AV-Vertrag · WPSeiten

Dieser Vertrag regelt die Auftragsverarbeitung für die beauftragten Hosting- und Betreuungsleistungen von WPSeiten. Er wird in schriftlicher oder elektronischer Form vereinbart und ergänzt den Hostingvertrag. Die Anlagen 1 bis 3 sind Bestandteil dieser Vereinbarung.

1. Vertragsparteien und Rangfolge

Auftraggeber ist der im angenommenen Hostingvertrag bezeichnete Kunde mit seiner vollständigen Identität und Anschrift. Auftragnehmer ist der dort und im Impressum benannte Betreiber von WPSeiten. Dieser Vertrag regelt die Verarbeitung personenbezogener Website-Daten für den Kunden nach Art. 28 DSGVO. Bei Widersprüchen gehen seine Datenschutzregelungen den allgemeinen Hostingbedingungen vor.

Handelt der Kunde als Agentur selbst im Auftrag eines anderen Verantwortlichen, legt er die erforderliche Beauftragung und Genehmigung für WPSeiten als weiteren Auftragsverarbeiter vor. Weisungen und Pflichten des übergeordneten Auftrags sind im nötigen Umfang zu dokumentieren. Für eigene Konto-, Kontakt- und Abrechnungszwecke des Betreibers gilt die Datenschutzerklärung; diese Daten werden nicht allein durch diesen Vertrag zu Auftragsdaten.

2. Gegenstand und Dauer

Gegenstand sind WordPress-Hosting und die im Hauptvertrag beauftragten technischen Leistungen, einschließlich Betrieb, Domainanbindung, Versand der WordPress-E-Mails der Website, Sicherungen, Testkopien, Updates, Umzug, Fehleranalyse, Wiederherstellung und Datenrückgabe. Betroffene Websites, Datenarten und besondere Anforderungen werden in Anlage 1 festgehalten.

Die Verarbeitung läuft für die Dauer des Hauptvertrags und anschließend nur so lange, wie die vereinbarte Rückgabe, Löschung oder eine dokumentierte gesetzliche Pflicht es erfordert. Ein Vertragsende erlaubt keine unbegrenzte weitere Aufbewahrung. Der Schutz dieses Vertrags gilt für verbleibende Auftragsdaten bis zu ihrer berechtigten Rückgabe und Löschung fort.

3. Weisungen und Zweckbindung

Der Auftragnehmer verwendet Auftragsdaten nur für die vereinbarten Leistungen und dokumentierten Weisungen. Hauptvertrag, berechtigte Portalaufträge und weitere festgehaltene Weisungen bestimmen den zulässigen Umfang. Eine Übermittlung in ein Drittland benötigt ebenfalls eine passende dokumentierte Grundlage. Gesetzlich verlangte Verarbeitungen werden dem Auftraggeber vorab mitgeteilt, soweit eine Mitteilung nicht gesetzlich verboten ist.

Zusätzliche Weisungen können berechtigte Ansprechpartner über das Portal oder info@wpseiten.de erteilen; ihre Befugnis ist bei Zweifeln zu prüfen. Mündliche Weisungen sind anschließend zu dokumentieren. Erkennt der Auftragnehmer eine datenschutzrechtlich problematische Weisung, informiert er den Auftraggeber unverzüglich und setzt den betroffenen Schritt bis zur Klärung aus. Auftragsdaten werden nicht für eigene Werbung oder das Training von KI-Modellen genutzt.

4. Verantwortung des Auftraggebers

Der Auftraggeber bestimmt die zulässigen Zwecke, Rechtsgrundlagen und Datenarten, informiert Betroffene und stellt rechtmäßige Inhalte sowie berechtigte Quellzugänge bereit. Er prüft, ob sein Risiko besondere Schutzmaßnahmen erfordert, und teilt diese Anforderungen vor der Verarbeitung mit. Eine allgemein geeignete Hostingumgebung ersetzt diese Prüfung nicht.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (zum Beispiel Gesundheitsdaten oder Angaben zur Religion) und Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO sind vom Standardangebot ausgeschlossen. Eine Ausnahme setzt vor der ersten Übertragung eine dokumentierte Prüfung und eine ausdrückliche gesonderte Vereinbarung mit WPSeiten in schriftlicher oder elektronischer Form voraus. Erforderliche Schutzmaßnahmen und Vereinbarungen mit beteiligten Auftragsverarbeitern müssen vorher umgesetzt sein. Eine Anfrage allein ist keine Freigabe. Das gilt auch für Formulare, Medien, Datenbanken, Umzüge, Sicherungen und Testkopien. Bis zur Freigabe dürfen solche Daten nicht in die Hostingumgebung eingebracht werden. Für die Vorprüfung sind zunächst nur Datenarten und Zwecke zu beschreiben, keine betroffenen Datensätze zu übermitteln.

Er hält Weisungs- und Notfallkontakte aktuell, schützt eigene Konten und Teamrechte und informiert den Auftragnehmer über Fehler oder Sicherheitsvorfälle, die die Auftragsverarbeitung betreffen. Seine Verantwortung entbindet den Auftragnehmer nicht von dessen eigenen vertraglichen und gesetzlichen Pflichten.

5. Vertraulichkeit und Schutzmaßnahmen

Der Auftragnehmer beschränkt den Zugriff auf für die Aufgabe berechtigte Personen, verpflichtet diese zur Vertraulichkeit oder stellt eine entsprechende gesetzliche Verpflichtung sicher und unterweist sie für ihren Aufgabenbereich. Die technischen Maßnahmen sind in Anlage 2 beschrieben. Die organisatorischen Schutzpflichten gelten für die gesamte Dauer der Verarbeitung.

Das Schutzniveau wird am vereinbarten Risiko ausgerichtet und regelmäßig überprüft. Technische Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden dokumentiert und dem Auftraggeber zugänglich gemacht.

6. Weitere Auftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung für den Einsatz der in Anlage 3 bezeichneten weiteren Auftragsverarbeiter. Für neu hinzukommende oder ersetzte Auftragsverarbeiter informiert der Auftragnehmer den Auftraggeber vor der Änderung über Identität, Aufgabe, Verarbeitungsorte und gegebenenfalls Übermittlungsgrundlagen. Regelmäßig erfolgt die Mitteilung mindestens 30 Kalendertage vor Einsatz, damit ein begründeter datenschutzrechtlicher Einwand geprüft werden kann.

Bei einem Einwand suchen die Parteien eine zumutbare datenschutzgerechte Lösung. Soweit der betroffene Dienst ohne den neuen Unterauftrag nicht erbracht werden kann und keine Lösung erreicht wird, ist dessen Fortführung oder Beendigung ausdrücklich zu klären; Schweigen auf eine Mitteilung ersetzt nicht die Behandlung eines Einwands. Eine dringende Änderung zum Schutz von Daten ist unverzüglich mitzuteilen und zu begründen.

Weitere Auftragsverarbeiter werden durch geeignete Vereinbarungen zu entsprechenden Datenschutzpflichten verpflichtet. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Einhaltung der Pflichten verantwortlich. Eigenständige Verantwortliche für Zahlung oder optionale Anmeldung sind nicht pauschal Unterauftragnehmer für Website-Daten.

7. Verarbeitungsorte und Drittlandübermittlung

Produktive WordPress-Server werden in Deutschland betrieben. Verschlüsselte Website-Sicherungen verwenden den für EU-Jurisdiction konfigurierten R2-Speicher. Portal-, Proxy-, Sicherheits- und weitere globale Dienste können andere Verarbeitungsorte oder Zugriffe umfassen. Eine ausschließliche Verarbeitung aller Daten in Deutschland oder der EU wird nicht vereinbart.

Dienstleister und Verarbeitungsorte ergeben sich aus Anlage 3. Soweit Auftragsdaten in ein Drittland gelangen oder dort zugänglich sind, darf die Verarbeitung nur bei entsprechender Weisung und unter den Voraussetzungen der Art. 44 ff. DSGVO erfolgen. Der Auftragnehmer dokumentiert die einschlägige Übermittlungsgrundlage und erforderliche ergänzende Schutzmaßnahmen und stellt dem Auftraggeber die nötigen Nachweise bereit.

8. Betroffenenrechte und Unterstützung

Anträge von Betroffenen zu Auftragsdaten leitet der Auftragnehmer unverzüglich an den Auftraggeber weiter. Er beantwortet sie nicht eigenmächtig inhaltlich, soweit ihn keine entsprechende Pflicht oder Weisung trifft. Er unterstützt die zuständige Stelle mit den ihm verfügbaren Informationen und geeigneten technischen Möglichkeiten bei Auskunft, Korrektur, Einschränkung, Export und Löschung.

Er unterstützt außerdem die Prüfung angemessener Sicherheit, eine erforderliche Datenschutz-Folgenabschätzung und die Zusammenarbeit mit Aufsichtsbehörden, soweit die Verarbeitung und vorhandenen Informationen dies ermöglichen. Gesetzliche Kernpflichten werden nicht von einer zusätzlichen Bestellung abhängig gemacht. Gesonderte Zusatzleistungen außerhalb des vereinbarten Umfangs sind vorab zu vereinbaren.

9. Datenschutzverletzungen und Notfälle

Wird dem Auftragnehmer eine Verletzung des Schutzes von Auftragsdaten bekannt, informiert er den Auftraggeber unverzüglich über den vereinbarten Notfallkontakt. Er teilt die bekannten Umstände, betroffenen Daten und Personengruppen, voraussichtliche Folgen, getroffene oder vorgeschlagene Gegenmaßnahmen und einen erreichbaren Ansprechpartner mit. Fehlende Informationen werden nachgereicht.

Der Auftragnehmer dokumentiert den Vorfall, begrenzt Schäden, sichert notwendige Nachweise und unterstützt die Prüfung von Meldungen und Benachrichtigungen. Die Zuständigkeit des Verantwortlichen für eigene Behörden- und Betroffenenmeldungen bleibt bestehen. Eine ungeprüfte automatische Entwarnung oder garantierte Wiederanlaufzeit wird nicht zugesagt.

10. Nachweise und Kontrollen

Der Auftragnehmer stellt die erforderlichen Informationen zur Prüfung seiner Vertragspflichten bereit und ermöglicht angemessene Kontrollen durch den Auftraggeber oder einen berechtigten unabhängigen Prüfer. Vorhandene geeignete Nachweise können zunächst verwendet werden; sie ersetzen eine im Einzelfall notwendige weitere Kontrolle nicht.

Zeitpunkt, Vertraulichkeit und Ablauf werden unter Berücksichtigung des Kontrollanlasses abgestimmt. Rechte anderer Kunden, geschützte Zugangsdaten und Sicherheit des laufenden Betriebs sind zu wahren. Behördliche Befugnisse und dringende begründete Prüfungen bleiben unberührt. Eine vertragliche Abstimmung darf gesetzliche Nachweis- und Kontrollrechte nicht ausschließen.

11. Rückgabe, Löschung und Sicherungskopien

Spätestens zur Beendigung vereinbaren die Parteien die berechtigte Wahl des Auftraggebers zwischen Rückgabe und Löschung. Bei Rückgabe umfasst ein vollständiger Website-Export die vereinbarten Dateien und Datenbank; die geschützte Übergabe und der Empfang werden dokumentiert. Die Größenlimits des automatischen Portalexports beschränken nicht diese Pflicht: Für größere Datenbestände ist ein betreuter Weg zu vereinbaren.

Nach der Rückgabe beziehungsweise bei gewählter Löschung entfernt der Auftragnehmer die verbleibenden Auftragsdaten und Kopien ohne unangemessene Verzögerung und bestätigt den Abschluss. Gesetzlich zwingend aufzubewahrende Teile werden bezeichnet, vom normalen Betrieb ausgeschlossen und auf den Aufbewahrungszweck begrenzt. Ein angehaltener oder aufbewahrter Website-Status ist noch kein Löschungsnachweis.

Reguläre tägliche Sicherungen haben je Tarif 14 oder 30 Tage Aufbewahrung, zusätzliche Datenbank-Zwischenstände von Pro Plus und Pro Max 48 Stunden. Verbleibende Sicherungskopien werden nach dem dokumentierten Löschablauf bereinigt; wenn eine gezielte sofortige Entfernung technisch nicht möglich ist, werden Zugriff, weitere Verwendung und spätester Ablauf festgehalten. Ein Wiederherstellen für andere Zwecke ist ausgeschlossen; bei einer berechtigten Notfallwiederherstellung sind vorherige Löschweisungen erneut umzusetzen. Abweichende Rückgabefristen oder Notfallaufbewahrung benötigen eine konkrete dokumentierte Grundlage.

12. Abschluss und Fortgeltung

Die Anlagen gehören zum Vertrag. Änderungen werden in schriftlicher oder elektronischer Form festgehalten. Die bloße Veröffentlichung einer neuen Fassung ändert einen angenommenen AV-Vertrag nicht. Zwingende Datenschutzrechte und Ansprüche betroffener Personen, insbesondere nach Art. 82 DSGVO, werden durch Haftungsregeln des Hauptvertrags nicht eingeschränkt.

Vertragsparteien, Anschriften und zugeordnete Websites ergeben sich aus dem Hostingvertrag. Der Auftraggeber benennt seine Weisungs- und Notfallkontakte und hält diese Angaben aktuell. Vertragsfassung, Anlagen und Abschluss werden nachvollziehbar dokumentiert. Grundlage: DSGVO, insbesondere Art. 28 und 32.

Anlage 1: Verarbeitung und Datenumfang

Vorgänge und Zwecke

Speichern und Ausliefern der beauftragten WordPress-Website und ihrer Datenbank.
Einrichten von Domain, Zertifikaten, Zugängen und notwendigen Betriebsfunktionen.
Versand der von der Website erzeugten E-Mails an die von ihr bestimmten Empfänger. Empfänger und Inhalte der Nachrichten werden nur zur Zustellung verarbeitet und nicht gespeichert. Gespeichert werden nur die Absendereinstellungen der Website sowie inhaltsfreie Versandbelege (Zeitpunkt, Status, Nachrichtenkennung); diese Belege werden nach zwei Tagen mit der nächsten Bereinigung gelöscht.
Beauftragter Umzug mit berechtigtem Zugriff auf Quellinstallation und Zielkopie.
Technische Diagnose, freigegebene Wartung und Updates im vereinbarten Umfang.
Automatische Sicherheits- und Wartungsaktualisierungen der installierten WordPress-Version und der Cache-Plugins von WPSeiten nach Sicherung und Prüfung in einer Testkopie, wie im Hauptvertrag vorgesehen, solange der Auftraggeber sie für die Website nicht abgeschaltet hat.
Erstellen, Aufbewahren und Wiederherstellen von Sicherungen und isolierten Testkopien.
Berechtigter Export sowie Rückgabe und Löschung nach Vertragsende oder Weisung.

Daten und betroffene Personen

Je nach eingebrachten Inhalten: Namen, Anschriften, Kontaktdaten, Websiteinhalte, Medien, Benutzerkonten, geschützte Authentifizierungsdaten, Formular- und Kommunikationsinhalte, Kunden- und Bestelldaten, erforderliche technische Zugriffs- und Betriebsdaten. Betroffene können Websitebesucher, Interessenten, Kunden, Beschäftigte, Lieferanten und weitere vom Auftraggeber erfasste Personen sein.

Die Verarbeitung bezieht sich auf die im Hostingvertrag zugeordneten Websites und den vorstehend vereinbarten Datenumfang. Für Daten nach Art. 9 oder 10 DSGVO gilt der Ausschluss mit dem Freigabeverfahren aus Abschnitt 4. Weitere abweichende Datenkategorien, erhöhter Schutzbedarf und besondere Rückgabe- oder Löschvorgaben sind vor Beginn mitzuteilen und abzustimmen. Die kundenspezifischen Weisungen und zusätzlichen Vereinbarungen werden dokumentiert.

Anlage 2: Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen schützen Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Verarbeitung. Der Auftragnehmer ist verpflichtet, ihre Wirksamkeit entsprechend dem Verarbeitungsrisiko regelmäßig zu überprüfen und erforderliche Anpassungen zu dokumentieren.

Zugang und Mandantentrennung

HTTPS für Portal und veröffentlichte Websites; geprüfte Serveridentität bei administrativen Verbindungen.
Kontobezogene Sitzungen, Rollen- und Teamprüfung; Zwei-Faktor-Anmeldung als verfügbare Schutzfunktion.
Getrennte Website-Container, eigene Websitezugänge und begrenzte Ressourcenbudgets.
Mandantenbezogene Prüfungen bei Portal-, Datenbank-, Export- und Wiederherstellungszugriffen.
Geschützte zeitlich begrenzte Vorschauzugänge für Testumgebungen.

Aufträge, Übertragung und Integrität

Berechtigungsprüfung für Betriebsaufträge und Begrenzung auf die beauftragte Website.
Nachvollziehbare Auftragszustände und Schutz gegen unberechtigte oder doppelte Ausführung.
Geschützte Übergabe temporärer Umzugszugänge und gesonderte interne Betriebszugänge.
Prüfungen von Sicherungsmanifesten und Wiederherstellungsdaten; angehaltene Anwendung bei unklarem Live-Updatezustand.

Aktualität und Schwachstellen

Nächtliche Sicherheitsaktualisierungen von Betriebssystem und Serverumgebung; Neustarts gestaffelt, höchstens ein Server gleichzeitig, mit anschließender Prüfung der Websites.
Regelmäßige Prüfung von Webserver, PHP, Datenbank, Objektcache und eingesetzten Werkzeugen auf neue Versionen und veröffentlichte Sicherheitsmeldungen; Übernahme nach Prüfung mit Sicherung und Rücknahme bei Fehlern.
Automatische Sicherheitsaktualisierungen der installierten WordPress-Version, soweit der Auftraggeber sie nicht abgeschaltet hat; Prüfung der Portal-Software auf bekannte schwerwiegende Schwachstellen vor jeder Veröffentlichung.

Sicherungen und Wiederherstellbarkeit

Verschlüsselte externe Website-Sicherungen mit tariflicher Aufbewahrung und gesondertem Recovery-Zugang.
Verschlüsselte Sicherungen der Portal-Datenbanken und Prüfung der gesicherten Daten.
Isolierte Wiederherstellungs- und Integritätsprüfungen; die Wiederherstellbarkeit ist regelmäßig zu überprüfen und zu dokumentieren.
Begrenzte technische Arbeitsdaten und getrennte Berechtigung für destruktive Wiederherstellung und Löschung.

Organisatorische Schutzpflichten

Der Auftragnehmer ist verpflichtet, die folgenden organisatorischen Maßnahmen einzurichten, für die Dauer der Verarbeitung aufrechtzuerhalten und ihre Umsetzung zu dokumentieren.

Berechtigungs- und Vertraulichkeitsregelung für tatsächlich zugriffsberechtigte Personen.
Verwaltung, Entzug und regelmäßige Prüfung von Betreiberzugängen und Recovery-Schlüsseln.
Erreichbarer Notfallkontakt, Datenschutzvorfallverfahren und Vertretung.
Regelmäßige Prüfung der Schutzmaßnahmen und dokumentierte Recovery-Übungen.
Lösch- und Rückgabeablauf einschließlich befristeter Restkopien und organisatorischer Archive.
Vertragliche Nachweise zu physischem Zutritt und Sicherheit der genutzten Rechenzentren.

Der Auftragnehmer ist verpflichtet, behördliche Auskunftsersuchen auf ihre Rechtmäßigkeit zu prüfen und gesetzliche Informationspflichten zu erfüllen. Dies umfasst den Schutz vor unzulässigen Zugriffen aus Drittländern auf in der EU gespeicherte personenbezogene und nicht-personenbezogene Daten.

Anlage 3: Dienstleister und Genehmigung

Die nachfolgend bezeichneten Dienstleister werden für die jeweiligen Verarbeitungsaufgaben eingesetzt. Die Genehmigung nach Abschnitt 6 bezieht sich auf diese Aufgaben und den dafür erforderlichen Datenumfang. Änderungen der Unterauftragnehmer unterliegen dem dort geregelten Informations- und Einwandsverfahren.

WordPress-Infrastruktur: Server und Speicher für den produktiven WordPress-Betrieb in Deutschland.

netcup GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland

Verarbeitungsorte: Produktiver WordPress-Betrieb in Deutschland. Für Unterstützungs-, Infrastruktur- und Personalleistungen sieht netcup die unten genannten Unterauftragnehmer in Deutschland und Österreich vor.

Rechtsordnungen: Deutschland und Österreich (EU)

Übermittlungsgrundlage: Für die Verarbeitung in Deutschland und Österreich ist kein Drittlandtransfer erforderlich. Weitere Verarbeitungsorte oder Unterauftragnehmer unterliegen den vereinbarten Weisungs-, Informations- und Genehmigungsregeln.

Unterauftragnehmer dieses Dienstleisters:
- Anexia Holding GmbH, Feldkirchner Straße 140, 9020 Klagenfurt, Österreich. Unterstützungsleistungen, beispielsweise bei regulatorischen Anfragen und Abrechnung.
- Anexia Cloud Solutions GmbH, Feldkirchner Straße 140, 9020 Klagenfurt, Österreich. Infrastrukturleistungen im Rechenzentrumsumfeld und Bereitstellung von Personal.
- Anexia Cloud Solutions GmbH, Emmy-Noether-Straße 10, 76131 Karlsruhe, Deutschland. Infrastrukturleistungen im Rechenzentrumsumfeld und Bereitstellung von Personal.
Cloudflare: Plattform, DNS/Proxy, Datenbanken, Objektspeicher, Sicherheitsprüfung, Einwilligungsverwaltung und Übermittlung erlaubter Webstatistik, Versand der WordPress-E-Mails der Kundenwebsites sowie E-Mail für Portalnachrichten, Kundenanfragen und Support; Website-Sicherungen im R2-Speicher mit EU-Jurisdiction.

Cloudflare, Inc., 101 Townsend Street, San Francisco, CA 94107, USA

Verarbeitungsorte: Weltweites Rechenzentrumsnetz von Cloudflare; Website-Sicherungen ausschließlich in der EU.

Rechtsordnungen: USA sowie die Staaten der jeweils genutzten Rechenzentren

Übermittlungsgrundlage: EU-US Data Privacy Framework; ergänzend EU-Standardvertragsklauseln (Module 2 und 3).

Liste der Unterauftragnehmer und ihrer Aufgaben bei Cloudflare. Maßgeblich sind die jeweils eingesetzten Dienste; die Liste bedeutet nicht, dass jeder aufgeführte Dienst unsere Daten erhält.

Stripe für die Zahlungsabwicklung und Google für die optionale Portalanmeldung werden in der Datenschutzerklärung mit ihren jeweiligen Rollen beschrieben. Sie verarbeiten nicht allein aufgrund dieser Funktionen Daten der gehosteten Kundenwebsite im Unterauftrag. Die vereinbarte Liste, ihre Fassung und spätere Änderungsmitteilungen werden zusammen mit dem Vertragsabschluss dokumentiert.