Auftragsverarbeitungsvertrag (AV-Vertrag) gemäß Art. 28 DSGVO

Dieser Auftragsverarbeitungsvertrag regelt die Verarbeitung personenbezogener Daten durch FM-NETZ Webdesign, Fabian Markl, Dangelsdorfer Straße 15, 93192 Wald (nachfolgend „Auftragnehmer“) im Auftrag des Kunden (nachfolgend „Auftraggeber“) im Rahmen des zwischen den Parteien geschlossenen Hauptvertrags über die Erstellung, das Hosting, die Betreuung und den Support von Websites, E-Mail-Postfächern und damit verbundenen Dienstleistungen.

Wird der Hauptvertrag nicht gesondert benannt, gilt dieser Vertrag mit der ersten Überlassung personenbezogener Daten an den Auftragnehmer als geschlossen und konkretisiert die datenschutzrechtlichen Pflichten der Parteien.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag und auf Weisung des Auftraggebers ausschließlich zur Erbringung folgender Leistungen: Betrieb und Hosting der Website des Auftraggebers, Bereitstellung und Betrieb von E-Mail-Postfächern (selbst gehostetes Mailcow), technische Wartung, Pflege, Support, Sicherheitsupdates sowie SEO- und Optimierungsmaßnahmen.

Art, Umfang und Zweck der Verarbeitung sowie die Kategorien personenbezogener Daten und betroffener Personen ergeben sich im Einzelnen aus Anlage 1 zu diesem Vertrag. Sie betreffen die personenbezogenen Daten, die im Rahmen der Leistungserbringung verarbeitet werden.

§ 2 Dauer

Die Dauer dieses Auftragsverarbeitungsvertrags richtet sich nach der Laufzeit des Hauptvertrags. Der Vertrag endet, wenn der Auftragnehmer keine Leistungen des Hauptvertrags mehr erbringt. Die Pflichten dieses Vertrags gelten über die Beendigung hinaus fort, solange personenbezogene Daten des Auftraggebers verarbeitet werden.

§ 3 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im dokumentierten Auftrag des Auftraggebers. Er gilt im Rahmen dieses Auftrags als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

(2) Der Auftragnehmer befolgt die Weisungen des Auftraggebers über die Verarbeitung personenbezogener Daten (Art. 29 DSGVO). Weisungen werden schriftlich oder per E-Mail erteilt. Mündliche Weisungen bestätigt der Auftraggeber unverzüglich in Textform. Weicht eine Verarbeitung des Auftragnehmers von diesen Weisungen ab, gilt dies als Weisungsverstoß.

(3) Der Auftragnehmer weist das mit der Verarbeitung betraute Personal auf die Einhaltung der vertraglichen Verpflichtungen sowie der Vertraulichkeit hin (Art. 28 Abs. 3 Satz 2 lit. b, Art. 32 Abs. 4 DSGVO) und verpflichtet es entsprechend auf Grundlage von Art. 29 DSGVO.

(4) Der Auftragnehmer ist zur Einhaltung aller anwendbaren datenschutzrechtlichen Vorschriften, insbesondere der Art. 28 bis 36 DSGVO und des Bundesdatenschutzgesetzes (BDSG), verpflichtet.

(5) Der Auftragnehmer führt das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO und unterstützt den Auftraggeber bei dessen Pflichten zur Erstellung des Verzeichnisses nach Art. 30 DSGVO.

(6) Daten, die nicht unmittelbar für die Erfüllung des Hauptvertrags erforderlich sind, werden vom Auftragnehmer nicht verarbeitet. Insbesondere findet keine werbliche oder eigenwirtschaftliche Nutzung der Daten des Auftraggebers statt.

§ 4 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat die in der nachfolgenden Aufstellung genannten technischen und organisatorischen Maßnahmen nach dem Stand der Technik umgesetzt (Art. 32 DSGVO). Sie gelten als vereinbarte Anlage zu diesem Vertrag und werden bei Bedarf gemeinsam fortgeschrieben:

• Zutrittskontrolle (Art. 32 Abs. 1 lit. a DSGVO): Server und Infrastruktur befinden sich in gesicherten Rechenzentren in Deutschland mit physischen Zutrittsschutzmaßnahmen. Zugang nur für autorisiertes Personal.
• Zugangskontrolle (Art. 32 Abs. 1 lit. a DSGVO): Individuelle Benutzerkonten, strenge Passwortrichtlinien und 2-Faktor-Authentifizierung für alle administrativen Zugänge. Rechtevergabe nur nach dem Need-to-know-Prinzip.
• Zugriffskontrolle (Art. 32 Abs. 1 lit. a DSGVO): Alle administrativen Zugriffe erfolgen ausschließlich über verschlüsselte Verbindungen (SSH, TLS). Protokollierung nur in dem zur Sicherheit technisch erforderlichen Umfang.
• Weitergabekontrolle (Art. 32 Abs. 1 lit. b DSGVO): Übertragung personenbezogener Daten ausschließlich über TLS-verschlüsselte Verbindungen. Keine unverschlüsselte Weitergabe an Dritte.
• Eingabekontrolle (Art. 32 Abs. 1 lit. a DSGVO): Lese-, Änderungs- und Lösungsrechte sind je Kunde technisch getrennt und nur den jeweils zuständigen Personen eingeräumt.
• Auftragskontrolle (Art. 32 Abs. 1 lit. b DSGVO): Verarbeitung nur auf Grundlage dieses Vertrags und der Weisungen des Auftraggebers. Keine Auftragsverarbeitung ohne entsprechende vertragliche Regelung.
• Verfügbarkeitskontrolle (Art. 32 Abs. 1 lit. b DSGVO): Tägliche, verschlüsselte Backups mit getrennter Speicherung in Deutschland. Monitoring von Server und Website mit automatischer Alarmierung bei Ausfällen.
• Trennungskontrolle (Art. 32 Abs. 1 lit. b DSGVO): Personenbezogene Daten verschiedener Auftraggeber werden getrennt und isoliert voneinander verarbeitet und gespeichert.
• Serverstandort: Alle Websites, E-Mail-Systeme und Backups werden auf eigenen Servern des Auftragnehmers in deutschen Rechenzentren betrieben. Es findet kein Datenexport in Drittländer statt.
• E-Mail-System: E-Mail-Postfächer laufen über selbst gehostetes Mailcow auf eigenen Servern in Deutschland. Eine Verarbeitung durch externe E-Mail-Diensteanbieter findet nicht statt.
• Content Delivery Network (CDN): Zur Auslieferung der Website wird das CDN von Cloudflare genutzt (Cloudflare Germany GmbH, München). Die Verarbeitung erfolgt innerhalb der EU auf Grundlage der EU-Standardvertragsklauseln.
• Keine IP-Adress-Logs: Es werden keine dauerhaften Logs mit IP-Adressen der Website-Besucher erstellt oder gespeichert. IP-Adressen werden nicht zum Tracking genutzt.
• Kein Tracking: Auf den Websites der Auftraggeber werden keine Cookies, keine Tracking- und keine Analysedienste Dritter eingesetzt.
• Löschkonzept: Daten werden nach Ablauf gesetzlicher Aufbewahrungspflichten bzw. nach Beendigung des Vertragsverhältnisses gelöscht. Wiederherstellbarkeit nach versehentlicher Löschung ist für mindestens 7 Tage sichergestellt.

§ 5 Unterauftragsverhältnisse

(1) Der Auftragnehmer ist zur Einbindung von Sub-Auftragsverarbeitern nach Maßgabe der Art. 28 Abs. 2 und 4 DSGVO berechtigt. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Sub-Auftragsverarbeiter sind in Anlage 2 benannt und gelten durch den Abschluss dieses Vertrags als genehmigt.

(2) Beabsichtigte Änderungen der Sub-Auftragsverarbeiter, insbesondere die Hinzuziehung neuer Sub-Auftragsverarbeiter, teilt der Auftragnehmer dem Auftraggeber rechtzeitig in Textform mit. Der Auftraggeber kann einer Änderung innerhalb einer Frist von zwei Wochen widersprechen. Über Weiterleitungsmöglichkeiten wird der Auftraggeber unterrichtet.

(3) Der Auftragnehmer schließt mit jedem Sub-Auftragsverarbeiter eine Vereinbarung nach Art. 28 Abs. 4 DSGVO ab, in der dem Sub-Auftragsverarbeiter dieselben datenschutzrechtlichen Pflichten auferlegt werden, die den Auftragnehmer aus diesem Vertrag treffen. Kommt der Sub-Auftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Sub-Auftragsverarbeiters.

§ 6 Unterstützung bei Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber nach Art. 28 Abs. 3 lit. e DSGVO bei der Erfüllung seiner Pflichten auf Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit und Widerspruch betroffener Personen (Art. 15 bis 22 DSGVO). Bei Anfragen betroffener Personen an den Auftragnehmer wird der Auftraggeber unverzüglich informiert und die Anfrage bearbeitet, soweit der Auftraggeber hierzu ermächtigt ist.

§ 7 Meldung von Datenschutzverletzungen

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung seiner Pflichten zur Meldung von Verletzungen des Schutzes personenbezogener Daten an die Aufsichtsbehörde (Art. 33 DSGVO) und zur Benachrichtigung der betroffenen Personen (Art. 34 DSGVO). Datenschutzverletzungen werden dem Auftraggeber unverzüglich, spätestens 24 Stunden nach Bekanntwerden, gemeldet und vollständig dokumentiert.

§ 8 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags und die Umsetzung der technischen und organisatorischen Maßnahmen vor Ort oder durch einen vom Auftraggeber beauftragten Prüfer kontrollieren zu lassen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragnehmer stellt die hierfür erforderlichen Informationen bereit und weist die Einhaltung der Pflichten nach Art. 28 DSGVO auf Verlangen nach.

(2) Der Nachweis kann auch durch Vorlage aussagekräftiger, aktueller Zertifizierungen oder Sicherheitsnachweise erfolgen.

§ 9 Löschung und Rückgabe von Daten

Der Auftragnehmer löscht personenbezogene Daten nach Abschluss der Leistungserbringung, spätestens nach Ablauf der gesetzlichen Aufbewahrungsfristen, oder gibt sie auf Verlangen des Auftraggebers in einem gängigen, maschinenlesbaren Format zurück (Art. 28 Abs. 3 lit. g DSGVO). Daten, die der Rückgabe oder Löschung unterliegen, werden vollständig und revisionssicher gelöscht. Im Übrigen gilt die jeweilige Regelung im Hauptvertrag.

§ 10 Internationale Datenübermittlung

Eine Übermittlung personenbezogener Daten in Drittländer außerhalb der EU/des EWR findet nicht statt. Sämtliche Verarbeitungen erfolgen auf Servern in Deutschland. Soweit im Rahmen des Content Delivery Networks (Cloudflare) eine Verarbeitung erfolgt, findet diese innerhalb der EU auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914) statt.

§ 11 Haftung

Die Haftung des Auftragnehmers für die Verarbeitung personenbezogener Daten im Rahmen dieses Vertrags richtet sich nach Art. 82 DSGVO und den Regelungen des Hauptvertrags. Im Übrigen gelten die gesetzlichen Haftungsregelungen.

§ 12 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Es gilt deutsches Recht.

(2) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(3) Aufbau, Betrieb und Wartung der Systeme können im Rahmen von Wartungsfenstern erfolgen, in denen die Dienste kurzzeitig nicht verfügbar sind. Der Auftragnehmer informiert den Auftraggeber rechtzeitig über geplante Wartungsfenster.

Anlage 1: Verzeichnis der Verarbeitungen

• Verarbeitung 1 – Betrieb und Hosting der Website: Bereitstellung der Website des Auftraggebers auf eigenen Servern in Deutschland inklusive SSL-Verschlüsselung, Sicherheitsupdates, Monitoring und täglicher Backups.
• Verarbeitung 2 – Kontaktformulare auf der Website: Übermittlung und Zwischenspeicherung der über Kontaktformulare eingegebenen Daten (Name, E-Mail-Adresse, Telefonnummer, Nachricht) zur Bearbeitung von Anfragen.
• Verarbeitung 3 – E-Mail-Postfächer (Mailcow): Bereitstellung und Betrieb von E-Mail-Postfächern für den Auftraggeber über selbst gehostetes Mailcow auf eigenen Servern in Deutschland inklusive Versand, Empfang, Speicherung und Virenschutz von E-Mails.
• Verarbeitung 4 – Wartung, Pflege und Support: technische Administration, Fehlerbehebung und Weiterentwicklung der Website des Auftraggebers mit Zugriff auf die dafür erforderlichen Systeme und Inhalte.

Kategorien betroffener Personen: Website-Besucher und Kunden des Auftraggebers, Ansprechpartner des Auftraggebers, Korrespondenzpartner der E-Mail-Postfächer, Interessenten und Anfragende.

Kategorien personenbezogener Daten: Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer), Inhalte von Kontaktformular- und E-Mail-Nachrichten, Bestands- und Vertragsdaten des Auftraggebers sowie technische Zugriffsdaten, soweit diese verarbeitet werden müssen. IP-Adressen werden nicht dauerhaft gespeichert oder protokolliert.

Speicherdauer: Für die Dauer des Hauptvertrags. Danach Löschung nach Ablauf gesetzlicher Aufbewahrungsfristen oder Rückgabe auf Verlangen.

Anlage 2: Sub-Auftragsverarbeiter

• Cloudflare Germany GmbH – Arnulfstraße 25, 80335 München, Deutschland: Content Delivery Network (CDN) und DDoS-Schutz für die Auslieferung der Website. Zugriff auf die ausgelieferten Inhalte im Rahmen der Bereitstellung. Verarbeitung innerhalb der EU auf Grundlage der EU-Standardvertragsklauseln.

Stand: September 2026