Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO. Er wird Bestandteil des jeweiligen Dienstleistungsvertrags, sobald BARZIK STUDIO im Auftrag des Kunden personenbezogene Daten verarbeitet (z. B. Betrieb/Hosting von Websites, Verwaltungs-Panels oder White-Label-Anwendungen).

Parteien

Verantwortlicher (Auftraggeber): der Kunde, der die Leistungen von BARZIK STUDIO nutzt (Name/Anschrift gemäß Dienstleistungsvertrag).
Auftragsverarbeiter (Auftragnehmer): BARZIK STUDIO, Inhaber Alexander Barzik, Melanchthonstraße 73, 33615 Bielefeld, [email protected].

§ 1 Gegenstand & Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Erbringung der vereinbarten Webdesign-, Software- und Betriebs-/Hosting-Leistungen für den Verantwortlichen. Die Laufzeit entspricht der Laufzeit des zugrunde liegenden Dienstleistungsvertrags; der AVV endet mit dessen Beendigung.

§ 2 Art, Zweck & Umfang der Verarbeitung

Der Auftragnehmer verarbeitet die Daten ausschließlich zur Erbringung der beauftragten Leistung (Bereitstellung, Betrieb, Wartung, Speicherung, Strukturierung, Anzeige sowie ggf. Erzeugung von Dokumenten und Versand von Mitteilungen) und nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung der bereitgestellten Systeme durch den Verantwortlichen gilt als dessen Weisung.

§ 3 Art der Daten & Kategorien betroffener Personen

Datenarten: vom Verantwortlichen bereitgestellte bzw. über die betriebenen Systeme erhobene Stamm- und Kontaktdaten (Name, Anschrift, Kontakt), Vertrags-/Nutzungsdaten, Inhalts-/Formulardaten, Nutzungs-/Protokolldaten sowie ggf. weitere vom Verantwortlichen eingegebene Daten.
Betroffene Personen: Kunden, Interessenten, Nutzer:innen, Ansprechpartner:innen und sonstige Betroffene des Verantwortlichen.

§ 4 Pflichten des Auftragnehmers

• Verarbeitung nur auf dokumentierte Weisung; Hinweis, falls eine Weisung gegen Datenschutzrecht verstößt.
• Verpflichtung der zur Verarbeitung befugten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).
• Umsetzung der technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 1).
• Unterstützung des Verantwortlichen bei Betroffenenrechten (Art. 12–23) sowie bei Pflichten nach Art. 32–36 DSGVO im Rahmen des Möglichen.
• Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Verantwortlichen (Unterstützung der Meldepflichten nach Art. 33/34).
• Nachweis der Einhaltung und Ermöglichung von Überprüfungen/Audits (Art. 28 Abs. 3 lit. h), vorrangig durch Bereitstellung geeigneter Nachweise/Zertifikate.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche erteilt seine allgemeine Genehmigung zum Einsatz der nachfolgenden Unterauftragsverarbeiter — jeweils soweit im konkreten Projekt eingesetzt. Über beabsichtigte Änderungen (Hinzuziehung/Ersetzung) informiert der Auftragnehmer rechtzeitig; der Verantwortliche kann begründet widersprechen.

Bei Drittlandübermittlungen werden geeignete Garantien nach Art. 44 ff. DSGVO (insbesondere EU-Standardvertragsklauseln) sichergestellt.

§ 6 Weisungsrecht

Weisungen erfolgen grundsätzlich in Textform bzw. über die Funktionen der bereitgestellten Systeme. Mündliche Weisungen werden unverzüglich in Textform bestätigt.

§ 7 Löschung & Rückgabe

Nach Beendigung erbringt der Auftragnehmer nach Wahl des Verantwortlichen die Rückgabe oder Löschung der personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 8 Haftung

Es gelten Art. 82 DSGVO sowie die Haftungsregelungen des zugrunde liegenden Dienstleistungsvertrags.

Anlage 1 — Technische & organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle: Verarbeitung ausschließlich in einem zertifizierten Rechenzentrum der Hetzner Online GmbH in Deutschland (physische Zutrittssicherung durch den Hosting-Dienstleister); vorgelagerte WAF-/DDoS-Abwehr durch Cloudflare.
Zugangskontrolle: Passwörter mit scrypt + zeitkonstantem Vergleich gehasht; serverseitige, HttpOnly/Secure/SameSite-Session-Cookies (kein Token im Browser-Speicher); account-bezogene Anmeldesperre nach Fehlversuchen zusätzlich zum IP-Rate-Limit; generische Anmeldefehler (keine Konto-Aufzählung); optionale Zwei-Faktor-Authentifizierung (TOTP, RFC 6238).
Zugriffskontrolle: jede API-Route serverseitig authentifizierungs-gegated (401/403); Berechtigung pro Produkt/Rolle; Mandanten-Trennung (getrennte Datenbestände je Kunde/Tenant).

2. Integrität

Transportverschlüsselung durchgängig per TLS (HTTPS); parametrisierte/gebundene SQL-Abfragen gegen Injection; serverseitige Validierung von Eingaben; Weisungs-/Änderungsnachvollzug über die Systemfunktionen.

3. Verfügbarkeit & Belastbarkeit

Tägliche, WAL-sichere Datensicherungen mit Integritätsprüfung (restore-getestet); Monitoring der Dienste mit Alarmierung; vorgelagerte DDoS-/WAF-Abwehr; Wiederherstellbarkeit aus Backups.

4. Verfahren zur regelmäßigen Überprüfung

Regelmäßige Überprüfung der Maßnahmen; Datenminimierung und Zweckbindung; dokumentierte Prozesse für Betroffenenrechte (Auskunft, Löschung) und für die Meldung von Datenschutzverletzungen.

Stand: Juli 2026 · Entwurf — vor Verwendung anwaltlich zu bestätigen.