Auftragsverarbeitungsvertrag (AVV) und Technische sowie Organisatorische Maßnahmen

Stand: April 2026

Auf dieser Seite finden Sie den vollständigen Mustertext unseres Auftragsverarbeitungsvertrags gemäß Art. 28 DSGVO sowie die Anlagen mit Auftragsdetails, den Technischen und Organisatorischen Maßnahmen (TOMs) und der Liste der eingesetzten Unterauftragsverarbeiter.

Beim Abschluss über unser AVV-Online-Formular wird Ihnen ein individuell ausgefülltes PDF dieses Vertrags per E-Mail zugesandt.

Datenschutzvereinbarung zur Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO

zwischen

[Auftraggeber – wird im Formular ausgefüllt]
(nachstehend Auftraggeber genannt)

und

Freundbild
Ostwall 47
47798 Krefeld
Vertreten durch: Daniel Aengenheyster
E-Mail: daniel@freundbild.com
(nachstehend Auftragnehmer genannt)

Präambel

Diese Vereinbarung konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der in dieser Vereinbarung und der in Anlage A „Details zum Auftrag” beschriebenen Auftragsverarbeitung ergeben. Sie findet Anwendung auf alle Tätigkeiten, die mit der Dienstleistung in Zusammenhang stehen und bei denen Mitarbeiter des Auftragnehmers oder durch den Auftragnehmer beauftragte Dritte mit personenbezogenen Daten des Auftraggebers in Berührung kommen können.

Den Parteien ist bekannt, dass die EU Datenschutz-Grundverordnung (DS-GVO: EU-Verordnung 2016/679) gilt und sich die Vorgaben der Auftragsverarbeitung grundsätzlich nach Art. 28 DS-GVO richten. Einzelvereinbarungen in dieser Datenschutzvereinbarung gehen den Allgemeinen Geschäftsbedingungen (AGB) des Auftragnehmers vor.

§ 1 Definitionen

Personenbezogene Daten: Nach Art. 4 Abs. 1 DS-GVO sind personenbezogene Daten alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen.

Auftragsverarbeiter: Nach Art. 4 Abs. 8 DS-GVO ist ein Auftragsverarbeiter eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

Weisung: Weisung ist die auf einen bestimmten datenschutzmäßigen Umgang (z. B. Speicherung, Pseudonymisierung, Löschung, Herausgabe) des Auftragnehmers mit personenbezogenen Daten gerichtete, in der Regel schriftliche Anordnung des Auftraggebers. Die Weisungen werden vom Auftraggeber erteilt und können durch einzelne Weisungen geändert, ergänzt oder ersetzt werden (Einzelweisung). Die Weisungen des Auftraggebers sind schriftlich oder per E-Mail zu erteilen.

§ 2 Anwendungsbereich und Verantwortlichkeit

Der Auftragnehmer verarbeitet im Auftrag des Auftraggebers personenbezogene Daten oder es kann im Zusammenhang mit der Dienstleistungserbringung nicht ausgeschlossen werden, dass der Auftragnehmer Zugriff auf personenbezogene Daten bekommt bzw. Kenntnis von diesen erlangt. Nach Art. 28 DS-GVO ist daher der Abschluss einer Vereinbarung zur Verarbeitung im Auftrag erforderlich.
Der Auftraggeber hat den Auftragnehmer im Rahmen der Sorgfaltspflichten des Art. 28 DS-GVO als Dienstleister ausgewählt. Dieser Vertrag enthält den Auftrag zur Auftragsverarbeitung i.S.d. Art. 28 Abs. 3 DS-GVO und regelt die Rechte und Pflichten der Parteien zum Datenschutz im Zusammenhang mit der Erbringung der Dienstleistung.
Das Eigentum an den personenbezogenen Daten liegt ausschließlich beim Auftraggeber als „Verantwortlichem” im Sinne der DS-GVO. Aufgrund dieser Verantwortlichkeit kann der Auftraggeber auch während der Laufzeit des Vertrages und nach Beendigung des Vertrages die Berichtigung, Löschung, Sperrung und Herausgabe von personenbezogenen Daten verlangen.

§ 3 Gegenstand und Dauer des Auftrages

Der Gegenstand des Auftrages ist in Anlage A „Details zum Auftrag” niedergelegt.
Diese Vereinbarung tritt mit ihrer Unterzeichnung durch beide Parteien in Kraft und endet im Regelfall mit Kündigung des zugrundeliegenden Hauptvertrages laut AGB. Das Recht zur außerordentlichen Kündigung bleibt unberührt.

§ 4 Beschreibung der Verarbeitung, Daten und betroffener Personen

Umfang, Art und Zweck der Verarbeitung sind ebenso wie die Art der Daten und der Kreis der betroffenen Personen in Anlage A „Details zum Auftrag” beschrieben.

§ 5 Technische und organisatorische Maßnahmen zum Datenschutz

Der Auftragnehmer verpflichtet sich gegenüber dem Auftraggeber zur Einhaltung der technischen und organisatorischen Maßnahmen, die zur Wahrung der anzuwendenden Datenschutzvorschriften angemessen und erforderlich sind.

Da der Auftragnehmer die Dienstleistungen für den Auftraggeber auch außerhalb der Geschäftsräume des Auftraggebers durchführt, sind vom Auftragnehmer zwingend die von ihm getroffenen technischen und organisatorischen Maßnahmen i.S.d. Art. 28 Abs. 3 lit. c DS-GVO, Art. 32 DS-GVO i.V.m. Art. 5 Abs. 1 und Abs. 2 DS-GVO hierzu zu dokumentieren und dem Auftraggeber zur Prüfung zu übergeben.
Die Maßnahmen dienen der Datensicherheit und der Gewährleistung eines dem Risiko angemessenen Schutzniveaus hinsichtlich der Vertraulichkeit, der Integrität, der Verfügbarkeit sowie der Belastbarkeit der mit diesem Auftrag in Zusammenhang stehenden Systeme. Dabei sind der Stand der Technik, die Implementierungskosten und die Art, der Umfang und die Zwecke der Verarbeitung sowie die unterschiedliche Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen im Sinne von Art. 32 Abs. 1 DS-GVO zu berücksichtigen.
Der zum Zeitpunkt des Vertragsschlusses bestehende Stand der technischen und organisatorischen Maßnahmen ist als Anlage B „Technische und organisatorische Maßnahmen zum Datenschutz” dieser Vereinbarung beigefügt. Wesentliche Änderungen, die die Integrität, Vertraulichkeit oder Verfügbarkeit der personenbezogenen Daten beeinträchtigen können, wird der Auftragnehmer im Vorwege mit dem Auftraggeber abstimmen. Maßnahmen, die lediglich geringfügige technische oder organisatorische Änderungen mit sich bringen, können vom Auftragnehmer ohne Abstimmung umgesetzt werden. Der Auftraggeber kann jederzeit eine aktuelle Fassung anfordern.

§ 6 Berichtigung, Einschränkung und Löschung von Daten

Der Auftragnehmer darf die Daten, die im Auftrag verarbeitet werden, nicht eigenmächtig, sondern nur nach dokumentierter Weisung des Auftraggebers berichtigen, löschen oder deren Verarbeitung einschränken. Soweit eine betroffene Person sich diesbezüglich unmittelbar an den Auftragnehmer wendet, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber zur Erledigung weiterleiten.
Die Umsetzung der Rechte auf Löschung, Berichtigung, Datenübertragbarkeit und Auskunft sind nur nach dokumentierter Weisung des Auftraggebers unmittelbar durch den Auftragnehmer sicherzustellen.
Kopien oder Duplikate der Daten werden ohne Wissen des Auftraggebers nicht erstellt. Hiervon ausgenommen sind Sicherheitskopien sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Aufbewahrungspflichten erforderlich sind.
Nach Abschluss der vertraglich vereinbarten Arbeiten oder früher nach Aufforderung durch den Auftraggeber – spätestens jedoch mit Beendigung der Leistungsvereinbarung – hat der Auftragnehmer dem Auftraggeber die Möglichkeit zum Zugriff und zur Sicherung sämtlicher Unterlagen, Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände einzuräumen. Das Protokoll der Löschung ist auf Anforderung vorzulegen.
Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend der jeweiligen Aufbewahrungsfristen aufzubewahren.

§ 7 Pflichten des Auftragnehmers

Eine Verarbeitung personenbezogener Daten, die sich nicht auf die Erbringung der beauftragten Leistung bezieht, ist dem Auftragnehmer untersagt, es sei denn, der Auftraggeber hat schriftlich zugestimmt.
Der Auftragnehmer bestätigt, dass er – soweit gesetzlich verpflichtet – einen betrieblichen Datenschutzbeauftragten i.S.d. Art. 38, 39 DS-GVO bestellt hat. [Hier eintragen: Entweder Name und E-Mail des DSB, oder die Erklärung, dass kein DSB bestellt wurde, weil keine gesetzliche Pflicht besteht.] Ein Wechsel des Datenschutzbeauftragten ist dem Auftraggeber unverzüglich mitzuteilen.
Der Auftragnehmer wird den Auftraggeber unverzüglich darüber informieren, wenn eine erteilte Weisung gegen gesetzliche Regelungen verstößt. Der Auftragnehmer ist berechtigt, die Durchführung der Weisung solange auszusetzen, bis diese durch den Auftraggeber bestätigt oder geändert wird.
Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich bei schwerwiegenden Störungen des Betriebsablaufes, bei Verdacht auf Datenschutzverletzungen oder anderen Unregelmäßigkeiten.
Bei Datenschutzverstößen gem. Art. 33 DS-GVO informiert der Auftragnehmer den Auftraggeber unverzüglich und vollständig in Textform. Die Meldung muss enthalten:
- Beschreibung der Art der Verletzung mit Angabe der Kategorien und ungefähren Zahl der betroffenen Personen sowie Datensätze
- Name und Kontaktdaten des Datenschutzbeauftragten oder einer Anlaufstelle
- Beschreibung der wahrscheinlichen Folgen
- Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung
Der Auftragnehmer stellt auf Anforderung die für das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DS-GVO notwendigen Angaben zur Verfügung und führt selbst ein Verzeichnis nach Art. 30 Abs. 2 DS-GVO.
Der Auftragnehmer stellt sicher, dass die mit der Verarbeitung befassten Mitarbeiter gemäß Art. 28 Abs. 3 S. 2 lit. b, 29, 32 Abs. 4 DS-GVO zur Wahrung der Vertraulichkeit verpflichtet und mit den datenschutzrechtlichen Bestimmungen vertraut gemacht wurden. Diese Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.
Der Auftragnehmer unterstützt den Auftraggeber gemäß Art. 28 Abs. 3 lit. f DS-GVO bei der Einhaltung der in Art. 34–36 DS-GVO genannten Pflichten, insbesondere bei Informationspflichten gegenüber Betroffenen, der Datenschutz-Folgenabschätzung und einer vorherigen Konsultation mit der Aufsichtsbehörde.
Der Auftragnehmer hat den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde zu informieren, soweit sie sich auf diesen Auftrag beziehen.

§ 8 Rechte und Pflichten des Auftraggebers

Der Auftraggeber hat das Recht, jederzeit ergänzende Weisungen über Art, Umfang und Verfahren der Auftragsverarbeitung zu erteilen. Weisungen können schriftlich, per Fax, E-Mail oder mündlich erfolgen. Mündliche Weisungen sollen unverzüglich in Textform bestätigt werden.
Der Auftraggeber hat den Auftragnehmer unverzüglich und vollständig zu informieren, wenn er Fehler oder Unregelmäßigkeiten bzgl. datenschutzrechtlicher Bestimmungen feststellt.
Dem Auftraggeber obliegen die aus Art. 33 Abs. 1 DS-GVO resultierenden Meldepflichten.
Der Auftraggeber legt die Maßnahmen zur Rückgabe der überlassenen Datenträger und/oder Löschung der gespeicherten personenbezogenen Daten nach Beendigung des Auftrages fest.
Erteilt der Auftraggeber Einzelweisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, sind die dadurch begründeten Kosten vom Auftraggeber zu tragen.

§ 9 Wahrung von Rechten der betroffenen Person

Der Auftraggeber ist für die Wahrung der Rechte der betroffenen Person verantwortlich.
Soweit eine Mitwirkung des Auftragnehmers für die Wahrung von Betroffenenrechten – insbesondere auf Auskunft, Berichtigung, Einschränkung, Datenübertragbarkeit oder Löschung – erforderlich ist, wird der Auftragnehmer die jeweils erforderlichen Maßnahmen nach Weisung des Auftraggebers treffen.
Soweit eine betroffene Person sich unmittelbar an den Auftragnehmer wendet, wird dieser das Ersuchen unverzüglich an den Auftraggeber weiterleiten.

§ 10 Kontrollbefugnisse

Der Auftraggeber hat das Recht, die Einhaltung der gesetzlichen Datenschutzvorschriften und vertraglichen Regelungen jederzeit im erforderlichen Umfang zu kontrollieren.
Der Auftragnehmer ist zur Auskunftserteilung verpflichtet, soweit dies zur Durchführung der Kontrolle erforderlich ist.
Der Auftraggeber kann nach vorheriger Anmeldung mit angemessener Frist die Kontrolle in der Betriebsstätte des Auftragnehmers zu den üblichen Geschäftszeiten vornehmen.
Der Auftragnehmer erbringt den Nachweis technischer und organisatorischer Maßnahmen z. B. durch:
- Einhaltung genehmigter Verhaltensregeln gemäß Art. 40 DS-GVO
- Zertifizierung nach einem genehmigten Zertifizierungsverfahren gemäß Art. 42 DS-GVO
- Aktuelle Testate, Berichte oder Berichtsauszüge unabhängiger Instanzen
- Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z. B. nach ISO 27001)
Die Kosten für Aufwände einer Kontrolle können gegenüber dem Auftraggeber geltend gemacht werden.

§ 11 Unterauftragsverhältnisse

Die bedarfsweise Beauftragung von Unterauftragnehmern ist nur mit schriftlicher Zustimmung des Auftraggebers zulässig.
Der Auftraggeber ist damit einverstanden, dass der Auftragnehmer zur Erfüllung seiner vertraglich vereinbarten Leistungen Unternehmen heranzieht. Die zum Zeitpunkt des Abschlusses dieser Vereinbarung eingesetzten Unterauftragnehmer sind in Anlage C aufgeführt.
Der Auftragnehmer hat den Unterauftragnehmer sorgfältig auszuwählen und vorab sowie regelmäßig zu kontrollieren, dass dieser die nach Art. 28 Abs. 3 lit. c, 32 DS-GVO erforderlichen technischen und organisatorischen Maßnahmen getroffen hat.
Der Auftragnehmer hat sicherzustellen, dass die in diesem Vertrag vereinbarten Regelungen auch gegenüber dem Unterauftragnehmer gelten.
Die Verpflichtung des Unterauftragnehmers muss schriftlich erfolgen.
Der Auftragnehmer stellt durch vertragliche Regelungen sicher, dass die Kontrollbefugnisse des Auftraggebers und der Aufsichtsbehörden auch gegenüber dem Unterauftragnehmer gelten.

§ 12 Datengeheimnis und Geheimhaltungspflichten

Der Auftragnehmer verpflichtet sich, die gleichen Geheimnisschutzregeln zu beachten, wie sie dem Auftraggeber obliegen.
Der Auftragnehmer sichert zu, dass ihm die jeweils geltenden datenschutzrechtlichen Vorschriften bekannt sind.
Beide Parteien verpflichten sich, alle Informationen, die sie im Zusammenhang mit der Durchführung dieser Vereinbarung erhalten, zeitlich unbegrenzt vertraulich zu behandeln und nur zur Durchführung des Vertrages zu verwenden.
Die Verpflichtung gilt nicht für Informationen, die nachweisbar von Dritten ohne Geheimhaltungspflicht erhalten wurden oder öffentlich bekannt sind.

§ 13 Haftung

Es wird auf die Haftungsregelungen des Art. 82 DS-GVO verwiesen.

§ 14 Informationspflichten, Schriftformklausel, Rechtswahl

Sollten die personenbezogenen Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder sonstige Ereignisse Dritter gefährdet werden, hat der Auftragnehmer den Auftraggeber unverzüglich zu informieren.
Änderungen und Ergänzungen dieses Vertrages bedürfen einer schriftlichen Vereinbarung. Dies gilt auch für den Verzicht auf das Schriftformerfordernis.
Bei Unwirksamkeit einer Bestimmung bleiben die übrigen Bestimmungen wirksam. Die Vertragsparteien verpflichten sich, eine unwirksame Bestimmung durch eine ihrem Zweck entsprechende Bestimmung zu ersetzen.
Es gilt deutsches Recht. Gerichtsstand ist – soweit gesetzlich zulässig – Krefeld.

Anlage A: Details zum Auftrag

1. Gegenstand des Auftrags

Der Auftragnehmer erbringt für den Auftraggeber Leistungen aus den Bereichen Webhosting, Webentwicklung, Webseiten-Wartung und -Betreuung sowie damit verbundene Dienstleistungen. Der konkrete Leistungsumfang wird im Hauptvertrag bzw. in der individuellen Auftragsbestätigung festgelegt.

2. Art und Zweck der Verarbeitung

Art: Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Übermitteln, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten.

Zweck: Erfüllung der vertraglich vereinbarten Leistungen gegenüber dem Auftraggeber, insbesondere Bereitstellung und Wartung der Webseite, Betrieb von E-Mail-Diensten, Speicherung von Inhalten und Backups.

Ort der Verarbeitung: Ausschließlich innerhalb der Europäischen Union (EU) bzw. des Europäischen Wirtschaftsraums (EWR).

3. Art der personenbezogenen Daten

Stammdaten (Name, Anschrift, Kontaktdaten)
Kommunikationsdaten (E-Mail, Telefon)
Vertragsdaten
Nutzungsdaten (besuchte Webseiten, Zugriffszeiten)
Meta- und Kommunikationsdaten (z. B. IP-Adressen, Geräte-Informationen)

4. Kategorien betroffener Personen

Kunden und Interessenten des Auftraggebers
Beschäftigte des Auftraggebers
Lieferanten und Geschäftspartner des Auftraggebers
Webseitenbesucher und Newsletter-Abonnenten des Auftraggebers

Anlage B: Technische und Organisatorische Maßnahmen (TOMs)

Der Auftragnehmer trifft die nachfolgend beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DS-GVO zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus. Die Maßnahmen werden regelmäßig überprüft und an den Stand der Technik angepasst.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DS-GVO)

1.1 Zutrittskontrolle

Schutz vor unbefugtem Zutritt zu Datenverarbeitungsanlagen:

Verarbeitung personenbezogener Daten ausschließlich auf Servern des Hosting-Dienstleisters Mittwald CM Service GmbH & Co. KG (zertifiziertes Rechenzentrum)
Geschäftsräume des Auftragnehmers durch Schließsystem gesichert
Zutritt zu Geschäftsräumen nur für Mitarbeitende und angemeldete Besucher

1.2 Zugangskontrolle

Schutz vor unbefugter Nutzung von IT-Systemen:

Persönliche und individuelle Benutzerkennungen
Verpflichtende Passwortrichtlinien (mindestens 12 Zeichen, Komplexität)
Zwei-Faktor-Authentifizierung (2FA), wo verfügbar
Einsatz eines Passwort-Managers
Automatische Bildschirmsperre bei Inaktivität
Regelmäßige Aktualisierung von Betriebssystemen und Anwendungen

1.3 Zugriffskontrolle

Berechtigungskonzept mit rollenbasierter Zugriffsverwaltung
Vergabe von Zugriffsrechten nach dem Need-to-know-Prinzip
Protokollierung von Zugriffen auf personenbezogene Daten
Regelmäßige Überprüfung und Anpassung der Berechtigungen

1.4 Trennungskontrolle

Logische Mandantentrennung in Datenbanken und Anwendungen
Getrennte Ablagestrukturen für Daten verschiedener Kunden
Trennung von Test- und Produktivsystemen

1.5 Pseudonymisierung und Verschlüsselung

Verschlüsselte Datenübertragung über TLS/SSL (HTTPS)
Verschlüsselung von Backups
Pseudonymisierung personenbezogener Daten, soweit für den Verarbeitungszweck möglich

2. Integrität (Art. 32 Abs. 1 lit. b DS-GVO)

2.1 Weitergabekontrolle

Verschlüsselte Datenübertragung (TLS 1.2 oder höher)
Sichere Authentifizierung beim Datentransfer (z. B. SFTP, HTTPS)
Protokollierung von Datenübertragungen

2.2 Eingabekontrolle

Protokollierung von Eingaben, Änderungen und Löschungen
Nachvollziehbarkeit über Benutzerkennungen
Versionierung kritischer Datenbestände

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b DS-GVO)

3.1 Verfügbarkeitskontrolle

Tägliche automatische Backups durch den Hosting-Dienstleister Mittwald
Geografisch getrennte Speicherung der Backups
Schutz vor Schadsoftware durch aktuelle Virenschutzprogramme
Schutz durch Firewalls auf System- und Anwendungsebene
Unterbrechungsfreie Stromversorgung (USV) im Rechenzentrum
Klimatisierte Serverräume mit Brandschutzeinrichtungen

3.2 Rasche Wiederherstellbarkeit (Art. 32 Abs. 1 lit. c DS-GVO)

Notfallkonzept und definierte Wiederherstellungsprozesse
Regelmäßige Tests der Backup-Wiederherstellung

4. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d DS-GVO)

4.1 Datenschutz-Management

Regelmäßige Schulung der Mitarbeitenden zum Datenschutz
Schriftliche Verpflichtung aller Mitarbeitenden auf das Datengeheimnis nach Art. 28 Abs. 3 lit. b DS-GVO
Verzeichnis von Verarbeitungstätigkeiten gemäß Art. 30 DS-GVO
Prozess zur Meldung von Datenschutzverletzungen an Auftraggeber innerhalb von 24 Stunden

4.2 Auftragskontrolle

Schriftliche Auftragsverarbeitungsverträge mit allen Auftraggebern
Schriftliche Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern
Verarbeitung ausschließlich nach Weisung des Auftraggebers
Regelmäßige Überprüfung der eingesetzten Unterauftragsverarbeiter

4.3 Incident-Response

Definierter Prozess zur Erkennung und Bearbeitung von Sicherheitsvorfällen
Dokumentation aller Vorfälle
Information der Betroffenen und Aufsichtsbehörden gemäß Art. 33 und 34 DS-GVO

Die TOMs unseres Hosting-Dienstleisters Mittwald CM Service GmbH & Co. KG (zertifiziertes Rechenzentrum nach ISO 27001) sind Bestandteil des mit Mittwald geschlossenen Auftragsverarbeitungsvertrags und werden auf Anfrage zur Verfügung gestellt.

Anlage C: Liste der Unterauftragsverarbeiter

Der Auftragnehmer setzt zur Erbringung der vertraglich vereinbarten Leistungen folgende Unterauftragsverarbeiter ein. Mit allen genannten Unterauftragsverarbeitern wurden Verträge nach Art. 28 DS-GVO geschlossen.

Rechenzentrum / Hosting

Mittwald CM Service GmbH & Co. KG
Königsberger Straße 4-6
32339 Espelkamp, Deutschland
Sitz: Deutschland (EU)
Leistung: Webhosting, Server-Infrastruktur, Backup-Services
Datenkategorien: Stamm-, Kommunikations-, Vertrags-, Nutzungs-, Metadaten
Kontakt zum Datenschutzbeauftragten: datenschutz@mittwald.de

Weitere Unterauftragsverarbeiter

[Hier ggf. weitere Dienstleister ergänzen, z. B. Mailprovider, Backup-Service. Falls keine weiteren eingesetzt werden, kann dieser Abschnitt entfallen.]

Über Änderungen der Liste informieren wir den Auftraggeber rechtzeitig. Der Auftraggeber kann einer geplanten Änderung innerhalb von 14 Tagen widersprechen.

Hinweis: Dieser Mustervertrag und die Anlagen sind Grundlage für den über unser Online-Formular abgeschlossenen Auftragsverarbeitungsvertrag. Bei Fragen zum Datenschutz oder zum AVV wenden Sie sich bitte an daniel@freundbild.com.

Stand: April 2026 – Diese Vereinbarung und ihre Anlagen werden regelmäßig überprüft und an den aktuellen Stand der Technik und Rechtslage angepasst.

Haftungshinweis: Dieser AVV-Mustertext orientiert sich an gängigen Branchenvorlagen und Empfehlungen der Datenschutzbehörden. Er stellt keine individuelle Rechtsberatung dar. Eine abschließende Prüfung im Einzelfall durch einen Datenschutzbeauftragten oder Rechtsanwalt wird empfohlen.