Vertrag zur Auftragsverarbeitung
Kurz gesagt: Diesen Vertrag brauchen Sie nur, wenn Sie im Portal einen Zugang zu Ihrem Redaktionssystem oder Shop hinterlegen. Nutzen Sie nur die Prüfung von außen, sehen wir ausschließlich das, was ohnehin öffentlich ist – dann ist hier nichts zu regeln und dieser Vertrag kommt nicht zur Anwendung.
1. Parteien
| Verantwortlicher | Der Inhaber des Portalkontos, im Folgenden „Auftraggeber“. |
|---|---|
| Auftragsverarbeiter | Studio Luy UG (haftungsbeschränkt), Norderreihe 21, 22767 Hamburg, info@websecureaudit.de, im Folgenden „Auftragnehmer“. |
Der Vertrag kommt zustande, indem der Auftraggeber im Portal einen Zugang zu seinem System hinterlegt und dabei diesen Vertrag bestätigt. Er gilt in Textform nach Art. 28 Abs. 9 DSGVO.
2. Gegenstand und Dauer
Gegenstand ist die automatisierte technische Prüfung der Website und des dahinterliegenden Redaktions- oder Shopsystems des Auftraggebers, soweit dafür der hinterlegte Zugang verwendet wird.
Dauer: Der Vertrag läuft, solange ein Zugang hinterlegt ist. Er endet automatisch, sobald der Auftraggeber den Zugang entfernt, die Domain entfernt oder sein Konto löscht.
3. Art und Zweck der Verarbeitung
Der Auftragnehmer meldet sich mit dem hinterlegten Zugang an der Installation des Auftraggebers an und liest dort technische Angaben aus: installierte Erweiterungen und deren Versionen, ausstehende Aktualisierungen, Konfigurationswerte sowie Benutzerkonten und deren Rollen. Daraus entsteht der Prüfbericht.
Die Verarbeitung ist rein lesend. Der Auftragnehmer verändert keine Inhalte, installiert nichts, löscht nichts und legt keine Benutzer an.
4. Art der Daten und Kreis der Betroffenen
| Art der personenbezogenen Daten | Benutzernamen, Anzeigenamen, E-Mail-Adressen, Rollen und Berechtigungen sowie Zeitpunkte der letzten Anmeldung aus der Installation des Auftraggebers. |
|---|---|
| Kreis der betroffenen Personen | Beschäftigte, Redakteure und sonstige Nutzer mit einem Benutzerkonto in der Installation des Auftraggebers. |
Der Auftragnehmer erhebt aus der Installation keine Inhaltsdaten: keine Bestellungen, keine Kundendatensätze, keine Zahlungsdaten, keine Nachrichten. Er ruft ausschließlich die technischen Verwaltungsschnittstellen ab, die für die Prüfung nötig sind.
5. Weisungsrecht
Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Weisung ergibt sich aus diesem Vertrag und aus den Einstellungen, die der Auftraggeber im Portal vornimmt – insbesondere daraus, welche Domain er hinterlegt und mit welchem Intervall er prüfen lässt. Weitere Weisungen erteilt er in Textform an info@websecureaudit.de.
Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies mit und darf ihre Ausführung aussetzen.
6. Vertraulichkeit
Der Auftragnehmer arbeitet ohne Beschäftigte; die Verarbeitung erfolgt allein durch den unter Nummer 1 genannten Inhaber, der zur Vertraulichkeit verpflichtet ist. Werden künftig Personen hinzugezogen, verpflichtet der Auftragnehmer sie zuvor schriftlich zur Vertraulichkeit nach Art. 28 Abs. 3 lit. b DSGVO.
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
| Verschlüsselte Ablage der Zugangsdaten | Der hinterlegte Zugang steht ausschließlich als Chiffretext in der Datenbank (Fernet: AES-128/CBC mit HMAC-SHA256). Der Schlüssel liegt in der Serverumgebung, nicht in der Datenbank. Beides müsste getrennt erbeutet werden. |
|---|---|
| Kein Rücklesen | Ein gespeichertes Geheimnis wird über die Oberfläche nicht wieder ausgegeben und erscheint nicht im Datenexport. |
| Zugangskontrolle | Anmeldung mit E-Mail und Passwort, Passwörter nur als PBKDF2-Prüfwert mit Zufallssalz, Sperre nach fünf Fehlversuchen, Sitzungstoken nur als Prüfwert gespeichert. |
| Berechtigungsprüfung | Ein Zugang kann nur zu einer Domain hinterlegt werden, deren Zugehörigkeit der Auftraggeber zuvor nachgewiesen hat. |
| Übertragungskontrolle | Ausschließlich HTTPS, sowohl im Portal als auch beim Abruf der Installation des Auftraggebers. |
| Eingabekontrolle | Formulare sind gegen seitenübergreifende Anfragefälschung gesichert (CSRF-Token). |
| Trennungskontrolle | Jeder Datensatz hängt an genau einem Konto; die Abfragen sind auf das angemeldete Konto begrenzt. |
| Verfügbarkeit | Tägliche Sicherung der Datenbank und der Ergebnisdateien durch den Hoster. |
| Löschkonzept | Prüfergebnisse werden nach 24 Monaten automatisch gelöscht; hinterlegte Zugänge sofort auf Verlangen. |
Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie anpassen, solange das Schutzniveau nicht unterschritten wird.
8. Unterauftragsverarbeiter
Der Auftraggeber stimmt der Beauftragung des folgenden Unterauftragsverarbeiters zu:
| Mittwald CM Service GmbH & Co. KG | Königsberger Straße 4–6, 32339 Espelkamp, Deutschland – Betrieb von Server, Datenbank und Postfach. Serverstandort Deutschland. |
|---|
Weitere Unterauftragsverarbeiter setzt der Auftragnehmer nur nach vorheriger Information des Auftraggebers ein. Der Auftraggeber kann einer Änderung binnen 14 Tagen aus wichtigem Grund widersprechen; in diesem Fall darf jede Seite den Vertrag kündigen.
9. Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren bei:
- Anfragen betroffener Personen nach Art. 12 bis 23 DSGVO,
- der Sicherheit der Verarbeitung nach Art. 32 DSGVO,
- der Meldung von Verletzungen des Schutzes personenbezogener Daten nach Art. 33 und 34 DSGVO,
- einer Datenschutz-Folgenabschätzung nach Art. 35 und 36 DSGVO.
Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.
10. Meldung von Verletzungen
Der Auftragnehmer meldet dem Auftraggeber jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, per E-Mail an die im Konto hinterlegte Adresse. Die Meldung beschreibt Art und Umfang der Verletzung sowie die ergriffenen Maßnahmen.
11. Löschung und Rückgabe
Der Auftraggeber kann den hinterlegten Zugang jederzeit selbst im Portal entfernen; er wird damit sofort gelöscht. Mit dem Ende des Vertrags löscht der Auftragnehmer alle hinterlegten Zugangsdaten. Eine Rückgabe kommt nicht in Betracht, weil das Geheimnis konstruktionsbedingt nicht wieder ausgegeben wird und beim Auftraggeber ohnehin vorliegt.
Prüfberichte bleiben nach der in der Datenschutzerklärung genannten Frist von 24 Monaten erhalten oder werden auf Verlangen des Auftraggebers vorher gelöscht.
12. Nachweise und Kontrollen
Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage in Textform nach. Der Auftraggeber ist berechtigt, sich von der Einhaltung zu überzeugen; Kontrollen sind mit angemessener Frist anzukündigen und dürfen den Betrieb nicht unangemessen stören. Der öffentlich einsehbare Selbstprüfbericht des Auftragnehmers gilt als erster Nachweis.
13. Drittland
Eine Verarbeitung außerhalb der EU beziehungsweise des EWR findet nicht statt.
14. Haftung und Schlussbestimmungen
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Nutzungsbedingungen des Portals. Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.
Stand: 22. August 2026. Verwandte Seiten: Datenschutzerklärung · Nutzungsbedingungen