Auftragsverarbeitungsvertrag

:::note Übersetzung Diese Übersetzung dient nur der Orientierung. Bei Abweichungen ist die englische Fassung maßgeblich. :::

Version: 1.1 Datum des Inkrafttretens: 19. August 2026 (Version 1.0, 9. August 2026 — geändert in 1.1: Twilio in Anhang III aufgenommen für den serverseitig bereitgestellten Versandmodus für SMS und Sprachanrufe.)

Dieser Auftragsverarbeitungsvertrag („AVV“) ist Bestandteil der Nutzungsbedingungen zwischen der WEBINGENIA SARL („SolidPing“, „Auftragsverarbeiter“, „wir“) und dem Kunden, der den gehosteten SolidPing-Dienst nutzt („Kunde“, „Verantwortlicher“, „Sie“).

Er setzt die Anforderungen des Artikels 28 der Verordnung (EU) 2016/679 („DSGVO“) um. Er tritt automatisch in Kraft, sobald Sie beginnen, den gehosteten Dienst zu nutzen; eine Unterschrift ist nicht erforderlich. Falls Ihr Beschaffungsprozess ein gegengezeichnetes Exemplar erfordert, schreiben Sie an contact@solidping.io.

:::note Dieser AVV gilt nicht für selbst gehostetes SolidPing

Wenn Sie die Open-Source-Software SolidPing auf Ihrer eigenen Infrastruktur betreiben, werden keine personenbezogenen Daten an uns übermittelt, und wir sind nicht Ihr Auftragsverarbeiter. Siehe Selbst hosten & DSGVO.

:::

1. Begriffsbestimmungen​

Die in der DSGVO definierten Begriffe — personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter, betroffene Person, Verletzung des Schutzes personenbezogener Daten, Aufsichtsbehörde — haben hier dieselbe Bedeutung.

• Personenbezogene Kundendaten bezeichnet personenbezogene Daten, die in den Daten enthalten sind, die der Kunde an den gehosteten Dienst übermittelt oder die von diesem erzeugt werden, und die SolidPing im Auftrag des Kunden verarbeitet.
• Dienst bezeichnet den gehosteten (SaaS) Monitoring-Dienst SolidPing, einschließlich seines Dashboards, seiner API, seiner Benachrichtigungskanäle, seiner Statusseiten und seiner Prüf-Agenten.
• EU-SCC bezeichnet die Standardvertragsklauseln, die mit dem Durchführungsbeschluss (EU) 2021/914 der Kommission angenommen wurden.

2. Rollen der Parteien​

Der Kunde ist der Verantwortliche für die personenbezogenen Kundendaten. SolidPing ist der Auftragsverarbeiter und verarbeitet personenbezogene Kundendaten ausschließlich auf dokumentierte Weisung des Kunden.

Für einen begrenzten Datenbestand, den SolidPing für eigene Zwecke benötigt, handelt SolidPing als eigenständiger Verantwortlicher — nicht als Auftragsverarbeiter: Konto- und Abrechnungsunterlagen, Sicherheits- und Audit-Protokolle, Missbrauchsprävention sowie aggregierte Produktanalysen. Diese Verarbeitung ist in der Datenschutzerklärung beschrieben und fällt nicht in den Anwendungsbereich dieses AVV.

3. Umfang und Weisungen​

3.1 SolidPing verarbeitet personenbezogene Kundendaten ausschließlich zur Erbringung des Dienstes gemäß den Nutzungsbedingungen, diesem AVV und allen weiteren dokumentierten Weisungen des Kunden (einschließlich Weisungen, die über die Konfiguration des Dienstes selbst erteilt werden, etwa welche Kanäle Benachrichtigungen erhalten).

3.2 Gegenstand, Dauer, Art, Zweck, Datenkategorien und Kategorien betroffener Personen sind in Anhang I festgelegt.

3.3 SolidPing informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, und kann die Ausführung dieser Weisung aussetzen, bis sie bestätigt oder zurückgezogen wird.

3.4 SolidPing verkauft personenbezogene Kundendaten nicht, nutzt sie nicht für Werbung und nicht zum Trainieren von Machine-Learning-Modellen.

4. Vertraulichkeit​

SolidPing stellt sicher, dass jede zur Verarbeitung personenbezogener Kundendaten befugte Person einer vertraglichen oder gesetzlichen Vertraulichkeitsverpflichtung unterliegt und den in den Sicherheitsmaßnahmen beschriebenen Zugriffskontrollen unterworfen ist.

5. Sicherheit​

SolidPing setzt geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO um. Diese Maßnahmen sind in Anhang II beschrieben und werden im Detail unter Sicherheitsmaßnahmen gepflegt. SolidPing darf sie aktualisieren, wird jedoch das Gesamtschutzniveau während der Laufzeit dieses AVV nicht verringern.

6. Unterauftragsverarbeiter​

6.1 Der Kunde erteilt SolidPing eine allgemeine schriftliche Genehmigung zur Beauftragung von Unterauftragsverarbeitern, vorbehaltlich dieser Klausel.

6.2 Die zum Datum des Inkrafttretens beauftragten Unterauftragsverarbeiter sind in Anhang III aufgeführt und werden unter Unterauftragsverarbeiter aktuell gehalten.

6.3 Vor dem Hinzufügen oder Ersetzen eines Unterauftragsverarbeiters informiert SolidPing den Kunden mit einer Frist von mindestens 30 Tagen per E-Mail an die administrativen Kontakte des Kontos und durch Aktualisierung der Seite der Unterauftragsverarbeiter.

6.4 Der Kunde kann innerhalb dieser 30-Tage-Frist aus angemessenen, dokumentierten datenschutzrechtlichen Gründen Einspruch gegen einen neuen Unterauftragsverarbeiter erheben. Die Parteien erörtern den Einspruch nach Treu und Glauben. Kann er nicht beigelegt werden, darf der Kunde den betroffenen Teil des Dienstes ohne Vertragsstrafe kündigen und erhält eine anteilige Erstattung etwaiger im Voraus gezahlter Entgelte für den nicht genutzten Zeitraum.

6.5 SolidPing erlegt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die nicht weniger schützend sind als die in diesem AVV, und bleibt gegenüber dem Kunden für die Leistung seiner Unterauftragsverarbeiter in vollem Umfang haftbar.

7. Internationale Datenübermittlungen​

7.1 Die Kerninfrastruktur des Dienstes — Anwendungsserver, Datenbank und Backups — befindet sich in Frankreich (EU). Regionale Prüf-Worker, die Prüfdefinitionen erhalten und deren Ergebnisse zurückliefern, aber keine Datenbank halten, laufen zusätzlich in den Vereinigten Staaten und in allen weiteren Regionen, die der Kunde auswählt. Wenn SolidPing SMS- oder Sprachalarme mit den Zugangsdaten seines eigenen Anbieters versendet, werden die Telefonnummer des Empfängers und der Alarmtext zusätzlich in den Vereinigten Staaten verarbeitet und über das Mobilfunknetz des Empfängers weitergeleitet.

7.2 Werden personenbezogene Daten in ein Land außerhalb des EWR übermittelt, für das kein Angemessenheitsbeschluss vorliegt, ist die Übermittlung durch die EU-SCC abgedeckt, die durch Verweis in diesen AVV einbezogen werden, wobei:

• Modul Zwei (Verantwortlicher an Auftragsverarbeiter) zwischen dem Kunden und SolidPing gilt, wenn der Kunde außerhalb des EWR niedergelassen ist;
• Modul Drei (Auftragsverarbeiter an Auftragsverarbeiter) zwischen SolidPing und jedem außerhalb des EWR ansässigen Unterauftragsverarbeiter gilt;
• Klausel 7 (Kopplungsklausel) nicht gilt;
• Klausel 9(a) Option 2 (allgemeine schriftliche Genehmigung) gilt, mit der 30-tägigen Frist aus Klausel 6.3 oben;
• die optionale unabhängige Streitbeilegung nach Klausel 11 nicht gilt;
• Klausel 17: das Recht Frankreichs;
• Klausel 18(b): die Gerichte von Paris, Frankreich;
• die Anhänge I, II und III der EU-SCC durch die Anhänge I, II und III dieses AVV ausgefüllt werden.

7.3 Übermittlungen in das Vereinigte Königreich stützen sich auf den Angemessenheitsbeschluss für das Vereinigte Königreich; sollte dieser Beschluss außer Kraft treten, gilt das UK International Data Transfer Addendum zu den vorstehenden EU-SCC.

7.4 Die tatsächlich heute stattfindenden Übermittlungen und die jeweiligen Garantien sind unter Unterauftragsverarbeiter → Internationale Datenübermittlungen aufgeführt.

8. Unterstützung bei den Rechten der betroffenen Personen​

8.1 Der Dienst stellt dem Kunden direkte Selbstbedienungsmittel zur Verfügung, um auf personenbezogene Kundendaten zuzugreifen, sie zu exportieren, zu berichtigen und zu löschen — siehe Ihre Rechte ausüben.

8.2 Wendet sich eine betroffene Person mit einem Antrag bezüglich personenbezogener Kundendaten direkt an SolidPing, wird SolidPing nicht in der Sache antworten. SolidPing leitet den Antrag unverzüglich an den Kunden weiter und weist die betroffene Person, sofern der Kunde identifiziert werden kann, darauf hin, sich an den Kunden zu wenden.

8.3 Unter Berücksichtigung der Art der Verarbeitung unterstützt SolidPing den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen nach Kapitel III DSGVO. Deckt das Selbstbedienungswerkzeug einen Antrag nicht ab, leistet SolidPing für Anträge gewöhnlichen Umfangs angemessene Unterstützung ohne Berechnung.

9. Unterstützung nach den Artikeln 32 bis 36​

SolidPing unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung von:

• Artikel 32 — Sicherheit der Verarbeitung (siehe Sicherheitsmaßnahmen);
• Artikel 33 und 34 — Meldung von Verletzungen des Schutzes personenbezogener Daten (Klausel 10 unten);
• Artikel 35 und 36 — Datenschutz-Folgenabschätzung und vorherige Konsultation, durch Bereitstellung der Informationen in diesem AVV und, auf Anfrage, angemessener zusätzlicher Einzelheiten zur Architektur des Dienstes.

10. Verletzung des Schutzes personenbezogener Daten​

10.1 SolidPing meldet dem Kunden unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die personenbezogene Kundendaten betrifft.

10.2 Die Meldung beschreibt, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen sowie eine Kontaktstelle für weitere Informationen. Liegt das vollständige Bild nicht sofort vor, stellt SolidPing die Informationen schrittweise ohne weitere unangemessene Verzögerung bereit.

10.3 SolidPing meldet Verletzungen nicht im Namen des Kunden an Aufsichtsbehörden oder betroffene Personen, es sei denn, der Kunde weist es schriftlich dazu an.

11. Audit​

11.1 SolidPing stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung von Artikel 28 DSGVO erforderlich sind, in erster Linie durch die unter Rechtliches & DSGVO veröffentlichte Dokumentation.

11.2 Der Kunde kann höchstens einmal pro Zwölfmonatszeitraum ein Audit verlangen. SolidPing wird zunächst anbieten, es durch vorhandene Dokumentation und einen schriftlichen Fragebogen zu erfüllen. Reicht dies tatsächlich nicht aus, kann der Kunde (oder ein unabhängiger, zur Vertraulichkeit verpflichteter Prüfer, der kein Wettbewerber von SolidPing ist) ein Audit vor Ort oder aus der Ferne während der Geschäftszeiten durchführen, mit einer schriftlichen Ankündigungsfrist von mindestens 30 Tagen, auf Kosten des Kunden und in einer Weise, die weder die Sicherheit oder Verfügbarkeit des Dienstes noch die Vertraulichkeit der Daten anderer Kunden beeinträchtigt.

11.3 Ein zusätzliches Audit kann auf Kosten des Kunden nach einer Verletzung des Schutzes personenbezogener Daten, die den Kunden betrifft, oder wenn eine Aufsichtsbehörde es verlangt, durchgeführt werden.

12. Löschung und Rückgabe​

12.1 Bei Beendigung oder Ablauf der Nutzung des Dienstes durch den Kunden löscht SolidPing die personenbezogenen Kundendaten gemäß dem Aufbewahrungsplan in der Datenschutzerklärung. Der Kunde kann seine Daten jederzeit vor der Löschung über den Dienst exportieren, und auf Anfrage noch 30 Tage danach.

12.2 Backups, die personenbezogene Kundendaten enthalten, laufen nach ihrem eigenen rollierenden Zeitplan ab und werden nicht selektiv bereinigt. Daten in abgelaufenen, aber noch nicht überschriebenen Backups unterliegen weiterhin den Sicherheitsmaßnahmen dieses AVV und werden nicht in die Produktion zurückgespielt.

12.3 SolidPing darf personenbezogene Kundendaten aufbewahren, soweit das Recht der Union oder der Mitgliedstaaten dies verlangt — insbesondere Buchhaltungs- und Rechnungsunterlagen —, und verarbeitet sie in diesem Fall nur zum Zweck und für die Dauer dieser Verpflichtung.

13. Haftung​

Die Haftung jeder Partei aus diesem AVV unterliegt den Haftungsbeschränkungen und -ausschlüssen der Nutzungsbedingungen. Nichts in diesem AVV beschränkt eine Haftung, die nach anwendbarem Recht nicht beschränkt werden kann, einschließlich der Haftung gegenüber betroffenen Personen nach Artikel 82 DSGVO.

14. Laufzeit, Rangfolge und Änderungen​

14.1 Dieser AVV tritt in Kraft, wenn der Kunde beginnt, den Dienst zu nutzen, und gilt fort, bis der Kunde die Nutzung beendet und alle personenbezogenen Kundendaten gelöscht oder zurückgegeben wurden.

14.2 Im Konfliktfall gilt folgende Rangfolge: (1) die EU-SCC, soweit sie anwendbar sind, (2) dieser AVV, (3) die Nutzungsbedingungen, (4) jedes andere Dokument.

14.3 SolidPing darf diesen AVV aktualisieren, um Änderungen des Rechts, des Dienstes oder seiner Unterauftragsverarbeiter abzubilden. Wesentliche Änderungen werden auf dieser Seite angekündigt und, sofern sie die Rechte des Kunden berühren, mindestens 30 Tage im Voraus per E-Mail. Versionsnummer und Datum des Inkrafttretens am Anfang dieser Seite bezeichnen die jeweils aktuelle Fassung.

14.4 Dieser AVV unterliegt französischem Recht. Streitigkeiten fallen in die ausschließliche Zuständigkeit der Gerichte von Paris, Frankreich.

Anhang I — Beschreibung der Verarbeitung​

A. Parteien​

Verantwortlicher / Datenexporteur: der Kunde, d. h. die juristische oder natürliche Person, die das SolidPing-Konto innehat. Die Kontaktdaten sind diejenigen, die in den Abrechnungs- und Verwaltungseinstellungen des Kontos hinterlegt sind. Für die Übermittlung relevante Tätigkeiten: Nutzung eines Monitoring- und Vorfallmanagement-Dienstes für die eigenen IT-Systeme.

Auftragsverarbeiter / Datenimporteur: WEBINGENIA SARL, 14 rue Félix Faure, 75015 Paris, Frankreich — SIREN 519 411 680. Kontakt: contact@solidping.io. Für die Übermittlung relevante Tätigkeiten: Bereitstellung eines gehosteten Monitoring- und Vorfallmanagement-Dienstes.

B. Beschreibung der Verarbeitung​

Gegenstand. Bereitstellung des gehosteten Monitoring- und Vorfallmanagement-Dienstes SolidPing.

Dauer. Für die Dauer der Nutzung des Dienstes durch den Kunden, zuzüglich der Aufbewahrungsfristen in der Datenschutzerklärung.

Art und Zweck. Erhebung, Speicherung, Strukturierung, Abfrage, Verwendung, Übermittlung (an vom Kunden bestimmte Benachrichtigungskanäle), Löschung — zum Zweck der Durchführung von Verfügbarkeitsprüfungen, der Erkennung und Bearbeitung von Vorfällen, der Benachrichtigung der vom Kunden bestimmten Personen, der Veröffentlichung der vom Kunden erstellten Statusseiten, der Authentifizierung von Nutzern und der Unterstützung des Kunden.

Kategorien betroffener Personen:

• die Nutzer des Dienstes beim Kunden (Administratoren, Bearbeiter, Betrachter);
• Personen, die der Kunde als Benachrichtigungsempfänger hinzufügt oder in Bereitschaftspläne aufnimmt, unabhängig davon, ob sie ein Konto besitzen;
• Personen, die eine vom Kunden veröffentlichte Statusseite abonnieren;
• Personen, deren personenbezogene Daten der Kunde in Freitextfelder einträgt (Namen von Checks, Vorfallkommentare, Runbooks, Webhook-Payloads).

Kategorien personenbezogener Daten:

Besondere Kategorien von Daten (Artikel 9). Es werden keine angefordert, und der Dienst benötigt keine. Der Kunde darf keine Daten besonderer Kategorien in Freitextfelder eintragen.

Häufigkeit der Verarbeitung. Fortlaufend, für die Dauer des Dienstes.

Aufbewahrung. Gemäß dem Zeitplan in der Datenschutzerklärung.

C. Zuständige Aufsichtsbehörde​

Die Commission Nationale de l'Informatique et des Libertés (CNIL), Frankreich — www.cnil.fr — als Behörde am Ort der Niederlassung des Auftragsverarbeiters. Ist der Kunde in einem anderen EWR-Staat niedergelassen und handelt als Datenexporteur nach den EU-SCC, ist die zuständige Behörde diejenige am Ort der Niederlassung des Kunden.

Anhang II — Technische und organisatorische Maßnahmen​

Die nachstehenden Maßnahmen sind hier für vertragliche Zwecke zusammengefasst und werden vollständig und mit aktuellen Einzelheiten unter Sicherheitsmaßnahmen beschrieben.

Anhang III — Unterauftragsverarbeiter​

Die zum Datum des Inkrafttretens genehmigten Unterauftragsverarbeiter. Die aktuelle Liste, einschließlich aller seitherigen Änderungen, ist stets unter Unterauftragsverarbeiter zu finden.

Vom Kunden konfigurierte Benachrichtigungskanäle — Slack, Discord, Microsoft Teams (Webhook und Bot), Mattermost, Google Chat, Matrix, Zulip, Telegram, PagerDuty, Pushover, ntfy, Gotify, Web Push, generische Webhooks, Twilio mit den eigenen Zugangsdaten des Kunden, generische Webhooks und Ähnliches — sind vom Kunden bestimmte Empfänger, keine Unterauftragsverarbeiter von SolidPing. Der Kunde ist für seine eigene Beziehung zu diesen Anbietern verantwortlich, einschließlich etwaiger Garantien für Datenübermittlungen. Dasselbe gilt für Identitätsanbieter, die der Kunde für Single Sign-on wählt.

Twilio erscheint in der obigen Tabelle ausschließlich für den serverseitig bereitgestellten Versandmodus, in dem SolidPing mit seinen eigenen Zugangsdaten und über sein eigenes Konto versendet. Ein Kunde, der seine eigene Twilio-Integration verbindet, fällt stattdessen unter den unmittelbar vorstehenden Absatz, und selbst gehostete Installationen haben überhaupt keine Unterauftragsverarbeiter.