) 2016/679). Eine gesetzliche Pflicht, gerade diesen Server zu nutzen, besteht nicht. Ohne die technischen Protokolldaten kann der Server die Anfrage jedoch nicht beantworten und nicht gegen Missbrauch geschützt werden.
Beim Aufruf einer Seite verarbeitet nginx die Angaben, die der Browser übermittelt. Im Zugriffsprotokoll stehen:
Fehlerprotokolle enthalten technische Fehlermeldungen und können dabei ebenfalls IP-Adressen oder angeforderte Adressen enthalten.
Zweck ist die Auslieferung der Website, die Fehlersuche und die Abwehr von Angriffen. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f der Verordnung (EU) 2016/679. Diese Protokolle entstehen auf dem Server. Sie sind keine Speicherung von Informationen auf dem Endgerät nach Art. 122 des Datenschutzkodex. Die Zugriffsprotokolle werden täglich rotiert und zehn Generationen aufbewahrt, also etwa zehn Tage. Danach werden sie gelöscht.
Die Übertragung erfolgt verschlüsselt, soweit die jeweilige Website über HTTPS erreichbar ist.
Dynamische Seiten werden mit PHP (PHP-FPM) ausgeführt. Dabei entstehen Sitzungsdaten, soweit die Anwendung eine Sitzung startet, sowie temporäre Dateien, die für die Bearbeitung eines Seitenaufrufs nötig sind. Sitzungen dienen dazu, einen Vorgang über mehrere Aufrufe zusammenzuhalten, etwa einen Warenkorb oder eine Anmeldung. Sie enden mit dem Ablauf der von der Anwendung gesetzten Sitzungsdauer oder wenn sie gelöscht werden.
Legt die Anwendung dafür eine Kennung auf dem Endgerät ab, erlaubt Art. 122 Abs. 1 des Datenschutzkodex diese Speicherung ohne Einwilligung, soweit sie unbedingt erforderlich ist, um einen vom Nutzer ausdrücklich verlangten Dienst der Informationsgesellschaft zu erbringen. Andere Informationen auf dem Endgerät, die nicht unbedingt erforderlich sind, darf nur der jeweilige Websitebetreiber und nur mit Einwilligung nach Art. 122 Abs. 1 des Datenschutzkodex speichern.
PHP-FPM schreibt eigene technische Protokolle über den Interpreter. Sie dienen der Fehlersuche und werden im Rahmen der Systemrotation für wenige Wochen vorgehalten. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f der Verordnung (EU) 2016/679.
Welche personenbezogenen Daten eine PHP-Anwendung in Sitzung oder Datenbank schreibt, bestimmt der Websitebetreiber. sthot-systems verarbeitet diese Daten nur, um die Anwendung zu betreiben.
Die Websites speichern ihre Anwendungsdaten in relationalen Datenbanken (MariaDB). Typisch sind dort Inhalte von Content-Management-Systemen, Formulareingaben, Benutzerkonten, Bestellungen und vergleichbare Anwendungsdaten. Zugriff erhalten nur die jeweils zugehörige Website und der Serverbetreiber im Rahmen von Betrieb, Sicherung und Störungsbehebung.
Zweck und Aufbewahrung der Inhaltsdaten richten sich nach der Weisung des Websitebetreibers und nach seinem Vertrag (Art. 6 Abs. 1 lit. b und Art. 28 der Verordnung (EU) 2016/679). sthot-systems löscht Datenbanken und zugehörige Dateien, wenn der Hostingauftrag endet oder der Betreiber die Löschung verlangt, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Eine solche Pflicht trifft im Regelfall den Websitebetreiber, für Geschäftsunterlagen insbesondere nach Art. 2220 des italienischen Zivilgesetzbuchs.
Sicherungskopien dienen dem Schutz vor Datenverlust. Sie unterliegen derselben Zweckbindung wie die Originaldaten und werden nur so lange behalten, wie sie für eine Wiederherstellung benötigt werden.
Technische Datenbankprotokolle (Fehlerprotokoll des Datenbankdienstes) werden kurz rotiert und enthalten im Regelfall keine Inhalte der Kundendatenbanken.
Der Mailtransport läuft über Exim. Der Server nimmt E-Mails für die gehosteten Domains an, stellt sie lokal zu oder leitet sie weiter und versendet E-Mails, die von den gehosteten Anwendungen oder Postfächern ausgehen.
Verarbeitet werden die zur Zustellung nötigen Angaben: Absender- und Empfängeradressen, Metadaten der Nachricht (Zeitpunkt, Größe, Zustellstatus, beteiligte Server) und der Nachrichteninhalt, solange die Mail in der Warteschlange oder im Postfach liegt. Postfachinhalte sind Inhaltsdaten des jeweiligen Auftraggebers und werden nur in dessen Auftrag gespeichert.
Zwecke sind die Zustellung der Nachricht, die Fehlersuche und der Schutz des Mailservers vor Missbrauch, insbesondere vor unberechtigtem Versand. Rechtsgrundlage für den technischen Betrieb ist Art. 6 Abs. 1 lit. f der Verordnung (EU) 2016/679, für die Inhalte der Postfächer die Weisung des Auftraggebers nach Art. 28 der Verordnung (EU) 2016/679 auf der Grundlage seines Vertrags (Art. 6 Abs. 1 lit. b der Verordnung). Der Nachrichteninhalt unterliegt dem Kommunikationsgeheimnis nach Art. 15 der italienischen Verfassung. Das unbefugte Kenntnisnehmen, Unterdrücken oder Unterbrechen elektronischer Kommunikation ist nach Art. 616 und Art. 617-quater des italienischen Strafgesetzbuchs strafbar.
Art. 123 Abs. 2 und Art. 132 des Datenschutzkodex schreiben längere Fristen nur Anbietern eines der Öffentlichkeit zugänglichen elektronischen Kommunikationsdienstes vor: bis zu sechs Monate für Verkehrsdaten zur Abrechnung, zwölf Monate für Telematik-Verkehrsdaten zur Strafverfolgung. Auf diesem Server wird kein solcher öffentlicher Kommunikationsdienst betrieben. Die Mailprotokolle von Exim werden deshalb im Rahmen der Systemrotation in der Regel vier Wochen aufbewahrt und danach gelöscht. Nachrichten in der Warteschlange bleiben dort, bis sie zugestellt oder als unzustellbar zurückgesendet wurden. Postfächer bleiben bestehen, bis der Auftraggeber sie leert oder der Hostingauftrag endet.
Der Server ist bei der STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin, gehoust. STRATO stellt die Rechenzentrumsleistung und die Netzanbindung bereit. Die Software auf dem Server (nginx, PHP, Datenbanken, Exim) administriert Thomas Stadler selbst. Die Verarbeitung der Website- und Maildaten findet auf diesem Server statt, IP-Adressen 85.214.126.69 und 93.90.204.165, Kundennummer bei STRATO 62307754.
STRATO verarbeitet personenbezogene Daten, die zum Housing und zum Betrieb der Infrastruktur erforderlich sind, als Auftragsverarbeiter nach Art. 28 der Verordnung (EU) 2016/679. Die Vereinbarung zur Auftragsverarbeitung, Version 3.6, wurde am 23. September 2026 abgeschlossen. Ihr Wortlaut steht in Abschnitt 14. Die bei STRATO hinterlegte Fassung liegt als STRATO-AVV.pdf bei.
Für das Serverprodukt gilt nach der Leistungsbeschreibung von STRATO: Die Datenverarbeitung auf der Plattform selbst erfolgt eigenverantwortlich durch den Kunden. STRATO verarbeitet die auf dem Server gespeicherten Inhaltsdaten und die für die Leistung nötigen Account-Informationen (insbesondere IP-Adressen und Benutzernamen) im Rahmen dieser Vereinbarung.
Weitere Empfänger sind nur die in der Vereinbarung genannten Unterauftragsverarbeiter, und auch nur, soweit STRATO sie für die tatsächlich gebuchte Leistung einsetzt. Homepage-Baukasten, Webshop-Software, HiDrive, Mailarchivierung, Plesk und vergleichbare STRATO-Produkte werden auf diesem Server nicht als Bestandteil des hier beschriebenen Betriebs genutzt. Das allgemeine Subunternehmerverzeichnis ist dennoch Teil der Vereinbarung und unten vollständig wiedergegeben.
Eine Weitergabe zu Werbezwecken findet nicht statt. Eine Offenlegung gegenüber einer Behörde erfolgt, wenn sie gesetzlich vorgeschrieben ist (Art. 6 Abs. 1 lit. c der Verordnung (EU) 2016/679).
Das Housing und die Verarbeitung auf diesem Server erfolgen in einem Rechenzentrum in Deutschland, also in der Europäischen Union.
Die Vereinbarung mit STRATO sieht vor, dass eine Verarbeitung in einem Mitgliedstaat der Europäischen Union oder in einem anderen Staat des Europäischen Wirtschaftsraums stattfindet, sofern nicht zur Erbringung der Leistung ein Transfer in ein Drittland erforderlich ist. Für diesen Fall hat STRATO zuzusichern, dass die Voraussetzungen der Art. 44 ff. der Verordnung (EU) 2016/679 erfüllt sind. Im Subunternehmerverzeichnis sind für einzelne, hier nicht als Produkt genutzte Leistungen EU-Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c der Verordnung (EU) 2016/679 genannt (Schweiz, Singapur, USA). Für den Betrieb dieses Servers ist ein solcher Drittlandtransfer nicht vorgesehen.
| Daten | Dauer |
|---|---|
| nginx-Zugriffs- und Fehlerprotokolle | etwa 10 Tage (tägliche Rotation, 10 Generationen) |
| Exim-Mailprotokolle | in der Regel 4 Wochen |
| PHP-FPM-Protokolle | wenige Wochen, entsprechend der Systemrotation |
| PHP-Sitzungen | bis zum Ablauf der Sitzung der jeweiligen Anwendung |
| Web- und Datenbankinhalte, Postfächer | für die Dauer des Hostingauftrags und nach Weisung des Websitebetreibers; Löschung bei Vertragsende, soweit keine Aufbewahrungspflicht entgegensteht |
| Sicherungskopien | nur für den Zeitraum, der für eine Wiederherstellung erforderlich ist |
| Daten bei STRATO zum Serververtrag | nach der Leistungsbeschreibung für Serverprodukte: spätestens 7 Tage nach online bestätigter Kündigung der Funktion oder des Vertrags, spätestens 30 Tage bei sonstigen Kündigungen; Diagnosedaten 7 Tage nach Erhebung |
Sie haben gegenüber der verantwortlichen Stelle, soweit die gesetzlichen Voraussetzungen erfüllt sind:
Legen Sie Widerspruch gegen die technischen Protokolle ein, prüfen wir, ob zwingende schutzwürdige Gründe die weitere kurze Speicherung erfordern, etwa zur Abwehr eines laufenden Angriffs. Für Inhaltsdaten einer Website ist der Websitebetreiber der richtige Adressat, weil er über Zweck und Löschung entscheidet. sthot-systems unterstützt ihn dabei im Rahmen der Auftragsverarbeitung.
Eine erteilte Einwilligung können Sie nach Art. 7 Abs. 3 der Verordnung (EU) 2016/679 mit Wirkung für die Zukunft widerrufen. Auf diesem Server wird die hier beschriebene technische Verarbeitung nicht auf eine Einwilligung gestützt. Für eine Speicherung auf dem Endgerät, die über das unbedingt Erforderliche hinausgeht, ist die Einwilligung nach Art. 122 Abs. 1 des Datenschutzkodex Sache des jeweiligen Websitebetreibers.
Es findet keine automatisierte Entscheidungsfindung einschließlich Profiling nach Art. 22 der Verordnung (EU) 2016/679 statt.
Sie haben das Recht auf Beschwerde bei einer Aufsichtsbehörde nach Art. 77 der Verordnung (EU) 2016/679. In Italien wird dieses Recht als Reclamo beim Garante nach Art. 140-bis und Art. 141 des Datenschutzkodex ausgeübt; Form und Inhalt des Reclamo richten sich nach Art. 142 des Datenschutzkodex. Der Rechtsweg zu den Gerichten bleibt nach Art. 79 der Verordnung (EU) 2016/679 und Art. 140-bis des Datenschutzkodex eröffnet. Zuständig für den in Italien niedergelassenen Serverbetreiber ist:
Garante per la protezione dei dati personaliSie können sich auch an die Aufsichtsbehörde Ihres Aufenthaltsorts wenden.
Der Serverbetreiber trifft in seinem Bereich die Maßnahmen nach Art. 32 der Verordnung (EU) 2016/679, die zum Risiko passen. Der Datenschutzkodex enthält seit dem gesetzesvertretenden Dekret Nr. 101/2018 keinen eigenen Katalog von Mindestsicherheitsmaßnahmen; maßgeblich bleibt Art. 32 der Verordnung. Zu den Maßnahmen gehören die Trennung der Websites, beschränkte Verwaltungszugänge, verschlüsselte Auslieferung über HTTPS, soweit die Website so erreichbar ist, aktuelle Systemsoftware und die begrenzte Aufbewahrung der Protokolle.
STRATO trifft die Maßnahmen in seinem Verantwortungsbereich, also für Rechenzentrum, Hardware und Netzanbindung. Die Beschreibung dieser Maßnahmen veröffentlicht STRATO unter https://www.strato.de/agb/tom/. Nach der Vereinbarung ist diese Beschreibung technischer Art und nicht selbst Vertragsbestandteil. STRATO ist nach ISO 27001 zertifiziert; das jeweils aktuelle Zertifikat stellt STRATO auf seiner Website bereit.
Eine Übermittlung im Internet kann nicht lückenlos gegen jeden Zugriff Dritter abgesichert werden. Das gilt insbesondere für E-Mail, die auf dem Weg zwischen zwei Servern einzelne unverschlüsselte Teilstrecken haben kann.
Nachstehend ist die Vereinbarung zur Auftragsverarbeitung wiedergegeben, die Thomas Stadler als Auftraggeber mit der STRATO GmbH als Auftragnehmer geschlossen hat. Maßgeblich ist die bei STRATO hinterlegte Fassung: STRATO-AVV.pdf. Die Wiedergabe dient der Transparenz gegenüber den Betreibern der gehosteten Websites und gegenüber betroffenen Personen.
Die in der Vereinbarung genannte Datenschutz-Grundverordnung (DSGVO) ist die Verordnung (EU) 2016/679. Sie gilt für den in Italien niedergelassenen Auftraggeber unmittelbar, zusammen mit dem Datenschutzkodex. Die Vereinbarung selbst unterliegt nach ihrer Ziffer 12.4 dem Recht der Bundesrepublik Deutschland, weil der Auftragnehmer seinen Sitz in Berlin hat. Die in Ziffer 5.4 genannten deutschen Geheimnispflichten des Auftragnehmers (§ 3 TDDSG, § 203 StGB) entsprechen auf Seiten des italienischen Auftraggebers dem Kommunikationsgeheimnis nach Art. 15 der italienischen Verfassung, den Strafvorschriften der Art. 616 und Art. 617-quater des italienischen Strafgesetzbuchs und dem Berufsgeheimnis nach Art. 622 des italienischen Strafgesetzbuchs.
Vereinbarung zur Auftragsverarbeitung
nach Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO).
Version 3.6
Kundennummer 62307754
Abgeschlossen am 23. September 2026.
zwischen
Thomas Stadlerals Auftraggeber – nachfolgend Auftraggeber –
und
STRATO GmbHals Auftragnehmer – nachfolgend Auftragnehmer –
1.1. Gegenstand der Vereinbarung sind die Rechte und Pflichten der Parteien im Rahmen der Leistungserbringung gemäß Leistungsbeschreibung und AGB (nachfolgend Hauptvertrag), soweit eine Verarbeitung von personenbezogenen Daten durch STRATO GmbH (nachfolgend Auftragnehmer) als Auftragsverarbeiter für den Kunden als Verantwortlicher (nachfolgend Auftraggeber) gemäß Art. 28 DSGVO erfolgt. Dies umfasst alle Tätigkeiten, die der Auftragnehmer zur Erfüllung des Auftrags erbringt und die eine Auftragsverarbeitung darstellen. Dies gilt auch, sofern der Auftrag nicht ausdrücklich auf diese Vereinbarung zur Auftragsverarbeitung verweist.
1.2. Die Dauer der Verarbeitung richtet sich nach der tatsächlichen Verarbeitung personenbezogener Daten des Auftraggebers durch den Auftragnehmer.
2.1. Die Art der Verarbeitung umfasst alle Arten von Verarbeitungen im Sinne der DSGVO zur Erfüllung des Auftrags.
2.2. Zwecke der Verarbeitung sind alle zur Erbringung der vertraglich vereinbarten Leistung (siehe hierzu auch Anhang 1 Leistungsbeschreibung) insbesondere im Bereich Cloud-Dienstleistungen, Hosting, Software as a Service (SaaS) und IT-Support erforderlichen Zwecke.
3.1. Die Art der verarbeiteten Daten bestimmt der Auftraggeber durch die Produktwahl, die Konfiguration, die Nutzung der Dienste und die Übermittlung von Daten. Siehe hierzu auch die Leistungsbeschreibung in Anhang 1.
3.2. Die Kategorien von Betroffenen bestimmt der Auftraggeber durch die Produktwahl, die Konfiguration, die Nutzung der Dienste und die Übermittlung von Daten. Siehe hierzu auch die Leistungsbeschreibung in Anhang 1.
4.1. Der Auftraggeber ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragnehmer sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich („Verantwortlicher“ im Sinne des Art. 4 Nr. 7 DSGVO). Dies gilt auch im Hinblick auf die in dieser Vereinbarung geregelten Zwecke und Mittel der Verarbeitung.
4.2. Die Weisungen werden anfänglich durch den Hauptvertrag festgelegt und können vom Auftraggeber danach in schriftlicher Form oder in einem elektronischen Format (Textform) durch einzelne Weisungen geändert werden (Einzelweisung). Mündliche Weisungen sind unverzüglich schriftlich oder in Textform zu bestätigen. Bei Änderungsvorschlägen teilt der Auftragnehmer dem Auftraggeber mit, welche Auswirkungen sich auf die vereinbarten Leistungen, insbesondere die Möglichkeit der Leistungserbringung, Termine und Vergütung ergeben. Ist dem Auftragnehmer die Umsetzung der Weisung nicht zumutbar, so ist der Auftragnehmer berechtigt, die Verarbeitung zu beenden und den Vertrag außerordentlich zu kündigen. Die Entgeltpflicht des Auftraggebers entfällt mit der Einstellung der Leistung durch den Auftragnehmer. Eine Unzumutbarkeit liegt insbesondere vor, wenn die Leistungen in einer Infrastruktur erbracht werden, die von mehreren Auftraggebern / Kunden des Auftragnehmers genutzt wird (Shared Services), und eine Änderung der Verarbeitung für einzelne Auftraggeber nicht möglich oder nicht zumutbar ist.
4.3. Die vertraglich vereinbarte Datenverarbeitung findet in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt, sofern nicht zur Erbringung der Leistung der Datentransfer in Drittstaaten erforderlich ist. Für den Fall, dass eine Übermittlung in einen Drittstaat erfolgt, stellt der Auftragnehmer sicher, dass die Voraussetzungen nach Art. 44 ff. DSGVO erfüllt sind.
5.1. Der Auftragnehmer darf Daten von betroffenen Personen nur aufgrund dokumentierter Weisungen des Auftraggebers verarbeiten. Die Weisungen werden zu Beginn durch den Vertrag festgelegt. Keine Weisungsbindung liegt jedoch vor, wenn ein Ausnahmefall im Sinne des Artikels 28 Abs. 3 lit. a DSGVO gegeben ist (Verpflichtung nach dem Recht der Europäischen Union oder eines Mitgliedstaates). Dies bezieht sich auch auf Übermittlungen von personenbezogenen Daten an Drittländer oder internationale Organisationen. Besteht eine Verarbeitungspflicht entgegen einer Weisung, so informiert der Auftragnehmer vor der Verarbeitung den Auftraggeber über die entsprechende rechtliche Anforderung, es sei denn, das betreffende Recht verbietet eine solche Information wegen eines wichtigen öffentlichen Interesses. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Gesetze verstößt. Der Auftragnehmer darf die Umsetzung der Weisung so lange aussetzen, bis sie vom Auftraggeber bestätigt oder abgeändert wurde. Die Weisungen sind durch den Auftraggeber zu dokumentieren und mindestens für die Dauer des Auftragsverhältnisses aufzubewahren.
5.2. Der Auftragnehmer unterstützt angesichts der Art der Verarbeitung nach Möglichkeit den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Ansprüche der betroffenen Personen nach Kapitel III der DSGVO. Der Auftragnehmer ist berechtigt, für diese Leistungen eine angemessene Vergütung vom Auftraggeber zu verlangen, soweit die Unterstützung nicht aufgrund eines Gesetzes- oder Vertragsverstoßes durch den Auftragnehmer erforderlich wurde. Der Auftragnehmer wird dem Auftraggeber vorab eine Kosteninformation zukommen lassen.
5.3. Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Artikeln 32 bis 36 DSGVO genannten Pflichten. Der Auftragnehmer ist berechtigt, für diese Leistungen eine angemessene Vergütung vom Auftraggeber zu verlangen, soweit die Unterstützung nicht aufgrund eines Gesetzes- oder Vertragsverstoßes durch den Auftragnehmer erforderlich wurde. Der Auftragnehmer wird dem Auftraggeber vorab eine Kosteninformation zukommen lassen.
5.4. Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung der Daten des Auftraggebers befassten Mitarbeitern und anderen für den Auftragnehmer tätigen Personen untersagt ist, die Daten außerhalb der Weisung zu verarbeiten. Ferner gewährleistet der Auftragnehmer, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Gleiches gilt für das Sozialgeheimnis, das Fernmeldegeheimnis nach § 3 TDDSG und – in Kenntnis der Strafbarkeit – für die Wahrung von Geheimnissen der Berufsgeheimnisträger nach § 203 StGB. Die Vertraulichkeits- und Verschwiegenheitspflicht besteht auch nach Beendigung des Auftrages fort.
5.5. Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, wenn ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt sind. Der Auftragnehmer trifft die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen für die betroffenen Personen.
5.6. Der Auftragnehmer gewährleistet die schriftliche Bestellung eines Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO ausübt. Eine Kontaktmöglichkeit wird auf der Website des Auftragnehmers veröffentlicht.
5.7. Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers entweder alle personenbezogenen Daten oder gibt sie dem Auftraggeber zurück, sofern nicht nach dem Unionsrecht oder nach dem anwendbaren Recht eines Mitgliedstaates eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht. Macht der Auftraggeber von diesem Wahlrecht keinen Gebrauch, gilt die Löschung als vereinbart. Wählt der Auftraggeber die Rückgabe, kann der Auftragnehmer eine angemessene Vergütung verlangen. Der Auftragnehmer wird dem Auftraggeber vorab eine Kosteninformation zukommen lassen.
5.8. Machen betroffene Personen Schadensersatzansprüche nach Art. 82 DSGVO geltend, unterstützt der Auftragnehmer den Auftraggeber bei der Abwehr der Ansprüche im Rahmen seiner Möglichkeiten. Der Auftragnehmer kann hierfür eine angemessene Vergütung verlangen, soweit die Schadensersatzansprüche nicht auf einem Gesetzes- oder Vertragsverstoß des Auftragnehmers beruhen.
6.1. Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er bei der Durchführung des Auftrags Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen feststellt.
6.2. Im Falle der Beendigung verpflichtet sich der Auftraggeber, diejenigen personenbezogenen Daten vor Vertragsbeendigung zu löschen, die er in den Diensten gespeichert hat.
6.3. Auf Anforderung des Auftragnehmers benennt der Auftraggeber einen Ansprechpartner in Datenschutzangelegenheiten.
Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich über jeden Antrag, den er von der betroffenen Person erhalten hat. Er beantwortet den Antrag nicht selbst, es sei denn, er wurde vom Auftraggeber dazu ermächtigt. Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragnehmer den Auftraggeber bei der Erfüllung von dessen Pflicht, Anträge betroffener Personen auf Ausübung ihrer Rechte zu beantworten. Bei der Erfüllung seiner Pflichten befolgt der Auftragnehmer die Weisungen des Auftraggebers. Der Auftragnehmer haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beantwortet wird.
8.1. Der Auftragnehmer ergreift in seinem Verantwortungsbereich geeignete technische und organisatorische Maßnahmen, um sicherzustellen, dass die Verarbeitung gemäß den Anforderungen der DSGVO erfolgt und den Schutz für die Rechte und Freiheiten der betroffenen Person gewährleistet. Der Auftraggeber ergreift in seinem Verantwortungsbereich gemäß Art. 32 DSGVO geeignete technische und organisatorische Maßnahmen, um die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Verarbeitung auf Dauer sicherzustellen.
8.2. Die aktuellen technischen und organisatorischen Maßnahmen des Auftragnehmers sind unter folgendem Link einsehbar: https://www.strato.de/agb/tom/. Der Auftragnehmer stellt klar, dass es sich bei den unter dem Link aufgeführten technischen und organisatorischen Maßnahmen lediglich um Beschreibungen technischer Art handelt, welche nicht als Bestandteil dieser Vereinbarung anzusehen sind.
8.3. Der Auftragnehmer betreibt ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der technischen und organisatorischen Maßnahmen zur Gewährleistung der Sicherheit der Verarbeitung gemäß Art. 32 Abs. 1 lit. d DSGVO.
8.4. Der Auftragnehmer passt die getroffenen Maßnahmen im Laufe der Zeit an die Entwicklungen beim Stand der Technik und die Risikolage an. Eine Änderung der getroffenen technischen und organisatorischen Maßnahmen bleibt dem Auftragnehmer vorbehalten, sofern das Schutzniveau nach Art. 32 DSGVO nicht unterschritten wird.
9.1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht im Einzelfall Überprüfungen – einschließlich Inspektionen –, die vom Auftraggeber oder einem anderen von diesem beauftragten Prüfer durchgeführt werden. Der Auftragnehmer ist berechtigt, eine Verschwiegenheitserklärung vom Auftraggeber und von dessen beauftragtem Prüfer zu verlangen, welche den Auftraggeber aber nicht daran hindern soll, selbst Nachweis gegenüber der für ihn zuständigen Aufsichtsbehörde zu erbringen. Unmittelbare Wettbewerber des Auftraggebers oder Personen, die für unmittelbare Wettbewerber des Auftraggebers tätig sind, kann der Auftragnehmer als Prüfer ablehnen.
9.2. Als Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten reicht dem Auftraggeber in der Regel die vorliegende Zertifizierung nach ISO 27001 aus. Das jeweils aktuelle Zertifikat stellt der Auftragnehmer auf seiner Website zur Verfügung.
9.3. Sofern der Auftraggeber auf Basis tatsächlicher Anhaltspunkte berechtigte Zweifel daran geltend macht, dass die vorbezeichneten Zertifizierungen zureichend oder zutreffend sind, oder besondere Vorfälle im Sinne von Art. 33 Abs. 1 DSGVO im Zusammenhang mit der Durchführung der Auftragsverarbeitung für den Auftraggeber dies rechtfertigen, kann er Vor-Ort-Kontrollen durchführen. Diese können zu den üblichen Geschäftszeiten ohne übermäßige Störung des Betriebsablaufs in der Regel nach Anmeldung durchgeführt werden, wenn nicht eine Kontrolle ohne Anmeldung erforderlich erscheint, weil andernfalls der Kontrollzweck gefährdet wäre. Das Inspektionsrecht des Auftraggebers hat das Ziel, die Einhaltung der einem Auftragsverarbeiter obliegenden Pflichten gemäß der DSGVO und dieses Vertrages zu überprüfen. Der Auftragnehmer wird aktiv an der Durchführung der Kontrolle mitwirken.
9.4. Für Informationen und Unterstützungshandlungen kann der Auftragnehmer eine angemessene Vergütung verlangen, soweit die Kontrolle nicht wegen eines Gesetzes- oder Vertragsverstoßes durch den Auftragnehmer erforderlich wurde. Der Auftragnehmer wird dem Auftraggeber vorab eine Kosteninformation zukommen lassen.
10.1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter im Sinne des Art. 28 DSGVO zur Vertragserfüllung einzusetzen.
10.2. Die aktuell eingesetzten weiteren Auftragsverarbeiter sind in Anhang 2 aufgeführt. Der Auftraggeber erklärt sich mit deren Einsatz einverstanden.
10.3. Der Auftragnehmer informiert den Auftraggeber, wenn er eine Änderung in Bezug auf die Hinzuziehung oder die Ersetzung weiterer Auftragsverarbeiter beabsichtigt. Der Auftraggeber kann gegen derartige Änderungen Einspruch erheben.
10.4. Der Einspruch gegen die beabsichtigte Änderung kann nur aus einem sachlichen Grund innerhalb von 14 Tagen nach Zugang der Information über die Änderung gegenüber dem Auftragnehmer erhoben werden. Im Fall des Einspruchs kann der Auftragnehmer nach eigener Wahl die Leistung ohne die beabsichtigte Änderung erbringen oder – sofern die Erbringung der Leistung ohne die beabsichtigte Änderung für den Auftragnehmer nicht zumutbar ist – die von der Änderung betroffene Leistung gegenüber dem Auftraggeber innerhalb einer angemessenen Frist (mindestens 14 Tage) nach Zugang des Einspruchs einstellen. Mit dem Zeitpunkt der Leistungseinstellung durch den Auftragnehmer entfällt die Entgeltpflicht des Auftraggebers.
10.5. Erteilt der Auftragnehmer Aufträge an weitere Auftragsverarbeiter, so obliegt es dem Auftragnehmer, seine datenschutzrechtlichen Pflichten aus diesem Vertrag auf den weiteren Auftragsverarbeiter zu übertragen. Der Auftragnehmer stellt insbesondere durch regelmäßige Überprüfungen sicher, dass die weiteren Auftragsverarbeiter die technischen und organisatorischen Maßnahmen einhalten.
11.1. Im Fall der Geltendmachung eines Schadensersatzanspruches durch eine betroffene Person nach Art. 82 DSGVO verpflichten sich die Parteien, sich gegenseitig zu unterstützen und zur Aufklärung des zugrundeliegenden Sachverhalts beizutragen.
11.2. Die zwischen den Parteien im Hauptvertrag zur Leistungserbringung vereinbarte Haftungsregelung gilt auch für Ansprüche aus dieser Vereinbarung zur Auftragsverarbeitung und im Innenverhältnis zwischen den Parteien für Ansprüche Dritter nach Art. 82 DSGVO, außer soweit ausdrücklich etwas anderes vereinbart ist.
12.1. Die Vereinbarung beginnt mit dem Abschluss durch den Auftraggeber. Sie endet mit Ende des letzten Vertrages unter der jeweiligen Kundennummer. Sollte eine Auftragsverarbeitung noch nach Beendigung dieses Vertrages stattfinden, gelten die Regelungen dieser Vereinbarung bis zum tatsächlichen Ende der Verarbeitung.
12.2. Der Auftragnehmer kann die Vereinbarung nach billigem Ermessen mit angemessener Ankündigungsfrist ändern. Insbesondere behält er sich ausdrücklich vor, die vorliegende Vereinbarung einseitig zu ändern, sofern sich wesentliche rechtliche Änderungen in Bezug auf diese Vereinbarung ergeben. Der Auftragnehmer wird den Auftraggeber über die Bedeutung der geplanten Änderung gesondert hinweisen und darüber hinaus dem Auftraggeber eine angemessene Frist zur Erklärung eines Widerspruchs einräumen. Der Auftragnehmer weist den Auftraggeber in der Änderungsankündigung darauf hin, dass die Änderung wirksam wird, wenn er nicht binnen der gesetzten Frist widerspricht. Im Falle eines Widerspruchs durch den Auftraggeber steht dem Auftragnehmer ein außerordentliches Kündigungsrecht zu.
12.3. Der Auftraggeber erkennt diese Vereinbarung als Teil der AGB https://www.strato.de/agb/ über die von ihm gebuchten Produkte an. Bei etwaigen Widersprüchen gehen Regelungen dieser Vereinbarung zur Auftragsverarbeitung den Regelungen des Hauptvertrages vor. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, so berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.
12.4. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit diesem Vertrag ist der Sitz des Auftragnehmers. Dieser gilt vorbehaltlich eines etwaigen ausschließlich gesetzlichen Gerichtsstandes. Dieser Vertrag unterliegt den gesetzlichen Bestimmungen der Bundesrepublik Deutschland.
12.5. Sollten die Daten des Auftraggebers beim Auftragnehmer durch Pfändung oder Beschlagnahme, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, so hat der Auftragnehmer den Auftraggeber unverzüglich darüber zu informieren. Der Auftragnehmer wird alle in diesem Zusammenhang Verantwortlichen unverzüglich darüber informieren, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Auftraggeber als „Verantwortlicher“ im Sinne der DSGVO liegen.
Wiedergegeben ist die Leistungsbeschreibung aus der Vereinbarung. Für diesen Server ist die Beschreibung der Serverprodukte maßgeblich. Die übrigen Produkte sind nur relevant, soweit sie unter der Kundennummer tatsächlich gebucht sind.
Leistungsbeschreibung: Wenn Sie bei uns eine Domain bestellen, kümmern wir uns um die Konnektierung und die Registrierung Ihrer Domain bei der zuständigen Registry. Zudem ist die Aufrechterhaltung der Registrierung, Domainumzüge und Abmeldung Vertragsbestandteil. Gleiches gilt für die auf Ihren Domains basierenden SSL-Zertifikate.
Zweck der Verarbeitung: Registrierung, Übertragung, Konfiguration und Verwaltung des Domainnamens.
Art der personenbezogenen Daten: Domainname und Kontaktdaten (Name, Adresse, E-Mail, Telefonnummer, gegebenenfalls Firma).
Kategorien betroffener Personen: Kunden.
Löschfristen: Speicherung von Änderungen bei der Domain für 12 Monate. Im Übrigen entspricht die Dauer der Verarbeitung der im Vertrag vereinbarten Laufzeit. Aufbewahrungspflichtige Daten werden bis zu 10 Jahre nach Vertragsende gespeichert.
Leistungsbeschreibung: Wenn Sie über ein E-Mail-Produkt bei uns verfügen, können Sie E-Mail-Adressen zu Ihren Domains anlegen und die dazugehörigen Dienstleistungen verwalten und nutzen. Wir legen für Sie auftragsgemäß ein E-Mail-Postfach an, auf das Sie mittels des STRATO-Webmailers und über E-Mail-Clients zugreifen können. Entsprechend des Leistungsumfanges und der Beauftragung führen wir Weiterleitungen, Benachrichtigungen, Autoresponder, Mailinglisten und Virenschutz für Sie aus. Zudem gehört auch ein konfigurierbarer Spamfilter zum Produkt. Sie können entsprechend der gebuchten Leistung im STRATO-Webmailer Kontakte, Termine und Aufgaben verwalten. Zusätzlich haben Sie die Möglichkeit, das Produkt E-Mail-Archivierung zu erwerben und somit Ihre E-Mails revisionssicher zu speichern.
Zweck der Verarbeitung: Bereitstellung von E-Mail-Dienstleistungen (Empfangen, Versenden, Vorhalten und Archivieren) einschließlich dem Anlegen, Konfigurieren und Löschen von E-Mail-Adressen und der Verwaltung von Kontakten, Terminen und Aufgaben.
Art der personenbezogenen Daten: E-Mails, Kontakte, Termine, Aufgaben, Domain und Logfiles.
Kategorien betroffener Personen: Kunden, Mitarbeiter des Kunden, Kontakte des Kunden.
Löschfristen: E-Mail-Dienstleistungen maximal 30 Tage nach Ende der Vertragslaufzeit. Logfiles maximal 6 Monate nach Entstehung. E-Mail-Archivierung 60 Tage nach Vertragsende.
Leistungsbeschreibung: Unsere Cloud-Speicher ermöglichen die Speicherung Ihrer Daten in unserem Rechenzentrum, sodass Sie von überall und jederzeit auf die Daten zugreifen können. Sie können dabei, je nach bestelltem Paket, zum Beispiel mehrere Nutzer anlegen oder andere Konfigurationen vornehmen. Sie können zudem Freigaben erteilen und diese verwalten.
Zweck der Verarbeitung: Bereitstellung einer Online-Speicherlösung.
Art der personenbezogenen Daten: Daten, die Sie in der Cloud speichern, Logfiles.
Kategorien betroffener Personen: Kunden, Mitarbeiter des Kunden, Nutzer.
Löschfrist: Bis zu zwei Monate nach Vertragsende, sofern der Kunde keine frühere Löschung eigenständig vornimmt. Logfiles werden maximal 12 Monate gespeichert.
Leistungsbeschreibung: Grundlage der Hosting-Produkte ist der Speicherplatz, auf dem eine Website publiziert werden kann. Dieser Webspace wird von uns vorgehalten und an das Internet angebunden. Je nach gewähltem Produkt beziehungsweise Leistungsumfang stehen insbesondere folgende Komponenten zur Verfügung: Services, um externe Software (zum Beispiel WordPress) zu installieren und zu betreiben; Datenbanken und administrative Zugänge; Homepage-Editoren zur Erstellung einer Website mittels Vorlagen und Modulen; Services, um die Website zu konnektieren (zum Beispiel IP, Domain, SSL-Zertifikate). Funktionelle Erweiterungen: SiteLock Scan hilft dabei, den Webspace frei von Schadsoftware zu halten, indem die Website gescannt und im Falle eines Fundes informiert wird. Web Analytics unterstützt bei der statistischen Auswertung des Besucherverkehrs.
Zweck der Verarbeitung: Zurverfügungstellen des Webspaces zum Publizieren im Internet; Zurverfügungstellen von Tools und Services zum Erstellen und Betreiben von Websites.
Art der personenbezogenen Daten: Inhaltsdaten der Website, Domain, Logfiles.
Kategorien betroffener Personen: Mitarbeiter der Kunden, Besucher der Website.
Löschfristen: Logfiles über Besucher Ihrer Website werden maximal 7 Tage gespeichert. Inhaltsdaten werden innerhalb von 2 Monaten nach Vertragsende gelöscht. Sonstige Logdaten werden nach maximal 12 Monaten gelöscht.
Leistungsbeschreibung: Mithilfe eines Webshops von STRATO können Sie einen Onlineshop einrichten und damit Ihre Waren verkaufen. Hierzu stellen wir eine SaaS-Software zur Verfügung, die über alle notwendigen Funktionalitäten zum Betrieb eines Onlineshops innerhalb einer Website oder auch über diverse Social-Media-Kanäle verfügt. Es obliegt Ihnen als Shopbetreiber, den Shop mit Ihren individuellen Inhalten zu befüllen, beispielsweise Auswahl von Versand- und Zahlungsarten. An die Shoplösung können weitere Features externer Partner hinzugefügt werden, um die Funktionalität zu erweitern. Wenn Sie diese Features nutzen möchten, erfordern diese eigene Verträge direkt zwischen Ihnen und den jeweiligen Partnern; sie sind nicht Teil dieses Produktes.
Zweck der Verarbeitung: Webhosting, Bereitstellung der Shop-Infrastruktur.
Art der verarbeiteten Daten: Stammdaten des Shops (wie zum Beispiel Produktdaten, Preise, generelle Einstellungen im Shop), weitere Daten, soweit sie zur Abwicklung von Verkäufen benötigt werden (Adress- und Kundendaten, Versand- und Zahlungsinformationen, Lagerbestände, Bestellungen und so weiter), Logfiles.
Kategorien betroffener Personen: Shopbetreiber, Shopkunden und Besucher der Website.
Löschfristen: Logs sowie statistische Daten bleiben ein Jahr lang erhalten. Weitere Daten wie zum Beispiel Stammdaten werden für ungelöschte Verträge ohne Begrenzung gespeichert. Die Daten gekündigter Verträge werden nach 60 Tagen gelöscht.
Leistungsbeschreibung: Die Online-Marketing-Produkte wie marketingRadar, rankingCoach, listingCoach oder adCoach können den Kunden in seinem geschäftlichen Erfolg unterstützen. Je nach gewähltem Produkt werden Firmenkontakte in Branchenbüchern und auf anderen Plattformen veröffentlicht, die Suchergebnisse bei Google optimiert, Werbung bei Google geschaltet oder Newsletter versendet. Jede dieser Anwendungen unterstützt in ihrem spezifischen Kontext bei Vertrieb, Anbahnung von Geschäftskontakten, Vermittlung von Informationen und trägt damit zur Steigerung von Reichweite, Bekanntheit und Kundenbindung bei.
Zweck der Verarbeitung: Erhöhung der Reichweite und des Bekanntheitsgrades, Platzieren von Werbung, Veröffentlichung von Firmendaten, Newsletterversand, Optimierung für Suchmaschinenergebnisse.
Art der verarbeiteten Daten: Firmendaten, Kontaktdaten, Inhaltsdaten, Nutzungsdaten.
Kategorien betroffener Personen: Mitarbeiter, Kunden, Besucher der Website.
Löschfristen: Die Daten der Kunden werden 30 Tage nach Kündigung aus den Systemen gelöscht; der Produktpartner löscht ebenfalls 30 Tage nach Kündigung sämtliche Daten.
Leistungsbeschreibung: Sie können bei uns unterschiedlichste Serverprodukte bestellen. Je nach gewähltem Produkt stellen wir Ihnen gehostete Server auf individuell genutzter eigener Hardware (dedizierte Server) oder in einer virtualisierten Umgebung, einem nur geteilten Speicherplatz (virtuelle Server), zur Verfügung. Die Einrichtung, die Administration und der Betrieb sowie die Datensicherung werden von uns mit automatisierten Prozessen und Tools unterstützt. Die Datenverarbeitung auf der Plattform selbst erfolgt selbständig und eigenverantwortlich durch Sie als Kunden.
Zweck der Verarbeitung: Bereitstellung und Betrieb der Serverinfrastruktur.
Art der verarbeiteten Daten: Inhaltsdaten, die Sie auf dem Server speichern; User-Account-Informationen (IP-Adressen, MAC-Adressen, Usernamen).
Kategorien betroffener Personen: Kunden, Nutzer.
Löschfristen: User-Account-Informationen, die zum Zwecke der Leistungserbringung benötigt werden, und Kundendaten, die auf dem Server gespeichert werden, werden spätestens bis zu sieben Tage bei von Kunden online bestätigten Kündigungen der Funktion oder des Vertrages sowie spätestens 30 Tage bei allen anderen Kündigungen des Vertrages gelöscht. User-Account-Informationen, die zum Zwecke der Fehlerdiagnose erhoben werden, werden 7 Tage nach der Erhebung gelöscht.
Stand des Verzeichnisses: 18. März 2024.
| Subunternehmer | Adresse | Kurzbeschreibung der Leistung | Garantien bei Drittlandübermittlung |
|---|---|---|---|
| we22 Solutions GmbH | Otto-Ostrowski-Straße 7, 10249 Berlin | STRATO Homepage-Design-Service; Entwicklung, Wartung und Pflege des Homepage-Baukastens | – |
| ePages GmbH | Pilatuspool 2, 20355 Hamburg | Entwicklung, Wartung und Pflege der Webshop-Software | – |
| Ionos SE | Elgendorfer Straße 7, 56410 Montabaur | Bereitstellung, Betrieb und Wartung von Produkten, insbesondere Betrieb, Wartung und Pflege des AutoUpdaters für Apps (Installatron); Bereitstellung der physischen Umgebung für den Betrieb der STRATO Mail-Archivierung (Dropsuite Ltd.); Betrieb der Plattform und Bereitstellung von dedizierten und virtuellen Servern sowie Cloud-Lösungen | – |
| Dropsuite Ltd. | PTE, Ltd. 01-12 Block 71, Ayer Rajah Crescent, Singapore 139951, Singapur | Entwicklung, Wartung, Pflege und Betrieb der STRATO Mail-Archivierungssoftware | EU-Standarddatenschutzklauseln gem. Art. 46 Abs. 2 lit. c DSGVO |
| Virtuozzo International GmbH | Vordergasse 59, 8200 Schaffhausen, Schweiz | Virtualisierungssoftware für V-Server inklusive Support | EU-Standarddatenschutzklauseln gem. Art. 46 Abs. 2 lit. c DSGVO |
| rankingCoach GmbH | c/o wework, Friesenplatz 4, 50672 Köln | Anwendungen zur Verbesserung der Sichtbarkeit einer Website in Suchmaschinen | – |
| Hewlett-Packard GmbH | Herrenberger Straße 140, 710 Böblingen | Support für eine V-Server-Plattform | – |
| Acronis Germany GmbH | Landsberger Straße 105, 80339 München | Betrieb und Support Backup-Produkt | – |
| SiteLock, LLC | 8701 East Hartford Drive, Suite 200, Scottsdale, AZ 85255, USA | Erkennung und Beseitigung von Malware | EU-Standarddatenschutzklauseln gem. Art. 46 Abs. 2 lit. c DSGVO |
| Eleven GmbH | Heidestraße 10, 10557 Berlin | Spamfilter für E-Mail | – |
| Plesk International GmbH | Vordergasse 59, 8200 Schaffhausen, Schweiz | Bereitstellung der Server-Administrationssoftware Plesk | EU-Standarddatenschutzklauseln gem. Art. 46 Abs. 2 lit. c DSGVO |
| ServerGuard24 GmbH | Fritz-Schäffer-Straße 1, 53113 Bonn | Betrieb eines Monitoring-Services für dedizierte und virtuelle Server | – |
| Open-Xchange GmbH | Olper Hütte 5f, 57462 Olpe | Nutzung von OX App Suite und OX Premium Postfächern | – |
Stand dieser Datenschutzerklärung: 23. September 2026.