Auftragsverarbeitungsvertrag
Version 6 — gültig ab 4. Oktober 2026
Dorelli Cloud ist ein Handelsname von Uitgeverij Doreleijers. Dieser Auftragsverarbeitungsvertrag gehört zu den allgemeinen Geschäftsbedingungen von Uitgeverij Doreleijers und gilt, sobald wir in deinem Auftrag personenbezogene Daten verarbeiten. Du bist Verantwortlicher, wir sind Auftragsverarbeiter.
1. Worum es geht
Wir hosten und warten deine Website. Dabei verarbeiten wir personenbezogene Daten, die über diese Website hereinkommen oder darauf gespeichert werden. Wir tun das ausschließlich, um den Dienst zu liefern, den wir mit dir vereinbart haben, und solange dieser Vertrag läuft.
2. Welche Daten und von wem
Je nach deiner Website geht es in der Regel um Daten von Besuchern und Kunden, die du erhebst: Name, E-Mail-Adresse, Telefonnummer, Nachrichten aus Kontaktformularen und technische Daten wie IP-Adressen in Logdateien. Besondere Kategorien personenbezogener Daten verarbeiten wir nicht, es sei denn, wir haben das vorab schriftlich vereinbart.
2a. Kontaktformulare
Steht auf deiner Site ein Kontaktformular von uns, dann schicken wir die Einsendung als E-Mail über Cloudflare an dich und bewahren den Inhalt nicht auf. Wir halten nur fest, dass etwas verschickt wurde (welche Site, eine gehashte IP-Adresse und der Zeitpunkt), um Spam abzuwehren, und löschen das nach zwei Tagen. Die Nachrichten selbst liegen also in deinem Postfach, nicht bei uns; sie aufzubewahren und zu beantworten ist deine Verantwortung.
2b. Apps und Datenbanken
Läuft deine Anwendung bei uns in einem Container (Pakete App und Platform), dann verarbeiten wir alles, was diese Anwendung in die zugehörige Datenbank, den Speicher oder den Cache legt, ausschließlich in deinem Auftrag. Welche personenbezogenen Daten das sind und von wem, bestimmst du; wir sehen nicht hinein, außer wenn du darum bittest oder wenn es nötig ist, um eine Störung zu beheben. Die Daten liegen bei unserem Unterauftragsverarbeiter Microsoft innerhalb der EU (Region Amsterdam für Container und Speicher, Region Dublin für Datenbanken). Nach dem Löschen bewahren wir Datenbanken und Speicher dreißig Tage auf (einen eigenen Datenbankserver sieben Tage) und löschen sie danach endgültig; die Startseite einer neuen App wird einmalig automatisch über Anthropic auf Missbrauch geprüft (Artikel 7).
3. Wir handeln auf deine Weisung
Wir verarbeiten personenbezogene Daten nur auf deine Weisung und für die Zwecke oben. Wir verwenden sie nicht für eigene Zwecke und verkaufen sie nicht. Verpflichtet uns ein Gesetz zu etwas anderem, melden wir das vorab, es sei denn, dieses Gesetz verbietet das.
4. Geheimhaltung
Jeder, der bei uns Zugang zu deinen Daten hat, ist zur Geheimhaltung verpflichtet. Zugang bekommt nur, wer ihn braucht, um den Dienst zu liefern.
5. Sicherheit
Wir treffen geeignete technische und organisatorische Maßnahmen: verschlüsselter Verkehr (HTTPS/TLS), verschlüsselte Speicherung von Passwörtern, Zugang nach dem Prinzip der Erforderlichkeit, Bot-Schutz auf Formularen, fortlaufende Überwachung und tägliche Backups der Plattform und jeder Kundendatenbank, die 90 Tage an zwei Orten aufbewahrt werden. Wir halten diese Maßnahmen auf dem Stand der Technik aktuell.
6. Unterauftragsverarbeiter
Wir schalten andere Parteien ein, um den Dienst zu liefern. Zurzeit sind das Microsoft (Azure, Hosting innerhalb der EU), Cloudflare (DNS, Sicherheit, E-Mail-Weiterleitung und -Versand), Mollie (Zahlungen, Niederlande) und Anthropic (ausschließlich die automatische Missbrauchsprüfung: der Text deiner Website, mit den Namen der Felder und den Adressen, die die Seiten laden oder an die Formulare und Skripte senden, bei jeder Veröffentlichung, danach täglich, solange sie bei uns liegt, und bei einer Meldung, und die Startseite einer App beim ersten Start; siehe Artikel 7). Mit jedem von ihnen gelten Auftragsverarbeitungsverträge mit mindestens demselben Schutzniveau, mit einer Ausnahme: Beurteilt unser Assistent eine Meldung über deine Site, geht der Text deiner Site über ein Abonnement an Anthropic, unter den Bedingungen von Anthropic für dieses Abonnement und nicht unter einem Auftragsverarbeitungsvertrag. Das Training ist dabei ausgeschaltet, und Anthropic bewahrt den Text 30 Tage auf. Wollen wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, melden wir das vorab; bist du damit nicht einverstanden, kannst du den Vertrag kündigen.
7. Übermittlung außerhalb der EU
Wir speichern deine Daten innerhalb der Europäischen Union. Deine Website, deine Datenbank und deine Backups verlassen die EU nicht; die Kopie jedes Backups liegt bei Cloudflare als Unterauftragsverarbeiter, gespeichert mit der EU als Rechtsraum. Es gibt zwei Ausnahmen. Die Einsendungen über deine Formulare leiten wir dir als E-Mail über Cloudflare weiter; wo Cloudflare diese Mail verarbeitet, können wir das nicht auf die EU beschränken. Und für die Missbrauchsprüfung geht der Text deiner Website an Anthropic in den Vereinigten Staaten: bei jeder Veröffentlichung, danach jeden Tag, solange sie bei uns liegt, auch nachdem du bezahlt hast und wenn sie pausiert ist, und wenn jemand sie bei uns meldet. Von einer App geht einmalig der Text der Startseite mit, kurz nachdem sie zum ersten Mal läuft. Stehen personenbezogene Daten in diesem Text, etwa Namen in Kundenbewertungen, dann gehen sie mit. Anthropic verwendet diesen Text nicht, um Modelle zu trainieren, und löscht ihn innerhalb von 30 Tagen, länger nur, wenn er als Missbrauch eingestuft wird. Für die Mail und die automatische Prüfung gelten die Standardvertragsklauseln der Europäischen Kommission; für die Beurteilung einer Meldung gilt, was in Artikel 6 steht. Wollen wir darüber hinaus personenbezogene Daten außerhalb der EU verarbeiten, informieren wir dich vorab.
8. Rechte der betroffenen Personen
Bekommst du eine Anfrage auf Auskunft, Berichtigung, Löschung oder Übertragung von Daten, helfen wir dir, sie innerhalb einer angemessenen Frist zu bearbeiten. Kommt eine solche Anfrage direkt bei uns herein, leiten wir sie an dich weiter und beantworten sie nicht selbst.
9. Datenschutzverletzungen
Entdecken wir eine Verletzung des Schutzes personenbezogener Daten, melden wir das ohne unangemessene Verzögerung an dich, mit den Informationen, die du brauchst, um zu beurteilen, ob du sie bei der Autoriteit Persoonsgegevens (der niederländischen Datenschutzbehörde) und bei den betroffenen Personen melden musst. Die Meldung an die Aufsichtsbehörde machst du als Verantwortlicher. Du erreichst uns dafür unter support@dorelli.cloud.
10. Kontrolle
Auf deine Anfrage hin geben wir die Informationen, die nötig sind, um nachzuweisen, dass wir uns an diese Vereinbarungen halten. Willst du ein Audit durchführen lassen, kündigst du es mindestens zwei Wochen im Voraus an; die Kosten dafür trägst du, es sei denn, aus dem Audit ergibt sich, dass wir nicht genügen.
11. Ende des Vertrags
Nach Ablauf löschen wir die personenbezogenen Daten innerhalb von 30 Tagen oder liefern sie auf deine Anfrage hin zuvor an dich zurück. Die Backups deiner Datenbank löschen wir dann ebenfalls; das Backup der Plattform als Ganzes, das Daten über dich als Kunde enthält, läuft von selbst innerhalb von 90 Tagen ab. Daten, die wir gesetzlich aufbewahren müssen, etwa Rechnungen, behalten wir, solange diese Aufbewahrungspflicht dauert.