AVV.

Auftragsverarbeiter
Nebauer Marketing UG (haftungsbeschränkt)
Schlesische Straße 107–110, 94315 Straubing
vertreten durch den Geschäftsführer Hans Georg Nebauer
Amtsgericht Straubing, HRB 13888
– nachfolgend „Auftragsverarbeiter" –

Verantwortlicher ist der im Auftrag „Betrieb & Betreuung (Care)" bezeichnete Auftraggeber – nachfolgend „Verantwortlicher" –.

Dieser Vertrag wird durch Bezugnahme im Auftrag „Betrieb & Betreuung (Care)" Bestandteil des Vertragsverhältnisses. Vertragsparteien, Vertragsbeginn und die weisungsberechtigten Personen ergeben sich aus jenem Auftrag; er trägt auch die Unterschriften beider Parteien.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen nach dem zwischen den Parteien geschlossenen Auftrag „Betrieb & Betreuung (Care)" einschließlich der einbezogenen Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters in der bei Abschluss gültigen Fassung (zusammen „Hauptvertrag"; die Geschäftsbedingungen nachfolgend „AGB"). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien.

(2) Gegenstand, Art und Zweck der Verarbeitung, die Datenarten und die Kategorien betroffener Personen ergeben sich aus Anlage A.

(3) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Die Pflichten aus diesem Vertrag gelten darüber hinaus fort, solange der Auftragsverarbeiter personenbezogene Daten aus diesem Auftrag verarbeitet (§ 11).

§ 2 Ort der Verarbeitung

Die Verarbeitung findet grundsätzlich in einem Mitgliedstaat der Europäischen Union statt (Serverstandort: Frankfurt am Main, Deutschland). Ausgenommen ist der E-Mail-Versand über den in Anlage C genannten Subunternehmer Google; insoweit gelten die dort beschriebenen Garantien nach Kapitel V DSGVO. Jede sonstige Übermittlung in ein Drittland oder an eine internationale Organisation erfolgt nur auf dokumentierte Weisung des Verantwortlichen und unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 3 Pflichten und Rechte des Verantwortlichen

Der Verantwortliche ist für die Beurteilung der Zulässigkeit der Verarbeitung, die Rechtmäßigkeit der Datenweitergabe an den Auftragsverarbeiter, die Information der betroffenen Personen und die Wahrung von deren Rechten allein verantwortlich. Ihm stehen die in diesem Vertrag geregelten Weisungs- und Kontrollrechte zu; er benennt dem Auftragsverarbeiter weisungsberechtigte Personen in Textform (Anlage C, Kontaktstellen).

§ 4 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation —, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.

(2) Der Hauptvertrag und dieser Vertrag sind die allgemeine Weisung. Einzelweisungen erfolgen in Textform an hallo@studio-nebauer.de.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Er darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

§ 5 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf personenbezogene Daten haben nur Personen, die ihn für die Vertragsdurchführung benötigen.

§ 6 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen dürfen an die technische Weiterentwicklung angepasst werden, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

(3) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO und stellt dem Verantwortlichen die ihn betreffenden Angaben auf Anfrage zur Verfügung.

§ 7 Subunternehmer (weitere Auftragsverarbeiter)

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage C genannten Subunternehmer.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) mindestens vier Wochen vor deren Wirksamwerden. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er nicht innerhalb von zwei Wochen nach Zugang der Information in Textform, gilt die Genehmigung für die Änderung als erteilt. Führt ein fristgerechter Widerspruch dazu, dass die Leistung nicht erbracht werden kann, steht beiden Parteien ein Sonderkündigungsrecht für den Hauptvertrag zu.

(3) Mit jedem Subunternehmer werden Pflichten vereinbart, die den Pflichten aus diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO). Kommt ein Subunternehmer seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Subunternehmers (Art. 28 Abs. 4 Satz 2 DSGVO).

§ 8 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12–23 DSGVO — insbesondere Auskunft, Berichtigung, Löschung) zu beantworten. Anträge, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.

(2) Er unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation).

(3) Wendet sich eine Aufsichtsbehörde oder eine andere staatliche Stelle wegen Verarbeitungen aus diesem Auftrag unmittelbar an den Auftragsverarbeiter, informiert er den Verantwortlichen unverzüglich, soweit gesetzlich zulässig, und stimmt seine Antwort mit ihm ab. Auskünfte an Dritte erteilt er nur, wenn er hierzu rechtlich verpflichtet ist.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die diesen Auftrag betrifft, unverzüglich nach Bekanntwerden in Textform mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Angaben; noch nicht verfügbare Angaben werden ohne unangemessene Verzögerung nachgereicht. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen obliegen dem Verantwortlichen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind.

(2) Der Verantwortliche kann Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Kontrollen erfolgen nach Ankündigung in Textform mit einer Frist von mindestens 14 Kalendertagen, zu üblichen Geschäftszeiten, ohne Störung des Betriebs und höchstens einmal jährlich, sofern kein konkreter Anlass besteht. In der Regel genügt die Vorlage aktueller Dokumentation (Anlage B, Protokolle, Bescheinigungen der Rechenzentrumsbetreiber).

(3) Unterstützungsleistungen nach § 8 sowie Kontrollen nach diesem § 10, die über die Bereitstellung vorhandener Dokumentation hinausgehen, kann der Auftragsverarbeiter nach Aufwand zu den Sätzen des Hauptvertrags berechnen, es sei denn, der Anlass beruht auf einem Pflichtverstoß des Auftragsverarbeiters. Die Erfüllung der gesetzlichen Pflichten selbst bleibt von einer Vergütung unabhängig.

§ 11 Löschung und Rückgabe

(1) Kopien oder Duplikate der Daten werden ohne Wissen des Verantwortlichen nicht erstellt; ausgenommen sind Sicherungskopien im Rahmen von Anlage B sowie Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist.

(2) Während der Laufzeit gelten die in Anlage A beschriebenen automatischen Löschfristen.

(3) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter auf Verlangen — geltend zu machen innerhalb von 30 Tagen nach Vertragsende (§ 12 Abs. 6 AGB) — einen vollständigen Export der gespeicherten personenbezogenen Daten bereit. Anschließend, spätestens 60 Tage nach Vertragsende, löscht er alle personenbezogenen Daten aus diesem Auftrag aus den Produktivsystemen. Sicherungskopien laufen durch die automatische 30-Tage-Rotation aus und sind spätestens 90 Tage nach Vertragsende vollständig gelöscht. Die Löschung wird auf Anfrage in Textform bestätigt.

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags einschließlich § 14 AGB.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht in datenschutzrechtlichen Fragen dieser Vertrag vor.

(2) Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist Straubing, soweit gesetzlich zulässig.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage A — Gegenstand der Verarbeitung

Leistungen mit Verarbeitung personenbezogener Daten:

1. Hosting der Website des Verantwortlichen (statische Website) einschließlich Auslieferung an Besucher.
2. Kontaktformular-Endpunkt: Entgegennahme, Speicherung und Zustellung von Anfragen per E-Mail an den Verantwortlichen; automatische Eingangsbestätigung an die anfragende Person.
3. Besucherstatistik aus Server-Logdaten: Auswertung zu Tagessummen (Seitenaufrufe, Endgerätetyp, Herkunft). Keine Cookies, keine Tracking-Dienste, keine Bildung von Nutzerprofilen.
4. Datensicherung, Erreichbarkeits-Überwachung und Monatsbericht über die vorgenannten Systeme.

Zweck: Betrieb der Website, Bearbeitung von Kontaktanfragen, Reichweitenmessung ohne Einwilligungsbedarf, Betriebssicherheit.

Kategorien betroffener Personen: Besucher der Website des Verantwortlichen; Interessenten und Kunden, die das Kontaktformular nutzen.

Datenarten:

Datenart	Details
Anfragedaten	Name, ggf. Firma, E-Mail-Adresse, ggf. Telefonnummer, Nachrichteninhalt, aufgerufene Seite, Zeitpunkt
Netzwerkkennung	gekürzte IP-Adresse (letztes Oktett bzw. IPv6-Suffix entfernt) — in Anfrage-Datensätzen und Server-Logdaten; vollständige IP-Adressen werden nicht gespeichert
Technische Logdaten	Zeitpunkt, aufgerufener Pfad, HTTP-Status, Browser-Kennung (User-Agent), verweisende Seite
E-Mail-Verkehr	Zustell-E-Mails der Anfragen an den Verantwortlichen und Eingangsbestätigungen an Anfragende

Automatische bzw. geregelte Löschfristen im laufenden Betrieb:

Datenbestand	Frist
Kontaktanfragen (personenbezogen)	180 Tage, danach automatische Löschung; erhalten bleiben nur anonyme Tagessummen (Anzahl je Tag)
Server-Rohlogs (IP bereits gekürzt)	tägliche Rotation, Löschung nach 14 Tagen; dauerhaft gespeichert werden nur Tagessummen ohne Personenbezug
Datensicherungen der Datenbank (enthalten Anfragedaten)	tägliche Sicherung, automatische Löschung nach 30 Tagen
Kopien versandter Zustell- und Bestätigungs-E-Mails im Postfach des Auftragsverarbeiters	Löschung spätestens 180 Tage nach Versand (regelmäßiger Löschlauf)

Zwei Bestände werden dauerhaft aufbewahrt, weil sie keine personenbezogenen Daten enthalten; die vorstehenden Fristen gelten für sie nicht:

• Archive der Website-Dateien — ausschließlich die ausgelieferten Seiten (HTML, Stilvorlagen, Bilder).
• Archiv der versandten Monatsberichte — ausschließlich Summen je Monat (Erreichbarkeit, Besuchszahlen, Anzahl der Anfragen, Herkunftsseiten). Es dient dem Verantwortlichen als Nachweis der erbrachten Leistung und als Grundlage für Jahresauswertungen.

Anlage B — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 04.09.2026. Systemumgebung: virtueller Server bei Hostinger, Rechenzentrum Frankfurt am Main, Betriebssystem Ubuntu LTS.

1. Zutrittskontrolle (physisch): Rechenzentrumsbetrieb durch Hostinger (Zutrittsschutz, Überwachung gemäß Zertifizierung des Betreibers, Nachweise über Hostinger abrufbar).

2. Zugangskontrolle (Systeme):

• Serverzugang ausschließlich über SSH mit kryptografischen Schlüsseln; Passwort-Anmeldung ist serverseitig deaktiviert.
• Firewall: nur SSH und Web (HTTP/HTTPS) erreichbar, alle übrigen Ports geschlossen.
• Automatische Einspielung von Sicherheitsupdates (unattended-upgrades).
• Die Anwendung läuft unter einem eigenen Systembenutzer ohne Root-Rechte; die Datenbank ist nur lokal auf dem Server erreichbar (kein Netzwerkzugriff von außen).
• Zugriff auf die Verwaltungsoberfläche nur mit geheimem Zugangsschlüssel je berechtigter Person.

3. Zugriffs- und Trennungskontrolle:

• Getrennte Datenhaltung je Kundenwebsite (mandantenbezogene Datensätze, eigener geheimer Formular-Schlüssel je Website).
• Formulare akzeptieren nur Anfragen mit gültigem Schlüssel und passender Herkunfts-Domain.

4. Weitergabe-/Transportkontrolle:

• Verschlüsselte Übertragung aller Websitezugriffe und Formulardaten (TLS/HTTPS, automatische Zertifikatsverwaltung).
• E-Mail-Zustellung über verschlüsselte SMTP-Verbindung (TLS).

5. Datenminimierung und Pseudonymisierung:

• Keine Cookies, keine externen Dienste, keine Tracking-Skripte auf den betriebenen Websites.
• IP-Adressen werden bereits beim Schreiben der Server-Logdaten gekürzt; vollständige Besucher-IP-Adressen werden an keiner Stelle dauerhaft gespeichert.
• Statistik ausschließlich als Tagessummen ohne Personenbezug.

6. Eingabekontrolle: Verarbeitungsereignisse (Eingang, Zustellung, Fehler, Löschläufe) werden im Systemjournal protokolliert.

7. Verfügbarkeitskontrolle:

• Tägliche Datensicherung der Datenbank und der gehosteten Website-Dateien (jeweils 30 Tage Aufbewahrung), Wiederherstellungsverfahren dokumentiert und getestet.
• Erreichbarkeitsprüfung der betriebenen Websites im 15-Minuten-Takt mit Störungsprotokoll.
• Zustellwiederholung: nicht zustellbare Anfragen werden gespeichert und automatisch erneut zugestellt.

8. Löschkonzept: Automatische tägliche Löschläufe gemäß den Fristen in Anlage A; Kopien versandter E-Mails werden durch einen regelmäßigen Löschlauf im Postfach entfernt (dokumentiert in der Betriebsanleitung); keine manuelle Vorhaltung darüber hinaus.

9. Organisatorisches: Verarbeitung nur durch vertraglich zur Vertraulichkeit verpflichtete Personen; Zugangsdaten werden in einem Passwortverwaltungssystem bzw. als Schlüsseldateien geschützt aufbewahrt; Datenschutzvorfälle werden gemäß § 9 gemeldet.

Anlage C — Genehmigte Subunternehmer

Unternehmen	Leistung	Ort der Verarbeitung
Hostinger International Ltd., 61 Lordou Vironos Str., 6023 Larnaka, Zypern	Bereitstellung des virtuellen Servers (Infrastruktur)	Rechenzentrum Frankfurt am Main, Deutschland
Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland	E-Mail-Versand der Anfrage-Zustellungen und Eingangsbestätigungen (SMTP, Google Workspace)	EU/EWR. Eine Verarbeitung in den USA durch verbundene Unternehmen kann nicht ausgeschlossen werden; Google LLC ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten die Standardvertragsklauseln der Europäischen Kommission (Art. 46 DSGVO).

Weitere Subunternehmer bestehen nicht. Änderungen gemäß § 7.

Kontaktstellen:
Weisungsberechtigt beim Verantwortlichen: die im Auftrag „Betrieb & Betreuung (Care)" benannte Person.
Empfangsstelle für Weisungen und Meldungen beim Auftragsverarbeiter: hallo@studio-nebauer.de

Stand: 8. September 2026