Auftragsverarbeitungsvertrag (DPA)

WebDisk Files · Version 1.0 · Gültig ab 2026-06-09

Dies ist ein Vertragsmuster. Nachstehend veröffentlichen wir den vollständigen Wortlaut des Auftragsverarbeitungsvertrags (AVV), den wir mit WebDisk-Kunden abschließen. Die Felder in eckigen Klammern werden bei Vertragsschluss mit den Daten des Kunden ausgefüllt — die ausgefüllte Fassung erhalten Sie im Service-Panel oder auf Anfrage unter office@webdisk.io. Rechtsverbindlich ist die polnische Fassung; diese deutsche Übersetzung dient lediglich der Information (siehe §12.3).

Vertrag geschlossen zwischen:

dem Verantwortlichen (Kunden):

• Name: [Name des Kunden]
• Anschrift: [Straße und Hausnummer], [Postleitzahl] [Ort]
• NIP/USt-IdNr.: [NIP / EU-USt-IdNr.]
• Kontakt-E-Mail: [Kontakt-E-Mail]
• Vertreten durch den Kontoadministrator von WebDisk Files

und

dem Auftragsverarbeiter (Prozessor):

• Mazura sp. z o.o. mit Sitz in Ząbki, ul. Baśniowa 1C/2, 05-091 Ząbki, Polen, eingetragen im Unternehmerregister des Landesgerichtsregisters (KRS), geführt vom Amtsgericht für die Hauptstadt Warschau in Warschau, XIV. Wirtschaftsabteilung des KRS, unter der Nummer KRS 0000971559, NIP 1251732787, Inhaberin der Marke WebDisk
• Kontakt: office@webdisk.io, Tel. +48 574 311 332, Korrespondenzadresse: ul. Baśniowa 1C/2, 05-091 Ząbki, Polen.

Dieser Auftragsverarbeitungsvertrag (nachfolgend: „DPA") regelt die Auftragsverarbeitung personenbezogener Daten im Zusammenhang mit der Nutzung des Dienstes WebDisk Files (nachfolgend: „Dienst") durch den Kunden gemäß den Files-Nutzungsbedingungen.

§1. Begriffsbestimmungen

In diesem DPA gelten die Begriffsbestimmungen der DSGVO (Verordnung 2016/679). Insbesondere:

• „DSGVO" — Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates,
• „Personenbezogene Daten" — alle Informationen über eine identifizierte oder identifizierbare natürliche Person, die im Rahmen des Dienstes verarbeitet werden,
• „Betroffene Personen" — Endnutzer des Kunden sowie alle anderen natürlichen Personen, deren Personenbezogene Daten der Kunde WebDisk anvertraut hat,
• „Verletzung des Schutzes personenbezogener Daten" — eine Verletzung der Sicherheit, die zur unbeabsichtigten oder unrechtmäßigen Offenlegung, zum Verlust, zur Veränderung oder zum unbefugten Zugang zu Personenbezogenen Daten führt.

§2. Gegenstand, Art und Zweck der Auftragsverarbeitung

2.1. Gegenstand der Auftragsverarbeitung: personenbezogene Daten in den Dateien des Kunden und in den Metadaten der Anwendung (E-Mail-Adressen der Nutzer, Rechnungsdaten, Zugriffsprotokolle).

2.2. Art der Verarbeitung: Speicherung, Replikation, Bereitstellung über API und Web-Panel, Erzeugung von Freigabe-Links, Sicherungskopien der Metadaten, optional SSE-C-Verschlüsselung, optional Unveränderlichkeit (Object Lock).

2.3. Zweck der Verarbeitung: Erbringung des Dienstes WebDisk Files für den Kunden gemäß den Files-Nutzungsbedingungen und dem gewählten Abonnementplan.

2.4. Kategorien Personenbezogener Daten können umfassen (je nach den vom Kunden hochgeladenen Inhalten):

• Identifikationsdaten (Vorname, Nachname, E-Mail),
• Kontaktdaten (Telefon, Anschrift),
• berufliche Daten (Position, Organisation),
• weitere in den Dateien des Kunden enthaltene Kategorien — nach Wahl des Kunden.

2.5. Kategorien Betroffener Personen:

• Endnutzer des Kunden (Mitarbeiter, Mitwirkende, Vertragspartner),
• natürliche Personen, deren Daten der Kunde in Dateien speichert (Kunden, Partner, Lieferanten usw.).

2.6. Dauer der Verarbeitung: für die Laufzeit des Vertrags über die Erbringung des Dienstes, bis zu dessen Beendigung oder bis zur Ausübung des Rechts auf Löschung der Daten (gemäß §9).

§3. Pflichten des Auftragsverarbeiters (WebDisk)

WebDisk verpflichtet sich:

3.1. Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Kunden zu verarbeiten — die Files-Nutzungsbedingungen, die Konfiguration im Kunden-Panel und die über die API des Kunden ausgelösten Operationen gelten als solche Weisung.

3.2. Sicherzustellen, dass sich die zur Verarbeitung Personenbezogener Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

3.3. Die in §5 genannten technischen und organisatorischen Maßnahmen (TOM) umzusetzen und aufrechtzuerhalten, die ein dem Risiko angemessenes Schutzniveau gewährleisten (Art. 32 DSGVO).

3.4. Den Kunden bei der Erfüllung von Anfragen betroffener Personen (Art. 12-22 DSGVO) zu unterstützen — insbesondere durch Bereitstellung der Funktionen Datenexport, Kontolöschung und Profilbearbeitung.

3.5. Den Kunden bei der Erfüllung folgender Pflichten zu unterstützen:

• Sicherheit (Art. 32 DSGVO),
• Meldung von Verletzungen (Art. 33-34 DSGVO) — §7,
• Datenschutz-Folgenabschätzung (Art. 35 DSGVO) — die DSFA für die Anti-Ransomware-Funktion stellen wir auf Anfrage bereit.

3.6. Nach Beendigung der Erbringung des Dienstes alle Personenbezogenen Daten zu löschen oder dem Kunden zurückzugeben (§9).

3.7. Dem Kunden alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, sowie Audits zu ermöglichen gemäß §10.

§4. Pflichten des Verantwortlichen (Kunden)

Der Kunde verpflichtet sich:

4.1. Personenbezogene Daten in Übereinstimmung mit der DSGVO zu verarbeiten, insbesondere für jede WebDisk anvertraute Datenkategorie über eine Rechtsgrundlage der Verarbeitung zu verfügen.

4.2. Seine Nutzer und die betroffenen Personen darüber zu informieren, dass ihre Daten auf der Infrastruktur von WebDisk als Auftragsverarbeiter gespeichert werden.

4.3. Keine Daten besonderer Kategorien (Art. 9 DSGVO — Gesundheit, Biometrie, gerichtliche und strafrechtliche Daten usw.) und keine Daten, die Sonderregelungen unterliegen (US-HIPAA, vollständige PAN nach PCI-DSS), ohne vorherige schriftliche Vereinbarung mit WebDisk in den Dienst hochzuladen.

4.4. Den Zugriff auf den Dienst auf seiner Seite zu verwalten (Berechtigungen in der Organisation, MFA, Passwortrotation).

4.5. Mit WebDisk bei der Erfüllung von Anfragen betroffener Personen zusammenzuarbeiten — Anfragen, die im Dienst verarbeitete Personenbezogene Daten betreffen, unverzüglich weiterzuleiten.

§5. Technische und organisatorische Maßnahmen

WebDisk setzt insbesondere ein:

5.1. Verschlüsselung:

• TLS 1.2+ für alle Verbindungen (Panel, API, S3),
• optionales SSE-C (Server-Side Encryption with Customer Keys) — der Kunde aktiviert es auf Magazyn-Ebene (Speicherebene),
• Verschlüsselung der Kontopasswörter (bcrypt cost ≥10),
• Verschlüsselung der Master-Keys und SSE-C-Schlüssel in der Datenbank (AES-256-GCM).

5.2. Zugriffskontrolle:

• persönliche Konten der WebDisk-Mitarbeiter, MFA bei kritischen Operationen erzwungen,
• Trennung der Umgebungen dev/staging/prod,
• RGW-Bucket-Policies, die die Isolation der Organisationen erzwingen,
• direkter Produktionszugriff ausschließlich über SSH-Bastion mit Hardware-Schlüsseln.

5.3. Audit-Log:

• Protokollierung administrativer Operationen (Anlegen/Löschen von Konten, Planänderungen, Eingriffe des Betreibers) — mit 12-monatiger Aufbewahrung,
• Protokollierung der S3-Zugriffe (RGW Access Log) — mit 90-tägiger Aufbewahrung.

5.4. Redundanz und Ausfallsicherheit:

• 3-fache Replikation jedes Objekts auf Ceph-Ebene (separate Hosts, RBAC),
• mdadm RAID1 für die Systemfestplatten des Clusters,
• MySQL-Snapshots alle 24h mit 30-tägiger Aufbewahrung,
• Detektor für Sicherheitsanomalien (Wazuh SIEM) mit Alarmierung rund um die Uhr (24/7).

5.5. Datenstandort:

• alle Personenbezogenen Daten werden auf der Infrastruktur von WebDisk in Polen (EU) gespeichert,
• keine Übermittlung außerhalb der EU/des EWR (mit Ausnahme der Unterauftragsverarbeiter gemäß §6).

5.6. Kontinuierliche Verbesserung:

• regelmäßige Sicherheitsupdates,
• Penetrationstests mindestens einmal jährlich,
• Überprüfung der technischen und organisatorischen Maßnahmen mindestens einmal jährlich.

§6. Weitere Unterauftragsverarbeiter (Subprocessors)

6.1. Der Kunde erteilt hiermit die allgemeine Genehmigung zur Inanspruchnahme weiterer Unterauftragsverarbeiter durch WebDisk (Art. 28 Abs. 2 DSGVO).

6.2. Die aktuelle Liste der Unterauftragsverarbeiter ist in Abschnitt 9 der Files-Nutzungsbedingungen enthalten. Das aktuelle Verzeichnis stellen wir dem Kunden auch auf Anfrage zur Verfügung.

6.3. Über Änderungen an der Liste der Unterauftragsverarbeiter (Hinzufügung eines neuen, Änderung des Umfangs) informieren wir den Kunden per E-Mail mit einer Vorlaufzeit von 30 Tagen an die Adresse des Org-Admins im Panel.

6.4. Der Kunde hat das Recht, innerhalb von 14 Tagen nach der Benachrichtigung begründeten Einspruch gegen die Hinzufügung eines neuen Unterauftragsverarbeiters zu erheben. Im Falle eines Einspruchs:

• suchen WebDisk und der Kunde innerhalb von 30 Tagen nach einer Ersatzlösung,
• kommt keine Einigung zustande, hat der Kunde das Recht zur Kündigung des Vertrags mit sofortiger Wirkung unter Wahrung des Rechts auf Datenexport.

6.5. WebDisk haftet gegenüber dem Kunden für Handlungen und Unterlassungen der Unterauftragsverarbeiter wie für eigene (Art. 28 Abs. 4 DSGVO). Alle Unterauftragsverarbeiter sind durch einen Vertrag mit gleichwertigem Datenschutzniveau gebunden.

§7. Meldung von Verletzungen

7.1. Im Falle einer Verletzung des Schutzes der von diesem DPA erfassten Personenbezogenen Daten wird WebDisk:

a) den Kunden ohne unangemessene Verzögerung, spätestens innerhalb von 48h nach Entdeckung per E-Mail und über das Panel (sofern verfügbar) informieren;

b) die nach Art. 33 Abs. 3 DSGVO erforderlichen Informationen übermitteln:

• Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze,
• Folgen der Verletzung,
• ergriffene oder vorgeschlagene Abhilfemaßnahmen,
• Kontaktstelle von WebDisk für die weitere Kommunikation;

c) den Kunden bei der Meldung der Verletzung an die Aufsichtsbehörde (UODO) sowie an die betroffenen Personen (sofern erforderlich) unterstützen.

7.2. Der Kunde meldet die Verletzung der UODO innerhalb von 72h nach Erhalt der Information von WebDisk, es sei denn, die Verletzung führt voraussichtlich nicht zu einem Risiko für die Rechte und Freiheiten natürlicher Personen.

§8. Unterstützung bei der Ausübung der Rechte betroffener Personen

WebDisk stellt dem Kunden folgende Mechanismen zur Erfüllung von Anfragen bereit:

• Art. 15 — Auskunftsrecht: „Meine Daten exportieren (DSGVO)" im Nutzerprofil — ZIP mit Dateien + metadata.json
• Art. 16 — Berichtigung: Profilbearbeitung, Bearbeitung der Rechnungsdaten im Org-Admin-Panel
• Art. 17 — Recht auf Vergessenwerden: „Konto schließen" im Profil (USER) / „Organisation schließen" (ORG_ADMIN); 30-tägige Karenzzeit, danach physische Löschung
• Art. 20 — Datenübertragbarkeit: „Meine Daten exportieren (DSGVO)" — ZIP, lesbar mit Standardwerkzeugen
• Art. 21 — Widerspruch: der Kunde kontaktiert support@webdisk.io
• Art. 22 — automatisierte Entscheidungen: wir setzen kein automatisiertes Profiling und keine Entscheidungen mit rechtlicher Wirkung ein

§9. Rückgabe oder Löschung der Daten

9.1. Nach Beendigung des Vertrags über die Erbringung des Dienstes (aus beliebigem Grund) wird WebDisk:

a) dem Kunden einen Zeitraum von 14 Tagen einräumen, um die Daten auf Kundenseite selbstständig zu exportieren (Mechanismus „Meine Daten exportieren");

b) nach Ablauf von 14 Tagen oder unverzüglich auf schriftliches Verlangen des Kunden — alle Personenbezogenen Daten des Kunden physisch löschen, vorbehaltlich §9.2.

9.2. Ausnahmen für Anti-Ransomware-Magazyny (Speicher). Dateien in Speichern mit aktiviertem Object Lock Compliance werden schrittweise gelöscht, sobald die Aufbewahrungsfristen der einzelnen Versionen ablaufen. Der Kunde wird über die voraussichtliche Dauer bis zur vollständigen Löschung informiert. Mit schriftlicher Zustimmung des Kunden kann WebDisk das Verfahren aus §4.5 der Files-Nutzungsbedingungen (Low-Level-Intervention) anwenden, das diesen Prozess verkürzt.

9.3. Ausnahmen für rechtliche Verpflichtungen. WebDisk bewahrt auf:

• ein anonymisiertes Audit-Log der Zugriffe für 12 Monate (Art. 17 Abs. 3 lit. b DSGVO — Erfüllung der Sicherheitspflichten),
• buchhalterische Metadaten (Rechnungen, NIP, Beträge) für 5 Jahre gemäß dem polnischen Rechnungslegungsgesetz und der polnischen Abgabenordnung.

9.4. Nach Erfüllung von Punkt §9.1.b stellt WebDisk dem Kunden auf Anfrage eine schriftliche Löschbestätigung aus.

§10. Audits

10.1. Der Kunde hat das Recht, ein Audit der Einhaltung dieses DPA durch WebDisk durchzuführen, insbesondere der technischen und organisatorischen Maßnahmen (§5), höchstens einmal pro Kalenderjahr.

10.2. Das Audit wird mit einer Vorlaufzeit von mindestens 30 Tagen schriftlich angekündigt.

10.3. Der Kunde kann das Audit einem unabhängigen Auditor übertragen, der einer Verschwiegenheitspflicht unterliegt.

10.4. Das Audit erstreckt sich nicht auf Daten anderer WebDisk-Kunden oder auf Geschäftsgeheimnisse von WebDisk, die nicht mit dem DPA in Zusammenhang stehen.

10.5. Die Kosten des Audits trägt der Kunde. Werden wesentliche Verstöße gegen das DPA festgestellt, übernimmt WebDisk die angemessenen Kosten des Audits.

10.6. Alternativ kann der Kunde als Konformitätsnachweis akzeptieren:

• einen aktuellen Bericht eines unabhängigen Auditors (z. B. ISO 27001, SOC 2 Type II — sofern WebDisk über einen solchen verfügt),
• Berichte über von WebDisk durchgeführte Penetrationstests.

§11. Haftung

11.1. WebDisk haftet für Schäden aus der Verletzung des DPA nach den allgemeinen Grundsätzen des polnischen Zivilgesetzbuchs, begrenzt auf die Höhe der vom Kunden in den letzten 12 Monaten vor Schadenseintritt gezahlten Entgelte, mit Ausnahme von:

• Schäden, die vorsätzlich oder durch grobe Fahrlässigkeit verursacht wurden,
• Verletzungen der Rechte Dritter durch Verschulden von WebDisk.

11.2. Die Haftung für Ansprüche betroffener Personen (Art. 82 DSGVO) tragen die Parteien nach den in Art. 82 Abs. 4 und 5 DSGVO festgelegten Grundsätzen (gesamtschuldnerische Haftung mit Regressmöglichkeit).

§12. Schlussbestimmungen

12.1. Änderungen des DPA. Änderungen dieses DPA bedürfen zu ihrer Wirksamkeit der Schriftform, wobei eine E-Mail-Benachrichtigung mit dem Erfordernis der erneuten Annahme im Panel nach Inkrafttreten der neuen Fassung als Wahrung der Schriftform gilt.

12.2. Vorrang. Bei Widersprüchen zwischen dem DPA und den Files-Nutzungsbedingungen / den WebDisk-SaaS-Nutzungsbedingungen hat das DPA im Bereich des Schutzes personenbezogener Daten Vorrang.

12.3. Sprache. Bei Abweichungen zwischen den Sprachfassungen des DPA ist die polnische Fassung (PL) verbindlich.

12.4. Anwendbares Recht und Gerichtsstand. Polnisches Recht. Zuständig ist das Gericht am Sitz von WebDisk.

12.5. Inkrafttreten. Das DPA tritt mit der Annahme im Org-Admin-Panel (protokolliert im Audit-Log) oder mit der qualifizierten elektronischen Signatur des heruntergeladenen PDF-Dokuments in Kraft.

Dokument: webdisk-files / DPA · Version 1.0 · gültig ab 2026-06-09