Auftragsverarbeitungsvereinbarung (DPA)

1. Vertragsparteien

Verantwortlicher (Data Controller) - der Kunde, der den SmartHomeEntry-Dienst nutzt und über die Zwecke und Mittel der Verarbeitung personenbezogener Daten seiner Endkunden entscheidet (z.B. ein Installateur von Smart-Home-Systemen, der 50 Kunden betreut).

Auftragsverarbeiter (Data Processor) - SmartHomeEntry, betrieben von [TODO vollständiger Name des Betreibers], [TODO Adresse], [TODO USt-IdNr. nach JDG-Registrierung - derzeit polnische nicht-registrierte Tätigkeit], der Netzwerk-Tunneling-Dienste erbringt.

Die DPA gilt, wenn der Verantwortliche den SmartHomeEntry-Dienst zur Verarbeitung personenbezogener Daten Dritter (z.B. seiner Endkunden) nutzt. Hobbyisten, die ausschließlich eigene und Familiendaten verarbeiten, sind nicht zur Akzeptanz der DPA verpflichtet, können dies jedoch freiwillig tun.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand: Tunneling von Netzwerkverkehr zwischen der Infrastruktur des Verantwortlichen und dem Internet über einen Reverse-SSH-Tunnel und den SmartHomeEntry-Relay-Server.

Dauer: für die Dauer des SmartHomeEntry-Abonnements des Verantwortlichen.

Art: technisch - der Auftragsverarbeiter ist „mere conduit" im Sinne des DSA. Er initiiert die Übertragung nicht, wählt den Empfänger nicht aus und verändert den Inhalt nicht.

Zweck: dem Verantwortlichen den Fernzugriff auf IT-Dienste (Home Assistant, Nextcloud, Jellyfin, NAS usw.) zu ermöglichen, die in der Infrastruktur der Endkunden des Verantwortlichen gehostet werden.

3. Arten personenbezogener Daten und Kategorien betroffener Personen

Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen die folgenden Kategorien personenbezogener Daten:

Technische Metadaten (vom Auftragsverarbeiter verarbeitet): IP-Adressen der Geräte, Zeitstempel der Verbindungen, Übertragungsvolumen (Bandbreite), Subdomain-Namen, Tunnel-Identifikatoren.

Getunnelte Daten (für den Auftragsverarbeiter transparent): jegliche vom Verantwortlichen durch den SSH-Tunnel übertragenen Daten - einschließlich potenziell personenbezogener Daten von Endkunden (z.B. Aufnahmen von Überwachungskameras, Audioaufnahmen, Smart-Home-Automatisierungen, Dateien in Nextcloud).

Kategorien betroffener Personen: Endkunden des Verantwortlichen, deren Familienmitglieder, Gäste in deren Häusern, ggf. Mitarbeiter/Subunternehmer des Verantwortlichen.

Der Auftragsverarbeiter entschlüsselt, protokolliert und analysiert den Inhalt des Tunnels nicht. Zugriff auf den Inhalt haben ausschließlich der Verantwortliche und seine autorisierten Endkunden.

4. Pflichten des Verantwortlichen

• Vorhandensein einer gültigen Rechtsgrundlage für die Verarbeitung personenbezogener Daten durch den Tunnel (Einwilligung des Endkunden, Auftragsverarbeitungsvertrag, berechtigtes Interesse).
• Information der Endkunden über die Übertragung der Verarbeitung ihrer Daten an den Auftragsverarbeiter (SmartHomeEntry) sowie Bereitstellung dieser DPA auf Anfrage.
• Sicherstellung, dass die Konfiguration der über den Tunnel bereitgestellten Dienste den geltenden Vorschriften (DSGVO, ePrivacy, nationale Regelungen) entspricht.
• Keine Bereitstellung von Diensten über den Tunnel, die einer besonderen Einwilligung bedürfen (z.B. Videoaufnahmen ohne Einwilligung der Aufgenommenen).

5. Pflichten des Auftragsverarbeiters (DSGVO Art. 28(3))

• Verarbeitung personenbezogener Daten nur auf dokumentierte Weisung des Verantwortlichen (AGB + DPA + Einstellungen im Kontopanel).
• Sicherstellung der Vertraulichkeit - Mitarbeiter und Subunternehmer des Auftragsverarbeiters sind zur Verschwiegenheit verpflichtet.
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen gemäß DSGVO Art. 32 (SSH-Verschlüsselung, Netzwerkisolierung, RLS in der Datenbank, Audit-Logs).
• Inanspruchnahme von Sub-Auftragsverarbeitern ausschließlich gemäß Abschnitt 6 dieser DPA.
• Unterstützung des Verantwortlichen bei der Wahrnehmung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Übertragbarkeit) im Rahmen der vom Auftragsverarbeiter gehaltenen Metadaten.
• Benachrichtigung des Verantwortlichen über Verletzungen des Schutzes personenbezogener Daten innerhalb von höchstens 48 Stunden nach Entdeckung.
• Rückgabe oder Löschung personenbezogener Daten nach Beendigung der Diensterbringung (Abschnitt 9).
• Bereitstellung der zum Nachweis der Einhaltung erforderlichen Informationen für den Verantwortlichen sowie Ermöglichung von Audits (Abschnitt 8).

6. Sub-Auftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Zustimmung zur Nutzung der folgenden Sub-Auftragsverarbeiter durch den Auftragsverarbeiter (Kategorie der übertragenen Daten in Klammern):

• Stripe, Inc. (Zahlungen, Rechnungen) - Irland/USA, Standard Contractual Clauses
• Resend (Transaktions-E-Mails) - EU
• Supabase (Datenbank, Authentifizierung) - Frankfurt, EU
• OVH Sp. z o.o. (Anwendungs- und Relay-Hosting) - Warschau, EU
• PostHog (Analytics, opt-in) - Frankfurt, EU
• Cloudflare, Inc. (DNS, CDN, Angriffsschutz; terminiert TLS für Tunnel-Subdomains und verarbeitet damit den Verkehr, der zu Ihrem Server durchgeleitet wird) - USA/global, Standard Contractual Clauses

Der Auftragsverarbeiter informiert den Verantwortlichen per E-Mail über eine geplante Änderung der Liste der Sub-Auftragsverarbeiter mit einer Vorlaufzeit von 30 Tagen. Der Verantwortliche kann begründeten Widerspruch einlegen - in diesem Fall schlägt der Auftragsverarbeiter eine alternative Lösung vor oder der Verantwortliche kann den Vertrag kündigen.

Der Auftragsverarbeiter haftet für die Handlungen der Sub-Auftragsverarbeiter wie für eigene Handlungen.

7. Internationale Übermittlungen

Die Hauptinfrastruktur des Auftragsverarbeiters befindet sich in der Europäischen Union (Frankfurt). Übermittlungen in die USA (Stripe) erfolgen auf Grundlage der von der Europäischen Kommission genehmigten Standard Contractual Clauses (SCC) sowie zusätzlicher Schutzmaßnahmen (Schrems II compliance). Der Auftragsverarbeiter übermittelt keine personenbezogenen Daten in Drittländer, die nicht ohne SCC als sicher eingestuft sind.

8. Sicherheitsmaßnahmen (Anhang I)

Der Auftragsverarbeiter implementiert und unterhält die folgenden technischen und organisatorischen Maßnahmen:

Verschlüsselung: SSH (OpenSSH ≥ 8.0) für Tunnel, TLS 1.2+ für HTTPS, bcrypt/argon2 für Passwörter, AES-256 at rest für Supabase-Datenbanken.

Zugriffskontrolle: Row-Level Security (RLS) in PostgreSQL, MFA für Administratoren des Auftragsverarbeiters, rollenbasierter Zugriff (admin/user).

Isolation: SSH-Tunnel an 127.0.0.1 auf dem Relay gebunden, keine öffentliche Exposition dynamischer Ports, nginx als einziger öffentlicher Entrypoint.

Monitoring: unveränderbare Audit-Logs (insert-only), Erkennung von Bandbreitenanomalien, 24/7-Alarme für kritische Vorfälle.

Backup: tägliche Datenbank-Snapshots mit 30-tägiger Aufbewahrung, encrypted at rest, vierteljährliche Wiederherstellungstests.

Reaktion auf Vorfälle: 4 Std. für kritische Fälle (CSAM, breach), 24 Std. für hohe Fälle (Malware), On-Call-Team rund um die Uhr.

Der Verantwortliche kann einmal jährlich kostenlos Audit-Dokumentation (SOC2/ISO27001-compatible) anfordern. On-Site-Audits - auf Kosten des Verantwortlichen, mit 30 Tagen Vorlauf, während der Geschäftszeiten.

9. Rückgabe oder Löschung der Daten

Nach Beendigung der Diensterbringung (Abonnementkündigung, Kontosperrung) löscht der Auftragsverarbeiter innerhalb von 30 Tagen: alle personenbezogenen Daten des Verantwortlichen aus den Produktionsdatenbanken; löscht Tunnel-Metadaten; bewahrt ausschließlich gesetzlich vorgeschriebene Daten auf (Rechnungen - 5 Jahre gemäß polnischem Rechnungsführungsgesetz, Metadaten-Logs - 12 Monate gemäß polnischem Telekommunikationsrecht). Backups laufen am 30. Tag nach der Löschung aus der Produktion natürlich ab.

10. Verletzungen des Datenschutzes

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über eine Verletzung innerhalb von höchstens 48 Stunden nach Entdeckung. Die Benachrichtigung enthält: Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen, Kategorien der Daten, wahrscheinliche Folgen, ergriffene Abhilfemaßnahmen. Der Verantwortliche ist für die Meldung an die Aufsichtsbehörde (polnische Datenschutzbehörde (UODO)) innerhalb von 72 Stunden sowie für die Information betroffener Personen, soweit erforderlich, verantwortlich.

11. Haftung

Die Gesamthaftung des Auftragsverarbeiters gegenüber dem Verantwortlichen wegen Verletzung der DPA ist auf den Betrag der vom Verantwortlichen für die letzten 12 Monate der Diensterbringung gezahlten Gebühren begrenzt. Die Begrenzung gilt nicht für vorsätzliche Verletzungen oder grobe Fahrlässigkeit. Jede Partei trägt ihre eigene Haftung gegenüber Aufsichtsbehörden und betroffenen Personen für ihr zurechenbare Verletzungen.

12. Kündigung

Die DPA endet mit der Beendigung der Diensterbringung gegenüber dem Verantwortlichen. Bestimmungen zur Vertraulichkeit, Rückgabe/Löschung der Daten und Haftung gelten auch nach Beendigung der DPA.

13. Anwendbares Recht und Gerichtsstand

Diese DPA unterliegt polnischem Recht und der DSGVO. Zuständiges Gericht: das für den Sitz des Auftragsverarbeiters zuständige Gericht. Streitigkeiten können auch zur Mediation vor den Aufsichtsbehörden (polnische Datenschutzbehörde (UODO)) gebracht werden.

14. Kontakt

Fragen zur DPA, Inspektionen, Meldungen von Verletzungen - DPO des Auftragsverarbeiters: [email protected]