Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen

dem Auftraggeber (Verantwortlicher):
dem Kunden gemäß den Angaben im Bestellprozess
– nachfolgend „Auftraggeber“ –

und

dem Auftragnehmer (Auftragsverarbeiter):
looppress
Wahlholzer Str. 32
54516 Wittlich
Inhaber: Steven Megerle
– nachfolgend „Auftragnehmer“ –

§ 1 Gegenstand und Dauer der Verarbeitung

1. Der Auftragnehmer erbringt für den Auftraggeber Leistungen der laufenden Wartung, Pflege, Absicherung und Weiterentwicklung der WordPress-Website des Auftraggebers auf Grundlage des Hauptvertrags (Wartungsvertrag „looppress“, jeweils gebuchtes Paket) bzw. einzelner Beauftragungen (z. B. Notfall-Reparatur). Dabei ist ein Zugriff auf personenbezogene Daten, die der Auftraggeber verantwortet, nicht auszuschließen bzw. erforderlich. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien.
2. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Eine Kündigung des Hauptvertrags gilt zugleich als Kündigung dieses Vertrags. Eine isolierte Kündigung dieses Vertrags ist ausgeschlossen, solange der Auftragnehmer personenbezogene Daten für den Auftraggeber verarbeitet.

§ 2 Art, Zweck und Umfang der Verarbeitung

Die Verarbeitung umfasst insbesondere folgende Tätigkeiten:

• Einspielen von Updates (WordPress-Core, Themes, Plugins) einschließlich anschließender Funktionskontrolle
• Erstellung, Speicherung, Prüfung und Wiederherstellung von Backups (Dateien und Datenbank)
• Sicherheitsmaßnahmen: Härtung der Installation, Malware-Scans, Bereinigung nach Sicherheitsvorfällen, Firewall-Konfiguration
• Fehleranalyse und -behebung, auch mit Zugriff auf Datenbank, Server (SFTP/SSH), Hosting-Panel und WordPress-Backend
• Erreichbarkeits- und Performance-Monitoring einschließlich Auswertung von Logfiles
• Inhaltspflege (Texte, Bilder, Seiten, Beiträge) nach Weisung des Auftraggebers, soweit im gebuchten Paket enthalten
• Umzüge, Staging-Umgebungen und Wiederherstellungen im Notfall

Zweck der Verarbeitung ist ausschließlich die ordnungsgemäße Erbringung der beauftragten Wartungs- und Pflegeleistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

§ 3 Kategorien betroffener Personen und Datenarten

Betroffene Personen sind insbesondere:

• Besucher der Website des Auftraggebers
• Kunden, Interessenten und Lieferanten des Auftraggebers
• Newsletter-Abonnenten und Nutzer von Kontakt- oder Buchungsformularen
• Registrierte Nutzer / Mitglieder der Website sowie Kommentatoren
• Beschäftigte und Bewerber des Auftraggebers (z. B. bei Karriereseiten und Bewerbungsformularen)

Datenarten, mit denen der Auftragnehmer typischerweise in Berührung kommen kann:

• Stammdaten und Kontaktdaten (Name, Anschrift, E-Mail, Telefon)
• Inhalte aus Kontakt-, Buchungs- und Bewerbungsformularen einschließlich hochgeladener Dateien
• Bestell- und Vertragsdaten bei Shopsystemen (z. B. WooCommerce): Bestellhistorie, Rechnungs- und Lieferadressen, Zahlungsmetadaten (keine vollständigen Zahlungsdaten)
• Zugangsdaten und Nutzerkonten (Benutzernamen, gehashte Passwörter, Rollen)
• Nutzungs- und Verbindungsdaten (IP-Adressen, Server-Logfiles, Analyse- und Cookie-Daten)
• Kommunikationsdaten (Kommentare, Bewertungen, Chat-Verläufe)

Sofern über die Website des Auftraggebers besondere Kategorien personenbezogener Daten i. S. d. Art. 9 DSGVO verarbeitet werden (z. B. Gesundheitsdaten bei Praxis-Websites), hat der Auftraggeber dies dem Auftragnehmer vor Vertragsbeginn mitzuteilen; die Parteien vereinbaren in diesem Fall erforderlichenfalls zusätzliche Schutzmaßnahmen.

§ 4 Pflichten des Auftragnehmers

1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern er nicht durch Unions- oder mitgliedstaatliches Recht zur Verarbeitung verpflichtet ist. In diesem Fall informiert er den Auftraggeber vor der Verarbeitung, sofern das Recht dies nicht verbietet.
2. Der Auftragnehmer gewährleistet, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO) und mit den einschlägigen Datenschutzvorschriften vertraut sind. Dies gilt ausdrücklich auch für eingesetzte freie Mitarbeiter und Unterauftragsverarbeiter.
3. Der Auftragnehmer setzt die technischen und organisatorischen Maßnahmen gemäß Anlage 1 um und passt sie fortlaufend dem Stand der Technik an. Ein Absinken des Schutzniveaus ist unzulässig; wesentliche Änderungen sind zu dokumentieren.
4. Der Auftragnehmer informiert den Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO) und unterstützt ihn bei seinen Melde- und Benachrichtigungspflichten.
5. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde (Art. 35, 36 DSGVO). Anfragen betroffener Personen, die direkt beim Auftragnehmer eingehen, leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
6. Der Auftragnehmer benennt dem Auftraggeber einen Ansprechpartner für Datenschutzfragen. Soweit gesetzlich erforderlich, bestellt er einen Datenschutzbeauftragten.
7. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzvorschriften verstößt. Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.

§ 5 Weisungsrecht des Auftraggebers

1. Weisungen erfolgen in der Regel in Textform (E-Mail, Ticketsystem). Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
2. Die im Hauptvertrag und in diesem Vertrag beschriebenen Leistungen gelten als generelle Weisung. Turnusmäßige Arbeiten (Updates, Backups, Scans, Monitoring) bedürfen keiner Einzelweisung.

§ 6 Unterauftragsverhältnisse

1. Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2.
2. Der Auftragnehmer informiert den Auftraggeber vorab in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt. Bei berechtigtem Widerspruch steht beiden Parteien ein Sonderkündigungsrecht für den Hauptvertrag zu.
3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für dessen Pflichterfüllung.
4. Nicht als Unterauftragsverhältnisse gelten Nebenleistungen ohne konkreten Bezug zur Auftragsverarbeitung (z. B. Telekommunikation, Post, Reinigung, Wachdienst).

§ 7 Verarbeitung in Drittländern

1. Der Auftragnehmer setzt für Entwicklungs- und Wartungsarbeiten einen Unterauftragsverarbeiter mit Sitz in Bangladesch ein (Anlage 2). Bangladesch ist ein Drittland ohne Angemessenheitsbeschluss der EU-Kommission. Der Zugriff dieses Unterauftragsverarbeiters auf die Systeme des Auftraggebers (Website, Datenbank, Backend, Server) stellt eine Übermittlung in ein Drittland i. S. d. Art. 44 ff. DSGVO dar.
2. Als geeignete Garantie gemäß Art. 46 Abs. 2 lit. c DSGVO hat der Auftragnehmer mit diesem Unterauftragsverarbeiter die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3: Auftragsverarbeiter an Unterauftragsverarbeiter) abgeschlossen. Ein Transfer Impact Assessment wurde durchgeführt und wird bei wesentlichen Änderungen der Rechtslage aktualisiert; ergänzende technische Maßnahmen (u. a. personalisierte Zugänge, Zwei-Faktor-Authentifizierung, Protokollierung der Zugriffe, Beschränkung auf das erforderliche Minimum, keine lokale Speicherung von Datenbank-Exporten) sind umgesetzt.
3. Der Auftraggeber stimmt dieser Drittlandübermittlung auf Grundlage der vorgenannten Garantien zu. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage eine Kopie der Standardvertragsklauseln (ggf. geschwärzt um Geschäftsgeheimnisse) zur Verfügung.
4. Eine darüber hinausgehende Übermittlung personenbezogener Daten in Drittländer erfolgt nur mit geeigneten Garantien gemäß Kapitel V DSGVO und nach Information des Auftraggebers gemäß § 6.

§ 8 Nachweise und Kontrollrechte

1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Der Nachweis kann insbesondere durch Selbstauskünfte, aktuelle Testate, Zertifizierungen oder geeignete Berichte unabhängiger Prüfer erfolgen.
2. Der Auftraggeber ist berechtigt, nach vorheriger Anmeldung mit angemessener Frist (i. d. R. 14 Tage) Überprüfungen während der üblichen Geschäftszeiten durchzuführen oder durch einen zur Verschwiegenheit verpflichteten Dritten durchführen zu lassen, ohne den Geschäftsbetrieb unverhältnismäßig zu stören. Bei konkreten Anhaltspunkten für Datenschutzverstöße ist eine Kontrolle auch kurzfristig zulässig.

§ 9 Löschung und Rückgabe

1. Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt; hiervon ausgenommen sind Sicherheitskopien zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung (Backups) sowie Daten, die zur Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
2. Nach Beendigung des Hauptvertrags gibt der Auftragnehmer nach Wahl des Auftraggebers sämtliche in seinem Besitz befindlichen personenbezogenen Daten, Zugangsdaten und Backups heraus oder löscht sie datenschutzgerecht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung ist auf Verlangen zu dokumentieren und zu bestätigen. Zugangsdaten des Auftraggebers (WordPress, Hosting, SFTP) werden aus Passwortverwaltungssystemen des Auftragnehmers entfernt.

§ 10 Haftung

Für die Haftung der Parteien gelten Art. 82 DSGVO sowie die Regelungen des Hauptvertrags. Der Auftraggeber bleibt im Außenverhältnis Verantwortlicher i. S. d. Art. 4 Nr. 7 DSGVO; insbesondere ist er für die Rechtmäßigkeit der Datenverarbeitung auf seiner Website (Rechtsgrundlagen, Datenschutzerklärung, Cookie-Einwilligungen) selbst verantwortlich, soweit nicht die Pflichtverletzung des Auftragnehmers ursächlich ist.

§ 11 Schlussbestimmungen

1. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags hinsichtlich des Datenschutzes vor.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist – soweit zulässig – der Sitz des Auftragnehmers.

Zustandekommen: Dieser Auftragsverarbeitungsvertrag wird durch die Zustimmung des Auftraggebers im Bestellprozess (Aktivierung der entsprechenden Checkbox) wirksam. Einer gesonderten Unterschrift bedarf es nicht; der Abschluss in elektronischem Format ist gemäß Art. 28 Abs. 9 DSGVO ausreichend.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Zutritts- und Zugangskontrolle

• Verschlüsselte Endgeräte (Festplattenverschlüsselung), Bildschirmsperren, gesicherte Büroräume
• Zentrale Passwortverwaltung (Passwortmanager) mit personalisierten Zugängen; keine Weitergabe von Zugangsdaten per unverschlüsselter E-Mail
• Zwei-Faktor-Authentifizierung für WordPress-Admin-Konten, Hosting-Panels und interne Systeme, soweit verfügbar

2. Zugriffskontrolle

• Rollen- und Rechtekonzept: jeder Mitarbeiter und Unterauftragsverarbeiter erhält ein eigenes, personalisiertes Benutzerkonto mit minimal erforderlichen Rechten (Need-to-know-Prinzip)
• Protokollierung administrativer Zugriffe und Änderungen (Activity-Log auf den betreuten Websites)
• Sperrung bzw. Löschung von Zugängen unverzüglich bei Ausscheiden von Mitarbeitern oder Ende der Zusammenarbeit

3. Weitergabe- und Transportkontrolle

• Verschlüsselte Übertragungswege: TLS/SSL für alle betreuten Websites, SFTP/SSH statt unverschlüsseltem FTP
• Backups werden verschlüsselt gespeichert und übertragen; Speicherorte gemäß Anlage 2
• Keine Übermittlung von Datenbank-Exporten über unsichere Kanäle; kein dauerhafter lokaler Verbleib von Produktivdaten auf Arbeitsrechnern

4. Eingabe- und Auftragskontrolle

• Dokumentation der durchgeführten Wartungsarbeiten im monatlichen Wartungsbericht
• Ticket-/Aufgabensystem zur Nachvollziehbarkeit von Weisungen und deren Umsetzung
• Schriftliche Verpflichtung aller Mitarbeiter und Unterauftragsverarbeiter auf Vertraulichkeit und Datenschutz

5. Verfügbarkeitskontrolle und Belastbarkeit

• Regelmäßige Backups (Turnus gemäß gebuchtem Paket) mit getrennter Speicherung von der Produktivumgebung
• Stichprobenartige Wiederherstellungstests; dokumentierter Notfall-/Wiederherstellungsprozess
• Uptime-Monitoring mit Alarmierung; Firewall und Malware-Scans gemäß gebuchtem Paket

6. Trennungskontrolle

• Logische Trennung der Daten verschiedener Kunden (getrennte Hosting-Instanzen bzw. getrennte Installationen)
• Staging-Umgebungen werden nach Abschluss der Arbeiten gelöscht oder vor Suchmaschinen und unbefugtem Zugriff geschützt

7. Datenschutz-Management

• Regelmäßige Überprüfung und Aktualisierung der Maßnahmen; Sensibilisierung der Mitarbeiter
• Prozess zur Erkennung und Meldung von Datenschutzverletzungen (siehe § 4 Nr. 4)

Anlage 2: Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Sitz / Verarbeitungsort	Garantie bei Drittland
Mittwald CM Service GmbH & Co. KG, Königsberger Str. 4-6, 32339 Espelkamp	Hosting der Website	Deutschland	– (kein Drittland)
Mittwald CM Service GmbH & Co. KG, Königsberger Str. 4-6, 32339 Espelkamp	Externe Backup-Speicherung auf separatem Server	Deutschland	– (kein Drittland)
Shemul Shemul, Batajore, Bhaluka, Mymensingh 2240, Bangladesch	WordPress-Entwicklung, Fehlerbehebung, Wartungsarbeiten mit Zugriff auf Website, Datenbank und Backend	Bangladesch (Drittland ohne Angemessenheitsbeschluss)	EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3) zzgl. ergänzender Maßnahmen; Transfer Impact Assessment liegt vor

Hinweis: Diese Liste wird bei Änderungen gemäß § 6 Nr. 2 aktualisiert und dem Auftraggeber in Textform mitgeteilt. Die jeweils aktuelle Fassung ist jederzeit auf dieser Seite abrufbar.