etracker GmbH

Vereinbarung für die Verarbeitung personenbezogener Daten im Auftrag
der
etracker GmbH
Erste Brunnenstraße 1
20459 Hamburg
Germany / Deutschland
- nachfolgend „datenverarbeitende Stelle“ genannt
gegenüber
- nachfolgend „Auftraggeber“ genannt –
Einleitung
etracker übernimmt für die Dauer der Vertragsbeziehung über Dienste und Leistungen von etracker
als Dienstleister des Auftraggebers die Erhebung und Analyse von Daten über die Nutzung eines
oder mehrerer Internetangebote des Auftraggebers. Zweck der Datenverarbeitung ist – je nach dem
mit dem Kunden vereinbarten Leistungsumfang - die Bereitstellung von Marktforschungsfunktionen
und die Bereitstellung von Analysen und Auswertungen über die Nutzung des/der
Internetangebote(s). Diese Vereinbarung regelt die datenschutzrechtlichen Verpflichtungen von
etracker, soweit etracker als Auftragsdatenverarbeiter im Sinne von § 11 des
Bundesdatenschutzgesetzes (BDSG) für den Auftraggeber tätig wird. Diese Vereinbarung definiert
die Mindeststandards, die etracker einzuhalten hat. Die Rechte und Pflichten der Parteien aus der
Vereinbarung über die Benutzung der Produkte und Leistungen von etracker bleiben unberührt.
1.
etracker verpflichtet sich, alle im Rahmen der Vertragsabwicklung bekanntgewordenen oder bekannt
werdenden personenbezogenen Daten des Auftraggebers und der Nutzer der Internetdienste des
Auftraggebers geheim zu halten und strengstes Stillschweigen gegenüber Dritten zu wahren. Dies gilt
sowohl für Daten, die etracker vom Kunden übermittelt werden als auch für Daten, welche etracker im
Rahmen der Vertragsabwicklung erhebt oder generiert. Daten und Datenträger, welche etracker vom
Kunden erhält oder die in anderer Form in den Verfügungsbereich etracker gelangen, werden
ausschließlich für die im Hauptvertrag beschriebenen Leistungen verwendet. Jegliche andere
Nutzung von Datenträgern und Daten ist ausdrücklich untersagt. Zu den Datenträgern gehören auch
Duplikate sowie fehlerhafte Arbeitsergebnisse.
Hauptgeschäftsstelle / Head Office
etracker GmbH
Erste Brunnenstraße 1
20459 Hamburg
Germany
Tel:
+49 40 55 56 59 50
Fax: +49 40 55 56 59 59
E-Mail: [email protected]
Web: www.etracker.com
Handelsregister / Commercial register
Sitz / Registered office: Hamburg
Registergericht / Register court:
Amtsgericht Hamburg
Register Nr.: HRB 86629
Geschäftsführer / General Manager
Olaf Brandt
Steuernummern / Tax IDs
StNr. / Tax ID: 48/719/01819
USt-IdNr. / VAT ID: DE813617165
Bankverbindung / Bank details
Commerzbank Hamburg
BLZ: 200 400 00
Konto: 232 11 23
IBAN: DE83200400000232112300
BIC: COBADEFFXXX
2.
etracker ist gemäß § 11 BDSG verpflichtet, personenbezogene Daten ausschließlich gemäß den
Weisungen des Auftraggebers zu verarbeiten, zu erheben oder zu generieren. Ist etracker der
Ansicht, dass eine Weisung des Auftraggebers gegen dieses Gesetz oder andere Vorschriften über
den Datenschutz verstößt, wird etracker den Auftraggeber darauf hinweisen.
3.
etracker verpflichtet sich, bei der Verarbeitung personenbezogener Daten ausschließlich Personal
einzusetzen, das auf das Datengeheimnis nach § 5 BDSG verpflichtet und auf die rechtlichen Folgen
einer Pflichtverletzung hingewiesen worden ist. etracker ist berechtigt, für Teile der Leistungen Dritte
als technische Dienstleister heranzuziehen (z.B. für den Betrieb von Rechenzentren), wobei die
Verantwortlichkeit von etracker für die Einhaltung der datenschutzrechtlichen Bestimmungen durch
Erfüllungsgehilfen von etracker unberührt bleibt. Auf Anforderung des Kunden benennt etracker die
einbezogenen Dritten gegenüber dem Kunden.
4.
etracker verpflichtet sich, die Grundsätze ordnungsgemäßer Datenverarbeitung zu beachten und ihre
Einhaltung zu überwachen. etracker stellt durch entsprechende Maßnahmen sicher, dass im
Einflussbereich von etracker personenbezogene Daten des Auftraggebers vor Einsichtnahme durch
Unbefugte sowie gegen unbefugte Veränderung, unbefugte Löschung und Entwendung bzw.
unbefugtes Kopieren geschützt sind. Namentlich beinhalten entsprechende Maßnahmen
insbesondere:






Festlegung bzw. Einsatz von Sicherheitsmaßnahmen nach dem Stand der Technik,
Vorhandensein entsprechender baulicher Voraussetzungen,
Verwendung geprüfter und als sicher anerkannter Software,
zugriffssichere Aufbewahrung der Daten,
Instruktion, Überwachung und Schulung der Mitarbeiter
regelmäßige Kontrolle und Aktualisierung getroffener Maßnahmen
Im Rahmen der Vorschrift der §§ 4f, 4g BDSG werden dem Datenschutzbeauftragten des
Auftraggebers oder dessen Bevollmächtigten Überwachungsrechte bei etracker eingeräumt, die in
Abstimmung mit dem Datenschutzbeauftragten von etracker wahrgenommen werden können.
etracker gewährleistet die im Rahmen der ordnungsgemäßen Abwicklung der Arbeiten erforderlichen
Sicherheitsmaßnahmen gemäß § 9 BDSG nebst der Anlage zu § 9 BDSG. Die Maßnahmen
entsprechen dem als Anlage beigefügten Verfahrensverzeichnis.
5.
Etwaig anfallendes Test- und Ausschussmaterial sowie nicht mehr benötigte Unterlagen und
Datenträger werden von etracker unter Verschluss gehalten. Die im Auftrag des Auftraggebers von
etracker verarbeiteten personenbezogenen Daten werden bei Ende der Auftragsbeziehung
datenschutzgerecht vernichtet werden. Etwaig vom Auftraggeber an etracker übergebene
Datenträger werden dem Auftraggeber zurückgegeben.
6.
etracker wird den Auftraggeber bei datenschutzrelevanten Störungen des Betriebsablaufes oder dem
Verdacht auf Datenschutzverletzungen und entsprechenden Verarbeitungsrisiken unverzüglich
informieren.
etracker-Kunden können diese Vereinbarung mit etracker schließen, indem sie dieses Dokument
ausdrucken, datieren und unterzeichnen und ein Exemplar an etracker per Brief oder Fax: +49 (0) 40
55 56 59 59) zurücksenden. etracker ist an den Vertragsantrag gebunden, solange diese Version der
Vereinbarung aktuell ist, d.h. dem Kunden über seinen etracker-Account zum Abruf bereit gestellt
wird.
Diese Version ist: Version 1.03 / Stand 15.10.2016
Diese Vereinbarung verliert Ihre Gültigkeit, wenn der Auftraggeber nicht mehr etracker-Kunde ist und
etracker ihren Verpflichtungen aus dieser Vereinbarung mit Hinblick auf die Verpflichtungen nach
Auftragsende (vgl. oben Nr. 5.) nachgekommen ist. Im Übrigen kann jede Partei diese Vereinbarung
schriftlich kündigen.
Hamburg, den
………………………………
(Ort, Datum)
………………………………
für die etracker GmbH
Olaf Brandt (Geschäftsführer)
………………………………......................................................
Name und Position
des Unterzeichners
………………………………
(Ort, Datum)
………………………………
für den Auftraggeber
……………………………….............................
Name und Position
des Unterzeichners
Seite 3 von 6
Verfahrensverzeichnis (§ 4 g Abs. 2 BDSG)
I. Angaben zur verantwortlichen Stelle (§ 4e Satz 1 Nr. 1-3 BDSG)
1.
Name oder Firma der verantwortlichen Stelle:
etracker GmbH
1.1.
Leiter der verantwortlichen Stelle und der Datenverarbeitung:
Olaf Brandt (Geschäftsführer)
1.2.
Bei verantwortlicher Stelle in Drittland: Im Inland ansässiger Vertreter:
./.
1.3.
Anschrift der verantwortlichen Stelle:
Erste Brunnenstraße 1, 20459 Hamburg
1.4.
Betrieblicher Datenschutzbeauftragter:
Lars Firzlaff
II. Angaben zu den Verfahren automatisierter Verarbeitung (§ 4e Satz 1 Nr. 4-8
BDSG)
2.1. Zweckbestimmung der Datenerhebung, -verarbeitung oder -nutzung:
Verarbeitung von IP-Adressen im Rahmen der Nutzung von etracker Applikationen im Kundenauftrag.
2.2. Beschreibung der betroffenen Personengruppen und der diesbezüglichen Daten oder
Datenkategorien:
Personengruppe
Besucher von Kundenwebsites in den Fällen, in
welchen der Kunde die voreingestellte
Datenschutzkonformität abgestellt hat.
Daten/Datenkategorie
IP-Adresse
Anmerkung: weitere personenbezogene Daten
werden nicht erhoben oder verarbeitet, sondern
lediglich pseudonymisierte Nutzungsdaten.
2.3. Empfänger oder Kategorien von Empfängern, denen die Daten mitgeteilt werden können:
Ausschließlich der jeweilige etracker-Kunde und ggf. vom Kunden autorisierte Personen.
Seite 4 von 6
2.4. Regelfristen für die Löschung der Daten:
Die Löschung der Daten erfolgt spätestens vier Wochen nach Vertragsende.
2.5. Geplante Datenübermittlung in Drittstaaten
Geplant:
Ja
Zweck
Nein
Daten/Datenkategorie
Länder/Länderkategorie
III. Sicherheitsmaßnahmen
3.1 Art der eingesetzten DV-Anlagen und Software
-
SQL (oder ähnliche) Datenbanken
-
UNIX basiertes Betriebssystem
-
etracker Applikationen
Das Rechenzentrum von etracker wird von der Firma IPHH Internet Port Hamburg GmbH
am Standort Wendenstraße 408, 20537 Hamburg im Auftrag von etracker betrieben. Dabei stellt
IPHH die Internetanbindung sowie die physische Unterbringung der etracker Server in sogenannten
Racks (Serverschränken) zur Verfügung. Die Racks sind auf dem Gelände von IPHH untergebracht
und werden von etracker angemietet. Die Server-Hardware wird von etracker beschafft, konfiguriert,
im Rack installiert und gewartet sowie ggf. entsorgt. Folgende Sicherungsmaßnahmen werden von
IPHH bzw. etracker ergriffen.
3.2 Maßnahmen nach § 9 BDSG i.V.m. der Anlage dazu
Zutrittskontrolle:
Der Zutritt zum Rechenzentrum ist nur für vorher festgelegte Personen möglich. Zutritt erhält man nur
über eine berührungslos lesbare Karte in Verbindung mit einer PIN und einem biometrischen
Fingerabdruck. Zusätzlich verfügt jedes Rack über eine individuelle mechanische Schließanlage. Alle
Bewegungen im Rechenzentrum werden per Videoüberwachung registriert und aufgezeichnet.
Zufahrten zum Grundstück und alle Eingänge werden permanent überwacht.
Zugangskontrolle:
Der Zugang zu Systemen erfolgt mit Authentifizierung durch individuelle Benutzerkennung und
Passwort. Berechtigungen werden nach einem Zugangsberechtigungskonzept vergeben. Die
Systeme sind gegen unberechtigten Zugang z.B. durch eine Firewall gesichert.
Seite 5 von 6
Zugriffskontrolle:
Der Zugriff auf personenbezogene Daten ist durch ein entsprechendes Benutzerrollen-System
gesteuert, so dass die Integrität und Vertraulichkeit jederzeit gewährleistet ist.
Weitergabekontrolle:
Die Datenübertragung sensibler Daten erfolgt generell verschlüsselt. Sämtliche Daten verbleiben
innerhalb des Datenverarbeitungssystems und werden nicht an Dritte weitergegeben.
Eingabekontrolle:
Die Eingabe, Veränderung oder Löschung von personenbezogenen Daten erfolgt rein maschinell und
wird automatisch protokolliert.
Auftragskontrolle:
Der Auftraggeber legt fest, ob personenbezogene Daten verarbeitet werden dürfen. Die Verarbeitung
erfolgt dann ausschließlich gemäß der dem Auftraggeber bekannten und von ihm bestätigten
Lizenzbestimmungen.
Verfügbarkeitskontrolle:
Das Rechenzentrum verfügt über eine unterbrechungsfreie Stromversorgung durch Batterien und
Notstromaggregate. Wesentliche Technikbestandteile für die Zählungsannahme sind redundant
aufgebaut. Backups werden regelmäßig erstellt Wiederherstellungsmöglichkeiten bei Datenverlust
sind vorgesehen. Brandmeldeanlagen, Löschanlagen mit Löschgas und ein Notfallplan sorgen für den
physikalischen Schutz der Daten.
Trennungsgebot:
Zu unterschiedlichen Zwecken erfasste Daten werden im Datenverarbeitungssystem entsprechend
getrennt gespeichert. Die Daten werden auf dedizierten Systemen im Eigentum von etracker
verarbeitet.
Sonstiges:
Sämtliche etracker-Produkte sind darauf ausgelegt, im Rahmen der vom jeweiligen Auftraggeber
getroffenen Einstellungen so wenig personenbezogene Daten wie möglich zu erheben und zu
verarbeiten.
Stand April 2017
Seite 6 von 6