Auftrags­verarbeitungs­vertrag

Dieser Auftragsverarbeitungsvertrag („AVV“) wird zwischen dem Kunden („Verantwortlicher“) und der webnstyle UG (haftungsbeschränkt), Im Rapsfeld 8, 21493 Schwarzenbek, vertreten durch den Geschäftsführer Sebastian Scholz („Auftragsverarbeiter“ oder „Anbieter“) geschlossen. Er ergänzt den zwischen den Parteien geschlossenen Hauptvertrag (Allgemeine Geschäftsbedingungen nebst Angebot und Leistungsbeschreibung) um die datenschutzrechtlichen Regelungen und wird mit Vertragsschluss mitvereinbart. Einer gesonderten Unterzeichnung bedarf es nicht.

1. Gegenstand, Dauer und Weisungsbindung

(1) Gegenstand und Dauer der Verarbeitung entsprechen dem Hauptvertrag. Die Verarbeitung endet mit dessen Beendigung nach Maßgabe von Ziffer 8.

(2) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(3) Ist der Anbieter der Ansicht, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich.

2. Art, Zweck und Umfang der Verarbeitung

Zweck: Hosting von Websites und Webanwendungen, technische Wartung (Updates, Sicherheit), Datensicherung und Support sowie, soweit beauftragt, Bereitstellung von E-Mail-Postfächern und Betreuung von Online-Shops und Formularen.

Art der Verarbeitung: Speichern, Sichern, Übermitteln, Einsehen im Rahmen von Wartung und Support sowie Löschen.

Kategorien personenbezogener Daten:

• technische Daten der Websitebesucher (IP-Adresse, Server-Logfiles, Browser- und Geräteinformationen),
• Kontakt- und Anfragedaten aus Formularen (Name, E-Mail-Adresse, Telefonnummer, Nachricht, Anhänge),
• Kunden- und Bestelldaten aus Online-Shops,
• Inhalte und Metadaten von E-Mails in gehosteten Postfächern,
• Benutzerkonten der Website (Name, E-Mail-Adresse, Rolle).

Kategorien betroffener Personen: Websitebesucher, Interessenten, Kunden und Beschäftigte des Verantwortlichen.

3. Technische und organisatorische Maßnahmen

Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Sie sind in Ziffer 7 beschrieben. Der Anbieter darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

4. Pflichten des Auftragsverarbeiters

(1) Der Anbieter verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Er unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(3) Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden sind, und stellt die für eine Meldung an die Aufsichtsbehörde erforderlichen Informationen zur Verfügung.

(4) Er stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang, nach rechtzeitiger Vorankündigung und zu den üblichen Geschäftszeiten. Der Nachweis kann auch durch Zertifikate oder Prüfberichte des Rechenzentrumsbetreibers erbracht werden.

5. Pflichten und Rechte des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Datenschutzerklärung seiner Website sowie für erforderliche Einwilligungen, etwa über ein Cookie-Banner.

(2) Weisungen erteilt der Verantwortliche grundsätzlich in Textform. Er benennt dem Anbieter auf Anfrage die weisungsberechtigten Personen.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Der Anbieter informiert den Verantwortlichen vorab in Textform über beabsichtigte Änderungen. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.

(2) Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf ein im Wesentlichen gleichwertiges Datenschutzniveau.

(3) Derzeit sind folgende Unterauftragsverarbeiter eingesetzt:

(4) Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienste, die der Verantwortliche selbst einbindet und mit denen er eigene Verträge geschlossen hat, zum Beispiel Google, Zahlungsanbieter oder Newsletter-Dienste.

7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Vertraulichkeit: Betrieb der Server im Rechenzentrum der IONOS SE in Deutschland mit Zutrittskontrolle; die technischen und organisatorischen Maßnahmen von IONOS gelten ergänzend. TLS-Verschlüsselung aller Websites. Zugang zu Server und Verwaltungsoberfläche nur über persönliche, passwortgeschützte Konten. Zugriffe nur, soweit sie für die jeweilige Aufgabe erforderlich sind.

(2) Integrität: Absicherung des Servers durch eine Firewall; regelmäßige Updates von Betriebssystem, Verwaltungsoberfläche, PHP, WordPress, Themes und Plugins.

(3) Verfügbarkeit und Belastbarkeit: regelmäßige automatisierte Datensicherungen der gehosteten Websites und ein festgelegtes Verfahren zur Wiederherstellung.

(4) Überprüfung: regelmäßige Bewertung der Maßnahmen; Auftragskontrolle durch Verträge mit Unterauftragsverarbeitern.

(5) Logfiles: Server-Logfiles werden regelmäßig automatisch gelöscht.

8. Löschung und Rückgabe nach Vertragsende

Nach Ende des Hauptvertrags gibt der Anbieter die personenbezogenen Daten nach Wahl des Verantwortlichen zurück, etwa als vollständige Sicherung der Website, oder löscht sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Ohne andere Weisung erfolgt die Löschung 30 Tage nach Vertragsende. Kopien in Datensicherungen werden mit Ablauf der Aufbewahrungsfrist der Datensicherung gelöscht.

9. Haftung und Schlussbestimmungen

(1) Für die Haftung gelten die Regelungen des Hauptvertrags und die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO.

(2) Bei Widersprüchen gehen die datenschutzrechtlichen Regelungen dieses AVV den Regelungen des Hauptvertrags vor.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Der Anbieter kann diesen AVV anpassen, wenn sich die Rechtslage, die eingesetzten Unterauftragsverarbeiter oder die technischen Maßnahmen ändern. Die jeweils gültige Fassung ist mit Stand und Versionsnummer auf dieser Seite veröffentlicht; über wesentliche Änderungen werden die Kunden in Textform informiert.

Stand: 04.11.2026 · Version 1.0