DSGVO: Wo finde ich die Auftragsverarbeitungsvereinbarung (DPA) und die Vertraulichkeitsverpflichtungen von LWS?

Procédure

Die Verpflichtungen von LWS als Auftragsverarbeiter im Sinne der DSGVO sind in zwei frei zugänglichen Dokumenten auf der AGB-Seite von LWS, Rubrik „Allgemeine Bedingungen“, veröffentlicht: „Verarbeitung personenbezogener Daten oder DPA“ und „Vereinbarung zur Datenverarbeitung (DPA-Vereinbarung)“. Diese Hilfe zeigt Ihnen, wo Sie sie finden, was sie zur Vertraulichkeit, zum Standort und zur Sicherheit der Daten enthalten und wer bei Fragen zu kontaktieren ist.

Diese Hilfe fasst Vertragsdokumente zusammen, um Ihnen die Orientierung zu erleichtern. Nur die Dokumente selbst sind maßgeblich: Lesen Sie sie vollständig und lassen Sie sich bei Bedarf von einer Rechtsberatung begleiten.

Wo finde ich die Auftragsverarbeitungsvereinbarung (DPA) von LWS?

Auf der AGB-Seite von LWS bietet die Rubrik „Allgemeine Bedingungen“ als PDF an:

• Verarbeitung personenbezogener Daten oder DPA (Version vom 16. April 2024);
• Vereinbarung zur Datenverarbeitung (DPA-Vereinbarung) (Version vom 19. April 2024).

Die Rubrik „Rechtliche Dokumente“ derselben Seite bietet außerdem die Sicherheitsrichtlinie des Informationssystems, die Datenschutzerklärung und die DSGVO-Rechtsinformationen.

Laut diesen Dokumenten ist die DPA integraler Bestandteil des zwischen LWS und dem Kunden geschlossenen Vertrags, und die DPA-Vereinbarung legt fest, dass die Bestellung oder die Erstellung eines Kontos als Annahme dieser Vereinbarung gilt. Die DPA-Vereinbarung enthält außerdem einen Abschnitt „Besondere Bedingungen“ mit den Arten der verarbeiteten Daten (einschließlich sensibler Daten) sowie einer Unterschrift beider Parteien.

Wer ist wofür verantwortlich?

Die DPA wird gemäß Artikel 28 der DSGVO erstellt:

• für die Daten, die Sie bei LWS hosten, gelten Sie als Verantwortlicher: Sie wählen die Daten und die betroffenen Personen aus;
• LWS handelt als Auftragsverarbeiter und verarbeitet diese Daten ausschließlich auf Ihre Weisung, soweit dies für die Erbringung der Dienste erforderlich ist.

Die DPA erinnert auch daran, dass Sie für die Sicherheit dessen verantwortlich bleiben, was Sie selbst auf Ihren Diensten installieren und betreiben (Websites, Software, Anwendungen).

Vertraulichkeit der Daten

Laut der DPA und der DPA-Vereinbarung:

• die zur Verarbeitung der Daten befugten Mitarbeiter von LWS unterliegen einer Vertraulichkeitspflicht und erhalten eine Schulung zum Schutz personenbezogener Daten;
• LWS verpflichtet sich, nur im Rahmen der Leistungserbringung auf Ihre Daten zuzugreifen und diese nur dafür zu verwenden;
• von allen für LWS handelnden Mitarbeitern und Dienstleistern werden Vertraulichkeitsverpflichtungen verlangt.

Standort der Daten und Unterauftragsverarbeiter

Die DPA gibt an, dass der Standort der Daten in Frankreich liegt und dass LWS keine Übermittlung personenbezogener Daten außerhalb der Europäischen Union vornimmt. Anhang II der DPA-Vereinbarung listet die weiteren Unterauftragsverarbeiter auf, die sämtlich in Frankreich ansässig sind: LWS SAS und Groupe LWS (verbundene Unternehmen), Equinix und Adista (Drittunternehmen).

Im Falle einer Änderung oder Hinzufügung eines weiteren Unterauftragsverarbeiters sieht die DPA vor, dass LWS Sie in Ihrer Verwaltungsoberfläche oder per E-Mail informiert und Sie 15 Tage Zeit haben, einen begründeten Einspruch zu erheben.

Sicherheitsmaßnahmen und Zertifizierung

Anhang I der DPA-Vereinbarung nennt insbesondere die Verschlüsselung der Daten während der Übertragung und bei der Speicherung, die Kontrolle des physischen und logischen Zugriffs auf die Server, eine verstärkte Authentifizierung, die Isolierung der Daten verschiedener Kunden und die schnelle Anwendung der vom CERT-FR veröffentlichten Sicherheits-Patches. Die Einzelheiten verweisen auf die Sicherheitsrichtlinie des Informationssystems von LWS.

Die Website lws.fr weist „Unternehmen und Rechenzentren zertifiziert nach ISO 27001“ aus. Die DPA sieht vor, dass LWS, sofern ein Dienst zertifiziert ist, die entsprechenden Zertifikate und Berichte auf schriftliche Anfrage des Kunden zur Verfügung stellt.

Sensible Daten hosten

Die DPA lässt Ihnen die Wahl der Dienste und die Verantwortung für diese Wahl. Wenn Ihre Verarbeitung ein hohes Risiko birgt, etwa weil sie sensible oder Gesundheitsdaten betrifft, fordert die DPA Sie auf, Ihre Dienste sorgfältig auszuwählen und zu prüfen, ob sie für die Art der verarbeiteten Daten geeignet sind. Die Sicherheitsrichtlinie des Informationssystems erinnert an dieselbe Regel: Es obliegt dem Kunden als Verantwortlichem, sicherzustellen, dass das Serviceniveau für die Sensibilität seiner Daten مناسب ist.

Die DPA sieht außerdem vor, dass LWS Ihnen auf schriftliche Anfrage hin angemessene Unterstützung für eine Datenschutz-Folgenabschätzung leistet. Nicht auf der LWS-Website veröffentlichte Informationen gelten als vertraulich, und LWS kann vor der Mitteilung die Unterzeichnung einer Vertraulichkeitsvereinbarung verlangen.

LWS bei einer Frage zu Ihren Daten kontaktieren

Die DPA sieht mehrere Kontaktmöglichkeiten vor:

• ein Ticket aus Ihrem Kundenbereich heraus (siehe wie Sie den technischen Support von LWS kontaktieren);
• das Kontaktformular der LWS-Website;
• ein Postanschreiben an: LWS, DPA - Datenverarbeitung, 10 rue Penthièvre, 75008 Paris (Frankreich).

Die Seite Impressum & Datenschutz von lws.fr nennt außerdem einen DSGVO-/DSB-Kontakt: rgpd@lws.fr.

Verwandte Artikel

• Wie kontaktiere ich den technischen Support von LWS?