Zum Inhalt springen
Zuletzt geändert von Christoph Lechleitner am 2026-06-01 01:19:47
Verstecke letzte Bearbeiter
gerold_wirnitzer@iteg_at 17.1 1 = {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO"/}}Vereinbarungen über ITEG-Hosting als Auftragsverarbeitung nach Art. 28 DSGVO =
2
3 Da das vielfach verwendete [[Muster der WKO>>url:https://www.wko.at/service/wirtschaftsrecht-gewerberecht/eu-dsgvo-muster-verarbeitungsverzeichnis-verantwortliche.html||shape="rect"]] einige problematische Details enthält stellen wir ein eigenes Muster für Vereinbarungen für Auftragsverarbeitung nach § 28 DSGVO zur Verfügung.
4
5 Falls Sie das WKO-Muster oder ein anderes Muster verwenden wollen beachten Sie bitte unbedingt unserer "Änderungen zur WKO-Vorlage" und Anmerkungen im übernächsten Kapitel.
6
7 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-ITEG-MusterfürVereinbarungenüberITEG-HostingalsAuftragsverarbeitung"/}}ITEG-Muster für Vereinbarungen über ITEG-Hosting als Auftragsverarbeitung ===
8
9 Die Bearbeitung unserer Vorlagen durch Kunden hat sich als Fatal für das Layout erwiesen. Wir bitten daher um Download des Musters als PDF und um Bekanntgabe aller "auszufüllenden" Daten, wir schicken dann umgehend ein ausgefülltes PDF retour.
10
Christoph Lechleitner 17.3 11 (% class="relative-table wrapped" style="width:83.7186%" %)
gerold_wirnitzer@iteg_at 17.1 12 |=(% style="width: 14.6539%;" %)(((
13 Version, Veröffentlichungsdatum
14 )))|=(% style="width: 13.5724%;" %)(((
15 Änderung(en)
16 )))|=(% style="width: 71.7708%;" %)(((
17 Download als PDF
18 )))
Christoph Lechleitner 17.3 19 |(% style="width:14.6539%" %)(((
gerold_wirnitzer@iteg_at 17.1 20 veraltet: 1.0 vom 7.5.2018
Christoph Lechleitner 17.3 21 )))|(% style="width:13.5724%" %)(((
22
23 )))|(% style="width:71.7708%" %)(((
gerold_wirnitzer@iteg_at 17.1 24 --[[attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.0.pdf]](bzw. [[odt>>attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.0.odt]] und [[docx>>attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.0.docx]])--
25 )))
Christoph Lechleitner 17.3 26 |(% style="width:14.6539%" %)(((
gerold_wirnitzer@iteg_at 17.1 27 veraltet: 1.1 vom 23.5.2018
Christoph Lechleitner 17.3 28 )))|(% style="width:13.5724%" %)(((
29
30 )))|(% style="width:71.7708%" %)(((
gerold_wirnitzer@iteg_at 17.1 31 --[[attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.1.pdf]]--
32 )))
Christoph Lechleitner 17.3 33 |(% style="width:14.6539%" %)(((
gerold_wirnitzer@iteg_at 17.1 34 veraltet: 1.2 vom 24.5.2018
Christoph Lechleitner 17.3 35 )))|(% style="width:13.5724%" %)(((
36
37 )))|(% style="width:71.7708%" %)(((
gerold_wirnitzer@iteg_at 17.1 38 (% class="content-wrapper" %)
39 (((
40 --[[attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.2.pdf]]--
41 )))
42 )))
Christoph Lechleitner 17.3 43 |(% style="width:14.6539%" %)(((
44 (((
gerold_wirnitzer@iteg_at 17.1 45 veraltet: 1.2.1 v. 5.5.2020
Christoph Lechleitner 17.3 46 )))
47
48 (((
49
50 )))
51 )))|(% style="width:13.5724%" %)(((
gerold_wirnitzer@iteg_at 17.1 52 1 Copy/Paste-Fehler korrigiert
Christoph Lechleitner 17.3 53 )))|(% style="width:71.7708%" %)(((
gerold_wirnitzer@iteg_at 17.1 54 -
55 )))
Christoph Lechleitner 17.3 56 |(% style="width:14.6539%" %)(((
57 veraltet: 1.2.1 v. 21.6.2021
58 )))|(% style="width:13.5724%" %)(((
gerold_wirnitzer@iteg_at 17.1 59 Büro-Adresse, Liste Housing-Anbieter
Christoph Lechleitner 17.3 60 )))|(% style="width:71.7708%" %)(((
61 --[[attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.2.2.pdf]]--
gerold_wirnitzer@iteg_at 17.1 62 )))
Christoph Lechleitner 18.2 63 |(% style="width:14.6539%" %)**aktuell: 1.2.2 v. 1.6.2026**|(% style="width:13.5724%" %)Liste Housing-Anbieter|(% style="width:71.7708%" %)**[[Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.2.3.pdf>>attach:Auftragsverarbeitungs-Vereinbarung_ITEG-Muster_1.2.3.pdf]]**
gerold_wirnitzer@iteg_at 17.1 64
65 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-TechnischeundOrganisatorischeMaßnahmen(TOMs)derITEGIT-EngineersGmbH"/}}Technische und Organisatorische Maßnahmen (TOMs) der ITEG IT-Engineers GmbH ===
66
67 In der folgenden Liste finden Sie aller bisher veröffentlichten Stände unserer Technischen und Organisatorischen Maßnahmen (TOMs) als PDF-Download:
68
69 (% class="wrapped" %)
70 |=(((
71 Version, Veröffentlichungsdatum
72 )))|=(((
73 Download als PDF
74 )))
75 |(((
76 1.0 vom 7.5.2018
77 )))|(((
78 [[attach:ITEG-TOMs_1.0_vom_2018-05-07.pdf]]
79 )))
80 |(((
81 **aktuell: 1.1 vom 4.6.2025**
82 )))|(((
83 **[[attach:ITEG-TOMs_1.1_von_2025-06-04.pdf]]**
84 )))
85
86 = {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Ausfüll-Hilfen"/}}Ausfüll-Hilfen =
87
88 Dieses Kapitel bietet ein paar "Ausfüllhilfen" zur Vervollständigung des ITEG-Musters oder einer anderen ähnlichen Vorlage.
89
90 Bei Verwendung fremder Muster beachten Sie bitte unsere "Änderungen zur WKO-Vorlage" im nächsten Kapitel.
91
92 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Vertragspartner"/}}Vertragspartner ===
93
94 Bei den Vertragspartnern bevorzugen wir die DSGVO-Begriffe "**Verantwortlicher**" und "**Auftragsverarbeiter**" über die Wirtschafts-Begriffe "Auftraggeber" und "Auftragnehmer".
95
96 Die Kontaktdaten von ITEG finden Sie unter [[www.iteg.at/kontakt-impressum>>url:https://www.iteg.at/kontakt-impressum/||shape="rect"]].
97
98 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-KontaktfürInformationsanfragenvonpotentiellbetroffenenPersonen"/}}Kontakt für Informationsanfragen von potentiell betroffenen Personen ===
99
100 Wir müssen darauf bestehen bei den Daten des Verantwortlichen oder in einem eigenen Satz unbedingt einen **Kontakt (E-Mail-Adresse und Telefonnummer) anzugeben an die wir Informationsanfragen von potentiell betroffenen Personen weiterleiten können**.
101
102 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-GegenstandderVereinbarung"/}}Gegenstand der Vereinbarung ===
103
104 Die Branchen-typische Überbegriffe, passend für Kap. 1. (1), sind:
105
106 (% class="wrapped" %)
107 |=(((
108 Überbegriff
109 )))|=(((
110 Kurzbeschreibung
111 )))
112 |(((
113 "Shared Hosting" bzw.
114 "Webhosting" bzw.
115 "LAMP-Hosting"
116 )))|(((
117 Hosting von Webauftritten und zugehörigen Datenbanken auf Shared-Hosting-Servern.
118 Auf einem Shared-Hosting-Server werden meist Webauftritte verschiedener Kunden parallel gehostet.
119 Die Bereiche der verschiedenen Kunden werden so gut wie mit vertretbarem Aufwand untereinander getrennt,
120 aber ein Rest-Risiko von "local privilege escalations" besteht immer.
121 Administrativen Zugriff auf den ganzen Server haben nur die Administratoren von ITEG.
122 )))
123 |(((
124 "Mail-Hosting"
125 )))|(((
126 Hosting von E-Mail-Postfächern und/oder Weiterleitungs-E-Mail-Adressen
127 )))
128 |(((
129 "Root-Hosting"
130 )))|(((
131 Beim Root-Hosting steht ein ganzer virtueller Linux-Server einem Hosting-Kunden (und dessen Web-Agenturen) exklusiv zur Verfügung.
132 Dabei hat auch der Hosting-Kunden administrativen Zugriff auf den ganzen virtuellen Server.
133 )))
134 |(((
135 "Domain-Hosting" bzw.
136 "DNS-Hosting"
137 )))|(((
138 Neben dem Betrieb des DNS (Domain-Name-Servers) umfasst das üblicherweise auch die Verwaltung der Inhaber-Daten der Domain beim jeweiligen Registrar, also bei der für Domainvergabe authorisierten Stelle.
139 )))
140
141 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Datenkategorien"/}}Datenkategorien ===
142
143 Für die Kategorien der verarbeiteten Daten für Kap. 1. (2) gibt es verschiedene Ansätze.
144
145 Hier einige Beispiele:
146
147 (% class="wrapped" %)
148 |=(((
149 Begriff
150 )))|=(((
151 Anmerkungen
152 )))
153 |(((
154 Personenstammdaten
155 )))|(((
156 Im Zweifel sollten Details angegeben werden, z.B. Adresse, E-Mail-Adresse, Kontonummern, Bonitätsdaten, ...
157 Manche Daten unterliegen besonderem Schutz, z.B. Religionsbekenntnis, Ethnische Herkunft, Strafregisterauszug
158 )))
159 |(((
160 Kommunikationsdaten
161 )))|(((
162 z.B. E-Mails, laut "Erwägung 30" auch IP-Adressen (in Log-Files auch von Web-Servern)
163 )))
164 |(((
165 Vertragsdaten
166 )))|(((
167 Angebote, Bestellungen, Aufträge, Lieferscheine, ...
168 )))
169 |(((
170 Protokolldaten
171 )))|(((
172 ...
173 )))
174
175 Anmerkung: Wichtige Log-Dateien (inkl. IP-Adressen) werden bei ITEG üblicherweise 6 Monate aufbewahrt was wir als angemessen und für Nachforschungen notwendig erachten.
176
177 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Personenkategorien"/}}Personenkategorien ===
178
179 Bei den Kategorien der betroffenen Personen für Kap. 1. (3) kann bzw. muss man relativ großzügig pauschalisieren.
180
181 Z.B.: Kunden, Interessenten, Lieferanten, Mitarbeiter.
182
183 Die Unterscheidung zwischen privatpersonen und Firmen ist insbesondere in Österreich relativ sinnlos (Personen-Definition im Verfassung), aber auch international wird man kaum Daten einer Firma verarbeiten ohne dass zumindest die Kontaktdaten (Name, Telefonnummer, E-Mail-Adresse) einer natürlichen Ansprechperson enthalten sind.
184
185 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Sub-Auftragsverarbeiterbzw.Sub-Auftragnehmer"/}}Sub-Auftragsverarbeiter bzw. Sub-Auftragnehmer ===
186
187 ITEG greift zur Datenverarbeitung auf keinerlei Sub-Auftragsverarbeiter zurück.
188
Christoph Lechleitner 18.3 189 Sowohl bei [[Hetzner>>url:https://www.hetzner.com/de/||shape="rect"]] als auch [[IPAX>>url:https://www.ipax.at/||shape="rect"]] , wo wir jeweils physische Root-Server anmieten die von ITEG installiert werden, können die Anbieter nur mit besonderen Mitteln theoretisch (und illegal) Zugriff auf unsere Daten bzw. Daten unserer Kunden erlangen.
gerold_wirnitzer@iteg_at 17.1 190
Christoph Lechleitner 18.3 191 Wir betrachten die Tätigkeiten dieser Anbieter als Dedicated-Server-Vermieter und Access-Lieferant (Carrier) daher nicht als Sub-Auftragsverarbeitung.
gerold_wirnitzer@iteg_at 17.1 192
193 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-TechnischeundOrganisatorischeMaßnahmen(TOMs)"/}}Technische und Organisatorische Maßnahmen (TOMs) ===
194
195 ITEG war von 18.12.2018 bis 18.12.2022 von [[CIS>>url:http://at.cis-cert.com/||shape="rect"]] nach ISO-27001 zertifiziert, was um eine DImension besser war als alle TOM-Listen die sich in Mustern für Auftragsvereitungs-Vereinbarungen finden.
196
Christoph Lechleitner 18.4 197 Wir bitten daher entweder auf unsere ISO-Zertifizierung oder auf unsere eigene Liste der Technischen und Organisatorischen Maßnahmen (TOMs) zurückzugreifen, aktuell ist Version 1.1 vom 4.6.2025, [[attach:ITEG-TOMs_1.1_von_2025-06-04.pdf]].
gerold_wirnitzer@iteg_at 17.1 198
199 = {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-ÄnderungengegenüberWirtschaftskammer-VorlageundAnmerkungen"/}}Änderungen gegenüber Wirtschaftskammer-Vorlage und Anmerkungen =
200
201 Falls Sie sich mit dem [[Muster der WKO>>url:https://www.wko.at/service/wirtschaftsrecht-gewerberecht/eu-dsgvo-muster-verarbeitungsverzeichnis-verantwortliche.html||shape="rect"]] schon beschäftigt haben oder als Kunde eine selbst formulierte Auftragsverarbeitungs-Vereinbarung evtl. auf dieser Basis schreiben möchten bitten wir um Beachtung folgender **erforderlicher Änderungen** gegenüber dem WKO-Muster.
202
203 Bitte beachten Sie grundsätzlich auch die Ausfüllhilfen weiter oben.
204
205 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-AuftragsverarbeiterstattAuftragnehmer,VerantwortlicherstattAuftragggeber"/}}Auftragsverarbeiter statt Auftragnehmer, Verantwortlicher statt Auftragggeber ===
206
207 Bitte, Danke.
208
209 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Änderungbei~"3.PflichtendesAuftragsverarbeiters~"Ziffer(3),ITEG-TOMsstattAnhang1"/}}Änderung bei "3. Pflichten des Auftragsverarbeiters" Ziffer (3), ITEG-TOMs statt Anhang 1 ===
210
211 **Kein Verweis auf "//Anhang 1//"** (siehe unten) **sondern:**
212
213 ----
214
215 Einzeilheiten sind ITEG's Technischen und Organisatorischen Maßnahmen in der zum Zeitpunkt der Vereinbarung gültigen Version 1.0 vom 7.5.2018 zu entnehmen (siehe [[https:~~/~~/iteg.at/TOMs>>url:https://iteg.at/TOMs||shape="rect"]]).
216
217 ----
218
219 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Einschränkungzu~"3.PflichtendesAuftragsverarbeiters~"Ziffer(4),~"imRahmenseinerZuständigkeit~""/}}Einschränkung zu "3. Pflichten des Auftragsverarbeiters" Ziffer (4), "im Rahmen seiner Zuständigkeit" ===
220
221 Die einzigen Maßnahmen die ITEG im Sinne dieser Ziffer setzen kann sind das sicherstellen einer normalen Server-Verfügbarkeit und die Erreichbarkeit für irrtümlich an ITEG gestellte Informationsanfragen von potentiell betroffenen Personen.
222
223 Daher möglichst im ersten Satz statt "//Der Auftragsverarbeiter ergreift die technischen ...//" erweitert "Der Auftragsverarbeiter ergreift im Rahmen seiner Zuständigkeit die technischen ..."
224
225 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Anmerkungzu~"3.PflichtendesAuftragsverarbeiters~"Ziffer(6)"/}}Anmerkung zu "3. Pflichten des Auftragsverarbeiters" Ziffer (6) ===
226
227 Bezüglich der Auftragsverarbeitungen beschränkt sich das Verarbeitungsverzeichnis auf die in Kapitel 1. der einzelnen Vereinbarungen genannten Rahmeninformationen pro Hosting-Kunde.
228
229 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Milderung~"3.PflichtendesAuftragsverarbeiters~"Ziffer(7),Stichprobenstattjederzeit,sowieHinweisVoranmeldung"/}}Milderung "3. Pflichten des Auftragsverarbeiters" Ziffer (7), Stichproben statt jederzeit, sowie Hinweis Voranmeldung ===
230
231 Eine "//jederzeitiger Einsichtnahme und Kontrolle ... der Datenverarbeitungseinrichtungen//" ist weder organisatorisch noch rechtlich möglich.
232
233 Auf ausdrücklichen Wunsch kann nach Voranmeldung (auch beim Betreiber des Data-Centers) eine Besichtigung des Data-Centers organisiert werden.
234
235 **Daher**: "//jederzeitiger Einsichtnahme//" **durch** "zur stichprobenartigen Einsichtnahme" **ersetzen**.
236
237 Weiters bitte anhängen:
238
239 ----
240
241 Einsichtnahmen sind nur nach Voranmeldung und mit Zustimmung des Betreibers des Datacenters möglich.
242
243 ----
244
245 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Kürzung~"3.PflichtendesAuftragsverarbeiters~"Ziffer(8)"/}}Kürzung "3. Pflichten des Auftragsverarbeiters" Ziffer (8) ===
246
247 (% class="western" %)
248 Die Variante "/// in dessen Auftrag zu vernichten [1]//" ist **zu streichen**.
249
250 (% class="western" %)
251 Der Satz mit "//speziellen technischen Format//" ist irrelevant und kann gestrichen werden.
252
253 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Streichungbzw.Kürzung~"5.Sub-Auftragsverarbeiter~""/}}Streichung bzw. Kürzung "5. Sub-Auftragsverarbeiter" ===
254
255 Da wir den Housing-Anbieter (Rackspace- und Access-Anbieter) nicht als Auftragsverarbetier sehen gibt es seitens ITEG keine Sub-Auftragsverarbeiter. Siehe dazu auch in der Ausfüllhilfe weiter oben und unser Muster.
256
257 Daher kann Kapitel 5 weggelassen oder durch den Satz aus unserem ersetzt oder ergänzt werden.
258
259 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-ZusätzlichesKapitel~"6.PflichtendesVerantwortlichen~"bzw.Auftraggebers"/}}Zusätzliches Kapitel "6. Pflichten des Verantwortlichen" bzw. Auftraggebers ===
260
261 Alle bisherigen Security-Incidents bei ITEG hatten Ihren Ursprung in mangelhafter Qualität bzw. Wartung der vom Hosting-Kunden eingesetzten Software, z.B. in unsicheren WordPress-Plugins, ungeschützten Administrations-Zugängen von J2EE-Frameworks, unsicherer Programmierung seitens der individuellen Web-Entwickler, u.ä.
262
263 Daher möchten wir folgende Kundenpflicht in Auftragsverarbeitungs-Vereinbarungen aufnehmen (z.B. als Kap. 6, siehe unser Muster):
264
265 ----
266
267 Der Verarbeiter bzw. Auftraggeber ist verpflichtet
268
269 * Zugangsdaten zu ITEG-Systemen (Webspace, Mailboxen, u.ä.) geheim zu halten bzw. nur soweit unbedingt nötig an IT-Betreuer bzw. Web-Designer bzw. Web-Entwickler weiterzugeben.
270 Unter Zugangsdaten fallen von ITEG vergebene Passwörter sowie von ITEG eingetragene Kunden-eigene private SSH-Keys.
271 * den Verlust solcher Zugangsdaten zu ITEG-Systemen sowie etwaige Hacks eines bei ITEG gehosteten eigenen Web-Auftritts umgehend an ITEG zu melden
272
273 ----
274
275 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-ZusätzlicheKapitelüberschrift~"7.Unterschriften~""/}}Zusätzliche Kapitelüberschrift "7. Unterschriften" ===
276
277 Nur zur klaren Trennung vom vorigen Kapitel.
278
279 === {{id name="VereinbarungenüberITEG-HostingalsAuftragsverarbeitungnachArt.28DSGVO-Ersatzfür~"Anlage1~",TechnischeundOrganisatorischeMaßnahmen(TOMs)"/}}Ersatz für "Anlage 1", Technische und Organisatorische Maßnahmen (TOMs) ===
280
281 Die Schlagwort-Liste im WKO-Muster passt nicht auf Hosting bzw. auf ITEG als hochspezialisiertem KMU.
282
Christoph Lechleitner 19.1 283 Stattdessen muss in Kap. 3. Ziffer (3) auf ITEG's Technischen und Organisatorischen Maßnahmen (TOMs) verwiesen werden, vgl. unseren Formulierungsvorschlag weiter oben. Aktuelle Version unserer TOMs ist Version 1.1 vom 4.6.2025, [[attach:ITEG-TOMs_1.1_von_2025-06-04.pdf]].
gerold_wirnitzer@iteg_at 17.1 284
285
Christoph Lechleitner 17.3 286