Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand des Auftrags ist die Erbringung der zwischen den Parteien vereinbarten Leistungen (Entwicklung, Hosting, Pflege und Optimierung von Websites). Die Dauer entspricht der Laufzeit des zugrundeliegenden Hauptvertrages.

2. Art und Zweck der Verarbeitung

Erhebung, Speicherung, Übermittlung, Auswertung und Löschung personenbezogener Daten zur Bereitstellung, zum Betrieb und zur technischen Betreuung der Website des Verantwortlichen.

3. Art der Daten und Kategorien betroffener Personen

Verarbeitet werden insbesondere Stammdaten, Kontaktdaten, Nutzungs- und Logdaten sowie sonstige durch Formulare oder Nutzerinteraktion übermittelte Daten. Betroffene sind Website-Besucher, Kunden, Interessenten und Mitarbeiter des Verantwortlichen.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verarbeitet Daten ausschließlich im Rahmen dokumentierter Weisungen des Verantwortlichen. Er stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind, trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Ziff. 7) und unterstützt den Verantwortlichen bei der Wahrnehmung von Betroffenenrechten (Art. 15–22 DSGVO).

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hosting- und Infrastrukturdienstleister innerhalb der EU/EWR.
• Domain- und E-Mail-Provider innerhalb der EU/EWR.
• Analyse- und Monitoring-Dienste (nur nach Freigabe im Einzelfall).

Eine aktuelle Liste wird auf Anfrage per E-Mail an support@webseiten.shop zur Verfügung gestellt. Änderungen werden mit einer Frist von 30 Tagen angekündigt; der Verantwortliche kann diesen aus wichtigem datenschutzrechtlichen Grund widersprechen.

6. Ort der Verarbeitung / Drittlandtransfer

Die Verarbeitung erfolgt grundsätzlich innerhalb der EU/EWR. Ein Transfer in Drittländer findet nur statt, sofern die Voraussetzungen der Art. 44 ff. DSGVO (insb. Standardvertragsklauseln oder Angemessenheitsbeschluss) erfüllt sind.

7. Technische und organisatorische Maßnahmen (TOM)

• Verschlüsselte Datenübertragung (TLS 1.2+).
• Zugangs-, Zugriffs- und Zutrittskontrolle mit rollenbasierten Rechten.
• Regelmäßige Backups und dokumentierte Wiederherstellungsprozesse.
• Passwortrichtlinien und, wo möglich, Mehr-Faktor-Authentifizierung.
• Trennung von Produktiv-, Test- und Entwicklungsumgebungen.
• Protokollierung sicherheitsrelevanter Ereignisse.
• Verpflichtung aller Mitarbeitenden auf Vertraulichkeit und Datenschutz.

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, und unterstützt bei den Pflichten nach Art. 33, 34 DSGVO.

9. Kontroll- und Auskunftsrechte

Der Verantwortliche ist berechtigt, sich von der Einhaltung dieser Vereinbarung zu überzeugen. Der Auftragsverarbeiter stellt hierfür geeignete Nachweise (z. B. dokumentierte TOM, Zertifikate von Unterauftragsverarbeitern) bereit.

10. Löschung und Rückgabe

Nach Beendigung des Auftrags werden alle im Auftrag verarbeiteten Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

11. Schlussbestimmungen

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht. Es gilt deutsches Recht. Gerichtsstand ist – soweit zulässig – der Sitz des Auftragsverarbeiters.