Vertrag zur Auftragsverarbeitung (AVV)

Präambel

Dieser Vertrag konkretisiert die Pflichten der Parteien zum Datenschutz, die sich aus der Nutzung des Dienstes PageBee ergeben. Er gilt zwischen dem Kunden als Verantwortlichem (nachfolgend „Verantwortlicher“) und Pagebee UG (haftungsbeschränkt), Emsdettener Str. 87a, 48485 Neuenkirchen, als Auftragsverarbeiter (nachfolgend „PageBee“). Soweit PageBee personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet – etwa Daten von Websitebesuchern, aus Kontaktformularen oder Online-Reservierungen –, gelten die nachfolgenden Regelungen.

§ 1 Gegenstand, Art, Zweck und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch PageBee im Rahmen der Erstellung, des Betriebs und der Pflege der Website des Verantwortlichen.
2. Art und Zweck: Hosting der Website, Speicherung und Übermittlung von Inhalten, Verarbeitung von Anfragen aus Kontaktformularen und Online-Reservierungen sowie technische Reichweitenmessung, soweit aktiviert.
3. Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Sie endet mit dessen Beendigung; § 9 (Löschung/Rückgabe) bleibt unberührt.

§ 2 Datenarten und betroffene Personen

1. Datenarten: Kontakt- und Stammdaten (Name, Anschrift, E-Mail, Telefon), Inhalts- und Kommunikationsdaten aus Formularen/Reservierungen, Nutzungs- und Verbindungsdaten (z. B. Server-Logs), anonymisierte Reichweitendaten.
2. Betroffene Personen: Websitebesucher, Interessenten sowie Kundinnen und Kunden des Verantwortlichen.

§ 3 Weisungsbindung

PageBee verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, einschließlich der Übermittlung in Drittländer, sofern nicht eine gesetzliche Verpflichtung besteht. Die im Hauptvertrag und in diesem AVV festgelegten Leistungen gelten als dokumentierte Weisung. PageBee informiert den Verantwortlichen, wenn eine Weisung nach Auffassung von PageBee gegen datenschutzrechtliche Vorschriften verstößt.

§ 4 Technisch-organisatorische Maßnahmen (Art. 32 DSGVO)

PageBee trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen und hält sie auf dem Stand der Technik. Maßnahmen können fortentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.
2. PageBee informiert den Verantwortlichen über beabsichtigte Änderungen; der Verantwortliche kann aus wichtigem Grund widersprechen.
3. PageBee verpflichtet Unterauftragsverarbeiter auf ein gleichwertiges Datenschutzniveau (Art. 28 Abs. 4 DSGVO).

§ 6 Unterstützung des Verantwortlichen

PageBee unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) sowie bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO). Richtet sich eine betroffene Person direkt an PageBee, leitet PageBee das Anliegen unverzüglich weiter.

§ 7 Meldung von Verletzungen

PageBee meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden an den Verantwortlichen und unterstützt diesen bei dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

§ 8 Nachweise und Kontrollen

PageBee stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO), die auch durch Vorlage geeigneter Nachweise oder Zertifikate erfolgen können.

§ 9 Löschung und Rückgabe

Nach Beendigung der Verarbeitung löscht PageBee die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Es gilt der im Hauptvertrag vereinbarte Übergangszeitraum.

§ 10 Drittlandtransfer

Soweit Daten an Unterauftragsverarbeiter in Drittländern übermittelt werden, erfolgt dies auf Grundlage geeigneter Garantien nach Art. 46 DSGVO (insbesondere EU-Standardvertragsklauseln). Die Speicherung der Website-Daten erfolgt vorrangig auf Servern in Deutschland.

§ 11 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen geht dieser AVV den Regelungen des Hauptvertrags in datenschutzrechtlichen Fragen vor. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. Ergänzend gelten die AGB und die Datenschutzerklärung.

Anlage 1 – Technisch-organisatorische Maßnahmen

• Betrieb von Studio, Datenbank und Backups auf Servern in Deutschland (Hetzner); Datenbank nicht öffentlich erreichbar (nur internes Netz). Die veröffentlichten Websites werden über ein CDN ausgeliefert (siehe Anlage 2).
• Tägliche, serverseitige und verschlüsselte Datenbank-Backups (asymmetrische Verschlüsselung; der private Schlüssel wird offline verwahrt); Aufbewahrung 30 Tage, danach automatische Löschung (Rotation).
• Zugangskontrolle: individuelle Konten, Passwörter ausschließlich als bcrypt-Hash, Brute-Force-Schutz, rollenbasierte Berechtigungen.
• Trennungskontrolle: mandantengetrennte Speicherung je Kunde/Website.
• Übertragungssicherheit: TLS-Verschlüsselung; signaturgeprüfte Webhooks; Einmal-Token nur als Hash gespeichert.
• Reichweitenmessung ohne Speicherung von Klartext-IP-Adressen (täglich rotierender, anonymer Hash).
• Datenminimierung: automatisierte Löschfristen für Reservierungen, Vorschau-Anfragen und Protokolle (täglicher Job).
• Nachvollziehbarkeit: Änderungen an Websites werden als Git-Commits und Revisionseinträge protokolliert.
• Verfügbarkeit: automatischer Dienst-Neustart, tägliche Backups sowie ein dokumentiertes Verfahren zur Wiederherstellung aus dem Backup.
• Betroffenenrechte: Verfahren zur Löschung (Art. 17) technisch umgesetzt.

Anlage 2 – Unterauftragsverarbeiter

Diese Liste wird vor der Produktivfreigabe auf Vollständigkeit und Aktualität geprüft und bei Änderungen im Kreis der Unterauftragsverarbeiter aktualisiert.

Stand: Oktober 2026 · Version 0.4