Vertrag zur Auftragsverarbeitung (AVV)

Stand: 10.11.2026

Auf deiner Händler-Seite bist du für die Daten deiner Besucher und Kunden verantwortlich. Wir verarbeiten diese Daten in deinem Auftrag. Dafür schreibt Art. 28 DSGVO diesen Vertrag vor. Er ist Anlage der AGB; du schließt ihn mit der Registrierung oder der Buchung eines Tarifs ab.

zwischen dem Unternehmen, das sich auf diesem Portal registriert hat („Verantwortlicher“, „Händler“), und HELLWACH Medien GmbH, Am Bachmannsgraben 57, 41844 Wegberg („Auftragsverarbeiter“, „Betreiber“).

§ 1 Gegenstand und Dauer

1.1 Der Betreiber verarbeitet personenbezogene Daten im Auftrag des Händlers, um die im Hauptvertrag (AGB des Portals) vereinbarten Leistungen zu erbringen: Bereitstellung, Hosting und Betrieb der Händler-Seite und der Verwaltung des Händlers einschließlich der Funktionen, die der Händler nutzt (z. B. Kontaktformular, Tischreservierung, Shop und Bestellungen, Gutscheine, Push-Mitteilungen, Statistik, Support).

1.2 Art und Zweck der Verarbeitung, die Kategorien der Daten und der betroffenen Personen ergeben sich aus Anlage 1.

1.3 Nicht Gegenstand dieses Vertrags sind die Verarbeitungen, für die der Betreiber des Portals selbst verantwortlich ist: das Händler-Konto, die Abrechnung des Tarifs, das Portal mit Suche, Listen und Newsletter des Portals. Dafür gilt die Datenschutzerklärung des Portals.

1.4 Der Vertrag gilt ab der Registrierung und endet mit der Löschung aller Daten nach § 9. Er endet nicht vorher, solange der Betreiber noch Daten des Händlers im Auftrag verarbeitet.

§ 2 Weisungen

2.1 Der Betreiber verarbeitet die Daten nur auf dokumentierte Weisung des Händlers, auch bei Übermittlungen in Drittländer, sofern er nicht gesetzlich zu einer Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO); in diesem Fall teilt der Betreiber dem Händler die rechtlichen Anforderungen vorher mit, soweit das Gesetz das nicht verbietet.

2.2 Die Weisungen sind im Hauptvertrag, in diesem Vertrag und durch die Einstellungen und Aktionen des Händlers in der Verwaltung festgelegt. Weitere Weisungen erteilt der Händler in Textform an info@hellwach-medien.de.

2.3 Hält der Betreiber eine Weisung für rechtswidrig, weist er den Händler unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 3 Pflichten des Betreibers

3.1 Der Betreiber verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

3.2 Der Betreiber trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

3.3 Der Betreiber unterstützt den Händler mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Dazu dienen die Funktionen der Verwaltung (Ansehen, Ändern, Löschen); was die Verwaltung nicht anbietet, erledigt der Betreiber auf Weisung. Gehen Anträge beim Betreiber ein, leitet er sie unverzüglich an den Händler weiter und beantwortet sie nicht selbst.

3.4 Der Betreiber unterstützt den Händler bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen.

3.5 Der Betreiber meldet dem Händler eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar; weitere Angaben reicht er nach.

3.6 Der Betreiber verarbeitet die Daten aus diesem Auftrag nicht für eigene Zwecke. Ausgenommen sind Zahlen ohne Personenbezug (z. B. Anzahl von Seitenaufrufen) für Betrieb, Abrechnung und Verbesserung des Dienstes.

3.7 Mitarbeitende des Betreibers greifen auf Daten aus diesem Auftrag nur zu, soweit das für Support, Fehlerbehebung, Sicherheit oder den Vertrag erforderlich ist.

§ 4 Pflichten des Händlers

4.1 Der Händler ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Rechtsgrundlagen, Einwilligungen (z. B. Push-Mitteilungen, eigene Statistik- oder Werbedienste), die Information der betroffenen Personen (Impressum und Datenschutzerklärung seiner Händler-Seite) und die Wahrung ihrer Rechte.

4.2 Der Händler informiert den Betreiber unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

4.3 Der Händler verarbeitet besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) nur, wenn er sie für seinen Zweck braucht und eine Rechtsgrundlage hat.

§ 5 Unterauftragsverarbeiter

5.1 Der Händler erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in der Liste der Unterauftragsverarbeiter und gelten als genehmigt.

5.2 Der Betreiber informiert den Händler mindestens vier Wochen vorher in Textform (E-Mail an die Anmeldeadresse) über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Händler kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Händler den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen; im Voraus gezahlte Entgelte für die Zeit danach erstattet der Betreiber anteilig.

5.3 Der Betreiber verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO), und haftet für ihn wie für eigenes Handeln.

5.4 Keine Unterauftragsverarbeiter des Betreibers sind Dienste, mit denen der Händler einen eigenen Vertrag hat oder die er selbst einbindet (z. B. das eigene Stripe-Konto für den Shop, eine eigene Google-Analytics- oder Meta-Pixel-Kennung, eigene Skripte, eingebundene Inhalte Dritter). Für sie ist der Händler selbst verantwortlich. Reine Telekommunikations- und Transportleistungen (z. B. Netzbetreiber) sind ebenfalls keine Unterauftragsverhältnisse.

§ 6 Ort der Verarbeitung, Drittländer

6.1 Der Betreiber verarbeitet die Daten in der Europäischen Union bzw. im Europäischen Wirtschaftsraum. Die Server stehen in Deutschland.

6.2 Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework, Standardvertragsklauseln). Betroffene Unterauftragsverarbeiter sind in der Liste gekennzeichnet.

§ 7 Nachweise und Kontrollen

7.1 Der Betreiber weist die Einhaltung dieses Vertrags durch geeignete Unterlagen nach (z. B. die Maßnahmen in Anlage 2, Nachweise des Rechenzentrums, Selbstauskünfte).

7.2 Der Händler kann darüber hinaus Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen, nach Anmeldung mit angemessener Frist (in der Regel vier Wochen), zu den Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit gegenüber anderen Händlern. Den Aufwand für mehr als eine Kontrolle pro Jahr kann der Betreiber angemessen berechnen, außer die Kontrolle ist wegen einer Datenschutzverletzung des Betreibers veranlasst.

§ 8 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 9 Ende des Auftrags: Rückgabe und Löschung

9.1 Während der Laufzeit kann der Händler Anfragen, Reservierungen, Bestellungen und Inhalte in der Verwaltung ansehen und, soweit die Verwaltung das anbietet, selbst löschen.

9.2 Nach Ende des Hauptvertrags oder auf Weisung des Händlers löscht der Betreiber die Daten aus diesem Auftrag innerhalb von 30 Tagen und bestätigt die Löschung in Textform. Verlangt der Händler die Daten vorher heraus, stellt der Betreiber sie in einem gängigen Format bereit.

9.3 Gesetzliche Aufbewahrungspflichten des Betreibers (z. B. für Rechnungen über den Tarif) bleiben unberührt; sie betreffen keine Daten aus diesem Auftrag. Gelöschte Daten verschwinden mit dem Ablauf des Sicherungszyklus (Anlage 2) auch aus den Datensicherungen.

§ 10 Schlussbestimmungen

10.1 Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.

10.2 Änderungen dieses Vertrags erfolgen nach dem Verfahren für Änderungen der AGB. Eine neue Fassung bekommt ein neues Datum („Stand“).

10.3 Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Art der Daten, betroffene Personen, Zwecke

Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen; verarbeitet sie der Händler trotzdem (z. B. Angaben zu Allergien in einer Reservierung), gelten die Maßnahmen entsprechend und der Händler ist für die Rechtsgrundlage verantwortlich.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Rechenzentrum: Strato AG, Otto-Ostrowski-Straße 7, 10249 Berlin, Standort Deutschland; Zutrittskontrolle durch das Rechenzentrum. Mit dem Rechenzentrum besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.
• Serverzugang nur für berechtigte Administratoren des Betreibers; die Datenbank ist nicht aus dem Internet erreichbar.
• Verwaltung des Händlers: Anmeldung mit E-Mail-Adresse und Passwort; Passwörter werden nur als Hash gespeichert; Bremse bei wiederholten Fehlversuchen.
• Trennung: Jeder Händler sieht in der Verwaltung nur die Daten seines eigenen Kontos; die Portale verschiedener Betreiber-Kunden sind voneinander getrennt.

Integrität

• Übertragung verschlüsselt (HTTPS/TLS).
• Öffentliche Formulare sind gegen automatisierte Einsendungen geschützt (Aufgabe im Browser ohne Dienst eines Dritten, Begrenzung der Anzahl von Einsendungen); Eingaben werden geprüft und bereinigt.

Verfügbarkeit und Belastbarkeit

• Mindestens tägliche Datensicherung von Datenbank und Dateien; die Sicherungen werden höchstens 180 Tage aufbewahrt.
• Überwachung der Erreichbarkeit; Sicherheitsupdates für Betriebssystem, Webserver und Datenbank.

Regelmäßige Überprüfung

• Automatisierte Tests vor jeder Auslieferung (Regressions- und Sicherheitsprüfungen).
• Jährliche Überprüfung dieser Maßnahmen; Verpflichtung der Mitarbeitenden auf Vertraulichkeit und Datenschutz.

Auftragskontrolle

• Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; die Liste ist öffentlich; Änderungen mit Vorankündigung.