Vertrag zur Auftragsverarbeitung (AVV)

nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden eines Hosting-Vertrags auf ibou.net (nachfolgend „Auftraggeber“)

und der Glück IT, Inhaber Frank Glück, Mülhausener Straße 4a, 51375 Leverkusen, E-Mail: info@glueck.it (nachfolgend „Auftragnehmer“)

Stand: 16. Oktober 2026

§ 1 Gegenstand, Dauer und Geltung

(1) Der Auftragnehmer stellt dem Auftraggeber im Rahmen eines Hosting-Vertrags (§ 6a der AGB, nachfolgend „Hauptvertrag“) Webspace, Datenbank und E-Mail-Postfach bereit. Verarbeitet der Auftraggeber dort personenbezogene Daten, verarbeitet der Auftragnehmer diese in seinem Auftrag. Dieser Vertrag regelt die Rechte und Pflichten der Parteien hierzu.

(2) Dieser Vertrag ist Bestandteil des Hauptvertrags und wird mit ihm geschlossen (§ 6a Abs. 7 der AGB). Es gilt die bei Abschluss des Hauptvertrags abrufbare Fassung; Änderungen bedürfen der Textform (§ 11) oder erfolgen nach § 6 Abs. 2. Er gilt, soweit die DSGVO auf die Verarbeitung durch den Auftraggeber anwendbar ist, und läuft so lange wie der Hauptvertrag; die Pflichten aus § 9 bestehen bis zur vollständigen Löschung der Daten fort.

(3) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, Betroffene

(1) Art und Zweck: Speichern, Bereitstellen und Übermitteln von Daten im Webspace, in der Datenbank und im Postfach des Auftraggebers; Empfang, Zustellung und Versand von E-Mails einschließlich der Prüfung auf Spam und Schadsoftware nach den Einstellungen des Auftraggebers; Protokollierung von Zugriffen und E-Mail-Verkehr für Betrieb und Sicherheit; Datensicherung und Wiederherstellung; Löschung. Für eigene Zwecke verarbeitet der Auftragnehmer nur die Protokolle der Anmeldungen an Webspace und Postfach, um Missbrauch der Zugänge abzuwehren (siehe Datenschutzerklärung).

(2) Art der Daten: alle Daten, die der Auftraggeber in Webspace, Datenbank und Postfach ablegt oder dort empfängt — insbesondere Kontakt- und Kommunikationsdaten, Inhalte von E-Mails und Dateien, Nutzungs- und Verbindungsdaten der Besucher seiner Website (z. B. IP-Adresse, Zeitpunkt, abgerufene Adresse, Browser-Kennung) und E-Mail-Metadaten (Absender, Empfänger, Zeitpunkt). Welche Daten das im Einzelnen sind, bestimmt der Auftraggeber; besondere Kategorien nach Art. 9 DSGVO verarbeitet der Auftragnehmer nur, soweit der Auftraggeber sie selbst dort ablegt.

(3) Betroffene: Besucher und Nutzer der Website des Auftraggebers, seine Kommunikationspartner per E-Mail, seine Kunden, Interessenten, Beschäftigten und sonstige Personen, deren Daten der Auftraggeber dort verarbeitet.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder Deutschlands hierzu verpflichtet; in einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

(2) Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die der Auftraggeber selbst vornimmt (etwa Spamfilter, Weiterleitungen, Löschungen). Weitere Weisungen erteilt der Auftraggeber in Textform (z. B. per E-Mail an info@glueck.it).

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich; er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Er nimmt auf Inhalte des Auftraggebers nur Zugriff, soweit es für die Leistung, für eine Weisung, zur Störungsbeseitigung oder zur Prüfung einer Meldung nach § 5 Abs. 4 der AGB erforderlich ist.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird; wesentliche Änderungen dokumentiert er.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt allgemein die Beauftragung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Bei Vertragsschluss ist eingesetzt:

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann der Änderung innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt der Änderung kündigen; das Recht zur Kündigung nach dem Hauptvertrag bleibt unberührt.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO).

(4) Inhalte und Protokolle werden ausschließlich in Deutschland gespeichert — im Rechenzentrum nach Absatz 1 und, für die zweite Datensicherung, auf einem eigenen System des Auftragnehmers. Für die HTTPS-Zertifikate übermittelt der Auftragnehmer die Hostnamen der Website an die Zertifizierungsstelle Let’s Encrypt (Internet Security Research Group, USA); sie werden dabei in öffentlichen Certificate-Transparency-Protokollen veröffentlicht. Für die Prüfung eingehender E-Mails gleicht er die IP-Adresse des einliefernden Servers, die Absenderdomain und die Domains von Links in der Nachricht mit den Sperrlisten der Spamhaus Technology Ltd. (Vereinigtes Königreich, Angemessenheitsbeschluss der EU-Kommission) ab und übermittelt Prüfsummen der Nachricht, aus denen sich ihr Inhalt nicht wiederherstellen lässt, an den Abgleichdienst des Filterherstellers (rspamd); den Nachrichtentext selbst übermittelt er nicht. Eine Verarbeitung in einem Drittland setzt eine vorherige Information nach Absatz 2 und die Einhaltung der Art. 44 ff. DSGVO voraus.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 22 DSGVO) zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter.

(2) Er unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(3) Eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, meldet der Auftragnehmer dem Auftraggeber unverzüglich, nachdem sie ihm bekannt geworden ist, per E-Mail mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

§ 8 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei (Art. 28 Abs. 3 Satz 2 lit. h DSGVO). Überprüfungen vor Ort werden mit angemessener Frist angekündigt und während der üblichen Geschäftszeiten durchgeführt; der Nachweis kann auch durch Vorlage aktueller Nachweise der Unterauftragsverarbeiter (etwa Zertifizierungen des Rechenzentrums) erbracht werden.

§ 9 Löschung und Rückgabe nach dem Ende des Auftrags

(1) Nach dem Ende des Hauptvertrags löscht der Auftragnehmer Webspace, Datenbank und Postfach samt aller Daten des Auftraggebers nach 30 Tagen. Bis dahin stellt er dem Auftraggeber die Daten auf Anfrage unentgeltlich innerhalb angemessener Frist in einem gängigen, maschinenlesbaren Format (Dateien als Archiv, Datenbank als SQL-Export, Postfach im Maildir- oder mbox-Format) zum Herunterladen bereit (Rückgabe), auch wenn der Zugang zuvor gesperrt war. Auf Weisung des Auftraggebers löscht der Auftragnehmer die Daten auch vor Ablauf dieser Frist.

(2) Sicherungskopien werden nach Ablauf der Aufbewahrungsdauer gelöscht, die die Anlage nennt. Vollständig gelöscht sind die Daten mit Ablauf der letzten Sicherungskopie, spätestens 60 Tage nach dem Ende des Hauptvertrags. Eine Pflicht zur weiteren Speicherung nach dem Recht der Union oder Deutschlands bleibt unberührt (Art. 28 Abs. 3 Satz 2 lit. g DSGVO).

§ 10 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich (Art. 24 DSGVO), insbesondere für die Information seiner Website-Besucher und Kommunikationspartner (Art. 13, 14 DSGVO). Er informiert den Auftragnehmer unverzüglich, wenn er bei der Prüfung der Ergebnisse Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.

§ 11 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Im Übrigen gelten die Bestimmungen des Hauptvertrags und der AGB, im Verhältnis der Parteien einschließlich der Haftungsregeln; die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt. Sollte eine Bestimmung dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Die Server stehen in einem Rechenzentrum der OVH GmbH in Deutschland mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal; der Auftragnehmer selbst hat dort keinen physischen Zugang. Das System für die zweite Datensicherung steht in nicht öffentlich zugänglichen Räumen des Auftragnehmers, zu denen nur der Inhaber Zugang hat.
• Zugangskontrolle: Verwaltungszugänge zu den Servern nur über verschlüsselte Verbindungen und nur für den Inhaber; Zugänge der Kunden zu Webspace, Datenbank und Postfach mit eigenen Zugangsdaten je Kunde; Sperre nach wiederholten Fehlversuchen bei der Anmeldung.
• Zugriffskontrolle: Trennung der Kunden voneinander durch eigene Benutzerkonten und Verzeichnisse je Webspace und eigene Datenbank-Benutzer; Zugriff auf Inhalte durch den Auftragnehmer nur im Rahmen von § 4.
• Trennungskontrolle: Daten verschiedener Kunden werden getrennt gespeichert; eigene Daten des Auftragnehmers (etwa die Website ibou.net) liegen getrennt von den Kundendaten.

Integrität

• Weitergabekontrolle: Übertragung von Webseiten über HTTPS (Zertifikate über Let’s Encrypt); Abruf von E-Mails und Einlieferung durch den Kunden ausschließlich über verschlüsselte Verbindungen (TLS), Zustellung an fremde Mailserver verschlüsselt, soweit der Empfängerserver dies unterstützt; Hochladen von Dateien per FTPS (verschlüsselt); unverschlüsseltes FTP schaltet der Auftragnehmer nur auf ausdrückliche Weisung des Auftraggebers frei; keine Weitergabe an Dritte außer an den Unterauftragsverarbeiter, die Zertifizierungsstelle und die Abgleichdienste des Spamfilters nach § 6.
• Eingabekontrolle: Protokollierung von Anmeldungen an Webspace und Postfach und des E-Mail-Verkehrs; Aufbewahrung der Protokolle 14 Tage.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Datensicherung von Webspace, Datenbank und Postfach an zwei Standorten in Deutschland (Rechenzentrum der OVH GmbH und eigenes System des Auftragnehmers, zu dem nur der Inhaber Zugang hat); Aufbewahrung jeder Sicherungskopie in der Regel höchstens 30 Tage, bei individuell vereinbarter längerer Aufbewahrung für die vereinbarte Dauer; vollständige Löschung spätestens 60 Tage nach dem Ende des Hauptvertrags.
• Automatische Prüfung eingehender E-Mails auf Spam und Schadsoftware.
• Zeitnahe Installation von Sicherheitsaktualisierungen für Betriebssystem und Serverdienste.
• Stromversorgung, Klimatisierung und Brandschutz durch das Rechenzentrum.

Verfahren zur regelmäßigen Überprüfung

• Überprüfung der Maßnahmen bei wesentlichen Änderungen der Server oder Dienste, mindestens jährlich.
• Meldewege für Datenschutzverletzungen nach § 7 Abs. 3.