Vertrag zur Auftragsverarbeitung (AVV)

gemäß Art. 28 DSGVO · Finanzsichtbar als Auftragsverarbeiter · Stand: August 2026

Zwischen

Verantwortlicher (Kunde), Name/Firma: ________________________________________
Anschrift: ________________________________________

– nachfolgend „Verantwortlicher“ –

und

Finanzsichtbar – Websites & Online-Betreuung, Inhaberin Ursula Elisabeth Zapf, Hermann-Löns-Str. 1, 47608 Geldern, E-Mail: uz@finanzsichtbar.de

– nachfolgend „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer des Auftrags

(1) Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der zwischen den Parteien geschlossenen Hauptvereinbarung über Erstellung, Hosting und Betreuung von Websites sowie damit verbundene Online-Marketing-Leistungen (nachfolgend „Hauptvertrag“).

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Konkretisierungen zu Art, Umfang, Zweck, Datenkategorien und betroffenen Personen ergeben sich aus Anlage 1.

§ 2 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet.

(2) Weisungen erfolgen grundsätzlich in Textform. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt.

§ 3 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten nur zu den vereinbarten Zwecken und gemäß den Weisungen des Verantwortlichen.

(2) Er verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Er trifft die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 2) und hält diese während der Vertragsdauer aufrecht.

(4) Er unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO.

(5) Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, und unterstützt bei den erforderlichen Meldungen.

(6) Er benennt dem Verantwortlichen auf Anfrage eine Kontaktstelle für Datenschutzfragen.

§ 4 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um. Er ist berechtigt, diese fortzuentwickeln, sofern das vereinbarte Schutzniveau nicht unterschritten wird.

§ 5 Unterauftragsverhältnisse

(1) Der Verantwortliche erteilt seine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) rechtzeitig in Textform. Der Verantwortliche kann einer Änderung aus wichtigem, datenschutzrechtlichem Grund widersprechen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter auf ein dem vorliegenden Vertrag im Wesentlichen entsprechendes Datenschutzniveau.

§ 6 Kontroll- und Nachweisrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung und ermöglicht Überprüfungen.

(2) Kontrollen erfolgen nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs. Der Nachweis kann auch durch geeignete Zertifikate, Testate oder Berichte erbracht werden.

§ 7 Löschung und Rückgabe

(1) Nach Abschluss der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 8 Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten ergänzend die Haftungsregelungen des Hauptvertrags.

(2) Änderungen dieses Vertrags bedürfen der Textform. Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen hinsichtlich des Datenschutzes die Regelungen dieses AVV vor.

Anlage 1 – Gegenstand der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Vertraulichkeit: Zutritts-, Zugangs- und Zugriffskontrolle; verschlüsselte Übertragung (TLS/HTTPS); rollenbasierte Berechtigungen; passwortgeschützte Systeme.
• Integrität: Schutz vor unbefugter Veränderung; Protokollierung von Zugriffen; getrennte Verarbeitung nach Zweck.
• Verfügbarkeit und Belastbarkeit: regelmäßige Backups; Hosting in einem Rechenzentrum in Deutschland; Schutzmaßnahmen gegen Ausfall und Angriffe.
• Überprüfung: Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung der Wirksamkeit der Maßnahmen (Datenschutz durch Technikgestaltung, Art. 25 DSGVO).

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Hinweis: Liste vor Unterzeichnung mit den tatsächlich eingesetzten Diensten und deren Standort der Datenverarbeitung abgleichen. Bei Anbietern mit Verarbeitung außerhalb der EU/EWR sind geeignete Garantien (z. B. EU-Standardvertragsklauseln) sicherzustellen.

Stand: August 2026 · Siehe auch AGB und Datenschutzerklärung.