DSGVO Art. 28 — Unser AVV steht bereit

Sobald du auf einem Server von CTS-Hosting personenbezogene Daten speicherst, etwa Kundendaten deines Shops, Nutzerkonten deiner App oder Logdateien mit IP-Adressen, verarbeiten wir diese Daten in deinem Auftrag. Die DSGVO verlangt dafür in Art. 28 einen Auftragsverarbeitungsvertrag, kurz AVV. Unseren AVV findest du vollständig unter cts-hosting.com/avv.

Wer ist wofür verantwortlich?

Du bist der Verantwortliche: Du entscheidest, welche Daten du auf deinem Server verarbeitest und wofür. Wir sind der Auftragsverarbeiter: Wir stellen die Infrastruktur bereit und verarbeiten die Daten nur nach deiner dokumentierten Weisung. Das betrifft den Betrieb von KVM-, Storage- und Game-Servern, die Speicherung deiner Daten, die Übertragung über unser Netzwerk, gebuchte Backups und Snapshots sowie die Zugriffsverwaltung im Kundenpanel.

Wozu wir uns verpflichten

• Daten nur nach deiner Weisung verarbeiten, auch bei Übermittlungen in Drittländer.
• Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
• Technische und organisatorische Maßnahmen nach Art. 32 DSGVO umsetzen.
• Dich unterstützen, wenn betroffene Personen ihre Rechte nach Art. 15 bis 22 DSGVO geltend machen.
• Nach Vertragsende alle Daten nach deiner Wahl löschen oder zurückgeben.
• Dir alle Informationen bereitstellen, die du als Nachweis brauchst.

Meldung innerhalb von 24 Stunden

Bei einer Datenpanne informieren wir dich unverzüglich, spätestens aber 24 Stunden nachdem wir davon erfahren. Das gilt auch für Anfragen von Aufsichtsbehörden oder betroffenen Personen, die deine Daten betreffen. Die kurze Frist ist Absicht: Du musst eine Panne nach Art. 33 DSGVO innerhalb von 72 Stunden an die Aufsichtsbehörde melden. Würden wir diese Frist selbst ausschöpfen, bliebe dir keine Zeit mehr. Die Meldung erhältst du per E-Mail und im Kundenpanel unter „Einstellungen → Sicherheit“.

Ausgewählte Schutzmaßnahmen

• Zwei-Faktor-Authentifizierung mit TOTP, Passkeys und Backup-Codes sowie rollenbasierte Zugriffsrechte.
• Alle Verbindungen sind per TLS 1.2 oder 1.3 verschlüsselt, HTTPS wird per HSTS erzwungen.
• Zugangsdaten wie TOTP-Secrets, SSH-Schlüssel und Server-Passwörter werden mit AES-256-GCM verschlüsselt gespeichert.
• Passwörter liegen nur als bcrypt-Hash vor, Sitzungstoken nur als Hash.
• Hochgeladene Dateien werden vor dem Speichern auf Viren und versteckte Skripte geprüft.

Unterauftragsverarbeiter

Für einzelne Aufgaben setzen wir Dienstleister ein, zum Beispiel für Rechenzentrum, Zahlungsabwicklung, E-Mail-Versand und DDoS-Schutz. Die vollständige Liste mit Sitz und Rechtsgrundlage für die Übermittlung steht im AVV. Planen wir eine Änderung, erfährst du davon mindestens 30 Tage im Voraus.

Kontrollrecht

Du darfst prüfen, ob wir die Vereinbarungen einhalten. Audits kündigst du mindestens vier Wochen vorher an, sie finden während der üblichen Geschäftszeiten statt. Alternativ können Prüfberichte oder Zertifizierungen als gleichwertiger Nachweis dienen.

Fragen zum AVV oder zum Datenschutz? Die Kontaktadresse findest du am Ende des AVV unter cts-hosting.com/avv.