AVV · Art. 28 DSGVO · Anlage 3 zur AGB · Stand 29. Juli 2026

Auftragsverarbeitungsvertrag

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Er ist Anlage 3 der AGB, wird im Bestellprozess mit akzeptiert und gilt für die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Kunden im Zuge von Erstellung, Hosting und Betrieb der Website vornimmt.

§ 1 Gegenstand und Dauer der Verarbeitung

1. Der Auftragsverarbeiter erstellt und betreibt für den Verantwortlichen eine Website nebst begleitender Leistungen (Hauptvertrag: WaaS-Vertrag gemäß AGB). Im Rahmen dessen verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.
2. Die Dauer dieses AVV entspricht der Laufzeit des Hauptvertrags.

Abgrenzung: Nicht Gegenstand dieses AVV ist die Verarbeitung der Vertrags- und Zahlungsdaten des Kunden selbst (Rechnungsstellung, Zahlungsabwicklung über Stripe) — insoweit ist der Auftragsverarbeiter selbst Verantwortlicher.

§ 2 Art, Zweck und Umfang der Verarbeitung

Die Verarbeitung umfasst insbesondere:

• Hosting und Betrieb der Website (Speicherung, Auslieferung, Server-Logfiles),
• Verarbeitung von Formulareingaben (Kontakt-, Anfrage-, ggf. Buchungsformulare): Entgegennahme und Weiterleitung per E-Mail an den Verantwortlichen,
• Reichweitenmessung mittels des selbst gehosteten, cookielos arbeitenden Analysetools Plausible (aggregierte Statistiken, IP-Adressen werden nicht dauerhaft gespeichert),
• Wartung, Fehlerbehebung und Support mit möglichem Zugriff auf die vorgenannten Daten.

§ 3 Kategorien betroffener Personen und Datenarten

Betroffene Personen: Besucher der Website des Verantwortlichen; Personen, die Formulare der Website nutzen (Interessenten, Kunden des Verantwortlichen); ggf. Beschäftigte des Verantwortlichen (Impressums-/Teamdaten).

Datenarten:

• Nutzungsdaten (IP-Adresse, User-Agent, aufgerufene Seiten, Referrer, Zeitstempel — Server-Logs und Analyse in aggregierter Form),
• Kommunikationsdaten aus Formularen (Name, E-Mail-Adresse, Telefonnummer, Nachrichteninhalt und vom Verantwortlichen konfigurierte weitere Felder),
• Inhaltsdaten der Website (z. B. Teamfotos, Namen), soweit personenbezogen.

Besondere Kategorien von Daten (Art. 9 DSGVO): Die Verarbeitung besonderer Kategorien personenbezogener Daten (insbesondere Gesundheitsdaten, z. B. bei Terminanfragen mit Nennung von Symptomen) ist ausdrücklich nicht Gegenstand dieses Auftragsverarbeitungsvertrages. Der Verantwortliche stellt durch geeignete organisatorische Maßnahmen (z. B. explizite Hinweise an den Formularfeldern der Website) sicher, dass Betroffene keine derartigen Daten über die Standard-Kontaktformulare übermitteln. Beabsichtigt der Verantwortliche (z. B. als Angehöriger von Heilberufen) planmäßig die Erhebung solcher Daten, bedarf dies einer vorherigen ausdrücklichen Vereinbarung in Textform, um die zwingend erforderlichen zusätzlichen technischen Schutzmaßnahmen (z. B. Ende-zu-Ende-Verschlüsselung, sichere Postfächer) vorab zu implementieren.

§ 4 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Der Hauptvertrag und dieser AVV gelten als allgemeine Weisung. Einzelweisungen bedürfen der Textform.
2. Er informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt (Art. 28 Abs. 3 UAbs. 2 DSGVO); er darf die Durchführung insoweit aussetzen.
3. Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO).
4. Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO) und passt sie dem Stand der Technik an, ohne das Schutzniveau zu unterschreiten.
5. Er unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen und ggf. bei Datenschutz-Folgenabschätzungen (Art. 28 Abs. 3 lit. e, f DSGVO). Anfragen Betroffener, die direkt bei ihm eingehen, leitet er unverzüglich an den Verantwortlichen weiter.
6. Meldung von Datenschutzverletzungen: Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
7. Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
8. Ein Datenschutzbeauftragter ist nicht bestellt, da die gesetzlichen Voraussetzungen (§ 38 BDSG) derzeit nicht vorliegen.

§ 5 Unterauftragsverhältnisse

1. Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zur Einschaltung der in Anlage 2 genannten Unterauftragsverarbeiter.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) mindestens 4 Wochen vorab in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; führt der Widerspruch dazu, dass die Leistung nicht erbracht werden kann, steht beiden Parteien ein Sonderkündigungsrecht des Hauptvertrags zu.
3. Mit jedem Unterauftragsverarbeiter werden Verpflichtungen vereinbart, die den Pflichten dieses AVV entsprechen (Art. 28 Abs. 4 DSGVO).
4. Verarbeitung in Drittländern findet nicht statt; alle Unterauftragsverarbeiter der Anlage 2 verarbeiten in Deutschland bzw. der EU/dem EWR. Sollte künftig ein Drittlandtransfer erforderlich werden, erfolgt er nur bei Vorliegen geeigneter Garantien nach Kapitel V DSGVO und nach Information des Verantwortlichen.

§ 6 Kontrollrechte des Verantwortlichen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), zunächst durch Selbstauskunft, aktuelle TOM-Dokumentation und ggf. vorhandene Testate der Unterauftragsverarbeiter.
2. Vor-Ort-Kontrollen sind nach Terminabstimmung (mindestens 14 Tage Vorlauf) während der üblichen Geschäftszeiten möglich, höchstens einmal jährlich, sofern kein konkreter Anlass eine häufigere Kontrolle rechtfertigt. Der Auftragsverarbeiter kann angemessenen Aufwandsersatz verlangen, sofern die Kontrolle keinen Verstoß ergibt.

§ 7 Löschung und Rückgabe

1. Nach Ende des Hauptvertrags gibt der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen heraus (Export in gängigem Format) und/oder löscht sie, spätestens 60 Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Verlangen bestätigt.
2. Bestehende Backups werden im regulären Backup-Zyklus überschrieben (Anlage 1); eine vorzeitige selektive Löschung aus Backups erfolgt nicht, die Daten unterliegen bis zum Überschreiben der Zugriffsbeschränkung.

§ 8 Haftung, Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO sowie ergänzend die Haftungsregelung des Hauptvertrags (AGB § 13).
2. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser AVV vor.
3. Es gilt deutsches Recht; Gerichtsstand wie im Hauptvertrag.

Anlage 1 — Technische und organisatorische Maßnahmen (TOMs, Art. 32 DSGVO)

Stand: 29. Juli 2026.

1. Vertraulichkeit

• Zutrittskontrolle: Verarbeitung in professionellen Rechenzentren der Unterauftragsverarbeiter (ALL-INKL/Deutschland, Hetzner/Finnland) mit Zutrittskontrollsystemen; Arbeitsplätze des Auftragsverarbeiters mit Geräteverschlüsselung und Sperrbildschirm.
• Zugangskontrolle: Individuelle Zugänge, starke Passwörter, Passwort-Manager; Zwei-Faktor-Authentifizierung, wo vom Dienst unterstützt (Hosting-Panel, GitHub, Stripe).
• Zugriffskontrolle: Need-to-know-Prinzip; SMTP-Zugangsdaten der Kunden werden nicht im Code-Repository, sondern ausschließlich als Umgebungsvariablen/Server-Konfiguration gespeichert.
• Trennungskontrolle: Getrennte Verzeichnisse/Instanzen pro Kunde; getrennte Analytics-Properties pro Website.

2. Integrität

• Übertragungskontrolle: TLS-Verschlüsselung (HTTPS) für sämtliche Websites und Übertragungswege; SFTP/FTPS für Deployments.
• Eingabekontrolle: Versionsverwaltung (Git) für Website-Code; Deploy-Protokolle (CI-Logs).

3. Verfügbarkeit und Belastbarkeit

• Tägliche Backups durch den Hosting-Anbieter; zusätzliche Code-Sicherung über Git-Remote.
• Wiederherstellbarkeit: Websites sind aus Repository + Backup reproduzierbar.

4. Datenminimierung by Design

• Reichweitenmessung ausschließlich cookielos und ohne dauerhafte Speicherung vollständiger IP-Adressen (Plausible, selbst gehostet in der EU).
• Formulare erheben nur die für den Zweck erforderlichen Felder; Spam-Schutz über Honeypot statt trackender Drittdienste.

5. Verfahren zur regelmäßigen Überprüfung

• Jährliche Überprüfung der TOMs; Aktualisierung der Datenschutzhinweise bei Diensteänderung.

Anlage 2 — Genehmigte Unterauftragsverarbeiter

Die Stripe Payments Europe, Ltd. ist für die Zahlungsabwicklung kein Unterauftragsverarbeiter, sondern eigenständiger Verantwortlicher (siehe § 1).

Anlage 3 — Weisungsberechtigte Personen

Verantwortlicher: die im Bestellprozess angegebene Kontaktperson des Kunden.
Auftragsverarbeiter: Moritz Lehmann (lehmann@adfera.de).

Moritz Lehmann – adfera · An der Bachschleife 1 · 99310 Arnstadt · USt-IdNr. DE315344543 · info@adfera.de · Stand 29. Juli 2026.