Auftragsverarbeitungsvertrag (Art. 28 DSGVO / UK GDPR)

Verbindliche Fassung: Für Kunden im Markt Deutschland (Bestellung über die deutsche Website) ist diese deutsche Fassung verbindlich. Sie ist eine Übersetzung der englischen Fassung und hat denselben Inhalt; die englische Fassung steht zur Information zur Verfügung.

Parteien

• Verantwortlicher: der im Kundenkonto angegebene Kunde („Kunde“).
• Auftragsverarbeiter: 3XAYA LTD (Sitewig), Firmennummer 17437429, 128 City Road, London EC1V 2NX, Vereinigtes Königreich („Sitewig“). Kontakt: kontakt@sitewig.com.

1. Zweck und Vorrang

1.1 Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Sitewig im Auftrag des Kunden, wenn Sitewig Dienste nach den Allgemeinen Geschäftsbedingungen (der „Hauptvertrag“) erbringt: Webhosting, Website-Baukasten (einschließlich Webshop und Buchungen, soweit sie im Paket des Kunden enthalten sind), E-Mail, DNS, CDN und Backup.

1.2 Bei Widersprüchen geht dieser Vertrag in Datenschutzfragen dem Hauptvertrag vor.

2. Weisungen (Art. 28 Abs. 3 lit. a)

2.1 Sitewig verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer. Die Weisungen sind der Hauptvertrag, dieser Vertrag mit seinen Anlagen sowie die Konfiguration und Nutzung der Dienste durch den Kunden.

2.2 Sitewig informiert den Kunden unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO, die UK GDPR oder anderes Datenschutzrecht verstößt.

2.3 Ist Sitewig nach dem Recht der EU, eines Mitgliedstaats oder des Vereinigten Königreichs zu einer anderen Verarbeitung verpflichtet, teilt Sitewig dies dem Kunden vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

3. Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Sitewig stellt sicher, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass Zugriff nur im erforderlichen Umfang gewährt wird.

4. Sicherheit (Art. 28 Abs. 3 lit. c, Art. 32)

4.1 Sitewig trifft die technischen und organisatorischen Maßnahmen nach Anlage 2 und passt sie dem Risiko an. Sitewig unterliegt NIS2 und unterhält ein Programm für Risikomanagement und Vorfallbearbeitung.

4.2 Der Kunde ist für die Sicherheit in seinem Verantwortungsbereich zuständig: Passwörter, Zwei-Faktor-Authentifizierung, von ihm installierte Software (z. B. WordPress und Plugins), Zugriffsrechte auf seiner Website und die Beurteilung, ob das Sicherheitsniveau für die von ihm gespeicherten Daten (z. B. besondere Kategorien) angemessen ist.

5. Unterauftragsverarbeiter (Art. 28 Abs. 3 lit. d, Art. 28 Abs. 2 und 4)

5.1 Der Kunde erteilt Sitewig eine allgemeine vorherige Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

5.2 Sitewig kündigt jede Hinzufügung oder Ersetzung mindestens 30 Tage im Voraus per E-Mail und unter sitewig.com/underdatabehandlere an. Der Kunde kann innerhalb dieser Frist aus berechtigten Gründen widersprechen. Wird keine Lösung gefunden, kann der Kunde die betroffenen Dienste kündigen und erhält eine anteilige Erstattung für den nicht genutzten Zeitraum.

5.3 Sitewig erlegt den Unterauftragsverarbeitern durch schriftlichen Vertrag dieselben Datenschutzpflichten auf und haftet gegenüber dem Kunden in vollem Umfang für deren Verarbeitung.

6. Internationale Übermittlungen

6.1 Die gehosteten Inhalte des Kunden (Websites, Datenbanken, Dateien, E-Mail, DNS-Zonen, Backups) werden in der EU (Deutschland und Finnland) gespeichert.

6.2 Sitewig ist im Vereinigten Königreich niedergelassen, für das ein Angemessenheitsbeschluss der EU besteht (gültig bis zum 27. Dezember 2031). Der Fernzugriff aus dem Vereinigten Königreich auf Daten in der EU ist durch diesen Beschluss gedeckt.

6.3 Andere Übermittlungen erfolgen nur mit einem gültigen Übermittlungsmechanismus nach Kapitel V DSGVO, etwa den EU-Standardvertragsklauseln (2021/914) mit dem UK Addendum oder dem EU-US Data Privacy Framework, siehe Anlage 3.

7. Unterstützung (Art. 28 Abs. 3 lit. e und f)

7.1 Sitewig unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Kapitel III). Die Dienste umfassen Export und Löschung im Selbstbedienungsverfahren. Direkt eingehende Anträge werden unverzüglich an den Kunden weitergeleitet.

7.2 Sitewig unterstützt bei der Einhaltung der Art. 32–36: Sicherheit, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzungen und vorherige Konsultation.

7.3 Unterstützung, die über die Standardfunktionen hinausgeht, kann zu angemessenen zeitbasierten Sätzen berechnet werden, sofern sie nicht durch ein Verschulden von Sitewig veranlasst ist.

8. Verletzungen des Schutzes personenbezogener Daten

8.1 Sitewig benachrichtigt den Kunden unverzüglich und spätestens innerhalb von 48 Stunden, nachdem ihm eine Verletzung bekannt geworden ist, die Daten des Kunden betrifft.

8.2 Die Benachrichtigung enthält, soweit möglich, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle. Noch nicht verfügbare Informationen werden schrittweise bereitgestellt.

8.3 Der Kunde meldet die Verletzung, soweit erforderlich, innerhalb von 72 Stunden der Aufsichtsbehörde.

9. Löschung und Rückgabe (Art. 28 Abs. 3 lit. g)

Nach Beendigung des Hauptvertrags kann der Kunde seine Daten 30 Tage lang exportieren. Danach löscht Sitewig die Daten; Backup-Kopien werden innerhalb weiterer 30 Tage gelöscht, sofern nicht das Recht der EU, eines Mitgliedstaats oder des Vereinigten Königreichs eine Aufbewahrung vorschreibt.

10. Informationen und Prüfungen (Art. 28 Abs. 3 lit. h)

10.1 Sitewig stellt die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 erforderlich sind: schriftliche Dokumentation, Antworten auf angemessene Fragebögen sowie Zertifizierungen und Berichte von Unterauftragsverarbeitern (z. B. die ISO/IEC 27001 von Hetzner).

10.2 Der Kunde oder ein zur Verschwiegenheit verpflichteter unabhängiger Prüfer kann mit einer Frist von 30 Tagen höchstens einmal jährlich eine Inspektion durchführen, es sei denn, es liegt eine schwere Verletzung vor oder eine Behörde verlangt es. Der Kunde trägt seine eigenen Kosten.

11. Haftung und Laufzeit

11.1 Die Haftungsbeschränkung des Hauptvertrags gilt, soweit gesetzlich zulässig; sie gilt nicht für Ansprüche betroffener Personen oder Bußgelder, soweit das Gesetz eine Beschränkung nicht zulässt.

11.2 Dieser Vertrag gilt, solange Sitewig personenbezogene Daten für den Kunden verarbeitet.

12. Anwendbares Recht

Für diesen Vertrag gelten das anwendbare Recht und der Gerichtsstand des Hauptvertrags. Zwingende Bestimmungen der DSGVO und der UK GDPR gehen vor.

---

Anlage 1 – Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen (Zusammenfassung)

• Verschlüsselung: TLS 1.2+ bei der Übertragung (HTTPS, SMTP/IMAP mit STARTTLS/TLS), verschlüsselte Backups (AES-256).
• Zugriffskontrolle: SSH-Schlüssel, Zwei-Faktor-Authentifizierung für Administratoren, minimale Rechte, Protokollierung administrativer Zugriffe.
• Netzwerk: Firewalls, getrennte private Netzwerke, DDoS-Schutz über Hetzner.
• Isolation: Kunden getrennt pro Systembenutzer/Container und PHP-FPM-Pool.
• E-Mail: selbst betriebenes Mailu mit SPF/DKIM/DMARC, Spam- und Virenfilter; kein externer Postfachanbieter.
• Patches: kritische Updates innerhalb von 72 Stunden, andere monatlich.
• Backup: täglich, 30 Tage Aufbewahrung an einem getrennten Standort; Wiederherstellungen werden regelmäßig getestet.
• Überwachung: zentrale Protokollierung, Alarmierung und Malware-Scans.
• Organisation: Informationssicherheitsrichtlinie, Vorfallbearbeitung (NIS2: Frühwarnung 24 h, Meldung 72 h), Vertraulichkeitsvereinbarungen, Sicherheitsschulungen.
• Physische Sicherheit: nach ISO/IEC 27001 zertifizierte Rechenzentren von Hetzner.

Anlage 3 – Unterauftragsverarbeiter

Kalendersynchronisierung (Google Calendar, Microsoft Outlook): Verbindet der Kunde sein eigenes Google- oder Microsoft-Konto, werden Buchungsdaten (Leistung, Zeitpunkt, Vorname des Endkunden) auf Weisung des Kunden und im Rahmen seines eigenen Vertrags mit Google bzw. Microsoft in den Kalender des Kunden übertragen. Google und Microsoft sind hierfür keine Unterauftragsverarbeiter von Sitewig.

Stripe handelt bei Zahlungsdaten überwiegend als eigenständiger Verantwortlicher und ist kein Unterauftragsverarbeiter für die gehosteten Inhalte des Kunden. Registrierungsstellen (Punktum dk, EURid, Verisign usw.) sind eigenständige Verantwortliche.