Auftragsverarbeitungsvertrag (AVV)

Art. 1: Gegenstand, Art, Zweck und Dauer

Der Auftragsverarbeiter erstellt, wartet und betreut Websites des Verantwortlichen; bei Bestandsverträgen nach Ziffer 11.1.2 der AGB hostet er sie auch. Dabei verarbeitet er personenbezogene Daten ausschließlich in dessen Auftrag: Er speichert sie, stellt sie bereit, übermittelt sie (etwa beim Mailversand), sichert und löscht sie. Die Verarbeitung personenbezogener Daten ist nicht Ziel des Auftrags, lässt sich bei Aufbau, Betrieb und Pflege einer Website aber nicht ausschließen. Welche personenbezogenen Daten über die Website erhoben oder dem Auftragsverarbeiter überlassen werden, bestimmt und verantwortet der Verantwortliche.

Liegt die Website beim Hostinganbieter des Verantwortlichen (Ziffer 11.1.1 der AGB), ist dieser Anbieter kein Unterauftragsverarbeiter des Auftragsverarbeiters. Den Vertrag nach Art. 28 DSGVO mit seinem Hostinganbieter schließt der Verantwortliche selbst. Der Auftragsverarbeiter greift in diesem Fall nur über die Zugänge zu, die ihm der Verantwortliche für Einrichtung und Pflege einräumt.

Der Vertrag gilt für die Dauer des Hauptvertrags.

Art. 2: Datenarten und betroffene Personen

• Datenarten: Server-Logdaten (insbesondere IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserangaben), Formular- und Anfragedaten, Kontaktdaten, Anmelde- und Einwilligungsdaten (etwa für Newsletter), bei Anwendungen Konto- und Bestelldaten, personenbezogene Inhalte der Website sowie, soweit E-Mail-Postfächer oder Weiterleitungen des Verantwortlichen über den Auftragsverarbeiter eingerichtet sind, Inhalte und Verbindungsdaten der darüber laufenden E-Mails.
• Betroffene: Besucher, Interessenten, Kunden, Newsletter-Empfänger und Nutzer der Website, Personen, die auf der Website genannt werden, sowie Absender und Empfänger von E-Mails über eingerichtete Postfächer.

Sollen über die Website besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) erhoben werden, etwa Gesundheitsdaten bei Praxen, teilt der Verantwortliche das vorher in Textform mit. Werden solche Daten ohne diese Mitteilung verarbeitet, gilt dieser Vertrag auch für sie.

Art. 3: Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergeben sich aus dem Hauptvertrag, den AGB und diesem Vertrag; einzelne Weisungen erteilt der Verantwortliche in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf ihre Ausführung bis zur Klärung aussetzen. Ist er nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese Anforderungen vorher mit, sofern das Recht dies nicht verbietet.

Art. 4: Pflichten des Auftragsverarbeiters

• Keine eigenen Zwecke: Der Auftragsverarbeiter verkauft die Daten nicht, gibt sie nicht an Dritte weiter und nutzt sie weder für Werbung noch für Profilbildung. Ausgenommen ist allein die Weitergabe an die Unterauftragsverarbeiter nach Art. 5.
• Vertraulichkeit: Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
• Sicherheit: Er trifft die technischen und organisatorischen Maßnahmen nach Art. 6.
• Unterstützung: Anfragen betroffener Personen, die bei ihm eingehen, leitet er an den Verantwortlichen weiter. Im Rahmen seiner Möglichkeiten unterstützt er den Verantwortlichen bei Anfragen betroffener Personen (Art. 12 bis 23 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Die Beantwortung gegenüber Betroffenen und Behörden obliegt dem Verantwortlichen. Den Aufwand der Unterstützung kann der Auftragsverarbeiter gesondert berechnen, soweit er nicht auf einem eigenen Verstoß beruht. Beantwortet der Verantwortliche eine Anfrage nicht, nicht richtig oder nicht fristgerecht, haftet der Auftragsverarbeiter dafür nicht, soweit er seine Pflichten aus diesem Vertrag erfüllt hat.
• Datenschutzverletzungen: Erfährt er von einer Verletzung des Schutzes personenbezogener Daten des Verantwortlichen, sei es in seinem Bereich, bei einem Unterauftragsverarbeiter oder in Systemen des Verantwortlichen, auf die er Zugriff hat, unterrichtet er den Verantwortlichen unverzüglich in Textform mit den ihm bekannten Angaben (Art. 33 Abs. 2 DSGVO). Systeme des Verantwortlichen muss er nicht überwachen. Ob eine Meldung an die Aufsichtsbehörde oder eine Benachrichtigung Betroffener nötig ist, prüft und entscheidet allein der Verantwortliche, der sie auch selbst vornimmt.
• Verzeichnis: Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Berufsgeheimnis: Unterliegt der Verantwortliche § 203 StGB, verpflichtet sich der Auftragsverarbeiter zur Verschwiegenheit über fremde Geheimnisse, die ihm bei der Tätigkeit bekannt werden (§ 203 Abs. 4 StGB).

Ansprechpartner für alle Anliegen aus diesem Vertrag ist Carlo Krämer, mail@carlokraemer.de.

Art. 5: Unterauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter. Für jeden Anbieter ist in der Liste der Unterauftragsverarbeiter angegeben, auf welcher Vertragsgrundlage er Daten verarbeitet; die Liste unter carlokraemer.com/unterauftragsverarbeiter verlinkt die Bedingungen des Anbieters.

Hostinger wird nur für Bestandsverträge nach Ziffer 11.1.2 der AGB eingesetzt, ManageWP nur für WordPress-Websites, deren Betreuung vereinbart ist. Hostinger und ManageWP setzen ihrerseits Unterauftragsverarbeiter ein, darunter Anbieter mit Sitz in den USA; eine Übermittlung dorthin erfolgt auf Grundlage der EU-Standardvertragsklauseln. Dienste Dritter auf der Website des Verantwortlichen, etwa Statistik, Einwilligungsbanner oder Tracking, richtet der Auftragsverarbeiter nur auf dessen Wunsch oder Weisung ein (Art. 10). Dienste ohne Zugriff auf personenbezogene Daten, etwa die Google Search Console, sind keine Unterauftragsverarbeiter.

Die Aufnahme oder den Wechsel eines Unterauftragsverarbeiters kündigt der Auftragsverarbeiter mindestens 14 Tage vorher in Textform an. Der Verantwortliche kann widersprechen; lässt sich keine Lösung finden, kann jede Seite den betroffenen Vertrag zum Zeitpunkt des Wechsels kündigen. Die Liste ändert sich nach diesem Absatz; Ziffer 2.6 der AGB gilt dafür nicht.

Quellcode und Inhalte der Websites verwaltet der Auftragsverarbeiter in privaten Repositories bei GitHub, Inc. (USA), auf Grundlage des EU-US Data Privacy Framework (Art. 45 DSGVO) und ergänzend der EU-Standardvertragsklauseln. Namen, Kontaktdaten und Fotos von Personen stehen nach Art. 7.2 nicht im Quelltext; in Projekten, die noch nicht umgestellt sind, können sie dort noch enthalten sein. Die Repositories werden nach Art. 9 samt Versionsgeschichte gelöscht. Unterlagen und Daten aus dem Auftrag nimmt der Auftragsverarbeiter über sein Postfach bei easyname entgegen und bearbeitet sie auf eigenen, verschlüsselten Arbeitsgeräten. Setzen Unterauftragsverarbeiter ihrerseits Dienstleister außerhalb der EU ein, etwa im Support, geschieht das nach Art. 44 ff. DSGVO.

Art. 6: Technische und organisatorische Maßnahmen

• Geltung: Die Maßnahmen zu Zutritt, Trennung, Verfügbarkeit und Logdaten betreffen das Hosting durch den Auftragsverarbeiter bei Bestandsverträgen (Ziffer 11.1.2 der AGB). Liegt die Website beim Hostinganbieter des Verantwortlichen, gelten dafür dessen Maßnahmen.
• Zutritt: Betrieb im Rechenzentrum des Anbieters in Frankreich (EU); der Auftragsverarbeiter hat keinen physischen Zugang.
• Zugang: Zwei-Faktor-Anmeldung für die Konten bei Hostinger, easyname, GitHub, Brevo, Deftform, lexoffice, Digistore24 und Google; Zugangsdaten liegen in einem Passwortmanager.
• Zugriff: Rechte nach dem Minimalprinzip; Zugänge zu Systemen des Verantwortlichen werden nach Vertragsende gelöscht.
• Arbeitsgeräte: eigene Geräte mit verschlüsselten Datenlaufwerken, gesperrtem und verschlüsseltem Mobiltelefon und automatischen Updates.
• Nachvollziehbarkeit: Änderungen an fest programmierten Websites werden versioniert und lassen sich nachvollziehen und zurücknehmen.
• Trennung: Managed Hosting auf gemeinsam genutzter Infrastruktur; jede Website liegt in einem eigenen Verzeichnis.
• Übertragung: Verschlüsselung aller Verbindungen per TLS.
• Verfügbarkeit: Sicherungen nach den Leistungen des jeweiligen Hosters (Ziffer 11.5 der AGB).
• Datensparsamkeit: Von sich aus setzt der Auftragsverarbeiter nur technisch notwendige Cookies ein, etwa die zwei Sitzungs-Cookies der Deftform-Formulare; Deftform zählt Formularaufrufe mit Simple Analytics. Dienste Dritter, Statistik, Einwilligungsbanner und Tracking kommen nur auf Wunsch oder Weisung des Verantwortlichen hinzu (Art. 10). Server-Logdaten löscht der jeweilige Hoster nach seinen Vorgaben.
• Überprüfung: einmal jährlich und nach jedem Vorfall; das Ergebnis wird im Verzeichnis nach Art. 30 Abs. 2 DSGVO festgehalten.

Art. 7: Arbeitsweise, KI- und Entwicklungswerkzeuge

7.1 KI ist fester Bestandteil der Arbeitsweise: Texte, Gestaltungsentwürfe und Programmierung entstehen KI-gestützt, mit Claude (Anthropic) und mit lokal betriebenen Modellen (Ollama). Der Auftragsverarbeiter prüft die Ergebnisse vor der Verwendung selbst. Der Verantwortliche stimmt diesem Einsatz mit dem Auftrag zu (Ziffer 1.6 der AGB).

7.2 Personenbezogene Daten gibt der Auftragsverarbeiter nicht an Claude oder andere KI-Dienste außerhalb seiner eigenen Geräte. Das gilt insbesondere für Formular-, Konto-, Bestell- und Logdaten sowie Inhalte aus Systemen des Verantwortlichen (Datenbanken, Postfächer, Verwaltungsoberflächen). Ausgenommen sind nur die im letzten Satz dieses Absatzes genannten Angaben. Namen, Kontaktdaten und Fotos von Personen liegen in einer gesonderten Datei, die für KI-Dienste gesperrt ist und nicht versioniert wird; im Quelltext stehen Platzhalter. Bestehende Projekte stellt er vor ihrer nächsten Bearbeitung mit KI entsprechend um. Bildschirmaufnahmen der Website mit Personendaten erhalten KI-Dienste nicht. Echte Daten verarbeitet er mit KI höchstens in lokal betriebenen Modellen, ohne Übermittlung an Dritte. Anthropic ist deshalb kein Unterauftragsverarbeiter. Firmenname, Geschäftsanschrift und Leistungsbeschreibung werden verwendet, auch wenn sie einen Personennamen enthalten.

7.3 Die Nutzung von Eingaben zum Training ist in den Konten der eingesetzten Text- und Programmierwerkzeuge abgeschaltet. Fotos realer Personen bearbeitet er nicht mit KI-Werkzeugen. Mit KI erzeugte Bilder werden nach Art. 50 der Verordnung (EU) 2024/1689 gekennzeichnet.

7.4 Der Verantwortliche kann den Einsatz von KI-Werkzeugen für seine Inhalte jederzeit in Textform untersagen. Den dadurch entstehenden Mehraufwand teilt der Auftragsverarbeiter vorher mit und kann ihn gesondert berechnen. Ist ihm die Leistung ohne diese Werkzeuge nicht zumutbar, kann er den betroffenen Vertrag nach Ziffer 6.4 beziehungsweise 14.7 der AGB beenden.

Art. 8: Nachweise und Kontrollen

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen. Als Nachweis dienen dieser Vertrag mit den Maßnahmen nach Art. 6 und die Liste nach Art. 5. Für jeden Anbieter ist in der Liste der Unterauftragsverarbeiter angegeben, auf welcher Vertragsgrundlage er Daten verarbeitet.

Weitergehende Prüfungen sind nach rechtzeitiger Ankündigung während der üblichen Geschäftszeiten möglich, beschränkt auf den eigenen Auftrag und ohne Prüfung vor Ort in den Rechenzentren. Für mehr als eine Prüfung im Kalenderjahr ohne konkreten Anlass kann der Auftragsverarbeiter eine angemessene Vergütung verlangen.

Art. 9: Löschung und Rückgabe

Nach Ende des Hauptvertrags gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen zurück oder löscht sie. Trifft der Verantwortliche binnen 30 Tagen keine Wahl, werden die Daten gelöscht. Sicherungskopien werden im regulären Turnus überschrieben. Daten mit gesetzlicher Aufbewahrungspflicht werden bis zu deren Ablauf gesperrt. Die Löschung wird auf Verlangen in Textform bestätigt.

Art. 10: Pflichten des Verantwortlichen

Der Verantwortliche sorgt für eine Rechtsgrundlage der Verarbeitung und verantwortet Impressum, Datenschutzerklärung und etwaige Einwilligungen auf seiner Website. Änderungen, die die Website oder ihre Rechtstexte betreffen, etwa neue Dienste, Plugins, Formulare oder geänderte Unternehmensangaben, teilt er dem Auftragsverarbeiter unverzüglich in Textform mit (Ziffer 3.10 der AGB). Dienste und Erweiterungen, die er selbst einsetzt oder beauftragt, prüft er auf Datenübermittlungen und nimmt sie in seine Datenschutzerklärung auf. Dienste Dritter, Statistik, Einwilligungsbanner und Tracking richtet der Auftragsverarbeiter nur auf Wunsch oder Weisung des Verantwortlichen ein; deren Auswahl, Rechtsgrundlage und eine etwa nötige Einwilligung verantwortet der Verantwortliche (Ziffer 3.10.2 der AGB).

Für die Sicherheit in seinem eigenen Bereich ist der Verantwortliche selbst zuständig, insbesondere für eigene Hosting- und E-Mail-Verträge, Geräte, Zugangsdaten und selbst eingesetzte Dienste. Vorfälle dort prüft, meldet und behebt er selbst; auf Wunsch unterstützt ihn der Auftragsverarbeiter gegen gesonderte Vergütung. Mit den datenschutzrechtlichen Anforderungen an seinen Betrieb setzt sich der Verantwortliche eigenständig auseinander. Er stellt den Auftragsverarbeiter von Ansprüchen Dritter frei, die auf einem von ihm zu vertretenden Verstoß gegen Datenschutzrecht beruhen, einschließlich angemessener Kosten der Rechtsverteidigung.

Art. 11: Haftung und Schlussbestimmungen

Gegenüber betroffenen Personen haften beide Seiten nach Art. 82 DSGVO. Im Verhältnis zueinander trägt jede Seite den Schaden, der auf ihren Verantwortungsbereich zurückgeht (Art. 82 Abs. 5 DSGVO); im Übrigen gilt Ziffer 10 der AGB.

Es gilt deutsches Recht. In Datenschutzfragen geht dieser Vertrag dem Hauptvertrag vor. Änderungen erfolgen nach Ziffer 2.6 der AGB oder in Textform. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.