PDF dieser Fassung

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Fassung vom 23.10.2026

Zwischen

Auftraggeber (Verantwortlicher)

[KUNDE]

[ANSCHRIFT]

und

Auftragnehmerin (Auftragsverarbeiterin)

Janine Stender Einzelunternehmen

An der Maarbrücke 41

44793 Bochum

wird dieser Vertrag geschlossen. Stand der ausgefüllten Fassung: [DATUM].

Vereinbartes Paket: [PAKET].

Der Auftraggeber ist für die Supportseite verantwortlich. Die Auftragnehmerin verarbeitet personenbezogene Daten nur in seinem Auftrag, um die Angaben aus dem Aufnahmebogen entgegenzunehmen und die Seite zu hosten und zu betreiben.

1. Worum es geht

Die Auftragnehmerin hostet und betreibt eine statische Produkt-Supportseite. Die Seite ist erreichbar unter:

https://[DOMAIN]

Das ist entweder eine Subdomain von herstellersupport.de (zum Beispiel marke.herstellersupport.de) oder eine eigene Domain des Auftraggebers. Die Dateien liegen bei der Auftragnehmerin. Bringt der Auftraggeber eine eigene Domain mit, setzt er den DNS-Eintrag selbst. Die Auftragnehmerin fasst sein übriges Livesystem nicht an.

Die Seite besteht aus fertigen Dateien. Es gibt keine eigene Anwendung, die Besucherdaten in eine Datenbank schreibt.

Dauer. Der Vertrag gilt ab [DATUM]. Das erste Jahr Hosting ist im vereinbarten Paket enthalten. Danach verlängert sich der Betrieb jährlich, solange das Hosting weiterläuft. Dieser Vertrag läuft mit, solange die Auftragnehmerin die Seite ausliefert, und endet, wenn das Hosting endet.

Läuft das Jahresentgelt aus, kann unter derselben Adresse eine statische Minimalseite erreichbar bleiben, wie bei der Übergabe zugesagt (10 Jahre Erreichbarkeit). Solange diese Seite ausgeliefert wird, gilt dieser Vertrag für die technischen Zugriffsdaten weiter. Die Löschung nach Abschnitt 12 greift, wenn die Seite endgültig abgeschaltet ist.

2. Welche Daten, welche Personen

Betroffen sind Personen, die die Seite aufrufen.

Verarbeitet werden nur technische Zugriffsdaten, die beim Abruf anfallen:

(zum Beispiel Browsertyp und aufgerufene Adresse)

Zweck ist allein, die Seite auszuliefern und den Betrieb abzusichern (Verbindung herstellen, Fehler erkennen, Missbrauch abwehren). Die Auftragnehmerin wertet diese Daten nicht aus, erstellt keine Profile und nutzt sie nicht für Werbung oder Reichweitenmessung.

Die Auftragnehmerin führt kein eigenes Besucherregister. Die Logs liegen bei Cloudflare (Anlage 2) und bleiben dort nur so lange, wie dessen Dienst sie für Betrieb und Sicherheit vorhält. Eine eigene Aufbewahrungsfrist setzt dieser Vertrag nicht, weil die Auftragnehmerin kein eigenes Log-Archiv führt. Welche Fristen Cloudflare für Zwischenspeicher, Auslieferungen und Logs öffentlich nennt, stehen in Anlage 2. Zahlen, die dort nicht belegt sind, setzt dieser Vertrag nicht.

Die Seiteninhalte (Texte, Logo, PDF, Impressum) liefert der Auftraggeber über den Aufnahmebogen bei Tally BV (Anlage 2). Darin können seine eigenen Kontaktdaten stehen, dazu die hochgeladenen Dateien. Die Auftragnehmerin speichert und liefert diese Dateien nur, um die Seite zu zeigen. Sie wertet sie nicht aus.

3. Was nicht zu diesem Auftrag gehört

Auf der Seite gibt es kein Formular. Es gibt kein Tracking, keine Reichweitenmessung und keine Analyse. Es werden keine Schriften von einem fremden Server geladen. Schriftdateien stecken in der Seite und kommen von derselben Adresse.

Kontakt. E-Mail ist ein mailto-Link. WhatsApp, wenn der Auftraggeber es wünscht, ist ein Link. Beim bloßen Laden der Seite geht nichts an den E-Mail-Dienst und nichts an WhatsApp. Erst ein Klick öffnet das Programm der besuchenden Person oder die Seite des Anbieters. Inhalt und Adresse der Nachricht gehen an den Auftraggeber (bei WhatsApp über den jeweiligen Anbieter), nicht an die Auftragnehmerin. Sie ist dafür nicht Auftragsverarbeiterin und setzt dafür keinen Unterauftragnehmer ein.

Video. Ein optionales YouTube-Video wird über youtube-nocookie eingebunden. Der Zuspieler startet erst nach einem Klick. Vor dem Klick geht kein Abruf an YouTube. Ab dem Klick ist der Auftraggeber dafür selbst verantwortlich, einschließlich der Hinweise in seiner Datenschutzerklärung. YouTube beziehungsweise Google ist kein Unterauftragnehmer der Auftragnehmerin. Zwischen ihr und Google besteht dafür kein Vertrag nach Art. 28 DSGVO. Eine Videodatei, die auf derselben Adresse liegt, ist nur eine weitere Datei der Seite und fällt unter dieses Hosting.

Weisungen, die ein Formular, Tracking, eine Analyse oder einen weiteren fremden Dienst auf dieser Seite verlangen, führt die Auftragnehmerin nicht aus. Solche Wünsche brauchen einen neuen Auftrag und eine neue Prüfung.

4. Weisungen

Die Auftragnehmerin verarbeitet die Daten nur nach dokumentierter Weisung des Auftraggebers. Dieser Vertrag ist die Weisung. Weitere Weisungen gibt der Auftraggeber in Textform, zum Beispiel per E-Mail.

Hält die Auftragnehmerin eine Weisung für rechtswidrig, weist sie den Auftraggeber darauf hin und führt sie nicht aus, solange der Hinweis nicht geklärt ist. Zwingt ein Gesetz sie zu einer Verarbeitung, informiert sie den Auftraggeber vorher, soweit das Gesetz diese Mitteilung nicht verbietet.

Die Daten werden nicht in ein Drittland übermittelt, außer wie in Abschnitt 8 und Anlage 2 beschrieben.

Der Auftraggeber darf Weisungen erteilen (dieser Abschnitt), Auskunft verlangen, einem neuen Unterauftragnehmer widersprechen und am Ende Löschung oder Herausgabe wählen. Auskunft, Widerspruch und die Wahl am Ende stehen in den Abschnitten 7, 11 und 12.

5. Vertraulichkeit

Zugriff hat nur die Inhaberin, Janine Stender. Es gibt keine Beschäftigten und kein geteiltes Konto.

Die Inhaberin verpflichtet sich, die Daten vertraulich zu behandeln und nur für diesen Auftrag zu nutzen. Die Pflicht gilt über das Vertragsende hinaus.

Kommt später eine weitere Person an die Daten, darf das nur nach einer vorherigen Vertraulichkeitsverpflichtung in Textform geschehen, und nur in dem Umfang, den dieser Vertrag erlaubt.

6. Sicherheit

Die Auftragnehmerin trifft die Maßnahmen aus Anlage 1. Sie passen zu einem Einzelunternehmen, das eine statische Seite über einen Hosting-Dienst ausliefert. Ein Zertifikat (etwa ISO 27001) liegt nicht vor und wird nicht behauptet.

7. Unterauftragnehmer

Der Auftraggeber erlaubt die Unterauftragnehmer in Anlage 2:

Weitere Unterauftragnehmer setzt die Auftragnehmerin für diesen Auftrag nicht ein.

Mit jedem besteht ein Vertrag zur Auftragsverarbeitung:

Will die Auftragnehmerin einen Unterauftragnehmer hinzufügen oder auswechseln, informiert sie den Auftraggeber vorher in Textform. Der Auftraggeber kann innerhalb von 14 Tagen widersprechen. Nach einem Widerspruch setzt sie den neuen Unterauftragnehmer nicht ein. Lässt sich das Hosting dann nicht fortsetzen, können beide die Bereitstellung der Seite beenden. Abschnitt 12 gilt dann.

Für YouTube, WhatsApp und den E-Mail-Link gilt Abschnitt 3. Das sind keine Unterauftragnehmer.

8. Übermittlung in Drittländer

Cloudflare, Inc. sitzt in den USA. Technische Zugriffsdaten und die ausgelieferten Seiteninhalte können dort verarbeitet werden.

Die Übermittlung stützt sich auf den EU-US-Datenschutzrahmen (EU-US Data Privacy Framework). Soweit eine Übermittlung davon nicht gedeckt ist, gelten die EU-Standardvertragsklauseln im Cloudflare-DPA (Link in Abschnitt 7). Fällt die Eintragung im Datenschutzrahmen weg, bleiben diese Klauseln die Grundlage. Meldet Cloudflare das, gibt die Auftragnehmerin es an den Auftraggeber weiter.

Tally BV sitzt in Belgien, also in der EU. Eine weitere Übermittlung in ein Drittland nimmt die Auftragnehmerin selbst nicht vor.

9. Rechte der betroffenen Personen

Anfragen von Personen, die die Seite aufgerufen haben (Auskunft, Löschung und die weiteren Rechte nach der DSGVO), beantwortet der Auftraggeber. Er ist dafür verantwortlich.

Geht eine solche Anfrage bei der Auftragnehmerin ein, leitet sie diese unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst in der Sache.

Ein eigenes Besucherregister, in dem sie etwas heraussuchen könnte, hat sie nicht. Soweit sie bei einem Unterauftragnehmer etwas anstoßen kann, hilft sie dem Auftraggeber im Rahmen des dort Möglichen.

10. Weitere Hilfe

Die Auftragnehmerin hilft dem Auftraggeber, soweit es dieser Auftrag hergibt, bei seinen Pflichten zur Sicherheit, zur Meldung von Verletzungen, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation der Aufsicht. Die Hilfe besteht aus den Angaben, die in diesem Vertrag und in Anlage 1 stehen, und aus dem, was sie zum konkreten Vorfall weiß.

Kennt sie eine Verletzung des Schutzes der Daten aus diesem Auftrag, meldet sie das dem Auftraggeber unverzüglich, spätestens 48 Stunden nach Kenntnis. Die Meldung enthält die Angaben nach Art. 33 Abs. 3 DSGVO:

An die Aufsicht meldet sie nicht selbst, außer der Auftraggeber bittet darum oder das Gesetz verlangt es.

11. Nachweis

Die Auftragnehmerin stellt dem Auftraggeber die Angaben zur Verfügung, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen. Dazu gehören dieser Text, Anlage 1 und die Verträge von Cloudflare und Tally (Links in Abschnitt 7). Damit ist die Pflicht nicht erschöpft: jede weitere Angabe, die für den Nachweis nötig ist und über die sie verfügt, gibt sie ebenfalls heraus.

Der Auftraggeber kann einmal im Kalenderjahr in Textform nachfragen. Die Auftragnehmerin antwortet in Textform innerhalb einer angemessenen Frist. Eine Nachfrage aus konkretem Anlass, etwa nach einer Meldung aus Abschnitt 10, ist zusätzlich möglich.

Eine Prüfung vor Ort in den Räumen der Auftragnehmerin gibt es nur, wenn die schriftliche Auskunft nicht ausreicht, mit mindestens 14 Tagen Vorlauf, zu üblichen Zeiten und ohne den Betrieb unverhältnismäßig zu stören. Bei einem dringenden datenschutzrechtlichen Vorfall verkürzt sich dieser Vorlauf auf 48 Stunden. Besteht akute Gefahr für die Daten, informiert sie unverzüglich. Gesetzliche Rechte der Aufsicht bleiben unberührt.

12. Löschen und Herausgeben am Ende

Endet das Hosting und ist die Seite abgeschaltet, löscht die Auftragnehmerin die personenbezogenen Daten aus diesem Auftrag oder gibt sie heraus. Der Auftraggeber wählt das in Textform. Sagt er innerhalb von 30 Tagen nach dem Ende nichts, löscht sie. Wählt er die Herausgabe, übergibt sie die Daten zuerst und löscht sie erst danach.

Innerhalb dieser 30 Tage schaltet sie die Seite unter https://[DOMAIN] ab, entfernt das zugehörige Cloudflare-Pages-Projekt, löscht die Abgabe im Aufnahmebogen bei Tally einschließlich der hochgeladenen Dateien und löscht ihre Arbeitskopie der vom Auftraggeber gelieferten Dateien.

Dasselbe gilt für ältere Stände dieser Dateien. Innerhalb von 90 Tagen nach dem Ende des Hostings entfernt sie sie aus dem Verlauf des Bau-Archivs, soweit sie diesen Verlauf selbst neu schreiben kann, und aus eigenen Sicherungskopien. Kann sie eine eigene Sicherung nicht sofort überschreiben, sperrt sie den Zugriff, bis eine neuere Sicherung ohne diese Daten an ihre Stelle tritt. Kopien beim Hoster, die sie selbst nicht löschen kann, meldet sie dort zur Löschung. Eine Löschfrist des Hosters sagt dieser Vertrag nicht zu. Was sie nicht entfernen kann, teilt sie dem Auftraggeber in Textform mit.

Zugriffsdaten liegen bei ihr nicht in einer eigenen Datei. Sie kann sie nicht als Liste herausgeben. Mit dem Abschalten fallen für diese Seite keine neuen Logs mehr an. Fristen, die Cloudflare für Zwischenspeicher und Logs öffentlich nennt, stehen in Anlage 2.

Bleiben dürfen nur Daten, die ein Gesetz noch verlangt, insbesondere Rechnung und dieser Vertrag.

13. Schluss

Es gilt das Recht der Bundesrepublik Deutschland, einschließlich der DSGVO.

Änderungen dieses Vertrags brauchen Textform. Das gilt auch für diese Klausel. E-Mail genügt.

Dieser Vertrag regelt die Auftragsverarbeitung. Preis und sonstige Leistung stehen im Angebot. Die gesetzliche Haftung bleibt unberührt. Dieser Text schränkt die Rechte betroffener Personen nicht ein.

Unterschriften

Der Auftraggeber stimmt diesem Vertrag zu, indem er im Aufnahmebogen den Haken beim Auftragsverarbeitungsvertrag setzt. Damit ist die Textform gewahrt. In der ausgefüllten Fassung stehen Ort, Datum und Unterschrift der Auftragnehmerin. Die Felder des Auftraggebers bleiben frei. Ort, Datum und Unterschrift trägt er dort selbst ein.

Mit der Zustimmung gelten der Text oben und die Anlagen 1 und 2.

Auftraggeber

[KUNDE]

[ANSCHRIFT]

Ort: ______________________________ Datum: ______________________________

Unterschrift: ______________________________________________

Name in Druckschrift: ______________________________________________

Auftragnehmerin

Janine Stender Einzelunternehmen

An der Maarbrücke 41

44793 Bochum

Ort: Bochum Datum: [DATUM]

Janine Stender, Inhaberin

Anlage 1 — Technische und organisatorische Maßnahmen

Die Maßnahmen beschreiben, was ein Einzelunternehmen für diese statische Seite tatsächlich tut. Es gibt keinen Serverraum, kein Rechenzentrum und kein Zertifikat nach ISO 27001 oder einer vergleichbaren Norm.

Zugang zu den Räumen

Gearbeitet wird am Arbeitsplatz der Inhaberin. Kunden haben keinen Zugang zu dem Gerät, auf dem die Seite gebaut wird. Verlässt die Inhaberin den Platz, ist die Sitzung gesperrt.

Zugang zu Konten

Konten, mit denen die Seite verwaltet und ausgeliefert wird, gehören nur der Inhaberin. Das sind mindestens das Cloudflare-Konto, das Tally-Konto und das E-Mail-Konto, über das diese Konten laufen.

Diese Konten sind mit einem zweiten Faktor geschützt. Die Passwörter sind lang, einzigartig und werden nicht weitergegeben. Es gibt kein gemeinsames Passwort und keinen zweiten Nutzer.

Zugriff auf die Daten

Es gibt keine Beschäftigten und keine Rollen für Dritte. Jede Kundenmarke liegt in einem eigenen Cloudflare-Pages-Projekt. Es gibt keine gemeinsame Besucherdatenbank mehrerer Kunden.

Die Auftragnehmerin schaltet im eigenen Cloudflare-Konto keine Reichweitenmessung für die Kundenseite frei.

Transport

Die Seite wird nur über HTTPS ausgeliefert. Hochgeladen wird über das eigene Cloudflare-Konto. Zugangsdaten zum Konto gehen nicht an den Auftraggeber und nicht an Dritte.

Änderungen

Änderungen an der Seite nimmt die Inhaberin vor. Besucher können auf der Seite nichts eintragen. Es gibt kein Formular und keine Anmeldung.

Verfügbarkeit

Die Auslieferung läuft über Cloudflare Pages. Die Dateien sind statisch und können neu hochgeladen werden, sobald der Dienst wieder erreichbar ist. Ein eigenes zweites Rechenzentrum gibt es nicht. Eine bestimmte Verfügbarkeit in Prozent wird nicht zugesagt.

Trennung

Inhalte verschiedener Auftraggeber werden nicht in einer gemeinsamen Datenbank vermischt. Technische Logs der Seite dienen nicht als Quelle für andere Aufträge.

Löschen

Nach Abschnitt 12 des Vertrags. Logs werden nicht in ein eigenes Archiv kopiert.

Wenn etwas schiefgeht

Ist ein Konto fremd genutzt oder ein Gerät weg, ändert die Inhaberin die Zugangsdaten, beendet offene Sitzungen und informiert den Auftraggeber nach Abschnitt 10 des Vertrags.

Anlage 2 — Unterauftragnehmer

Name: Cloudflare, Inc.

Anschrift: 101 Townsend St, San Francisco, CA 94107, USA

Leistung: Hosting und CDN der statischen Supportseite über Cloudflare Pages

Daten: Technische Zugriffsdaten nach Abschnitt 2, dazu die ausgelieferten Seiteninhalte

Drittland: USA. EU-US Data Privacy Framework und, soweit nötig, EU-Standardvertragsklauseln im Cloudflare-DPA

Vertrag: https://www.cloudflare.com/cloudflare-customer-dpa/

Speichern und Löschen bei Cloudflare. Die folgenden Fristen stehen in der öffentlichen Cloudflare-Dokumentation, abgerufen am 23.10.2026. Die Auftragnehmerin führt daneben kein eigenes Log-Archiv.

Ausgelieferte Dateien bleiben im CDN zwischengespeichert, bis die nächste Auslieferung derselben Seite sie ersetzt. Nach einer neuen Auslieferung können ältere Dateien in einem Rechenzentrum noch bis zu einer Woche liegen und auch früher verschwinden. Quelle: https://developers.cloudflare.com/pages/configuration/serving-pages/ (Abschnitt Asset retention, Stand der Seite 10.10.2026).

Vorschau-Adressen einer Auslieferung können auch später noch aufgerufen werden. Eine automatische Löschfrist nennt Cloudflare dafür nicht. Überzählige Auslieferungen löscht die Auftragnehmerin über ihr Konto, soweit das Konto das zulässt. Die jeweils letzte Auslieferung eines Branches lässt sich dort nicht löschen. Quelle: https://developers.cloudflare.com/pages/configuration/preview-deployments/ (Stand der Seite 12.10.2026).

Stichproben der HTTP-Zugriffe hält Cloudflare auf allen Tarifen mindestens 31 Tage. Die genaue Dauer hängt vom Tarif ab. Ein vollständiges Zugriffsprotokoll ohne Stichprobe gehört nicht zu diesem Auftrag. Dafür wäre ein gesondertes, kostenpflichtiges Protokoll nötig, das die Auftragnehmerin nicht zuschaltet. Quelle: https://developers.cloudflare.com/observability/logs/datasets/ (Datensatz httpRequestsAdaptive, Stand der Seite 15.10.2026).

Das Konto-Protokoll speichert Aktionen im Cloudflare-Konto der Auftragnehmerin, nicht die Aufrufe der Supportseite, für 18 Monate und löscht sie danach. Quelle: https://developers.cloudflare.com/fundamentals/account/account-security/audit-logs/ (Stand der Seite 22.10.2026).

Nicht als Frist in diesem Vertrag: die genaue Dauer der HTTP-Stichprobe auf dem Tarif dieses Kontos, ob der Zwischenspeicher mit dem Löschen des Projekts sofort leer ist, und ob nach dem Löschen noch Sicherungskopien der Auslieferung beim Hoster liegen. Das beschreibt die genannte Dokumentation nicht.

Name: Tally BV, Unternehmensnummer 0776.979.007

Anschrift: August Van Lokerenstraat 71, 9050 Ledeberg (Gent), Belgien

Leistung: Aufnahmebogen, einschließlich der vom Auftraggeber hochgeladenen Dateien

Daten: Angaben und Dateien, die der Auftraggeber im Aufnahmebogen liefert

Drittland: Sitz in der EU (Belgien). Keine Übermittlung durch die Auftragnehmerin

Vertrag: https://tally.so/help/data-processing-agreement

Der verlinkte Tally-Vertrag (Stand 09.09.2024) nennt noch die frühere Anschrift Sint-Pietersnieuwstraat 11, 9000 Gent. Sitz laut Unternehmensregister ist die Anschrift in der Tabelle.

Nicht Unterauftragnehmer: der E-Mail-Dienst und WhatsApp beim Kontaktlink, YouTube beim Video nach Klick (Abschnitt 3).