Vertrag über die Auftragsverarbeitung personenbezogener Daten

gemäß Art. 28 Datenschutz-Grundverordnung (DS-GVO)
für Webhosting, E-Mail-Postfächer und technische Administration

zwischen dem Auftraggeber (Kunde — im Bestellformular genannte Firma)
und
signum3, Evodiusstraße 5, 97262 Erbshausen, Deutschland
(nachstehend Auftragsverarbeiter genannt)

1. Einleitung, Geltungsbereich, Definitionen

1.1 Dieser Vertrag regelt die Rechte und Pflichten im Rahmen der Verarbeitung personenbezogener Daten im Auftrag. Er konkretisiert Art. 28 DS-GVO und geht im Zweifel den allgemeinen Geschäftsbedingungen des Auftragsverarbeiters vor, soweit datenschutzrechtliche Pflichten betroffen sind.

1.2 Der Vertrag gilt für alle Tätigkeiten, bei denen Mitarbeiter des Auftragsverarbeiters oder von ihm eingesetzte Unterauftragsverarbeiter personenbezogene Daten des Auftraggebers verarbeiten.

1.3 „Personenbezogene Daten“, „Verarbeitung“, „Auftragsverarbeiter“ und „Verantwortlicher“ haben die Bedeutung der Art. 4 und 28 DS-GVO. Weisungen des Auftraggebers erfolgen schriftlich oder in Textform (E-Mail), mündliche Weisungen sind unverzüglich zu bestätigen.

2. Gegenstand und Dauer

2.1 Gegenstand ist die Bereitstellung und der Betrieb von Webhosting, E-Mail-Postfächern, Speicherplatz sowie die technische Administration im Rahmen des gebuchten Pakets (siehe Anlage A).

2.2 Der Vertrag tritt mit Annahme der Hosting-Anfrage bzw. Freischaltung des Kundenaccounts in Kraft und läuft parallel zum jeweiligen Hosting-Vertragsverhältnis. Er endet mit Beendigung des Hauptvertrages; das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt.

3. Art und Zweck der Verarbeitung

3.1 Verarbeitungstätigkeiten: Erheben, Speichern, Ordnen, Anpassen, Auslesen, Verwenden, Übermitteln, Einschränken und Löschen personenbezogener Daten, soweit dies für Hosting, E-Mail-Dienst und Support erforderlich ist.

3.2 Zweck: Betrieb der vom Auftraggeber genutzten Webpräsenz und E-Mail-Kommunikation, Sicherung, Wiederherstellung und technischer Support. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters ist untersagt.

3.3 Art der Daten und betroffene Personen: siehe Anlage A.

4. Pflichten des Auftragsverarbeiters (signum3)

4.1 Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet (Mitteilung vorab, soweit zulässig).

4.2 Er gewährleistet die Vertraulichkeit, unterrichtet Mitarbeiter mit Datenzugang und verpflichtet sie zur Geheimhaltung.

4.3 Er unterstützt den Auftraggeber bei Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DS-GVO), Datenschutz-Folgenabschätzungen (Art. 35 DS-GVO) und bei Anfragen von Aufsichtsbehörden und betroffenen Personen, soweit die Auftragsverarbeitung betroffen ist.

4.4 Auskünfte an Dritte oder Betroffene nur mit Zustimmung des Auftraggebers; direkte Anfragen werden unverzüglich weitergeleitet.

4.5 Verletzungen des Schutzes personenbezogener Daten und begründete Verdachtsfälle teilt der Auftragsverarbeiter dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme mit. Er unterstützt den Auftraggeber bei Meldungen nach Art. 33 und 34 DS-GVO.

4.6 Er informiert über erhebliche Störungen, Verstöße gegen datenschutzrechtliche Vorgaben und Kontrollen Dritter mit Bezug zur Auftragsverarbeitung.

4.7 Nach Vertragsende gibt er Daten zurück oder löscht sie nach Weisung; Dokumentationspflichten bleiben bestehen. Sicherheitskopien sind von der Löschpflicht ausgenommen, soweit für ordnungsgemäße Verarbeitung erforderlich.

5. Technisch-organisatorische Maßnahmen (signum3)

5.1 Zutritts- und Zugriffskontrolle an den Büroräumen (Evodiusstraße 5): Schlüssel, Türsicherung, definierte Zutrittsregeln.

5.2 Zugriff auf Systeme: personalisierte Zugänge, sichere Kennwörter; Fernzugriff nur über personalisierte, protokollierte VPN-Verbindungen, soweit eingesetzt.

5.3 Verfügbarkeit: Backups, Virenschutz, USV und redundante Speicherung, soweit für die Büro-Infrastruktur vorgesehen.

5.4 Der Auftraggeber kann jederzeit eine Beschreibung der aktuellen Maßnahmen anfordern.

6. Unterauftragsverarbeiter — Mittwald

6.1 Für Rechenzentrums-Hosting, Infrastruktur und damit verbundene Verarbeitung setzt signum3 die Mittwald CM Service GmbH & Co. KG, Königsberger Straße 4–6, 32339 Espelkamp, Deutschland, als Unterauftragsverarbeiter ein. Die Verarbeitung erfolgt grundsätzlich in der EU bzw. im EWR; Verlagerungen in Drittländer bedürfen der vorherigen Zustimmung des Auftraggebers und der Voraussetzungen der Art. 44 ff. DS-GVO.

6.2 Der Auftraggeber erteilt die Einwilligung zur Beauftragung von Mittwald sowie der von Mittwald unter mittwald.de/unsere-dienstleister geführten weiteren Unterauftragsverarbeiter, sofern er deren Einsatz nicht innerhalb angemessener Frist widerspricht.

6.3 signum3 stellt sicher, dass Mittwald vertraglich zu vergleichbaren Pflichten verpflichtet ist (Weisungsgebundenheit, Vertraulichkeit, TOMs, Unterstützung bei Betroffenenrechten und Meldepflichten). Wesentliche Inhalte der Datenschutzvereinbarung zwischen signum3 und Mittwald (Stand 2018, fortgeltend in aktualisierter Fassung) gelten sinngemäß auch im Verhältnis Auftraggeber — signum3, insbesondere:

Dokumentation und Prüfbarkeit technischer und organisatorischer Maßnahmen (Art. 32 DS-GVO)
Meldung von Datenschutzverletzungen mit Beschreibung von Art, Umfang, Folgen und Abhilfemaßnahmen
Datenschutzbeauftragter bei Mittwald: Andreas Durnio, datenschutz@mittwald.de (Wechsel wird mitgeteilt)
Keine eigenmächtige Berichtigung, Löschung oder Einschränkung ohne Weisung des Verantwortlichen
Rückgabe bzw. Löschung von Daten nach Vertragsende unter Einhaltung gesetzlicher Aufbewahrung
Kontrollrechte des Auftraggebers und der Aufsichtsbehörden auch gegenüber Unterauftragsverarbeitern

6.4 Detaillierte Maßnahmen im Rechenzentrum sowie Umfang und Rhythmus der Datensicherung sind in Anlage A (Auftragsdetails), Anlage B (technisch-organisatorische Maßnahmen) und Anlage C (Backup) dieses Vertrages beschrieben.

6.5 Für Inhalte und Anwendungen innerhalb der Kundenumgebung (z. B. HTTPS, Protokollierung, Mandantentrennung auf Anwendungsebene) bleibt der Auftraggeber als Verantwortlicher verantwortlich.

7. Weisungsrecht des Auftraggebers

Der Umgang mit Daten erfolgt nach Weisung des Auftraggebers. Änderungen des Verarbeitungsgegenstands sind abzustimmen und zu dokumentieren. Kopien und Duplikate werden ohne Wissen des Auftraggebers nicht erstellt (ausgenommen erforderliche Sicherungskopien und gesetzliche Aufbewahrung).

8. Kontrollen

Der Auftraggeber kann die Einhaltung dieses Vertrages im erforderlichen Umfang prüfen. signum3 und Mittwald stellen die hierfür nötigen Auskünfte und Nachweise (z. B. Zertifizierungen, Auditberichte) bereit. Vor-Ort-Kontrollen beim Unterauftragsverarbeiter nach angemessener Ankündigung.

9. Geheimhaltung

Beide Parteien behandeln Geschäftsgeheimnisse und Informationen über Sicherheitsmaßnahmen auch nach Vertragsende vertraulich.

10. Schlussbestimmungen

Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht. Gerichtsstand, soweit zulässig, Würzburg.

Der Auftragsverarbeiter (signum3) hat diesen Vertrag unten bereits unterzeichnet. Mit Absenden der Hosting-Anfrage und Bestätigung der Checkbox schließt der Auftraggeber den Vertrag in Textform.

Erbshausen, den 27. Oktober 2026

Auftraggeber

(im Anfrageformular genannte Firma — Vertragsschluss durch Bestätigung im Formular)

Auftragsverarbeiter

signum3
gez. Matthias Schreck

Anlagen zum Vertrag

Übersicht — Leistung durch signum3

Leistungen	Webhosting, E-Mail-Postfächer, Speicher, SSL/TLS wo vorgesehen, technische Administration und Support; Betrieb auf Infrastruktur von Mittwald
Datenarten	Kontaktdaten, Kommunikationsinhalte (E-Mail), Nutzungs- und Protokolldaten (z. B. IP-Adressen, Logfiles), vom Auftraggeber eingestellte Webinhalte
Betroffene Personen	Beschäftigte und Ansprechpartner des Auftraggebers, Webseitenbesucher, Kunden und Interessenten des Auftraggebers, Kommunikationspartner
Speicherort	EU/EWR (Rechenzentrum Mittwald, Deutschland)
Backup	Siehe Anlage C (14 Tage Projekt-Backup, täglich; E-Mail separat)

Anlage A — Details zum Auftrag (Rechenzentrum / Mittwald)

Entspricht Anlage A der Datenschutzvereinbarung zwischen signum3 und Mittwald CM Service GmbH & Co. KG. Der Unterauftragsverarbeiter erbringt die dort beschriebenen Leistungen für die vom Auftraggeber genutzte Kundenumgebung.

1. Gegenstand des Auftrages

Der Auftrag umfasst folgende Arbeiten und/oder Leistungen:

Hosting von Server-Systemen und dort betriebenen Anwendungen (Datenbank-, Backup-, Web-Server, SAN-Umgebung)
Technische Administration der beim Hosting benötigten IT-Systeme
Sonstige Support-Tätigkeiten für sämtliche Server-Systeme

2. Umfang, Art und Zweck der Verarbeitung

Im Zuge der Leistungserbringung zum Zwecke des Hostings kann ein Zugriff auf personenbezogene Daten durch den Auftragnehmer (Mittwald) nicht ausgeschlossen werden.

Die Erbringung der vertraglich vereinbarten Datenverarbeitung findet ausschließlich in einem Mitgliedsstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DS-GVO erfüllt sind.

Bei der Auftragsleistung handelt es sich um folgende Arten der automatisierten Verarbeitung personenbezogener Daten unter Einsatz von Datenverarbeitungsanlagen:

Erheben (z. B. durch Importieren von Daten des Auftraggebers)
Speichern (z. B. durch Sicherung und Archivierung auf Festplatten, anderen Speichersystemen oder Datenträgern)
Verändern (z. B. durch Änderungen der Benutzer an den Datensätzen)
Übermitteln (z. B. durch Übermittlung per E-Mail von Nachrichten)
Einschränken (z. B. durch Deaktivierung von einzelnen Datensätzen)
Löschen (z. B. durch Vernichten von Datenträgern oder Papierunterlagen)

3. Art der Daten

Nutzungsdaten (Protokollierung der Nutzeraktivitäten, Log-Files, IP-Adressen)
Sonstige vom Auftraggeber in der Kundenumgebung verarbeitete Daten (z. B. Webinhalte, Formulardaten, E-Mail-Inhalte)

4. Kategorien der betroffenen Personen

Beschäftigte und ehemalige Beschäftigte des Auftraggebers
Webseitenbesucher
Kunden und Interessenten des Auftraggebers
Lieferanten, Ansprechpartner, Interessenten, Handelspartner
Weitere Personen, deren Daten der Auftraggeber in der gehosteten Umgebung verarbeitet

Anlage B — Technische und organisatorische Maßnahmen (Rechenzentrum / Mittwald)

Maßnahmen des Unterauftragsverarbeiters Mittwald CM Service GmbH & Co. KG im Rechenzentrum.

B.1 Maßnahmen Hosting (Rechenzentrum)

1. Vertraulichkeit

1.1 Zutrittskontrolle — Unbefugten ist der Zutritt zu den zwecks Erbringung der Verarbeitung genutzten technischen Einrichtungen zu verwehren.

Umgesetzte Maßnahmen:

Das Betriebsgebäude ist in unterschiedliche Zutrittsbereiche eingeteilt.
Besucher melden sich am Empfang und werden vom Ansprechpartner abgeholt.
Der Zutritt zu sämtlichen Datenverarbeitungsanlagen ist Unbefugten vollständig verwehrt.
Der Zutritt jeglicher Personen (auch Mitarbeiter) muss durch autorisiertes Personal im Voraus genehmigt werden und wird durch eine Personenkontrolle überprüft.
Sämtliche Zugänge und Räumlichkeiten der Datenverarbeitungsanlagen werden durch Kameras überwacht und durch elektronische Schließsysteme kontrolliert.
Jeglicher Zutritt wird protokolliert.

1.2 Zugangskontrolle — Es ist zu verhindern, dass notwendige Einrichtungen (Hardware, Betriebssysteme, Software) von Unbefugten genutzt werden können.

Zugang erhält ausschließlich autorisiertes und fachlich qualifiziertes Personal.
Der Zugang erfolgt über Benutzerkennung und Passwort; Passwörter entsprechen einem technisch sicheren Niveau.
Die Anmeldungen werden protokolliert.

1.3 Zugriffskontrolle — Berechtigte dürfen nur auf die ihrer Zugriffsberechtigung unterliegenden Daten zugreifen.

Nutzer- und Rechteverwaltung; Zugriffe werden geloggt.
Beim Verlassen des Arbeitsplatzes Sperrung durch Bildschirmschoner, Freigabe nur durch Passwort.
Verpflichtung zur Vertraulichkeit und zum Datenschutz bei Aufnahme der Tätigkeit.

1.4 Weitergabekontrolle

Übertragung personenbezogener Daten über verschlüsselte Verbindungen.
Elektronische Übertragung im Rahmen von Bestellprozess, Kundendaten im Servicefall, Mahnverfahren, Domain-/SSL-Registrierung und Datensicherung der Kundenumgebungen.
Absicherung der Datenübertragung durch den Kunden (z. B. HTTPS) obliegt dem Auftraggeber.
Entsorgung nicht mehr benötigter Datenträger durch zertifiziertes Unternehmen.

1.5 Trennungskontrolle

Je nach Hostingmodell mindestens logische (virtuelle) Mandantentrennung.
Trennung innerhalb der Kundenumgebung obliegt dem Auftraggeber.

1.6 Pseudonymisierung — Obliegt dem Auftraggeber im Rahmen des Hostingvertrages und der betriebenen Anwendungen.

1.7 Verschlüsselung

Verschlüsselte Datenübertragung (TLS/SSL).

2. Integrität

2.1 Eingabekontrolle

Eingabe, Änderung oder Löschung im Verantwortungsbereich von Mittwald werden mit Kennung des Mitarbeiters geloggt.
Logging in der Webumgebung des Kunden obliegt dem Auftraggeber.

2.2 Weitergabekontrolle — Maßnahmen gemäß 1.4 dienen auch der Integrität.

3. Verfügbarkeit und Belastbarkeit

3.1 Verfügbarkeitskontrolle

Schutz vor zufälligem Verlust oder Zerstörung (u. a. RAID, Ersatzhardware, Überspannungsschutz, USV, Notstromaggregat, Löschgasanlage).
Mindestens ein Backup des Vortages (tarifabhängig); beim Produkt Root-Server kein Backup durch Mittwald — eigene Sicherung durch Auftraggeber.

3.2 Rasche Wiederherstellbarkeit

IT-Notfallpläne und Wiederanlaufpläne
Regelmäßige und dokumentierte Datenwiederherstellungen

4. Weitere Maßnahmenbereiche

4.1 Auftragskontrolle

Managementsystem zu Datenschutz und Informationssicherheit
Incident-Response-System
Regelmäßige IT-Schwachstellenanalysen und interne Audits
Softwaregestützte Tools zur Einhaltung datenschutzrechtlicher Anforderungen

4.2 Datenschutz-Managementsystem

Erhebung/Verarbeitung durch Mittwald u. a. im Bestellprozess und bei Logging von Verbindungsdaten (IP-Adressen)
Kundendaten im Servicefall (Backup-Erstellung/Wiederherstellung, Reparatur der Kundendatenbank u. ä.)
Unterauftragsverarbeiter nur gemäß mittwald.de/unsere-dienstleister

Anlage C — Datensicherung (Backup) für Hosting-Projekte

Für die über signum3 bereitgestellten Hosting-Projekte bei Mittwald gilt im Regelfall eine Backup-Aufbewahrung von 14 Tagen (Projekt-Backup Webspace und Datenbanken), wie im Mittwald-Projekt bzw. Tarif konfiguriert. Abweichungen werden im Einzelfall mitgeteilt.

1. Was wird wie oft gesichert?

Datenart	Im automatischen Projekt-Backup (14 Tage)	Intervall
Website-Dateien / Webspace	Ja — relevante Dateien des Webservers des Projekts, einschließlich Verzeichnisse außerhalb des öffentlich erreichbaren Webroots (z. B. private Ablage, geschützte Bereiche auf dem Projekt-Speicher), soweit sie zum Projekt gehören	Täglich (nächtliche Sicherung auf externe Backup-Systeme)
MySQL-Datenbanken	Ja — Datenbanken des Projekts	Täglich (gemeinsam mit dem Projekt-Backup)
Log- und Cache-Dateien	Nein — werden bei der nächtlichen Sicherung in der Regel nicht berücksichtigt	—
E-Mails (Postfachinhalte)	Separates E-Mail-Backup durch Mittwald (nicht identisch mit dem 14-Tage-Projekt-Backup)	Täglich; Wiederherstellung typischerweise innerhalb von 7 Tagen nach Löschung auf Anfrage beim Support

2. Aufbewahrungsdauer Projekt-Backup

Es stehen bis zu 14 tägliche Sicherungsstände zur Verfügung. Der für Backups genutzte Speicher wird auf das gebuchte Projekt-Speicherkontingent angerechnet.

3. Wiederherstellungspunkte (zusätzlich)

Unabhängig vom nächtlichen Backup können im Projekt manuelle Wiederherstellungspunkte gesetzt werden (Momentaufnahme zum Zurücksetzen bei Tests oder Updates). Das ist kein Ersatz für die tägliche Datensicherung, ergänzt sie aber für geplante Änderungen.

4. Root-Server / Sonderfälle

Bei Root-Servern übernimmt Mittwald nach deren AV kein automatisches Backup; dort obliegt die Sicherung dem Betreiber. Für die über dieses Angebot bereitgestellten Managed-Hosting-Pakete gilt Anlage C Abschnitt 1–2.

5. Einspielen eines Backups

Das Einspielen einer nächtlichen Sicherung der letzten 14 Tage kann nach Rücksprache ausgeführt werden und ist kostenpflichtig.

Hinweis: Mittwald kann Tarif- und Backup-Parameter anpassen. Maßgeblich für Ihr Projekt sind die im Admin-Bereich angezeigten Einstellungen; signum3 informiert Sie bei Abweichungen von der 14-Tage-Standardkonfiguration.