Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über Leistungen von „Hammer Website“ (nachfolgend „Hauptvertrag“). Der Kunde ist für die Daten, die über seine Website verarbeitet werden, Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Detinker, Inhaber Andreas Bernhardt, Suttkamp 13, 59229 Ahlen (nachfolgend „Auftragnehmer“) ist insoweit Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht in Fragen des Datenschutzes dieser Vertrag vor.

§ 1 Gegenstand, Art, Zweck und Dauer

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Kunden, soweit sie für die Leistungen aus dem Hauptvertrag nötig ist. Dazu gehören je nach gebuchtem Umfang:

• Hosting und Betrieb der Website des Kunden, einschließlich technisch notwendiger Verbindungsdaten,
• Annahme und Weiterleitung von Anfragen über Kontaktformulare an den Kunden,
• Einrichtung der Online-Terminbuchung (die Buchungsseite läuft im Google-Konto des Kunden; den Vertrag mit Google schließt der Kunde selbst),
• Betrieb von Chatbots auf der Website oder in Messengern,
• Wartung, Datensicherung und Fehlerbehebung, bei denen der Auftragnehmer Zugriff auf diese Daten haben kann.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Übermitteln an den Kunden, automatisierte Beantwortung (Chatbot), Sichern, Wiederherstellen, Löschen.

(3) Die Verarbeitung dauert so lange wie der Hauptvertrag. Pflichten nach § 10 gelten darüber hinaus.

§ 2 Betroffene Personen und Datenarten

(1) Betroffene Personen: Besucher der Website des Kunden, Personen, die über Formulare, Terminbuchung oder Chatbot Kontakt aufnehmen, sowie Mitarbeiter des Kunden, soweit sie auf der Website genannt werden.

(2) Datenarten: Verbindungsdaten (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserangaben), Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Firma), Inhalte von Anfragen und Chat-Nachrichten, Termindaten (Datum, Uhrzeit, gewünschte Leistung).

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO, z. B. Gesundheitsdaten) sollen über die Website nicht verarbeitet werden. Benötigt der Kunde solche Daten (z. B. als Praxis), stimmen die Parteien vorher gesonderte Maßnahmen ab. Der Kunde gestaltet Formulare und Chatbot-Themen so, dass solche Daten nicht abgefragt werden.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur nach den dokumentierten Weisungen des Kunden, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet; dann teilt er dies dem Kunden vorher mit, soweit das Gesetz dies nicht verbietet. Die Beauftragung nach dem Hauptvertrag und Aufträge in Textform gelten als Weisungen.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Kunden darauf hin. Er darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Pflicht gilt über das Vertragsende hinaus.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 6 Weitere Auftragsverarbeiter

(1) Der Kunde genehmigt allgemein den Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unternehmen stehen in Anlage 2.

(2) Der Auftragnehmer informiert den Kunden mindestens vier Wochen vorher in Textform über geplante Änderungen. Der Kunde kann aus datenschutzrechtlichen Gründen innerhalb von vier Wochen widersprechen. Lässt sich der Grund nicht ausräumen, kann jede Partei den betroffenen Teil der Leistungen außerordentlich kündigen.

(3) Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten (Art. 28 Abs. 4 DSGVO). Kommt ein weiterer Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer dem Kunden gegenüber für dessen Pflichten.

§ 7 Verarbeitung außerhalb der EU

Website, Formulare und Datensicherungen verarbeitet der Auftragnehmer in Deutschland. Eine Übermittlung in Länder außerhalb der EU oder des EWR erfolgt nur bei Zusatzleistungen, die dies technisch erfordern (Chatbots, Messenger-Dienste von Meta), und nur nach Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework) oder von Standardvertragsklauseln. Der Auftragnehmer weist den Kunden vor der Buchung solcher Leistungen darauf hin. Bei Instagram und Facebook verarbeitet Meta Nachrichten als eigener Verantwortlicher auf Grundlage der Nutzungsbedingungen, die der Kunde mit Meta schließt. Die Online-Terminbuchung läuft im Google-Konto des Kunden auf Grundlage seines eigenen Vertrags mit Google.

§ 8 Unterstützung bei Rechten betroffener Personen

Der Auftragnehmer unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen zu beantworten (Kapitel III DSGVO). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, soweit der Kunde nichts anderes anweist.

§ 9 Sicherheit und Meldepflichten

Der Auftragnehmer unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO. Er meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, und stellt die Informationen bereit, die der Kunde für seine Meldung an die Aufsichtsbehörde und die Benachrichtigung Betroffener braucht.

§ 10 Löschung und Rückgabe

Nach Ende des Hauptvertrags löscht der Auftragnehmer die personenbezogenen Daten innerhalb von 30 Tagen oder gibt sie nach Wahl des Kunden vorher zurück. Datensicherungen werden im regulären Rhythmus überschrieben, spätestens nach 30 Tagen. Gesetzliche Aufbewahrungspflichten bleiben unberührt. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 11 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Kontrollen vor Ort sind nach Anmeldung mit mindestens 14 Tagen Vorlauf zu üblichen Geschäftszeiten möglich, nicht öfter als einmal im Jahr, außer bei konkretem Anlass. Der Nachweis kann auch durch Selbstauskünfte und Zertifikate der eingesetzten Rechenzentren erfolgen. Den Aufwand für Kontrollen, die über eine Selbstauskunft hinausgehen, kann der Auftragnehmer angemessen berechnen, sofern die Kontrolle keinen Verstoß ergibt.

§ 12 Verantwortung und Haftung

Für die Zulässigkeit der Verarbeitung und die Rechte betroffener Personen ist der Kunde verantwortlich, insbesondere für Datenschutzerklärung und Informationspflichten auf seiner Website. Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten ergänzend die Haftungsregeln des Hauptvertrags.

§ 13 Vertragsschluss

Dieser Vertrag wird nach Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen und mit dem Hauptvertrag wirksam. Der Auftragnehmer dokumentiert die jeweils gültige Fassung.

---

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Standort: Server in einem Rechenzentrum der netcup GmbH in Nürnberg (Deutschland). Das Rechenzentrum verfügt nach Angaben von netcup über Zutrittskontrolle, Videoüberwachung und Brandschutz.
• Verschlüsselung: Alle Verbindungen zur Website und zu Formularen laufen verschlüsselt über HTTPS (TLS).
• Zugangskontrolle: Zugriff auf den Server nur per SSH-Schlüssel, keine Passwort-Anmeldung. Zugang hat nur der Inhaber.
• Datensparsamkeit: Kontaktformulare speichern Anfragen nicht auf dem Server, sondern leiten sie direkt per E-Mail an den Kunden weiter. Chatbot-Verläufe werden weder auf dem Server noch im Browser der Besucher gespeichert; sie werden nur für die Dauer der Antwort an den KI-Dienst übermittelt. Die Websites setzen standardmäßig keine Cookies und kein Tracking ein.
• Protokolle: Der Webserver speichert keine Zugriffsprotokolle. Technische Fehlermeldungen werden nach höchstens 7 Tagen gelöscht.
• Schutz vor Missbrauch: Begrenzung der Anfragen pro Absender, Spam-Schutz ohne Dienste Dritter, Firewall.
• Verfügbarkeit: regelmäßige Datensicherungen und Sicherheitsupdates.
• Trennung: Die Websites verschiedener Kunden laufen in getrennten Verzeichnissen und Konfigurationen.
• Konten: Zwei-Faktor-Anmeldung für alle Verwaltungszugänge (Server-Anbieter, E-Mail, Zahlungsdienst, Google, Meta).
• Überprüfung: Die Maßnahmen werden regelmäßig, mindestens einmal jährlich, überprüft.

Anlage 2: Weitere Auftragsverarbeiter

Unternehmen	Zweck	Ort der Verarbeitung	Nur bei Buchung von
netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe	Server, Hosting	Deutschland	alle Pakete
STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin	Versand der Formular-E-Mails	Deutschland	Kontaktformular
Meta Platforms Ireland Ltd., Merrion Road, Dublin 4, D04 X2K5, Irland	WhatsApp Business Platform (Cloud API)	Irland / USA (Data Privacy Framework, Standardvertragsklauseln)	Chatbot für WhatsApp
Google Ireland Limited / Google LLC (Gemini API, kostenpflichtige Nutzung)	Erzeugung von Chatbot-Antworten. Google nutzt die Inhalte nicht zum Training und speichert sie nur für einen begrenzten Zeitraum zur Missbrauchserkennung.	EU / USA (Data Privacy Framework, Standardvertragsklauseln)	Chatbot