Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO – Hosting und Betreuung von Websites

zwischen

dem Kunden, der mit uns einen Vertrag über ein Website-Projekt mit Hosting oder über die Betreuung einer Website (Care) geschlossen hat
– Verantwortlicher, im Folgenden „Auftraggeber“ –

und

NEXTLEVEL CORPORATE SERVICE PROVIDER - FZCO, Building A1, IFZA Business Park, Dubai Digital Park, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate, DIEZ License No. 67837, vertreten durch Tassilo Peter Seitz (General Manager), E-Mail: [email protected]
– Auftragsverarbeiter, im Folgenden „Auftragnehmer“ –

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer beim Hosting, Betrieb und der Betreuung der Website des Auftraggebers nach den AGB für Website-Projekte (https://www.nxtlvl-corp.com/agb), den Betreuungsbedingungen Care (https://www.nxtlvl-corp.com/care-bedingungen) und dem jeweiligen Angebot (zusammen „Hauptvertrag“).

1.2 Dieser Vertrag gilt, sobald und solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet, insbesondere ab dem ersten Hosting der Vorschau oder der Website. Er endet mit dem Ende des Hauptvertrags; Pflichten nach Ziffer 9 (Löschung) bestehen darüber hinaus fort.

1.3 Für Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet (insbesondere Kontakt- und Abrechnungsdaten des Auftraggebers und seiner Ansprechpersonen), gilt die Datenschutzerklärung des Auftragnehmers (https://www.nxtlvl-corp.com/datenschutz).

2. Art, Zweck, Datenarten, Betroffene

2.1 Art der Verarbeitung: Speichern und Ausliefern der Website, Verarbeiten von Verbindungsdaten, Entgegennehmen, Zwischenspeichern und Weiterleiten von Formulareingaben, Speichern in einer Datenbank (soweit die Website eine hat), Erstellen zusammengefasster Berichte, Sichern, Wiederherstellen, Ändern von Inhalten auf Weisung, Löschen.

2.2 Zweck: Bereitstellung, Betrieb, Sicherheit und Betreuung der Website nach dem Hauptvertrag.

2.3 Datenarten (je nach Ausstattung der Website):

• Verbindungsdaten der Besucher: IP-Adresse, Zeitpunkt, aufgerufene Adresse, Referrer, Browser- und Geräteangaben (Server-Logs);
• Messdaten, falls der Auftraggeber eine cookielose Reichweitenmessung wünscht: aufgerufene Adressen, Referrer, Browser- und Geräteangaben, Ladezeiten, nur zusammengefasst ausgewertet;
• Formulareingaben und Anfragen: z. B. Name, E-Mail-Adresse, Telefonnummer, Unternehmen, Nachricht, Terminwunsch;
• Buchungs- und Bestelldaten, soweit die Website eine Buchungs- oder Verkaufsstrecke hat: z. B. gebuchte Leistung, Termin, Rechnungsangaben (Zahlungsdaten verarbeitet der Zahlungsdienst, nicht der Auftragnehmer);
• Inhalte der Website, die personenbezogene Daten enthalten: z. B. Namen, Fotos und Kontaktdaten von Mitarbeitenden des Auftraggebers.

Besondere Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht Gegenstand der Verarbeitung. Plant der Auftraggeber Formulare, in denen solche Daten abgefragt werden, informiert er den Auftragnehmer vorher; die Parteien vereinbaren dann ergänzende Maßnahmen.

2.4 Betroffene: Besucher der Website, Interessenten und Kunden des Auftraggebers, die Formulare nutzen oder buchen, sowie Mitarbeitende und Ansprechpersonen des Auftraggebers.

3. Weisungen

3.1 Der Auftragnehmer verarbeitet die Auftragsdaten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Recht der Union oder eines Mitgliedstaats, dem er unterliegt, zur Verarbeitung verpflichtet (Art. 28 Abs. 3 lit. a DSGVO); in diesem Fall teilt er dem Auftraggeber diese Anforderungen vorab mit, sofern das Recht dies nicht verbietet.

3.2 Weisungen sind der Hauptvertrag, dieser Vertrag, die Festlegungen im Angebot (z. B. Formulare, Empfänger von Benachrichtigungen, Reichweitenmessung) sowie Änderungswünsche des Auftraggebers in Textform an [email protected].

3.3 Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen. Eine rechtliche Prüfung der Website schuldet der Auftragnehmer damit nicht.

4. Pflichten des Auftraggebers

4.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Datenschutzerklärung seiner Website, eine etwa erforderliche Einwilligung (z. B. für Dienste, die Informationen auf Endgeräten speichern) und die Information der Betroffenen nach Art. 13, 14 DSGVO.

4.2 Der Auftraggeber informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

5. Pflichten des Auftragnehmers

5.1 Vertraulichkeit: Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Pflicht besteht nach Ende der Tätigkeit fort.

5.2 Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

5.3 Unterstützung bei Betroffenenrechten: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen Betroffener (Art. 12–23 DSGVO), z. B. durch Auskunft über gespeicherte Formulareingaben oder deren Löschung. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

5.4 Unterstützung bei Art. 32–36 DSGVO: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei Sicherheit, Meldungen von Verletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation.

5.5 Verletzungen des Schutzes personenbezogener Daten: Der Auftragnehmer meldet dem Auftraggeber eine ihm bekannt gewordene Verletzung des Schutzes der Auftragsdaten unverzüglich, möglichst innerhalb von 48 Stunden, an die zuletzt mitgeteilte E-Mail-Adresse der Ansprechperson. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO; noch fehlende Angaben werden schrittweise nachgereicht.

5.6 Nachweise: Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Ziffer 8).

5.7 Verzeichnis: Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.

5.8 Der Auftragnehmer verwendet die Auftragsdaten nicht für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen, nicht für Werbung und nicht zum Verkauf. Formulareingaben, Buchungs- und Bestelldaten gibt er nicht an KI-Anbieter weiter.

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber genehmigt den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung, Art. 28 Abs. 2 DSGVO). Welche davon für die Website eingesetzt werden, ergibt sich aus dem Angebot bzw. der Ausstattung der Website; Cloudflare wird immer eingesetzt.

6.2 Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Kommt keine Einigung zustande, kann der Auftraggeber den betroffenen Teil des Hauptvertrags zum Zeitpunkt des Wechsels kündigen; im Voraus gezahlte Entgelte für die Zeit danach erstattet der Auftragnehmer.

6.3 Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die diesem Vertrag im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

6.4 Keine Unterauftragsverarbeiter des Auftragnehmers sind Dienste, die der Auftraggeber in eigenem Namen nutzt (z. B. ein eigenes Stripe-, Buchungs- oder Hosting-Konto des Auftraggebers); für sie schließt der Auftraggeber die erforderlichen Verträge selbst. Keine Unterauftragsverarbeitung sind ferner Nebenleistungen wie Telekommunikation.

7. Übermittlung in Drittländer

7.1 Der Auftragnehmer hat seinen Sitz in den Vereinigten Arabischen Emiraten; für die VAE besteht kein Angemessenheitsbeschluss der EU-Kommission. Die Auftragsdaten werden bei den Unterauftragsverarbeitern gespeichert (Anlage 2); der administrative Zugriff durch den Auftragnehmer erfolgt aus den VAE.

7.2 Für Übermittlungen an den Auftragnehmer, auf die Kapitel V DSGVO anwendbar ist, vereinbaren die Parteien mit Abschluss dieses Vertrags die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter), die durch diese Bezugnahme Bestandteil dieses Vertrags werden; der Auftraggeber ist Datenexporteur, der Auftragnehmer Datenimporteur. Dabei gilt: Klausel 7 (Kopplungsklausel) findet keine Anwendung; Klausel 9 Option 2 (allgemeine Genehmigung, Frist nach Ziffer 6.2); die Option in Klausel 11 findet keine Anwendung; Klausel 13: zuständig ist die für den Auftraggeber zuständige Aufsichtsbehörde; Klausel 17 Option 1: Recht der Bundesrepublik Deutschland; Klausel 18: Gerichte der Bundesrepublik Deutschland. Anhang I ergibt sich aus dem Hauptvertrag (Parteien) und Ziffer 2 (Beschreibung der Übermittlung), Anhang II aus Anlage 1, Anhang III aus Anlage 2. Eine Kopie der Klauseln erhält der Auftraggeber auf Anfrage. Die Klauseln gehen nach Ziffer 11.2 vor.

7.3 Hat der Auftraggeber seinen Sitz in der Schweiz, gelten die Standardvertragsklauseln mit den vom Eidgenössischen Datenschutz- und Öffentlichkeitsbeauftragten (EDÖB) anerkannten Anpassungen: Aufsichtsbehörde ist, soweit das Schweizer Datenschutzgesetz anwendbar ist, der EDÖB; Begriffe der DSGVO sind im Sinne des Schweizer Datenschutzgesetzes zu verstehen.

7.4 Übermittlungen an Unterauftragsverarbeiter in Drittländern erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework für zertifizierte Empfänger) oder der Standardvertragsklauseln (Modul 3, Auftragsverarbeiter an Unterauftragsverarbeiter).

8. Kontrollrechte

8.1 Der Auftragnehmer weist die Einhaltung seiner Pflichten vorrangig durch Selbstauskünfte, die aktuelle Fassung der Anlage 1 sowie Zertifikate und Prüfberichte seiner Unterauftragsverarbeiter (z. B. ISO 27001, SOC 2) nach.

8.2 Darüber hinaus kann der Auftraggeber nach rechtzeitiger Anmeldung (mindestens 30 Tage) und höchstens einmal je Kalenderjahr, außer bei konkretem Anlass, eine Prüfung durch sich oder einen zur Verschwiegenheit verpflichteten Prüfer verlangen, die vorrangig als Dokumenten- bzw. Fernprüfung erfolgt. Der Auftragnehmer kann für Prüfungen, die über Ziffer 8.1 hinausgehen, eine angemessene Erstattung seines Aufwands verlangen; das gilt nicht, wenn die Prüfung einen erheblichen Verstoß des Auftragnehmers gegen diesen Vertrag ergibt. Prüfungen durch Aufsichtsbehörden bleiben unberührt.

9. Löschung und Rückgabe

9.1 Nach Ende des Hauptvertrags übergibt der Auftragnehmer dem Auftraggeber auf Wunsch die noch gespeicherten Auftragsdaten (z. B. Formulareingänge, Datenbankinhalte) in einem gängigen Format und löscht sie einschließlich Kopien spätestens 30 Tage nach Vertragsende, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Speicherpflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

9.2 Während der Laufzeit gilt: Server-Logs werden beim Unterauftragsverarbeiter kurzfristig gespeichert, in der Regel nicht länger als 30 Tage. Formulareingänge leitet der Auftragnehmer an die vom Auftraggeber benannte Adresse weiter; zwischengespeicherte Formulareingänge löscht er in der Regel nach 30 Tagen, soweit im Angebot keine längere Speicherung (z. B. in einer Datenbank) vereinbart ist. Sicherungen werden im Rahmen der regulären Rotation gelöscht.

9.3 Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

10. Haftung

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend anderes vorsieht.

11. Schlussbestimmungen

11.1 Dieser Vertrag wird mit dem Hauptvertrag vereinbart; das Angebot verweist auf ihn. Änderungen und Ergänzungen bedürfen der Textform.

11.2 Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht; die Standardvertragsklauseln (Ziffer 7.2) gehen diesem Vertrag und dem Hauptvertrag vor.

11.3 Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

11.4 Dieser Vertrag unterliegt abweichend vom Hauptvertrag dem Recht der Bundesrepublik Deutschland (Art. 28 Abs. 3 DSGVO: Vertrag nach dem Recht eines Mitgliedstaats). Der Gerichtsstand richtet sich nach dem Hauptvertrag, soweit nicht die Standardvertragsklauseln (Ziffer 7.2) oder die DSGVO zwingend anderes bestimmen.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO), Stichpunkte

Vertraulichkeit

• Zutrittskontrolle: keine eigenen Rechenzentren; physische Sicherheit bei den Unterauftragsverarbeitern in zertifizierten Rechenzentren (ISO 27001/SOC 2 laut Anbieter).
• Zugangskontrolle: Admin-Zugänge zu Cloudflare, Supabase, Resend und Code-Repositories nur mit starkem Passwort und Zwei-Faktor-Authentifizierung; persönliche Konten, keine geteilten Zugänge; Zugänge des Auftraggebers getrennt je Kunde.
• Zugriffskontrolle: statische Websites ohne Benutzerkonten; Datenbanken nur mit Row Level Security bzw. ausschließlich serverseitigem Zugriff; Geheimnisse (API-Schlüssel) nur als Secrets der Laufzeitumgebung, nie im Quellcode.
• Trennungskontrolle: eigenes Projekt bzw. eigene Datenbank je Kunde.
• Verschlüsselung: TLS für alle Verbindungen (HTTPS mit HSTS); Verschlüsselung ruhender Daten beim Anbieter.
• Minimierung: Formulare fragen nur die nötigen Angaben ab; Websites ohne Cookies zu Analyse- oder Werbezwecken, soweit der Auftraggeber nichts anderes anweist; strikte Content Security Policy; Schriften und Medien selbst ausgeliefert; Formulareingänge nicht an KI-Anbieter.

Integrität

• Eingabekontrolle: alle Änderungen an der Website über versionierten Quellcode (Git) mit Zeitpunkt und Urheber; Veröffentlichung nur über nachvollziehbare Deployments.
• Weitergabekontrolle: Formulareingänge nur an die vom Auftraggeber benannten Empfänger; Benachrichtigungs-E-Mails über TLS.

Verfügbarkeit und Belastbarkeit

• Auslieferung über das verteilte Netzwerk von Cloudflare mit DDoS-Schutz; Erreichbarkeitsüberwachung.
• Rücksprung auf eine frühere Version der Website jederzeit möglich (Deployment-Historie, Git).
• Datenbank-Sicherungen beim Anbieter, soweit eine Datenbank eingesetzt wird.

Verfahren zur regelmäßigen Überprüfung

• Automatisiertes Prüfskript vor jeder Veröffentlichung (u. a. Sicherheits-Header, keine unerwarteten externen Ressourcen, Konsolenfehler).
• Abhängigkeiten mit festen Versionen; Sicherheits-Updates im Rahmen der Betreuung.
• Überprüfung dieser Anlage mindestens jährlich.
• Notfallplan für Datenpannen mit Meldeweg an den Auftraggeber (intern).

Anlage 2 – Unterauftragsverarbeiter (Stand 20.10.2026)

Stand: 20.10.2026