Auftragsverarbeitungsvertrag

Über diese Vereinbarung

Zuletzt aktualisiert: 22. Juli 2026.

Dieser Auftragsverarbeitungsvertrag (die „AVV“) ist Bestandteil der Nutzungsbedingungen zwischen Ihnen (dem „Kunden“) und Zinn Digital® Ltd (Registernummer 16385785, USt-IdNr. GB 526 5236 92), 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom („Zinn Digital®“, „wir“, „uns“). Er findet Anwendung, wenn wir im Rahmen der Erbringung von Hosting- und damit verbundenen Dienstleistungen personenbezogene Daten in Ihrem Auftrag verarbeiten – vor allem die personenbezogenen Daten, die in den von Ihnen bei uns gehosteten Websites und Anwendungen enthalten sind.

Dies spiegelt Artikel 28 der UK GDPR und der EU GDPR wider. Für personenbezogene Daten, bei denen wir der Verantwortliche sind — Ihre Konto-, Abrechnungs- und unsere eigenen Website-Besucherdaten — gilt anstelle dieser DPA unsere Datenschutzerklärung. Wenn Ihre Organisation diese DPA als eigenständiges Dokument unterzeichnet benötigt, kontaktieren Sie uns bitte, und wir werden dies veranlassen.

1. Definitionen und Rollen

Begriffe wie personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter, betroffene Person, Verletzung des Schutzes personenbezogener Daten und Aufsichtsbehörde haben die ihnen im anwendbaren Datenschutzrecht (the UK GDPR, the EU GDPR, and the UK Data Protection Act 2018) zugewiesene Bedeutung.

• Für die personenbezogenen Daten innerhalb Ihrer gehosteten Websites und Anwendungen („personenbezogene Daten des Kunden“) sind Sie der Verantwortliche und Zinn Digital® ist der Auftragsverarbeiter.
• Sofern die Daten Ihrer eigenen Endnutzer ihrerseits von einem Dritten kontrolliert werden, für den Sie handeln, bestätigen Sie, dass Sie befugt sind, uns in dessen Namen Weisungen zu erteilen.
• Zinn Digital® bleibt der Verantwortliche für Konto-, Abrechnungs- und eigene Website-Analysedaten, die unserer Datenschutzerklärung unterliegen.

2. Geltungsbereich, Dauer und unsere Weisungen

Wir verarbeiten personenbezogene Kundendaten ausschließlich zur Bereitstellung, Absicherung, Unterstützung und Wartung des von Ihnen erworbenen Hostings und der zugehörigen Dienste sowie ausschließlich auf Grundlage Ihrer dokumentierten Weisungen — hierzu gehören Ihre Konfiguration des Dienstes und Ihre Nutzung seiner Funktionen. Die Nutzung des Dienstes stellt an sich eine Weisung dar, die darin enthaltenen Daten für diese Zwecke zu verarbeiten.

Gegenstand ist der Betrieb Ihres Hostings; die Dauer entspricht der Laufzeit Ihrer Vereinbarung zuzüglich etwaiger Abwicklungsfristen in Abschnitt 9. Art und Zweck der Verarbeitung sind Hosting, Speicherung, Übertragung, Sicherung, Sicherheit und Support. Die Datenarten und Kategorien betroffener Personen umfassen alles, was Sie auf dem Dienst platzieren und was Ihrer Kontrolle unterliegt. Wir werden Sie informieren, wenn eine Weisung nach unserer Auffassung gegen Datenschutzrecht verstößt, und wir verwenden personenbezogene Daten von Kunden weder für eigene Zwecke noch zum Trainieren von Modellen.

3. Vertraulichkeit

Wir stellen sicher, dass die zur Verarbeitung personenbezogener Kundendaten autorisierten Personen einer angemessenen Vertraulichkeitspflicht unterliegen, und beschränken den Zugriff auf diejenigen, die ihn zur Erbringung oder Unterstützung des Dienstes benötigen. Der Zugriff auf Produktionssysteme unterliegt dem Prinzip der geringsten Rechte und wird protokolliert.

4. Sicherheitsmaßnahmen

Wir setzen angemessene technische und organisatorische Maßnahmen ein, um personenbezogene Daten von Kunden vor unbeabsichtigter oder unrechtmäßiger Zerstörung, Verlust, Veränderung sowie unbefugter Offenlegung oder unbefugtem Zugriff zu schützen, die dem jeweiligen Risiko angemessen sind. Diese umfassen:

• Verschlüsselung von Daten bei der Übertragung mittels TLS über alle unsere Dienste hinweg.
• Mandantenspezifische Isolierung, sodass die Umgebung eines Kunden nicht auf die eines anderen zugreifen kann, durchgesetzt bis auf Datenbankebene mittels Sicherheit auf Zeilenebene.
• Zugriffskontrollen nach dem Prinzip der geringsten Rechte, wobei Zugangsdaten und Schlüssel in einem dedizierten Secrets Manager statt im Code oder in Konfigurationsdateien aufbewahrt werden.
• Ein prüfbarer Prüfpfad für privilegierte und administrative Aktionen.
• Kontinuierliche Überwachung, Malware-Scans und ein festgelegter Prozess zur Erkennung, Behandlung und Meldung von Sicherheitsvorfällen.
• Regelmäßige Datensicherungen, einschließlich Wiederherstellungstests, gemäß der Aufbewahrungsfrist Ihres Tarifs.

5. Unterauftragsverarbeiter

Sie erteilen uns die allgemeine Genehmigung, Unterauftragsverarbeiter zur Unterstützung bei der Erbringung der Dienstleistung einzusetzen. Wir erlegen jedem Unterauftragsverarbeiter Datenschutzverpflichtungen auf, die nicht weniger streng sind als die in diesem DPA festgelegten, und bleiben Ihnen gegenüber für deren Leistung verantwortlich. Wir setzen derzeit Unterauftragsverarbeiter in den folgenden Kategorien ein:

• Infrastruktur- und Cloud-Anbieter, die die Plattform und deren Daten hosten.
• Zahlungsdienstleister, zur Abwicklung von Zahlungen und zur Betrugsprävention (diese erhalten Abrechnungsdaten, nicht die Inhalte Ihrer Websites).
• Ein Anbieter von Transaktions-E-Mails zum Versenden von Konto- und Dienstmitteilungen.
• Ein Anbieter für Produktanalysen (PostHog), der ausschließlich auf unseren eigenen Websites und nur mit der Einwilligung des Besuchers eingesetzt wird.
• Domain-Registrierungsstellen sowie DNS-, CDN- und Sicherheitsanbieter, sofern Ihr Tarif diese nutzt.

6. Änderungen an Unterauftragsverarbeitern

Wir halten die oben genannten Kategorien auf dem aktuellen Stand und stellen auf Anfrage eine Liste bestimmter Unterauftragsverarbeiter zur Verfügung. Wenn wir beabsichtigen, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, der personenbezogene Kundendaten verarbeitet, geben wir Ihnen die Möglichkeit, informiert zu werden, sowie eine angemessene Frist, um aus berechtigten Datenschutzgründen Widerspruch einzulegen. Können wir einen berechtigten Einwand nicht ausräumen, können Sie den betroffenen Teil des Dienstes kündigen.

7. Unterstützung bei der Wahrung von Betroffenenrechten

Unter Berücksichtigung der Art der Verarbeitung unterstützen wir Sie bei der Beantwortung von Anfragen betroffener Personen zur Ausübung ihrer Rechte — Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widerspruch —, indem wir die geeigneten technischen und organisatorischen Maßnahmen sowie die Werkzeuge im Dienst bereitstellen, soweit dies möglich ist.

Wenn wir eine Anfrage direkt von einer Ihrer betroffenen Personen erhalten, werden wir diese nicht selbst beantworten, es sei denn, Sie weisen uns dazu an oder es ist gesetzlich vorgeschrieben, und wir werden sie an Sie weiterleiten, sofern wir feststellen können, dass sie sich auf Ihre Daten bezieht.

8. Verletzungen des Schutzes personenbezogener Daten

Wir unterhalten einen definierten Incident-Management-Prozess. Sobald wir Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangen, die personenbezogene Daten von Kunden betrifft, benachrichtigen wir Sie unverzüglich und stellen Ihnen die Informationen zur Verfügung, die Sie vernünftigerweise benötigen, um Ihren eigenen Meldepflichten gegenüber einer Aufsichtsbehörde und den betroffenen Personen nachzukommen — einschließlich der Art der Verletzung, der wahrscheinlichen Folgen und der ergriffenen oder vorgeschlagenen Maßnahmen. Wir unterstützen Sie ferner unter Berücksichtigung der uns zur Verfügung stehenden Informationen bei Ihren Pflichten zur Gewährleistung der Sicherheit der Verarbeitung, zur Durchführung von Datenschutz-Folgenabschätzungen und zur Konsultation von Aufsichtsbehörden, sofern erforderlich.

9. Internationale Datenübermittlungen

Unser Sitz befindet sich im Vereinigten Königreich, und wir ziehen es vor, Daten im Vereinigten Königreich und im Europäischen Wirtschaftsraum zu speichern. Sofern personenbezogene Daten von Kunden außerhalb des Vereinigten Königreichs oder des EWR übertragen werden — sei es durch uns oder einen Unterauftragsverarbeiter —, stützen wir uns auf einen rechtmäßigen Übertragungsmechanismus wie einen Angemessenheitsbeschluss, das International Data Transfer Agreement des Vereinigten Königreichs bzw. das entsprechende Addendum oder die Standardvertragsklauseln der EU, zusammen mit zusätzlichen Schutzmaßnahmen, wo erforderlich, damit für die Daten ein im Wesentlichen gleichwertiges Schutzniveau gewährleistet bleibt.

10. Rückgabe und Löschung bei Beendigung

Bei Beendigung des Dienstes und nach Ihrer Wahl stellen wir die personenbezogenen Daten des Kunden für einen angemessenen Zeitraum für Sie zum Export zur Verfügung und löschen oder geben diese anschließend zurück und löschen vorhandene Kopien, es sei denn, das Gesetz schreibt vor, dass wir sie aufbewahren müssen. In Backups gespeicherte Daten werden im Rahmen des regulären Backup-Ablaufzyklus gelöscht. Sofern eine Aufbewahrung gesetzlich vorgeschrieben ist, bewahren wir nur das auf, was das Gesetz verlangt, und schützen es weiterhin im Rahmen dieses DPA.

11. Audits und Nachweis der Compliance

Wir stellen die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um unsere Einhaltung dieses AVV nachzuweisen, und ermöglichen Prüfungen, einschließlich Inspektionen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, und tragen dazu bei. Um die Sicherheit und Vertraulichkeit der gemeinsam genutzten Plattform und anderer Kunden zu schützen, finden Prüfungen nach angemessener Vorankündigung, in angemessener Häufigkeit und vorbehaltlich der Vertraulichkeit statt, und wir können einer Prüfungsanfrage nachkommen, indem wir unsere Dokumentation, Sicherheitsbeschreibungen und alle in unserem Besitz befindlichen Berichte Dritter bereitstellen.

12. Haftung und Vorrang

Die Haftung jeder Partei im Rahmen dieser DPA unterliegt den Haftungsbeschränkungen und -ausschlüssen in den Servicebedingungen. Im Falle eines Widerspruchs zwischen dieser DPA und den Servicebedingungen bezüglich der Verarbeitung personenbezogener Kundendaten hat diese DPA Vorrang; im Falle eines Widerspruchs zwischen dieser DPA und den Standardvertragsklauseln (sofern anwendbar) haben die Klauseln Vorrang.

13. Wie Sie uns kontaktieren können

Auftragsverarbeiter im Rahmen dieser AVV ist Zinn Digital® Ltd (Handelsregisternummer 16385785, USt-IdNr. GB 526 5236 92), 71-75 Shelton Street, Covent Garden, London, WC2H 9JQ, United Kingdom.

Bei Fragen zum Datenschutz, zur Ausübung Ihrer Rechte oder zur Anforderung dieses AVV als unterzeichnetes Einzeldokument kontaktieren Sie uns bitte über die Kontaktseite unter zinndigital.com/contact oder per E-Mail an office@zinndigital.com. Wir leiten Datenschutzanfragen an die dafür zuständige Person weiter.

Verwandt

• Datenschutzerklärung →
• Nutzungsbedingungen →
• Cookie-Richtlinie →
• Vertrauen und Sicherheit →
• Kontaktieren Sie uns →