Auftragsverarbeitungsvertrag

1. Geltungsbereich und Annahme

1.1. Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Vision Digitale TI Inc. („VDTI“, „Auftragsverarbeiter“) und dem Geschäftskunden („Kunde“, „Verantwortlicher“).

1.2. Er gilt, wenn VDTI Personenbezogene Kundendaten im Auftrag des Kunden verarbeitet und ein Datenschutzgesetz auf diese Verarbeitung anwendbar ist. „Datenschutzgesetz“ bezeichnet, soweit anwendbar: die DSGVO (Verordnung (EU) 2016/679); die UK GDPR und den UK Data Protection Act 2018; das Schweizer Bundesgesetz über den Datenschutz; das Gesetz von Québec über den Schutz personenbezogener Daten im Privatsektor (Act respecting the protection of personal information in the private sector); den kanadischen Personal Information Protection and Electronic Documents Act; sowie Datenschutzgesetze von US-Bundesstaaten, einschließlich des California Consumer Privacy Act.

1.3. Der Kunde nimmt diesen AVV mit der Annahme der Nutzungsbedingungen an. Ein Kunde, der ein gegengezeichnetes Exemplar benötigt, kann es unter privacy@nodelodge.com anfordern.

2. Begriffsbestimmungen

• Personenbezogene Kundendaten: personenbezogene Daten in Kundeninhalten, die VDTI im Auftrag des Kunden verarbeitet.
• Unterauftragsverarbeiter: ein von VDTI beauftragter Dritter, der Personenbezogene Kundendaten verarbeiten kann, einschließlich der Secure-Infrastrukturpartner und der Community-Hosts.
• Verletzung des Schutzes personenbezogener Daten: eine Verletzung der Sicherheit, die, ob unbeabsichtigt oder unrechtmäßig, zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von beziehungsweise zum unbefugten Zugang zu Personenbezogenen Kundendaten führt, einschließlich eines „Vertraulichkeitsvorfalls“ (confidentiality incident) nach dem Recht von Québec.
• SCC: die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission genehmigten Standardvertragsklauseln.
• UK-Addendum: das vom UK Information Commissioner herausgegebene International Data Transfer Addendum zu den SCC.

Andere großgeschriebene Begriffe haben die Bedeutung, die ihnen in den Nutzungsbedingungen oder im Datenschutzgesetz zukommt.

3. Rollen

3.1. Für Personenbezogene Kundendaten ist der Kunde der Verantwortliche (oder ein Auftragsverarbeiter, der für seinen eigenen Verantwortlichen handelt) und VDTI der Auftragsverarbeiter beziehungsweise Dienstleister (service provider) nach den Gesetzen der US-Bundesstaaten.

3.2. Für Konto-, Abrechnungs-, Sicherheits- und Websitedaten ist VDTI eigenständiger Verantwortlicher, wie in der Datenschutzerklärung beschrieben. Dieser AVV gilt nicht für diese Daten.

4. Weisungen

4.1. VDTI verarbeitet Personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden; diese Weisungen sind die Nutzungsbedingungen, dieser AVV sowie die Nutzung und Konfiguration des Dienstes durch den Kunden, einschließlich der Stufe und des Landes jeder Sitzung. VDTI befolgt weitere schriftliche Weisungen, die mit den Nutzungsbedingungen vereinbar sind.

4.2. Ist VDTI gesetzlich zu einer anderen Verarbeitung Personenbezogener Kundendaten verpflichtet, teilt VDTI dies dem Kunden vorher mit, sofern das Gesetz eine solche Mitteilung nicht verbietet.

4.3. VDTI informiert den Kunden, wenn eine Weisung nach Auffassung von VDTI gegen das Datenschutzgesetz verstößt.

4.4. Als Dienstleister nach den Gesetzen der US-Bundesstaaten verkauft VDTI Personenbezogene Kundendaten nicht und gibt sie nicht weiter (sell or share), speichert, verwendet oder offenbart sie nicht außerhalb der unmittelbaren Geschäftsbeziehung mit dem Kunden oder zu einem anderen Zweck als der Erbringung des Dienstes und führt sie nicht mit anderen Daten zusammen, soweit diese Gesetze es nicht erlauben.

4.5. Der Kunde ist für die Rechtmäßigkeit seiner Weisungen verantwortlich, einschließlich seiner Rechtsgrundlage, der Information der betroffenen Personen und der Wahl von Stufe und Land. Der Kunde verarbeitet auf Community keine der in Abschnitt 5 der Bedingungen für den Community-Dienst aufgeführten Datenkategorien.

5. Vertraulichkeit und Sicherheit

5.1. VDTI stellt sicher, dass die zur Verarbeitung Personenbezogener Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind.

5.2. VDTI trifft die technischen und organisatorischen Maßnahmen gemäß Anlage 2. VDTI darf sie anpassen, sofern das Gesamtschutzniveau nicht sinkt.

5.3. Der Kunde erkennt die in den Bedingungen für den Secure-Dienst und den Bedingungen für den Community-Dienst beschriebenen Sicherheitsmerkmale jeder Stufe an, insbesondere, dass ein Community-Host den physischen Zugriff und den Administratorzugriff auf seine Maschine behält.

6. Unterauftragsverarbeiter

6.1. Der Kunde erteilt VDTI eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die eingesetzten Unterauftragsverarbeiter sind nach Kategorie und Land auf unserer Seite Unterauftragsverarbeiter aufgeführt, die Anlage 3 bildet. Community-Hosts werden je Sitzung beauftragt, aus dem Kreis der geprüften Hosts in dem vom Kunden gewählten Land.

6.2. VDTI erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die mindestens das gleiche Schutzniveau wie dieser AVV bieten, soweit sie auf seine Leistung anwendbar sind. VDTI haftet gegenüber dem Kunden für die Erfüllung dieser Pflichten durch seine Unterauftragsverarbeiter.

6.3. VDTI kündigt mindestens 30 Tage im Voraus an, bevor eine neue Kategorie von Unterauftragsverarbeitern oder ein Unterauftragsverarbeiter in einem neuen Land beginnt, Personenbezogene Kundendaten zu verarbeiten, indem VDTI die Seite Unterauftragsverarbeiter und deren Feed aktualisiert und Kunden, die sich angemeldet haben, per E-Mail informiert. Der Kunde kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben. Können die Parteien den Einspruch nicht ausräumen, kann der Kunde die Nutzung des betroffenen Teils des Dienstes einstellen oder die Nutzungsbedingungen beenden und die Erstattung des nicht verbrauchten gekauften Guthabens erhalten.

7. Verletzung des Schutzes personenbezogener Daten

7.1. VDTI benachrichtigt den Kunden unverzüglich, spätestens 48 Stunden nachdem VDTI eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist.

7.2. Die Benachrichtigung beschreibt, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen und nennt eine Kontaktstelle. VDTI ergänzt sie, sobald weitere Informationen vorliegen.

7.3. VDTI erfasst jede Verletzung des Schutzes personenbezogener Daten in seinem Vorfallsverzeichnis und unterstützt den Kunden bei dessen eigenen Meldungen.

7.4. Eine Benachrichtigung ist kein Schuldeingeständnis.

8. Unterstützung

8.1. Unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen unterstützt VDTI den Kunden bei der Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen sowie bei der Erfüllung seiner Pflichten zur Sicherheit und zu Verletzungen.

8.2. VDTI greift nicht auf Kundeninhalte zu. Anträge zu Personenbezogenen Kundendaten bearbeitet der Kunde unmittelbar auf seinen Maschinen, während die Sitzung läuft.

9. Internationale Übermittlungen

9.1. Personenbezogene Kundendaten werden im Land der vom Kunden gewählten Maschine verarbeitet, das vor dem Start angezeigt wird, und durchlaufen das Sitzungs-Relay sowie die Netzbetreiber zwischen dem Kunden und der Maschine.

9.2. Übermittlungen aus der EU. Soweit die Verarbeitung durch VDTI eine Übermittlung von Personenbezogenen Kundendaten, die der DSGVO unterliegen, in ein Land ohne Angemessenheitsbeschluss umfasst, werden die SCC durch Verweis einbezogen: Modul Zwei, wenn der Kunde Verantwortlicher ist, Modul Drei, wenn er Auftragsverarbeiter ist. Klausel 7 findet Anwendung. Nach Klausel 9 Buchstabe a gilt Option 2 mit der Frist nach Abschnitt 6.3. Die optionale Formulierung in Klausel 11 Buchstabe a findet keine Anwendung. Nach den Klauseln 17 und 18 gelten das Recht und die Gerichte Irlands. Anhang I wird durch Anlage 1 dieses AVV ausgefüllt, Anhang II durch Anlage 2 und Anhang III durch die Seite Unterauftragsverarbeiter. Übermittlungen nach Kanada stützen sich auf den Angemessenheitsbeschluss für Kanada.

9.3. Übermittlungen aus dem Vereinigten Königreich. Für Übermittlungen, die der UK GDPR unterliegen, gilt das UK-Addendum, ergänzt um die Angaben dieses AVV. Jede Partei kann es beenden, soweit dessen Tabelle 4 dies zulässt.

9.4. Übermittlungen aus der Schweiz. Für Übermittlungen, die dem Schweizer Bundesgesetz über den Datenschutz unterliegen, gelten die SCC mit den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten verlangten Anpassungen: Der Beauftragte ist die zuständige Behörde, und „Mitgliedstaat“ umfasst die Schweiz.

9.5. Übermittlungen aus Québec. Bevor VDTI Personenbezogene Kundendaten außerhalb von Québec übermittelt, führt VDTI für seine eigenen Übermittlungen an Unterauftragsverarbeiter die nach dem Recht von Québec erforderliche Datenschutz-Folgenabschätzung durch und stützt sich auf eine schriftliche Vereinbarung mit jedem von ihnen.

10. Audits

10.1. Auf schriftliches Verlangen, höchstens einmal jährlich, stellt VDTI die Informationen bereit, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen, etwa eine Beschreibung seiner Maßnahmen und Antworten auf einen Sicherheitsfragebogen.

10.2. Reichen diese Informationen nicht aus oder verlangt eine Aufsichtsbehörde es, kann der Kunde auf eigene Kosten ein Audit durchführen, mit einer Ankündigungsfrist von 30 Tagen, während der Geschäftszeiten, unter Wahrung der Vertraulichkeit, ohne Zugang zu Daten anderer Kunden oder zu Einrichtungen von Unterauftragsverarbeitern über das hinaus, was deren eigene Bedingungen erlauben. Die Parteien vereinbaren den Umfang im Voraus.

11. Löschung und Rückgabe

11.1. Kundeninhalte werden am Ende jeder Sitzung gelöscht: Secure-Maschinen und ihre Datenträger werden beim Partner gelöscht, und die Löschung wird bestätigt; Community-Arbeitsdatenträger werden durch Löschen ihres Verschlüsselungsschlüssels unlesbar gemacht und anschließend gelöscht. VDTI bewahrt keine Sicherungen von Maschinen auf.

11.2. Der Kunde kopiert die benötigten Daten vor dem Ende jeder Sitzung. VDTI bewahrt nach dem Ende einer Sitzung keine Personenbezogenen Kundendaten auf, soweit das Gesetz es nicht verlangt.

12. Haftung, Laufzeit und Vorrang

12.1. Die Haftungsbeschränkungen der Nutzungsbedingungen gelten für diesen AVV, soweit das Datenschutzgesetz oder die SCC dies nicht ausschließen.

12.2. Dieser AVV gilt, solange VDTI Personenbezogene Kundendaten verarbeitet.

12.3. Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen hat dieser AVV Vorrang. Bei Widersprüchen mit den SCC oder dem UK-Addendum haben diese Vorrang.

Anlage 1. Beschreibung der Verarbeitung

Anlage 2. Technische und organisatorische Maßnahmen

Alle Sitzungen

• Jede Sitzung läuft in einer ihr zugewiesenen virtuellen Maschine, deren GPUs ausschließlich dieser VM zugeordnet sind.
• SSH-Zugang mit dem öffentlichen Schlüssel des Kunden, nur für diese Sitzung installiert. VDTI installiert keinen eigenen Schlüssel und meldet sich nicht an.
• Ausgehender TCP-Port 25 gesperrt.
• Budgetbasierte Beendigung und Löschung am Ende jeder Sitzung; Löschungen werden bestätigt und bis zur Bestätigung wiederholt; verbliebene Maschinen werden erkannt und gelöscht.

Secure

• Maschinen in Rechenzentren von Partnern mit physischer Zutrittskontrolle.
• Firewall vor jeder Maschine, die eingehendes SSH nur von der IP-Adresse oder dem IP-Bereich des Kunden zulässt.

Community

• Micro-VM je Sitzung, auf dem Host isoliert (jailed), mit ausschließlich an sie durchgereichter GPU.
• Signiertes, schreibgeschütztes Systemabbild, blockweise verifiziert.
• Arbeitsdatenträger innerhalb der VM verschlüsselt; der Schlüssel wird von der Plattform über einen verschlüsselten Tunnel übermittelt, nie auf den Datenträger des Hosts geschrieben und am Ende der Sitzung vernichtet.
• Kein eingehender Port auf dem Host; Zugang über das Node Lodge Relay.
• Prüfung der Hosts vor der Listung; vertragliches Verbot des Zugriffs auf Sitzungen; Netzwerkaufzeichnungen ausschließlich mit Metadaten zur Missbrauchsbearbeitung.

Plattform

• Plattform und Datenbank in Kanada gehostet; Datenbank nicht aus dem Internet erreichbar; Serververwaltung ausschließlich über ein privates Netzwerk.
• Verschlüsselung bei der Übertragung für Website, Konsole, API, Agents und Relay.
• Passwörter mit argon2id gehasht; Tokens, Links, Kopplungscodes, API-Schlüssel und Wiederherstellungscodes als Hashes gespeichert; Authenticator-Geheimnisse mit AES-256-GCM verschlüsselt.
• Verpflichtende Zwei-Faktor-Authentifizierung für Administratoren von VDTI, ein kürzlich bestätigter zweiter Faktor, eine Begründung und ein Audit-Eintrag für jede administrative Änderung.
• Sitzungs-Cookie mit HttpOnly, Secure, SameSite=Strict, auf unseren Host beschränkt; Herkunftsprüfungen gegen websiteübergreifende Anfragen.
• API-Schlüssel begrenzt durch Berechtigungsbereich, Ablaufdatum, Ausgabenlimits und Parallelitätslimits.
• Nur erweiterbares (append-only) Aktivitätsprotokoll und Buchungsjournal.
• Protokolle bereinigt um Passwörter, Cookies, Authorization-Header, Signaturen und Tokens.
• Tägliche Datenbanksicherungen mit einer externen Kopie in einem privaten Bucket, unter einem auf diesen Bucket beschränkten Schlüssel.
• Vorfallsverfolgung, ein Notschalter (Kill Switch) für neue Secure-Starts und ein Verzeichnis der Vertraulichkeitsvorfälle.

Anlage 3. Unterauftragsverarbeiter

Siehe die Seite Unterauftragsverarbeiter.