Auftragsverarbeitungsvertrag

Dies ist eine deutsche Übersetzung zur Orientierung. Rechtlich verbindlich ist die niederländische Fassung, sie hat bei Abweichungen Vorrang. Zur niederländischen Fassung.

Version 1.0. Zuletzt aktualisiert: 23. Oktober 2026.

Dieser Auftragsverarbeitungsvertrag gehört zu jedem Vertrag mit Klappe Development (Klappe Hosting) und ist Bestandteil der Allgemeinen Geschäftsbedingungen. Sie müssen nichts unterschreiben: Der Vertrag gilt ab dem Moment, in dem Sie Kunde werden. Wenn Sie ein eigenes unterzeichnetes Exemplar möchten, fragen Sie uns.

Artikel 1. Definitionen und Rollen

1.1 Kunde: wer bei Klappe Development ein Paket oder ein Add-on bezieht. Auftragsverarbeiter: Klappe Development, ansässig in Boersenserf 10, 3871 RK Hoevelaken. KvK-Nummer (niederländisches Handelsregister): 71434577.

1.2 Die Begriffe personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter, betroffene Person, Verletzung des Schutzes personenbezogener Daten und Unterauftragsverarbeiter haben die Bedeutung der Datenschutz-Grundverordnung (DSGVO, niederländisch AVG).

1.3 Für personenbezogene Daten, die der Kunde auf unseren Diensten ablegt oder über unsere Dienste verarbeitet, ist der Kunde Verantwortlicher (oder, wenn er dies selbst im Auftrag eines Auftraggebers tut, Auftragsverarbeiter) und wir sind Auftragsverarbeiter (oder Unterauftragsverarbeiter). Dies gilt nicht für unsere eigene Kundenverwaltung: Dafür sind wir selbst verantwortlich, siehe die Datenschutzerklärung.

Artikel 2. Gegenstand und Dauer

2.1 Wir verarbeiten personenbezogene Daten ausschließlich, um die vereinbarte Leistung zu erbringen: Websites hosten, E-Mails empfangen, speichern, weiterleiten und zustellen, Backups erstellen und Support leisten.

2.2 Es geht um die Arten von Daten und betroffenen Personen aus der Anlage. Der Kunde bestimmt selbst, welche Daten er auf dem Dienst ablegt.

2.3 Der Vertrag gilt, solange wir personenbezogene Daten für den Kunden verarbeiten, also solange der Hostingvertrag läuft und bis die Daten zurückgegeben oder gelöscht sind (Artikel 11).

Artikel 3. Weisungen des Kunden

3.1 Wir verarbeiten personenbezogene Daten nur auf der Grundlage schriftlicher Weisungen des Kunden. Der Vertrag, die Allgemeinen Geschäftsbedingungen und dieser Auftragsverarbeitungsvertrag bilden die Weisungen. Zusätzliche Weisungen erteilt der Kunde schriftlich, wir führen diese im zumutbaren Rahmen aus.

3.2 Sind wir der Auffassung, dass eine Weisung gegen die DSGVO (AVG) verstößt, so teilen wir dies unverzüglich mit.

3.3 Der Kunde sorgt dafür, dass er für seine Verarbeitungen eine Rechtsgrundlage hat, dass betroffene Personen informiert sind (zum Beispiel über seine eigene Datenschutzerklärung und seinen Cookie-Banner) und dass er seine eigenen Pflichten aus der DSGVO (AVG) erfüllt. Wir verarbeiten keine Daten für eigene Zwecke.

Artikel 4. Sicherheit

4.1 Wir treffen angemessene technische und organisatorische Maßnahmen, unter Berücksichtigung des Stands der Technik, der Kosten und des Risikos. Dazu gehören jedenfalls:

• verschlüsselte Verbindungen (TLS) für Websites, das Panel und E-Mail;
• abgeschirmte Server, Zugang nur für diejenigen, die ihn benötigen, mit starken Passwörtern oder Schlüsseln und Zwei-Faktor-Authentifizierung, wo möglich;
• getrennte Konten pro Kunde, damit Kunden die Dateien der anderen nicht sehen können;
• regelmäßige Updates der Serversoftware und Sicherheitspatches, bei Wartung auch von WordPress, Plugins und Themes;
• Schutz vor Angriffen über Cloudflare, zum Beispiel eine Firewall und Schutz vor DDoS;
• Backups an einem getrennten Standort außerhalb des Servers selbst, nach bestem Bemühen;
• Protokollierung von Verwaltungshandlungen und Überwachung auf Missbrauch;
• physische Sicherheit im Rechenzentrum, erbracht durch unseren Hosting-Partner;
• Vertraulichkeit der Mitarbeiter und eingeschalteten Helfer (Artikel 7).

4.2 Sicherheit ist eine Bemühenspflicht. Wir können nicht garantieren, dass Daten niemals verloren gehen oder in die Hände Unbefugter gelangen. Der Kunde ist selbst für die Sicherheit seiner Website verantwortlich (zum Beispiel starke Passwörter, aktuelle Plugins, wenn er keine Wartung bezieht, und sicherer Code).

4.3 Wir überprüfen die Maßnahmen regelmäßig und passen sie an, wenn sich das Risiko ändert. Eine wesentliche Absenkung des Schutzniveaus nehmen wir nicht vor, ohne den Kunden zu informieren.

Artikel 5. Unterauftragsverarbeiter

5.1 Der Kunde erteilt uns die allgemeine Genehmigung, die folgenden Unterauftragsverarbeiter einzuschalten:

5.2 Wir erlegen jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf wie in diesem Vertrag, soweit dies in zumutbarer Weise möglich ist. Bei großen Lieferanten geschieht dies oft über deren Standard-Auftragsverarbeitungsbedingungen. Wir bleiben gegenüber dem Kunden für die Erfüllung durch unsere Unterauftragsverarbeiter verantwortlich.

5.3 Wollen wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, so informieren wir den Kunden mindestens 1 Monat im Voraus schriftlich. Der Kunde kann innerhalb von 14 Tagen begründete Einwände erheben. Einigen wir uns nicht, so darf der Kunde den Vertrag zu dem Datum kündigen, an dem die Änderung wirksam wird.

5.4 Die Liste auf dieser Seite ist die aktuelle Liste. Das Datum am Anfang zeigt, wann sie zuletzt aktualisiert wurde.

Artikel 6. Übermittlung außerhalb der EU

6.1 Wir verarbeiten personenbezogene Daten möglichst innerhalb des Europäischen Wirtschaftsraums. Ein Teil unserer Unterauftragsverarbeiter (insbesondere Cloudflare und Meta) hat seinen Sitz in den Vereinigten Staaten oder kann dort Daten verarbeiten.

6.2 Für diese Übermittlung gelten Garantien wie das EU-US Data Privacy Framework, soweit der Unterauftragsverarbeiter dafür zertifiziert ist, und andernfalls die Standardvertragsklauseln der Europäischen Kommission, ergänzt durch geeignete Maßnahmen.

6.3 Sonstige Übermittlungen außerhalb des EWR nehmen wir nur auf der Grundlage einer Weisung des Kunden oder einer gesetzlichen Verpflichtung vor, und mit einer geeigneten Garantie nach Kapitel V der DSGVO (AVG).

Artikel 7. Mitarbeiter und Vertraulichkeit

7.1 Nur Personen, die Zugang benötigen, um die Leistung zu erbringen, dürfen personenbezogene Daten verarbeiten. Sie sind zur Vertraulichkeit verpflichtet.

7.2 Wir sehen die Daten des Kunden nur ein, wenn dies für die Leistung erforderlich ist, etwa bei einer Störung, einer Anfrage des Kunden, einem Backup oder Missbrauch.

7.3 Wir geben personenbezogene Daten nur an Dritte weiter, wenn der Kunde dies angewiesen hat oder ein Gesetz oder ein Gericht dies verlangt. Wenn das Gesetz es erlaubt, informieren wir den Kunden vorher.

Artikel 8. Verletzungen des Schutzes personenbezogener Daten

8.1 Entdecken wir eine Sicherheitsverletzung, die zur Vernichtung, zum Verlust, zur Veränderung oder zur unbefugten Offenlegung von oder zum unbefugten Zugang zu personenbezogenen Daten des Kunden führt, so melden wir dies dem Kunden so schnell wie möglich und spätestens innerhalb von 48 Stunden, nachdem wir sie entdeckt haben.

8.2 Die Meldung erfolgt per E-Mail und, wo möglich, auch über WhatsApp an die Kontaktadresse des Kunden und enthält möglichst Folgendes: die Art der Verletzung, die betroffenen Daten und betroffenen Personen (grob), die voraussichtlichen Folgen, was wir getan haben und was der Kunde tun kann, sowie einen Ansprechpartner. Fehlen Informationen, so ergänzen wir diese, sobald wir sie haben.

8.3 Der Kunde beurteilt, ob er die Verletzung bei der Autoriteit Persoonsgegevens (der niederländischen Datenschutzbehörde) melden muss (innerhalb von 72 Stunden) und bei betroffenen Personen. Wir wirken daran mit und ergreifen Maßnahmen, um die Verletzung zu begrenzen und eine Wiederholung zu verhindern.

8.4 Wir führen eine Übersicht über alle Verletzungen des Schutzes personenbezogener Daten, mit den Fakten, den Folgen und den ergriffenen Maßnahmen.

8.5 Meldungen über den Verdacht auf eine Verletzung des Schutzes personenbezogener Daten kann der Kunde über [email protected] oder WhatsApp (Montag bis Sonntag, 9:00 bis 21:00 Uhr) abgeben. Außerhalb dieser Zeiten lesen wir die Meldung am nächsten Tag, und diese 48 Stunden beginnen dann ab dem Moment zu laufen, in dem wir davon wissen.

Artikel 9. Rechte betroffener Personen

9.1 Erhalten wir eine Anfrage einer betroffenen Person (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragung oder Widerspruch) zu Daten, die wir für den Kunden verarbeiten, so beantworten wir diese nicht selbst, sondern verweisen die betroffene Person an den Kunden und informieren den Kunden ohne unangemessene Verzögerung.

9.2 Wir unterstützen den Kunden im zumutbaren Rahmen bei der Beantwortung solcher Anfragen. Umfasst diese Unterstützung mehr als eine geringe Anzahl von Stunden, so dürfen wir nach Absprache angemessene Kosten in Rechnung stellen.

9.3 Wir unterstützen den Kunden im zumutbaren Rahmen auch bei der Sicherheit, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei der vorherigen Konsultation der Aufsichtsbehörde, soweit dies unsere Leistung betrifft und mit den Informationen, die uns vorliegen.

Artikel 10. Audit und Kontrolle

10.1 Wir stellen dem Kunden alle Informationen zur Verfügung, die erforderlich sind, um nachzuweisen, dass wir diesen Vertrag einhalten. Das tun wir normalerweise schriftlich, indem wir Fragen beantworten und vorhandene Dokumentation teilen.

10.2 Reicht dies nicht aus, so darf der Kunde einmal pro Jahr, oder häufiger bei einem konkreten Anlass wie einer Verletzung des Schutzes personenbezogener Daten, ein Audit durch einen unabhängigen Sachverständigen durchführen lassen, der zur Vertraulichkeit verpflichtet ist. Der Kunde teilt dies mindestens 4 Wochen im Voraus schriftlich mit. Das Audit stört unsere Leistung und andere Kunden nicht unangemessen und gewährt keinen Zugang zu Daten anderer Kunden oder zu sicherheitsrelevanten Informationen Dritter.

10.3 Die Kosten des Audits trägt der Kunde. Stellt das Audit einen wesentlichen Mangel auf unserer Seite fest, so beheben wir diesen so schnell wie möglich auf unsere Kosten. Soweit unsere Unterauftragsverarbeiter (wie Contabo und Cloudflare) selbst kontrolliert werden, können wir auf deren Zertifikate und Auditberichte verweisen.

Artikel 11. Rückgabe und Löschung

11.1 Nach Ende des Vertrags kann der Kunde seine Daten 30 Tage lang exportieren, etwa Dateien, Datenbanken und E-Mails (siehe auch Artikel 19 der Allgemeinen Geschäftsbedingungen). Wir helfen dabei auf Anfrage.

11.2 Nach diesen 30 Tagen löschen wir die personenbezogenen Daten des Kunden von unseren Systemen und veranlassen die Unterauftragsverarbeiter, dies ebenfalls zu tun, es sei denn, das Gesetz verlangt eine Aufbewahrung. Backups verschwinden nach ihrem eigenen Zyklus, spätestens innerhalb von 90 Tagen danach.

11.3 Auf Anfrage bestätigen wir schriftlich, dass die Daten gelöscht wurden.

11.4 Möchte der Kunde, dass wir früher löschen, so ist dies auf schriftliche Anfrage möglich, auf eigenes Risiko des Kunden, falls er die Daten noch benötigt.

Artikel 12. Haftung und Schlussbestimmungen

12.1 Für die Haftung unter diesem Vertrag gelten die Bestimmungen aus Artikel 20 der Allgemeinen Geschäftsbedingungen, einschließlich der Beschränkungen. Bußgelder, die eine Aufsichtsbehörde dem Kunden auferlegt, gehen zu Lasten des Kunden, soweit das Gesetz dies zulässt und es sei denn, sie sind die Folge von Vorsatz oder bewusster Leichtfertigkeit unsererseits.

12.2 Bei Widerspruch zwischen diesem Auftragsverarbeitungsvertrag und den Allgemeinen Geschäftsbedingungen geht dieser Auftragsverarbeitungsvertrag vor, soweit es um personenbezogene Daten geht.

12.3 Auf diesen Vertrag ist niederländisches Recht anwendbar. Streitigkeiten werden gemäß Artikel 25 der Allgemeinen Geschäftsbedingungen dem zuständigen Gericht vorgelegt.

12.4 Wir dürfen diesen Vertrag gemäß Artikel 23 der Allgemeinen Geschäftsbedingungen ändern, zum Beispiel aufgrund von Gesetzesänderungen oder eines neuen Unterauftragsverarbeiters.

Anlage: Daten und betroffene Personen