RECHTLICHES

Anlage 1: Vereinbarung zur Auftrags­verarbeitung

nach Art. 28 Abs. 3 Datenschutz-Grundverordnung (DSGVO), zu den Allgemeinen Geschäftsbedingungen für Hosting & Betreuung und zu Teil B eines Vertrags über die Erstellung und Betreuung einer Website.

Parteien

Diese Vereinbarung gilt zwischen dem Kunden, der Hosting & Betreuung bucht, als Verantwortlichem („Sie“) und

als Auftragsverarbeiter („ich“). Name und Anschrift des Kunden ergeben sich aus der Buchung im Kundenbereich oder aus dem unterschriebenen Vertrag.

§ 1 Gegenstand und Dauer

(1) Ich verarbeite für Sie personenbezogene Daten, wenn ich Ihre Website nach den Allgemeinen Geschäftsbedingungen für Hosting & Betreuung oder nach Teil B Ihres Vertrags betreibe, betreue, ändere, sichere und, falls nötig, von einem anderen Anbieter umziehe.

(2) Diese Vereinbarung gilt, solange ich Daten für Sie verarbeite. Sie endet erst, wenn alle Daten nach § 11 zurückgegeben oder gelöscht sind.

(3) Nicht Gegenstand dieser Vereinbarung sind E-Mail-Postfächer bei Ihrem eigenen Anbieter und Daten, die ich als eigener Verantwortlicher verarbeite, etwa Ihr Konto im Kundenbereich, der Vertrag und die Abrechnung. Dafür gilt meine Datenschutzerklärung.

§ 2 Art und Zweck, Daten, Betroffene

(1) Art der Verarbeitung: Speichern, Bereitstellen, Weiterleiten, Ändern, Sichern, Wiederherstellen und Löschen. Zweck ist, die vereinbarten Leistungen zu erbringen. Andere Zwecke verfolge ich mit den Daten nicht.

(2) Im Einzelnen:

Bereitstellung der Website

Daten: IP-Adresse und Angaben, die der Browser mitsendet, solange sie für die Auslieferung nötig sind; Betriebs- und Fehlermeldungen des Webservers, die in Einzelfällen eine IP-Adresse enthalten können.
Betroffene: Besucher der Website.

Kontaktformular, wenn vorhanden

Daten: die Angaben aus dem Formular, etwa Name, Kontaktdaten und Nachricht, und der Zeitpunkt; zum Schutz vor Missbrauch kurzzeitig die IP-Adresse.
Betroffene: Personen, die das Formular nutzen.

Inhalte der Website und Änderungen

Daten: Namen, Fotos, Kontaktdaten und sonstige Angaben, die auf der Website stehen oder stehen sollen.
Betroffene: Sie, Ihre Beschäftigten und andere Personen, die auf der Website genannt oder abgebildet sind.

Besucherstatistik, nur mit Einwilligung der Besucher

Daten: aufgerufene Seiten, Herkunftsseite, Kampagnenangaben im Link, Browser, Betriebssystem, Gerätetyp, Bildschirmgröße, Sprache, ungefährer Ort und eine pseudonyme Besuchskennung.
Betroffene: Besucher, die eingewilligt haben.

Sicherungen

Daten: Kopien der oben genannten Daten, soweit sie gespeichert sind.
Betroffene: wie oben.

Umzug

Daten: Dateien und Daten Ihrer bisherigen Website.
Betroffene: wie oben.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, sind nicht vorgesehen. Soll Ihre Website solche Daten erfassen, zum Beispiel über ein Formular einer Arztpraxis, sagen Sie mir das vorher; wir stimmen die Maßnahmen dann ab.

§ 3 Weisungen und Ansprechpartner

(1) Ich verarbeite die Daten nur nach Ihrer dokumentierten Weisung. Die Weisungen ergeben sich aus dem Vertrag, aus den Einstellungen, die Sie im Kundenbereich vornehmen, etwa dem Einschalten der Besucherstatistik, und aus Mitteilungen in Textform, zum Beispiel per E-Mail.

(2) Weisungen erteilen Sie oder die Personen, die über Ihr Konto im Kundenbereich handeln. Mein Ansprechpartner für Weisungen und Fragen zum Datenschutz ist Maximilian Becker, erreichbar unter den Angaben oben.

(3) Bin ich gesetzlich zu einer anderen Verarbeitung verpflichtet, sage ich Ihnen das vorher, sofern das Gesetz es nicht verbietet.

(4) Halte ich eine Weisung für rechtswidrig, sage ich Ihnen das sofort. Ich darf die Ausführung aussetzen, bis Sie die Weisung bestätigen oder ändern.

§ 4 Vertraulichkeit

Ich behandle die Daten vertraulich. Setze ich Helfer ein, die Zugang zu den Daten bekommen können, verpflichte ich sie vorher in Textform zur Vertraulichkeit und auf den Datenschutz.

§ 5 Sicherheit

Ich treffe die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage A stehen. Ich darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen teile ich Ihnen mit.

§ 6 Unterauftragsverarbeiter

(1) Sie erlauben allgemein, dass ich die Unterauftragsverarbeiter aus Anlage B einsetze.

(2) Will ich einen weiteren Unterauftragsverarbeiter einsetzen oder einen austauschen, informiere ich Sie mindestens 4 Wochen vorher in Textform. Sie können innerhalb dieser Frist begründet Einspruch erheben. Dann suchen wir gemeinsam eine Lösung; bis dahin setze ich den neuen Unterauftragsverarbeiter für Ihre Daten nicht ein, soweit das technisch möglich ist. Finden wir keine Lösung, können Sie den Vertrag zum Zeitpunkt der Änderung ohne Frist kündigen. Haben Sie für die Zeit danach im Voraus bezahlt, erstatte ich die vollen Monate anteilig.

(3) Mit jedem Unterauftragsverarbeiter schließe ich einen Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung. Ich hafte Ihnen gegenüber dafür, dass er seine Pflichten erfüllt.

(4) Keine Unterauftragsverarbeitung sind reine Nebenleistungen ohne Zugriff auf personenbezogene Daten, etwa Telefon, Post oder die Ausstellung von Zertifikaten für die verschlüsselte Verbindung.

(5) Die jeweils aktuelle Liste steht in Anlage B unter maxbeckerwebdesign.de/avv.html.

§ 7 Übermittlung in Drittländer

(1) Ich verarbeite die Daten in der Europäischen Union. Eine Ausnahme gilt für den Quellcode und die Inhalte Ihrer Website: Ich verwalte sie in einem privaten Repository bei der GitHub, Inc. in den USA, um Änderungen nachzuvollziehen und meine Arbeitsrechner abzugleichen. Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-U.S. Data Privacy Framework vom 10. Juli 2023, unter dem GitHub zertifiziert ist; zusätzlich gelten die Standardvertragsklauseln der EU-Kommission. Nachrichten aus dem Kontaktformular, Daten der Besucherstatistik und Server-Meldungen gelangen nicht dorthin.

(2) Weitere Übermittlungen in Länder außerhalb der Europäischen Union finden nur nach Ihrer vorherigen Weisung statt und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind.

§ 8 Anfragen betroffener Personen

Wendet sich eine betroffene Person direkt an mich, leite ich die Anfrage unverzüglich an Sie weiter und beantworte sie nicht selbst. Ich helfe Ihnen im Rahmen des Möglichen, Anfragen auf Auskunft, Berichtigung, Löschung und Ähnliches zu beantworten, zum Beispiel durch einen Export oder das Löschen von Daten.

§ 9 Datenpannen und weitere Unterstützung

(1) Bemerke ich eine Verletzung des Schutzes personenbezogener Daten, melde ich sie Ihnen unverzüglich, möglichst innerhalb von 24 Stunden. Soweit bekannt, nenne ich, was passiert ist, welche Daten und Personen betroffen sind, welche Folgen drohen und was ich dagegen tue.

(2) Ich unterstütze Sie bei Ihrer Meldung an die Aufsichtsbehörde (Frist 72 Stunden, Art. 33 DSGVO), bei der Benachrichtigung Betroffener, bei einer Datenschutz-Folgenabschätzung und bei Rückfragen der Behörde.

§ 10 Nachweise und Kontrollen

(1) Auf Anfrage gebe ich Ihnen alle Informationen, die Sie brauchen, um die Einhaltung dieser Vereinbarung nachzuweisen, insbesondere die aktuelle Fassung der Anlagen A und B und Nachweise meiner Unterauftragsverarbeiter, etwa Zertifikate.

(2) Sie oder ein von Ihnen beauftragter, zur Verschwiegenheit verpflichteter Prüfer dürfen die Einhaltung auch vor Ort prüfen. Die Prüfung ist mindestens 14 Tage vorher anzukündigen, findet zu üblichen Geschäftszeiten statt und darf den Betrieb nicht unnötig stören. Für Rechenzentren meiner Unterauftragsverarbeiter genügen deren Prüfberichte und Zertifikate.

§ 11 Ende der Verarbeitung

(1) Endet der Vertrag, gebe ich Ihnen die Daten nach Ihrer Wahl zurück oder lösche sie. Einen Export Ihrer Website mit allen Dateien und Inhalten können Sie bis 30 Tage nach Vertragsende anfordern.

(2) 30 Tage nach Vertragsende lösche ich alle Daten, die ich für Sie verarbeite, sofern nicht ein Gesetz die Aufbewahrung verlangt. Sicherungskopien werden im regelmäßigen Ablauf überschrieben, spätestens nach weiteren 30 Tagen. Auf Wunsch bestätige ich Ihnen die Löschung in Textform.

§ 12 Berufsgeheimnisträger

(1) Sind Sie Berufsgeheimnisträger im Sinne von § 203 Strafgesetzbuch, etwa eine Arztpraxis, eine Rechtsanwalts- oder Steuerkanzlei oder eine psychotherapeutische Praxis, sagen Sie mir das bei der Buchung oder vorher.

(2) Ich verpflichte mich, über fremde Geheimnisse, die mir bei meiner Arbeit für Sie bekannt werden, Stillschweigen zu bewahren. Von solchen Geheimnissen verschaffe ich mir nur Kenntnis, soweit das für meine Arbeit nötig ist.

(3) Mir ist bekannt, dass ich mich als mitwirkende Person nach § 203 Abs. 4 Strafgesetzbuch strafbar mache, wenn ich ein solches Geheimnis unbefugt offenbare. Setze ich Helfer oder Unterauftragsverarbeiter ein, die Zugang zu solchen Geheimnissen bekommen können, verpflichte ich sie vorher in Textform zur Verschwiegenheit und weise sie auf die Strafbarkeit hin.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Zwischen uns gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen für Hosting & Betreuung oder Ihres Vertrags, soweit das Gesetz nicht zwingend etwas anderes bestimmt.

§ 14 Vergütung

Die Leistungen nach dieser Vereinbarung sind mit dem Preis für Hosting & Betreuung abgegolten. Unterstützung, die wegen eines Verschuldens von Ihnen deutlich über das übliche Maß hinausgeht, kann ich nach vorheriger Ankündigung nach Aufwand berechnen.

§ 15 Abschluss und Schlussbestimmungen

(1) Wir schließen diese Vereinbarung elektronisch (Art. 28 Abs. 9 DSGVO) mit der Buchung von Hosting & Betreuung im Kundenbereich. Mit Ihrem Klick auf „Zahlungspflichtig buchen“ ist sie geschlossen; meine Zustimmung erkläre ich schon mit dieser Vereinbarung. Ich speichere die Fassung, den Zeitpunkt und das Konto, über das Sie gebucht haben. Sie bekommen die Vereinbarung als PDF mit der Bestätigung per E-Mail und finden sie im Kundenbereich.

(2) Haben wir Hosting und Betreuung in einem unterschriebenen Vertrag vereinbart, gilt diese Vereinbarung als dessen Anlage 1, sobald Sie ihr in Textform zustimmen, zum Beispiel per E-Mail.

(3) Bei Widersprüchen geht diese Vereinbarung in Fragen des Datenschutzes dem übrigen Vertrag vor.

(4) Änderungen dieser Vereinbarung brauchen die Textform. Eine neue Fassung gilt erst mit Ihrer Zustimmung; Anpassungen der Anlagen A und B nach § 5 und § 6 bleiben davon unberührt.

(5) Ist eine Regelung unwirksam, bleibt der Rest wirksam. Es gilt deutsches Recht.

Anlage A: Technische und organisatorische Maßnahmen

1. Vertraulichkeit

• Zutritt: Die Server stehen im Rechenzentrum der netcup GmbH in Nürnberg und sind durch dessen Zutrittskontrollen geschützt. Eigene Server in Büro- oder Wohnräumen gibt es nicht.
• Zugang zum Server: Anmeldung über SSH nur mit Schlüssel, die Anmeldung mit Passwort ist abgeschaltet. Eine Firewall lässt nur die nötigen Zugänge zu (Web und SSH) und begrenzt neue SSH-Verbindungen. Wiederholte Fehlversuche führen automatisch zu einer Sperre.
• Zugriff im Kundenbereich: Jedes Konto sieht nur das eigene Projekt; das prüft der Server bei jedem Aufruf. Passwörter liegen nur als nicht umkehrbarer Hashwert vor. Anmeldeversuche sind begrenzt. Das Anmelde-Cookie ist auf den Kundenbereich beschränkt und nur über verschlüsselte Verbindungen nutzbar. Den Verwaltungszugang hat nur der Inhaber.
• Trennung: Webserver, Kundenbereich, Formular-Dienst und Statistik laufen in getrennten Containern. Jede Kundenwebsite liegt in einem eigenen Verzeichnis und hat eine eigene Kennung in der Statistik.
• Datensparsamkeit: Zugriffsprotokolle über einzelne Seitenaufrufe werden nicht geführt. Die Statistik setzt keine Cookies, speichert keine IP-Adressen und bildet die Besuchskennung mit einem jeden Monat wechselnden geheimen Wert. Nachrichten aus Kontaktformularen werden nicht auf dem Server gespeichert.

2. Integrität

• Übertragung: Alle Seiten werden nur verschlüsselt ausgeliefert (HTTPS, automatisch erneuerte Zertifikate). Sicherungen werden verschlüsselt übertragen und gespeichert.
• Änderungen: Der Quellcode der Websites ist versioniert. Der Kundenbereich protokolliert, wer wann was geändert hat, mit dem Stand vorher und nachher. Weisungen und Änderungswünsche sind im Kundenbereich oder per E-Mail dokumentiert.
• Programmcode: Kundenbereich und Formular-Dienst laufen mit schreibgeschütztem Programmcode.

3. Verfügbarkeit und Belastbarkeit

• Sicherung: mindestens einmal pro Woche und nach jeder Änderung an den Dateien einer Website, verschlüsselt und außerhalb des Servers, Aufbewahrung 30 Tage.
• Updates: Sicherheitsupdates für das Betriebssystem und die Container-Umgebung werden automatisch eingespielt; die eingesetzte Software wird regelmäßig aktualisiert.
• Überwachung: Erreichbarkeit, Zertifikate und Sicherungen werden regelmäßig geprüft.
• Systemprotokolle des Servers werden nach höchstens 14 Tagen gelöscht.

4. Wiederherstellbarkeit

• Websites lassen sich aus der Sicherung und aus der Versionsverwaltung wiederherstellen. Die Wiederherstellung teste ich vor dem ersten Einsatz und danach mindestens einmal im Jahr.

5. Regelmäßige Überprüfung

• Die Maßnahmen werden mindestens einmal im Jahr und nach wesentlichen Änderungen überprüft, ebenso die Verträge und Listen der Unterauftragsverarbeiter.
• Für Datenpannen gibt es einen festen Ablauf: erkennen, eindämmen, dokumentieren und Sie unverzüglich informieren.

6. Auftragskontrolle

• Keine Unterauftragsverarbeiter ohne Vertrag nach Art. 28 DSGVO.
• Verarbeitung nur für die Zwecke aus § 2. Ihre Daten, auch Zahlen aus der Statistik, nutze ich nicht für eigene Zwecke, etwa als Referenz, außer Sie stimmen ausdrücklich zu.
• Zugänge zu Ihrem bisherigen Anbieter und zu Ihrer Domain nutze ich nur für den Umzug und die Verbindung der Domain.

Anlage B: Unterauftragsverarbeiter

netcup GmbH

Daimlerstraße 25, 90441 Nürnberg
Leistung: Server für Websites, Formular-Dienst, Besucherstatistik und Kundenbereich
Ort: Rechenzentrum Nürnberg, Deutschland
Grundlage: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; keine Übermittlung in Drittländer

Hetzner Online GmbH

Industriestraße 25, 91710 Gunzenhausen
Leistung: externe, verschlüsselte Sicherung der Websites und der Angaben aus dem Kundenbereich (Storage Box)
Ort: Deutschland
Grundlage: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; keine Übermittlung in Drittländer

IONOS SE

Elgendorfer Straße 57, 56410 Montabaur
Leistung: E-Mail-Postfach und E-Mail-Versand von Max Becker Webdesign, auch für E-Mails aus Kontaktformularen und für Inhalte, die Sie mir für Änderungen schicken
Ort: Europäische Union
Grundlage: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; keine Übermittlung in Drittländer

Brevo GmbH

Berlin
Leistung: Versand von E-Mails aus Kontaktformularen
Ort: Europäische Union
Grundlage: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO

GitHub, Inc.

88 Colin P. Kelly Jr. Street, San Francisco, CA 94107, USA
Leistung: Versionsverwaltung und Abgleich von Quellcode und Inhalten der Website zwischen meinen Arbeitsrechnern, in einem privaten Repository
Ort: USA
Grundlage: Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO; Übermittlung auf Grundlage des Angemessenheitsbeschlusses zum EU-U.S. Data Privacy Framework und der Standardvertragsklauseln der EU-Kommission (§ 7)

Die Besucherstatistik (Umami) betreibe ich selbst auf meinem Server bei netcup; dafür gibt es keinen weiteren Dienstleister. Meinen Zahlungsanbieter nutze ich nur für meine eigene Abrechnung, nicht für Daten Ihrer Website.

Stand: 24. Oktober 2026 (Fassung 2026-10-24)
Diese Fassung als PDF: maxbeckerwebdesign.de/rechtliches/avv-2026-10-24.pdf