Auftragsverarbeitungsvertrag

Wenn dein Bot eine Moderationsmaßnahme festhält, Level verfolgt, ein Ticket speichert oder eine Einladung zählt, verarbeitet er personenbezogene Daten über Mitglieder deines Discord-Servers. Du entscheidest, dass das geschieht und wozu; damit bist du der Verantwortliche. Wir speichern und verarbeiten diese Daten nur auf deine Weisung; damit sind wir dein Auftragsverarbeiter.

Art. 28 Abs. 3 DSGVO verlangt, dass dieses Verhältnis durch einen Vertrag geregelt wird. Dies ist dieser Vertrag. Ohne ihn wäre die Verarbeitung von Mitgliederdaten über den Dienst nicht rechtmäßig.

Gegenstand und Zweck. Die Bereitstellung von Ruination Bots: das Hosten und Betreiben von Discord-Bots im Auftrag des Verantwortlichen und das Speichern der Daten, die diese Bots erzeugen, so wie der Verantwortliche sie eingerichtet hat.

Art der Verarbeitung. Erheben, Erfassen, Organisieren, Ordnen, Speichern, Auslesen, Verwenden, Übermitteln an Discord, Einschränken und Löschen, mithilfe automatisierter Verfahren.

Dauer. Solange der Verantwortliche ein Konto hat. Für einen Bot endet die Verarbeitung, wenn dieser Bot gelöscht wird, und insgesamt, wenn das Konto gelöscht wird oder der Vertrag über den Dienst auf andere Weise endet (Abschnitt 10).

Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Der Dienst ist nicht für sie ausgelegt. Richtet der Verantwortliche einen Bot so ein, dass solche Daten übermittelt werden – etwa ein Ticketformular, das nach der Gesundheit fragt –, ist er dafür verantwortlich, eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO zu haben und eine eigene Prüfung vorzunehmen. Unsere Pflichten aus diesem Vertrag gelten für solche Daten gleichermaßen.

Wir verarbeiten personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung an ein Drittland oder eine internationale Organisation, sofern wir nicht durch das Recht der Union oder der Mitgliedstaaten, dem wir unterliegen, hierzu verpflichtet sind. In einem solchen Fall teilen wir dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Weisungen des Verantwortlichen ergeben sich aus diesem Vertrag, aus den AGB und vor allem aus den Einstellungen im Dashboard: Ein Modul einzuschalten, eine Option zur Aufbewahrung zu wählen oder einen Eintrag zu löschen, sind Weisungen in diesem Sinne. Weitere Einzelweisungen können in Textform an privacy@ruination-bots.com erteilt werden.

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, die er anweist, insbesondere dafür, eine Rechtsgrundlage zu haben und die Mitglieder seines Servers zu informieren (Art. 6, 13 und 14 DSGVO). Ihm stehen die Rechte zu, die dieser Vertrag ihm gibt: Weisungen zu erteilen, informiert zu werden, gegen Unterauftragsverarbeiter Einspruch zu erheben und Überprüfungen durchzuführen.

Wir informieren den Verantwortlichen unverzüglich, wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt, und können die Ausführung dieser Weisung aussetzen, bis sie bestätigt oder geändert wird. Eine offensichtlich rechtswidrige Weisung müssen wir nicht ausführen.

Alle Personen, die wir zur Verarbeitung personenbezogener Daten nach diesem Vertrag befugen, haben sich zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht, und diese Pflicht besteht über das Ende ihrer Tätigkeit hinaus fort. Zugriff erhält nur, wer ihn zur Bereitstellung oder Wartung des Dienstes braucht, und nur in dem dafür nötigen Umfang.

Wir treffen Maßnahmen, die dem Risiko angemessen sind, unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung. Sie sind in Anlage II beschrieben und können mit der technischen Entwicklung angepasst werden, sofern das Schutzniveau nicht sinkt.

Mit diesem Vertrag erteilt der Verantwortliche seine allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO) zur Inanspruchnahme weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Die derzeit eingesetzten sind unter Unterauftragsverarbeiter aufgeführt und in Anlage III wiedergegeben.

Über jede beabsichtigte Hinzuziehung oder Ersetzung informieren wir den Verantwortlichen mindestens 30 Tage im Voraus per E-Mail an die Adresse des Kontos. Der Verantwortliche kann innerhalb dieser Frist unter Angabe eines datenschutzrechtlichen Grundes Einspruch erheben. Können wir den Einspruch nicht ausräumen, kann der Verantwortliche den Vertrag über den Dienst (die AGB zusammen mit diesem Vertrag) fristlos und ohne Kosten kündigen, mit Wirkung spätestens zu dem Tag, an dem die Änderung wirksam würde; was für die Zeit nach der Kündigung bezahlt wurde, wird erstattet.

Jedem Unterauftragsverarbeiter erlegen wir vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien dafür, dass geeignete technische und organisatorische Maßnahmen durchgeführt werden, und wir haften dem Verantwortlichen gegenüber für die Einhaltung ihrer Pflichten in vollem Umfang.

Angesichts der Art der Verarbeitung unterstützen wir den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen nach Kapitel III DSGVO nachzukommen.

In der Praxis ist das Dashboard diese Unterstützung, und zwar an diesen Stellen:

• Auskunft (Art. 15): Die Mitgliedersuche zeigt den Moderationsverlauf und die Stufe der Spam-Eskalation eines Mitglieds, und jede Funktion zeigt ihre eigenen Einträge (Level-Rangliste, Einladungsstatistik, Tickets, Gewinnspiele). Alles Weitere, was über ein Mitglied gespeichert ist, stellen wir auf Anfrage an den Datenschutzkontakt in Anlage I als maschinenlesbare Datei unverzüglich bereit, rechtzeitig, damit der Verantwortliche innerhalb der Frist des Art. 12 Abs. 3 DSGVO antworten kann.
• Berichtigung (Art. 16): Level und Erfahrungspunkte eines Mitglieds lassen sich direkt setzen; ein Moderationseintrag mit falschem Grund kann entfernt werden.
• Löschung (Art. 17): Eine einzige Löschfunktion entfernt alles, was ein Bot über ein Discord-Mitglied gespeichert hat, über alle Funktionen hinweg auf einmal, und löscht die Vorschlagsnachrichten, die der Bot im Namen dieses Mitglieds gepostet hat. Sie steht nur dem Bot-Besitzer zur Verfügung und kann nicht an Moderatoren übertragen werden.

Zwei Grenzen der Löschung, genannt, weil es sie wirklich gibt, nicht weil sie bequem sind. Was noch läuft, wird nicht gelöscht, sondern abgelehnt und in der Antwort benannt, damit es erledigt werden kann: ein offenes Ticket, eine zeitlich begrenzte Rolle, die noch nicht entfernt wurde, ein temporärer Sprachkanal, der noch genutzt wird. Diese Einträge zu löschen, würde die Funktion beschädigen, statt sie auslaufen zu lassen. Und Einträge, die anderen Mitgliedern gehören, bleiben bestehen; aus ihnen wird nur der Bezug auf das gelöschte Mitglied entfernt, weil diese Einträge Daten Dritter sind und ein Löschantrag nicht dadurch erfüllt wird, dass man die Daten eines anderen vernichtet.

Was ein Bot bereits auf dem Discord-Server des Verantwortlichen gepostet hat (Ticketnachrichten und -protokolle, die Antworten auf ein Ticketformular, Ankündigungen), speichert Discord, nicht wir; es bleibt dort, bis der Verantwortliche es in Discord löscht.

Erreicht uns ein Antrag statt des Verantwortlichen, beantworten wir ihn nicht selbst, sondern leiten ihn unverzüglich weiter und unterstützen den Verantwortlichen bei der Beantwortung.

Wir melden dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die nach diesem Vertrag verarbeitete Daten betrifft, unverzüglich, nachdem sie uns bekannt geworden ist, mit den uns vorliegenden Informationen, damit der Verantwortliche seine eigenen Pflichten nach Art. 33 und 34 DSGVO erfüllen kann.

Wir unterstützen den Verantwortlichen außerdem unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Einhaltung der Art. 32 bis 36 DSGVO, einschließlich Datenschutz-Folgenabschätzungen und vorheriger Konsultation.

Nach Abschluss der Erbringung der Verarbeitungsleistungen löschen wir nach Wahl des Verantwortlichen alle personenbezogenen Daten oder geben sie zurück und löschen vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht.

Diese Wahl trifft der Verantwortliche selbst. Das Löschen eines Bots oder des Kontos ist die Wahl der Löschung und wird automatisch und unwiderruflich ausgeführt (sofort; Sicherungskopien werden innerhalb von 30 Tagen überschrieben). Vor dem Löschen kann der Verantwortliche unter privacy@ruination-bots.com eine Kopie der Daten anfordern; wir stellen sie als maschinenlesbare Datei bereit. Endet der Vertrag auf andere Weise, gelten die Fristen der AGB für den Wechsel zu einem anderen Anbieter: Die Daten bleiben zum Abruf verfügbar und werden danach gelöscht.

Unsere Sicherungskopien werden nicht genutzt, um gelöschte Daten wiederherzustellen; sie werden in ihrem eigenen Zyklus innerhalb von 30 Tagen überschrieben. Das ist eine technisch bedingte Frist, keine Speicherung für eigene Zwecke. Abgesehen von ihnen behalten wir keine Kopie.

Wir stellen dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO zur Verfügung und ermöglichen und unterstützen Überprüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden.

Überprüfungen sind mit angemessener Frist anzukündigen, auf die üblichen Geschäftszeiten beschränkt, dürfen den Betrieb nicht unverhältnismäßig stören und unterliegen der Vertraulichkeit. Zunächst können wir eine Prüfungsanfrage mit Unterlagen über unsere Maßnahmen oder mit aktuellen Zertifizierungen und Prüfberichten unserer Unterauftragsverarbeiter beantworten. Reicht das nicht aus, bleibt das Recht des Verantwortlichen auf Inspektionen bestehen. Inspektionen in den Rechenzentren unserer Anbieter erfolgen über die Prüfrechte aus unseren Verträgen mit ihnen und über die Berichte, die sie veröffentlichen, weil wir diese Rechenzentren nicht selbst betreiben.

Findet eine Verarbeitung außerhalb der EU oder des EWR statt, ist sie durch einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder durch geeignete Garantien nach Art. 46 DSGVO abgesichert, in der Regel durch die Standardvertragsklauseln der Europäischen Kommission, ergänzt um technische Maßnahmen. Anlage III nennt für jeden Unterauftragsverarbeiter die Grundlage der Übermittlung. Jede Übermittlung über das dort Beschriebene hinaus bedarf einer Weisung des Verantwortlichen.

Die folgenden Maßnahmen sind nach Art. 32 DSGVO umgesetzt. Sie sind ehrlich statt wünschenswert beschrieben: Was hier steht, ist vorhanden.

• Pseudonymisierung und Verschlüsselung. TLS für alle Daten bei der Übertragung. Verschlüsselung der gespeicherten Daten durch unseren Datenbank-Anbieter. Bot-Tokens zusätzlich auf Anwendungsebene (AES-256-GCM) mit einem eigenen Schlüssel verschlüsselt, nie an einen Client zurückgegeben und nie protokolliert. IP-Adressen in Protokolleinträgen nur als mit einem Schlüssel gebildete Hashwerte gespeichert. Unsere eigenen Sicherungskopien beim Erstellen verschlüsselt, mit einem Schlüssel, der nicht auf dem Server liegt.
• Vertraulichkeit – Zugriffskontrolle. Anmeldung über Discord OAuth, ohne dass wir Passwörter halten. Zeilenbasierte Zugriffskontrolle (Row-Level Security) in der Datenbank, die jedes Konto auf seine eigenen Zeilen beschränkt. Administrative Zugangsdaten nur auf dem Server. Ein fein abgestuftes Berechtigungsmodell für Moderatoren, bei dem das Weitergeben von Zugriff selbst dem Besitzer vorbehalten ist.
• Integrität. Ein Protokoll jeder Änderung über das Dashboard, einschließlich der mangels Berechtigung abgelehnten Versuche, das der Verantwortliche lesen, aber nicht bearbeiten kann, aufbewahrt 90 Tage. Serverseitige Prüfung von Eingaben, bevor sie gespeichert werden. Ratenbegrenzung gegen Missbrauch und das Ausprobieren von Kennungen.
• Verfügbarkeit und Belastbarkeit. Eine verwaltete Datenbank bei unserem Datenbank-Anbieter und zusätzlich verschlüsselte tägliche Sicherungskopien, die wir selbst erstellen und getrennt von der Datenbank auf unserem Server bei unserem Hosting-Anbieter weniger als 30 Tage aufbewahren. Überwachung der laufenden Bots mit automatischem Neustart. Auftragswarteschlangen, die fehlgeschlagene Aufträge mit wachsendem Abstand erneut versuchen.
• Regelmäßige Überprüfung. Aktualisierung von Abhängigkeiten, Überprüfung der Zugriffsrechte und Kontrolle, dass die angegebenen Speicherfristen dem entsprechen, was die Software tatsächlich tut.
• Trennung. Daten sind je Konto und je Bot auf Zeilenebene getrennt, und Zugriffe sind immer auf das handelnde Konto beschränkt.
• Weisungskontrolle. Die Verarbeitung folgt den Einstellungen des Verantwortlichen; Mitgliederdaten werden weder für unsere eigenen Zwecke noch zum Trainieren von Modellen noch für Auswertungen über das Dashboard des Verantwortlichen hinaus genutzt.