Vertrag zur Auftrags­verarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO), Anlage zu den AGB

Auftraggeber („Kunde“): der Kunde, der bei mir ein Hosting-Paket (Basis, Selbst ändern, Rundum-Pflege) oder den Website-Editor gebucht hat, wie in der Buchung angegeben.
Auftragsverarbeiter („ich“): Kevin Goebel, Harry Types · Graphicdesign & Webdesign, Militscher Weg 17a, 12555 Berlin, hallo@harrytypes.de.

Dieser Vertrag ist Bestandteil der AGB (Ziffer 8). Er wird mit der Buchung eines Hosting-Pakets bzw. des Website-Editors geschlossen, ohne dass es einer gesonderten Unterschrift bedarf (Textform, Art. 28 Abs. 9 DSGVO).

1. Gegenstand und Dauer

1. Ich verarbeite personenbezogene Daten im Auftrag und nach Weisung des Kunden, soweit dies für Hosting, Pflege und Website-Editor seiner Website erforderlich ist. Einzelheiten zu Art, Zweck, Datenarten und Betroffenen stehen in Ziffer 2.
2. Der Vertrag gilt, solange ich für den Kunden ein Hosting-Paket, die Rundum-Pflege oder den Website-Editor erbringe. Die Erstellung der Website selbst (Gestaltung und Programmierung auf Grundlage der vom Kunden gelieferten Inhalte) ist keine Auftragsverarbeitung im Sinne dieses Vertrags.

2. Art, Zweck, Datenarten und Betroffene

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), z. B. Gesundheitsdaten, sind nicht Gegenstand dieses Vertrags. Möchte der Kunde solche Daten über seine Website verarbeiten (z. B. ein Anamnese-Formular), stimmen wir das vorher gesondert ab.

3. Weisungen

1. Ich verarbeite die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus den AGB, diesem Vertrag und der Nutzung des Website-Editors; einzelne Weisungen erteilt der Kunde in Textform (z. B. per E-Mail).
2. Bin ich gesetzlich zu einer anderen Verarbeitung verpflichtet, teile ich das dem Kunden vorher mit, sofern das Gesetz dies nicht verbietet.
3. Halte ich eine Weisung für rechtswidrig, weise ich den Kunden unverzüglich darauf hin. Ich darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

4. Vertraulichkeit

Ich arbeite allein. Setze ich künftig weitere Personen ein, die Zugang zu den Daten erhalten, verpflichte ich sie vorher schriftlich zur Vertraulichkeit, soweit sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Sicherheit der Verarbeitung

Ich treffe die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Ich darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

1. Der Kunde ist mit den in Anlage 2 genannten Unterauftragsverarbeitern einverstanden.
2. Will ich einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiere ich den Kunden mindestens vier Wochen vorher per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Finden wir keine Lösung, kann er die betroffene Leistung zum Zeitpunkt des Wechsels außerordentlich kündigen.
3. Ich setze nur Unterauftragsverarbeiter ein, mit denen ein Vertrag besteht, der mindestens dem Schutzniveau dieses Vertrags entspricht. Werden Daten in ein Land außerhalb der EU bzw. des EWR übermittelt, geschieht das nur auf Grundlage der Art. 44 ff. DSGVO, z. B. eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework) oder der EU-Standardvertragsklauseln.

7. Unterstützung des Kunden

1. Wendet sich eine betroffene Person mit einem Anliegen zu ihren Rechten (z. B. Auskunft, Berichtigung, Löschung) an mich, leite ich es unverzüglich an den Kunden weiter. Ich unterstütze den Kunden bei der Beantwortung im Rahmen meiner Möglichkeiten.
2. Ich unterstütze den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung), soweit es meine Leistungen betrifft.
3. Wird mir eine Verletzung des Schutzes personenbezogener Daten bekannt, die die Daten des Kunden betrifft, informiere ich den Kunden unverzüglich, möglichst innerhalb von 48 Stunden, mit den mir bekannten Angaben nach Art. 33 Abs. 3 DSGVO.
4. Unterstützung, die über das Übliche hinausgeht und nicht auf einem Fehler meinerseits beruht, kann ich nach Absprache nach Aufwand mit dem Stundensatz aus den AGB berechnen.

8. Löschung und Rückgabe

1. Nach Ende der Leistungen stelle ich dem Kunden auf Wunsch die aktuellen Dateien seiner Website und die im Website-Editor gespeicherten Inhalte zur Verfügung.
2. Spätestens 30 Tage nach Vertragsende lösche ich die Website, die gespeicherten Inhalte und die Besucherzählung, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. E-Mail-Weiterleitungen beende ich mit dem Vertragsende; E-Mail-Postfächer lösche ich samt Inhalt spätestens 30 Tage nach Ende des Postfach-Vertrags. Technische Protokolle bei den Unterauftragsverarbeitern werden nach deren Fristen gelöscht.

9. Nachweise und Kontrollen

1. Ich stelle dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis meiner Pflichten aus diesem Vertrag erforderlich sind, insbesondere eine Selbstauskunft und die Zertifizierungen bzw. Prüfberichte der Unterauftragsverarbeiter.
2. Da ich keine eigenen Server betreibe, erfolgen Kontrollen in der Regel auf diesem Weg. Reicht das im Einzelfall nicht aus, sind Kontrollen nach rechtzeitiger Terminabsprache möglich; den eigenen Aufwand trägt jede Seite selbst.

10. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Inhalte, die er bereitstellt oder selbst einstellt, und für die Datenschutzerklärung seiner Website. Bemerkt er Fehler oder Unregelmäßigkeiten, informiert er mich unverzüglich.

11. Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gilt Ziffer 9 der AGB.
2. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.
3. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Keine eigenen Server: Hosting, Speicherung und E-Mail-Weiterleitung laufen in den Rechenzentren von Cloudflare (Anlage 2), die nach anerkannten Standards wie ISO 27001 und SOC 2 geprüft sind.
• Zugang zu den Verwaltungskonten (Cloudflare, Domain-Verwaltung) nur durch mich, mit persönlichen, nur für diesen Zweck verwendeten Zugangsdaten und Zwei-Faktor-Anmeldung; automatisierte Zugriffe über eigene Zugänge mit eingeschränkten Rechten.
• Programmzugriffe nur über Zugangsschlüssel mit den nötigen Rechten; Schlüssel werden verschlüsselt als Geheimnisse hinterlegt und nicht im Programmcode gespeichert.
• Website-Editor: Anmeldung ohne Passwort über Einmal-Links oder Einmal-Codes (15 Minuten gültig, höchstens 5 Fehlversuche) an die hinterlegten E-Mail-Adressen; Sitzungen enden nach höchstens 14 Tagen, Bearbeitungslinks laufen nach wenigen Stunden ab.
• Besucherzählung ohne Cookies und ohne Speicherung von IP-Adressen; der Kunde sieht nur zusammengefasste Zahlen.

Integrität

• Übertragung ausschließlich verschlüsselt (HTTPS/TLS), auch für den Website-Editor.
• Änderungen über den Website-Editor werden erst nach Klick auf „Veröffentlichen“ sichtbar; ich werde über Veröffentlichungen informiert.

Verfügbarkeit und Belastbarkeit

• Auslieferung über ein weltweit verteiltes Netz mit Schutz vor Überlastungsangriffen.
• Jede veröffentlichte Version der Website bleibt gespeichert und kann wiederhergestellt werden; die Inhalte aus dem Website-Editor werden zusätzlich wöchentlich gesichert.
• Tägliche automatische Prüfung, ob die Websites erreichbar sind; bei Problemen werde ich benachrichtigt.

Verfahren zur regelmäßigen Überprüfung

• Ich prüfe die Maßnahmen und die Liste der Unterauftragsverarbeiter mindestens einmal im Jahr und bei wesentlichen Änderungen.
• Löschfristen sind technisch hinterlegt, wo möglich automatisch.

Anlage 2: Unterauftragsverarbeiter

Stand: Oktober 2026