Vertrag über die Auftragsverarbeitung

Wann dieser Vertrag greift — und wann nicht

Häufig gar nicht, und das ist eine gute Nachricht. Tutador prüft Websites von außen und wertet technische Bestandsdaten aus dem Konnektor aus. Beides sind Konfigurations- und Versionsangaben ohne Personenbezug.

Eine Auftragsverarbeitung entsteht erst dort, wo bei der Prüfung personenbezogene Daten des Auftraggebers berührt werden. Praktisch betrifft das im Wesentlichen einen Punkt: die Anzahl der Administratorkonten, die der Konnektor meldet.

Der Vertrag wird mit dem Abschluss des Hauptvertrags wirksam; einer gesonderten Unterzeichnung bedarf es nicht (Art. 28 Abs. 9 DSGVO lässt das elektronische Format ausdrücklich zu). Angemeldete Kunden können ihn im Portal jederzeit als ausgefülltes PDF für ihre Unterlagen herunterladen.

Allgemeines

(1) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag enthält nach dem Willen der Parteien und insbesondere des Auftraggebers den Auftrag zur Auftragsverarbeitung im Sinne des Art. 28 der Verordnung (EU) 2016/679 — Datenschutz-Grundverordnung (DSGVO) — und regelt die Rechte und Pflichten der Parteien im Zusammenhang mit der Datenverarbeitung.

(2) Sofern in diesem Vertrag der Begriff „Datenverarbeitung“ oder „Verarbeitung“ (von Daten) benutzt wird, wird die Definition der „Verarbeitung“ im Sinne des Art. 4 Nr. 2 DSGVO zugrunde gelegt.

Gegenstand des Auftrags

Der Auftrag des Auftraggebers an den Auftragnehmer umfasst folgende Leistungen:

• Prüfung der Website von außen — Abruf öffentlich erreichbarer Seiten, Auswertung von Serverantworten, Verschlüsselung, Sicherheits-Kopfzeilen und DNS-Einträgen.
• Prüfung von innen über den Konnektor (nur, wenn der Auftraggeber ihn installiert) — Versionsstände des Content-Management-Systems und seiner Erweiterungen, ausstehende Aktualisierungen, Absicherungseinstellungen, Prüfsummen von Kerndateien, Anzahl der Administratorkonten.
• Erstellung von Prüfberichten, Siegeln und monatlichen Nachweisdokumenten aus den vorgenannten Daten.

Zweck der Verarbeitung ist ausschließlich die Erbringung dieser Prüf- und Nachweisleistung. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers, insbesondere zu Werbe- oder Analysezwecken, findet nicht statt.

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in Deutschland statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

Art der Daten und Kreis der Betroffenen

Art der Daten. Gegenstand der Verarbeitung sind:

• technische Bestands- und Konfigurationsdaten der geprüften Website (Versionsstände, ausstehende Aktualisierungen, Absicherungseinstellungen, Prüfsummen, Serverantworten, DNS-Einträge) — ohne Personenbezug;
• die Anzahl der Administratorkonten der geprüften Website — der einzige Wert, über den ein Personenbezug mittelbar entstehen kann.

Ausdrücklich nicht verarbeitet werden Inhalte der Website, Benutzernamen, Kennwörter, E-Mail-Adressen von Besuchern oder Redakteuren sowie Bestell- und Kundendaten des Auftraggebers. Der Konnektor überträgt sie nicht und öffnet keinen Zugang zur Website; er meldet aktiv an den Auftragnehmer.

Kreis der Betroffenen. Administratoren der geprüften Website, soweit sie über die gemeldete Kontenzahl mittelbar bestimmbar sind.

Nicht Gegenstand dieses Vertrags sind die Stammdaten des Auftraggebers selbst (Name, Anschrift, Rechnungsdaten). Diese verarbeitet der Auftragnehmer als eigener Verantwortlicher — Einzelheiten in der Datenschutzerklärung.

Rechte und Pflichten des Auftraggebers

(1) Der Auftraggeber ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die Verarbeitung von Daten im Auftrag durch den Auftragnehmer. Dem Auftragnehmer steht das Recht zu, den Auftraggeber auf seiner Meinung nach rechtlich unzulässige Datenverarbeitungen hinzuweisen. Sofern der Auftragnehmer darlegen kann, dass eine Verarbeitung nach Weisung des Auftraggebers zu einer Haftung des Auftragnehmers nach Art. 82 DSGVO führen kann, steht dem Auftragnehmer das Recht frei, die weitere Verarbeitung insoweit bis zu einer Klärung der Haftung zwischen den Parteien auszusetzen.

(2) Der Auftraggeber ist als Verantwortlicher für die Wahrung der Betroffenenrechte verantwortlich. Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn Betroffene ihre Rechte gegenüber dem Auftragnehmer geltend machen.

(3) Der Auftraggeber sollte sich vor Beginn der Datenverarbeitung und sodann regelmäßig von der Einhaltung der beim Auftragnehmer getroffenen technischen und organisatorischen Maßnahmen überzeugen und das Ergebnis in geeigneter Weise dokumentieren.

(4) Der Auftraggeber hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen. Weisungen können in Textform (z. B. E-Mail) erfolgen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(5) Regelungen über eine etwaige Vergütung von Mehraufwänden, die durch ergänzende Weisungen entstehen, bleiben unberührt.

(6) Der Auftraggeber kann weisungsberechtigte Personen benennen. Ändern sich diese, teilt er es dem Auftragnehmer in Textform mit.

(7) Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten im Zusammenhang mit der Verarbeitung feststellt.

(8) Besteht eine Informationspflicht gegenüber Dritten nach Art. 33, 34 DSGVO, ist der Auftraggeber für deren Einhaltung verantwortlich.

Allgemeine Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und der erteilten Weisungen. Ausgenommen sind gesetzliche Regelungen, die zu einer anderweitigen Verarbeitung verpflichten; in einem solchen Fall teilt der Auftragnehmer diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Der Auftragnehmer verpflichtet sich, die Datenverarbeitung im Auftrag nur in Mitgliedsstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums durchzuführen.

(2) Der Auftragnehmer bestätigt, dass er keinen betrieblichen Datenschutzbeauftragten nach Art. 37 DSGVO benannt hat; die Voraussetzungen des § 38 BDSG liegen bei einem Einzelunternehmen ohne Beschäftigte nicht vor. Es bestehen betriebliche Regelungen, die eine Verarbeitung unter Einhaltung der gesetzlichen Vorschriften und dieses Vertrages gewährleisten.

(3) Der Auftragnehmer unterstützt den Auftraggeber mit angemessenen Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Lösch- und Widerspruchsbegehren (Art. 28 Abs. 3 lit. e DSGVO) sowie bei Datenschutz-Folgenabschätzung und vorheriger Konsultation, soweit ihm die erforderlichen Informationen vorliegen.

(4) Datenschutzverletzungen meldet der Auftragnehmer unverzüglich, spätestens binnen 24 Stunden nach Kenntnis, in Textform an die im Kundenkonto hinterlegte Adresse (Art. 33 Abs. 2 DSGVO) und stellt die zur Meldung erforderlichen Angaben bereit.

Kontrollbefugnisse

(1) Der Auftragnehmer weist die Einhaltung der Pflichten aus diesem Vertrag auf Anfrage in Textform nach.

(2) Der Auftraggeber kann sich nach Ankündigung mit angemessener Frist — in der Regel zwei Wochen — während der üblichen Geschäftszeiten von der Einhaltung überzeugen, auch durch einen beauftragten Prüfer. Der Prüfer darf kein Wettbewerber des Auftragnehmers sein.

(3) Kontrollen erfolgen ohne vermeidbare Störung des Betriebsablaufs. Für Aufwand, der über eine Kontrolle je Kalenderjahr hinausgeht, kann der Auftragnehmer eine angemessene Vergütung verlangen — es sei denn, die Kontrolle war durch einen Vorfall veranlasst.

Datengeheimnis und Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO). Der Auftragnehmer ist ein Einzelunternehmen; die Verpflichtung trifft den Inhaber unmittelbar. Die Verpflichtung besteht auch nach Beendigung dieses Vertrages fort.

Unterauftragnehmer

(1) Der Auftraggeber stimmt der Beauftragung der nachfolgend genannten Unterauftragnehmer zu. Weitere werden nicht eingesetzt.

(2) Keine Übermittlung in Drittländer. Alle Unterauftragnehmer haben ihren Sitz in der Europäischen Union; die Verarbeitung der Prüfdaten findet ausschließlich in Deutschland statt.

(3) Weitere Unterauftragnehmer teilt der Auftragnehmer in Textform mit einer Frist von vier Wochen im Voraus mit. Der Auftraggeber kann binnen dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; in diesem Fall darf er den Hauptvertrag außerordentlich kündigen.

Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO bestehen insbesondere:

• Verschlüsselung: ausschließlich TLS-verschlüsselte Übertragung; HSTS mit einem Jahr Gültigkeit einschließlich Unterdomains.
• Zugangskontrolle: Anmeldung mit gehashten Kennwörtern (Argon2id), Bestätigung der E-Mail-Adresse vor der ersten Anmeldung, Bremse gegen Kennwortraten.
• Zugriffskontrolle: Der Verwaltungsbereich des Auftragnehmers ist lesend nur nach Anmeldung erreichbar; jede schreibende Aktion verlangt zusätzlich eine Freischaltung je Sitzung — über einen Einmal-Link per E-Mail oder das Kontopasswort. Sämtliche Schreibvorgänge werden in einem nur anfügbaren Protokoll festgehalten.
• Trennungskontrolle: Die Daten jedes Auftraggebers sind seinem Konto zugeordnet; ein Zugriff über Kontogrenzen hinweg ist nicht vorgesehen.
• Speicherung von Geheimnissen: Der Zugangsschlüssel des Konnektors wird ausschließlich als Prüfsumme gespeichert, nie im Klartext.
• Integrität: Prüfläufe und Befunde werden fortlaufend verkettet gespeichert — jede nachträgliche Änderung und jedes Entfernen eines Laufes bricht die Kette und wird bei der Prüfung sichtbar. Siegel sind mit Ed25519 signiert und öffentlich nachprüfbar.
• Verfügbarkeit: tägliche Sicherung, zusätzlich auf getrenntem Speicher; Überwachung der nächtlichen Läufe mit Alarmierung.

Die Maßnahmen werden fortlaufend an den Stand der Technik angepasst. Änderungen dürfen das hier beschriebene Schutzniveau nicht unterschreiten.

Dauer des Auftrags

(1) Der Vertrag läuft für die Dauer des Hauptvertrags und endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf.

(2) Der Auftraggeber kann den Vertrag jederzeit fristlos kündigen, wenn ein schwerwiegender Verstoß des Auftragnehmers gegen die anzuwendenden Datenschutzvorschriften oder gegen Pflichten aus diesem Vertrag vorliegt, der Auftragnehmer eine Weisung nicht ausführen kann oder will oder er eine Kontrolle vertragswidrig verweigert.

Beendigung

(1) Nach Beendigung des Vertrages löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Auftraggebers zurück. Prüfdaten und Berichte werden 24 Monate nach dem jeweiligen Prüflauf automatisch gelöscht; der jeweils jüngste Prüflauf einer Website bleibt gespeichert, solange die Website eingetragen ist, weil er die öffentliche Prüfseite trägt. Die Frist von 24 Monaten dient der Nachweiskette gegenüber Versicherern: Auch Monate nach einem Schadensfall muss belegbar bleiben, in welchem Zustand die Website zum Prüfzeitpunkt war. Die Löschung wird in geeigneter Weise dokumentiert.

(2) Der Auftraggeber kann sein Konto und alle zugehörigen Daten jederzeit selbst im Portal endgültig löschen.

(3) Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht — insbesondere Rechnungen und Zahlungsbelege nach § 147 AO und § 14b UStG. Aus demselben Grund bleibt der Kundendatensatz beim Zahlungsdienstleister bestehen, damit Zahlungen zuordenbar bleiben; das laufende Abo wird beendet. Diese Daten werden gesperrt und nur noch zur Erfüllung der Aufbewahrungspflicht verarbeitet.

(4) Der Auftraggeber hat das Recht, die vollständige und vertragsgemäße Löschung zu kontrollieren.

Zurückbehaltungsrecht

Die Parteien sind sich darüber einig, dass die Einrede des Zurückbehaltungsrechts durch den Auftragnehmer im Sinne des § 273 BGB hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen wird.

Schlussbestimmungen

(1) Für Nebenabreden ist die Textform erforderlich.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Datenschutzfragen vor.

(3) Sollten einzelne Teile dieses Vertrages unwirksam sein, berührt dies die Wirksamkeit der übrigen Regelungen nicht.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Für die Haftung gilt Art. 82 DSGVO; im Übrigen die Regelungen des Hauptvertrags.

Ansprechpartner für den Datenschutz

Nolte IMP, Dipl.-Des. (FH) Hans-Joachim Nolte
Rohrbeckweg 6, 31319 Sehnde
E-Mail: info@nolte.pro