Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Muster für Hosting-, E-Mail- und Server-Kunden von kress.net Internet Services – Stand Oktober 2026. Der Vertrag wird wirksam, wenn der Kunde ihn mit ausgefüllter Anlage 1 in Textform (E-Mail genügt) an info@kress.net annimmt und kress.net die Annahme bestätigt. Diese Seite kann als PDF gedruckt werden.

zwischen
dem Kunden (Name/Firma, Anschrift gemäß Hauptvertrag) – nachfolgend „Verantwortlicher“ –
und
kress.net Internet Services, Inhaber Michael Kress, Fabrikstraße 4b, D-66424 Homburg / Saar – nachfolgend „Auftragsverarbeiter“ –

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter erbringt für den Verantwortlichen auf Grundlage des Hauptvertrags (Webhosting, E-Mail-Dienste, VServer und zugehörige Dienstleistungen nach den AGB von kress.net) Leistungen, bei denen er personenbezogene Daten im Auftrag verarbeitet. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.

(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet mit dessen Beendigung, frühestens jedoch, wenn alle personenbezogenen Daten nach § 10 zurückgegeben oder gelöscht sind.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Gegenstand, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1, die der Verantwortliche ausfüllt.

(2) Die Verarbeitung findet ausschließlich in Rechenzentren in der Bundesrepublik Deutschland statt. Eine Verarbeitung in einem Drittland außerhalb der EU/des EWR erfolgt nur mit vorheriger Zustimmung des Verantwortlichen in Textform und unter den Voraussetzungen der Art. 44 ff. DSGVO.

(3) Der Auftragsverarbeiter stellt die technische Infrastruktur bereit (Speicherplatz, Server, Mailserver, Datenbanken, Datenübertragung). Er nimmt inhaltlich keine Kenntnis von den Daten des Verantwortlichen, soweit dies nicht zur Vertragsdurchführung, Fehlerbehebung oder aufgrund gesetzlicher Pflichten erforderlich ist.

§ 3 Weisungen des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen sind zunächst durch den Hauptvertrag und diesen Vertrag festgelegt; weitere Weisungen erteilt der Verantwortliche in Textform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(2) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung der Weisung aussetzen.

(3) Ist der Auftragsverarbeiter durch Unionsrecht oder das Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht eine Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(4) Weisungsberechtigte Personen des Verantwortlichen und Empfänger von Weisungen beim Auftragsverarbeiter sind in Anlage 1 benannt; Änderungen sind in Textform mitzuteilen.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie weiterentwickeln, solange das Sicherheitsniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen auf Anfrage mitgeteilt.

(2) Der Verantwortliche hat die Maßnahmen vor Vertragsschluss geprüft und als angemessen anerkannt. Für die Sicherheit der von ihm selbst betriebenen Anwendungen (z. B. CMS, Plugins, eigene Software, auf VServern das gesamte Betriebssystem) bleibt der Verantwortliche selbst verantwortlich.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

(2) Beabsichtigte Änderungen (Hinzuziehung oder Ersetzung) teilt der Auftragsverarbeiter dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Partei den Hauptvertrag mit einer Frist von einem Monat kündigen.

(3) Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf die in diesem Vertrag festgelegten Datenschutzpflichten und bleibt gegenüber dem Verantwortlichen für deren Erfüllung verantwortlich. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikationsdienste, Post/Transport, Wartung von Hardware ohne Datenzugriff sowie die Entsorgung von Datenträgern.

§ 7 Rechte der betroffenen Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–22 DSGVO), insbesondere bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern keine Weisung vorliegt. Über das übliche Maß hinausgehende Unterstützung wird nach Aufwand vergütet.

§ 8 Unterstützung, Datenschutzverletzungen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde) unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen.

(2) Stellt der Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten fest, die Daten des Verantwortlichen betrifft, meldet er diese dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, an die in Anlage 1 benannte Kontaktadresse. Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und ergriffene bzw. vorgeschlagene Maßnahmen. Noch nicht verfügbare Informationen werden nachgereicht.

(3) Der Auftragsverarbeiter dokumentiert Datenschutzverletzungen und unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung betroffener Personen (Art. 34 DSGVO).

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung, insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen, aktuelle Nachweise des Rechenzentrumsbetreibers (z. B. Zertifizierungen nach ISO/IEC 27001) und Auskünfte zu Unterauftragsverarbeitern.

(2) Der Verantwortliche kann einmal jährlich sowie bei konkretem Anlass eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Überprüfungen sind mit angemessener Frist (in der Regel vier Wochen) anzukündigen, erfolgen während der üblichen Geschäftszeiten ohne Störung des Betriebs und berücksichtigen Geschäftsgeheimnisse des Auftragsverarbeiters und die Sicherheit anderer Kunden. Kontrollen im Rechenzentrum richten sich nach den Regeln des Rechenzentrumsbetreibers; ein Zutritt wird in der Regel durch dessen Zertifizierungsnachweise ersetzt. Der Aufwand des Auftragsverarbeiters für Kontrollen, die über eine Prüfung pro Jahr hinausgehen oder keinen Verstoß ergeben, wird nach Aufwand vergütet.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die personenbezogenen Daten bis 30 Tage nach Vertragsende in einem gängigen, maschinenlesbaren Format zum Abruf bereit (vgl. AGB § 12a). Nach Ablauf dieser Frist löscht der Auftragsverarbeiter alle personenbezogenen Daten einschließlich Kopien, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Speicherung vorschreibt. Sicherungskopien werden mit dem turnusmäßigen Überschreiben, spätestens nach 30 weiteren Tagen, gelöscht.

(2) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 11 Haftung, Schlussbestimmungen

(1) Für die Haftung gelten Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags (AGB § 14). Jede Partei haftet im Außenverhältnis nach Art. 82 DSGVO; im Innenverhältnis haften die Parteien entsprechend ihrem Anteil an der Verantwortung für den Schaden.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie den Datenschutz betreffen.

(3) Änderungen und Ergänzungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand gegenüber Kaufleuten ist Homburg (Saar). Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Beschreibung der Verarbeitung (vom Verantwortlichen auszufüllen)

Verantwortlicher	Name/Firma, Anschrift, E-Mail: ____________
Hauptvertrag / Leistungen	☐ Webhosting-Paket ______ ☐ E-Mail-Dienste ☐ VServer ______ ☐ Domains (keine Auftragsverarbeitung, Inhaberdaten werden an die Vergabestelle übermittelt) ☐ Sonstiges: ______
Gegenstand und Zweck	Bereitstellung von Speicherplatz, Rechenleistung, Datenbank- und Mailserver-Kapazität zum Betrieb von Website, E-Mail und Anwendungen des Verantwortlichen; Datensicherung für den Notfallbetrieb; technischer Support.
Art der Verarbeitung	Speichern, Übermitteln (Auslieferung an Nutzer), Sichern, Löschen; kein inhaltlicher Zugriff außer zur Fehlerbehebung auf Weisung.
Kategorien betroffener Personen	☐ Website-Besucher ☐ Kunden/Interessenten des Verantwortlichen ☐ Mitarbeiter des Verantwortlichen ☐ Lieferanten ☐ Newsletter-Empfänger ☐ Sonstige: ______
Kategorien personenbezogener Daten	☐ Kontaktdaten (Name, Anschrift, E-Mail, Telefon) ☐ Nutzungsdaten (IP-Adressen, Logfiles) ☐ Kommunikationsinhalte (E-Mails, Formulareingaben) ☐ Vertrags-/Zahlungsdaten ☐ Zugangsdaten ☐ Sonstige: ______
Besondere Datenkategorien (Art. 9 DSGVO)	☐ keine ☐ ja, nämlich: ______ (bei „ja“ sind zusätzliche Maßnahmen abzustimmen)
Weisungsberechtigte Personen des Verantwortlichen	Name, Funktion, E-Mail: ____________
Kontakt für Datenschutzverletzungen	E-Mail/Telefon des Verantwortlichen: ____________
Weisungsempfänger beim Auftragsverarbeiter	Michael Kress, info@kress.net, +49 (0) 6841 79992
Datum, Annahme durch den Verantwortlichen	____________ (Annahme in Textform an info@kress.net)

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

Zutrittskontrolle: Betrieb der Server in Rechenzentren der Hetzner Online GmbH in Deutschland (nach ISO/IEC 27001 zertifiziert): Zutritt nur für autorisiertes Personal, elektronische Zugangskontrolle, Videoüberwachung, Sicherheitsdienst. Kein Zutritt durch kress.net oder Kunden erforderlich; Fernwartung ausschließlich über gesicherte Verbindungen.
Zugangskontrolle: Administrative Zugänge nur per SSH mit Schlüsselauthentifizierung, Root-Login deaktiviert, Verwaltungsoberflächen nur über verschlüsselte Verbindungen; Kundenzugänge (SFTP, Webmail, Verwaltung) mit individuellen Zugangsdaten und Passwortrichtlinien; automatische Sperrung von Angreifer-IPs nach Fehlversuchen (Fail2ban/CrowdSec, Netzfilter).
Zugriffskontrolle: Rollen- und Rechtekonzept; jede Kundenumgebung läuft isoliert in eigenen Containern bzw. virtuellen Maschinen mit getrennten Datenbanken und Dateisystemen; Zugriff von Administratoren nur im Rahmen von Fehlerbehebung und Weisung.
Trennungskontrolle: Logische Mandantentrennung (Container/VM je Kunde, getrennte Datenbanken und Benutzer), getrennte Umgebungen für Test und Produktion.
Pseudonymisierung/Verschlüsselung: Transportverschlüsselung (TLS) für Web, Mail (SMTP/IMAP/POP mit TLS, Mailserver-zu-Mailserver mit opportunistischem/strengem TLS), SFTP und Verwaltung; Zertifikate werden automatisch erneuert; verschlüsselte Übertragung von Datensicherungen.

2. Integrität

Weitergabekontrolle: Datenübertragungen nur verschlüsselt; keine Weitergabe an Dritte außer an die in Anlage 3 genannten Unterauftragsverarbeiter; protokollierte Administrationszugriffe.
Eingabekontrolle: Protokollierung administrativer Änderungen (System- und Dienstprotokolle), Versionierung von Konfigurationen, Prüfung der Systemintegrität (Integritäts- und Rootkit-Prüfungen).

3. Verfügbarkeit und Belastbarkeit

Redundante Stromversorgung, Klimatisierung und Netzanbindung im Rechenzentrum; Überwachung von Diensten und Ressourcen mit Alarmierung.
Tägliche Datensicherung der Hosting-Umgebungen (Dateien, Datenbanken, Konfiguration) mit mindestens sieben Tagen Vorhaltung und zusätzlicher Kopie auf einem getrennten System; regelmäßige Wiederherstellungstests. VServer werden nur gesichert, wenn vereinbart.
Zeitnahe Einspielung von Sicherheitsaktualisierungen für Betriebssysteme, Container-Images und Dienste; Firewall auf Host- und Netzebene; Schutz vor Brute-Force- und Spam-Angriffen; Trennung von Verwaltungs- und Kundennetzen.
Wiederanlaufplan: dokumentierte Wiederherstellung aus Sicherungen; Verfügbarkeitsziel 99 % im Jahresmittel, Wartungsfenster angekündigt und auf maximal vier Stunden pro Monat begrenzt.

4. Verfahren zur regelmäßigen Überprüfung

Datenschutz-Management: Dokumentierte Verfahren für Weisungen, Datenschutzverletzungen (§ 8) und Löschung (§ 10); Überprüfung der Maßnahmen mindestens jährlich sowie bei wesentlichen Änderungen der Infrastruktur.
Incident-Response: Meldewege und Bearbeitung von Sicherheitsvorfällen, Information des Verantwortlichen innerhalb von 24 Stunden nach Kenntnis.
Datenschutzfreundliche Voreinstellungen: Keine Auswertung von Kundendaten für eigene Zwecke; Logfiles der Webserver werden nach spätestens 14 Tagen gelöscht, soweit nicht zur Sicherheitsanalyse erforderlich.
Auftragskontrolle: Auswahl und Verpflichtung von Unterauftragsverarbeitern nach § 6; Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Unternehmen	Anschrift	Leistung	Ort der Verarbeitung
Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Deutschland	Bereitstellung von Rechenzentrumsinfrastruktur (dedizierte Server, Netz, Strom, Zutrittskontrolle) für Web-, Mail- und Verwaltungssysteme	Deutschland

Weitere Unterauftragsverarbeiter werden nur nach dem Verfahren in § 6 hinzugezogen.

kress.net Internet Services, Homburg / Saar, Stand Oktober 2026