Zurück zu den Bedingungen für den Website-Baukasten (§ 12b)

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO – Website-Baukasten

Stand 07.10.2026. Diese Vereinbarung wird mit dem Baukasten-Vertrag geschlossen und mit der Bestellung akzeptiert. Grundlage: § 12b Abs. 21 der AGB (Website-Baukasten).

zwischen

dem Kunden des Website-Baukastens gemäß Bestellung (Name und Anschrift wie in der Bestellung angegeben)

– nachfolgend Verantwortlicher –

und

Agentur Emilian UG (haftungsbeschränkt) Sonnenburger Straße 54, 10437 Berlin vertreten durch die Geschäftsführerin Alexandra Buckard Amtsgericht Berlin-Charlottenburg, HRB 197308 B, USt-IdNr. DE318979339

– nachfolgend Auftragsverarbeiter –

Abschluss: Diese Vereinbarung wird mit dem Baukasten-Vertrag geschlossen und steht im Kundenbereich zum Abruf und Speichern bereit. Sie ist in elektronischem Format geschlossen (Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand, Dauer und Anwendungsbereich

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen dessen Website über den Website-Baukasten (Hosting, Online-Editor, Kontaktformular, Zählung der Seitenaufrufe).

(2) Gegenstand dieser Vereinbarung ist die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter dabei im Auftrag des Verantwortlichen vornimmt, insbesondere:

a) die Auslieferung der Website an deren Besucher einschließlich der dabei technisch anfallenden Server-Logdaten, b) die Entgegennahme von Nachrichten über das Kontaktformular der Website und deren Weiterleitung per E-Mail an die vom Verantwortlichen hinterlegte Adresse, c) die Speicherung der Inhalte, die der Verantwortliche im Editor einstellt, soweit sie personenbezogene Daten enthalten (z. B. Namen und Fotos von Mitarbeitern), d) die Erstellung von KI-Textvorschlägen aus Angaben, die der Verantwortliche im Editor eingibt, soweit diese personenbezogene Daten Dritter enthalten.

(3) Nicht Gegenstand dieser Vereinbarung sind die Daten des Verantwortlichen selbst als Vertragspartner (Bestell-, Rechnungs- und Zahlungsdaten, Zugang zum Kundenbereich). Diese verarbeitet der Auftragsverarbeiter als eigener Verantwortlicher; es gilt seine Datenschutzerklärung.

(4) Die Zählung der Seitenaufrufe erfolgt ohne Cookies und ohne Speicherung von IP-Adressen; gespeichert wird nur ein Monatszähler je Website. Sie verarbeitet daher über die Server-Logdaten nach Absatz 2 Buchstabe a hinaus keine personenbezogenen Daten.

(5) Verbraucher als Kunden. Betreibt ein Verbraucher die Website ausschließlich zu persönlichen oder familiären Zwecken, ist die DSGVO nach Art. 2 Abs. 2 Buchst. c nicht anwendbar; diese Vereinbarung gilt dann vorsorglich und schadet nicht. Ist die Website öffentlich zugänglich oder dient sie einer nicht rein privaten Tätigkeit (z. B. einem Verein, einer Nebentätigkeit oder einem Blog für die Öffentlichkeit), ist auch der Verbraucher Verantwortlicher, und diese Vereinbarung gilt uneingeschränkt.

(6) Die Vereinbarung gilt für die Dauer des Baukasten-Vertrags und endet mit ihm. § 11 dieser Vereinbarung gilt über das Vertragsende hinaus.

§ 2 Art und Zweck der Verarbeitung, Datenarten, betroffene Personen

(1) Zweck: Bereitstellung und Betrieb der Website des Verantwortlichen, Weiterleitung von Kontaktanfragen, Sicherheit und Missbrauchsabwehr.

(2) Art der Verarbeitung: Erheben, Speichern, Übermitteln (Weiterleitung per E-Mail), Bereitstellen, Löschen.

(3) Datenarten: – Server-Logdaten der Besucher: IP-Adresse, Datum und Uhrzeit, aufgerufene Seite, Browser und Betriebssystem – Angaben aus dem Kontaktformular: Name, E-Mail-Adresse, Telefonnummer (freiwillig), Inhalt der Nachricht – Inhalte der Website, soweit sie personenbezogene Daten enthalten (Namen, Fotos, Kontaktangaben von Mitarbeitern oder anderen Personen)

(4) Betroffene Personen: Besucher der Website, Personen, die das Kontaktformular nutzen, sowie Personen, deren Daten der Verantwortliche auf seiner Website veröffentlicht.

(5) Über das Kontaktformular können Besucher von sich aus auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO übermitteln, insbesondere Gesundheitsdaten (etwa bei Websites von Arzt-, Zahnarzt- oder Therapiepraxen). Der Auftragsverarbeiter verarbeitet solche Daten ausschließlich zur Weiterleitung an den Verantwortlichen: Die Übertragung erfolgt verschlüsselt (TLS), die Nachricht wird nicht in der Datenbank des Auftragsverarbeiters gespeichert und liegt beim E-Mail-Dienstleister nur für dessen Speicherfrist vor (§ 11 Abs. 2). Der Verantwortliche stellt die Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO sicher, fragt im Formular keine Gesundheitsdaten ab, die er für die Kontaktaufnahme nicht benötigt, und weist in seiner Datenschutzerklärung darauf hin, dass Besucher für vertrauliche Gesundheitsangaben einen anderen Weg (z. B. Telefon) wählen können.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder deutschem Recht zur Verarbeitung verpflichtet. Der Baukasten-Vertrag, diese Vereinbarung und die Einstellungen, die der Verantwortliche im Editor vornimmt (z. B. Empfängeradresse des Kontaktformulars), stellen die Weisungen dar.

(2) Weitere Weisungen erteilt der Verantwortliche in Textform an info@agentur-emilian.de. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandelt der Auftragsverarbeiter als Antrag auf eine Leistungsänderung.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

(1) Er verarbeitet die Daten nur im Rahmen des Auftrags und dieser Vereinbarung.

(2) Er verpflichtet alle mit der Verarbeitung befassten Personen zur Vertraulichkeit; die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(3) Er führt ein Verzeichnis der Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).

(4) Er unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere mit den Angaben zur technischen Verarbeitung für die Datenschutzerklärung der Website (§ 12b Abs. 11 der AGB).

(5) Er hat keinen Datenschutzbeauftragten benannt, weil die Voraussetzungen des § 38 BDSG und des Art. 37 DSGVO nicht vorliegen.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO.

(2) Er darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 1 genannten Unterauftragsverarbeiter zu.

(2) Weitere oder andere Unterauftragsverarbeiter setzt der Auftragsverarbeiter erst ein, nachdem er dies mindestens vier Wochen vorher in Textform angekündigt hat. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann jede Partei den Baukasten-Vertrag zum Zeitpunkt des geplanten Wechsels kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die diese Vereinbarung vorsieht (Art. 28 Abs. 4 DSGVO).

§ 7 Verarbeitung außerhalb der EU

(1) Die in Anlage 1 genannten Anbieter haben ihren Sitz teilweise in den USA. Für Übermittlungen in Drittländer gelten die Zertifizierung nach dem EU-US Data Privacy Framework oder die Standardvertragsklauseln der EU-Kommission. Der Auftragsverarbeiter weist dies auf Verlangen nach.

(2) Die Datenbank und die Bilder liegen bei Supabase in der Region Frankfurt (eu-central-1). Die Server-Funktionen (Auslieferung der Websites, Kontaktformular, Zähler) laufen bei Vercel in der Region Washington D.C., USA (iad1); die Auslieferung über das Netzwerk von Vercel erfolgt weltweit. Für diese Übermittlung in die USA gilt Absatz 1. Stand der Angaben: 07.10.2026.

§ 8 Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei Anfragen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und antwortet nicht selbst in der Sache.

§ 9 Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, in Textform an die im Kundenbereich hinterlegte E-Mail-Adresse.

(2) Die Meldung enthält, soweit bekannt, Art der Verletzung, betroffene Datenarten und ungefähre Zahl der Betroffenen, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Gegenmaßnahmen.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung auf Anfrage durch geeignete Unterlagen nach, insbesondere durch die Beschreibung der Maßnahmen in Anlage 2 und Nachweise der Unterauftragsverarbeiter (Zertifikate, Prüfberichte).

(2) Darüber hinausgehende Kontrollen vor Ort sind nach Ankündigung von mindestens zwei Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebs möglich. Der Auftragsverarbeiter kann dafür eine angemessene Vergütung seines Aufwands verlangen, die er vorher nennt.

§ 11 Löschung und Rückgabe

(1) Nach Ende des Baukasten-Vertrags gibt der Auftragsverarbeiter die Inhalte der Website nach § 12b Abs. 20 der AGB heraus, wenn der Verantwortliche dies verlangt, und löscht die im Auftrag verarbeiteten personenbezogenen Daten spätestens 30 Tage nach Vertragsende, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

(2) Nachrichten aus dem Kontaktformular speichert der Auftragsverarbeiter nicht in seiner Datenbank; sie werden nur per E-Mail weitergeleitet. Beim E-Mail-Dienstleister (Anlage 1) können sie für dessen Speicherfrist vorliegen; diese beträgt bei Resend 30 Tage.

(3) Sicherungskopien werden im regulären Sicherungszyklus überschrieben. Die Löschung wird auf Verlangen in Textform bestätigt.

§ 12 Haftung und Schlussbestimmungen

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Baukasten-Vertrags (§ 12b Abs. 22 der AGB).

(2) Bei Widersprüchen geht diese Vereinbarung den AGB für den Bereich der Datenverarbeitung vor.

(3) Es gilt deutsches Recht. Für Unternehmer gilt der Gerichtsstand nach § 15 der AGB; für Verbraucher gelten die gesetzlichen Gerichtsstände.

Anlage 1: Unterauftragsverarbeiter

Dienstleister	Leistung	Ort der Verarbeitung
Vercel Inc., USA	Auslieferung der Websites, Ausführung der Server-Funktionen (Kontaktformular, Zähler), Server-Logdaten	USA (Washington D.C., iad1); Auslieferung weltweit
Supabase Inc., USA	Datenbank (Inhalte der Websites, Einstellungen, Monatszähler) und Speicherung der Bilder	EU (Frankfurt, eu-central-1)
Resend (Plus Five Five, Inc.), USA	Versand der Kontaktformular-Nachrichten an den Verantwortlichen	USA
OpenAI (Vertragspartner laut Anbieterbedingungen, für EU-Kunden in der Regel OpenAI Ireland Ltd.)	KI-Textvorschläge im Editor – nur soweit der Verantwortliche in den Eingabefeldern personenbezogene Daten Dritter eingibt	USA; Vertragspartner für Kunden im EWR laut Anbieterbedingungen OpenAI Ireland Ltd.; Daten aus der API-Nutzung werden nach den Anbieterbedingungen nicht zum Training der Modelle verwendet

Kein Unterauftragsverarbeiter: Leonardo (Bilderzeugung) erhält nur englische Motivbeschreibungen ohne Angaben zum Verantwortlichen oder zu Dritten (lib/site-preview/images.ts). Schriften werden vom Auftragsverarbeiter selbst ausgeliefert, nicht von Google.

Anlage 2: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutrittskontrolle. Die Verarbeitung findet ausschließlich in Rechenzentren der in Anlage 1 genannten Dienstleister statt. Eigene Server werden nicht betrieben.

Zugangskontrolle. Der Kundenbereich ist nur über einen persönlichen, nicht erratbaren Zugangslink erreichbar, den der Verantwortliche per E-Mail erhält. Der Zugang zu den Verwaltungsoberflächen der Dienstleister ist auf die Geschäftsführung und beauftragte Personen beschränkt und durch starke Passwörter sowie, soweit vom Dienstleister angeboten, durch eine Zwei-Faktor-Anmeldung geschützt.

Zugriffskontrolle. Die Tabelle der Kunden-Websites ist durch Row Level Security geschützt; Zugriffe erfolgen nur serverseitig. Jeder Kundenbereich zeigt ausschließlich die Daten der eigenen Website.

Weitergabekontrolle. Alle Verbindungen sind mit TLS verschlüsselt (HTTPS mit automatisch erneuerten Zertifikaten). Die Seitenaufruf-Zählung arbeitet ohne Cookies und ohne Speicherung von IP-Adressen.

Eingabekontrolle. Änderungen an Inhalten erfolgen nur über den Editor des jeweiligen Kunden; Zeitpunkt der Anlage von Unterseiten wird gespeichert.

Verfügbarkeitskontrolle. Betrieb auf redundanter Infrastruktur der Dienstleister. Tägliche Sicherung der Datenbank beim Dienstleister (Aufbewahrung der letzten Sicherungen etwa eine Woche).

Trennungskontrolle. Die Daten der Kunden sind logisch je Website getrennt. Tests mit echten Kundendaten erfolgen nur in Ausnahmefällen, soweit für die Fehlersuche erforderlich, und nur durch berechtigte Mitarbeiter.

Belastbarkeit und Missbrauchsabwehr. Das Kontaktformular ist durch ein verstecktes Prüffeld, eine Mindestausfülldauer von drei Sekunden und eine Obergrenze von 30 Nachrichten je Website und Tag gegen automatisierte Einträge geschützt. Die Nachrichten werden nicht in der Datenbank gespeichert.

Verfahren zur Überprüfung. Änderungen an der Software durchlaufen eine Typprüfung und einen Build vor der Veröffentlichung. Die Maßnahmen werden bei wesentlichen Änderungen überprüft.