Vertrag über die Auftragsverarbeitung (AVV)

Dieser Vertrag über die Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO wird bei Inanspruchnahme unserer Dienstleistungen automatisch elektronisch geschlossen.

Vertragsparteien

Zwischen
dem Kunden / Webseitenbetreiber
– im Folgenden „Verantwortlicher“ genannt –

und
René Braun | Blitzmoon, Andresenstraße 12, 24113 Kiel, Deutschland
– im Folgenden „Auftragsverarbeiter“ genannt –

§ 1 Gegenstand, Dauer und Spezifizierung

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Dienstleistungen im Bereich WordPress-Wartung, Managed Hosting, technischer Support, Fehlerbehebung und Datensicherung (Backups) gemäß dem zugrunde liegenden Hauptvertrag (Wartungsvertrag/AGB).
(2) Dieser Vertrag regelt die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen.
(3) Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages. Er endet automatisch mit der Beendigung des Hauptvertrages.

§ 2 Art der Daten und Kreis der Betroffenen

Da die betreuten Systeme (z. B. CMS, Shopsysteme, CRM) diverse Datenstrukturen enthalten können, wird die Auftragsverarbeitung vorsorglich auf alle potenziell anfallenden Datenkategorien erstreckt.

(1) Art der verarbeiteten personenbezogenen Daten:
- Bestandsdaten: Namen, Adressen, Kundennummern.
- Kontaktdaten: E-Mail-Adressen, Telefonnummern.
- Inhaltsdaten: Texteingaben in Formularen, Chat-Protokolle, Kommentare, hochgeladene Medien.
- Vertrags- und Zahlungsdaten: Rechnungsadressen, Bestellhistorien, Zahlungsinformationen (bei Shop-Betreuung).
- Nutzungs- und Metadaten: IP-Adressen, Server-Log-Files, Geräte-Informationen, Zugriffszeiten.
- Authentifizierungsdaten: Benutzernamen, Passwort-Hashes (verschlüsselt).

(2) Kategorien der betroffenen Personen:
- Kunden und Interessenten des Verantwortlichen.
- Besucher und Nutzer der Website/des Online-Shops des Verantwortlichen.
- Mitarbeiter und Administratoren des Verantwortlichen.

§ 3 Pflichten des Verantwortlichen

Der Verantwortliche ist im Rahmen dieses Vertrages für die Einhaltung der gesetzlichen Bestimmungen der Datenschutzgesetze, insbesondere für die Rechtmäßigkeit der Datenweitergabe an den Auftragsverarbeiter sowie für die Rechtmäßigkeit der Datenverarbeitung allein verantwortlich (Art. 4 Nr. 7 DSGVO).

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen.
(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Anfragen betroffener Personen (Art. 15 bis 22 DSGVO) sowie bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO (Datensicherheit, Meldepflichten bei Datenpannen).

§ 5 Einsatz von Unterauftragsverarbeitern & Ortsunabhängiges Arbeiten

(1) Der Verantwortliche stimmt der Beauftragung der nachfolgenden Unterauftragsverarbeiter zu:
- Rockinghoster (Deutschland): Bereitstellung der Server-Infrastruktur / Hosting.
- pCloud (EU-Server): Primäre Speicherung von verschlüsselten Datensicherungen.
- Eigenes NAS-System (Standort: Nicht-EU-Ausland): Fallback-Sicherung für das Disaster Recovery. Die Übertragung und Speicherung erfolgt strikt verschlüsselt, sodass ohne den in Deutschland liegenden Schlüssel kein Zugriff auf Klardaten möglich ist.

(2) Ortsunabhängiges Arbeiten (Remote Work) und externe Dienstleister: Der Auftragsverarbeiter erbringt seine Dienstleistungen ortsunabhängig. Dies schließt die Tätigkeit des Inhabers, festangestellter Mitarbeiter sowie den berechtigten Einsatz externer Freiberufler (Unterauftragsverarbeiter) zur Erfüllung des Hauptvertrages ein.

(3) Standortübergreifender Systemzugriff (EU und Drittländer): Die administrativen Tätigkeiten und der damit verbundene temporäre oder dauerhafte Zugriff auf die Systeme und Daten des Verantwortlichen können weltweit erfolgen – sowohl aus dem Gebiet der Europäischen Union (EU) als auch aus dem Nicht-EU-Ausland (Drittland).

(4) Datensicherheit und rechtliche Absicherung bei Drittland-Zugriff: Erfolgt der Zugriff aus einem Drittland, gewährleistet der Auftragsverarbeiter den Schutz der Daten durch strenge technisch-organisatorische Maßnahmen (z. B. Nutzung von firmeninternen VPN-Verbindungen und Zwei-Faktor-Authentifizierung). Werden darüber hinaus externe Freelancer in einem Drittland ohne Angemessenheitsbeschluss der EU-Kommission eingesetzt, schließt der Auftragsverarbeiter mit diesen zur Wahrung des Datenschutzniveaus zusätzlich zwingend EU-Standardvertragsklauseln (SCC) ab und verpflichtet diese vertraglich zur strikten Verschwiegenheit (NDA).

§ 6 Technisch-organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter sichert die Umsetzung der erforderlichen technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO zu. Diese umfassen mindestens:

- Zutrittskontrolle: Ausschluss Unbefugter von den Datenverarbeitungsanlagen. Alle administrativen Tätigkeiten erfolgen in nicht-öffentlichen, abschließbaren Home-Office-Räumlichkeiten des Auftragsverarbeiters und seiner festen Mitarbeiter. Es herrscht kein Publikumsverkehr.
- Zugangskontrolle: Verhinderung der unbefugten Systemnutzung. Nutzung von Firmen-VPNs für kritische Verbindungen; obligatorischer Einsatz von Zwei-Faktor-Authentifizierung (2FA) bei allen administrativen Zugängen (Hosting-Panel, CRM, Cloud-Speicher); Nutzung sicherer, individueller Benutzernamen und starker Passwörter.
- Zugriffskontrolle: Beschränkung des Zugriffs auf Berechtigte. Strikte Anwendung des "Need-to-Know"-Prinzips (Freelancer erhalten nur temporäre Zugänge, die nach Aufgabenerfüllung gelöscht oder geändert werden).
- Weitergabekontrolle & Verschlüsselung: Schutz der Daten bei der Übertragung. Vollständige SSL/TLS-Verschlüsselung des Datenverkehrs; zusätzliche starke Verschlüsselung von Datenbank-Backups vor dem Transfer auf externe Speichermedien (NAS).

§ 7 Löschung und Rückgabe von Daten

Nach Abschluss der vertraglichen Arbeiten oder auf Aufforderung des Verantwortlichen hat der Auftragsverarbeiter sämtliche in seinen Besitz gelangten Daten, Dokumente sowie erstellte Verarbeitungs- oder Nutzungsergebnisse im Zusammenhang mit dem Auftragsverhältnis dem Verantwortlichen auszuhändigen oder datenschutzgerecht zu löschen. Ausgenommen hiervon sind Backups, die der üblichen Aufbewahrungsfrist der Agentur (z. B. 6 Monate) unterliegen, bevor sie automatisiert gelöscht werden, sowie Daten, für die eine gesetzliche Aufbewahrungspflicht besteht.