Auftragsverarbeitung

Version 0.9 (Entwurf) · Stand: 2. Oktober 2026

Drucken oder als PDF speichern

Vertrag zur Auftragsverarbeitung nach Art. 28 Abs. 3 der Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden, der den Betreuungs- bzw. Hostingvertrag mit NeckarByte geschlossen hat
– Auftraggeber (Verantwortlicher) –

und der NeckarByte UG (haftungsbeschränkt), Im Roggen 9, 71636 Ludwigsburg, vertreten durch den Geschäftsführer Philipp Häusser, eingetragen beim Amtsgericht Stuttgart unter HRB 774621
– Auftragnehmer (Auftragsverarbeiter) –

1. Gegenstand und Dauer

(1) Der Auftragnehmer erbringt für den Auftraggeber Leistungen zur Betreuung und gegebenenfalls zum Hosting von Websites (insbesondere WordPress, TYPO3, Joomla, Drupal und Shopware) auf Grundlage des zwischen den Parteien geschlossenen Vertrags über die Website-Betreuung (nachfolgend „Hauptvertrag“). Dabei verarbeitet er personenbezogene Daten, für die der Auftraggeber verantwortlich ist. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien für diese Verarbeitung.

(2) Der Vertrag gilt für die Laufzeit des Hauptvertrags und endet mit ihm, ohne dass es einer gesonderten Kündigung bedarf. Pflichten, die ihrer Natur nach über das Vertragsende hinaus wirken (insbesondere Ziffer 10 und die Vertraulichkeit), bleiben bestehen, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

(3) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.

2. Art, Zweck und Umfang der Verarbeitung

(1) Art und Zweck der Verarbeitung ergeben sich aus dem Hauptvertrag. Sie umfassen je nach vereinbartem Leistungsumfang:

• Hosting: Betrieb der Website(s) auf einem vom Auftragnehmer verwalteten Server, einschließlich Webserver, Datenbank, Protokollierung und E-Mail-Versand der Website
• Wartung: Aktualisierung von System, Erweiterungen und Themes, Sicherheitsprüfungen, technische Pflege
• Datensicherung: regelmäßige verschlüsselte Sicherungen und deren Wiederherstellung
• Fehlerbehebung und Support: Analyse und Behebung von Störungen, Bearbeitung von Anfragen, Änderungen auf Weisung

(2) Die Arten der personenbezogenen Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben. Der Auftraggeber ergänzt dort die für seine Website(s) zutreffenden Angaben.

(3) Der Auftragnehmer greift auf personenbezogene Daten nur zu, soweit dies für die jeweilige Aufgabe erforderlich ist. Eine Auswertung der Daten für eigene Zwecke findet nicht statt.

(4) Die Verarbeitung findet in der Europäischen Union statt. Eine Verarbeitung in einem Drittland erfolgt nur, soweit sie in Anlage 3 ausgewiesen ist oder der Auftraggeber zugestimmt hat, und nur unter Einhaltung der Art. 44 ff. DSGVO.

3. Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

(2) Die Weisungen werden durch den Hauptvertrag und diesen Vertrag festgelegt. Einzelweisungen erteilt der Auftraggeber in Textform (z. B. per E-Mail oder über das Ticketsystem bzw. das Kundencenter des Auftragnehmers). Mündliche Weisungen in dringenden Fällen bestätigt der Auftraggeber unverzüglich in Textform. Weisungsberechtigte Personen benennt der Auftraggeber in Anlage 1.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

(4) Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, werden als Leistungsänderung behandelt und nach dem Hauptvertrag vergütet.

4. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die auf die Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den für sie maßgeblichen Datenschutzvorschriften vertraut gemacht wurden. Die Verpflichtung gilt auch nach Beendigung der Tätigkeit fort. Personen erhalten Zugriff auf Daten des Auftraggebers nur, soweit ihre Aufgabe dies erfordert.

5. Technische und organisatorische Maßnahmen

(1) Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber auf Anfrage mit.

6. Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber in Textform mindestens vier Wochen im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann der Änderung innerhalb von zwei Wochen nach Zugang der Information aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Einigen sich die Parteien nicht, kann jede Partei den Hauptvertrag hinsichtlich der betroffenen Leistungen zum Zeitpunkt des Wirksamwerdens der Änderung außerordentlich kündigen. Der Wegfall eines Unterauftragsverarbeiters bedarf keiner Vorabinformation.

(3) Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich im Wesentlichen dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber nach Art. 28 Abs. 4 DSGVO.

(4) Keine Unterauftragsverhältnisse im Sinne dieser Ziffer sind Nebenleistungen, bei denen keine Verarbeitung personenbezogener Daten des Auftraggebers im Auftrag stattfindet, z. B. reine Telekommunikations- oder Transportleistungen. Hostet der Auftraggeber seine Website bei einem eigenen Anbieter, ist dieser Anbieter Auftragsverarbeiter des Auftraggebers und nicht des Auftragnehmers.

7. Unterstützung bei Rechten betroffener Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch (Art. 15 bis 22 DSGVO) zu beantworten, etwa durch Export oder Löschung bestimmter Datensätze aus Website und Datenbank.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst, sofern der Auftraggeber ihn nicht dazu anweist.

(3) Unterstützungsleistungen werden nach dem Hauptvertrag abgerechnet (Anrechnung auf ein vereinbartes Stundenkontingent, darüber hinaus nach Aufwand), es sei denn, der Aufwand beruht auf einem Verstoß des Auftragnehmers.

8. Unterstützung bei weiteren Pflichten des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). Ziffer 7 Abs. 3 gilt entsprechend.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, unverzüglich nach Bekanntwerden, spätestens innerhalb von 48 Stunden, in Textform an die in Anlage 1 genannte Kontaktadresse.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Nicht sofort verfügbare Angaben werden unverzüglich nachgereicht.

(3) Der Auftragnehmer ergreift unverzüglich die erforderlichen Maßnahmen, um die Verletzung einzudämmen und mögliche nachteilige Folgen zu mindern, und stimmt sich dazu mit dem Auftraggeber ab. Meldungen an die Aufsichtsbehörde und Benachrichtigungen betroffener Personen nimmt der Auftraggeber vor.

10. Löschung und Rückgabe nach Vertragsende

(1) Nach Ende des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber nach dessen Wahl die Website einschließlich Datenbank und Dateien in einem gängigen Format zur Verfügung (z. B. als Sicherungsarchiv oder durch Übertragung an einen vom Auftraggeber benannten Anbieter) oder löscht sie. Trifft der Auftraggeber innerhalb von 30 Tagen nach Vertragsende keine Wahl, löscht der Auftragnehmer die Daten.

(2) Datensicherungen werden nicht einzeln bereinigt, sondern im Rahmen der regulären Aufbewahrungsrotation gelöscht, spätestens sieben Monate nach Vertragsende (Aufbewahrungsschema siehe Anlage 2). Bis dahin bleiben sie verschlüsselt und werden nicht mehr verwendet, es sei denn, der Auftraggeber verlangt eine Wiederherstellung.

(3) Eine Pflicht zur Speicherung nach Unionsrecht oder dem Recht eines Mitgliedstaats bleibt unberührt. Die Löschung bestätigt der Auftragnehmer auf Verlangen in Textform. Dokumentation, die dem Nachweis der ordnungsgemäßen Verarbeitung dient, darf er entsprechend den gesetzlichen Aufbewahrungsfristen aufbewahren.

11. Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, vorrangig in Form von Dokumenten (insbesondere dieser Vertrag mit seinen Anlagen, Selbstauskünfte, Nachweise der Unterauftragsverarbeiter).

(2) Reichen diese Unterlagen im Einzelfall nicht aus, ermöglicht der Auftragnehmer Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist. Inspektionen vor Ort werden mit einer Frist von mindestens zwei Wochen angekündigt, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb sowie die Daten anderer Kunden nicht beeinträchtigen. Die Rechenzentren der Unterauftragsverarbeiter werden über deren Nachweise geprüft.

(3) Den Aufwand für Kontrollen nach Absatz 2 trägt der Auftraggeber nach dem Hauptvertrag, es sei denn, die Kontrolle deckt einen erheblichen Verstoß des Auftragnehmers auf. Die Befugnisse der Aufsichtsbehörden bleiben unberührt.

12. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die er in Auftrag gibt, und für die Wahrung der Rechte der betroffenen Personen verantwortlich, insbesondere für Datenschutzerklärung, Einwilligungen (z. B. Cookie-Banner) und die Auswahl der auf seiner Website eingesetzten Dienste. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

13. Haftung

Für die Haftung der Parteien gelten die Regelungen des Hauptvertrags. Die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO bleibt unberührt.

14. Schlussbestimmungen

(1) Dieser Vertrag kann nach Art. 28 Abs. 9 DSGVO in elektronischem Format geschlossen werden. Er wird Bestandteil des Hauptvertrags, wenn der Auftraggeber ein Angebot oder eine Auftragsbestätigung annimmt, die auf diesen Vertrag in der jeweiligen Version verweist, oder ihn auf anderem Weg elektronisch bestätigt.

(2) Änderungen und Ergänzungen bedürfen der Textform. Die Anlagen sind Bestandteil dieses Vertrags. Änderungen der Anlage 3 richten sich nach Ziffer 6, Änderungen der Anlage 2 nach Ziffer 5 Abs. 2.

(3) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach dem Hauptvertrag.

Die Unterschrift ist optional: Der Vertrag kann nach Ziffer 14 Abs. 1 auch elektronisch geschlossen werden.

Anlage 1 – Angaben zum Auftrag

Vom Auftraggeber auszufüllen und dem Auftragnehmer in Textform zu übermitteln. Nicht Zutreffendes bleibt leer.

Leistungsumfang

• ☐ Hosting auf dem Server des Auftragnehmers
• ☐ Betreuung einer Website, die bei einem eigenen Anbieter des Auftraggebers liegt (Anbieter: ____________________)
• ☐ Wartung und Updates
• ☐ Datensicherung
• ☐ Fehlerbehebung und Support

Kategorien betroffener Personen

• ☐ Besucherinnen und Besucher der Website
• ☐ Personen, die Formulare nutzen (Kontakt, Anfrage, Bewerbung, Newsletter)
• ☐ Registrierte Nutzer, Mitglieder oder Kundenkonten
• ☐ Kundinnen und Kunden eines Online-Shops
• ☐ Beschäftigte des Auftraggebers (z. B. Redaktionskonten)
• ☐ Sonstige: ____________________

Arten personenbezogener Daten

• ☐ Zugriffs- und Protokolldaten: IP-Adresse, Zeitpunkt, aufgerufene Seite, Browser- und Geräteangaben, Fehlerprotokolle
• ☐ Formulareingaben: Name, Kontaktdaten, Nachrichteninhalt, hochgeladene Dateien
• ☐ Konto- und Nutzerdaten: Benutzername, E-Mail-Adresse, Passwort-Hash, Rollen, Profilangaben
• ☐ Bestell- und Vertragsdaten (Shop): Anschrift, bestellte Waren, Bestellhistorie, Zahlungsstatus (keine vollständigen Kartendaten, soweit die Zahlung über einen Zahlungsdienstleister läuft)
• ☐ Inhalte der Website mit Personenbezug, z. B. Namen und Fotos von Mitarbeitenden, Kommentare
• ☐ Besondere Kategorien nach Art. 9 DSGVO (z. B. Gesundheitsdaten): ____________________ – bitte gesondert mit dem Auftragnehmer abstimmen
• ☐ Sonstige: ____________________

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Die Maßnahmen gelten für Websites, die auf dem Server des Auftragnehmers betrieben werden. Bei Websites auf Infrastruktur des Auftraggebers oder eines von ihm beauftragten Anbieters gelten für diese Infrastruktur dessen Maßnahmen; die Maßnahmen des Auftragnehmers betreffen dann seinen eigenen Zugang und seine eigenen Systeme.

1. Vertraulichkeit

• Zutrittskontrolle: Der Auftragnehmer betreibt keine eigenen Serverräume. Die Server stehen in Rechenzentren der in Anlage 3 genannten Anbieter, deren physische Sicherung diese verantworten und nachweisen. Arbeitsgeräte der Beschäftigten sind gesperrt, wenn sie unbeaufsichtigt sind.
• Zugangskontrolle: Die Serveradministration erfolgt ausschließlich über Tailscale SSH, also über ein verschlüsseltes privates Netz (WireGuard) mit an persönliche Konten gebundener Anmeldung. Auch die Verwaltungsoberfläche Plesk ist nur über dieses Netz erreichbar. Auf den Sicherungsspeicher greift nur der automatisierte Sicherungsauftrag des Servers zu, ein interaktiver Zugang dorthin ist nicht vorgesehen. Mehr-Faktor-Authentifizierung ist bei NeckarByte für alle Zugänge verpflichtend: Administration, Hosting-Konten, E-Mail (Microsoft 365) und Werkzeuge wie Zoho. Passwörter werden in einem Passwort-Manager verwaltet.
• Zugriffskontrolle: Zugriff auf Daten des Auftraggebers nur durch Beschäftigte, die ihn für die jeweilige Aufgabe benötigen. Zugangsdaten zu Websites des Auftraggebers werden nicht in Tickets oder unverschlüsselten E-Mails abgelegt.
• Trennungskontrolle: Jede Website läuft in einem eigenen Plesk-Abonnement mit eigenem Systembenutzer, eigener Datenbank und eigenem Verzeichnis. Test- und Staging-Kopien liegen getrennt von der Live-Website.
• Pseudonymisierung/Verschlüsselung: siehe Weitergabekontrolle und Datensicherung.

2. Integrität

• Weitergabekontrolle: Websites werden ausschließlich über HTTPS (TLS) ausgeliefert, mit HTTP Strict Transport Security. Administrativer Zugriff erfolgt nur über verschlüsselte Verbindungen (SSH, Tailscale/WireGuard, HTTPS). Datensicherungen werden auf dem Server verschlüsselt, bevor sie an den Speicheranbieter übertragen werden (restic mit AES-256 bzw. verschlüsselte Plesk-Sicherung).
• Eingabekontrolle: Server- und Zugriffsprotokolle sowie die Protokolle der Verwaltungssysteme machen nachvollziehbar, wann administrative Änderungen vorgenommen wurden; Änderungen auf Weisung werden im Ticketsystem dokumentiert.

3. Verfügbarkeit und Belastbarkeit

• Datensicherung: Tägliche automatisierte Sicherung in der Nacht, verschlüsselt an einem zweiten Standort gespeichert (Hetzner Storage Box, Deutschland), getrennt vom Produktivserver: Websites in Plesk über die Datensicherung von Plesk (Dateien, Datenbanken, Konfiguration), weitere Dienste des Servers über restic. Aufbewahrt werden jeweils die Sicherungen der letzten 7 Tage, 4 Wochen und 6 Monate; ältere Sicherungen werden automatisch gelöscht.
• Wiederherstellung: Wiederherstellungen aus der Sicherung werden regelmäßig getestet.
• Schutz vor Angriffen: Web Application Firewall (ModSecurity mit Comodo-Regelsatz) auf dem Server, zeitnahe Installation von Sicherheitsupdates für System, CMS, Erweiterungen und Themes im Rahmen der Betreuung.
• Störungsbehebung: Reaktion auf Störungsmeldungen innerhalb weniger Werktage nach dem Hauptvertrag; bei Sicherheitsvorfällen unverzüglich (siehe Ziffer 9).

4. Verfahren zur regelmäßigen Überprüfung

• Die Maßnahmen werden mindestens jährlich sowie anlassbezogen (z. B. nach Sicherheitsvorfällen oder Änderungen der Infrastruktur) überprüft und angepasst.
• Auswahl der Unterauftragsverarbeiter nach ihren Garantien (Vertrag nach Art. 28 DSGVO, Standort in der EU bevorzugt); Verträge und Nachweise werden vorgehalten.
• Alle Personen mit Zugriff auf Daten des Auftraggebers sind schriftlich auf die Vertraulichkeit verpflichtet und mit den Datenschutzvorgaben vertraut.

Ansprechpartner für den Datenschutz beim Auftragnehmer: Philipp Häusser, haeusser@neckarbyte.com.

Anlage 3 – Unterauftragsverarbeiter

Bei Vertragsschluss genehmigte Unterauftragsverarbeiter (Ziffer 6). Je nach Leistungsumfang ist nicht jeder Unterauftragsverarbeiter für jede Website tätig; Hostinger und Hetzner nur bei Hosting durch den Auftragnehmer, ManageWP nur bei Websites ohne Plesk.

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung
Hostinger International Ltd. 61 Lordou Vironos str., 6023 Larnaca, Zypern	Bereitstellung des Servers (virtueller Server), auf dem die Websites des Auftraggebers betrieben werden (nur bei Hosting durch den Auftragnehmer)	Rechenzentrum in der EU, derzeit Frankreich
Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Deutschland	Speicherplatz (Storage Box) für Datensicherungen: Speicherung ausschließlich clientseitig verschlüsselter Sicherungen; der Schlüssel liegt nicht bei Hetzner, Hetzner hat keinen Zugriff auf Inhalte.	Rechenzentrum in Deutschland
Microsoft Ireland Operations Ltd. One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Irland	E-Mail (Microsoft 365): Zustellung der von den Websites versendeten E-Mails, z. B. Formularbenachrichtigungen; Kommunikation mit dem Auftraggeber	EU (Microsoft EU Data Boundary)
Zoho Corporation B.V. Beneluxlaan 4B, 3527 HT Utrecht, Niederlande	Ticketsystem (Zoho Desk) für Supportanfragen; personenbezogene Daten nur, soweit sie in Anfragen, Screenshots oder Anhängen enthalten sind	EU-Rechenzentrum der Zoho-Gruppe
GoDaddy.com, LLC (Dienst ManageWP) Tempe, Arizona, USA	Verwaltung, Aktualisierung und Sicherung von Websites, die nicht auf dem Server des Auftragnehmers (Plesk) liegen. Wird schrittweise abgelöst; der Eintrag entfällt, sobald keine Website mehr über ManageWP betreut wird.	USA; Datenverarbeitungsvereinbarung von GoDaddy mit EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO)

Version 0.9 · Stand: 2. Oktober 2026