gemäß Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO)

Zwischen

[Name und Anschrift des Auftraggebers einfügen]
– nachfolgend „Auftraggeber“ oder „Verantwortlicher“ genannt –

und

Bernhard Wecks, Goldstraße 7, 49832 Freren
– nachfolgend „Auftragnehmer“ oder „Auftragsverarbeiter“ genannt –

§ 1 Gegenstand und Dauer der Vereinbarung

(1) Dieser Vertrag regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers.

(2) Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen sind in Anlage 1 abschließend definiert.

(3) Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des zwischen den Parteien geschlossenen Hauptvertrages. Er endet automatisch mit der Beendigung des Hauptvertrages.

§ 2 Weisungsbefugnis des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf Grundlage dieses Vertrages und nach dokumentierter Weisung des Auftraggebers, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO).

(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen anwendbare Datenschutzvorschriften verstößt. Der Auftragnehmer ist berechtigt, die Ausführung der entsprechenden Weisung solange auszusetzen, bis sie durch den Auftraggeber bestätigt oder geändert wird.

§ 3 Pflichten des Auftragnehmers

(1) Vertraulichkeit: Der Auftragnehmer gewährleistet, dass sich alle mit der Datenverarbeitung betrauten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Sicherheit der Verarbeitung: Der Auftragnehmer ergreift alle erforderlichen technischen und organisatorischen Maßnahmen (TOMs) gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die vereinbarten Maßnahmen sind in Anlage 2 dokumentiert.

(3) Unterstützung bei Betroffenenrechten: Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (z. B. Auskunft, Berichtigung, Löschung).

(4) Meldung von Verletzungen: Der Auftragnehmer informiert den Auftraggeber unverzüglich (spätestens binnen 48 Stunden nach Kenntniserlangung), sobald ihm Verletzungen des Schutzes personenbezogener Daten des Auftraggebers bekannt werden.

(5) Datenschutz-Folgenabschätzung: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der ihm zur Verfügung stehenden Informationen bei der Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO).

§ 4 Unterauftragsverhältnisse (Subunternehmer)

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Subunternehmer) hinzuzuziehen. Die zum Zeitpunkt des Vertragsschlusses genehmigten Subunternehmer sind in Anlage 3 aufgeführt.

(2) Der Auftragnehmer informiert den Auftraggeber rechtzeitig (mindestens 14 Tage vorab) in Textform über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Subunternehmern.

(3) Der Auftraggeber kann der Änderung aus wichtigem, datenschutzrechtlichem Grund binnen 14 Tagen widersprechen. Widerspricht der Auftraggeber und kann der Auftragnehmer die Leistung nicht ohne den neuen Subunternehmer erbringen, steht dem Auftraggeber ein Sonderkündigungsrecht für den Hauptvertrag zu.

(4) Der Auftragnehmer stellt sicher, dass er dem Subunternehmer vertraglich dieselben Datenschutzpflichten auferlegt, die in diesem Vertrag festgelegt sind.

(5) Freelancer: Werden externe Freelancer für Teilprojekte hinzugezogen, gelten diese als Subunternehmer. Der Auftragnehmer wird diese dem Auftraggeber vor Projektbeginn namentlich zur Freigabe benennen, sofern sie Zugriff auf personenbezogene Daten erhalten.

§ 5 Kontrollrechte des Auftraggebers

(1) Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Vorschriften und dieses Vertrages zu kontrollieren.

(2) Vor-Ort-Kontrollen sind mit einer angemessenen Frist (in der Regel 14 Tage) anzukündigen. Bei akuten Vorfällen (z. B. Datenlecks) verkürzt sich die Frist auf 48 Stunden.

(3) Der Auftragnehmer unterstützt Audits und Inspektionen. Die Parteien tragen ihre eigenen Kosten der Kontrolle. Stellt die Kontrolle erhebliche Mängel auf Seiten des Auftragnehmers fest, trägt dieser die angemessenen Kosten der Kontrolle.

§ 6 Löschung und Rückgabe von Daten

Nach Abschluss der Erbringung der Verarbeitungsleistungen hat der Auftraggeber das Wahlrecht: Der Auftragnehmer löscht entweder alle personenbezogenen Daten vollständig und datenschutzgerecht oder gibt sie an den Auftraggeber zurück, sofern keine gesetzlichen Aufbewahrungspflichten des Auftragnehmers entgegenstehen.

---

Anlage 1: Gegenstand, Art und Zweck der Datenverarbeitung

• Zweck und Art der Verarbeitung: Hosting, Wartung und Reichweitenanalyse von Webpräsenzen; Management von E-Mail-Infrastrukturen; Automatisierung von Daten-Workflows (via n8n) sowie technischer Betrieb von Mitgliederbereichen und Shop-Systemen.
• Kategorien betroffener Personen: Website-Besucher, Kunden & Interessenten des Auftraggebers, Newsletter-Abonnenten, Mitarbeiter des Auftraggebers, Lieferanten, ggf. Vereinsmitglieder.
• Arten der personenbezogenen Daten: Bestandsdaten (Namen, Adressen), Kontaktdaten (E-Mail, Telefon), Inhaltsdaten (Texteingaben in Formularen), Nutzungsdaten (IP-Adressen, Logfiles), Authentifizierungsdaten, Vertrags- und Zahlungsdaten (soweit über das System abgewickelt).

---

Anlage 2: Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer garantiert die Umsetzung folgender Maßnahmen nach Art. 32 DSGVO:

1. Zutrittskontrolle (Räume/Gebäude): Abgeschlossene Geschäftsräume (Sicherheitsschloss) am Standort Goldstraße 7, Freren. Besucher haben keinen unbeaufsichtigten Zugang.
2. Zugangskontrolle (Systeme): Absicherung aller Endgeräte durch biometrische Authentifizierung (Face ID/Touch ID) und starke Passwörter. Nutzung eines verschlüsselten Passwort-Management-Systems mit Multi-Faktor-Authentifizierung (MFA).
3. Zugriffskontrolle (Daten/Rechte): Berechtigungskonzepte (Need-to-Know-Prinzip). Externe Freelancer erhalten ausschließlich restriktive, auf das jeweilige Projekt limitierte und protokollierte Zugriffsrechte.
4. Trennungskontrolle: Logische und systemseitige Trennung von Mandantendaten (Datensätze unterschiedlicher Auftraggeber werden getrennt gespeichert und verarbeitet).
5. Integrität & Verschlüsselung: Erzwungene HTTPS/SSL-Verbindungen für sämtliche Web-Oberflächen, TLS-Verschlüsselung für E-Mails sowie Verschlüsselung von Daten-Backups (Data at Rest).
6. Verfügbarkeit & Belastbarkeit: Regelmäßige, verschlüsselte Backups der Systeme; Nutzung spezialisierter Cloud-Infrastrukturen mit systemseitigen Redundanzen; regelmäßige Überprüfung der Wiederherstellbarkeit.

---

Anlage 3: Genehmigte Subunternehmer (Unterauftragsverarbeiter)

Mit Unterzeichnung dieses Vertrages werden folgende Subunternehmer genehmigt. Bei Drittlandtransfers garantiert der Auftragnehmer das Vorliegen geeigneter Garantien (Art. 46 DSGVO) oder eines Angemessenheitsbeschlusses (Art. 45 DSGVO).

• Mittwald CM Service GmbH & Co. KG
  Sitz / Verarbeitungsstandort: Deutschland (EU)
  Leistung: Webhosting, E-Mail-Hosting, Backups
  Rechtsgrundlage: n. a. (reine EU-Verarbeitung)
• Hostinger International Ltd.
  Sitz / Verarbeitungsstandort: Zypern / Litauen (EU)
  Leistung: Server-Hosting für Automatisierung (n8n)
  Rechtsgrundlage: n. a. (reine EU-Verarbeitung)
• Framer B.V.
  Sitz / Verarbeitungsstandort: Niederlande (EU) / AWS Server (EU)
  Leistung: Web-Hosting Plattform
  Rechtsgrundlage: EU-U.S. Data Privacy Framework (DPF) / Standardvertragsklauseln für US-Konzernstruktur
• Brevo / Sendinblue SAS
  Sitz / Verarbeitungsstandort: Frankreich (EU) / Deutschland (mit internationalen Sub-Dienstleistern)
  Leistung: Marketing-Automatisierung
  Rechtsgrundlage: EU-Standardvertragsklauseln (Indien) & EU-U.S. Data Privacy Framework (USA)
• Google Ireland Ltd.
  Sitz / Verarbeitungsstandort: Irland (EU)
  Leistung: E-Mail-Kommunikation, Cloud-Dienste
  Rechtsgrundlage: EU-U.S. Data Privacy Framework (DPF) der Konzernmutter (USA)
• Freelancer / Freiberufler
  Sitz / Verarbeitungsstandort: EU / Deutschland
  Leistung: Fachspezifische Unterstützung (z. B. Webdesign, Code)
  Rechtsgrundlage: Werden dem Auftraggeber projektbezogen vor Datenzugriff namentlich gemeldet.