Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

Textversion AVV-1.0, Stand September 2026

§ 1 Vertragsparteien und Geltung

(1) Dieser Vertrag gilt zwischen dem Betrieb, der mein Angebot angenommen hat, als Verantwortlichem („Sie“) und mir als Auftragsverarbeiter („ich“): Vincent Leinhos, Webentwicklung (vorortseite), Mainzer Landstr. 148, 60327 Frankfurt am Main, E-Mail kontakt@vorortseite.de, Telefon 0156 3015 1719. Er gilt nur gegenüber Unternehmern im Sinne von § 14 BGB.

(2) Er gilt für alle Leistungen aus dem angenommenen Angebot und aus späteren Aufträgen (Erstellung der Website, Hosting, Betreuung, Betreuung Plus, Zusatzarbeit, Export), soweit ich dabei personenbezogene Daten in Ihrem Auftrag verarbeite.

(3) Anlage 1 (technische und organisatorische Maßnahmen) und Anlage 2 (Unterauftragsverarbeiter) sind Teil dieses Vertrags.

(4) In Fragen des Datenschutzes geht dieser Vertrag dem Angebot, der Leistungsbeschreibung und den Allgemeinen Geschäftsbedingungen vor.

(5) Der Vertrag ist nach dem Vorbild der Standardvertragsklauseln der Europäischen Kommission für die Auftragsverarbeitung (Durchführungsbeschluss (EU) 2021/915) aufgebaut, ist aber ein eigenständiger Vertrag nach Art. 28 Abs. 3 DSGVO.

(6) Ansprechpartner für den Datenschutz bin ich selbst (kontakt@vorortseite.de, Telefon 0156 3015 1719). Einen Datenschutzbeauftragten habe ich nicht benannt, weil die gesetzlichen Voraussetzungen dafür nicht vorliegen.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

(1) Gegenstand: Ich erstelle Ihre Website, stelle sie unter Ihrer Domain bereit (Hosting) und pflege sie, einschließlich Kontaktformular, Bearbeitungsbereich, auf Ihre Weisung der Zählung der Besuche, Datensicherung und Übergabe bei Vertragsende. Bei Betreuung Plus veröffentliche ich außerdem Beiträge in Ihrem Google-Unternehmensprofil, und zwar in Ihrem Konto.

(2) Art der Verarbeitung: Ich empfange Material, das Sie mir per E-Mail oder über den Bearbeitungsbereich geben, nehme Anfragen über Ihr Kontaktformular entgegen und schicke Ihnen jede neue Anfrage per E-Mail, zähle auf Ihre Weisung die Besuche beim Aufruf einer Seite und die Anfragen über Ihr Kontaktformular, speichere, ordne und bearbeite Inhalte (Texte setzen, Fotos zuschneiden und verkleinern, Metadaten entfernen), veröffentliche sie auf Ihrer Website, sichere Daten und stelle sie wieder her, exportiere und lösche sie.

(3) Zwecke:

a) Bereitstellung und Pflege Ihrer Website;

b) Entgegennahme von Anfragen über Ihr Kontaktformular, damit Sie sie beantworten können;

c) Bearbeitung der Inhalte durch Sie und Ihre Beschäftigten im Bearbeitungsbereich und Änderungen in Ihrem Auftrag;

d) Durchsicht veröffentlichter Änderungen auf Darstellungsfehler und offensichtliche Fehler im Impressum;

e) Schutz vor Missbrauch und Angriffen;

f) Datensicherung und Wiederherstellung;

g) Übergabe (Export) und Löschung bei Vertragsende;

h) auf Ihre Weisung Zählung der Besuche Ihrer Website und der Anfragen über Ihr Kontaktformular sowie Darstellung der Zahlen für Sie (Besucherzahlen, § 6 Absatz 8).

(4) Für eigene Zwecke nutze ich die Daten nicht, insbesondere nicht für Werbung, für Auswertungen oder zum Training von KI-Modellen. Weitergeben darf ich sie nur nach diesem Vertrag. Das gilt auch für die Besucherzahlen Ihrer Website: Ich nutze sie nur für Sie, nicht für eigene Werbung und nicht für Auswertungen über mehrere Kunden.

§ 3 Betroffene Personen und Arten der Daten

(1) Besucher Ihrer Website: Verbindungsdaten beim Aufruf (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Angaben des Browsers wie Programm und Betriebssystem), soweit sie für die Auslieferung, die Abwehr von Angriffen und technische Protokolle anfallen. Zählt Ihre Website die Besuche (§ 2 Absatz 3 Buchstabe h), werte ich beim Aufruf außerdem die Adresse der Seite, von der die Person kommt, und Angaben des Browsers zur Art des Aufrufs und des Geräts aus, ohne sie zu speichern; gespeichert werden nur Zählerstände je Kalendermonat, die keiner Person zugeordnet sind.

(2) Personen, die Ihr Kontaktformular nutzen: Name, Telefonnummer und/oder E-Mail-Adresse, Nachricht, die Unterseite, von der aus sie gesendet wurde, und Zeitpunkt; einen Prüfwert der IP-Adresse speichere ich dazu nicht.

(3) Personen, die in den Inhalten Ihrer Website genannt oder abgebildet sind, etwa Inhaber, Beschäftigte, Kunden und Personen, deren Bewertungen Sie zeigen: Name, Funktion, Qualifikation, geschäftliche Kontaktdaten, Fotos und Texte über sie, jeweils auch in früheren Fassungen und in noch nicht veröffentlichten Änderungen, bei Betreuung Plus auch in Ihren Beiträgen und Angaben im Google-Unternehmensprofil einschließlich der dort sichtbaren Bewertungen, sowie das Material, das Sie mir dafür übergeben.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 und 10 DSGVO) sind nicht vorgesehen, und das Kontaktformular fragt nicht danach. Schreibt jemand solche Angaben in eine Nachricht, speichere ich sie nur und gebe sie an Sie weiter. Soll Ihre Website solche Daten gezielt erheben oder unterliegen Sie einer beruflichen Schweigepflicht (etwa als Heilberuf, § 203 StGB), ist vorher eine Ergänzung dieses Vertrags nötig.

§ 4 Nicht Gegenstand dieses Vertrags

(1) Als eigener Verantwortlicher und nach meinen eigenen Datenschutzhinweisen verarbeite ich:

a) Vertrags-, Abrechnungs- und Kommunikationsdaten zwischen Ihnen und mir, auch die Ihrer Ansprechpersonen;

b) die Zugangs-, Anmelde-, Sitzungs- und Sicherheitsdaten der Personen, die Sie für den Bearbeitungsbereich benennen, den Vermerk, wer welche Fassung veröffentlicht oder welches Foto hochgeladen hat, die Bestätigungen der Bildrechte und Nachrichten über „Nachricht schreiben“ (Datenschutzhinweise für den Bearbeitungsbereich);

c) die Daten aus der Zeit vor der Annahme des Angebots (Brief, Versand- und Aufrufprotokolle der Vorschauseite, Einwilligungen und Fotofreigabe; Datenschutzinformation zu Brief und Vorschauseite). Inhalte des Vorschlags, die in Ihre Website übernommen werden, verarbeite ich ab der Annahme nach diesem Vertrag;

d) Daten, die ich aufgrund einer gesetzlichen Pflicht verarbeite.

(2) Zeige ich Ihre Website als Referenz, soweit Sie es nach dem Angebot und den Allgemeinen Geschäftsbedingungen erlaubt haben, bin ich dafür selbst verantwortlich. Wie ich die Referenz gestalte und was ich dabei unkenntlich mache, regeln die Allgemeinen Geschäftsbedingungen („Hinweis im Fußbereich und Referenz“).

(3) Ordnet eine Aufsichtsbehörde oder ein Gericht eine Verarbeitung nach Absatz 1 Buchstabe b als Verarbeitung in Ihrem Auftrag ein, gilt für sie dieser Vertrag.

§ 5 Dauer

(1) Dieser Vertrag beginnt mit der Annahme des Angebots, weil schon beim Bau der Website personenbezogene Daten anfallen. Er läuft, solange ich Leistungen nach § 1 Absatz 2 für Sie erbringe, und endet mit der letzten dieser Leistungen; eine eigene Laufzeit oder Kündigung hat er nicht.

(2) Meine Pflichten aus diesem Vertrag bestehen fort, bis alle Daten nach § 14 zurückgegeben und gelöscht sind.

§ 6 Weisungen

(1) Ich verarbeite die Daten nur auf Ihre dokumentierte Weisung, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, es sei denn, ich bin nach dem Recht der Union oder eines Mitgliedstaats, dem ich unterliege, dazu verpflichtet. In diesem Fall teile ich Ihnen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Ihre Weisungen sind dieser Vertrag mit seinen Anlagen, das angenommene Angebot, Ihre Handlungen im Bearbeitungsbereich (Speichern, Veröffentlichen, Verwerfen, Hochladen, Wiederherstellen einer früheren Fassung, Ein- und Ausschalten der Zählung der Besuche) und Einzelweisungen in Textform an kontakt@vorortseite.de. Mündliche Weisungen bestätige ich Ihnen in Textform.

(3) Weisungen erteilen dürfen die Inhaberin oder der Inhaber bzw. die Geschäftsleitung und die Ansprechperson, die Sie im Angebot oder in Textform benennen. Personen mit Zugang zum Bearbeitungsbereich weisen Änderungen an den Inhalten Ihrer Website an, durch ihre Handlungen dort oder über „Nachricht schreiben“, und schalten dort die Zählung der Besuche ein oder aus. Weisungen zur Löschung über einzelne Inhalte hinaus, zu Export und Herausgabe, zu Fristen nach § 13, zu Unterauftragsverarbeitern und zur Beendigung erteilen nur die in Satz 1 genannten Personen.

(4) Mit diesem Vertrag weisen Sie mich an, die Inhalte Ihrer Website im Internet zu veröffentlichen, Ihnen Anfragen über das Kontaktformular per E-Mail zu schicken und die Unterauftragsverarbeiter aus Anlage 2 einschließlich der dort genannten Übermittlungen einzusetzen.

(5) Halte ich eine Weisung für datenschutzwidrig, informiere ich Sie unverzüglich. Bis Sie die Weisung bestätigen oder ändern, darf ich ihre Ausführung aussetzen.

(6) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, führe ich als Zusatzarbeit aus und nenne Ihnen vorher den Aufwand. Für die Unterstützung bei Ihren Datenschutzpflichten gilt § 11.

(7) Einzelweisungen bewahre ich als Nachweis bis zum Ende des dritten Kalenderjahres nach Vertragsende auf.

(8) Besuche zählt Ihre Website nur, solange Sie es angewiesen haben (Absatz 2), und nur mit der Datenschutzerklärung aus der Vorlage meiner Plattform, die die Zählung beschreibt. Ausschalten können Sie jederzeit. Beanstandet eine Aufsichtsbehörde oder ein Gericht diese Art der Zählung, setze ich sie für alle Websites aus und teile Ihnen das mit.

§ 7 Vertraulichkeit

Ich verarbeite die Daten persönlich; Beschäftigte oder freie Mitarbeiter setze ich dafür nicht ein. Setze ich künftig Personen ein, verpflichte ich sie vorher schriftlich zur Vertraulichkeit, auch über das Ende ihrer Tätigkeit hinaus, sofern sie nicht einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und gebe ihnen nur den Zugang, den sie für ihre Aufgabe brauchen.

§ 8 Sicherheit der Verarbeitung

(1) Ich treffe die nach Art. 32 DSGVO erforderlichen Maßnahmen, mindestens die in Anlage 1 beschriebenen.

(2) Ich überprüfe die Maßnahmen mindestens einmal im Jahr und bei jeder wesentlichen Änderung der Technik. Änderungen dürfen das Schutzniveau von Anlage 1 nicht unterschreiten.

(3) Wesentliche Änderungen der Maßnahmen teile ich Ihnen mindestens 14 Tage vorher in Textform mit. Widersprechen Sie nicht bis dahin in Textform, gelten sie als genehmigt, und ich passe Anlage 1 an. Maßnahmen, die den Schutz nur erhöhen oder zur Abwehr einer akuten Gefahr sofort nötig sind, darf ich sofort umsetzen; ich teile sie Ihnen danach unverzüglich mit. Für einen Widerspruch gilt § 9 Absatz 4 entsprechend.

§ 9 Unterauftragsverarbeiter

(1) Sie genehmigen allgemein den Einsatz der Unterauftragsverarbeiter aus Anlage 2, einschließlich der weiteren Unterauftragsverarbeiter, die diese nach den in Anlage 2 genannten Listen für die dort genannten Leistungen einsetzen.

(2) Ich setze einen Unterauftragsverarbeiter nur mit einem Vertrag ein, der ihm im Wesentlichen dieselben Datenschutzpflichten auferlegt wie mir dieser Vertrag, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Auf Verlangen erhalten Sie eine Kopie dieses Vertrags oder einen Link darauf.

(3) Eine beabsichtigte Hinzuziehung oder Ersetzung durch mich teile ich Ihnen mindestens 14 Tage vor dem Einsatz in Textform mit, mit Name, Anschrift, Leistung, Ort der Verarbeitung und Grundlage einer Übermittlung in ein Drittland. Änderungen in den Listen nach Absatz 1 verfolge ich über die Benachrichtigungsdienste der Anbieter und leite sie Ihnen unverzüglich weiter, spätestens 5 Werktage, nachdem ich davon erfahren habe. Sie können einer Änderung bis zu ihrem Wirksamwerden in Textform widersprechen, mindestens aber innerhalb von 7 Tagen nach meiner Mitteilung. Ohne Widerspruch gilt die Änderung als genehmigt.

(4) Widersprechen Sie, suche ich mit Ihnen eine Lösung, etwa den Verzicht auf den Unterauftragsverarbeiter für Ihre Daten. Ist das nicht möglich, können Sie die betroffene laufende Leistung und diesen Vertrag zum Wirksamwerden der Änderung kündigen; Entgelte, die Sie für die Zeit danach im Voraus gezahlt haben, erstatte ich. Kündigen Sie aus diesem Grund den Vertrag über die Erstellung der Website, schulden Sie nur die Vergütung für die bis dahin erbrachten Leistungen und erhalten den erreichten Stand als Export.

(5) Für meine Unterauftragsverarbeiter hafte ich Ihnen gegenüber wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO). Erfahre ich, dass einer von ihnen seine Datenschutzpflichten verletzt, informiere ich Sie.

(6) Keine Unterauftragsverarbeiter sind Stellen, die Ihre Daten als eigene Verantwortliche erhalten, etwa die Vergabestelle und der Registrar Ihrer Domain, und Dienste, die Sie selbst nutzen, etwa Ihr E-Mail-Anbieter oder Google für Ihr Unternehmensprofil.

(7) Für Gestaltung, Texte und Pflege Ihrer Website setze ich ein KI-Werkzeug ein (Anlage 2 Nr. 4). Es verarbeitet die Inhalte, an denen ich gerade arbeite, einschließlich der darin genannten Personen, nur in meinem Auftrag; zum Training von KI-Modellen werden sie nicht verwendet. Weitere KI-Dienste setze ich nur nach Absatz 3 ein.

§ 10 Orte der Verarbeitung und Übermittlung in Drittländer

(1) Datenbank und Dateien Ihrer Website speichert mein Hosting-Anbieter Cloudflare in der EU. Ausgeführt und ausgeliefert wird die Website im weltweiten Netz von Cloudflare, bei einem Aufruf in der Regel in einem Rechenzentrum nahe der aufrufenden Person; dort hält Cloudflare fertig erzeugte Seiten bis zu zehn Minuten im Zwischenspeicher. Zeitgesteuerte Abläufe wie die nächtliche Sicherung und Löschung laufen in Rechenzentren von Cloudflare weltweit und verarbeiten dabei auch Ihre Inhalte und Anfragen, ohne sie dort zu speichern. Verbindungsdaten und Protokolle speichert Cloudflare auch außerhalb der EU, insbesondere in den USA. Das KI-Werkzeug (§ 9 Absatz 7) verarbeitet die Inhalte, an denen ich arbeite, auch in den USA. Einzelheiten stehen in Anlage 2.

(2) In Drittländer übermittle ich Daten nur, soweit Anlage 2 es nennt oder Sie es anweisen, und nur, wenn die Voraussetzungen von Kapitel V DSGVO erfüllt sind (Angemessenheitsbeschluss oder geeignete Garantien wie EU-Standardvertragsklauseln).

(3) Entfällt eine in Anlage 2 genannte Grundlage, etwa der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, informiere ich Sie unverzüglich; die Übermittlung stützt sich dann auf die in Anlage 2 genannte Ersatzgrundlage, nachdem ich anhand der Unterlagen des Anbieters geprüft habe, ob zusätzliche Maßnahmen nötig sind. Ist die Übermittlung danach nicht zulässig oder gibt es keine Ersatzgrundlage, gilt § 9 Absatz 4 entsprechend.

§ 11 Unterstützung

(1) Anträge betroffener Personen, die mich erreichen, leite ich unverzüglich an Sie weiter, in der Regel innerhalb von 3 Werktagen. Selbst beantworte ich sie nur, wenn Sie mich dazu anweisen.

(2) Auf Ihre Weisung suche, berichtige, lösche oder exportiere ich Daten, soweit Sie das nicht selbst im Bearbeitungsbereich können, in der Regel innerhalb von 5 Werktagen.

(3) Bei Ihren Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung, vorherige Konsultation) unterstütze ich Sie mit den Informationen, die mir zur Verfügung stehen, insbesondere den Anlagen. Stelle ich fest, dass Daten unrichtig oder veraltet sind, teile ich es Ihnen unverzüglich mit.

(4) Für Ihre Datenschutzerklärung stelle ich die Vorlage meiner Plattform bereit (Leistungsbeschreibung, „Impressum und Datenschutzerklärung“); für eine eigene Datenschutzerklärung und für Ihr Verzeichnis von Verarbeitungstätigkeiten nenne ich Ihnen auf Anfrage die Tatsachen zu meiner Verarbeitung: Empfänger, Orte und Übermittlungen, Speicherdauer und eingesetzte Dienste. Die rechtliche Bewertung Ihres Einzelfalls übernehme ich nicht.

(5) Die Weiterleitung nach Absatz 1, die Vorlage nach Absatz 4 und Meldungen nach § 12 sind kostenfrei. Weitere Unterstützung ist bis zu 30 Minuten je Kalenderjahr kostenfrei; darüber berechne ich den im Angebot vereinbarten Satz für Zusatzarbeit. Das gilt nicht, wenn die Unterstützung durch einen Verstoß von mir oder meinen Unterauftragsverarbeitern nötig wird.

§ 12 Verletzungen des Schutzes personenbezogener Daten

(1) Wird mir eine Verletzung des Schutzes Ihrer Daten bekannt, melde ich sie Ihnen unverzüglich, spätestens 48 Stunden nachdem ich davon Kenntnis erlangt habe, per E-Mail und versuche zusätzlich, Sie telefonisch zu erreichen. Die Meldung enthält, soweit bekannt:

a) die Art der Verletzung, möglichst mit Kategorien und ungefährer Zahl der betroffenen Personen und Datensätze;

b) meine Kontaktdaten für Rückfragen;

c) die wahrscheinlichen Folgen;

d) die ergriffenen oder vorgeschlagenen Maßnahmen, auch zur Abmilderung nachteiliger Folgen.

(2) Was ich zunächst nicht weiß, liefere ich nach, sobald ich es weiß.

(3) Ich ergreife unverzüglich die mir möglichen Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mildern, und dokumentiere den Vorfall.

(4) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen (Art. 33 und 34 DSGVO) übernehmen Sie; ich unterstütze Sie dabei. Öffentlich äußere ich mich zu dem Vorfall nur in Abstimmung mit Ihnen, es sei denn, ich bin gesetzlich dazu verpflichtet.

§ 13 Speicherdauer während der Laufzeit

Während der Laufzeit gelten die folgenden Fristen als Ihre Weisung. Einzelne Daten nach a bis c, e und h bis j lösche ich auf Ihre Weisung früher (§ 11 Absatz 2); eine längere Speicherung bedarf einer gesonderten Vereinbarung. Die Fristen nach d, f und g ergeben sich aus der Technik meiner Unterauftragsverarbeiter und meiner Sicherungen und gelten für alle Kunden gleich. Nach Vertragsende gilt § 14.

a) Inhalte und frühere Fassungen Ihrer Website: für die Dauer des Vertrags. Noch nicht veröffentlichte Änderungen: bis sie veröffentlicht oder verworfen werden, längstens für die Dauer des Vertrags.

b) Fotos: solange eine gespeicherte Fassung oder die noch nicht veröffentlichten Änderungen sie verwenden, längstens für die Dauer des Vertrags. Fotos, die nie verwendet wurden, lösche ich 30 Tage nach dem Hochladen.

c) Anfragen über das Kontaktformular: Ich lösche sie 90 Tage nach Eingang. Jede neue Anfrage schicke ich Ihnen per E-Mail (Buchstabe g).

d) Technische Protokolle und Sicherheitsprotokolle bei Cloudflare: höchstens 7 Tage.

e) Material, das Sie mir per E-Mail schicken, und Arbeitskopien Ihrer Inhalte auf meinem Rechner: für die Dauer des Vertrags.

f) Sicherungskopien: Gelöschte Daten sind darin noch höchstens 30 Tage enthalten (Anlage 1 Nr. 8).

g) E-Mails mit Anfragen beim Versanddienst (Anlage 2 Nr. 2): Die Löschung dort veranlasse ich spätestens 7 Tage nach dem Versand; eigene Sicherungen und Protokolle des Versanddienstes laufen nach dessen Fristen aus.

h) Exporte, die ich Ihnen während der Laufzeit bereitstelle: 30 Tage ab der Bereitstellung zum Abruf, danach lösche ich sie. Anfragen und Fotos darin bleiben so lange gespeichert, auch wenn sie nach b oder c schon gelöscht sind.

i) Anrufliste meiner Geschäftsnummer auf meinem Mobiltelefon und Nachrichten auf meiner Mailbox: Einmal im Monat lösche ich dort alles, was älter als einen Monat ist, also spätestens zwei Monate nach dem Anruf. Mündliche Weisungen bestätige ich Ihnen in Textform (§ 6 Absatz 2); die Bestätigung bewahre ich nach § 6 Absatz 7 auf.

j) Besucherzahlen (§ 2 Absatz 3 Buchstabe h): Die Zählerstände eines Kalendermonats lösche ich nach 25 Monaten. Die beim Aufruf ausgewerteten Angaben (§ 3 Absatz 1) speichere ich nicht.

§ 14 Rückgabe und Löschung nach Vertragsende

(1) Nach dem Ende der Leistungen gebe ich Ihnen nach Ihrer Wahl alle Daten zurück und lösche sie danach, oder ich lösche sie ohne Rückgabe. Ihre Wahl treffen oder ändern Sie bis zum Vertragsende in Textform; ohne Mitteilung gilt die Rückgabe.

(2) Zur Rückgabe erhalten Sie einen Export zum Herunterladen: die Dateien der Website, ihre Inhalte in einer maschinenlesbaren Datei, die Originalfotos, die gespeicherten Anfragen über das Kontaktformular und die Besucherzahlen je Monat. Den Export stelle ich Ihnen nach Eingang einer Kündigung, gleich von welcher Seite, innerhalb von 5 Werktagen unaufgefordert bereit, auf Wunsch schon vorher, und halte ihn bis 90 Tage nach Vertragsende zum Abruf bereit.

(3) Spätestens 90 Tage nach Vertragsende lösche ich alle Daten nach diesem Vertrag, auch den Export; haben Sie die Löschung ohne Rückgabe gewählt, spätestens 30 Tage nach Vertragsende. Die Löschung umfasst die Daten bei meinen Unterauftragsverarbeitern, in meinem Postfach und auf meinen Geräten.

(4) Sicherungskopien, die ich anlege oder die mein Hosting-Anbieter für mich als Wiederherstellungspunkte vorhält, enthalten gelöschte Daten noch höchstens 30 Tage; bis dahin nutze ich sie nur, um nach einem Zwischenfall einen früheren Stand wiederherzustellen. Für interne Sicherungen meiner Unterauftragsverarbeiter gelten deren Verträge (Anlage 2).

(5) Die Löschung bestätige ich Ihnen innerhalb von 14 Tagen in Textform, mit dem Tag der Löschung und dem Tag, an dem die letzten Sicherungskopien entfallen.

(6) Von der Löschung nach Absatz 3 ausgenommen sind:

a) Daten, die ich nach dem Recht der Union oder eines Mitgliedstaats aufbewahren muss, für die Dauer dieser Pflicht;

b) Unterlagen, die nachweisen, dass ich Ihre Daten auftrags- und ordnungsgemäß verarbeitet habe, etwa Einzelweisungen (§ 6 Absatz 7) und die Löschbestätigung: bis zum Ablauf der für sie geltenden gesetzlichen Aufbewahrungsfrist, ohne eine solche Frist bis zum Ende des dritten Kalenderjahres nach Vertragsende; Inhalte Ihrer Website enthalten sie nur, soweit der Nachweis es erfordert;

c) Daten, die ich zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen aus diesem Vertrag oder aus den Verträgen über die Leistungen nach § 1 Absatz 2 konkret benötige: nur zu diesem Zweck, nur soweit und solange es dafür erforderlich ist und längstens bis zur Erledigung dieser Ansprüche. Diese Daten verarbeite ich dann als eigener Verantwortlicher (Art. 6 Abs. 1 lit. f und Art. 17 Abs. 3 lit. e DSGVO).

(7) Welche Daten ich nach Absatz 6 Buchstabe a oder c aufbewahre und warum, teile ich Ihnen spätestens mit der Löschbestätigung (Absatz 5) mit. Für die Daten nach § 4 gelten meine Datenschutzhinweise.

§ 15 Nachweise und Kontrollen

(1) Auf Anfrage stelle ich Ihnen alle Informationen zur Verfügung, die zum Nachweis meiner Pflichten aus Art. 28 DSGVO und diesem Vertrag nötig sind, insbesondere die aktuellen Anlagen, Löschbestätigungen und Nachweise meiner Unterauftragsverarbeiter (etwa Zertifikate und Prüfberichte), soweit diese sie mir zugänglich machen und ihre Weitergabe erlauben.

(2) Sie oder ein von Ihnen beauftragter Prüfer, der zur Verschwiegenheit verpflichtet ist, können die Einhaltung dieses Vertrags in angemessenen Abständen oder bei Anzeichen eines Verstoßes überprüfen, auch durch Inspektionen. Weil die Daten überwiegend bei Cloudflare liegen und ich keine eigenen Serverräume betreibe, biete ich vorrangig die Prüfung anhand von Unterlagen und die Vorführung per Bildschirmfreigabe an; welche Form der Prüfung Sie wählen, entscheiden Sie. Termine vor Ort stimme ich mit Ihnen mit angemessener Frist ab, in der Regel 14 Tage, bei Anzeichen eines Verstoßes kürzer. Kontrollen bei Unterauftragsverarbeitern richten sich nach deren Verträgen, in der Regel über aktuelle Prüfberichte.

(3) Eine Prüfung je Kalenderjahr und jede Prüfung aus Anlass eines Verstoßes sind kostenfrei. Für weitere Prüfungen kann ich meinen Aufwand zum im Angebot vereinbarten Satz für Zusatzarbeit berechnen. Festgestellte Mängel behebe ich unverzüglich auf meine Kosten.

(4) Der zuständigen Aufsichtsbehörde stelle ich diese Informationen einschließlich der Ergebnisse von Prüfungen auf Anfrage zur Verfügung.

§ 16 Ihre Pflichten und Rechte

(1) Sie sind für die Rechtmäßigkeit der Verarbeitung und für die Rechte der betroffenen Personen verantwortlich, insbesondere für die Rechtsgrundlage der Inhalte, die Sie mir übergeben oder selbst veröffentlichen (etwa Namen und Fotos von Beschäftigten), und für die Datenschutzerklärung Ihrer Website.

(2) Für den Bearbeitungsbereich benennen Sie nur Personen, deren E-Mail-Adresse Sie dafür an mich weitergeben dürfen.

(3) Fehler oder Unregelmäßigkeiten, die Ihnen auffallen, melden Sie mir unverzüglich. Soll Ihre Website weitere Funktionen bekommen, die personenbezogene Daten verarbeiten (etwa Terminbuchung, Karten oder eine Reichweitenmessung über die Besucherzahlen nach § 2 Absatz 3 Buchstabe h hinaus), stimmen Sie das vorher mit mir ab; dafür kann eine Ergänzung dieses Vertrags nötig sein.

(4) Ihre Rechte aus diesem Vertrag bleiben unberührt, insbesondere Weisungen (§ 6), Widerspruch (§§ 8 und 9), Rückgabe und Löschung (§ 14) und Kontrollen (§ 15).

§ 17 Haftung

(1) Gegenüber betroffenen Personen haften Sie und ich nach Art. 82 DSGVO; dieser Vertrag schränkt deren Ansprüche nicht ein. Hat eine Partei Schadenersatz geleistet, kann sie von der anderen den Teil zurückverlangen, der deren Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 5 DSGVO).

(2) Im Verhältnis zwischen Ihnen und mir hafte ich unbeschränkt bei Vorsatz und grober Fahrlässigkeit, auch meiner Erfüllungsgehilfen, für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit, nach dem Produkthaftungsgesetz und soweit ich eine Garantie übernommen oder einen Mangel arglistig verschwiegen habe. Bei einfacher Fahrlässigkeit hafte ich nur für die Verletzung wesentlicher Vertragspflichten, begrenzt auf den vertragstypischen, vorhersehbaren Schaden. Wesentliche Vertragspflichten sind Pflichten, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung Sie regelmäßig vertrauen dürfen; dazu gehören alle Pflichten aus diesem Vertrag.

(3) Für meine Unterauftragsverarbeiter hafte ich wie für eigenes Handeln (§ 9 Absatz 5).

(4) Sie stellen mich von Ansprüchen Dritter frei, soweit diese darauf beruhen, dass Sie schuldhaft eine rechtswidrige Weisung erteilt oder Inhalte ohne die nötige Rechtsgrundlage übergeben oder veröffentlicht haben.

§ 18 Aussetzung und Kündigung aus wichtigem Grund

(1) Kann ich diesen Vertrag nicht einhalten, teile ich es Ihnen unverzüglich mit. Sie können die Verarbeitung dann aussetzen lassen, bis ich ihn wieder einhalte.

(2) Verstoße ich erheblich oder fortdauernd gegen diesen Vertrag oder befolge ich eine bindende Entscheidung eines Gerichts oder einer Aufsichtsbehörde nicht, können Sie die betroffenen Verträge fristlos kündigen.

(3) Ich kann die betroffenen Verträge fristlos kündigen, wenn Sie auf der Ausführung einer Weisung bestehen, die ich Ihnen als datenschutzwidrig gemeldet habe.

(4) Die übrigen Kündigungsrechte aus den Verträgen über Website, Hosting und Betreuung bleiben unberührt.

§ 19 Schlussbestimmungen

(1) Änderungen dieses Vertrags bedürfen der Textform. Anlage 1 ändert sich nach § 8, Anlage 2 nach § 9.

(2) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

(3) Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Rahmen. Ich arbeite allein und ohne Beschäftigte. Eigene Server oder Serverräume betreibe ich nicht; die Anwendungen laufen bei Cloudflare (Anlage 2). Zutritt, Stromversorgung, Brandschutz und Hardware der Rechenzentren liegen bei Cloudflare, das nach eigenen Angaben unter anderem nach ISO/IEC 27001 zertifiziert ist und SOC-2-Prüfberichte vorlegt.

2. Speicherort. Datenbank (Cloudflare D1) und Dateispeicher (Cloudflare R2) sind bei ihrer Anlage dauerhaft auf die EU-Jurisdiktion festgelegt; ihre Inhalte werden nur in der EU gespeichert. Ausgeführt werden die Anwendungen, auch die nächtlichen Abläufe, im weltweiten Netz von Cloudflare; fertige Seiten werden dort bis zu zehn Minuten zwischengespeichert, Verbindungsdaten und technische Protokolle sind nicht auf die EU beschränkt.

3. Verschlüsselung. Website, Bearbeitungsbereich und Verwaltungsoberfläche sind über HTTPS (TLS) erreichbar; unverschlüsselte Aufrufe werden auf HTTPS umgeleitet. Das Anmelde-Cookie des Bearbeitungsbereichs wird nur über HTTPS übertragen. Datenbank und Dateispeicher sind nach Angaben von Cloudflare im Ruhezustand verschlüsselt. E-Mails werden zwischen den Mailservern verschlüsselt übertragen, soweit der Gegenserver das unterstützt; Ende-zu-Ende-verschlüsselt sind sie nicht. Mein Arbeitsrechner ist vollständig verschlüsselt.

4. Pseudonymisierung und Datensparsamkeit.

a) IP-Adressen speichere ich in der Datenbank nicht im Klartext, sondern nur als Prüfwert (HMAC-SHA-256 mit einem täglich neu erzeugten Zufallswert). Den Zufallswert lösche ich nach Ablauf des Tages; in meine eigenen Sicherungen kommt er nicht. Über die automatischen Wiederherstellungspunkte von Cloudflare (Nr. 8 a) bliebe er höchstens 30 Tage wiederherstellbar; diese nutze ich nur zur Wiederherstellung nach einem Zwischenfall.

b) Anmeldecodes, Anmeldelinks und Sitzungsschlüssel des Bearbeitungsbereichs speichere ich nur als Hashwert.

c) Fotos werden beim Hochladen schon im Browser verkleinert und neu gespeichert; eingebettete Zusatzdaten wie Aufnahmeort und Kameradaten entfernt der Server zusätzlich.

d) Das Kontaktformular fragt nur Name, Telefonnummer, E-Mail-Adresse und Nachricht ab. Gegen automatisierte Einsendungen dient ein verstecktes Feld statt eines fremden Captcha-Dienstes.

e) Die Vorlagen Ihrer Website setzen keine Cookies, binden keine Analyse- oder Werbedienste ein und laden keine Inhalte von fremden Servern. Das wird beim Hochladen jeder Vorlage automatisch geprüft, und eine Content-Security-Policy begrenzt die erlaubten Quellen.

f) Besuche zählt die Plattform auf dem Server, wenn sie eine Seite ausliefert, ohne Skript, Cookie oder Kennung. IP-Adresse, die Adresse der vorherigen Seite und die Angaben des Browsers wertet sie dafür nur aus, ohne sie zu speichern; gespeichert werden nur Zählerstände je Kalendermonat. Sendet ein Browser das Signal „Global Privacy Control“ oder „Do Not Track“, zählt sie den Aufruf nicht.

5. Zugang und Zugriff.

a) Die Verwaltungsoberfläche ist nur nach Anmeldung über Cloudflare Access mit Einmal-PIN erreichbar; freigeschaltet ist nur meine E-Mail-Adresse. Die Anwendung prüft den Access-Nachweis zusätzlich selbst und verweigert jeden Zugriff, wenn diese Prüfung nicht eingerichtet ist. Maschinelle Zugriffe, mit denen ich Seiten pflege und Antworten vorbereite, sind nur auf die Schnittstellen für Seiteninhalte und für meine Aufzeichnungen über die Betriebe und nur mit einem befristeten Dienst-Schlüssel möglich; die Verwaltungsoberfläche ist damit nicht erreichbar.

b) Meine Konten beim Hosting-Anbieter, beim E-Mail-Anbieter, beim Versanddienst, beim Domain-Registrar und bei der Code-Verwaltung sind mit einem zweiten Faktor geschützt.

c) Im Bearbeitungsbereich melden sich Personen mit einem sechsstelligen Einmalcode oder einem Einmallink per E-Mail an. Beides gilt 15 Minuten, ein von mir erzeugter Anmeldelink 24 Stunden, und jeweils nur einmal. Je Code sind höchstens fünf Eingaben möglich, je Adresse höchstens fünf Codes pro Stunde und zehn pro Tag, und die Anmeldeanfragen je IP-Adresse sind begrenzt.

d) Die Sitzung läuft über ein Cookie mit den Attributen Secure, HttpOnly und SameSite=Lax. Sie gilt höchstens 30 Tage und endet nach 14 Tagen ohne Nutzung oder beim Abmelden.

e) Eine Person im Bearbeitungsbereich sieht und bearbeitet nur die Websites, für die ich ihr auf Ihre Weisung einen Zugang eingerichtet habe; auf Ihre Weisung deaktiviere ich ihn.

f) Zugangsschlüssel zu Diensten liegen als geschützte Einstellungen der Anwendungen vor, nicht im Quellcode. Zugangsdaten, die Sie mir für andere Dienste geben (etwa für Ihren bisherigen Hoster), nutze ich nur für den vereinbarten Zweck und speichere sie nicht in meinen Anwendungen.

6. Trennung. Inhalte, Zugänge und Anfragen sind je Website über eine eigene Kennung getrennt gespeichert. Fotos liegen unter einer zufälligen Kennung. Die Plattform entwickle und teste ich mit einer lokalen Datenbank und Musterdaten; an Ihrer Website arbeite ich mit einer Arbeitskopie Ihrer Inhalte auf meinem Rechner (Nr. 11 b). Ihre Inhalte liegen nicht in der Code-Verwaltung.

7. Integrität und Nachvollziehbarkeit. Jede veröffentlichte Fassung Ihrer Website wird mit Zeitpunkt und Urheber gespeichert und lässt sich wiederherstellen. Ändernde Vorgänge in der Verwaltungsoberfläche und Löschungen werden mit Zeitpunkt protokolliert. Vorlagen stammen nur von mir. Website und Bearbeitungsbereich setzen eine Content-Security-Policy und einen Einbettungsschutz; alle Anwendungen prüfen die Herkunft ändernder Anfragen und die Eingaben. Lesende Zugriffe protokolliere ich nicht einzeln.

8. Verfügbarkeit, Sicherung und Wiederherstellung (Art. 32 Abs. 1 lit. b und c DSGVO).

a) Die Datenbank lässt sich über automatische Wiederherstellungspunkte von Cloudflare auf jeden Zeitpunkt der letzten 30 Tage zurücksetzen.

b) Zusätzlich sichere ich die Datenbank täglich vollständig (Export je Tabelle mit SHA-256-Prüfsumme; ohne die Zufallswerte nach Nr. 4 a) und spiegele die gespeicherten Dateien täglich in einen getrennten Speicher. Beide Sicherungen liegen bei Cloudflare mit EU-Jurisdiktion und werden nach Frist automatisch gelöscht. Die Verwaltungsoberfläche warnt, wenn eine Sicherung fehlschlägt, der Spiegel wiederholt nicht vollständig nachkommt oder die letzte erfolgreiche Sicherung länger als 36 Stunden zurückliegt.

c) Eine weitere Kopie der Datenbanksicherung lege ich regelmäßig auf einem verschlüsselten Datenträger außerhalb von Cloudflare ab und lösche dabei Kopien, die älter als 21 Tage sind. Diese Kopien nehme ich nicht in allgemeine Sicherungen des Rechners auf.

d) Gelöschte Daten sind in allen diesen Sicherungen höchstens 30 Tage enthalten.

e) Stelle ich einen früheren Stand wieder her, wendet der nächtliche Lauf alle Fristen dieses Vertrags erneut an, und ich lösche erneut, was Sie oder ich seit dem Zeitpunkt der Sicherung auf Ihre Weisung gelöscht haben; dafür gleiche ich die Weisungen in meinem Postfach und in „Nachricht schreiben“ ab.

f) Das Verfahren zur Wiederherstellung ist dokumentiert. Ich erprobe es mindestens einmal im Jahr, indem ich eine Sicherung in eine getrennte Testdatenbank wiederherstelle.

9. Protokolle. Technische Protokolle der Anwendungen und Sicherheitsprotokolle speichert Cloudflare in meinem Konto höchstens 7 Tage. Sie können Verbindungsdaten der Aufrufe enthalten (IP-Adresse, aufgerufene Adresse, Browserangaben), aber keine Inhalte von Formularanfragen. Zugriff auf die Protokolle habe nur ich.

10. Löschung. Ein automatischer Lauf löscht jede Nacht nach den Fristen dieses Vertrags. Jeder Schritt läuft unabhängig von den anderen; scheitert einer, erscheint eine Aufgabe in der Verwaltungsoberfläche, und der nächste Lauf holt das Offene nach.

11. Arbeitsplatz und Organisation.

a) Ich verarbeite Ihre Daten nur auf meinen eigenen Geräten, nie auf Geräten eines Arbeitgebers. Die Geräte sind verschlüsselt, mit Bildschirmsperre gesichert und werden aktuell gehalten.

b) Arbeitskopien Ihrer Inhalte auf meinem Rechner liegen in einem Ordner, der weder mit einer Cloud synchronisiert noch in allgemeine Sicherungen des Rechners aufgenommen wird.

c) KI-Werkzeuge nutze ich für Ihre Inhalte nur über einen geschäftlichen Vertrag mit Vertrag zur Auftragsverarbeitung (Anlage 2). Kostenlose oder für Verbraucher bestimmte KI-Dienste erhalten keine Daten aus Ihren Inhalten.

d) Einen Verdacht auf eine Verletzung des Schutzes personenbezogener Daten prüfe und dokumentiere ich sofort und melde sie nach § 12.

e) Laufzeitumgebung, Datenbank und Speicher pflegt Cloudflare. Die von mir verwendeten Programmbibliotheken prüfe ich mindestens vierteljährlich auf bekannte Sicherheitslücken und spiele Sicherheitsupdates ein, sobald mir eine Lücke bekannt wird, die sie betrifft.

f) Diese Maßnahmen überprüfe ich mindestens einmal im Jahr (§ 8).

Anlage 2: Unterauftragsverarbeiter

Die Genehmigung nach § 9 Absatz 1 umfasst die folgenden Unterauftragsverarbeiter (Stand September 2026).

1. Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA.

Leistung: Ausführung und Auslieferung der Website und des Bearbeitungsbereichs, Datenbank (Cloudflare D1) und Dateispeicher (Cloudflare R2), Sicherungskopien und Wiederherstellungspunkte, DNS, Abwehr von Angriffen, technische Protokolle und Sicherheitsprotokolle.

Ort der Verarbeitung: Datenbank, Dateispeicher und Sicherungskopien in der EU. Ausführung (auch der nächtlichen Abläufe wie Sicherung und Löschung), Zwischenspeicher fertiger Seiten, Auslieferung und Protokolle im weltweiten Netz von Cloudflare, auch außerhalb der EU, insbesondere in den USA.

Vertrag und Garantien: Cloudflare Customer Data Processing Addendum (Version 6.4, gültig ab 3. April 2026). Für Übermittlungen in die USA gilt der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (Durchführungsbeschluss (EU) 2023/1795), unter dem Cloudflare, Inc. zertifiziert ist; entfällt er, gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3), die das Addendum enthält. Für Übermittlungen in andere Drittländer, auch durch die weiteren Unterauftragsverarbeiter von Cloudflare (etwa nach Indien, Singapur oder Australien), gelten Angemessenheitsbeschlüsse, soweit vorhanden (etwa Japan, Kanada, Vereinigtes Königreich), im Übrigen die EU-Standardvertragsklauseln aus dem Addendum.

Weitere Unterauftragsverarbeiter: Die Konzerngesellschaften von Cloudflare sowie für die genannten Leistungen Google LLC und Oracle America, Inc., laut https://www.cloudflare.com/gdpr/subprocessors/cloudflare-services/ (Stand der Liste: 1. Oktober 2025).

2. Mailjet SAS (Sinch-Gruppe), 43 rue de Dunkerque, 75010 Paris, Frankreich.

Leistung: Versand der E-Mails, mit denen ich Ihnen neue Anfragen über Ihr Kontaktformular schicke.

Ort der Verarbeitung: Speicherung in Rechenzentren in Deutschland und Belgien. Für Support und Betrieb greifen auch Gesellschaften und Dienstleister aus den USA und weiteren Drittländern zu (etwa Zendesk auch aus dem asiatisch-pazifischen Raum), insbesondere die Schwestergesellschaft Mailgun Technologies, Inc.

Vertrag und Garantien: Sinch Data Processing Agreement (Version 8 vom 29. Oktober 2025). Für Übermittlungen in die USA gilt der Angemessenheitsbeschluss zum EU-US Data Privacy Framework, soweit der Empfänger zertifiziert ist (etwa Mailgun Technologies, Inc.), im Übrigen die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914), die das Agreement enthält.

Weitere Unterauftragsverarbeiter: https://sinch.com/legal/data-protection-agreement-sub-processors/

3. Heinlein Hosting GmbH (mailbox.org), Schwedter Straße 8/9A, 10119 Berlin.

Leistung: Mein E-Mail-Postfach, in dem ich Material, Weisungen und Nachrichten empfange und aufbewahre, die Sie mir per E-Mail schicken.

Ort der Verarbeitung: Rechenzentren in Deutschland.

Vertrag und Garantien: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.

Weitere Unterauftragsverarbeiter: die im Vertrag zur Auftragsverarbeitung von mailbox.org genannten; die Liste sende ich Ihnen auf Anfrage.

4. Anthropic Ireland, Limited, 6th Floor, South Bank House, Barrow Street, Dublin 4, D04 TR29, Irland.

Leistung: KI-Werkzeug (Claude Code), mit dem ich Gestaltung, Texte und Pflege Ihrer Website bearbeite; es verarbeitet die Inhalte, an denen ich gerade arbeite, einschließlich der darin genannten Personen.

Ort der Verarbeitung: Verarbeitung auch außerhalb der EU, insbesondere in den USA, durch Konzerngesellschaften und Dienstleister von Anthropic.

Vertrag und Garantien: Anthropic Data Processing Addendum als Teil der Commercial Terms von Anthropic. Für Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3), die das Addendum enthält. Nach den Commercial Terms verwendet Anthropic die Inhalte nicht zum Training von KI-Modellen.

Weitere Unterauftragsverarbeiter: Die Konzerngesellschaften von Anthropic und die weiteren Unterauftragsverarbeiter laut https://www.anthropic.com/subprocessors.