Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

1.1. Dieser Auftragsverarbeitungsvertrag („Vertrag“) ist Bestandteil der zwischen Yaşar Alkan Anatolia Art Web Hizmetleri („zuwinasa cloud“) und dem die Dienste von zuwinasa cloud nutzenden Mitglied („Mitglied“) geschlossenen Nutzungsbedingungen.

1.2. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach dem türkischen Datenschutzgesetz Nr. 6698 („KVKK“) und den einschlägigen Vorschriften in Bezug auf personenbezogene Daten, die zuwinasa cloud bei der Erbringung der Dienste im Auftrag des Mitglieds verarbeitet.

1.3. Bei Widersprüchen zwischen diesem Vertrag und den Nutzungsbedingungen in Bezug auf die Verarbeitung personenbezogener Daten geht dieser Vertrag vor.

2. Begriffe

• Datenschutzrat / Datenschutzbehörde: der türkische Datenschutzrat (Kişisel Verileri Koruma Kurulu) / die türkische Datenschutzbehörde (Kişisel Verileri Koruma Kurumu).
• Verantwortlicher: wer über Zwecke und Mittel der Verarbeitung personenbezogener Daten entscheidet. Im Rahmen dieses Vertrags das Mitglied.
• Auftragsverarbeiter: wer personenbezogene Daten aufgrund der vom Verantwortlichen erteilten Befugnis in dessen Auftrag verarbeitet. Im Rahmen dieses Vertrags zuwinasa cloud.
• Unterauftragsverarbeiter: ein Drittanbieter, den zuwinasa cloud zur Erbringung der Dienste einsetzt und der Daten des Mitglieds verarbeitet.
• Gehostete Daten: personenbezogene Daten in den Websites, Datenbanken, Postfächern, Dateien und virtuellen Servern, die das Mitglied auf den Diensten hostet.
• Datenschutzverletzung: die unrechtmäßige Erlangung gehosteter Daten durch Dritte.

3. Umfang der Verarbeitung

3.1. Gegenstand und Zweck: Erbringung von Hosting-, E-Mail-, Domain- und damit verbundenen technischen Diensten. Dabei werden Daten gespeichert und gesichert, E-Mails zugestellt und gefiltert und die Sicherheit der Dienste gewährleistet.

3.2. Dauer: die Laufzeit des Dienstes nach den Nutzungsbedingungen zuzüglich der Löschfristen in Abschnitt 12.

3.3. Kategorien betroffener Personen: Besucher, Kunden, Mitglieder und Beschäftigte der Websites des Mitglieds, Beteiligte am E-Mail-Verkehr und sonstige Personen, deren Daten das Mitglied hostet.

3.4. Datenkategorien: alle Daten, die das Mitglied nach eigener Wahl hostet, zum Beispiel Identitäts-, Kontakt-, Kundenvorgangs-, Bestell-, E-Mail-Inhalts- und Sicherheitsdaten.

3.5. zuwinasa cloud prüft den Inhalt gehosteter Daten nicht und hat keine Kenntnis davon. Verarbeitet das Mitglied besondere Kategorien personenbezogener Daten, ist es selbst für die erforderlichen zusätzlichen Maßnahmen verantwortlich.

4. Weisungen

4.1. zuwinasa cloud verarbeitet gehostete Daten ausschließlich auf dokumentierte Weisung des Mitglieds. Als Weisungen des Mitglieds gelten:

• die Nutzungsbedingungen und dieser Vertrag,
• Handlungen des Mitglieds im Mitgliederpanel und im Control Panel (Plesk usw.),
• schriftliche Weisungen des Mitglieds über die Support-Kanäle.

4.2. Hält zuwinasa cloud eine Weisung für rechtswidrig, informiert es das Mitglied und kann die Ausführung ablehnen.

4.3. Ausgenommen sind Handlungen, die auf Anforderung zuständiger Behörden gesetzlich vorgeschrieben sind. Soweit gesetzlich nicht untersagt, informiert zuwinasa cloud das Mitglied darüber.

5. Vertraulichkeit

zuwinasa cloud stellt sicher, dass Beschäftigte und Hilfspersonen mit Zugriff auf gehostete Daten zur Vertraulichkeit verpflichtet sind. Ihr Zugriff ist auf das zur Erbringung des Dienstes Erforderliche beschränkt.

6. Sicherheitsmaßnahmen

zuwinasa cloud trifft nach Artikel 12 KVKK die in Anlage 2 aufgeführten technischen und organisatorischen Maßnahmen, um ein angemessenes Sicherheitsniveau zu gewährleisten. Das Mitglied ist für die Sicherheit in seinem eigenen Verantwortungsbereich zuständig, etwa dafür, Passwörter, Website-Software, Plugins und Themes aktuell und sicher zu halten und eigene Backups anzulegen.

7. Unterauftragsverarbeiter

7.1. Das Mitglied erteilt zuwinasa cloud die allgemeine Genehmigung, die in Anlage 1 aufgeführten Unterauftragsverarbeiter einzusetzen.

7.2. Mindestens 30 Tage bevor zuwinasa cloud einen Unterauftragsverarbeiter hinzufügt oder ersetzt, aktualisiert es diese Seite und benachrichtigt das Mitglied an seine hinterlegte E-Mail-Adresse.

7.3. Ein Mitglied, das der Änderung aus berechtigten Gründen widerspricht, kann den Dienst vor Wirksamwerden der Änderung kündigen. Erstattungen für den nicht genutzten Zeitraum richten sich nach den Bedingungen unter Lieferung und Erstattung.

7.4. zuwinasa cloud schließt mit seinen Unterauftragsverarbeitern Verträge, die im Wesentlichen das gleiche Schutzniveau wie die Pflichten aus diesem Vertrag bieten.

8. Übermittlung ins Ausland

8.1. Gehostete Daten werden in den in den Nutzungsbedingungen und in Anlage 1 genannten Ländern gespeichert und verarbeitet.

8.2. Übermittlungen an Unterauftragsverarbeiter im Ausland erfolgen mit den in Artikel 9 KVKK vorgesehenen geeigneten Garantien.

8.3. Das Mitglied ist verpflichtet, seine eigenen betroffenen Personen in seiner Datenschutzerklärung darüber zu informieren, dass ihre Daten im Ausland gehostet werden.

9. Anträge betroffener Personen

9.1. Geht bei zuwinasa cloud unmittelbar ein Antrag einer betroffenen Person ein, leitet zuwinasa cloud ihn spätestens innerhalb von fünf Werktagen an das Mitglied weiter; außer wenn gesetzlich vorgeschrieben, beantwortet es den Antrag nicht selbst.

9.2. Bei der Beantwortung von Anträgen kann das Mitglied über das Control Panel auf Daten zugreifen, sie berichtigen und löschen. Für Vorgänge, die im Panel nicht möglich sind, leistet zuwinasa cloud angemessene Unterstützung.

10. Datenschutzverletzungen

10.1. Stellt zuwinasa cloud eine Datenschutzverletzung fest, die gehostete Daten betrifft, informiert es das Mitglied unverzüglich, spätestens innerhalb von 24 Stunden, an seine hinterlegte E-Mail-Adresse.

10.2. Die Mitteilung enthält, soweit zu diesem Zeitpunkt bekannt, folgende Angaben:

• die Art der Verletzung,
• die betroffenen Systeme und Datenkategorien,
• die wahrscheinlichen Folgen,
• die ergriffenen und empfohlenen Maßnahmen,
• eine Kontaktperson.

10.3. Die Pflicht zur Meldung an den Datenschutzrat und an die betroffenen Personen liegt beim Mitglied als Verantwortlichem. Nach Beschluss Nr. 2019/10 des Datenschutzrats muss diese Meldung spätestens innerhalb von 72 Stunden erfolgen. zuwinasa cloud arbeitet dabei in angemessenem Umfang mit dem Mitglied zusammen.

11. Auskunft und Kontrollen

11.1. Auf angemessene Anfrage des Mitglieds stellt zuwinasa cloud die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen schriftlich bereit. Dazu gehört der Verweis auf öffentlich verfügbare Zertifikate und Berichte der Unterauftragsverarbeiter.

11.2. Wegen der gemeinsam genutzten Infrastruktur finden Vor-Ort-Kontrollen im Auftrag einzelner Mitglieder nicht statt. Die Kontrollrechte zuständiger Behörden bleiben unberührt.

12. Vertragsende und Löschung der Daten

12.1. Endet der Dienst aus beliebigem Grund, werden gehostete Daten nach Ablauf der Fristen in den Abschnitten 7 und 8 der Nutzungsbedingungen gelöscht: bei einem unbezahlten Webhosting-Dienst 15 Tage nach der Sperrung, bei einem virtuellen Server 3 Tage nach dem Anhalten.

12.2. Bei Webhosting-Diensten werden Kopien in den Infrastruktur-Backups im Rahmen des Backup-Zyklus, spätestens innerhalb von 3 Monaten, gelöscht. zuwinasa cloud sichert virtuelle Server nicht.

12.3. Das Mitglied ist dafür verantwortlich, seine Daten vor Ablauf dieser Fristen selbst herunterzuladen.

12.4. Verkehrsdaten nach Gesetz Nr. 5651 sowie nach Steuer- und Handelsrecht aufzubewahrende Unterlagen werden für die gesetzlich vorgeschriebenen Fristen gespeichert.

13. Haftung

13.1. Jede Partei haftet für Verstöße gegen ihre Pflichten aus diesem Vertrag im Verhältnis ihres Verschuldens. Die Haftungsbeschränkungen der Nutzungsbedingungen gelten, soweit gesetzlich zulässig, auch für diesen Vertrag.

13.2. Die gesamtschuldnerische Haftung nach Artikel 12 Absatz 2 KVKK bleibt unberührt. Im Innenverhältnis der Parteien richtet sich die Haftung nach dem Grad des Verschuldens. Die Rückgriffsregelung der Nutzungsbedingungen bleibt unberührt.

14. Laufzeit und Änderungen

14.1. Dieser Vertrag tritt mit der Annahme der Nutzungsbedingungen in Kraft und gilt nach Ende des Dienstes fort, bis die Löschungen nach Abschnitt 12 abgeschlossen sind.

14.2. zuwinasa cloud kann diesen Vertrag wegen Änderungen der Rechtslage oder der Dienste aktualisieren. Wesentliche Änderungen werden dem Mitglied an seine hinterlegte E-Mail-Adresse mitgeteilt.

Anlage 1: Unterauftragsverarbeiter

Anlage 2: Technische und organisatorische Maßnahmen

Technische Maßnahmen

• TLS-(SSL-)Verschlüsselung für die Panels und die Serververwaltung; TLS-Unterstützung für E-Mail-Verbindungen
• Automatische Sicherheitsupdates für Plesk und Betriebssystempakete; Kernel-Updates im Rahmen regelmäßiger Wartung
• Server-Firewall mit Standardregel „ablehnen“ und Fail2Ban gegen Brute-Force-Angriffe
• Web Application Firewall (ModSecurity)
• Tägliche Malware-Scans und Echtzeit-Virenschutz
• Jedes Hosting-Abonnement läuft unter einem eigenen Systembenutzer
• Passwortbasierte SSH-Anmeldung als root auf den Servern deaktiviert
• Verpflichtende Zwei-Faktor-Authentifizierung für das Verwaltungspanel
• Tägliche inkrementelle und wöchentliche vollständige Backups für Webhosting-Dienste sowie ein tägliches, mit AES-256 verschlüsseltes Backup des gesamten Servers
• DDoS- und Bot-Schutz für Domains, deren Nameserver in unserem Cloudflare-Konto verwaltet werden

Organisatorische Maßnahmen

• Zugriff auf gehostete Daten nur für befugte Personen und nur soweit der Dienst es erfordert

Physische Sicherheit: Die physische Sicherheit der Rechenzentren gewährleistet der jeweilige Unterauftragsverarbeiter in seiner eigenen zertifizierten Infrastruktur.