Grundsätze der Verarbeitung personenbezogener Daten im Dienst WebDisk VM

Rollenverteilung der Parteien

Version: 1.0 · Gültig ab: 2026-07-25

Die polnische Fassung ist rechtlich verbindlich. Diese deutsche Übersetzung dient lediglich der Information.

Das vorliegende Dokument regelt die Verteilung der Rollen und Pflichten der Parteien im Bereich des Schutzes personenbezogener Daten im Zusammenhang mit der Nutzung des Dienstes WebDisk VM (nachfolgend: „Dienst“), der zu den in den VM-Nutzungsbedingungen festgelegten Bedingungen erbracht wird.

Anbieter: Mazura sp. z o.o. mit Sitz in Ząbki, ul. Baśniowa 1C/2, 05-091 Ząbki, eingetragen im Unternehmerregister des Landesgerichtsregisters (KRS), geführt vom Amtsgericht für die Hauptstadt Warschau in Warschau, XIV. Wirtschaftsabteilung des KRS, unter der Nummer KRS 0000971559, NIP 1251732787, Inhaberin der Marke WebDisk.

Kunde:

Name: [Kundenname]
Anschrift: [Adresse], [Postleitzahl] [Ort]
NIP: [USt-IdNr.]
E-Mail-Adresse: [E-Mail]

§1. Charakter des Dienstes und Schutz personenbezogener Daten

1.1. WebDisk VM ist ein Dienst des Typs Infrastructure as a Service (IaaS). Der Anbieter stellt dem Kunden Rechenressourcen, Speicherplatz sowie Netzwerkkonnektivität in Form eines virtuellen Servers zur Verfügung.

1.2. Der ausschließliche administrative Zugriff auf den virtuellen Server steht dem Kunden zu. Der Kunde installiert und konfiguriert das Betriebssystem und die Software selbstständig, entscheidet darüber, welche Daten zu welchem Zweck auf dem Server verarbeitet werden, und wählt die Maßnahmen zu deren Absicherung selbstständig aus.

1.3. Der Anbieter erhält im Rahmen des laufenden Betriebs keinen Zugriff auf die innerhalb des virtuellen Servers verarbeiteten Daten, sieht diese nicht ein, indexiert sie nicht, analysiert sie nicht und nutzt sie nicht für eigene Zwecke. Der Anbieter hat keine Kenntnis davon, welche Kategorien von Daten der Kunde auf dem Server verarbeitet und welche Personen diese Daten betreffen.

§2. Rollenverteilung

2.1. Der Anbieter ist Verantwortlicher für personenbezogene Daten in Bezug auf die Daten, die mit dem Abschluss und der Durchführung des Vertrags über die Erbringung des Dienstes zusammenhängen – Kontodaten, Abrechnungsdaten sowie technische Betriebsdaten des Servers. Die Grundsätze ihrer Verarbeitung regelt die Datenschutzerklärung WebDisk VM.

2.2. Der Kunde ist Verantwortlicher für die personenbezogenen Daten, die er selbst innerhalb des virtuellen Servers verarbeitet. Verarbeitet der Kunde diese Daten im Auftrag Dritter, handelt er ihnen gegenüber als Auftragsverarbeiter – auf der Grundlage gesonderter, im eigenen Namen geschlossener Verträge, an denen der Anbieter nicht als Partei beteiligt ist.

2.3. Standpunkt der Parteien. Angesichts des in §1 beschriebenen Charakters des Dienstes gehen die Parteien davon aus, dass der Anbieter in Bezug auf die vom Kunden innerhalb des virtuellen Servers verarbeiteten personenbezogenen Daten ausschließlich eine technische Ressource bereitstellt und diese Daten nicht im Auftrag des Kunden im Sinne von Art. 28 DSGVO verarbeitet. Aus diesem Grund erfordert die Erbringung des Dienstes im Grundumfang nicht den Abschluss eines Auftragsverarbeitungsvertrags (AVV).

2.4. Abschluss eines Auftragsverarbeitungsvertrags auf Verlangen des Kunden. Führt die vom Kunden vorgenommene Bewertung – insbesondere im Rahmen der Erfüllung seiner Pflichten aus Art. 24, 28 oder 32 DSGVO – zu dem Ergebnis, dass in Bezug auf die auf dem virtuellen Server gespeicherten Daten der Abschluss eines Auftragsverarbeitungsvertrags erforderlich ist, schließt der Anbieter auf Verlangen des Kunden einen solchen Vertrag mit ihm ab. Das Verlangen ist an die Adresse iod@webdisk.io zu richten. Diese Bestimmung findet insbesondere auf Kunden Anwendung, die besonderen sektorspezifischen oder Audit-Anforderungen unterliegen.

§3. Pflichten des Kunden

Der Kunde verpflichtet sich:

3.1. Personenbezogene Daten auf dem virtuellen Server im Einklang mit der DSGVO sowie den übrigen Vorschriften über den Schutz personenbezogener Daten zu verarbeiten, insbesondere über eine Rechtsgrundlage für die Verarbeitung zu verfügen.

3.2. Die Informationspflichten gegenüber den betroffenen Personen selbstständig zu erfüllen und die ihnen zustehenden Rechte umzusetzen (Art. 12–22 DSGVO). Der Anbieter verfügt über keinen Zugriff auf diese Daten und ist nicht in der Lage, derartige Anträge zu erfüllen.

3.3. Den virtuellen Server abzusichern – insbesondere das Betriebssystem und die Software zu aktualisieren, die Firewall zu konfigurieren, Konten und Berechtigungen zu verwalten sowie technische und organisatorische Maßnahmen auszuwählen und umzusetzen, die dem mit den verarbeiteten Daten verbundenen Risiko entsprechen (Art. 32 DSGVO).

3.4. Die Verschlüsselung der Daten in eigener Verantwortung anzuwenden, wenn die verarbeiteten Daten eine Verschlüsselung im Ruhezustand erfordern. Die Datenträger der virtuellen Server sowie die Snapshots werden derzeit auf Seiten des Anbieters nicht verschlüsselt (VM-Nutzungsbedingungen, Ziff. 3.4).

3.5. Verletzungen des Schutzes personenbezogener Daten, die innerhalb des virtuellen Servers eingetreten sind, selbstständig zu erkennen, zu bewerten und zu melden – gegenüber der Aufsichtsbehörde sowie den betroffenen Personen, soweit diese Pflichten ihm obliegen.

3.6. Eigene Sicherungskopien der auf dem Server verarbeiteten Daten zu unterhalten (VM-Nutzungsbedingungen, Ziff. 4.3).

3.7. Auf dem Server keine Daten zu verarbeiten, die besonderen regulatorischen Regimen unterliegen, ohne vorherige schriftliche Abstimmung mit dem Anbieter (VM-Nutzungsbedingungen, Ziff. 7.1 Buchst. g).

§4. Vom Anbieter angewandte Sicherheitsmaßnahmen

Auf der Infrastrukturebene wendet der Anbieter insbesondere Folgendes an:

4.1. Zugriffskontrolle:

personengebundene Konten des Personals mit Multi-Faktor-Authentifizierung bei kritischen Operationen,
administrativer Zugriff auf die Produktionsinfrastruktur ausschließlich über einen dedizierten Jump-Host, mit Authentifizierung mittels kryptographischen Schlüssels und mit Protokollierung der Sitzungen,
kein Zugriff des Personals des Anbieters auf das Betriebssystem des Servers des Kunden im Rahmen des laufenden Betriebs,
Trennung der Produktions-, Test- und Entwicklungsumgebungen.

4.2. Isolation: Der Server jedes Kunden wird als separate virtuelle Maschine betrieben, die auf der Ebene der Virtualisierungsschicht isoliert ist.

4.3. Protokollierung und Überwachung: Protokollierung der Infrastrukturoperationen (Inbetriebnahme und endgültige Löschung des Servers, Erstellung und Wiederherstellung eines Snapshots, Migration, Zugriff auf die Low-Level-Schicht) mit einer Aufbewahrungsdauer von 12 Monaten sowie kontinuierliche Sicherheitsüberwachung der Infrastruktur.

4.4. Betriebskontinuität: Hardware-Redundanz der Stromversorgung, der Netzwerkanbindung sowie des Speichersystems für die Datenträger der virtuellen Server; rotierende Snapshots gemäß den Parametern des Plans.

4.5. Standort: Die Infrastruktur befindet sich auf dem Gebiet der Republik Polen; der Anbieter verbringt weder Datenträger noch Snapshots der Server an Orte außerhalb des Europäischen Wirtschaftsraums.

4.6. Aufrechterhaltung des Sicherheitsniveaus: regelmäßige Sicherheitsaktualisierungen der Infrastruktur, periodische Sicherheitstests sowie eine periodische Überprüfung der angewandten Maßnahmen, mindestens einmal jährlich.

§5. Datenträgerabbilder, Snapshots und Verlangen von Behörden

5.1. Snapshots des Servers werden automatisch auf der Ebene der Speicherschicht erstellt, ohne dass der Anbieter ihren Inhalt liest oder interpretiert.

5.2. Auf Verlangen des Kunden kann der Anbieter dem Kunden ein Datenträgerabbild oder einen Snapshot des Servers zur Verfügung stellen – soweit dies technisch möglich ist.

5.3. Der Anbieter kommt rechtmäßigen Verlangen von Trägern öffentlicher Gewalt nach, die – soweit technisch möglich und gesetzlich vorgeschrieben – die Herausgabe eines Datenträgerabbilds oder eines Snapshots umfassen können. Über ein solches Verlangen informieren wir den Kunden, sofern die Rechtsvorschriften dies zulassen.

§6. Löschung der Daten nach Beendigung der Erbringung des Dienstes

6.1. Nach der Beendigung oder dem Ablauf des Vertrags über die Erbringung des Dienstes lädt der Kunde seine Daten innerhalb der in den VM-Nutzungsbedingungen festgelegten Karenzzeit (30 Tage) selbstständig vom Server herunter. Der Anbieter führt keinen Datenexport im Namen des Kunden durch.

6.2. Nach Ablauf der Karenzzeit oder unverzüglich auf schriftliches Verlangen des Kunden löscht der Anbieter den virtuellen Server einschließlich aller seiner Snapshots endgültig.

6.3. Der Anbieter behält ausschließlich das Protokoll der Infrastrukturoperationen ohne Daten aus dem Inneren des Servers (für 12 Monate) sowie die Buchhaltungsunterlagen (für den nach den Rechnungslegungs- und Steuervorschriften erforderlichen Zeitraum).

6.4. Auf Verlangen des Kunden stellt der Anbieter eine schriftliche Bestätigung der Löschung des Servers und der Snapshots aus.

§7. Verletzungen des Schutzes personenbezogener Daten

7.1. Im Falle einer Sicherheitsverletzung auf der Infrastrukturebene, die sich auf die Daten des Kunden auswirken kann, benachrichtigt der Anbieter den Kunden ohne unangemessene Verzögerung, spätestens innerhalb von 48 Stunden nach Feststellung der Verletzung, und übermittelt dabei Informationen über die Art der Verletzung, ihre möglichen Folgen sowie die ergriffenen Abhilfemaßnahmen.

7.2. Verletzungen, die innerhalb des virtuellen Servers eintreten – bedingt durch das Betriebssystem, die Software, die Konfiguration oder die Daten des Kunden – liegen außerhalb des Kenntnisbereichs des Anbieters. Ihre Erkennung, Bewertung sowie Meldung an die Aufsichtsbehörde und an die betroffenen Personen obliegen dem Kunden.

7.3. Erlangt der Anbieter Kenntnis von einer Verletzung, die den Server des Kunden betrifft – insbesondere aufgrund einer Missbrauchsmeldung –, benachrichtigt er den Kunden unverzüglich.

§8. Schlussbestimmungen

8.1. Änderungen. Änderungen dieses Dokuments bedürfen der dokumentarischen Form. Als Wahrung dieser Form gilt die Benachrichtigung des Kunden per E-Mail verbunden mit dem Erfordernis einer erneuten Annahme im Kundenportal. Über Änderungen informieren wir mit 30-tägigem Vorlauf.

8.2. Vorrang. Im Bereich des Schutzes personenbezogener Daten haben die Bestimmungen dieses Dokuments Vorrang vor den VM-Nutzungsbedingungen sowie den IaaS-Nutzungsbedingungen. Wird ein Auftragsverarbeitungsvertrag auf der Grundlage von §2.4 geschlossen, hat dieser Vertrag Vorrang.

8.3. Sprachfassungen. Bei Abweichungen zwischen der polnischen und der englischen Fassung des Dokuments ist die polnische Fassung verbindlich.

8.4. Anwendbares Recht und Gerichtsstand. Anwendbar ist polnisches Recht. Streitigkeiten entscheidet das ordentliche Gericht, das nach dem Sitz des Anbieters zuständig ist, vorbehaltlich der Vorschriften über die gerichtliche Zuständigkeit in Verbrauchersachen.

8.5. Annahme. Das Dokument gilt als angenommen mit dem Zeitpunkt seiner Annahme im Kundenportal, die zusammen mit der Angabe der Dokumentversion und des Zeitpunkts der Annahme aufgezeichnet wird.

8.6. Kontakt. Angelegenheiten des Schutzes personenbezogener Daten, einschließlich des Verlangens auf Abschluss eines Auftragsverarbeitungsvertrags auf der Grundlage von §2.4: iod@webdisk.io.

Mazura sp. z o.o. · WebDisk VM · Grundsätze der Verarbeitung personenbezogener Daten – Rollenverteilung der Parteien · Version 1.0 · gültig ab 2026-07-25

Version 1.0 · DE