Auftragsverarbeitungsvertrag

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der zwischen ihnen bestehenden vertraglichen Beziehung über die Erbringung von Leistungen im Bereich Webdesign, -entwicklung und -betreuung (nachfolgend „Hauptvertrag“). Er findet Anwendung, soweit der Auftragsverarbeiter im Rahmen der Erbringung dieser Leistungen personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

1. Gegenstand und Dauer der Verarbeitung

1.1Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Erstellung, Gestaltung, technischen Umsetzung, Hostings und Betreuung der Webseite des Verantwortlichen sowie damit im Zusammenhang stehender Leistungen gemäß Hauptvertrag/Angebot.

1.2Die Dauer dieses Vertrags entspricht der Dauer des Hauptvertrags. Er endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf.

2. Art und Zweck der Verarbeitung

2.1Die Verarbeitung erfolgt zum Zweck der Erstellung, des Betriebs, der Wartung und der Pflege der Webseite des Verantwortlichen, insbesondere zur Bereitstellung von Kontakt- und Anfrageformularen, zur Speicherung von Inhalten sowie zum Hosting der Webseite über die eingesetzten Infrastrukturdienstleister.

2.2Art der Verarbeitung: Erheben, Speichern, Organisieren, Übermitteln (an Unterauftragsverarbeiter gemäß Ziffer 5), Löschen.

3. Kategorien betroffener Personen und Daten

3.1Betroffene Personen: Nutzer und Kontaktpersonen der Webseite des Verantwortlichen (z. B. Interessenten, Kunden, Mitarbeitende des Verantwortlichen), soweit deren Daten im Rahmen der Leistungserbringung verarbeitet werden.

3.2Kategorien personenbezogener Daten: insbesondere Namen, Kontaktdaten (E-Mail, Telefon), Nachrichteninhalte aus Kontaktformularen, technische Nutzungsdaten (z. B. IP-Adresse, Zugriffsdaten), soweit im Rahmen der Leistungserbringung anfallend.

4. Weisungsrecht des Verantwortlichen

4.1Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach dem Recht der Europäischen Union oder der Mitgliedstaaten hierzu verpflichtet; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

4.2Weisungen können mündlich erteilt werden, sind jedoch unverzüglich in Textform (z. B. per E-Mail) zu bestätigen. Der Hauptvertrag sowie das zugrundeliegende Angebot gelten als dokumentierte Grundweisung.

4.3Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.

5. Unterauftragsverarbeiter

5.1Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter). Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern, wodurch der Verantwortliche die Möglichkeit erhält, gegen derartige Änderungen Einspruch zu erheben.

5.2Aktuell eingesetzte Unterauftragsverarbeiter (Stand: Vertragsschluss):

Cloudflare, Inc. – Hosting/CDN

GitHub, Inc. – Quellcode-/Content-Verwaltung

ggf. weitere, im Angebot bzw. Projektbriefing genannte Dienstleister

5.3Der Auftragsverarbeiter verpflichtet sich, mit jedem Unterauftragsverarbeiter eine Vereinbarung zu schließen, die diesem mindestens die gleichen Datenschutzpflichten auferlegt, wie sie in diesem Vertrag festgelegt sind.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

6.1Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, insbesondere hinsichtlich Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme.

6.2Hierzu zählen insbesondere:

Verschlüsselte Datenübertragung (SSL/TLS)

Zugriffsbeschränkung auf berechtigte Personen (Passwortschutz, ggf. Zwei-Faktor-Authentifizierung)

Regelmäßige Datensicherungen (Backups)

Regelmäßige Aktualisierung eingesetzter Software und Systeme

Vertraulichkeitsverpflichtung eingesetzter Mitarbeitender und Subunternehmer

6.3Der Auftragsverarbeiter ist berechtigt, die technischen und organisatorischen Maßnahmen anzupassen, sofern das ursprüngliche Schutzniveau nicht unterschritten wird.

7. Unterstützungspflichten des Auftragsverarbeiters

7.1Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von dessen Pflichten gemäß Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

7.2Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, die im Rahmen dieses Vertrags verarbeitet werden, informiert er den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung.

7.3Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen, soweit möglich, bei der Erfüllung von dessen Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer in Kapitel III der DSGVO genannten Rechte.

8. Kontrollrechte des Verantwortlichen

8.1Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und während der Vertragsdauer von der Einhaltung der vom Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen zu überzeugen.

8.2Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle zur Nachweisführung erforderlichen Informationen zur Verfügung. Kontrollen vor Ort sind mit angemessenem zeitlichem Vorlauf (mindestens 10 Werktage) anzukündigen und auf das erforderliche Maß zu beschränken; sie erfolgen während der üblichen Geschäftszeiten des Auftragsverarbeiters.

9. Löschung und Rückgabe von Daten

9.1Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Recht der Europäischen Union oder der Mitgliedstaaten eine Verpflichtung zur weiteren Speicherung besteht.

9.2Die Löschung erfolgt spätestens 30 Tage nach Beendigung des Hauptvertrags, sofern zwischen den Parteien nichts Abweichendes vereinbart wird.

10. Haftung

10.1Es gelten die im Hauptvertrag bzw. den zugrundeliegenden AGB des Auftragsverarbeiters vereinbarten Haftungsregelungen entsprechend.

10.2Im Übrigen haften die Parteien nach den gesetzlichen Bestimmungen der Art. 82, 83 DSGVO.

11. Schlussbestimmungen

11.1Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

11.2Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

11.3Es gilt das Recht der Bundesrepublik Deutschland.

11.4Im Übrigen gelten ergänzend die

AGB des Auftragsverarbeiters

, insbesondere Ziffer 1.2.4.