Vereinbarung über Auftragsverarbeitung

    nach Art. 28 DSGVO
    Stand: 05.10.2026

    zwischen

    dem Kunden gemäß Hauptvertrag

    Firma, Anschrift: ______________________________

    nachfolgend „Verantwortlicher“,

    und

    AdZurro GmbH, Johanniterstr. 18/1, 73207 Plochingen,

    nachfolgend „Auftragsverarbeiter“,

    gemeinsam „Parteien“.

    1. Gegenstand und Dauer der Auftragsverarbeitung

    1. Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen im Bereich Online-Marketing, Webentwicklung, Hosting und Wartung, Analyse und Tracking gemäß dem zugrunde liegenden Hauptvertrag (Angebot, Auftragsbestätigung, Rahmenvertrag oder sonstige Beauftragung einschließlich der AGB des Auftragsverarbeiters). Im Rahmen dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen.
    2. Gegenstand, Art und Umfang der einzelnen Leistungen ergeben sich aus dem Hauptvertrag. Diese Vereinbarung erweitert den Leistungsumfang des Hauptvertrags nicht.
    3. Die Dauer dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrags. Sie endet mit dessen Beendigung, soweit sich aus den nachfolgenden Regelungen nichts anderes ergibt.

    2. Art und Zweck der Verarbeitung, Art der Daten, Kategorien betroffener Personen

    1. Art und Zweck der Verarbeitung (je nach beauftragter Leistung)
      • Erfassung und Auswertung von Website-Besuchen,
      • Generierung, Verwaltung und Qualifizierung von Leads und Bewerbungen,
      • Schaltung und Optimierung von Online-Werbekampagnen (z. B. Google Ads, Meta Ads, TikTok),
      • Hosting, Betrieb, Wartung und Weiterentwicklung von Websites, Webshops, Landingpages, Funnels und Tracking-Setups einschließlich der darin gespeicherten Kunden- und Bestelldaten,
      • Reporting und Kampagnenanalyse.
    2. Art der verarbeiteten personenbezogenen Daten (je nach beauftragter Leistung)
      • Kontaktdaten (z. B. Name, E-Mail, Telefonnummer),
      • Nutzungs- und Tracking-Daten (z. B. IP-Adresse, Cookie-IDs, Nutzer-IDs),
      • Kunden-, Bestell- und Vertragsdaten (bei Hosting und Betrieb von Webshops, z. B. Kundenkonten, Liefer- und Rechnungsadressen, Bestellhistorie),
      • Bewerberdaten (bei Recruiting-Leistungen, z. B. Lebenslauf, Qualifikationen),
      • sonstige Inhalte, die betroffene Personen über Formulare übermitteln.
    3. Kategorien betroffener Personen
      • Nutzer der Online-Angebote (Website, Webshop, Landingpages, Funnels),
      • Interessenten und Kunden des Verantwortlichen,
      • Bewerber (bei Personalmarketing- und Recruiting-Leistungen),
      • ggf. Mitarbeiter des Verantwortlichen.

    3. Weisungsrecht des Verantwortlichen

    1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht kraft Unionsrechts oder des Rechts der Mitgliedstaaten zu einer Verarbeitung verpflichtet ist. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
    2. Der Hauptvertrag und diese Vereinbarung stellen die grundlegenden Weisungen dar. Einzelweisungen werden grundsätzlich in Textform (z. B. E-Mail, Ticket-System, Projekt-Tool) erteilt. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
    3. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, gelten als Änderungswunsch und werden nach Aufwand vergütet, soweit nichts anderes vereinbart ist.

    4. Pflichten des Auftragsverarbeiters

    Der Auftragsverarbeiter verpflichtet sich insbesondere,

    1. personenbezogene Daten nur im Rahmen dieser Vereinbarung und der dokumentierten Weisungen des Verantwortlichen zu verarbeiten;
    2. alle Personen, die Zugriff auf personenbezogene Daten haben, auf Vertraulichkeit zu verpflichten, sofern sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;
    3. technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen. Die Maßnahmen sind in Anlage 1 beschrieben. Der Auftragsverarbeiter darf sie an die technische Entwicklung anpassen, sofern das Schutzniveau dadurch nicht unterschritten wird. Maßnahmen für einzelne vom Auftragsverarbeiter betreute Systeme richten sich nach der Leistungsbeschreibung im Hauptvertrag;
    4. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen (Art. 12 bis 22 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) zu unterstützen;
    5. den Verantwortlichen unverzüglich zu informieren, wenn nach seiner Auffassung eine Weisung gegen Datenschutzrecht verstößt. Der Auftragsverarbeiter ist berechtigt, die Ausführung der Weisung auszusetzen, bis der Verantwortliche sie bestätigt oder ändert;
    6. den Verantwortlichen unverzüglich zu informieren, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die Daten des Verantwortlichen betrifft, und ihm die dem Auftragsverarbeiter vorliegenden Informationen zur Verfügung zu stellen, die der Verantwortliche für eine Meldung nach Art. 33 DSGVO benötigt. Informationen, die noch nicht vorliegen, werden nachgereicht, sobald sie verfügbar sind;
    7. nach Abschluss der Verarbeitung personenbezogene Daten nach Ziffer 9 zu löschen oder zurückzugeben;
    8. dem Verantwortlichen die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung zu stellen und Kontrollen nach Ziffer 8 zu ermöglichen.

    Unterstützungsleistungen nach den Nummern 4 und 6, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, kann der Auftragsverarbeiter nach angemessenem Aufwand vergüten lassen, soweit der Anlass nicht auf einer von ihm zu vertretenden Pflichtverletzung beruht.

    5. Unterauftragsverarbeiter

    1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, zur Erfüllung des Hauptvertrags Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 Satz 1 DSGVO). Die bei Abschluss dieser Vereinbarung eingesetzten Unterauftragsverarbeiter für Hosting und Serverbetrieb sind in Anlage 2 aufgeführt und gelten als genehmigt. Je nach beauftragter Leistung können weitere Dienste eingesetzt werden; eine aktuelle Übersicht erhält der Verantwortliche auf Anfrage.
    2. Der Auftragsverarbeiter wählt Unterauftragsverarbeiter sorgfältig aus und vereinbart mit ihnen Datenschutzpflichten, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen.
    3. Über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informiert der Auftragsverarbeiter den Verantwortlichen in Textform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Die Parteien suchen dann eine einvernehmliche Lösung; ist dies nicht möglich, kann jede Partei den betroffenen Leistungsbereich außerordentlich kündigen.
    4. Nicht als Unterauftragsverarbeitung gelten Leistungen, die der Verantwortliche selbst bei Dritten beauftragt (z. B. eigene Werbekonten, eigene Software-Lizenzen oder von ihm direkt beauftragte Entwickler), sowie reine Nebenleistungen wie Telekommunikation oder Postdienste.

    6. Datenübermittlung in Drittländer

    1. Soweit personenbezogene Daten im Rahmen der Auftragsverarbeitung an Empfänger in einem Drittland (außerhalb der EU bzw. des EWR) übermittelt werden oder von dort aus ein Zugriff erfolgt, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO eingehalten sind (z. B. Angemessenheitsbeschluss der EU-Kommission oder Standardvertragsklauseln).
    2. Übermittlungen in Drittländer erfolgen nur auf dokumentierte Weisung des Verantwortlichen oder soweit sie zur Nutzung der vom Verantwortlichen ausgewählten Dienste (z. B. Werbe-, Hosting- oder Analysetools) erforderlich sind. Der Verantwortliche ist darüber informiert, dass bei der Nutzung bestimmter Plattformen (z. B. Meta, Google) Übermittlungen in Drittländer stattfinden können, und verantwortet die Auswahl dieser Dienste.

    7. Rechte und Pflichten des Verantwortlichen

    1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung, die Wahl der Rechtsgrundlagen, die Erfüllung der Informationspflichten gegenüber betroffenen Personen und die Wahrung der Betroffenenrechte verantwortlich.
    2. Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
    3. Der Verantwortliche stellt sicher, dass die von ihm überlassenen Daten rechtmäßig verarbeitet werden dürfen und erforderliche Einwilligungen eingeholt sind.

    8. Kontrollrechte

    1. Der Verantwortliche ist berechtigt, sich in angemessenem Umfang von der Einhaltung dieser Vereinbarung durch den Auftragsverarbeiter zu überzeugen.
    2. Der Auftragsverarbeiter kann den Nachweis insbesondere erbringen durch Auskünfte und Dokumentationen, die Beantwortung von Fragebögen, Nachweise oder Zertifizierungen seiner Unterauftragsverarbeiter oder Prüfberichte unabhängiger Stellen.
    3. Darüber hinausgehende Prüfungen vor Ort sind mit angemessener Frist anzukündigen, während der üblichen Geschäftszeiten durchzuführen und so zu gestalten, dass der Geschäftsbetrieb nicht unverhältnismäßig beeinträchtigt wird. Der Auftragsverarbeiter kann verlangen, dass sie durch einen zur Verschwiegenheit verpflichteten Prüfer erfolgen, der nicht im Wettbewerb zum Auftragsverarbeiter steht. Der Aufwand für Prüfungen vor Ort kann nach angemessenem Aufwand vergütet werden.
    4. Der Auftragsverarbeiter darf den Zugang zu Bereichen beschränken, soweit dies zum Schutz anderer Kunden, von Mitarbeitern oder von Geschäftsgeheimnissen erforderlich ist.

    9. Löschung und Rückgabe von Daten

    1. Nach Abschluss der Auftragsverarbeitung oder auf Weisung des Verantwortlichen löscht der Auftragsverarbeiter die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Pflicht zur Speicherung besteht. Auf Wunsch bestätigt er die Löschung in Textform.
    2. Die Löschung kann durch Anonymisierung erfolgen, sofern ein Personenbezug dauerhaft ausgeschlossen ist. Daten in Sicherungskopien werden im Rahmen der regulären Rotation gelöscht.
    3. Dokumentationen, die dem Nachweis einer ordnungsgemäßen Verarbeitung dienen, können entsprechend den gesetzlichen Aufbewahrungs- und Verjährungsfristen über das Vertragsende hinaus aufbewahrt werden.

    10. Haftung

    1. Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags, insbesondere der AGB des Auftragsverarbeiters, soweit gesetzlich zulässig.

    11. Schlussbestimmungen

    1. Diese Vereinbarung wird mit Unterzeichnung, spätestens mit Beauftragung oder Fortführung der Leistungen nach ihrer Übermittlung, Bestandteil des Hauptvertrags. Änderungen und Ergänzungen bedürfen der Textform, soweit nicht gesetzlich eine strengere Form vorgeschrieben ist.
    2. Im Übrigen gelten die Regelungen des Hauptvertrags. Bei Widersprüchen gehen die Regelungen dieser Vereinbarung hinsichtlich der Auftragsverarbeitung vor.
    3. Sollten einzelne Bestimmungen unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt eine wirksame Regelung, die ihrem Zweck am nächsten kommt.
    4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit zulässig, der im Hauptvertrag vereinbarte Gerichtsstand.

    Anlage 1: Technische und organisatorische Maßnahmen

    Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie von Art, Umfang, Umständen und Zwecken der Verarbeitung insbesondere die folgenden Maßnahmen nach Art. 32 DSGVO. Die Aufzählung beschreibt den Stand bei Abschluss der Vereinbarung; Ziffer 4 Nr. 3 der Vereinbarung gilt. Für Systeme, die der Auftragsverarbeiter für den Verantwortlichen betreibt oder wartet, richten sich Art und Umfang weiterer Maßnahmen (z. B. Updates, Sicherungen, Überwachung) nach der Leistungsbeschreibung im Hauptvertrag.

    1. Organisation und Arbeitsplätze

    • Der Auftragsverarbeiter unterhält keine eigenen Serverräume. Die Verarbeitung erfolgt auf Arbeitsgeräten der Mitarbeiter sowie bei den in Anlage 2 genannten Unterauftragsverarbeitern.
    • Die Mitarbeiter arbeiten mobil bzw. im Homeoffice ausschließlich mit vom Auftragsverarbeiter gestellten Geräten; private Geräte werden für die Verarbeitung von Kundendaten nicht eingesetzt.

    2. Vertraulichkeit

    • Die Datenträger der Arbeitsgeräte sind verschlüsselt.
    • Zugangsdaten werden in einem Passwortmanager verwaltet.
    • Für den Zugang zu den eingesetzten Diensten wird eine Zwei-Faktor-Authentifizierung genutzt, soweit der jeweilige Dienst sie anbietet.
    • Zugriffsrechte werden nach Aufgabenbereich vergeben. Beim Ausscheiden einer Person werden ihre Zugänge gesperrt.
    • Mitarbeiter sind schriftlich auf Vertraulichkeit verpflichtet.

    3. Integrität

    • Übertragung personenbezogener Daten über verschlüsselte Verbindungen (z. B. HTTPS/TLS, SSH, SFTP).
    • Verarbeitung von Kundendaten nur in den dafür vorgesehenen Systemen und Kundenkonten.

    4. Verfügbarkeit und Belastbarkeit

    • Server werden in Rechenzentren der in Anlage 2 genannten Anbieter betrieben. Physische Sicherheit, Zutrittskontrolle, Stromversorgung und Brandschutz der Rechenzentren liegen beim jeweiligen Anbieter.
    • Datensicherungen erfolgen in dem im Hauptvertrag vereinbarten Umfang.

    5. Verfahren zur Überprüfung, Bewertung und Evaluierung

    • Die Maßnahmen werden anlassbezogen überprüft und angepasst, insbesondere nach Sicherheitsvorfällen und bei Änderungen der eingesetzten Systeme.
    • Unterauftragsverarbeiter werden nach Ziffer 5 der Vereinbarung ausgewählt und eingebunden.

    Anlage 2: Unterauftragsverarbeiter

    Bei Abschluss der Vereinbarung eingesetzte Unterauftragsverarbeiter. Welche davon für den Verantwortlichen tätig werden, hängt von den beauftragten Leistungen ab.

    Unternehmen Anschrift Leistung Ort der Verarbeitung / Garantien
    Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen Server und Rechenzentrum EU (je nach Serverstandort)
    Host Europe GmbH c/o Spaces, Gertrudenstraße 30-36, 50667 Köln Webhosting EU
    IONOS SE Elgendorfer Str. 57, 56410 Montabaur Domains, Webhosting EU
    Hostinger International Ltd. 61 Lordou Vironos Str., 6023 Larnaka, Zypern Server für Automatisierungen (Weiterleitung von Anfragen) EU (je nach Serverstandort)
    Feuxt GmbH Mörikestraße 10, 73066 Uhingen Serveradministration, Betrieb und Wartung Deutschland
    Perspective Software GmbH Müggelstraße 22, 10247 Berlin Funnels, Landingpages, Erfassung von Anfragen EU
    Vercel Inc. 440 N Barranca Ave #4133, Covina, CA 91723, USA Hosting von Websites, Landingpages und Formularen EU/USA; EU-U.S. Data Privacy Framework, Standardvertragsklauseln
    Supabase Inc. 3500 S. DuPont Highway, Dover, DE 19901, USA Datenbank für Anfragen gewählte Region; Standardvertragsklauseln