Vertrag zur Auftragsverarbeitung
Stand: 24. Oktober 2026
Inhaltsverzeichnis
Dieses Muster beschreibt, wie Buchalik Digital personenbezogene Daten im Auftrag von Kunden verarbeitet, etwa beim Hosting oder bei der Pflege einer Website. Es wird mit den Anlagen des jeweiligen Auftrags Bestandteil des Vertrags (Art. 28 DSGVO). Für Verbraucher ohne eigene Website-Besucherdaten ist es in der Regel nicht erforderlich.
1. Parteien
Aleksander Janusz Buchalik · Buchalik Digital
Ludwigsplatz 4
75180 Pforzheim, Deutschland
E-Mail: buchalikwebsites@gmail.com
Buchalik Digital ist Auftragsverarbeiter, soweit im Auftrag des Kunden personenbezogene Daten verarbeitet werden. Verantwortlicher ist der im Hauptvertrag genannte Kunde.
2. Gegenstand und Dauer
Gegenstand können Hosting, Pflege, Backups und technischer Support sein. Dauer und Beginn folgen dem Hauptvertrag. Art und Zweck, Datenkategorien (typischerweise Kontaktdaten und Nachrichten von Website-Besuchern, technische Zugriffsdaten, Inhalte mit Personenbezug) und betroffene Personengruppen werden in Anlage 1 festgehalten. Besondere Kategorien personenbezogener Daten verarbeiten wir nur nach ausdrücklicher Vereinbarung.
3. Weisungen und Vertraulichkeit
Wir verarbeiten Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich Übermittlungen in Drittländer, soweit keine gesetzliche Pflicht entgegensteht; über eine solche informieren wir vorab, soweit zulässig. Halten wir eine Weisung für rechtswidrig, teilen wir das unverzüglich mit. Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.
4. Technische und organisatorische Maßnahmen
Wir treffen Maßnahmen nach Art. 32 DSGVO, die dem Risiko angemessen sind, insbesondere:
- Hosting in Deutschland (Hetzner Online GmbH, Rechenzentrum Falkenstein), Zugriff nur per Schlüssel-Anmeldung
- Verschlüsselte Übertragung (TLS) und Firewall mit nur notwendigen Ports
- Automatische Sicherheitsupdates des Betriebssystems
- Laufende Datensicherung mit Aufbewahrung von 30 Tagen
- Minimale Protokollierung, Fehlerprotokolle höchstens 14 Tage
Die Maßnahmen werden regelmäßig überprüft und dürfen das vereinbarte Schutzniveau nicht unterschreiten.
5. Unterauftragsverarbeiter
Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter: Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Server und Rechenzentrum in Deutschland). Weitere Unterauftragsverarbeiter setzen wir nur nach vorheriger Information ein; der Verantwortliche kann dem widersprechen. Wir verpflichten Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten.
6. Unterstützung und Datenschutzverletzungen
Wir unterstützen den Verantwortlichen bei Anfragen betroffener Personen und bei den Pflichten nach Art. 32 bis 36 DSGVO. Eine Verletzung des Schutzes personenbezogener Daten melden wir unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit allen verfügbaren Informationen.
7. Nachweise und Kontrollen
Wir stellen alle erforderlichen Informationen zum Nachweis der Einhaltung bereit und ermöglichen Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer nach rechtzeitiger Abstimmung.
8. Rückgabe und Löschung
Nach Ende der Leistung geben wir die Daten nach Wahl des Verantwortlichen zurück oder löschen sie, sofern keine gesetzliche Aufbewahrungspflicht besteht. Kopien in Datensicherungen werden mit dem regulären Sicherungszyklus, spätestens nach 30 Tagen, gelöscht.
9. Anlagen je Auftrag
- Anlage 1: Gegenstand, Zwecke, Datenarten und Personengruppen
- Anlage 2: Ansprechpartner und Weisungsberechtigte
- Anlage 3: Ergänzende technische und organisatorische Maßnahmen, falls vereinbart
Im Übrigen gelten Art. 28 DSGVO und die gesetzlichen Vorschriften.