Auftragsverarbeitung nach Art. 28 DSGVO

Wenn ich für Sie hoste oder Ihre Website betreue, verarbeite ich dabei personenbezogene Daten in Ihrem Auftrag – etwa Daten aus Kontaktformularen oder Server-Logfiles Ihrer Besucher. Dafür schreibt Art. 28 DSGVO einen schriftlichen Vertrag vor. Diese Seite fasst zusammen, was darin geregelt ist.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die im Rahmen von Hosting-, Betreuungs- oder Entwicklungsleistungen anfällt. Die Verarbeitung erfolgt für die Laufzeit des jeweiligen Hauptvertrags.

2. Art, Zweck und betroffene Personen

Art der Verarbeitung: Erheben, Speichern, Verändern, Auslesen, Löschen personenbezogener Daten im Rahmen von Betrieb, Pflege und Fehlerbehebung.

Zweck: Bereitstellung und Betrieb der Website bzw. Anwendung des Auftraggebers.

Betroffene Personen: Besucher, Interessenten und Kunden des Auftraggebers sowie ggf. dessen Beschäftigte.

Datenarten: Bestands- und Kontaktdaten, Inhaltsdaten aus Formularen, Nutzungs- und Verbindungsdaten (z. B. IP-Adressen in Logfiles).

3. Weisungsbindung

Ich verarbeite die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Halte ich eine Weisung für rechtswidrig, weise ich darauf hin und darf die Ausführung aussetzen.

4. Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet. Da ich als Einzelunternehmer tätig bin, betrifft dies mich persönlich sowie etwaige Unterauftragnehmer.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselte Übertragung (TLS) für alle Websites und Zugänge
• Zugangsschutz durch individuelle, starke Passwörter und Zwei-Faktor-Authentifizierung, soweit vom jeweiligen Dienst unterstützt
• Regelmäßige Sicherungen mit getrennter Aufbewahrung
• Zeitnahes Einspielen sicherheitsrelevanter Updates im Rahmen der Betreuung
• Serverstandort Deutschland; Auswahl von Dienstleistern mit Verarbeitung in der EU
• Trennung von Kundenumgebungen

6. Unterauftragnehmer

Der Auftraggeber stimmt dem Einsatz von Unterauftragnehmern zu. Beabsichtigte Wechsel teile ich rechtzeitig mit; der Auftraggeber kann widersprechen. Eingesetzt werden insbesondere der Hosting-Anbieter (Serverstandort Deutschland), ggf. der E-Mail-Dienstleister sowie – bei Betreuungspaketen mit Datenschutzprüfung – externe Datenschutz-Spezialisten. Die aktuelle Liste teile ich auf Anfrage mit.

7. Unterstützung des Auftraggebers

Ich unterstütze den Auftraggeber angemessen bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), bei Datenschutz-Folgenabschätzungen sowie bei der Meldung von Datenschutzverletzungen. Von einer Verletzung des Schutzes personenbezogener Daten informiere ich den Auftraggeber unverzüglich nach Kenntniserlangung.

8. Kontrollrechte

Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen. Nachweise erfolgen vorrangig durch Auskunft und geeignete Dokumentation; Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung möglich.

9. Löschung und Rückgabe

Nach Beendigung des Auftrags werden die Daten nach Wahl des Auftraggebers herausgegeben oder gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Sicherungskopien werden im Rahmen der üblichen Zyklen gelöscht.

10. Verantwortlichkeit

Der Auftraggeber bleibt Verantwortlicher im Sinne der DSGVO. Er ist für die Zulässigkeit der Verarbeitung und für die Wahrung der Betroffenenrechte verantwortlich.