Auftragsverarbeitungsvertrag (AVV)
Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird geschlossen, wenn blendz.me, Inhaber Leon Radermacher (Marke leonradermacher.de), für den Kunden personenbezogene Daten von dessen Endnutzern verarbeitet, insbesondere beim Full Service (Hosting/Betrieb) und ggf. bei der Einrichtung. Der Kunde ist Verantwortlicher, der Anbieter ist Auftragsverarbeiter. Beim Service-Weg „Nur Website" (Kunde hostet selbst) fällt in der Regel kein AVV an.
Vertragsparteien
Verantwortlicher ist der Kunde (Name/Firma und Anschrift gemäß Angebot bzw. Impressum-Angaben aus dem Kauf-Flow). Auftragsverarbeiter ist blendz.me, Inhaber Leon Radermacher, Schmittenstr. 92, 50354 Hürth, Deutschland, E-Mail: [email protected].
§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung
(1) Gegenstand der Verarbeitung ist der Betrieb, das Hosting und die Betreuung der für den Verantwortlichen erstellten Website/Web-Anwendung sowie der damit verbundenen Funktionen (u. a. Kontakt-/Anfrageformular, Terminbuchung, Reichweitenmessung). (2) Art und Zweck der Verarbeitung: Erhebung, Speicherung, Nutzung, Übermittlung an den Verantwortlichen und Löschung personenbezogener Daten der Endnutzer der Website, ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen (Hosting, Formularverarbeitung, Terminbuchung, datenschutzkonforme Statistik, Betrieb und Sicherheit). (3) Dauer: Die Verarbeitung erfolgt für die Laufzeit des zugrundeliegenden Hauptvertrags (Full Service). Sie endet mit dessen Beendigung; die Regelungen zu Rückgabe und Löschung (§ 9) gelten fort. (4) Die Verarbeitung findet ausschließlich innerhalb der EU/des EWR statt (siehe Anlage 2, Sub-Prozessoren). Eine Verarbeitung in einem Drittland findet nicht statt, soweit nicht ausdrücklich anders vereinbart und rechtlich abgesichert (Art. 44 ff. DSGVO).
§ 2 Kategorien betroffener Personen und Datenarten
(1) Kategorien betroffener Personen: Besucherinnen und Besucher der Website des Verantwortlichen; Personen, die das Kontakt-/Anfrageformular nutzen; Personen, die einen Termin buchen (soweit Buchungsfunktion aktiv); ggf. Kunden/Interessenten des Verantwortlichen. (2) Kategorien personenbezogener Daten: Bestands-/Kontaktdaten (z. B. Name, E-Mail-Adresse, Telefonnummer); Inhaltsdaten (Nachrichten-/Formulartexte, hochgeladene Dateien); Termin-/Buchungsdaten (Datum, Uhrzeit, ggf. Anlass); Nutzungs-/Verbindungsdaten (z. B. gekürzte IP-Adresse, Zeitstempel, Server-Logs); ggf. datenschutzkonforme Statistikdaten (Matomo, IP-anonymisiert). (3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung, sofern nicht ausdrücklich anders vereinbart.
§ 3 Weisungsrecht des Verantwortlichen
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet (dann Unterrichtung vor der Verarbeitung, soweit rechtlich zulässig). (2) Weisungen erfolgen grundsätzlich in Textform. Mündliche Weisungen werden unverzüglich in Textform bestätigt. (3) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 S. 3 DSGVO).
§ 4 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich insbesondere, (1) Daten nur weisungsgemäß und zweckgebunden zu verarbeiten; (2) die Vertraulichkeit zu wahren und alle mit der Verarbeitung befassten Personen zur Vertraulichkeit zu verpflichten bzw. deren gesetzliche Verschwiegenheit sicherzustellen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO); (3) die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO einzuhalten (Anlage 1); (4) die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern einzuhalten (§ 6); (5) den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen (§ 7); (6) den Verantwortlichen bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO zu unterstützen (Sicherheit, Meldung von Datenpannen, Datenschutz-Folgenabschätzung), soweit angemessen und unter Berücksichtigung der ihm vorliegenden Informationen; (7) Datenschutzverletzungen (Art. 4 Nr. 12 DSGVO) dem Verantwortlichen unverzüglich nach Bekanntwerden zu melden, damit dieser seine Melde-/Benachrichtigungspflichten (Art. 33, 34 DSGVO) erfüllen kann; (8) die Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO zu dokumentieren; (9) dem Verantwortlichen einen Ansprechpartner für den Datenschutz zu benennen (Kontakt: [email protected]).
§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen und hält sie während der Vertragslaufzeit auf einem dem Risiko angemessenen Stand. Änderungen dürfen das Schutzniveau nicht unterschreiten.
§ 6 Unterauftragsverarbeiter (Sub-Prozessoren)
(1) Der Verantwortliche erteilt eine allgemeine Genehmigung zur Einschaltung der in Anlage 2 genannten Unterauftragsverarbeiter. (2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung/Austausch) rechtzeitig vorab in Textform. Der Verantwortliche kann berechtigten Einwendungen innerhalb von 14 Tagen widersprechen. (3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter zu Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO), insbesondere zu hinreichenden technischen und organisatorischen Maßnahmen.
§ 7 Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15–21 DSGVO) zu beantworten. Wenden sich Betroffene direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.
§ 8 Nachweis- und Kontrollrechte
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen (einschließlich Inspektionen) durch den Verantwortlichen oder einen von diesem beauftragten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). (2) Kontrollen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs. Der Nachweis kann auch durch geeignete Zertifikate, Testate oder Berichte (z. B. der Sub-Prozessoren) erbracht werden.
§ 9 Löschung und Rückgabe nach Beendigung
Nach Abschluss der Verarbeitungsleistungen löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO). Die Rückgabe/Löschung wird auf Verlangen dokumentiert.
§ 10 Haftung, Schlussbestimmungen
(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Regelungen des Hauptvertrags ergänzend, soweit sie zwingendem Datenschutzrecht nicht widersprechen. (2) Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen für die Auftragsverarbeitung die Regelungen dieses AVV vor. (3) Es gilt deutsches Recht. Änderungen bedürfen der Textform.
Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
1. Vertraulichkeit — Zutrittskontrolle: Serverbetrieb in zertifizierten EU-Rechenzentren des Sub-Prozessors (Hetzner, DE/FI) mit physischen Zutrittssicherungen. Zugangskontrolle: individuelle Benutzerkonten, starke Authentifizierung (SSH-Keys/2FA), Passwortrichtlinien, Sperrung ausgeschiedener Zugänge. Zugriffskontrolle: rollenbasierte Berechtigungen (Need-to-know), getrennte Kunden-Instanzen/Datenbanken, Protokollierung administrativer Zugriffe. Trennungskontrolle: logische Trennung der Daten je Kunde (getrennte Instanzen/Datenbanken). 2. Integrität — Weitergabekontrolle: Transportverschlüsselung (TLS/HTTPS) für Website und Mailversand; verschlüsselte Verbindungen zu Diensten. Eingabekontrolle: Protokollierung sicherheitsrelevanter Vorgänge, Server-Logs. 3. Verfügbarkeit und Belastbarkeit — regelmäßige, verschlüsselte Backups; Wiederherstellungsverfahren; Monitoring/Ausfallüberwachung; Schutzmaßnahmen gegen Angriffe (u. a. Firewalling, Bot-Schutz via Friendly Captcha); regelmäßige Sicherheits-Updates/Patches. 4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung — Datenschutz-Management: Verzeichnis der Verarbeitungstätigkeiten, Datenschutz-by-Design/Default (Datensparsamkeit, EU-Tools, IP-Anonymisierung). Auftragskontrolle: Sub-Prozessoren über AVV/DPA verpflichtet. Wiederherstellbarkeit: Backup-/Restore-Prozesse getestet.
Anlage 2 — Genehmigte Unterauftragsverarbeiter (Sub-Prozessoren)
Hetzner Online GmbH, Gunzenhausen (DE) — Hosting/Server, Rechenzentren in Deutschland/Finnland (EU). Friendly Captcha GmbH, Wörthsee (DE) — Bot-/Spam-Schutz der Formulare (ohne Nutzer-Tracking), Verarbeitung in der EU. Matomo (self-hosted) — Reichweitenmessung; läuft auf der eigenen EU-Infrastruktur und ist daher in der Regel kein externer Sub-Prozessor. E-Mail-Versand (mail.blendz.me) — System-/Benachrichtigungs-Mails über eigenen EU-Mailserver.
Diese Fassung wird für die Auftragsverarbeitung im Rahmen des Full Service herangezogen; die konkreten Parteien- und Betriebsangaben werden bei Vertragsschluss ergänzt.