Verwerkersovereenkomst (VO)

conform art. 28 AVG – octoja GmbH

octoja GmbH — Stand: augustus 2026

Dit is een vertaling uit hoffelijkheid. De juridisch bindende versie is het Duitse origineel.

Preambule

octoja GmbH (hierna de "Verwerker") verwerkt persoonsgegevens in opdracht van de betreffende contractpartner (hierna de "Verwerkingsverantwoordelijke") in het kader van de levering van het octoja RMM-platform. Deze verwerkersovereenkomst (hierna "VO") regelt de rechten en plichten van beide partijen met betrekking tot deze verwerking conform art. 28 AVG en vormt een aanvulling op de bestaande hoofdcontractdocumenten (gebruiksvoorwaarden) tussen de partijen.

§ 1 Onderwerp en duur van de verwerking

De Verwerker verwerkt persoonsgegevens in opdracht van de Verwerkingsverantwoordelijke uitsluitend ten behoeve van de levering, het beheer en het onderhoud van het octoja RMM-platform en de bijbehorende supportdiensten.
De verwerking vindt plaats voor de duur van de bestaande hoofdcontractrelatie. Na beëindiging van het hoofdcontract zijn de bepalingen inzake teruggave en verwijdering conform § 9 van deze VO van toepassing.

§ 2 Aard en doel van de verwerking

Doel van de verwerking: Exploitatie van een Remote Monitoring & Management (RMM) SaaS-platform voor het beheer, de bewaking en de automatisering van IT-systemen door de Verwerkingsverantwoordelijke (MSP/Reseller) ten behoeve van diens eindklanten.

Aard van de verwerking: Verzameling, opslag, overdracht, wijziging, opvraging, gebruik, verwijdering in het kader van het platformbeheer.

Categorieën betrokkenen:

Medewerkers en gebruikersaccounts van de Verwerkingsverantwoordelijke (MSP/Reseller)
Medewerkers en IT-gebruikers van de eindklanten van de Verwerkingsverantwoordelijke
Technische contactpersonen bij eindklanten

Categorieën persoonsgegevens:

Accountgegevens: naam, e-mailadres, gebruikersnaam, rol, wachtwoord-hash
Systeemgegevens van beheerde eindapparaten: apparaatnaam, IP-adres, MAC-adres, hostnaam, besturingssysteemgegevens, geïnstalleerde software, hardware-informatie
Verbindings- en toegangsgegevens: inlogtijdstempels, IP-adressen, sessiegegevens
Support- en communicatiegegevens: ticketinhoud, e-mailcommunicatie in supportcontext
Loggegevens: activiteitslogs, scriptuitvoeringen, patchlogs

Bijzondere categorieën persoonsgegevens (art. 9 AVG): De verwerking van bijzondere categorieën persoonsgegevens is niet beoogd en dient door de Verwerkingsverantwoordelijke achterwege te worden gelaten, tenzij dit afzonderlijk schriftelijk is overeengekomen.

§ 3 Verplichtingen van de Verwerker

De Verwerker verwerkt persoonsgegevens uitsluitend op basis van gedocumenteerde instructies van de Verwerkingsverantwoordelijke – inclusief met betrekking tot de doorgifte van persoonsgegevens naar een derde land –, tenzij hij hiertoe verplicht is op grond van het recht van de EU of een EU-lidstaat.
De Verwerker informeert de Verwerkingsverantwoordelijke onverwijld indien hij van mening is dat een instructie in strijd is met de AVG of met andere gegevensbeschermingsvoorschriften van de Unie of van de lidstaten. De Verwerker is gerechtigd de uitvoering van de betreffende instructie op te schorten totdat de Verwerkingsverantwoordelijke deze bevestigt of wijzigt.
De Verwerker zorgt ervoor dat personen die bevoegd zijn persoonsgegevens te verwerken, zich tot vertrouwelijkheid hebben verbonden of onderworpen zijn aan een passende wettelijke geheimhoudingsplicht en, voor zover van toepassing, verplicht zijn conform § 203 van het Duitse Wetboek van Strafrecht (StGB) (zie § 11).
De Verwerker neemt alle maatregelen die vereist zijn op grond van art. 32 AVG. De specifieke technische en organisatorische maatregelen zijn gedocumenteerd in bijlage 1 (TOM) bij deze VO.
De Verwerker ondersteunt de Verwerkingsverantwoordelijke, voor zover mogelijk, door middel van passende technische en organisatorische maatregelen bij het nakomen van zijn verplichting om te reageren op verzoeken van betrokkenen conform hoofdstuk III AVG.
De Verwerker ondersteunt de Verwerkingsverantwoordelijke bij het nakomen van verplichtingen conform art. 32–36 AVG (gegevensbeveiliging, meldplichten, gegevensbeschermingseffectbeoordeling).
De Verwerker stelt de Verwerkingsverantwoordelijke alle informatie ter beschikking die nodig is om de naleving van de in art. 28 AVG neergelegde verplichtingen aan te tonen en maakt audits mogelijk, inclusief inspecties, uitgevoerd door de Verwerkingsverantwoordelijke of een door deze aangewezen auditor. Audits moeten ten minste 4 weken van tevoren worden aangekondigd, beperkt blijven tot de kantooruren van octoja en mogen de bedrijfsvoering niet onevenredig verstoren. De kosten van de audit zijn voor rekening van de Verwerkingsverantwoordelijke. Deze kostendragingsplicht geldt niet voor incidentgerelateerde audits ten gevolge van een aan de Verwerker toe te rekenen inbreuk in verband met persoonsgegevens.

§ 4 Verplichtingen van de Verwerkingsverantwoordelijke

De Verwerkingsverantwoordelijke is de verantwoordelijke partij in de zin van de AVG – of, voor zover hij de gegevens op zijn beurt in opdracht van zijn eindklanten verwerkt, hun verwerker – voor alle persoonsgegevens die via het Platform worden verwerkt of doen verwerken. Hij zorgt ervoor dat voor elke verwerking een voldoende rechtsgrondslag bestaat, met inbegrip van eventueel vereiste verwerkersovereenkomsten met zijn eindklanten; de Verwerker treedt in dat geval op als verdere verwerker (subverwerker).
De Verwerkingsverantwoordelijke geeft verwerkingsinstructies uitsluitend schriftelijk of via de daarvoor bestemde functies van het Platform. Mondelinge instructies moeten onverwijld schriftelijk worden bevestigd.
De Verwerkingsverantwoordelijke informeert de Verwerker onverwijld indien hij bij controle van de instructies of de verwerking fouten of onregelmatigheden vaststelt.
De Verwerkingsverantwoordelijke zorgt ervoor dat hij de op grond van de gegevensbescherming vereiste informatieplichten tegenover zijn eindklanten en hun medewerkers nakomt.

§ 5 Subverwerkers (onderaannemers)

De Verwerkingsverantwoordelijke verleent de Verwerker hierbij een algemene toestemming voor het inschakelen van subverwerkers. De Verwerker informeert de Verwerkingsverantwoordelijke ten minste vier weken vóór de voorgenomen inschakeling of vervanging van een subverwerker in tekstvorm (e-mail of melding via het Platform). De Verwerkingsverantwoordelijke kan binnen twee weken na ontvangst in tekstvorm bezwaar maken tegen de wijziging op grond van een zwaarwegende gegevensbeschermingsreden. Wordt bij een bezwaar geen minnelijke oplossing bereikt, dan is de Verwerkingsverantwoordelijke gerechtigd het hoofdcontract buitengewoon op te zeggen tegen het tijdstip waarop de wijziging van kracht wordt.

Huidige subverwerkers:

Subverwerker	Vestiging	Verwerkingsdoel
Hetzner Online GmbH	Duitsland (Neurenberg/Falkenstein)	Hosting, datacentrumbeheer, gegevensopslag
Hetzner Online GmbH (Object Storage)	Duitsland	Opslag van versleutelde database-back-ups
Supabase Pte. Ltd.	Singapore; verwerking uitsluitend in de EU (regio Frankfurt am Main); geborgd via EU-standaardcontractbepalingen	Database voor klantbeheer
CORDNET OÜ (d/b/a Featurebase)	Estland (Viimsi, Harju maakond, EU)	Ticketsysteem, klantenondersteuning
Microsoft Ireland Operations Ltd.	Ierland (EU)	E-mailcommunicatie in het kader van support (kan persoonsgegevens uit supportverzoeken bevatten)
BunnyWay d.o.o. (Bunny CDN)	Slovenië (EU)	Content delivery network, levering van statische platforminhoud
Sendinblue GmbH (Brevo)	Duitsland (Berlijn)	E-mailmeldingen, transactionele e-mails
seven communications GmbH & Co. KG	Duitsland	Alarmering via telefoongesprek, sms en WhatsApp. Opmerking: bij alarmering via WhatsApp worden telefoonnummers doorgegeven aan WhatsApp Ireland Ltd. / Meta; het gebruik van het WhatsApp-kanaal is optioneel en wordt door de Verwerkingsverantwoordelijke geactiveerd.

Geen subverwerkers in de zin van deze VO zijn diensten van derden die de Verwerkingsverantwoordelijke onder eigen verantwoordelijkheid via het Platform activeert en configureert (bijv. ThreatDown, Lywand, Acronis; actueel overzicht op https://octoja.de/nl/features/integrations). In zoverre treedt de Verwerker uitsluitend op als technische integratielaag; de gegevensbeschermingsrechtelijke verantwoordelijkheid voor het gebruik van deze diensten ligt bij de Verwerkingsverantwoordelijke (vgl. § 8 van de Gebruiksvoorwaarden).
Alle subverwerkers zijn contractueel verplicht een niveau van gegevensbescherming te handhaven dat gelijkwaardig is aan dat van deze VO, met inbegrip van de verplichtingen krachtens § 11. Voor subverwerkers gevestigd buiten de EU/EER waarborgt de Verwerker een adequaat niveau van gegevensbescherming door middel van passende waarborgen (bijv. EU-standaardcontractbepalingen).
De Verwerker is tegenover de Verwerkingsverantwoordelijke aansprakelijk voor de nakoming van de gegevensbeschermingsverplichtingen door zijn subverwerkers in dezelfde mate als voor eigen schendingen.

§ 6 Rechten van betrokkenen

De Verwerker stuurt verzoeken van betrokkenen die zich rechtstreeks tot hem wenden onverwijld door naar de Verwerkingsverantwoordelijke. De Verwerker beantwoordt dergelijke verzoeken niet zelfstandig, tenzij de Verwerkingsverantwoordelijke hem hiertoe uitdrukkelijk opdracht heeft gegeven.
De Verwerker ondersteunt de Verwerkingsverantwoordelijke op verzoek bij het nakomen van rechten van betrokkenen (inzage, rectificatie, wissing, beperking, gegevensoverdraagbaarheid, bezwaar), voor zover dit technisch mogelijk en in het kader van het platformbeheer uitvoerbaar is.

§ 7 Meldplichten bij datalekken

De Verwerker meldt de Verwerkingsverantwoordelijke elke inbreuk op de bescherming van persoonsgegevens (art. 4, punt 12, AVG) die betrekking heeft op in opdracht verwerkte gegevens, onverwijld na kennisneming, in de regel binnen 24 uur. Indien op dat moment nog niet alle in lid 2 bedoelde informatie beschikbaar is, wordt eerst een voorlopige melding gedaan; de aanvullende informatie wordt onverwijld nagezonden.
De melding bevat ten minste:
- de aard van de inbreuk en de betrokken gegevenscategorieën,
- het geschatte aantal betrokken personen en gegevensrecords,
- de waarschijnlijke gevolgen van de inbreuk,
- genomen of voorgestelde maatregelen ter herstel.
De Verwerkingsverantwoordelijke is zelf verantwoordelijk voor de melding bij de bevoegde toezichthoudende autoriteit en eventueel de kennisgeving aan betrokkenen conform art. 33 e.v. AVG.

§ 8 Gegevensbeschermingseffectbeoordeling

Indien een verwerkingsactiviteit van de Verwerkingsverantwoordelijke een gegevensbeschermingseffectbeoordeling conform art. 35 AVG vereist, ondersteunt de Verwerker de Verwerkingsverantwoordelijke op verzoek door het verstrekken van relevante informatie over het platformbeheer en de ingezette technische maatregelen.

§ 9 Verwijdering en teruggave na contracteinde

Na beëindiging van het hoofdcontract verwijdert de Verwerker alle persoonsgegevens van de Verwerkingsverantwoordelijke, tenzij wettelijke bewaarplichten zich daartegen verzetten. De verwijdering vindt uiterlijk 30 dagen na het contracteinde plaats.
Op verzoek van de Verwerkingsverantwoordelijke, dat vóór het verstrijken van de 30-dagentermijn moet worden ingediend, stelt de Verwerker de gegevens beschikbaar in een gangbaar exportformaat. De kosten voor een gegevensexport kunnen aan de Verwerkingsverantwoordelijke in rekening worden gebracht.
De Verwerker bevestigt de Verwerkingsverantwoordelijke op verzoek schriftelijk de volledige verwijdering.

§ 10 Aansprakelijkheid

De aansprakelijkheid van de partijen in het kader van deze VO wordt beheerst door de aansprakelijkheidsbepalingen van het hoofdcontract (Gebruiksvoorwaarden § 6). Ten opzichte van betrokkenen geldt art. 82 AVG.

§ 11 Beroepsgeheimhouders (§ 203 StGB)

Voor zover de Verwerkingsverantwoordelijke zelf beroepsgeheimhouder is in de zin van § 203 lid 1 van het Duitse Wetboek van Strafrecht (StGB) of het Platform inzet voor eindklanten die beroepsgeheimhouders zijn (met name belastingadviseurs, accountants, advocaten, artsen en andere beoefenaren van medische beroepen, verzekeringsondernemingen), treedt de Verwerker op als overige medewerkende persoon in de zin van § 203 lid 3 zin 2 StGB.
De Verwerker verplicht zich tot geheimhouding van alle geheimen van derden die hem in het kader van de dienstverlening bekend worden, in het bijzonder geheimen die tot de persoonlijke levenssfeer behoren alsmede bedrijfs- en zakengeheimen, en deze noch onbevoegd te openbaren noch te benutten. De Verwerker neemt slechts in die mate kennis van beschermde informatie als voor de behoorlijke uitvoering van de contractuele prestatie noodzakelijk is.
De Verwerker verplicht alle personen die bij de dienstverlening betrokken zijn of toegang tot gegevens van de Verwerkingsverantwoordelijke kunnen krijgen, vóór aanvang van hun werkzaamheden schriftelijk tot geheimhouding conform § 203 StGB en wijst hen op de strafbaarheid van onbevoegde openbaarmaking conform § 203 lid 4 StGB. De Verwerker toont de verrichte verplichting op verzoek aan de Verwerkingsverantwoordelijke aan.
Indien de Verwerker subverwerkers conform § 5 inschakelt die toegang tot beschermde informatie kunnen krijgen, verplicht hij deze op gelijke wijze tot geheimhouding conform § 203 StGB en waarborgt hij dat deze op hun beurt de bij hen werkzame personen dienovereenkomstig verplichten.
De Verwerker is tot openbaarmaking gerechtigd voor zover hij daartoe wettelijk verplicht is; hij informeert de Verwerkingsverantwoordelijke hierover vooraf, voor zover wettelijk toegestaan.
De verplichtingen krachtens deze paragraaf blijven na beëindiging van het hoofdcontract voor onbepaalde tijd voortbestaan.

§ 12 Slotbepalingen

Deze VO maakt integraal deel uit van het hoofdcontract en is onderworpen aan hetzelfde toepasselijke recht (Duits recht).
In geval van tegenstrijdigheden tussen deze VO en het hoofdcontract prevaleert deze VO met betrekking tot gegevensbeschermingskwesties.
Wijzigingen van deze VO vereisen de tekstvorm. De Verwerker deelt wijzigingen ten minste 30 dagen vóór het van kracht worden ervan in tekstvorm mee aan de Verwerkingsverantwoordelijke; § 5 lid 1 blijft onverlet voor wijzigingen van subverwerkers.

octoja GmbH – Stand augustus 2026