Anlage 2: Vertrag zur Auftragsverarbeitung (AVV) nach Art. 28 DSGVO

Stand: 27.10.2026

Verantwortlicher: der Kunde laut Vertrag („Auftraggeber“).
Auftragsverarbeiter: YOURLEAF GmbH, Zur Zugbrücke 2, 26203 Wardenburg, vertreten durch die Geschäftsführerin Saskia von der Pütten (Auftragnehmer), Kontakt hosting@yourleafx.de.

1 Gegenstand, Dauer

1.1 Der Auftragnehmer verarbeitet im Rahmen des Hosting-Vertrags (AGB, Leistungsbeschreibung) personenbezogene Daten im Auftrag des Auftraggebers. Dieser AVV konkretisiert die Pflichten beider Seiten nach Art. 28 DSGVO.

1.2 Die Dauer entspricht der Laufzeit des Hosting-Vertrags. Er endet mit dessen Beendigung; Ziffer 9 bleibt bis zur Löschung wirksam.

2 Art, Zweck, Daten, Betroffene

2.1 Besondere Kategorien (Art. 9 DSGVO, z. B. Gesundheitsdaten) und Daten über Straftaten (Art. 10) sollen nicht auf der Site verarbeitet werden. Will der Auftraggeber das, braucht es vorab eine Vereinbarung in Textform, auch zu zusätzlichen Maßnahmen.

2.2 Eine Verarbeitung findet nur im Gebiet der Europäischen Union/des EWR statt (derzeit Deutschland). Eine Übermittlung in Drittländer erfolgt nicht.

3 Weisungen

3.1 Der Auftragnehmer verarbeitet Daten nur auf dokumentierte Weisung des Auftraggebers (Art. 28 Abs. 3 Buchst. a DSGVO), auch für Übermittlungen in Drittländer. Weisungen sind diese Vereinbarung, die Leistungsbeschreibung und Einzelweisungen in Textform an hosting@yourleafx.de.

3.2 Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er unverzüglich darauf hin und darf die Ausführung aussetzen, bis der Auftraggeber bestätigt oder ändert.

3.3 Der Auftragnehmer verarbeitet Daten nicht für eigene Zwecke. Pflichten nach EU- oder deutschem Recht, die ihn zu einer Verarbeitung zwingen, bleiben unberührt; er informiert den Auftraggeber vorher, soweit zulässig.

4 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung (Rechtsgrundlage, Informationspflichten, Datenschutzerklärung, Einwilligungen, ggf. Cookie-Hinweis nach § 25 TDDDG) verantwortlich. Er informiert den Auftragnehmer unverzüglich bei Fehlern oder Auffälligkeiten.

5 Vertraulichkeit

Der Auftragnehmer verpflichtet alle Personen (Mitarbeiter, Beauftragte, auch eingesetzte KI-Agenten im Betrieb des Auftragnehmers), die Zugriff auf Daten haben, zur Vertraulichkeit (Art. 28 Abs. 3 Buchst. b, Art. 29, Art. 32 Abs. 4 DSGVO). Zugriff erhalten nur Personen, die ihn für die Leistung brauchen.

6 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen (Art. 32 DSGVO) und entwickelt sie weiter. Wesentliche Verschlechterungen sind unzulässig.

7 Unterauftragsverarbeiter

7.1 Der Auftraggeber genehmigt allgemein den Einsatz der in Anlage A genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO).

7.2 Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Hinzunahme oder Ersetzung mindestens 30 Tage vorher in Textform. Der Auftraggeber kann in dieser Frist aus wichtigem Grund widersprechen. Bei Widerspruch ohne gemeinsame Lösung kann jede Seite den Hosting-Vertrag zum Wirksamwerden der Änderung kündigen.

7.3 Der Auftragnehmer legt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf wie in diesem AVV (Art. 28 Abs. 4 DSGVO) und haftet für deren Einhaltung.

8 Unterstützung

8.1 Betroffenenrechte (Art. 12 bis 22 DSGVO): Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen. Anfragen Betroffener leitet er unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

8.2 Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Folgenabschätzung, Konsultation): Der Auftragnehmer unterstützt im Rahmen seiner Möglichkeiten.

8.3 Verletzung des Schutzes personenbezogener Daten: Der Auftragnehmer meldet dem Auftraggeber eine Verletzung unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis an die benannte Mailadresse des Auftraggebers, mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde und Betroffene bleibt Sache des Auftraggebers.

8.4 Die Unterstützung ist im Rahmen des üblichen Aufwands im Hosting-Entgelt enthalten; außergewöhnlicher Aufwand nach AGB Ziffer 2.2.

9 Rückgabe und Löschung

Nach Vertragsende gibt der Auftragnehmer die Daten heraus (Export) und löscht sie nach den Fristen in AGB Ziffer 6.3, einschließlich Sicherungskopien innerhalb der Aufbewahrungsfrist, es sei denn, eine Rechtspflicht verlangt Speicherung (Art. 28 Abs. 3 Buchst. g DSGVO). Auf Verlangen bestätigt er die Löschung in Textform.

10 Nachweise und Kontrollen

10.1 Der Auftragnehmer stellt dem Auftraggeber die erforderlichen Informationen zum Nachweis der Pflichten bereit (Art. 28 Abs. 3 Buchst. h DSGVO), insbesondere Anlage A und B und deren Änderungen.

10.2 Der Auftraggeber darf nach vorheriger Anmeldung (14 Tage) und zu den Geschäftszeiten Überprüfungen durchführen oder durchführen lassen, nicht öfter als einmal jährlich, außer bei konkretem Anlass (z. B. Verletzung). Der Prüfer verpflichtet sich zur Vertraulichkeit. Der Auftragnehmer darf statt einer Vor-Ort-Prüfung Nachweise (Selbstauskunft, Zertifikate seiner Unterauftragsverarbeiter) anbieten, die für die Prüfung ausreichen.

11 Haftung, Schlussbestimmungen

11.1 Für Haftung gelten Art. 82 DSGVO und im Innenverhältnis die AGB Ziffer 7.: Ob die AGB-Haftungsgrenzen für datenschutzrechtliche Ansprüche im Innenverhältnis tragen, prüfen lassen.

11.2 Bei Widersprüchen zwischen AVV und AGB gilt für die Verarbeitung personenbezogener Daten der AVV.

11.3 Änderungen bedürfen der Textform (Art. 28 Abs. 9 DSGVO). Es gilt deutsches Recht.

11.4 Ansprechpartner Datenschutz beim Auftragnehmer: hosting@yourleafx.de.

Anlage A: Unterauftragsverarbeiter

Mit Hetzner besteht ein Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (vom Auftragnehmer abgeschlossen). Unterauftragsverarbeiter von Hetzner sind in Hetzners AVV-Unterlagen genannt (abrufbar im Kundenbereich von Hetzner).

Keine Unterauftragsverarbeiter im Sinne von Art. 28 sind: eigener Mailserver und Alarmdienst des Auftragnehmers (selbst betrieben, auf Hetzner-Infrastruktur), Let’s Encrypt (erhält nur Domainnamen für Zertifikate, keine personenbezogenen Daten des Auftraggebers über die Domain hinaus), die DNS-Zone yourleafx.de (sie enthält keine Kundendaten außer Namen und Adressen der Kundensites unter *.sites.yourleafx.de).

Für Domains, die der Auftragnehmer im Namen des Auftraggebers registriert oder überträgt, wird die INWX GmbH & Co. KG, Prinzessinnenstraße 30, 10969 Berlin, als Registrar tätig. Dabei werden die Inhaberdaten der Domain (Name, Anschrift, E-Mail des Auftraggebers) an INWX und die Vergabestelle (z. B. DENIC) übermittelt. Der Auftragnehmer handelt hier im Namen und Auftrag des Auftraggebers, dessen Vertragspartner Registrar und Vergabestelle sind. Soweit INWX dabei dennoch im Auftrag des Auftragnehmers tätig wird, gilt INWX als weiterer Unterauftragsverarbeiter; die Verarbeitung findet in Deutschland statt.

Anlage B: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Rechenzentren der Hetzner Online GmbH (Zutrittskontrolle durch Hetzner, siehe deren TOM). Büro des Auftragnehmers: kein Serverbetrieb.
• Zugang: SSH nur mit Schlüssel, kein Passwort-Login, kein Root-Login per Passwort. Administrationszugänge nur mit Schlüssel, Fehlversuche führen zur Sperrung (fail2ban).
• Zugriff und Trennung: Jede Kundensite läuft getrennt (eigene Verzeichnisse, bei WordPress eigene Container und eigene Datenbank mit eigenen Zugangsdaten). Zugriff auf Kundendaten haben nur die für den Betrieb Beauftragten.
• Verschlüsselung: Übertragung per TLS (Let’s Encrypt); Sicherung auf getrennte Hardware (Storage Box) über verschlüsselten Kanal; Sicherungsarchive werden verschlüsselt.
• Keine Geheimnisse im Quellcode-Repository; Zugangsdaten nur auf den Servern bzw. in geschützten Dateien.

Integrität

• Weitergabekontrolle: Zugriff auf Kundendaten nur zur Leistungserbringung.
• Eingabekontrolle: Änderungen an der Infrastruktur nur über versionierten Code (Repository); Änderungen nachvollziehbar.
• Firewall: Firewall am Server; nur benötigte Ports (SSH, HTTP, HTTPS) sind offen.
• Updates: Betriebssystem, Webserver, PHP, WordPress-Kern und freigegebene Plugins werden zeitnah aktualisiert.

Verfügbarkeit und Belastbarkeit

• Primärserver und Standby-Server, Floating-IP, Überwachung rund um die Uhr (Alarm intern).
• Tägliche Sicherung auf getrennter Hardware, 14 Tage Aufbewahrung. Wiederherstellung wird getestet (Restore-Test mindestens quartalsweise).
• Betriebsabläufe und Notfallschritte sind in Handbüchern (Runbooks) dokumentiert.

Verfahren zur Überprüfung

• Jährliche Überprüfung dieser Maßnahmen; Protokollierung von Sicherheitsvorfällen und Meldeweg (AVV Ziffer 8.3).
• Server-Protokolle (IP-Adressen) werden nach 7 Tagen gelöscht oder anonymisiert.

Auftragskontrolle

• Weisungen in Textform; Unterauftragsverarbeiter vertraglich gebunden; Prüfung vor Einsatz.
• Schulung und Verpflichtung der Beteiligten zur Vertraulichkeit; Im Betrieb arbeiten teilweise KI-Agenten unter Aufsicht der Geschäftsleitung, mit begrenzten Zugriffsrechten; Kai ist als Mensch erreichbar.