Auftrags­verarbeitungs­vertrag

Fassung 2026-09-26. Dieser Vertrag gilt nach Artikel 28 der Datenschutz-Grundverordnung.

Auftraggeber (verantwortlich für die Daten) ist der Kunde, der diesem Vertrag zugestimmt hat — mit den Angaben, die er dabei hinterlegt hat.

Auftragnehmer (verarbeitet die Daten im Auftrag) ist:

Vollständiger Name / Firmenname mit Rechtsform
Anschrift
vertreten durch vertretungsberechtigte Person

1. Worum es geht

Der Auftragnehmer erbringt Leistungen in zwei Bereichen. Dieser Vertrag gilt für den Bereich, den der Auftraggeber gebucht hat — hat er beide gebucht, für beide.

Website-Betreuung. Der Auftragnehmer baut und betreibt die Website des Auftraggebers und pflegt ihre Inhalte.

Netzwerk-Werkzeuge. Der Auftragnehmer stellt Werkzeuge bereit, in denen der Auftraggeber die Daten seines Betriebs führt — etwa Arbeitszeiten, Schulungen, Abläufe und Wartungsunterlagen.

In beiden Fällen verarbeitet der Auftragnehmer personenbezogene Daten, für die der Auftraggeber verantwortlich bleibt. Dieser Vertrag gilt, solange das Abonnement läuft. Er endet mit ihm.

2. Welche Daten verarbeitet werden

Was anfällt, hängt vom Bereich ab.

Website-Betreuung. Dabei fallen an:

• Anfragen aus dem Kontaktformular — Name, E-Mail-Adresse, Telefonnummer und der Text, den ein Besucher schreibt. Diese Anfragen werden nicht gespeichert, sondern unmittelbar an die vom Auftraggeber benannte E-Mail-Adresse weitergeleitet.
• Angaben auf der Website — Name und Kontaktdaten der im Impressum genannten Personen, dazu alle Inhalte, die der Auftraggeber veröffentlichen lässt, etwa Fotos von Mitarbeitenden oder Kundenstimmen.
• Server-Protokolle — beim Aufruf der Website fallen beim Hosting-Dienst technische Verbindungsdaten an, darunter gekürzte IP-Adressen.

Betroffen sind hier: Besucher der Website, Personen, die das Kontaktformular nutzen, sowie Mitarbeitende und Kunden des Auftraggebers, soweit sie auf der Website genannt oder gezeigt werden.

Netzwerk-Werkzeuge. Hier gibt der Auftraggeber die Daten selbst ein. Gespeichert werden:

• Angaben zu Personen — Name, Kontaktdaten, Rolle und Zugehörigkeit von Mitarbeitenden des Auftraggebers und von externen Partnern, die er einbindet.
• Arbeitszeiten — erfasste Zeiten und die Vorgänge, zu denen sie gehören.
• Schulungsstände — welche Schulung wer wann abgeschlossen hat.
• Abläufe und Wartungsunterlagen — die vom Auftraggeber angelegten Beschreibungen und Nachweise, einschließlich der Dateien, die er dazu hochlädt.

Anders als bei der Website-Betreuung werden diese Daten dauerhaft gespeichert, solange das Abonnement läuft. Betroffen sind hier vor allem die Mitarbeitenden des Auftraggebers sowie die externen Partner, denen er Zugang gibt.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten ausschließlich nach den Weisungen des Auftraggebers. Als Weisung gilt auch jede Eingabe und jeder Änderungswunsch, den der Auftraggeber über das Dashboard, über die Netzwerk-Werkzeuge oder auf anderem Weg erteilt.

Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er darauf hin und darf ihre Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

4. Vertraulichkeit

Alle Personen, die auf die Daten zugreifen können, sind zur Vertraulichkeit verpflichtet. Das gilt auch nach dem Ende dieses Vertrags.

Hinterlegt der Auftraggeber Zugangsdaten zu Konten bei Dritten — etwa bei seinem bisherigen Domain-Anbieter —, werden diese verschlüsselt gespeichert, ausschließlich für die vereinbarte Umstellung verwendet und danach gelöscht. Der Auftragnehmer nutzt sie nicht, um auf E-Mail-Postfächer des Auftraggebers zuzugreifen.

5. Sicherheit der Verarbeitung

Der Auftragnehmer trifft angemessene technische und organisatorische Maßnahmen, insbesondere:

• verschlüsselte Übertragung aller Daten (TLS),
• Zugriff auf die Verwaltung und auf die Werkzeuge nur nach Anmeldung,
• Trennung der Daten verschiedener Kunden auf Datenbankebene, mit getrennten Dateiablagen je Betrieb,
• verschlüsselte Ablage hinterlegter Zugangsdaten,
• eine nächtliche Sicherung, die vor der Übertragung verschlüsselt wird — der Speicherort sieht nur Verschlüsseltes,
• Versionsverwaltung der Website-Inhalte, aus der sich ein früherer Stand wiederherstellen lässt.

6. Weitere Dienstleister

Der Auftraggeber stimmt zu, dass der Auftragnehmer die folgenden Dienste einsetzt. Jeder von ihnen ist selbst zur Einhaltung des Datenschutzes verpflichtet.

• Vercel — Betrieb der Websites, des Dashboards und der Netzwerk-Werkzeuge. Beide Bereiche. Serverstandort Frankfurt.
• Supabase — Datenbank und Dateiablage. Beide Bereiche. Serverstandort Frankfurt.
• GitHub — Ablage und Versionsverwaltung der Website-Inhalte, aus der die Website veröffentlicht wird. Nur Website-Betreuung.
• IONOS — Versand der E-Mails, insbesondere der Anfragen aus dem Kontaktformular und der Mitteilungen aus den Werkzeugen. Beide Bereiche. Serverstandort Deutschland.
• Stripe — Abwicklung der Abo-Zahlungen. Beide Bereiche. Verarbeitet die Zahlungsdaten des Auftraggebers, nicht die seiner Website-Besucher oder Mitarbeitenden.
• Hetzner — Speicherort der nächtlichen Sicherung. Beide Bereiche. Serverstandort Falkenstein, Deutschland. Die Sicherung wird vor der Übertragung verschlüsselt.
• Anthropic — KI-gestützte Umsetzung von Änderungswünschen in der Website-Betreuung. Dabei werden die Inhalte der Website übermittelt, einschließlich der dort genannten Namen und Kontaktdaten. Eine Nutzung dieser Inhalte zum Training von KI-Modellen findet nicht statt.
• Anthropic — der Assistent in den Netzwerk-Werkzeugen. Nur, wenn der Auftraggeber den Tarif mit Assistent gebucht hat. Übermittelt werden die Aufträge berechtigter Nutzer und die Einträge, die der Assistent für genau diesen Auftrag nachschlägt oder anlegt — darunter Namen, Beschäftigungs- und Arbeitszeitdaten. Verarbeitungsort USA; Grundlage der Übermittlung: vom Rechtsberater zu bestätigen. Ohne diesen Tarif werden Daten aus den Netzwerk-Werkzeugen an diesen Dienst nicht übermittelt.

7. Änderungen am Kreis der Dienstleister

Kommt ein weiterer Dienstleister hinzu oder wird einer ersetzt, teilt der Auftragnehmer dies mindestens 30 Tage vorher mit. Der Auftraggeber kann innerhalb dieser Frist widersprechen.

Wird der Widerspruch nicht ausgeräumt und ist die Änderung für den Betrieb notwendig, kann der Auftraggeber den Vertrag zum Zeitpunkt der Umstellung beenden.

Muss ein Dienstleister aus dringendem Grund sofort ersetzt werden — etwa bei einem Sicherheitsvorfall oder beim Ausfall des bisherigen Anbieters —, darf der Auftragnehmer die Umstellung ohne Vorlauf vornehmen und teilt sie unverzüglich danach mit, samt Grund. Das Widerspruchs- und Kündigungsrecht bleibt auch dann bestehen.

8. Unterstützung des Auftraggebers

Meldet sich eine betroffene Person beim Auftragnehmer — etwa mit dem Wunsch, ihre Daten zu löschen —, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

Der Auftragnehmer unterstützt den Auftraggeber bei Auskunfts-, Löschungs- und Berichtigungsverlangen sowie bei der Meldung von Datenschutzverletzungen. Wird ihm eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Auftraggeber unverzüglich.

9. Löschung und Rückgabe

Nach Ende des Vertrags werden die verarbeiteten Daten gelöscht, sobald sie nicht mehr für den Betrieb gebraucht werden. Der Auftraggeber erhält auf Wunsch die Inhalte seiner Website und seine Internetadresse ausgehändigt — die Adresse gehört ihm, nicht dem Auftragnehmer. Aus den Netzwerk-Werkzeugen erhält er auf Wunsch die von ihm eingegebenen Daten heraus.

Gesetzliche Aufbewahrungspflichten bleiben unberührt.

10. Nachweise

Der Auftragnehmer weist auf Anfrage nach, dass er die Pflichten aus diesem Vertrag einhält. Der Auftraggeber darf dies überprüfen; Termin und Umfang werden vorher abgestimmt, damit der laufende Betrieb nicht gestört wird.

Fragen dazu? Schreib uns an support@earnstack.de.