Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO, inkl. Technisch-Organisatorischer Maßnahmen (TOMs)

Dieser AVV gilt zwischen dem jeweiligen Auftraggeber (nachfolgend „Verantwortlicher") und Carlo Krämer · CarloMedia, Huronsee Str. 46, 10319 Berlin (nachfolgend „Auftragsverarbeiter"). Er ist automatisch Bestandteil des jeweiligen Hauptvertrags und tritt mit dessen Abschluss in Kraft. Eine gesonderte Unterzeichnung ist nicht erforderlich. Mit Akzeptanz des Hauptvertrags (z. B. über das Angebotsformular) wird dieser AVV als verbindlich anerkannt.

Art. 1: Gegenstand, Daten & Dauer

1.1 Gegenstand

Erstellung, Hosting und Wartung einer Website. Verarbeitung personenbezogener Daten ausschließlich auf Weisung des Verantwortlichen.

Betreibt der Auftragsverarbeiter das Hosting im Auftrag des Verantwortlichen, so unterhält er selbst keine eigene Serverinfrastruktur. Er mietet die Infrastruktur bei den in Art. 3 genannten Anbietern an und tritt gegenüber dem Verantwortlichen als dessen Vertragspartner auf. Die dortigen Anbieter sind Unterauftragsverarbeiter im Sinne des Art. 28 Abs. 4 DSGVO. Der Auftragsverarbeiter hat mit ihnen jeweils einen Vertrag geschlossen, der diesen dieselben Datenschutzpflichten auferlegt, die ihn selbst nach diesem Vertrag treffen.

1.2 Datenarten

• Kontaktdaten: Namen, E-Mail, Telefon (z. B. Kontaktformular)
• Technische Daten: IP-Adressen, Server-Logs
• Nutzungsdaten: nur sofern aktiviert und DSGVO-konform eingebunden

1.3 Betroffene Personen

Besucher, Nutzer und Kontaktanfragende der Website des Kunden.

1.4 Dauer

Dauer des Hauptvertrags. Danach: Löschung oder Export binnen 30 Tagen (außer gesetzliche Aufbewahrungspflichten).

Art. 2: Pflichten des Auftragsverarbeiters

• Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen.
• Vertraulichkeit aller zugriffsberechtigten Personen.
• Umsetzung der TOMs gemäß Art. 4 dieses AVV.
• Unterstützung bei Pflichten nach Art. 32–36 DSGVO und bei Betroffenenrechten.
• Meldung von Datenpannen an den Kunden binnen 24 Stunden, nachdem der Auftragsverarbeiter davon Kenntnis erlangt hat, in Textform an die vom Verantwortlichen benannte Adresse. Die Meldung enthält, soweit bekannt, Art des Vorfalls, betroffene Datenarten und Personengruppen, wahrscheinliche Folgen und ergriffene Gegenmaßnahmen; fehlende Angaben werden unverzüglich nachgereicht. Die Behördenmeldung nach Art. 33 DSGVO (72-Stunden-Frist) obliegt dem Verantwortlichen.
• Führung eines Verzeichnisses aller Verarbeitungstätigkeiten, die im Auftrag des Verantwortlichen erfolgen (Art. 30 Abs. 2 DSGVO).
• Unverzüglicher Hinweis, wenn eine Weisung des Verantwortlichen nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Bis zur Klärung darf die Ausführung ausgesetzt werden.
• Löschung oder Rückgabe aller Daten nach Vertragsende.

Ansprechpartner für alle Anliegen nach diesem Vertrag, einschließlich Weisungen, Auskunftsverlangen und Meldungen von Datenpannen, ist CarloMedia, Carlo Krämer, mail@carlokraemer.de.

Art. 3: Subauftragsverarbeiter

Der Verantwortliche genehmigt die folgenden Dienste (Art. 28 Abs. 2 DSGVO). Änderungen werden 14 Tage im Voraus in Textform angekündigt; ein Widerspruch ist möglich. Bleibt der Widerspruch bestehen und findet sich keine Lösung, kann der Verantwortliche den betroffenen Vertrag zum Zeitpunkt des geplanten Wechsels kündigen. Dieselbe Liste ist unter carlokraemer.com/unterauftragsverarbeiter jederzeit öffentlich einsehbar.

Hosting, E-Mail-Versand und verschlüsselte Backups erfolgen ausschließlich in Deutschland beziehungsweise innerhalb der Europäischen Union. Je nach Projekt wird das Hosting entweder über Sliplane (Server in Deutschland) oder über Hostinger (Server in der EU) erbracht; welcher Anbieter für ein konkretes Projekt eingesetzt wird, teilt der Auftragsverarbeiter auf Anfrage mit. Lediglich die Code-Verwaltung (GitHub) liegt bei einem US-Unternehmen; die Übermittlung erfolgt auf Basis von EU-Standardvertragsklauseln (SCC). Bei regulatorischen Veränderungen wird der Auftragsverarbeiter schnellstmöglich Alternativen prüfen und den Verantwortlichen informieren.

Art. 4: Technische & organisatorische Maßnahmen (TOMs)

4.1 Zutrittskontrolle

Serverbetrieb in zertifizierten Rechenzentren innerhalb der Europäischen Union: bei Sliplane in einem ISO-27001-zertifizierten Rechenzentrum in Deutschland (Hetzner, Falkenstein), bei Hostinger in einem Rechenzentrum in der EU. Kein physischer Zugriff durch den Auftragsverarbeiter.

4.2 Zugangskontrolle

• 2-Faktor-Authentifizierung (2FA) für alle Admin-Zugänge
• Starke, einzigartige Passwörter über Passwortmanager

4.3 Zugriffskontrolle

• Minimalprinzip (Least Privilege), Row Level Security in Datenbank
• Secrets ausschließlich über Umgebungsvariablen, nie im Code oder Git

4.4 Trennungskontrolle (Managed Hosting)

Der Auftragsverarbeiter erbringt das Hosting als Managed Hosting: Er betreibt und pflegt die Infrastruktur zentral und stellt darauf die Angebote mehrerer Kunden bereit. Dieses Modell ist bewusst gewählt, weil eine dedizierte Infrastruktur je Kunde die laufenden Kosten deutlich erhöhen würde; auf Wunsch ist ein eigener Hostingvertrag des Verantwortlichen jederzeit möglich (siehe Ziffer 11.1.1 der AGB).

Die Daten der einzelnen Kunden sind auf der gemeinsam genutzten Infrastruktur voneinander getrennt: Jedes Projekt erhält einen eigenen, logisch abgegrenzten Datenbereich, bei Anwendungen mit Datenbank ein eigenes Schema beziehungsweise eine eigene Datenbank mit eigenen Zugangsdaten. Ein Zugriff zwischen den Projekten findet nicht statt, Daten verschiedener Mandanten werden nicht vermischt. Rein statische Websites verarbeiten keine Datenbankinhalte und sind bereits dadurch gegeneinander abgegrenzt. Ein Zugriff des Verantwortlichen auf die Infrastruktur selbst besteht nicht (Ziffer 11.4 der AGB).

4.5 Verschlüsselung

HTTPS/TLS für alle Übertragungen. AES-256 für ruhende Daten. Backups verschlüsselt.

4.6 Datensparsamkeit

Cookie- und trackingfrei im Standard; abweichende Wünsche des Verantwortlichen (z. B. eigene Analyse- oder Marketingdienste) sind nach gesonderter Vereinbarung und mit eigener Einwilligungslösung möglich, siehe Art. 5. Server-Logdaten werden gelöscht, sobald sie für einen sicheren und stabilen Betrieb nicht mehr erforderlich sind, in der Regel nach sieben Tagen, spätestens nach 30 Tagen.

4.7 Verfügbarkeit

Arbeitstägliche automatische Sicherung der betriebenen Anwendungen und Datenbanken mit sieben Tagen Aufbewahrung, dazu regelmäßige Wiederherstellungstests. Die Erreichbarkeit wird rund um die Uhr automatisiert überwacht und der Auftragsverarbeiter automatisch alarmiert. Die Bearbeitung von Störungen erfolgt zu den in den Allgemeinen Geschäftsbedingungen genannten Zeiten; feste Reaktions- und Wiederherstellungszeiten sind nicht vereinbart.

4.8 Überprüfung

Prüfung aller Dienste auf gültige DPA. Versionierter Code über privates Git-Repository.

4.9 Besonderheiten

Sitemap.xml und llms.txt enthalten keine personenbezogenen Daten. Zahlungsdienstleister gemäß gewähltem Anbieter, ein gesonderter DPA wird bei Bedarf abgeschlossen.

Art. 4a: Kontrollrechte des Verantwortlichen

Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen (Art. 28 Abs. 3 lit. h DSGVO). Die dafür erforderlichen Nachweise hält der Auftragsverarbeiter dauerhaft öffentlich bereit und muss sie nicht gesondert übersenden: die Beschreibung der technischen und organisatorischen Maßnahmen nach Art. 4 dieses Vertrags sowie die jeweils aktuelle Liste der Unterauftragsverarbeiter. Beide Seiten sind jederzeit abrufbar, speicherbar und druckbar und liegen damit in Textform vor; die Informationspflicht ist dadurch erfüllt.

Zertifizierungen, Sicherheitsberichte und Auftragsverarbeitungsverträge der eingesetzten Anbieter veröffentlichen diese selbst; sie sind in der Anbietertabelle unter Art. 3 in der Spalte „Nachweis des Anbieters" unmittelbar verlinkt. Kopien der zwischen dem Auftragsverarbeiter und seinen Unterauftragsverarbeitern geschlossenen Verträge werden nicht herausgegeben, soweit ihnen Vertraulichkeitsvereinbarungen oder Geschäftsgeheimnisse entgegenstehen. Der Auftragsverarbeiter bestätigt dem Verantwortlichen auf Anfrage in Textform, dass für jeden gelisteten Anbieter ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO besteht.

Reichen diese Nachweise im Einzelfall nicht aus, benennt der Verantwortliche den konkreten Anlass und beschränkt seine Prüfung auf den eigenen Auftrag. Er kann dann nach Ankündigung mit angemessener Frist eine Überprüfung während der üblichen Geschäftszeiten durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, der kein Wettbewerber des Auftragsverarbeiters ist. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen. Eine Vor-Ort-Prüfung in den Rechenzentren ist ausgeschlossen, weil der Auftragsverarbeiter dort selbst keinen physischen Zugang hat; insoweit tritt er seine entsprechenden Ansprüche gegen die Unterauftragsverarbeiter an den Verantwortlichen ab. Für den Aufwand über eine Überprüfung je Kalenderjahr hinaus kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, es sei denn, die Überprüfung erfolgt aus konkretem Anlass.

Art. 4b: Löschung und Rückgabe

Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter die verarbeiteten Daten nach Wahl des Verantwortlichen zurück oder löscht sie. Der Verantwortliche teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit; danach werden die Daten gelöscht. Sicherungskopien werden im Rahmen der regulären Aufbewahrung nach Art. 4.7 überschrieben. Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht; sie werden für die Dauer der Aufbewahrung gesperrt und danach gelöscht. Die Löschung wird auf Verlangen in Textform bestätigt.

Art. 5: Pflichten des Verantwortlichen

• Sicherstellung einer Rechtsgrundlage gemäß Art. 6 DSGVO.
• Alleinige Verantwortung für Impressum, Datenschutzerklärung und Cookie-Einwilligungen der eigenen Website.
• Bei Tracking-Diensten: eigener Zusatzauftrag und eigene Einwilligungslösung.

Art. 6: Sonstiges

Es gilt deutsches Recht. Bei Konflikten geht dieser AVV in Datenschutzfragen dem Hauptvertrag vor. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleiben die übrigen Bestimmungen davon unberührt.

Stand: Juli 2026