Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Fassung Oktober 2026. Zwischen dem Nutzer von ToHandOn (Verantwortlicher) und hmaidan.media, Inhaber Daniel Hmaidan, Holsteinstraße 2, 35684 Dillenburg (Auftragsverarbeiter). Der Vertrag kommt mit dem Häkchen bei der Anmeldung zustande.

1. Gegenstand und Dauer

Verarbeitung der Daten der vom Verantwortlichen benannten Nachfolger sowie der im Tresor hinterlegten Daten für die Dauer des Nutzungsvertrags.

2. Art, Zweck, Daten, Betroffene

Speichern und Übermitteln zum Zweck des Notfallablaufs. Daten: Name, E-Mail, freiwillig Telefon und öffentlicher Schlüssel der Nachfolger; Tresorinhalte ausschließlich verschlüsselt (für den Auftragsverarbeiter nicht lesbar). Betroffene: Nachfolger; mittelbar Kunden des Verantwortlichen, soweit Zugangsdaten auf sie verweisen.

3. Weisungen

Der Auftragsverarbeiter verarbeitet nur nach dokumentierter Weisung des Verantwortlichen, die durch die Einstellungen im Konto erteilt wird.

4. Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Ende-zu-Ende-Verschlüsselung des Tresors im Browser; der Auftragsverarbeiter besitzt keinen Schlüssel.
• Pflicht zur Zwei-Schritt-Anmeldung; Warnung bei neuen Geräten; Verzögerung von Planänderungen um 7 Tage.
• Server in Deutschland, Zugriff nur mit Schlüssel, Firewall, automatische Sicherheitsupdates.
• Transportverschlüsselung (HTTPS), DNSSEC und Domainsperre.
• Unveränderliches Protokoll aller Änderungen und Öffnungen.
• Tägliche Sicherung, 14 Tage aufbewahrt.

6. Unterauftragsverarbeiter

Der Verantwortliche stimmt zu: netcup GmbH, Karlsruhe (Server, Rechenzentrum Nürnberg); INWX GmbH, Berlin (Domains, Nameserver); E-Mail-Anbieter des Absenderpostfachs mit Sitz in der EU; bei Aktivierung ein SMS-Anbieter mit Sitz in Deutschland. Über Änderungen informiert der Auftragsverarbeiter vorab per E-Mail; der Verantwortliche kann widersprechen und den Vertrag kündigen.

7. Unterstützung, Meldepflichten

Der Auftragsverarbeiter unterstützt bei Betroffenenrechten und meldet Datenschutzverletzungen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis.

8. Löschung

Nach Vertragsende werden alle Daten gelöscht (siehe Datenschutzhinweise, Speicherdauer).

9. Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung.