Zum Inhalt springen
Version 17.4 von Christoph Lechleitner am 2026-06-01 01:13:47
Verstecke letzte Bearbeiter
gerold_wirnitzer@iteg_at 17.1 1 = {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO"/}}Vereinbarungen über ITEG-Hosting als Auftragsverarbeitung nach Art. 28 DSGVO =
2
3 Da das vielfach verwendete [[Muster der WKO>>url:https://www.wko.at/service/wirtschaftsrecht-gewerberecht/eu-dsgvo-muster-verarbeitungsverzeichnis-verantwortliche.html||shape="rect"]] einige problematische Details enthält stellen wir ein eigenes Muster für Vereinbarungen für Auftragsverarbeitung nach § 28 DSGVO zur Verfügung.
4
5 Falls Sie das WKO-Muster oder ein anderes Muster verwenden wollen beachten Sie bitte unbedingt unserer "Änderungen zur WKO-Vorlage" und Anmerkungen im übernächsten Kapitel.
6
7 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-ITEG-MusterfürVereinbarungenüberITEG-HostingalsAuftragsverarbeitung"/}}ITEG-Muster für Vereinbarungen über ITEG-Hosting als Auftragsverarbeitung ===
8
9 Die Bearbeitung unserer Vorlagen durch Kunden hat sich als Fatal für das Layout erwiesen. Wir bitten daher um Download des Musters als PDF und um Bekanntgabe aller "auszufüllenden" Daten, wir schicken dann umgehend ein ausgefülltes PDF retour.
10
Christoph Lechleitner 17.3 11 (% class="relative-table wrapped" style="width:83.7186%" %)
gerold_wirnitzer@iteg_at 17.1 12 |=(% style="width: 14.6539%;" %)(((
13 Version, Veröffentlichungsdatum
14 )))|=(% style="width: 13.5724%;" %)(((
15 Änderung(en)
16 )))|=(% style="width: 71.7708%;" %)(((
17 Download als PDF
18 )))
Christoph Lechleitner 17.3 19 |(% style="width:14.6539%" %)(((
gerold_wirnitzer@iteg_at 17.1 20 veraltet: 1.0 vom 7.5.2018
Christoph Lechleitner 17.3 21 )))|(% style="width:13.5724%" %)(((
22
23 )))|(% style="width:71.7708%" %)(((
gerold_wirnitzer@iteg_at 17.1 24 --[[attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.0.pdf]](bzw. [[odt>>attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.0.odt]] und [[docx>>attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.0.docx]])--
25 )))
Christoph Lechleitner 17.3 26 |(% style="width:14.6539%" %)(((
gerold_wirnitzer@iteg_at 17.1 27 veraltet: 1.1 vom 23.5.2018
Christoph Lechleitner 17.3 28 )))|(% style="width:13.5724%" %)(((
29
30 )))|(% style="width:71.7708%" %)(((
gerold_wirnitzer@iteg_at 17.1 31 --[[attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.1.pdf]]--
32 )))
Christoph Lechleitner 17.3 33 |(% style="width:14.6539%" %)(((
gerold_wirnitzer@iteg_at 17.1 34 veraltet: 1.2 vom 24.5.2018
Christoph Lechleitner 17.3 35 )))|(% style="width:13.5724%" %)(((
36
37 )))|(% style="width:71.7708%" %)(((
gerold_wirnitzer@iteg_at 17.1 38 (% class="content-wrapper" %)
39 (((
40 --[[attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.2.pdf]]--
41 )))
42 )))
Christoph Lechleitner 17.3 43 |(% style="width:14.6539%" %)(((
44 (((
gerold_wirnitzer@iteg_at 17.1 45 veraltet: 1.2.1 v. 5.5.2020
Christoph Lechleitner 17.3 46 )))
47
48 (((
49
50 )))
51 )))|(% style="width:13.5724%" %)(((
gerold_wirnitzer@iteg_at 17.1 52 1 Copy/Paste-Fehler korrigiert
Christoph Lechleitner 17.3 53 )))|(% style="width:71.7708%" %)(((
gerold_wirnitzer@iteg_at 17.1 54 -
55 )))
Christoph Lechleitner 17.3 56 |(% style="width:14.6539%" %)(((
57 veraltet: 1.2.1 v. 21.6.2021
58 )))|(% style="width:13.5724%" %)(((
gerold_wirnitzer@iteg_at 17.1 59 Büro-Adresse, Liste Housing-Anbieter
Christoph Lechleitner 17.3 60 )))|(% style="width:71.7708%" %)(((
61 --[[attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.2.2.pdf]]--
gerold_wirnitzer@iteg_at 17.1 62 )))
Christoph Lechleitner 17.3 63 |(% style="width:14.6539%" %)**aktuell: 1.2.2 v. 1.6.2026**|(% style="width:13.5724%" %)Liste Housing-Anbieter|(% style="width:71.7708%" %)
gerold_wirnitzer@iteg_at 17.1 64
65 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-TechnischeundOrganisatorischeMaßnahmen(TOMs)derITEGIT-EngineersGmbH"/}}Technische und Organisatorische Maßnahmen (TOMs) der ITEG IT-Engineers GmbH ===
66
67 In der folgenden Liste finden Sie aller bisher veröffentlichten Stände unserer Technischen und Organisatorischen Maßnahmen (TOMs) als PDF-Download:
68
69 (% class="wrapped" %)
70 |=(((
71 Version, Veröffentlichungsdatum
72 )))|=(((
73 Download als PDF
74 )))
75 |(((
76 1.0 vom 7.5.2018
77 )))|(((
78 [[attach:ITEG-TOMs_1.0_vom_2018-05-07.pdf]]
79 )))
80 |(((
81 **aktuell: 1.1 vom 4.6.2025**
82 )))|(((
83 **[[attach:ITEG-TOMs_1.1_von_2025-06-04.pdf]]**
84 )))
85
86 = {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Ausfüll-Hilfen"/}}Ausfüll-Hilfen =
87
88 Dieses Kapitel bietet ein paar "Ausfüllhilfen" zur Vervollständigung des ITEG-Musters oder einer anderen ähnlichen Vorlage.
89
90 Bei Verwendung fremder Muster beachten Sie bitte unsere "Änderungen zur WKO-Vorlage" im nächsten Kapitel.
91
92 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Vertragspartner"/}}Vertragspartner ===
93
94 Bei den Vertragspartnern bevorzugen wir die DSGVO-Begriffe "**Verantwortlicher**" und "**Auftragsverarbeiter**" über die Wirtschafts-Begriffe "Auftraggeber" und "Auftragnehmer".
95
96 Die Kontaktdaten von ITEG finden Sie unter [[www.iteg.at/kontakt-impressum>>url:https://www.iteg.at/kontakt-impressum/||shape="rect"]].
97
98 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-KontaktfürInformationsanfragenvonpotentiellbetroffenenPersonen"/}}Kontakt für Informationsanfragen von potentiell betroffenen Personen ===
99
100 Wir müssen darauf bestehen bei den Daten des Verantwortlichen oder in einem eigenen Satz unbedingt einen **Kontakt (E-Mail-Adresse und Telefonnummer) anzugeben an die wir Informationsanfragen von potentiell betroffenen Personen weiterleiten können**.
101
102 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-GegenstandderVereinbarung"/}}Gegenstand der Vereinbarung ===
103
104 Die Branchen-typische Überbegriffe, passend für Kap. 1. (1), sind:
105
106 (% class="wrapped" %)
107 |=(((
108 Überbegriff
109 )))|=(((
110 Kurzbeschreibung
111 )))
112 |(((
113 "Shared Hosting" bzw.
114 "Webhosting" bzw.
115 "LAMP-Hosting"
116 )))|(((
117 Hosting von Webauftritten und zugehörigen Datenbanken auf Shared-Hosting-Servern.
118 Auf einem Shared-Hosting-Server werden meist Webauftritte verschiedener Kunden parallel gehostet.
119 Die Bereiche der verschiedenen Kunden werden so gut wie mit vertretbarem Aufwand untereinander getrennt,
120 aber ein Rest-Risiko von "local privilege escalations" besteht immer.
121 Administrativen Zugriff auf den ganzen Server haben nur die Administratoren von ITEG.
122 )))
123 |(((
124 "Mail-Hosting"
125 )))|(((
126 Hosting von E-Mail-Postfächern und/oder Weiterleitungs-E-Mail-Adressen
127 )))
128 |(((
129 "Root-Hosting"
130 )))|(((
131 Beim Root-Hosting steht ein ganzer virtueller Linux-Server einem Hosting-Kunden (und dessen Web-Agenturen) exklusiv zur Verfügung.
132 Dabei hat auch der Hosting-Kunden administrativen Zugriff auf den ganzen virtuellen Server.
133 )))
134 |(((
135 "Domain-Hosting" bzw.
136 "DNS-Hosting"
137 )))|(((
138 Neben dem Betrieb des DNS (Domain-Name-Servers) umfasst das üblicherweise auch die Verwaltung der Inhaber-Daten der Domain beim jeweiligen Registrar, also bei der für Domainvergabe authorisierten Stelle.
139 )))
140
141 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Datenkategorien"/}}Datenkategorien ===
142
143 Für die Kategorien der verarbeiteten Daten für Kap. 1. (2) gibt es verschiedene Ansätze.
144
145 Hier einige Beispiele:
146
147 (% class="wrapped" %)
148 |=(((
149 Begriff
150 )))|=(((
151 Anmerkungen
152 )))
153 |(((
154 Personenstammdaten
155 )))|(((
156 Im Zweifel sollten Details angegeben werden, z.B. Adresse, E-Mail-Adresse, Kontonummern, Bonitätsdaten, ...
157 Manche Daten unterliegen besonderem Schutz, z.B. Religionsbekenntnis, Ethnische Herkunft, Strafregisterauszug
158 )))
159 |(((
160 Kommunikationsdaten
161 )))|(((
162 z.B. E-Mails, laut "Erwägung 30" auch IP-Adressen (in Log-Files auch von Web-Servern)
163 )))
164 |(((
165 Vertragsdaten
166 )))|(((
167 Angebote, Bestellungen, Aufträge, Lieferscheine, ...
168 )))
169 |(((
170 Protokolldaten
171 )))|(((
172 ...
173 )))
174
175 Anmerkung: Wichtige Log-Dateien (inkl. IP-Adressen) werden bei ITEG üblicherweise 6 Monate aufbewahrt was wir als angemessen und für Nachforschungen notwendig erachten.
176
177 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Personenkategorien"/}}Personenkategorien ===
178
179 Bei den Kategorien der betroffenen Personen für Kap. 1. (3) kann bzw. muss man relativ großzügig pauschalisieren.
180
181 Z.B.: Kunden, Interessenten, Lieferanten, Mitarbeiter.
182
183 Die Unterscheidung zwischen privatpersonen und Firmen ist insbesondere in Österreich relativ sinnlos (Personen-Definition im Verfassung), aber auch international wird man kaum Daten einer Firma verarbeiten ohne dass zumindest die Kontaktdaten (Name, Telefonnummer, E-Mail-Adresse) einer natürlichen Ansprechperson enthalten sind.
184
185 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Sub-Auftragsverarbeiterbzw.Sub-Auftragnehmer"/}}Sub-Auftragsverarbeiter bzw. Sub-Auftragnehmer ===
186
187 ITEG greift zur Datenverarbeitung auf keinerlei Sub-Auftragsverarbeiter zurück.
188
189 Das [[CityNet Hall>>url:https://www.citynet.at||shape="rect"]] als Anbieter bzw. Sub-Auftragnehmer für [[Serverhousing>>url:https://www.citynet.at/Business/Business/Serverhousing||shape="rect"]] hat zwar physischen Zugriff auf unsere Server und könnte theoretisch Festplatten "rauben", darf dies aber nicht.
190
191 Ähnliches gilt für [[Hetzner>>url:https://www.hetzner.com/de/||shape="rect"]] und [[IPAX>>url:https://www.ipax.at/||shape="rect"]] wo wir Root-Server anmieten die von ITEG installiert werden und die Anbieter nur mit besonderen Mitteln theoretisch (und illegal) Zugriff auf Daten erlangen könnten.
192
193 Wir betrachten die Tätigkeiten dieser Anbieter als Rackspace- bzw. Dedicated-Server-Vermieter und Access-Lieferant (Carrier) daher nicht als Sub-Auftragsverarbeitung.
194
195 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-TechnischeundOrganisatorischeMaßnahmen(TOMs)"/}}Technische und Organisatorische Maßnahmen (TOMs) ===
196
197 ITEG war von 18.12.2018 bis 18.12.2022 von [[CIS>>url:http://at.cis-cert.com/||shape="rect"]] nach ISO-27001 zertifiziert, was um eine DImension besser war als alle TOM-Listen die sich in Mustern für Auftragsvereitungs-Vereinbarungen finden.
198
199 Wir bitten daher entweder auf unsere ISO-Zertifizierung oder auf unsere eigene Liste der Technischen und Organisatorischen Maßnahmen (TOMs) zurückzugreifen, aktuell ist Version 1.0 vom 7.5.2018: [[attach:ITEG-TOMs_1.0_vom_2018-05-07.pdf]]
200
201 = {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-ÄnderungengegenüberWirtschaftskammer-VorlageundAnmerkungen"/}}Änderungen gegenüber Wirtschaftskammer-Vorlage und Anmerkungen =
202
203 Falls Sie sich mit dem [[Muster der WKO>>url:https://www.wko.at/service/wirtschaftsrecht-gewerberecht/eu-dsgvo-muster-verarbeitungsverzeichnis-verantwortliche.html||shape="rect"]] schon beschäftigt haben oder als Kunde eine selbst formulierte Auftragsverarbeitungs-Vereinbarung evtl. auf dieser Basis schreiben möchten bitten wir um Beachtung folgender **erforderlicher Änderungen** gegenüber dem WKO-Muster.
204
205 Bitte beachten Sie grundsätzlich auch die Ausfüllhilfen weiter oben.
206
207 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-AuftragsverarbeiterstattAuftragnehmer,VerantwortlicherstattAuftragggeber"/}}Auftragsverarbeiter statt Auftragnehmer, Verantwortlicher statt Auftragggeber ===
208
209 Bitte, Danke.
210
211 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Änderungbei~"3.PflichtendesAuftragsverarbeiters~"Ziffer(3),ITEG-TOMsstattAnhang1"/}}Änderung bei "3. Pflichten des Auftragsverarbeiters" Ziffer (3), ITEG-TOMs statt Anhang 1 ===
212
213 **Kein Verweis auf "//Anhang 1//"** (siehe unten) **sondern:**
214
215 ----
216
217 Einzeilheiten sind ITEG's Technischen und Organisatorischen Maßnahmen in der zum Zeitpunkt der Vereinbarung gültigen Version 1.0 vom 7.5.2018 zu entnehmen (siehe [[https:~~/~~/iteg.at/TOMs>>url:https://iteg.at/TOMs||shape="rect"]]).
218
219 ----
220
221 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Einschränkungzu~"3.PflichtendesAuftragsverarbeiters~"Ziffer(4),~"imRahmenseinerZuständigkeit~""/}}Einschränkung zu "3. Pflichten des Auftragsverarbeiters" Ziffer (4), "im Rahmen seiner Zuständigkeit" ===
222
223 Die einzigen Maßnahmen die ITEG im Sinne dieser Ziffer setzen kann sind das sicherstellen einer normalen Server-Verfügbarkeit und die Erreichbarkeit für irrtümlich an ITEG gestellte Informationsanfragen von potentiell betroffenen Personen.
224
225 Daher möglichst im ersten Satz statt "//Der Auftragsverarbeiter ergreift die technischen ...//" erweitert "Der Auftragsverarbeiter ergreift im Rahmen seiner Zuständigkeit die technischen ..."
226
227 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Anmerkungzu~"3.PflichtendesAuftragsverarbeiters~"Ziffer(6)"/}}Anmerkung zu "3. Pflichten des Auftragsverarbeiters" Ziffer (6) ===
228
229 Bezüglich der Auftragsverarbeitungen beschränkt sich das Verarbeitungsverzeichnis auf die in Kapitel 1. der einzelnen Vereinbarungen genannten Rahmeninformationen pro Hosting-Kunde.
230
231 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Milderung~"3.PflichtendesAuftragsverarbeiters~"Ziffer(7),Stichprobenstattjederzeit,sowieHinweisVoranmeldung"/}}Milderung "3. Pflichten des Auftragsverarbeiters" Ziffer (7), Stichproben statt jederzeit, sowie Hinweis Voranmeldung ===
232
233 Eine "//jederzeitiger Einsichtnahme und Kontrolle ... der Datenverarbeitungseinrichtungen//" ist weder organisatorisch noch rechtlich möglich.
234
235 Auf ausdrücklichen Wunsch kann nach Voranmeldung (auch beim Betreiber des Data-Centers) eine Besichtigung des Data-Centers organisiert werden.
236
237 **Daher**: "//jederzeitiger Einsichtnahme//" **durch** "zur stichprobenartigen Einsichtnahme" **ersetzen**.
238
239 Weiters bitte anhängen:
240
241 ----
242
243 Einsichtnahmen sind nur nach Voranmeldung und mit Zustimmung des Betreibers des Datacenters möglich.
244
245 ----
246
247 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Kürzung~"3.PflichtendesAuftragsverarbeiters~"Ziffer(8)"/}}Kürzung "3. Pflichten des Auftragsverarbeiters" Ziffer (8) ===
248
249 (% class="western" %)
250 Die Variante "/// in dessen Auftrag zu vernichten [1]//" ist **zu streichen**.
251
252 (% class="western" %)
253 Der Satz mit "//speziellen technischen Format//" ist irrelevant und kann gestrichen werden.
254
255 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Streichungbzw.Kürzung~"5.Sub-Auftragsverarbeiter~""/}}Streichung bzw. Kürzung "5. Sub-Auftragsverarbeiter" ===
256
257 Da wir den Housing-Anbieter (Rackspace- und Access-Anbieter) nicht als Auftragsverarbetier sehen gibt es seitens ITEG keine Sub-Auftragsverarbeiter. Siehe dazu auch in der Ausfüllhilfe weiter oben und unser Muster.
258
259 Daher kann Kapitel 5 weggelassen oder durch den Satz aus unserem ersetzt oder ergänzt werden.
260
261 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-ZusätzlichesKapitel~"6.PflichtendesVerantwortlichen~"bzw.Auftraggebers"/}}Zusätzliches Kapitel "6. Pflichten des Verantwortlichen" bzw. Auftraggebers ===
262
263 Alle bisherigen Security-Incidents bei ITEG hatten Ihren Ursprung in mangelhafter Qualität bzw. Wartung der vom Hosting-Kunden eingesetzten Software, z.B. in unsicheren WordPress-Plugins, ungeschützten Administrations-Zugängen von J2EE-Frameworks, unsicherer Programmierung seitens der individuellen Web-Entwickler, u.ä.
264
265 Daher möchten wir folgende Kundenpflicht in Auftragsverarbeitungs-Vereinbarungen aufnehmen (z.B. als Kap. 6, siehe unser Muster):
266
267 ----
268
269 Der Verarbeiter bzw. Auftraggeber ist verpflichtet
270
271 * Zugangsdaten zu ITEG-Systemen (Webspace, Mailboxen, u.ä.) geheim zu halten bzw. nur soweit unbedingt nötig an IT-Betreuer bzw. Web-Designer bzw. Web-Entwickler weiterzugeben.
272 Unter Zugangsdaten fallen von ITEG vergebene Passwörter sowie von ITEG eingetragene Kunden-eigene private SSH-Keys.
273 * den Verlust solcher Zugangsdaten zu ITEG-Systemen sowie etwaige Hacks eines bei ITEG gehosteten eigenen Web-Auftritts umgehend an ITEG zu melden
274
275 ----
276
277 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-ZusätzlicheKapitelüberschrift~"7.Unterschriften~""/}}Zusätzliche Kapitelüberschrift "7. Unterschriften" ===
278
279 Nur zur klaren Trennung vom vorigen Kapitel.
280
281 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Ersatzfür~"Anlage1~",TechnischeundOrganisatorischeMaßnahmen(TOMs)"/}}Ersatz für "Anlage 1", Technische und Organisatorische Maßnahmen (TOMs) ===
282
283 Die Schlagwort-Liste im WKO-Muster passt nicht auf Hosting bzw. auf ITEG als hochspezialisiertem KMU.
284
285 Stattdessen muss in Kap. 3. Ziffer (3) auf ITEG's Technischen und Organisatorischen Maßnahmen (TOMs) verwiesen werden, vgl. unseren Formulierungsvorschlag weiter oben. Aktuelle Version unserer TOMs ist Version 1.0 vom 7.5.2018: [[attach:ITEG-TOMs_1.0_vom_2018-05-07.pdf]].
286
287
288
Christoph Lechleitner 17.3 289