Gegenstand des Auftrags ist die Durchführung von Leistungen aus dem Bereich Webdesign, Webhosting, Serverbereitstellung sowie technische Wartung und Support der Website des Verantwortlichen durch den Auftragsverarbeiter, wie im Hauptvertrag näher beschrieben.

Die Dauer dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrages. Sie endet automatisch mit dessen Beendigung, unbeschadet der in Punkt 7 geregelten Lösch- und Rückgabepflichten.

Art und Zweck der Verarbeitung: Speicherung, Bereitstellung, Sicherung (Backup), Pflege und Verwaltung von Daten im Rahmen des Webhostings sowie technischer Zugriff im Zuge von Wartungsarbeiten.

Kategorien betroffener Personen: Besucher der Website des Verantwortlichen, Kunden des Verantwortlichen, Nutzer von Kontaktformularen, Newsletter-Abonnenten, registrierte Benutzer der Website.

Arten personenbezogener Daten: IP-Adressen, Logfiles, Namen, Kontaktdaten (E-Mail, Telefon), Formulardaten, Bestelldaten (bei Online-Shops), Zugangsdaten.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen — einschließlich in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland —, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Der Auftragsverarbeiter ergreift alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die aktuellen TOM sind dieser Vereinbarung als Anlage 1 beigefügt (Version 1.1 · 25.09.2026).

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntniserlangung, über Verletzungen des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, die im Rahmen dieser Vereinbarung auftreten, und unterstützt ihn bei der Erfüllung etwaiger Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO.

Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in der nachfolgenden Tabelle genannten weiteren Auftragsverarbeiter (Sub-Verarbeiter) hinzuzuziehen (Art. 28 Abs. 2 DSGVO).

Welche der optionalen Dienste konkret zum Einsatz kommen, richtet sich nach dem vom Verantwortlichen gebuchten Paket bzw. den getroffenen Zusatzvereinbarungen. Ein Web-Analyse-Dienst wird nur auf ausdrücklichen Wunsch des Verantwortlichen eingerichtet.

Der Auftragsverarbeiter informiert den Verantwortlichen vorab über jede beabsichtigte Hinzuziehung oder den Austausch weiterer Sub-Verarbeiter. Dem Verantwortlichen steht innerhalb von 14 Tagen nach Information ein Einspruchsrecht aus wichtigem, datenschutzrechtlich begründetem Grund zu.

Dem jeweiligen Sub-Verarbeiter werden dieselben datenschutzrechtlichen Verpflichtungen auferlegt, die dem Auftragsverarbeiter aus dieser Vereinbarung obliegen, soweit dies nach Art und Umfang der jeweiligen Verarbeitung erforderlich ist. Bei etwaigen Drittlandtransfers stützt sich der Auftragsverarbeiter auf den jeweils aktuellen Angemessenheitsbeschluss bzw. die Standardvertragsklauseln gemäß der Tabelle in Punkt 4.1.

Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen auf Wahrnehmung von Betroffenenrechten (insb. Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung).

Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Datensicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen).

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in dieser Vereinbarung genannten Pflichten zur Verfügung und ermöglicht Überprüfungen, die vom Verantwortlichen selbst oder einem von ihm beauftragten Prüfer durchgeführt werden. Solche Überprüfungen sind mit angemessener Vorlaufzeit (mindestens 14 Tage) schriftlich anzukündigen und auf das datenschutzrechtlich Erforderliche zu beschränken; ein dadurch entstehender Aufwand des Auftragsverarbeiters kann gesondert verrechnet werden, sofern die Überprüfung nicht durch eine konkrete, begründete Datenschutzverletzung veranlasst ist.

Die Haftung der Vertragsparteien für Schäden im Zusammenhang mit dieser Vereinbarung richtet sich nach Art. 82 DSGVO sowie ergänzend nach den Haftungsbestimmungen des Hauptvertrages (insbesondere den dortigen Regelungen zur Haftungsbeschränkung bei leichter Fahrlässigkeit).

Nach Beendigung der Verarbeitungsleistungen löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen entweder alle personenbezogenen Daten oder gibt sie ihm zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur weiteren Speicherung besteht. Eine Datenrückgabe erfolgt im Rahmen des im Hauptvertrag geregelten Datenexports.

Daten in automatisierten Backups werden nach Ablauf des beim Auftragsverarbeiter aktuell konfigurierten Backup-Zyklus endgültig überschrieben: Die Sicherung erfolgt täglich; es werden die letzten 30 Sicherungen vorgehalten (im Ergebnis rund 30 Tage), ältere Sicherungen werden fortlaufend überschrieben. Die Datensicherung erfolgt verschlüsselt (FTPS) beim Sub-Verarbeiter Hetzner. Diese Aufbewahrungsdauer kann sich durch technische Weiterentwicklung des Backup-Systems ändern.

Diese Vereinbarung ist Anlage zum Hauptvertrag. Im Verhältnis zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung in datenschutzrechtlichen Fragen vor; im Übrigen gilt der Hauptvertrag.

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Schriftform (auch per E-Mail genügt).

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt österreichisches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, das für 6130 Schwaz sachlich zuständige Gericht, analog der Regelung im Hauptvertrag.