Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer der Verarbeitung

1. Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich Webdesign, Website-Betrieb (Hosting), Wartung und Betreuung gemäß Hauptvertrag. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen im Sinne von Art. 4 Nr. 8 und Art. 28 DSGVO.
2. Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrages. Sie endet automatisch mit dessen Beendigung; die Pflichten aus § 10 (Löschung & Rückgabe) bestehen darüber hinaus fort.
3. Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland erfolgt nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO (vgl. § 6).

§ 2 Art, Zweck, Datenarten & Betroffene

1. Art und Zweck der Verarbeitung: Bereitstellung und Betrieb der Website des Verantwortlichen (Hosting), Entgegennahme und Weiterleitung von Anfragen über Kontakt- und Anfrageformulare, Erstellung von Sicherungskopien (Backups), Pflege und Aktualisierung von Website-Inhalten sowie technischer Support.
2. Arten personenbezogener Daten:
   • Kontakt- und Anfragedaten von Website-Besuchern (z. B. Name, E-Mail-Adresse, Telefonnummer, Nachrichteninhalt), soweit die Website des Verantwortlichen Formulare enthält
   • Technische Zugriffsdaten und Server-Logfiles (z. B. IP-Adresse, Zeitstempel, aufgerufene Seite, Browser-Kennung)
   • Vom Verantwortlichen bereitgestellte Inhalte mit Personenbezug (z. B. Team-Fotos, Namen von Mitarbeitern, Kundenstimmen)
3. Kreis der betroffenen Personen: Besucher und Interessenten der Website des Verantwortlichen (dessen Kunden und potenzielle Kunden) sowie Mitarbeiter des Verantwortlichen, soweit deren Daten auf der Website dargestellt oder verarbeitet werden.

§ 3 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist. Der Hauptvertrag und dieser AVV gelten als grundlegende Weisung.
2. Weisungen sind in Textform (z. B. E-Mail oder Kundenportal) zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Er ist berechtigt, die Umsetzung der betreffenden Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 4 Vertraulichkeit

1. Der Auftragsverarbeiter verpflichtet sich, die Vertraulichkeit der verarbeiteten personenbezogenen Daten zu wahren.
2. Personen, die Zugang zu personenbezogenen Daten des Verantwortlichen erhalten, werden zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO), soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung des Hauptvertrages fort.

§ 5 Technische & organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen (TOMs) im Sinne des Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.
2. Die TOMs unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau dabei nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Unterauftragsverhältnisse (Subprozessoren)

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der nachfolgend aufgeführten Unterauftragsverarbeiter:

2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) in Textform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen; im Fall des Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht des Hauptvertrages zu.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter durch Vertrag auf ein Datenschutzniveau, das dem dieses AVV im Wesentlichen entspricht.

§ 7 Unterstützung des Verantwortlichen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO, z. B. Auskunft, Löschung, Berichtigung) zu beantworten.
2. Gehen Anträge betroffener Personen direkt beim Auftragsverarbeiter ein, leitet er diese unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
3. Der Auftragsverarbeiter unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit dies auf die Auftragsverarbeitung bezogen ist. Aufwände hierfür können nach dem im Hauptvertrag vereinbarten Stundensatz berechnet werden, soweit sie nicht vom Auftragsverarbeiter zu vertreten sind.

§ 8 Meldepflichten

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die die Auftragsverarbeitung betrifft, unverzüglich – spätestens innerhalb von 48 Stunden nach Kenntniserlangung – damit der Verantwortliche seine Meldepflicht nach Art. 33 DSGVO (72-Stunden-Frist) erfüllen kann.
2. Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Abhilfemaßnahmen.

§ 9 Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.
2. Der Verantwortliche ist berechtigt, die Einhaltung dieses AVV nach vorheriger Ankündigung mit angemessener Frist zu überprüfen – in der Regel durch Einholung von Selbstauskünften, Zertifikaten oder geeigneten Nachweisen der eingesetzten Rechenzentrumsbetreiber (z. B. ISO-27001-Zertifizierung von IONOS).
3. Vor-Ort-Kontrollen erfolgen nur, soweit die Nachweise nach Abs. 2 im Einzelfall nicht ausreichen, zu üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und unter Wahrung von Geschäftsgeheimnissen.

§ 10 Löschung & Rückgabe von Daten

1. Nach Beendigung des Hauptvertrages gibt der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen heraus oder löscht sie datenschutzgerecht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Für die Herausgabe gilt die im Hauptvertrag vereinbarte Frist von 30 Tagen nach Vertragsende.
2. Backups werden im Rahmen der regulären Backup-Zyklen überschrieben bzw. gelöscht; eine gesonderte vorzeitige Löschung aus Backup-Systemen erfolgt nur, soweit technisch mit vertretbarem Aufwand möglich.
3. Die Löschung wird dem Verantwortlichen auf Verlangen in Textform bestätigt.

§ 11 Haftung

1. Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien einander entsprechend ihrem jeweiligen Verursachungs- und Verschuldensanteil.
2. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages bzw. der AGB des Auftragsverarbeiters.

§ 12 Schlussbestimmungen

1. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.
2. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist – soweit gesetzlich zulässig – der Sitz des Auftragsverarbeiters.
3. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1 Technische & organisatorische Maßnahmen (TOMs)

Zutritts- und Zugangskontrolle:

• Hosting ausschließlich in ISO-27001-zertifizierten Rechenzentren (IONOS, Deutschland) mit physischen Zutrittskontrollen
• Zugriff auf Verwaltungs- und Hosting-Konten nur durch den Auftragsverarbeiter, gesichert durch starke Passwörter und – soweit verfügbar – Zwei-Faktor-Authentifizierung

Übertragungs- und Transportkontrolle:

• Verschlüsselte Übertragung sämtlicher Website-Daten per TLS/SSL (HTTPS)
• Formulardaten werden ausschließlich verschlüsselt übertragen

Verfügbarkeitskontrolle:

• Regelmäßige (mindestens monatliche) Backups der Website-Daten
• Redundante Infrastruktur des Rechenzentrumsbetreibers, USV und Brandschutz gemäß dessen Zertifizierung

Trennungskontrolle:

• Getrennte Verarbeitung der Daten unterschiedlicher Kunden (separate Hosting-Instanzen/Verzeichnisse)

Organisatorische Maßnahmen:

• Datenschutzgerechte Vernichtung nicht mehr benötigter Datenträger und Unterlagen
• Regelmäßige Sicherheits-Updates der eingesetzten Systeme (Bestandteil der Abonnement-Leistungen)
• Keine Nutzung von Tracking-Cookies auf den erstellten Websites ohne gesonderte Vereinbarung und Einwilligungslösung