Zwischen der Pik Production GmbH, Georgstraße 38, 30159 Hannover, HRB 227341, Amtsgericht Hannover, vertreten durch den Geschäftsführer Jan Pulfer (im Folgenden „Auftragsverarbeiter“), und dem Kunden, der mit ihr einen Webseiten-Vertrag geschlossen hat (im Folgenden „Verantwortlicher“).
Präambel
Der Auftragsverarbeiter betreibt und betreut im Auftrag des Verantwortlichen dessen Webseite. Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Dieser AVV ist Bestandteil des Hauptvertrags (Webseiten-Vertrag mit den Allgemeinen Geschäftsbedingungen der Pik Production GmbH) und wird mit dessen Unterzeichnung vereinbart.
1. Gegenstand und Dauer
(1) Gegenstand: Hosting, Betrieb, technische Wartung und Betreuung der Webseite des Verantwortlichen, einschließlich der Verarbeitung von Anfragen über Kontaktformular, Anfrage-Strecke bzw. Terminbuchung, der Bereitstellung des Anfragen- und Kennzahlen-Dashboards und der Auswertung von Besucherzahlen für den monatlichen Bericht.
(2) Dauer: entsprechend der Laufzeit der Betreuung, zuzüglich der Fristen nach Ziffer 7.
2. Art und Zweck der Verarbeitung
Erheben, Speichern, Übermitteln, Auswerten und Löschen von Daten, ausschließlich zur Erbringung der vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
3. Art der Daten und betroffene Personen
Folgende Daten werden verarbeitet:
- Server- und Zugriffsdaten der Website-Besucher (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browsertyp)
- Anfragen über Kontaktformular oder Anfrage-Strecke (zum Beispiel Name, E-Mail-Adresse, Telefonnummer, Nachricht und die Antworten auf die Fragen der Anfrage-Strecke)
- Terminbuchungen, soweit im Paket enthalten (Name, Kontaktdaten, gewählter Termin, Anliegen)
- Kennzahlen für das Dashboard und den monatlichen Bericht (Besucherzahlen, Herkunft der Besucher, Position bei Google), ausgewertet in anonymisierter bzw. aggregierter Form
- Inhalte der Webseite, soweit sie personenbezogene Daten enthalten (zum Beispiel Team-Seite)
Betroffen sind Besucher, Interessenten und Kunden des Verantwortlichen sowie dessen Beschäftigte, soweit sie auf der Webseite genannt werden oder das Dashboard nutzen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Verantwortliche fragt solche Daten über die Webseite nicht ab.
4. Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung und die Wahrung der Betroffenenrechte verantwortlich. Weisungen erteilt er in Textform (E-Mail genügt). Der Auftragsverarbeiter erbringt keine Rechtsberatung; der Verantwortliche nimmt zur Kenntnis, dass er die datenschutzrechtliche Zulässigkeit seiner Verarbeitungen, auch mit Hilfe eines Rechtsanwalts oder Datenschutzbeauftragten, selbst prüfen lassen sollte.
5. Pflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Verantwortlichen. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
(2) Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet.
(3) Der Auftragsverarbeiter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 2).
(4) Er unterstützt den Verantwortlichen bei Betroffenenanfragen und bei den Pflichten aus Art. 32 bis 36 DSGVO und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
(5) Der Verantwortliche kann die Einhaltung dieses AVV vorrangig durch Anforderung von Nachweisen, nachrangig durch Kontrollen nach Absprache mit einer Ankündigungsfrist von mindestens 14 Tagen überprüfen.
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter. Über Änderungen informiert der Auftragsverarbeiter mit einer Frist von mindestens 4 Wochen in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Im Fall des Widerspruchs können beide Parteien die Betreuung außerordentlich kündigen.
7. Löschung und Rückgabe
Nach Ende der Betreuung übergibt der Auftragsverarbeiter dem Verantwortlichen auf Wunsch die gespeicherten Anfragen als Datei (CSV) und löscht die personenbezogenen Daten spätestens 30 Tage nach Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht besteht. Daten in Backups werden mit der regulären Rotation, spätestens nach weiteren 35 Tagen, gelöscht. Die Löschung wird auf Anforderung in Textform bestätigt. Die Übergabe der Dateien der Webseite selbst (Übergabepaket) richtet sich nach Ziffer 13 der AGB; das Backend und die darin gespeicherten Daten werden dabei nicht übertragen.
8. Haftung
Die Parteien haften nach Art. 82 DSGVO. Die Haftung des Auftragsverarbeiters für einfache Fahrlässigkeit ist auf die in den letzten 12 Monaten gezahlte Vergütung, mindestens 10.000 Euro, je Schadensfall begrenzt; dies gilt nicht bei Vorsatz, grober Fahrlässigkeit, Schäden an Leben, Körper oder Gesundheit und soweit Art. 82 DSGVO zwingend entgegensteht.
9. Schlussbestimmungen
Änderungen bedürfen der Textform. Es gilt deutsches Recht. Gerichtsstand ist Hannover, sofern der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist. Diese Version 1.2 ersetzt die Version 1.1.
Anlage 1: Unterauftragsverarbeiter
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Hosting, Serverbetrieb und Datenbank, Rechenzentrum in Deutschland, AVV nach Art. 28 DSGVO.
- Microsoft Ireland Operations Ltd., Dublin, Irland (Microsoft 365): E-Mail-Postfach für die Support-Kommunikation; betrifft nur Inhalte, die per E-Mail an den Auftragsverarbeiter geschickt werden. Übermittlung in die USA nicht ausgeschlossen, Grundlage EU-US Data Privacy Framework und Standardvertragsklauseln.
Anlage 2: Technische und organisatorische Maßnahmen
- Zutritt: Serverbetrieb ausschließlich im ISO-27001-zertifizierten Rechenzentrum der Hetzner Online GmbH in Deutschland.
- Zugang: Zwei-Faktor-Authentifizierung für administrative Zugänge, Server-Zugang ausschließlich per SSH-Schlüsselpaar.
- Zugriff: Getrennte Verzeichnisse und Zugänge je Kunde, Least-Privilege-Prinzip.
- Weitergabe: Ausschließlich TLS-verschlüsselte Übertragung (HTTPS).
- Verfügbarkeit: Tägliche, verschlüsselte Backups auf einen räumlich getrennten Speicher; die Wiederherstellbarkeit wird getestet.
- Überprüfung: Updates und Sicherheitsprüfungen im Rahmen der Betreuung; Aktualisierung dieser Maßnahmen mindestens jährlich.