Vertrag zur Auftragsverarbeitung (AV-Vertrag)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Datenschutz-Grundverordnung (DSGVO).

Verantwortlicher (Auftraggeber): [Müşterinin adı], [Müşterinin adresi] (Kundennummer [KD-…])
Auftragsverarbeiter (Auftragnehmer): Hostgarten – Webhosting & Webdesign, Inh. Georgios Tassoúlas, Heilbronner Strasse 1, 10779 Berlin

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer erbringt für den Auftraggeber Leistungen aus dem Hauptvertrag (Webhosting, E-Mail, Domains und damit verbundene Betreuung, insbesondere WordPress-Pflege) nach den Allgemeinen Geschäftsbedingungen des Auftragnehmers. Dabei verarbeitet er personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien.

(2) Der Vertrag gilt für die Dauer des Hauptvertrags und endet mit ihm, ohne dass es einer gesonderten Kündigung bedarf. Pflichten, die über das Vertragsende hinaus bestehen (z. B. Löschung, Vertraulichkeit), bleiben unberührt.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck: Bereitstellung und Betrieb von Speicherplatz, Datenbanken und E-Mail-Postfächern, Datensicherung, Wartung und Aktualisierung der Systeme sowie technischer Support. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

(2) Art der Daten: alle personenbezogenen Daten, die der Auftraggeber auf den Systemen des Auftragnehmers speichert oder über sie übermittelt, insbesondere Kontakt- und Kommunikationsdaten (z. B. Name, Anschrift, E-Mail-Adresse, Telefonnummer), Inhalte von E-Mails und Formularen, Vertrags- und Bestelldaten sowie Nutzungs- und Protokolldaten (z. B. IP-Adressen).

(3) Betroffene Personen: Besucherinnen und Besucher der Websites des Auftraggebers, seine Kundinnen und Kunden sowie Interessenten, Beschäftigte, Geschäftspartner und sonstige Kommunikationspartner.

(4) Ob und welche Daten verarbeitet werden, bestimmt allein der Auftraggeber. Stellt er besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) ein, ist er dafür verantwortlich, die Zulässigkeit zu prüfen und den Auftragnehmer darauf hinzuweisen.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber die rechtlichen Anforderungen vorab mit, soweit das Gesetz dies nicht verbietet. Die Weisungen ergeben sich aus diesem Vertrag und dem Hauptvertrag; Einzelweisungen erteilt der Auftraggeber in Textform (z. B. per E-Mail oder Support-Ticket).

(2) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt ihnen Zugriff auf die Daten nur, soweit es für die Leistung erforderlich ist.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die Maßnahmen sind in der Anlage zu diesem Vertrag beschrieben.

(2) Der Auftragnehmer darf die Maßnahmen an den Stand der Technik anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt den Einsatz folgender Unterauftragsverarbeiter:

• STRATO AG, Otto-Ostrowski-Straße 7, 10249 Berlin – Bereitstellung des Servers und Betrieb des Rechenzentrums in Deutschland.

(2) Registrare und Vergabestellen (z. B. DENIC eG) verarbeiten die Daten des Domaininhabers in eigener Verantwortung und sind keine Unterauftragsverarbeiter im Sinne dieses Vertrags.

(3) Will der Auftragnehmer einen weiteren Unterauftragsverarbeiter einsetzen oder einen bestehenden ersetzen, informiert er den Auftraggeber mindestens vier Wochen vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, können beide Seiten die betroffenen Leistungen außerordentlich kündigen.

(4) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

§ 7 Ort der Verarbeitung

Die Verarbeitung findet ausschließlich in Deutschland bzw. in der Europäischen Union statt. Eine Verarbeitung in einem Drittland erfolgt nur nach vorheriger Information des Auftraggebers und wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 8 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Für Unterstützungsleistungen, die über das übliche Maß hinausgehen und nicht auf einem Verstoß des Auftragnehmers beruhen, kann der Auftragnehmer eine angemessene Vergütung verlangen, die er vorab mitteilt.

§ 9 Meldung von Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Auftragnehmer ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mindern.

§ 10 Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht der Auftragnehmer die Daten des Auftraggebers innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Bis dahin kann der Auftraggeber seine Daten nach Absprache sichern bzw. herausverlangen.

(2) Daten in Sicherungskopien werden im Rahmen der regulären Rotation (derzeit 14 Tage) überschrieben.

§ 11 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Auftraggeber darf die Einhaltung nach rechtzeitiger Anmeldung (in der Regel zwei Wochen) während der üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, ohne den Betrieb unverhältnismäßig zu stören. Für das Rechenzentrum genügen geeignete Nachweise des Betreibers (z. B. Zertifizierungen).

§ 12 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten im Übrigen die Haftungsregelungen des Hauptvertrags.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.

(2) Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Sözleşme müşteri alanında çevrimiçi olarak yapılır; bu sırada tarih, saat ve sürüm kaydedilir.

Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Die Server stehen in einem Rechenzentrum der STRATO AG in Deutschland mit Zutrittsbeschränkung, Zutrittsprotokollierung und Überwachung; nach Angaben des Betreibers ist das Rechenzentrum nach ISO/IEC 27001 zertifiziert. Der Auftragnehmer hat keinen physischen Zutritt zu den Servern.
• Zugangskontrolle: Zugang zur Serververwaltung nur für berechtigte Personen mit individuellen Konten, starken Passwörtern und Zwei-Faktor-Anmeldung; Firewall; Begrenzung wiederholter Fehlversuche bei der Anmeldung.
• Zugriffskontrolle: Rollen- und Berechtigungskonzept; jeder Kunde erhält eigene, voneinander getrennte Zugänge, Systembenutzer und Datenbanken.
• Trennungskontrolle: Logische Trennung der Daten verschiedener Kunden (eigene Webspaces, Datenbanken und Postfächer).
• Pseudonymisierung und Verschlüsselung: Passwörter werden nur als sichere Hashwerte gespeichert; Schlüssel für die Zwei-Faktor-Anmeldung und Zugangsdaten werden verschlüsselt gespeichert; IP-Adressen werden in Sicherheitsprotokollen nur als Hashwert gespeichert.

2. Integrität

• Weitergabekontrolle: Datenübertragung ausschließlich verschlüsselt (HTTPS/TLS, SFTP, IMAP/SMTP mit TLS).
• Eingabekontrolle: Protokollierung von Anmeldungen und Änderungen in der Verwaltung.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherung mit einer Aufbewahrung von 14 Tagen.
• Rechenzentrum mit unterbrechungsfreier Stromversorgung, Klimatisierung und Brandschutz nach Angaben des Betreibers.
• Zeitnahes Einspielen von Sicherheitsupdates, Überwachung der Systeme.

4. Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Überprüfung und Anpassung der Maßnahmen an den Stand der Technik.
• Datenschutzfreundliche Voreinstellungen (keine Tracking- oder Werbedienste auf den Systemen des Auftragnehmers).

Fassung: 2026-10