CROSSMEDIA1 · ART. 28 DSGVO

Vereinbarung zur Auftragsverarbeitung

Muster für WordPress-Wartungsleistungen · Stand: 23. Oktober 2026

Entwurf zur Vervollständigung und rechtlichen Prüfung. Die Anlagen enthalten noch offene Angaben. Diese Seite ist eine Vorlage und kein bereits abgeschlossener Vertrag. Vor Beginn der Datenverarbeitung müssen die kundenspezifischen Angaben, Sicherheitsmaßnahmen und gegebenenfalls Unterauftragnehmer vereinbart und der Abschluss mit dem jeweiligen Kunden dokumentiert werden.

1. Vertragsparteien und Abschluss

Auftragsverarbeiter: Thomas Ferenz, handelnd unter crossmedia1, Kuhlacker 18, 24145 Kiel, E-Mail: info@crossmedia1.de.

Verantwortlicher: der im individuellen Auftrag und in Anlage 1 bezeichnete Unternehmenskunde. Er entscheidet über Zwecke und wesentliche Mittel der Verarbeitung seiner personenbezogenen Daten.

Diese Vereinbarung ergänzt den Wartungsauftrag. Sie wird erst durch eine nachweisbare Vereinbarung beider Parteien in Schriftform oder elektronischer Form unter Einbeziehung der ausgefüllten Anlagen verbindlich. Das Aufrufen dieser Seite, eine allgemeine AGB-Zustimmung oder eine Bestellung allein bewirken keinen gesonderten Abschluss dieser AVV. Die vereinbarte Fassung und die Anlagen sind den Parteien dauerhaft bereitzustellen. Änderungen erfolgen in dokumentierter Form.

2. Gegenstand, Zweck und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten bei der vereinbarten technischen Betreuung der in Anlage 1 benannten WordPress-Website. Je nach Auftrag umfasst dies Updates, Fehleranalyse, Sicherheits- und Erreichbarkeitsprüfungen, Support, Sicherung und Wiederherstellung sowie im Pro-Paket die Malwarebereinigung. Diese AVV erweitert den gebuchten Leistungsumfang nicht.

Verarbeitungen erfolgen nur zur Durchführung des Auftrags. Dazu können Zugriff und Einsichtnahme, Auslesen, Übertragen, Speichern, Wiederherstellen, Berichtigung auf Weisung und Löschung gehören. Datenarten, betroffene Personengruppen und die einzelnen Tätigkeiten werden kundenspezifisch in Anlage 1 festgelegt.

Die AVV gilt ab ihrem vereinbarten Beginn für die Dauer der beauftragten Verarbeitung und deren geordnete Beendigung. Vertraulichkeit und Schutzpflichten gelten fort, solange Auftragsdaten vorhanden sind. Die Löschung oder Rückgabe richtet sich nach Abschnitt 9.

3. Weisungen und Verantwortlichkeit

crossmedia1 verarbeitet die Auftragsdaten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dies gilt auch für Übermittlungen in Drittländer. Besteht eine gesetzliche Verarbeitungspflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats, informiert crossmedia1 den Verantwortlichen vorab, soweit das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

Der Auftrag und diese AVV bilden die anfängliche Weisung. Weisungsberechtigte Personen und Kontaktwege werden in Anlage 1 festgelegt. Mündliche Weisungen sind zeitnah zu dokumentieren. Hält crossmedia1 eine Weisung für datenschutzwidrig, wird der Verantwortliche unverzüglich informiert und die betroffene Maßnahme bis zur Klärung ausgesetzt.

Der Verantwortliche bleibt insbesondere für die Rechtsgrundlage, die Zulässigkeit der übergebenen Daten, Informationspflichten und die Erteilung rechtmäßiger Weisungen verantwortlich. crossmedia1 verwendet Auftragsdaten nicht für eigene Werbung, eigene Analysen oder das Training von KI-Modellen.

4. Vertraulichkeit und Sicherheitsmaßnahmen

Zugriff auf Auftragsdaten erhalten nur zur Aufgabenerfüllung berechtigte Personen. Diese müssen zur Vertraulichkeit verpflichtet sein oder einer geeigneten gesetzlichen Verschwiegenheitspflicht unterliegen. Derzeit erfolgt der Zugriff auf die lokalen Sicherungen ausschließlich durch Thomas Ferenz.

Die konkret vereinbarten technischen und organisatorischen Maßnahmen stehen in Anlage 2. Das Schutzniveau ist unter Berücksichtigung von Risiken, Datenarten und Verarbeitung regelmäßig zu prüfen. Maßnahmen dürfen weiterentwickelt werden; das vereinbarte Schutzniveau darf dabei nicht abgesenkt werden. Wesentliche Änderungen werden dokumentiert und dem Verantwortlichen mitgeteilt.

Verarbeitungstätigkeiten mit besonderen Risiken dürfen erst aufgenommen werden, wenn die dafür erforderlichen Maßnahmen festgelegt sind. Nicht bestätigte Maßnahmen in Anlage 2 sind keine Zusicherung bereits vorhandener Einrichtungen.

5. Sicherungen, Speicherorte und Wiederherstellung

Die vereinbarten Dateien und Datenbanken werden täglich gesichert, per SFTP heruntergeladen und lokal auf einem Rechner von crossmedia1 in Deutschland gespeichert. Die heruntergeladenen Sicherungen werden nicht zusätzlich in einer Cloud gespeichert oder über Cloud-Synchronisierungsdienste synchronisiert. Der Rechner ist durch Festplattenverschlüsselung und ein passwortgeschütztes Benutzerkonto geschützt. Auf diese lokalen Sicherungen hat ausschließlich Thomas Ferenz Zugriff.

Jede Sicherung wird grundsätzlich 30 Tage ab Erstellung aufbewahrt und anschließend gelöscht. Vorrangige Weisungen zur Löschung sowie die Beendigung des Auftrags sind nach Abschnitt 9 zu berücksichtigen. Die Aufbewahrungsfrist rechtfertigt keine weitere Nutzung gelöschter Daten.

Eine Wiederherstellung wird mit dem Verantwortlichen abgestimmt. Bereits umgesetzte Löschungen, Berichtigungen und Einschränkungen sind nach einer Wiederherstellung erneut zu berücksichtigen, damit gesicherte Altdaten nicht unzulässig wieder in die laufende Verarbeitung gelangen.

Die Angabe Deutschland bezieht sich auf die lokalen Sicherungen. Der Standort der Kundenwebsite und mögliche weitere beteiligte Dienste werden gesondert in den Anlagen festgehalten. Eine Verlagerung in ein Drittland bedarf vorheriger dokumentierter Weisung beziehungsweise Genehmigung und der Erfüllung der anwendbaren Anforderungen an internationale Übermittlungen.

6. Weitere Auftragsverarbeiter

Weitere Auftragsverarbeiter dürfen erst nach vorheriger gesonderter schriftlicher oder elektronischer Genehmigung des Verantwortlichen eingesetzt werden. Anlage 3 enthält die konkret genehmigten Unternehmen, Leistungen, Verarbeitungsorte und gegebenenfalls Übermittlungsgrundlagen. Eine noch nicht ausgefüllte Anlage erteilt keine pauschale Genehmigung.

crossmedia1 verpflichtet genehmigte Unterauftragsverarbeiter vertraglich zu denselben einschlägigen Datenschutzpflichten und prüft ihre Eignung. Erfüllt ein Unterauftragsverarbeiter seine Pflichten nicht, bleibt crossmedia1 dem Verantwortlichen gegenüber für die Erfüllung dieser Pflichten verantwortlich.

Vom Kunden selbst beauftragtes Hosting wird als dessen eigener Dienstleister dokumentiert und nicht allein deshalb als Unterauftrag von crossmedia1 eingeordnet. Externe Wartungs-, Monitoring-, Fernzugriffs- oder Speicherdienste sind vor ihrem Einsatz auf ihre tatsächliche Rolle und ihren Datenzugriff zu prüfen.

7. Unterstützung und Datenschutzvorfälle

crossmedia1 unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung mit geeigneten Maßnahmen bei der Bearbeitung von Betroffenenrechten. Direkt eingehende Anträge werden unverzüglich weitergeleitet; eine eigenständige inhaltliche Antwort erfolgt nur auf Weisung oder aufgrund einer gesetzlichen Pflicht.

Unter Berücksichtigung der verfügbaren Informationen unterstützt crossmedia1 den Verantwortlichen bei der Sicherheit der Verarbeitung, der Behandlung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und einer erforderlichen vorherigen Konsultation der Aufsichtsbehörde.

Bekannt gewordene Verletzungen des Schutzes von Auftragsdaten werden dem Verantwortlichen unverzüglich mitgeteilt. Soweit verfügbar werden Art des Vorfalls, betroffene Daten und Personen, mögliche Folgen, Kontaktmöglichkeiten sowie ergriffene oder vorgeschlagene Abhilfemaßnahmen dokumentiert. Fehlende Informationen werden nachgereicht. Die gewöhnlichen Support-Reaktionszeiten schieben diese Mitteilung nicht auf.

8. Nachweise und Kontrollen

crossmedia1 stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Vereinbarung erforderlich sind. Kontrollen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer werden ermöglicht und unterstützt.

Der Ablauf wird unter Wahrung der Vertraulichkeit anderer Kunden und des Betriebs angemessen abgestimmt. Eine Abstimmung darf erforderliche Kontrollen, insbesondere bei konkreten Verdachtsfällen oder behördlichen Anforderungen, nicht vereiteln. Festgestellte Mängel und deren Behebung werden dokumentiert.

9. Rückgabe und Löschung nach Auftragsende

Nach Abschluss der beauftragten Verarbeitung gibt crossmedia1 nach Wahl des Verantwortlichen die Auftragsdaten zurück oder löscht sie einschließlich vorhandener Kopien, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats eine weitere Speicherung verlangt. Art, Format und Zeitpunkt einer Rückgabe werden dokumentiert. Eine Rückgabe ersetzt nicht die anschließende Löschung zurückbehaltener Kopien.

Für Sicherungskopien wird das Löschverfahren vor Abschluss der AVV ausdrücklich in Anlage 2 festgelegt. Die laufende 30-Tage-Rotation begründet kein eigenständiges Recht, Sicherungen nach Auftragsende weiter aufzubewahren. Eine technisch erforderliche spätere Löschung muss mit dem Verantwortlichen konkret vereinbart werden; bis dahin bleiben diese Kopien gesperrt und ausschließlich gegen unberechtigte Nutzung geschützt.

crossmedia1 dokumentiert die Rückgabe beziehungsweise Löschung und bestätigt sie auf Anforderung. Gesetzlich aufzubewahrende Daten werden auf die betreffende Pflicht beschränkt, gesondert geschützt und nach deren Wegfall gelöscht.

10. Anlagen und noch erforderliche Angaben

Die Anlagen 1 bis 3 sind Bestandteil der individuellen Vereinbarung. Vor Beginn der Verarbeitung sind insbesondere Auftraggeber, Website, Datenkategorien, Ansprechpartner, die noch offenen Sicherheitsmaßnahmen und die Unterauftragnehmerliste zu vervollständigen und zu vereinbaren. Diese öffentliche Musterseite enthält keine kundenspezifischen Daten und keine Zugangsdaten.

Anlage 1 – Individueller Auftrag

Vor Abschluss auszufüllen: Firma und Anschrift des Verantwortlichen; vertretungs- und weisungsberechtigte Personen; Kontakt für Datenschutzvorfälle; Website-Domain; Wartungspaket; Vertragsreferenz; Beginn und Ende der Verarbeitung; vereinbarte Fassung dieser AVV.

Datenarten, soweit im Kundenauftrag vorhanden: Kontaktdaten, Benutzerkonten und Berechtigungen, Bestell- und Vertragsdaten, Inhalte aus Formularen sowie technische Protokoll- und Nutzungsdaten. Die tatsächlich betroffenen Kategorien sind konkret auszuwählen und zu ergänzen.

Betroffene Personen, soweit einschlägig: Websitebesucher, Kunden und Interessenten des Verantwortlichen, dessen Beschäftigte und berechtigte Benutzer. Besondere Kategorien personenbezogener Daten sind im Standard-Wartungsauftrag nicht vorgesehen; eine entsprechende Verarbeitung bedarf einer gesonderten vorherigen Prüfung und Vereinbarung.

Kundenspezifisch zu dokumentieren: freigegebene Tätigkeiten, Datenumfang, Hostinganbieter und Serverstandort, Weisungswege, Ansprechpartner beider Parteien sowie dokumentierter Abschluss mit Datum und Vertragsfassung.

Anlage 2 – Technische und organisatorische Maßnahmen

Vom Betreiber bestätigte Maßnahmen: SFTP für den Download; lokale Speicherung der Sicherungen in Deutschland; Festplattenverschlüsselung; passwortgeschütztes Benutzerkonto; Zugriff auf die lokalen Sicherungen ausschließlich durch Thomas Ferenz; tägliche Sicherung und Aufbewahrung jeder Sicherung für 30 Tage.

Vor Abschluss konkret zu ergänzen und nachzuweisen: Schutz des Raums und Geräts vor unberechtigtem Zutritt und Diebstahl; Verwaltung und Entzug von Zugängen; Schutz und Aufbewahrung von Passwörtern, SFTP-Schlüsseln und Wiederherstellungsschlüsseln; eingesetzte Mehrfaktor-Authentisierung, soweit verfügbar; Aktualisierung und Schadsoftwareschutz des Backup-Rechners.

Ebenfalls zu beschreiben: Trennung der Kundensicherungen; Protokollierung und Prüfung von Downloads und Löschungen; Kontrolle auf vollständige und fehlerfreie Sicherungen; Wiederherstellungstests; Schutz gegen Verlust des Backup-Rechners; Vorgehen bei Datenschutzvorfällen sowie regelmäßige Kontrolle der Maßnahmen. Diese noch offenen Punkte werden hier nicht als bereits umgesetzt bestätigt.

Löschkonzept: Verfahren zur Löschung nach 30 Tagen; Behandlung von Papierkorb, temporären Dateien und gegebenenfalls weiteren Kopien; Rückgabe und Löschung bei Vertragsende; Nachweis der Ausführung. Das konkrete Verfahren ist vor Abschluss einzutragen.

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Vom Betreiber benannte Werkzeuge:
WPvivid: Erstellung der Website-Backups.
MainWP: Monitoring und Fernzugriff zur Wartung; selbst gehostetes Dashboard auf Hosting bei Hetzner in Deutschland.
Wordfence Free: Malwareprüfung.

Noch zu prüfen und auszufüllen: Für das MainWP-Hosting bei Hetzner sind die konkrete Vertragsgesellschaft, die vertragliche Grundlage zur Auftragsverarbeitung und die erforderliche Genehmigung durch den Verantwortlichen zu dokumentieren. Aktivierte Wordfence-Free-Funktionen einschließlich Live Traffic und tatsächliche Datenübertragungen an externe Anbieter sind noch zu klären. Für die heruntergeladenen Backups ist bestätigt: ausschließlich lokale Speicherung auf dem Rechner in Deutschland, keine zusätzliche Cloud-Speicherung und keine Cloud-Synchronisierung. Die Nennung eines Programms allein bestätigt weder einen externen Datenempfänger noch dessen Rolle als Unterauftragsverarbeiter. Für jeden tatsächlich eingesetzten Unterauftragsverarbeiter sind Firma, Anschrift, konkrete Aufgabe, Datenarten, Speicher- und Zugriffsorte sowie die vertragliche Grundlage und Genehmigung festzuhalten.

Es ist bislang keine vollständige Liste solcher Anbieter bestätigt. Daraus wird weder abgeleitet, dass keine Dienste eingesetzt werden, noch wird ihr Einsatz pauschal genehmigt. Werden tatsächlich keine Unterauftragsverarbeiter eingesetzt, ist dies nach Prüfung ausdrücklich in der individuellen Anlage festzuhalten.

Rechtsgrundlagen und Orientierung

Diese individuell zu vervollständigende Vorlage orientiert sich an Art. 28 DSGVO. Sie ist keine unveränderte amtliche Mustervorlage.

Datenschutz-Grundverordnung
Hinweise und Formulierungshilfe der Datenschutzaufsicht Niedersachsen
Zurück zu den AGB