zwischen
BroDesigns OOD
ul. „Petar Enchev“ 15
9000 Varna
Bulgarien
(im Folgenden „Auftragsverarbeiter“)
und
dem Kunden
(im Folgenden „Verantwortlicher“)
– gemeinsam „Parteien“ –
(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen gemäß Art. 28 DSGVO.
(2) Gegenstand der Verarbeitung sind personenbezogene Daten, die im Rahmen von Hosting-, Wartungs-, Webdesign-, Support- oder sonstigen Dienstleistungen verarbeitet werden, die der Kunde bei BroDesigns OOD bucht.
(3) Die Dauer des Vertrages entspricht der Dauer des jeweiligen Hauptvertrages (Hosting, Wartung, Webdesign, Coaching oder sonstige Dienstleistungen). Nach Beendigung gelten die Regelungen zur Löschung gemäß § 12.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich zu folgenden Zwecken:
Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
Verarbeitet werden können u. a.:
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich nach dokumentierten Weisungen des Verantwortlichen.
(2) Mündliche Weisungen sind unverzüglich schriftlich oder per E-Mail zu bestätigen.
(3) Verstößt eine Weisung gegen Datenschutzrecht, weist der Auftragsverarbeiter den Verantwortlichen darauf hin.
Der Auftragsverarbeiter verpflichtet sich:
personenbezogene Daten nur im Rahmen dieses AVV zu verarbeiten,
Vertraulichkeit sicherzustellen,
technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO einzuhalten,
den Verantwortlichen bei Betroffenenrechten zu unterstützen,
Datenschutzverstöße unverzüglich zu melden,
ein Verzeichnis von Verarbeitungstätigkeiten zu führen,
Subunternehmer nur gemäß § 7 einzusetzen.
Der Auftragsverarbeiter stellt insbesondere folgende Maßnahmen sicher:
SSL-/TLS-Verschlüsselung aller übertragenen Daten
Pseudonymisierung und Kürzung von IP-Adressen soweit möglich
Zugriffsschutz über Passwörter, 2-Faktor-Authentifizierung
Firewall- und Sicherheitskonfigurationen
Einsatz von Wordfence oder gleichwertiger Sicherheitssoftware
regelmäßige Updates von WordPress, Plugins und Themes
Protokollierung von Serverzugriffen
verschlüsselte Übertragung bei Datenaustausch
Backups auf gesicherten Servern (eigene Server + Nextcloud)
restriktive Zugriffsrechte für Mitarbeiter/Partner
Hosting in deutschen Rechenzentren (PixelX)
Eine vollständige TOM-Liste kann jederzeit angefordert werden.
Der Einsatz von Subunternehmern ist zulässig, sofern:
der Verantwortliche darüber informiert wird und
ein Vertrag nach Art. 28 DSGVO mit dem Subunternehmer besteht.
Der Auftragsverarbeiter setzt derzeit folgende Subunternehmer ein:
PixelX – Hosting und Serverinfrastruktur (Deutschland)
Nextcloud (selbst gehostet) – externe Backup-Speicherung
Notion Labs (USA) – optionale Projektdokumentation
OpenAI (USA) – Texterstellung (optional, nur auf Anweisung)
KI-Bildgenerierung nach Anbieterwahl (optional, nur auf Anweisung)
Werden neue Subunternehmer eingesetzt, wird der Verantwortliche informiert.
Der Verantwortliche ist verantwortlich für:
die Rechtmäßigkeit der Datenverarbeitung
die Inhalte seiner Website
die Rechtstexte (Impressum, Datenschutz, Cookie-Banner)
die korrekte Konfiguration externer Dienste
ggf. die Einholung von Einwilligungen
eigene Datensicherungsmaßnahmen außerhalb der von BroDesigns erbrachten Leistung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei:
Erfüllung von Betroffenenrechten (Auskunft, Löschung, Berichtigung)
Meldepflichten bei Datenschutzverletzungen
datenschutzrechtlichen Bewertungen (z. B. Privacy by Design)
Durch den Kunden verursachte Zusatzaufwände können kostenpflichtig sein.
Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich (innerhalb von 24 Stunden), wenn:
ein Verdacht auf unbefugten Zugriff besteht,
Daten verloren gegangen sind oder
Daten rechtswidrig verarbeitet wurden.
Alle am Projekt beteiligten Personen sind zur Vertraulichkeit verpflichtet. Zugangsdaten werden sicher gespeichert oder verschlüsselt übermittelt.
Nach Beendigung des Vertrages gilt:
Das Master-Backup bleibt 1 Monat gespeichert und wird anschließend gelöscht.
Regelmäßige Backups werden 1 Monat nach Vertragsende gelöscht.
Auf Wunsch erhält der Kunde die Daten vor der Löschung.
Eine darüber hinausgehende Aufbewahrung erfolgt nur auf ausdrückliche Weisung.
Gesetzliche Aufbewahrungsfristen bleiben unberührt.
Der Verantwortliche ist berechtigt, Nachweise über die Einhaltung der technischen und organisatorischen Maßnahmen anzufordern.
Die Vergütung richtet sich nach dem jeweiligen Hosting- oder Wartungsvertrag. Datenschutzleistungen, die über die vereinbarte Pflicht hinausgehen, sind kostenpflichtig.
Für Schäden gelten die Haftungsregelungen aus dem Hauptvertrag (AGB). Der Auftragsverarbeiter haftet nur bei vorsätzlicher oder grob fahrlässiger Pflichtverletzung.
(1) Änderungen oder Ergänzungen dieses Vertrags bedürfen der Textform.
(2) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Rest wirksam.
(3) Es gilt das Recht der Republik Bulgarien.