Vertrag zur Auftrags­verarbeitung

noxlime
Inhaber: Ole Wald
Kurfürstendamm 22
23823 Seedorf

Stand: 31. Oktober 2026

Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 Datenschutz-Grundverordnung (DSGVO) gilt zwischen dem Kunden (Verantwortlicher, nachfolgend „Auftraggeber“) und noxlime, Inhaber Ole Wald (Auftragsverarbeiter, nachfolgend „noxlime“). Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit der Bestellung geschlossen.

1. Gegenstand und Dauer

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die noxlime bei der Erbringung der gebuchten Leistungen (Website-Betreuung „Basic“ oder „Premium“, Server-Side Tracking bzw. „noxlime analytics“) im Auftrag des Auftraggebers durchführt. Einzelheiten der Leistungen ergeben sich aus der Bestellung und den AGB (Hauptvertrag).

(2) Der Vertrag gilt für die Dauer des Hauptvertrags. Pflichten, die über dessen Ende hinaus wirken, insbesondere Löschung und Vertraulichkeit, bleiben bestehen.

(3) Der Vertrag wird mit Abschluss des Hauptvertrags in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO).

2. Art, Zweck und Umfang der Verarbeitung

(1) Bei der Website-Betreuung greift noxlime auf die WordPress-Installation des Auftraggebers einschließlich der Datenbank zu, um Updates, Wartung, Sicherheitsmaßnahmen und Fehlerbehebung durchzuführen. Dazu betreibt noxlime eine Kopie der Website als Testumgebung, erstellt tägliche Datensicherungen, versendet die E-Mails der Website (z. B. Formular- und Bestellbenachrichtigungen) und überwacht Erreichbarkeit und Fehler.

(2) Beim Server-Side Tracking nimmt noxlime die Tracking-Daten der Website-Besucher auf einer Subdomain des Auftraggebers entgegen und leitet sie gemäß der Konfiguration des Auftraggebers und den Einwilligungen der Besucher an die vom Auftraggeber genutzten Dienste (z. B. Google Analytics) weiter.

(3) Art der Daten, soweit sie auf der Website des Auftraggebers vorkommen:

• Stamm- und Kontaktdaten (z. B. Name, E-Mail-Adresse, Telefonnummer, Anschrift)
• Inhalte von Formularanfragen, Kommentaren und Nachrichten
• Nutzerkonten der Website (Benutzername, E-Mail-Adresse, Passwort-Hash, Rolle)
• bei Shops: Bestell- und Vertragsdaten (keine vollständigen Zahlungsdaten; diese verarbeitet der Zahlungsdienstleister des Auftraggebers)
• technische Daten (IP-Adressen, Zeitstempel, Browser- und Geräteinformationen, Server- und Firewall-Protokolle)
• beim Server-Side Tracking: Nutzungs- und Ereignisdaten, Cookie- bzw. Client-IDs, IP-Adressen

(4) Betroffene Personen: Besucher der Website, Kunden und Interessenten des Auftraggebers, Nutzer mit Konto auf der Website sowie Beschäftigte des Auftraggebers.

(5) Die Verarbeitung findet in der Europäischen Union statt. Eine Verarbeitung in einem Drittland erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO (siehe Ziffer 6).

3. Weisungen

(1) noxlime verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Hauptvertrag und diesem Vertrag; weitere Weisungen erteilt der Auftraggeber in Textform (z. B. per E-Mail).

(2) Ist noxlime der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist noxlime den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

(3) Verarbeitungen aufgrund gesetzlicher Pflichten bleiben unberührt; noxlime teilt diese dem Auftraggeber vorher mit, sofern das Gesetz dies nicht verbietet.

4. Pflichten von noxlime

(1) noxlime verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.

(2) noxlime trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. noxlime darf sie weiterentwickeln, sofern das Schutzniveau nicht sinkt.

(3) noxlime unterstützt den Auftraggeber im angemessenen Umfang bei Anfragen betroffener Personen (Art. 12 bis 22 DSGVO), bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32 bis 36 DSGVO).

(4) noxlime informiert den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

(5) Ansprechpartner für den Datenschutz bei noxlime ist Ole Wald, ole@noxlime.com.

5. Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Rechtsgrundlagen, Informationspflichten (Datenschutzerklärung) und Einwilligungen seiner Website-Besucher, z. B. für Tracking.

(2) Der Auftraggeber informiert noxlime unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

6. Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. noxlime hat mit jedem einen Vertrag geschlossen, der die Pflichten dieses Vertrags weitergibt.

(2) noxlime informiert den Auftraggeber vorab in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Parteien den betroffenen Teil der Leistung kündigen.

(3) Einige Unterauftragsverarbeiter gehören zu Unternehmensgruppen mit Sitz in den USA. Die Daten werden in der EU gespeichert und verarbeitet. Soweit ein Zugriff aus Drittländern nicht ausgeschlossen werden kann, ist er durch das EU-US Data Privacy Framework bzw. die Standardvertragsklauseln der EU-Kommission abgesichert.

(4) Keine Unterauftragsverarbeitung sind Dienste, die der Auftraggeber selbst beauftragt, z. B. sein Webhoster, Google Analytics, Google Tag Manager oder Meta. Diese Verträge schließt der Auftraggeber selbst.

7. Nachweise und Kontrollen

(1) noxlime weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach, z. B. eine Beschreibung der Maßnahmen und Nachweise der Unterauftragsverarbeiter.

(2) Darüber hinausgehende Kontrollen sind nach rechtzeitiger Anmeldung (mindestens 14 Tage) zu den üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören. Die Kosten trägt der Auftraggeber.

8. Löschung und Rückgabe

(1) Nach Ende des Hauptvertrags löscht noxlime innerhalb von 30 Tagen alle Daten des Auftraggebers, insbesondere Testumgebung, Datensicherungen, Zugangsdaten und Mail-Identitäten. Automatisch erstellte Sicherungen werden spätestens mit Ablauf ihrer Aufbewahrungsfrist von 30 Tagen gelöscht. Auf Wunsch stellt noxlime vorher eine aktuelle Sicherung der Website bereit.

(2) Gesetzliche Aufbewahrungspflichten bleiben unberührt.

9. Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB.

(2) Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zugang zu Servern und Verwaltungsoberflächen nur für berechtigte Personen und nur mit starker Authentifizierung (kryptografische Schlüssel bzw. Zwei-Faktor-Authentifizierung)
• Zugangsdaten der Auftraggeber werden verschlüsselt in einem Passwortmanager gespeichert und nur über verschlüsselte Wege übermittelt
• Trennung der Daten verschiedener Auftraggeber durch getrennte Benutzer, Speicherbereiche und Zugänge
• Testumgebungen sind für Suchmaschinen gesperrt und versenden keine E-Mails an echte Empfänger

Integrität

• Übertragung ausschließlich verschlüsselt
• Schutz der betreuten Websites durch eine Web Application Firewall
• Änderungen werden in einer Testumgebung geprüft, bevor sie auf die Live-Website übertragen werden
• regelmäßige Updates und Überwachung auf bekannte Schwachstellen

Verfügbarkeit und Belastbarkeit

• tägliche, verschlüsselte Datensicherung an zwei voneinander unabhängigen Speicherorten, Aufbewahrung 30 Tage
• Überwachung von Erreichbarkeit und Fehlern rund um die Uhr mit Benachrichtigung
• Rechenzentren in der EU

Regelmäßige Überprüfung

• dokumentierte Abläufe für Einrichtung, Updates und Deployments
• Überprüfung der Maßnahmen mindestens jährlich und bei wesentlichen Änderungen

Anlage 2: Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Server für Testumgebungen, Passwortmanager und Monitoring; Verarbeitung in Deutschland
• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg: Datensicherung (Amazon S3) und Versand der Website-E-Mails (Amazon SES); Verarbeitung in Deutschland (Frankfurt)
• WP Umbrella (Frankreich): Updates, Datensicherung, Fehler- und Schwachstellenüberwachung; Verarbeitung in Frankreich
• Google Cloud EMEA Limited, 70 Sir John Rogerson’s Quay, Dublin 2, Irland: Server-Side Tracking (Cloud Run), nur bei gebuchtem Tracking; Verarbeitung in Belgien
• Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland: E-Mail-Kommunikation (Google Workspace); Verarbeitung in der EU