Datenschutz · Art. 28 DSGVO

Vereinbarung zur Auftragsverarbeitung (AVV)

gemäß Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) – inkl. Klausel zur KI-Verordnung (EU AI Act, VO 2024/1689).

Vertragsparteien

– Verantwortlicher und Auftragsverarbeiter einzeln auch „Partei“, gemeinsam „Parteien“ –

Präambel

§ 1 Gegenstand, Umfang und Dauer der Vereinbarung

(1) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen. Gegenstand, Art und Zweck der Verarbeitung, die Art der personenbezogenen Daten sowie die Kategorien betroffener Personen ergeben sich abschließend aus Anlage 1.

(2) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierter Weisung des Verantwortlichen, soweit nicht eine Rechtsvorschrift der Union oder der Mitgliedstaaten, der der Auftragsverarbeiter unterliegt, ihn zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO).

(3) Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet grundsätzlich in einem Mitgliedstaat der EU oder einem anderen Vertragsstaat des EWR statt. Soweit für die beauftragten Leistungen Dienste mit Verarbeitung in einem Drittland eingesetzt werden (siehe Anlage 3), erfolgt dies nur unter Einhaltung der Voraussetzungen des Kapitels V DSGVO (§ 11).

(4) Diese Vereinbarung beginnt mit ihrer beidseitigen Unterzeichnung und gilt für die Dauer des Hauptvertrags. Sie endet automatisch mit Beendigung des Hauptvertrags, unbeschadet fortbestehender Pflichten (insb. § 9 Löschung/Rückgabe, § 4 Vertraulichkeit). Eine gesonderte Kündigung dieser AVV ohne Beendigung des Hauptvertrags ist nicht möglich; das Recht zur außerordentlichen Kündigung des Hauptvertrags aus datenschutzrechtlichen Gründen bleibt unberührt.

§ 2 Art und Zweck der Verarbeitung; Konkretisierung des Auftrags

(1) Art, Umfang und Zweck der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter, die Art der Daten und der Kreis der betroffenen Personen werden in Anlage 1 näher bestimmt.

(2) Die Verarbeitung umfasst je nach beauftragter Leistung insbesondere das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Verbreiten, Bereitstellen, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten von Daten.

(3) Die Verarbeitung erfolgt zweckgebunden zur Erbringung der im Hauptvertrag und in Anlage 1 beschriebenen Leistungen. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Mündliche Weisungen sind unverzüglich schriftlich oder in Textform (E-Mail genügt) zu bestätigen.

(2) Weisungsbefugte und weisungsempfangsberechtigte Personen werden in Anlage 1 benannt. Änderungen sind der jeweils anderen Partei in Textform mitzuteilen.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen sonstige Datenschutzbestimmungen verstößt (Art. 28 Abs. 3 Satz 2 DSGVO). Er ist berechtigt, die Durchführung der betreffenden Weisung auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

(4) Weisungen, die über den im Hauptvertrag vereinbarten Leistungsumfang hinausgehen, werden als Antrag auf Leistungsänderung behandelt und können gesondert vergütungspflichtig sein.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter wahrt über die im Rahmen des Auftrags verarbeiteten personenbezogenen Daten Verschwiegenheit. Diese Verpflichtung besteht auch nach Beendigung dieser Vereinbarung fort.

(2) Der Auftragsverarbeiter setzt ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet und mit den maßgeblichen Datenschutzbestimmungen vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Verpflichtung erfolgt nachweisbar und gilt über das Ende der jeweiligen Tätigkeit hinaus fort.

(3) Auf Verlangen weist der Auftragsverarbeiter dem Verantwortlichen die erfolgten Vertraulichkeitsverpflichtungen in geeigneter Weise nach.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung und der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen die erforderlichen technischen und organisatorischen Maßnahmen (TOM) zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus.

(2) Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben und vom Verantwortlichen als angemessen anerkannt.

(3) Die TOM unterliegen dem technischen und organisatorischen Fortschritt und können vom Auftragsverarbeiter weiterentwickelt werden, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren und dem Verantwortlichen auf Anfrage mitzuteilen.

§ 6 Inanspruchnahme weiterer Auftragsverarbeiter (Sub-Auftragsverarbeiter)

(1) Die Inanspruchnahme weiterer Auftragsverarbeiter (Sub-Auftragsverarbeiter i.S.d. Art. 28 Abs. 2 und 4 DSGVO) ist nur mit allgemeiner schriftlicher Genehmigung des Verantwortlichen zulässig. Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zur Beauftragung der in Anlage 3 aufgeführten Sub-Auftragsverarbeiter.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder den Austausch weiterer Auftragsverarbeiter. Der Verantwortliche kann einer solchen Änderung aus wichtigem, datenschutzrechtlich begründetem Grund binnen vierzehn (14) Tagen ab Zugang der Information in Textform widersprechen. Erfolgt kein fristgerechter Widerspruch, gilt die Änderung als genehmigt. Im Falle eines berechtigten Widerspruchs ist der Auftragsverarbeiter berechtigt, die betroffene Leistung anzupassen oder – sofern eine datenschutzkonforme Erbringung nicht zumutbar möglich ist – den Hauptvertrag hinsichtlich der betroffenen Leistung zu beenden.

(3) Der Auftragsverarbeiter verpflichtet den Sub-Auftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in dieser Vereinbarung festgelegt sind, insbesondere auf hinreichende Garantien für geeignete TOM (Art. 28 Abs. 4 DSGVO). Kommt der Sub-Auftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten dieses Sub-Auftragsverarbeiters.

(4) Nicht als Sub-Auftragsverarbeitung gelten Nebenleistungen, die der Auftragsverarbeiter als Unterstützungsleistung in Anspruch nimmt (z. B. Telekommunikations-, Post-/Transport-, Reinigungs- oder Wartungsdienste). Der Auftragsverarbeiter trifft jedoch auch hier angemessene Schutzvorkehrungen.

(5) Eine Übermittlung an Sub-Auftragsverarbeiter in einem Drittland ist nur unter Einhaltung der Voraussetzungen des § 11 zulässig.

§ 7 Unterstützungspflichten des Auftragsverarbeiters

(1) Betroffenenrechte (Art. 28 Abs. 3 lit. e DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) nachzukommen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern keine entsprechende Weisung vorliegt.

(2) Sicherheit, Meldepflichten, Folgenabschätzung (Art. 28 Abs. 3 lit. f, Art. 32–36 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32 (Sicherheit), Art. 33/34 (Meldung/Benachrichtigung von Verletzungen), Art. 35 (Datenschutz-Folgenabschätzung) und Art. 36 (vorherige Konsultation der Aufsichtsbehörde).

(3) Soweit der hierfür erforderliche Aufwand über die vertraglich geschuldete Mitwirkung hinausgeht, kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, sofern die Unterstützungsleistung nicht auf ein Verschulden des Auftragsverarbeiters zurückzuführen ist.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten (Data Breach) im Rahmen der Auftragsverarbeitung unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung, in Textform an den in Anlage 1 genannten Datenschutzkontakt.

(2) Die Meldung enthält, soweit möglich: a) eine Beschreibung der Art der Verletzung einschließlich – soweit bekannt – der Kategorien und der ungefähren Zahl betroffener Personen und Datensätze; b) die wahrscheinlichen Folgen; c) die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung; d) Name und Kontaktdaten einer Anlaufstelle.

(3) Die Pflicht zur Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und zur Benachrichtigung betroffener Personen (Art. 34 DSGVO) obliegt dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn hierbei gemäß § 7.

§ 9 Löschung und Rückgabe nach Beendigung der Verarbeitung

(1) Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Speicherpflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Der Verantwortliche teilt seine Wahl (Löschung oder Rückgabe) spätestens bei Beendigung in Textform mit. Ohne anderslautende Weisung erfolgt die Löschung innerhalb von dreißig (30) Tagen nach Beendigung. Die Rückgabe erfolgt in einem gängigen, strukturierten und maschinenlesbaren Format.

(3) Vorhandene Kopien, Backups und Sicherungskopien werden gelöscht, sobald dies nach dem regulären Sicherungs- und Löschzyklus möglich ist; bis dahin bleiben die Daten durch die TOM (Anlage 2) geschützt und werden nicht aktiv verarbeitet.

(4) Dokumentation zum Nachweis ordnungsgemäßer Datenverarbeitung ist entsprechend den gesetzlichen Aufbewahrungsfristen auch über das Vertragsende hinaus aufzubewahren.

(5) Die erfolgte Löschung ist dem Verantwortlichen auf Verlangen in Textform zu bestätigen.

§ 10 Nachweis- und Kontrollrechte (Audit)

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in dieser Vereinbarung niedergelegten Pflichten zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Auftragsverarbeiter ermöglicht und trägt zu Überprüfungen – einschließlich Inspektionen – bei, die vom Verantwortlichen oder einem von diesem beauftragten, zur Vertraulichkeit verpflichteten Prüfer durchgeführt werden. Der Nachweis kann auch durch geeignete Zertifizierungen, genehmigte Verhaltensregeln (Art. 40, 42 DSGVO) oder aktuelle Testate sachverständiger Dritter erfolgen.

(3) Vor-Ort-Kontrollen sind mit angemessener Vorankündigung (in der Regel mindestens zehn (10) Werktage), während der üblichen Geschäftszeiten, ohne Störung des Betriebsablaufs und grundsätzlich nicht häufiger als einmal jährlich durchzuführen, es sei denn, es liegt ein konkreter Anlass (z. B. eine Datenschutzverletzung oder behördliche Anordnung) vor.

(4) Für den durch Audits entstehenden, über die gesetzliche Mitwirkungspflicht hinausgehenden Aufwand kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, sofern kein konkreter Anlass aus seiner Sphäre besteht.

§ 11 Drittlandtransfer

(1) Eine Verarbeitung in einem Drittland (außerhalb EU/EWR) findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Zulässige Grundlagen sind insbesondere: a) ein Angemessenheitsbeschluss der Europäischen Kommission (Art. 45 DSGVO), einschließlich – für US-Empfänger – einer gültigen Zertifizierung unter dem EU-U.S. Data Privacy Framework (DPF); b) der Abschluss der EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss (EU) 2021/914) in der jeweils geltenden Fassung, ergänzt um erforderliche zusätzliche Schutzmaßnahmen (Transfer Impact Assessment); c) sonstige geeignete Garantien gemäß Art. 46 DSGVO.

(2) Mehrere der in Anlage 3 genannten Sub-Auftragsverarbeiter (insbesondere US-Anbieter wie Google, OpenAI, Anthropic, Make.com, Zapier sowie eingesetzte Bild-/Video-KI-Dienste) können Daten in Drittländern verarbeiten. Der Auftragsverarbeiter stellt sicher, dass für diese Übermittlungen eine der vorgenannten Garantien besteht, und weist dies dem Verantwortlichen auf Verlangen nach.

(3) Der Verantwortliche genehmigt die in Anlage 3 dokumentierten Drittlandübermittlungen auf Grundlage der dort jeweils angegebenen Transfermechanismen.

§ 12 KI-Einsatz und Pflichten nach der KI-Verordnung (EU AI Act, VO 2024/1689)

(1) Transparenz. Der Auftragsverarbeiter setzt zur Leistungserbringung KI-Systeme bzw. KI-Modelle (u. a. von OpenAI, Anthropic, Google sowie generative Bild-/Video-/Audio-Dienste) ein. Er informiert den Verantwortlichen auf Verlangen darüber, an welchen Stellen und zu welchem Zweck KI eingesetzt wird.

(2) Zulässige Nutzung / verbotene Praktiken. Der Auftragsverarbeiter setzt KI ausschließlich für zulässige Zwecke ein. Verbotene Praktiken i.S.d. Art. 5 KI-VO (z. B. unzulässiges Social Scoring, manipulative Techniken, unzulässige biometrische Kategorisierung) sind ausgeschlossen. Eine Verwendung als Hochrisiko-KI-System i.S.d. Art. 6 i.V.m. Anhang III KI-VO erfolgt nicht ohne ausdrückliche, gesonderte schriftliche Vereinbarung und Erfüllung der dafür geltenden Pflichten.

(3) Kennzeichnung KI-generierter Inhalte. KI-generierte oder KI-veränderte Inhalte (insbesondere synthetische Bild-, Audio- und Videoinhalte einschließlich Deepfakes) werden gemäß Art. 50 KI-VO als künstlich erzeugt bzw. manipuliert gekennzeichnet, soweit gesetzlich vorgeschrieben oder vereinbart. Die Letztverantwortung für Veröffentlichung und Kennzeichnung freigegebener Inhalte trägt der Verantwortliche.

(4) Trainingsverbot. Der Auftragsverarbeiter verwendet personenbezogene und sonstige vertrauliche Daten des Verantwortlichen nicht zum Training, zur Feinabstimmung (Fine-Tuning) oder zur sonstigen Verbesserung eigener oder fremder KI-Modelle, es sei denn, der Verantwortliche hat dies ausdrücklich in Textform angewiesen. Eingesetzte KI-Dienste werden so ausgewählt bzw. konfiguriert (z. B. „No-Training“-Einstellungen / API-Nutzung), dass eine Verwendung der eingegebenen Daten zu Trainingszwecken ausgeschlossen oder vertraglich untersagt ist.

(5) KI-Kompetenz (AI Literacy, Art. 4 KI-VO). Der Auftragsverarbeiter stellt sicher, dass die mit dem KI-Einsatz befassten Personen über ein ausreichendes Maß an KI-Kompetenz verfügen, um die Systeme sachgerecht, rechtskonform und unter Wahrung der Rechte betroffener Personen zu bedienen.

(6) Menschliche Aufsicht / Qualitätssicherung. KI-generierte Ergebnisse werden vor Verwendung einer angemessenen menschlichen Kontrolle unterzogen. Eine vollautomatisierte Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung (Art. 22 DSGVO) findet nicht statt.

§ 13 Rechte und Pflichten des Verantwortlichen

(1) Für die Beurteilung der Zulässigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen ist allein der Verantwortliche verantwortlich („Herr der Daten“).

(2) Der Verantwortliche erteilt alle Weisungen rechtzeitig und in dokumentierter Form und teilt dem Auftragsverarbeiter Fehler oder Unregelmäßigkeiten bei der Prüfung der Verarbeitungsergebnisse unverzüglich mit.

(3) Der Verantwortliche stellt sicher, dass für die verarbeiteten Daten eine wirksame Rechtsgrundlage (Art. 6, ggf. Art. 9 DSGVO) sowie – soweit erforderlich – wirksame Einwilligungen (z. B. für Tracking-, Analyse- und Marketing-Dienste über das eingesetzte Consent-Management) vorliegen.

§ 14 Haftung

(1) Im Außenverhältnis gegenüber betroffenen Personen gilt die Haftungsregelung des Art. 82 DSGVO. Im Innenverhältnis haften die Parteien einander nach den allgemeinen gesetzlichen Bestimmungen, soweit nachstehend nichts Abweichendes geregelt ist.

(2) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für Schäden, die durch eine schuldhafte Verletzung der ihm nach der DSGVO speziell auferlegten Pflichten oder durch eine weisungswidrige Verarbeitung entstehen.

(3) Hat eine Partei einen einer betroffenen Person entstandenen Schaden vollständig ersetzt, ist sie berechtigt, von der anderen Partei den ihrem Verantwortungsanteil entsprechenden Teil zurückzufordern (Regress, Art. 82 Abs. 5 DSGVO).

(4) Eine etwaige im Hauptvertrag vereinbarte Haftungsbegrenzung gilt auch für Ansprüche aus dieser Vereinbarung, soweit gesetzlich zulässig. Die Haftung für Vorsatz und grobe Fahrlässigkeit sowie für Schäden aus der Verletzung von Leben, Körper oder Gesundheit bleibt unberührt.

§ 15 Schlussbestimmungen

(1) Schriftform. Änderungen und Ergänzungen dieser Vereinbarung einschließlich ihrer Anlagen bedürfen der Schriftform (Textform genügt, soweit nicht gesetzlich Strengeres gefordert ist). Dies gilt auch für die Aufhebung dieses Schriftformerfordernisses. Mündliche Nebenabreden bestehen nicht.

(2) Vorrang. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieser Vereinbarung vor.

(3) Salvatorische Klausel. Sollten einzelne Bestimmungen unwirksam oder undurchführbar sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame Bestimmung durch eine wirksame, die dem wirtschaftlichen und datenschutzrechtlichen Zweck am nächsten kommt.

(4) Rechtswahl und Gerichtsstand. Diese Vereinbarung unterliegt österreichischem Recht unter Ausschluss der Verweisungsnormen des internationalen Privatrechts und des UN-Kaufrechts. Ausschließlicher Gerichtsstand ist – soweit gesetzlich zulässig – das sachlich zuständige Gericht in Klagenfurt, Österreich. Zwingende Verbrauchergerichtsstände bleiben unberührt.

(5) Anlagen. Bestandteil dieser Vereinbarung sind: Anlage 1 (Gegenstand, Art, Zweck, Datenarten, Betroffenenkategorien, Ansprechpartner), Anlage 2 (Technische und organisatorische Maßnahmen), Anlage 3 (Liste der genehmigten Sub-Auftragsverarbeiter).

Anlage 1 — Gegenstand, Art & Zweck der Verarbeitung, Datenarten, Betroffenenkategorien

Zutreffendes bitte ankreuzen und Freitextfelder befüllen.

1.1 Gegenstand und Art der Verarbeitung (beauftragte Leistungen)

1.2 Zweck der Verarbeitung

1.3 Art der personenbezogenen Daten

1.4 Kategorien betroffener Personen

1.5 Eingesetzte Tools / Dienste auf der Website

WordPress (Apache), Theme „hello-elementor“, Elementor + Essential Addons for Elementor Lite, Autoptimize, Real Cookie Banner Pro (Consent), WP Statistics; eingebundene Drittdienste (consent-gesteuert): Google Analytics, Google Maps, Google Fonts, Google Tag Manager, Google Site Kit, Google Ads/DoubleClick, Font Awesome, OpenStreetMap, Facebook-Pixel, Jetpack, MailChimp, Piwik; Cal.com (Terminbuchung), Skool (Community).

1.6 Dauer der Verarbeitung / Speicherdauer

1.7 Ansprechpartner / Weisungsberechtigte

Anlage 2 — Technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO

Die folgenden Maßnahmen beschreiben das vom Auftragsverarbeiter gewährleistete Schutzniveau. Maßnahmen, die ganz oder teilweise vom jeweiligen Sub-Auftragsverarbeiter (z. B. Hosting-/Cloud-Provider) erbracht werden, sind mit (SP) gekennzeichnet.

2.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle (physisch)

• Geschäfts-/Arbeitsräume gegen unbefugten Zutritt gesichert (versperrbare Räume, Schlüssel-/Zugangsmanagement).
• Server-/Rechenzentrumsinfrastruktur über zertifizierte Hosting-Provider mit Zutrittskontrolle (SP).

Zugangskontrolle (Systeme)

• Individuelle Benutzerkonten, keine geteilten Accounts; Passwort-Richtlinie (Mindestlänge, Komplexität).
• Zwei-Faktor-Authentifizierung (2FA/MFA) für administrative Zugänge, CMS-Backend und Cloud-Dienste, soweit unterstützt.
• Passwortmanager; automatische Bildschirmsperre; Festplattenverschlüsselung der Endgeräte.

Zugriffskontrolle (Berechtigungen)

• Rollen- und Berechtigungskonzept nach „least privilege“ / „need-to-know“.
• Trennung von Administrations- und Standardkonten; regelmäßige Prüfung und Entzug nicht mehr benötigter Rechte.
• WordPress-Härtung: umbenannte Login-URL, eingeschränkte XML-RPC- und REST-User-Enumeration, kein Directory-Listing der Upload-Verzeichnisse.

Pseudonymisierung / Anonymisierung

• Soweit möglich Verarbeitung mit pseudonymisierten/anonymisierten Daten (z. B. IP-Kürzung in Analyse-Tools).

Verschlüsselung

• Transportverschlüsselung (TLS/HTTPS) für Website und alle Datenübertragungen.
• Verschlüsselung ruhender Daten auf Endgeräten und – soweit angeboten – bei Cloud-/Hosting-Diensten (SP).
• Härtung der Website: HTTP-Sicherheits-Header (HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy) sowie Entfernen von Versions-Informationen.

2.2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Protokollierung administrativer Zugriffe und wesentlicher Änderungen (Logging).
• Verschlüsselte Übertragung bei Weitergabe; kein Versand sensibler Daten über ungesicherte Kanäle.
• Consent-gesteuertes Laden von Drittdiensten/Tracking (Real Cookie Banner Pro) – keine Datenübertragung vor Einwilligung.

2.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c DSGVO)

• Regelmäßige, automatisierte Backups der Website/Datenbestände (Hosting-Provider und/oder Backup-Plugin) (SP).
• Sicherungskopien getrennt vom Produktivsystem; Test der Wiederherstellbarkeit (Restore).
• Aktuelle Software-/Plugin-/Theme-Updates, Patch-Management; Schutz gegen Schadsoftware (SP).

2.4 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

• Sorgfältige Auswahl und vertragliche Verpflichtung von Sub-Auftragsverarbeitern (Anlage 3); Prüfung auf hinreichende Garantien.
• Verpflichtung aller Mitarbeitenden auf Vertraulichkeit/Datengeheimnis (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
• Sensibilisierung/Schulung zu Datenschutz und – im Rahmen des KI-Einsatzes – KI-Kompetenz (Art. 4 KI-VO).
• Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 2 DSGVO); definierter Data-Breach-Prozess (§ 8).
• Löschkonzept mit festgelegten Fristen je Datenart; sichere Löschung/Vernichtung von Datenträgern.
• Mandantentrennung: getrennte Verarbeitung der Daten unterschiedlicher Kunden (logische Trennung, getrennte Projekt-/Zugangsstrukturen).

Anlage 3 — Liste der genehmigten Sub-Auftragsverarbeiter

Vom Verantwortlichen gemäß § 6 Abs. 1 allgemein genehmigt. Drittlandübermittlungen erfolgen auf Grundlage der angegebenen Garantien (§ 11). Spalten zu Firmierung/Transfermechanismus sind bei Bedarf zu aktualisieren (DPF-Status pro Anbieter auf dataprivacyframework.gov verifizieren).

Weitere auf der Website eingebundene Dienste (z. B. Meta/Facebook-Pixel, MailChimp, Jetpack/Automattic, Piwik/Matomo, OpenStreetMap, Cal.com, Skool, Font Awesome) werden nur nach Einwilligung der betroffenen Person bzw. auf Weisung des Verantwortlichen aktiviert. Soweit der Verantwortliche diese als eigene Verarbeitung/eigene Verträge führt, sind sie hier nicht als Sub-Auftragsverarbeiter zu verstehen; andernfalls ergänzen: