Fassung vom 2026-10-17.

Vertrag zur Auftragsverarbeitung (Anlage 2)

1. Gegenstand und Dauer

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag „Website im Monatsabo“ (Hauptvertrag) nach Art. 28 DSGVO. Verantwortlicher ist der Kunde, Auftragsverarbeiter ist der Anbieter. Der Vertrag läuft so lange wie der Hauptvertrag.

2. Art, Zweck und Umfang der Verarbeitung

Zweck: Bereitstellung und Betrieb der Website des Kunden (Hosting).
Datenarten: technische Verbindungsdaten der Besucher (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserangaben), soweit sie beim Hosting anfallen.
Betroffene: Besucher der Website des Kunden.
Die Website enthält ohne gesonderte Vereinbarung kein Kontaktformular und keine Analyse- oder Werbedienste. Werden solche Funktionen später vereinbart, wird diese Anlage ergänzt.

3. Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dem Hauptvertrag; weitere Weisungen erteilt der Kunde in Textform. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin.

4. Vertraulichkeit und Sicherheit

Der Anbieter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit. Er trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere: verschlüsselte Übertragung (HTTPS), Zugang zur Hosting-Verwaltung nur mit persönlichem Konto und Zwei-Faktor-Anmeldung, keine Weitergabe von Zugangsdaten, Protokollierung durch den Hosting-Dienstleister, Löschung nach Vertragsende.

5. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA: Hosting und Auslieferung der Website. Übermittlung in die USA auf Grundlage des EU-US Data Privacy Framework und der Standardvertragsklauseln der EU-Kommission.

Der Anbieter informiert den Kunden vorab in Textform über jede beabsichtigte Änderung. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.

6. Unterstützung, Meldepflichten, Kontrolle

Der Anbieter unterstützt den Kunden bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO.
Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
Der Anbieter stellt dem Kunden alle Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen nach vorheriger Ankündigung.

7. Löschung und Rückgabe

Nach Ende des Hauptvertrags löscht der Anbieter die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Kunden heraus, soweit keine gesetzliche Aufbewahrungspflicht besteht.

8. Form

Dieser Vertrag wird in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO): durch die gesonderte Zustimmung im Bestellformular und die Übersendung mit der Auftragsbestätigung.

Fassung 2026-10-17-1