Buff.
Dieses Dokument ist nur in der deutschen Originalfassung verfügbar.

Vereinbarung über die Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO

Stand: Juni 2026

Zwischen der Felix Kinze & Leon Trepesch GbR, vertreten durch die Gesellschafter Felix Kinze und Leon Trepesch, Eulitzstr. 1, 09112 Chemnitz (nachfolgend „Auftragsverarbeiter") und dem im zugehörigen WaaS-Vertrag benannten Kunden (nachfolgend „Verantwortlicher").

Diese Vereinbarung über die Auftragsverarbeitung (nachfolgend „AVV") ist Bestandteil des zwischen den Parteien geschlossenen Website-as-a-Service-Vertrages (nachfolgend „Hauptvertrag") und regelt ergänzend die datenschutzrechtlichen Pflichten beider Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen.

§ 1 Gegenstand und Dauer der Verarbeitung

  1. Der Auftragsverarbeiter erbringt für den Verantwortlichen die im Hauptvertrag beschriebenen Leistungen.
  2. Im Rahmen dieser Leistungen kann der Auftragsverarbeiter auf personenbezogene Daten zugreifen oder diese verarbeiten, die auf den vom Auftragsverarbeiter betriebenen Serverinfrastrukturen gespeichert sind oder über die Website des Verantwortlichen übertragen werden.
  3. Diese Vereinbarung gilt für die gesamte Laufzeit des Hauptvertrages.

§ 2 Art und Zweck der Datenverarbeitung

  1. Art der Verarbeitung: Speicherung, Übertragung, Zugriff im Rahmen von technischer Wartung und Support.
  2. Zweck: Technischer Betrieb und Bereitstellung der Website sowie Support- und Pflegeleistungen gemäß Hauptvertrag.
  3. Kategorien betroffener Personen:
    • Website-Besucher (Nutzer der vom Verantwortlichen betriebenen Website)
    • Kontaktpersonen des Verantwortlichen (sofern im Rahmen des Supports Daten übermittelt werden)
  4. Kategorien personenbezogener Daten:
    • Server-Logdaten (IP-Adressen, Zeitstempel, Seitenaufrufe)
    • Kontaktformular-Eingaben (Name, E-Mail-Adresse, Nachrichteninhalt — sofern der Verantwortliche ein solches Formular einsetzt)
    • Sonstige vom Verantwortlichen auf den Servern des Auftragsverarbeiters gespeicherte Daten

§ 3 Weisungsgebundenheit

  1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (einschließlich der im Hauptvertrag enthaltenen Weisungen), es sei denn, er ist durch das Recht der Europäischen Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet.
  2. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.
  3. Weisungen sind in Textform (E-Mail oder postalisch) zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.

§ 4 Technische und organisatorische Maßnahmen (TOM)

  1. Der Auftragsverarbeiter trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Hierzu gehören insbesondere:
    • Vertraulichkeit: Zugriffskontrolle durch individuelle Zugangsdaten, rollenbasierte Zugriffsberechtigungen, Einsatz von Verschlüsselung (SSL/TLS).
    • Integrität: Einsatz von Firewalls und Intrusion-Detection-Systemen, DDoS-Schutz.
    • Verfügbarkeit: Automatisierte tägliche Backups, redundante Serverinfrastrukturen, angestrebte Verfügbarkeit von 99,5 % im Jahresmittel gemäß Hauptvertrag.
    • Belastbarkeit: Einsatz von ISO-zertifizierten deutschen Rechenzentren.
  2. Der Auftragsverarbeiter überprüft und aktualisiert diese Maßnahmen regelmäßig.
  3. Eine detaillierte Übersicht der TOM kann vom Verantwortlichen auf Anfrage in Textform (E-Mail oder postalisch) angefordert werden.

§ 5 Vertraulichkeit und Verpflichtung der Mitarbeiter

  1. Der Auftragsverarbeiter stellt sicher, dass alle Personen, die zur Verarbeitung der personenbezogenen Daten befugt sind, zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
  2. Mitarbeiter und Subunternehmer, die Zugriff auf die verarbeiteten Daten haben, werden über ihre datenschutzrechtlichen Pflichten informiert und entsprechend geschult.

§ 6 Einsatz von Unterauftragsverarbeitern (Sub-Auftragsverarbeiter)

  1. Der Auftragsverarbeiter darf Sub-Auftragsverarbeiter einsetzen. Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung für den Einsatz der nachfolgend aufgeführten Sub-Auftragsverarbeiter:

    UnternehmenLeistungStandort / Übermittlung
    Hetzner Online GmbH, Industriestr. 25, 91710 GunzenhausenHosting-Infrastruktur, ServerhostingDeutschland (EU)
    netcup GmbH, Emmy-Noether-Straße 10, 76131 KarlsruheHosting-Infrastruktur, ServerhostingDeutschland (EU)
    Cloudflare Germany GmbH, c/o Design Offices München Atlas, Rosenheimer Straße 143CCDN (Content Delivery Network)Deutschland (EU)

  2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder den Austausch von Sub-Auftragsverarbeitern mindestens 4 Wochen im Voraus in Textform. Der Verantwortliche kann gegen die Änderung innerhalb von 2 Wochen schriftlich Widerspruch einlegen, sofern ein begründeter datenschutzrechtlicher Einwand besteht.

  3. Der Auftragsverarbeiter stellt vertraglich sicher, dass Sub-Auftragsverarbeiter denselben Datenschutzverpflichtungen unterliegen wie der Auftragsverarbeiter gemäß dieser Vereinbarung (Art. 28 Abs. 4 DSGVO).

§ 7 Betroffenenrechte und Auskunftspflichten

  1. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen und Zumutbaren dabei, Anfragen betroffener Personen zu beantworten, die ihre Rechte gemäß Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) geltend machen.
  2. Erhält der Auftragsverarbeiter direkt eine Anfrage einer betroffenen Person, die in Bezug auf die verarbeiteten Daten des Verantwortlichen gestellt wird, leitet er die Anfrage unverzüglich an den Verantwortlichen weiter.
  3. Der Auftragsverarbeiter unterstützt den Verantwortlichen außerdem bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

§ 8 Meldepflicht bei Datenschutzverletzungen

  1. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) unverzüglich und in jedem Fall innerhalb von 72 Stunden nach Bekanntwerden in Textform (E-Mail oder postalisch).
  2. Die Meldung enthält mindestens:
    • Art der Verletzung (soweit feststellbar: Kategorien und ungefähre Anzahl betroffener Personen und Datensätze)
    • Name und Kontaktdaten des Datenschutzbeauftragten oder einer anderen Kontaktperson
    • Wahrscheinliche Folgen der Verletzung
    • Ergriffene oder vorgeschlagene Maßnahmen zur Behebung und Abmilderung
  3. Eine unvollständige Erstmeldung ist zulässig; fehlende Informationen werden unverzüglich nachgeliefert.

§ 9 Datenlöschung und Rückgabe nach Vertragsende

  1. Nach Beendigung des Hauptvertrages löscht der Auftragsverarbeiter alle personenbezogenen Daten des Verantwortlichen und seiner Website-Besucher, die im Rahmen der Auftragsverarbeitung gespeichert wurden, innerhalb von 30 Tagen nach Vertragsende unwiderruflich und datenschutzkonform.
  2. Auf Wunsch des Verantwortlichen können die personenbezogenen Daten vor der Löschung in einem gängigen maschinenlesbaren Format (z. B. CSV, JSON) exportiert und dem Verantwortlichen zur Verfügung gestellt werden. Dieser Wunsch ist spätestens mit Ausspruch der Kündigung in Textform zu äußern.
  3. Der Auftragsverarbeiter bestätigt die erfolgte Löschung auf Anfrage des Verantwortlichen in Textform.
  4. Gesetzliche Aufbewahrungspflichten (insb. aus dem HGB und der AO) bleiben unberührt. In diesen Fällen wird die Verarbeitung für die Dauer der gesetzlichen Aufbewahrungsfrist eingeschränkt.

§ 10 Prüfungsrechte und Audits

  1. Der Verantwortliche ist berechtigt, die Einhaltung dieser Vereinbarung und der datenschutzrechtlichen Vorschriften durch den Auftragsverarbeiter zu überprüfen.
  2. Die Überprüfung kann durch schriftliche Anfragen, Einsicht in Dokumentationen oder — nach vorheriger Ankündigung mit einer Frist von mindestens 2 Wochen — durch Vor-Ort-Prüfungen erfolgen.
  3. Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung seiner Pflichten aus Art. 28 DSGVO zur Verfügung.
  4. Vor-Ort-Audits sind auf das notwendige Maß zu beschränken und dürfen den laufenden Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen. Die Kosten der Vor-Ort-Prüfung trägt der Verantwortliche, sofern keine wesentlichen Verstöße festgestellt werden.

§ 11 Haftung und Haftungsfreistellung

  1. Werden dem Auftragsverarbeiter durch eine Datenschutzbehörde Bußgelder auferlegt oder entstehen ihm Schäden, die darauf beruhen, dass der Verantwortliche gegen seine eigenen datenschutzrechtlichen Pflichten verstoßen hat (z. B. fehlerhafte Weisungen, unvollständige Datenschutzerklärung auf der Website), stellt der Verantwortliche den Auftragsverarbeiter vollumfänglich von diesen Ansprüchen frei.
  2. Im Übrigen richtet sich die Haftung nach den im Hauptvertrag getroffenen Regelungen zur Haftungsbeschränkung.

§ 12 Schlussbestimmungen

  1. Diese Vereinbarung unterliegt dem Recht der Bundesrepublik Deutschland.
  2. Für Streitigkeiten aus dieser Vereinbarung gilt der im Hauptvertrag vereinbarte Gerichtsstand (Chemnitz).
  3. Änderungen dieser Vereinbarung bedürfen der Textform.
  4. Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.
    Rohe Tech initialisiert...
    Auftragsverarbeitung (AVV) | Buff