Vertrag zur Auftrags­verarbeitung

§ 1 Gegenstand und Dauer

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen des Hosting-Vertrags über eines der Pakete Web Basis, Web Praxis oder Web Pro (Hauptvertrag).
2. Dieser Vertrag beginnt mit dem Hauptvertrag und endet mit ihm, jedoch nicht, bevor der Auftragnehmer die Daten nach § 8 gelöscht oder zurückgegeben hat.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Art und Zweck: Speichern und Bereitstellen der Website des Auftraggebers, Betrieb seiner E-Mail-Postfächer, Datensicherung und Wiederherstellung, Pflege der Software, Erreichbarkeitsprüfung sowie Fehlerbehebung und Unterstützung im Rahmen des Hauptvertrags.
2. Art der Daten:
   1. Zugriffsdaten der Websitebesucher in Server-Logdateien (IP-Adresse, Zeitpunkt, abgerufene Seite, Browserkennung),
   2. Inhalte der Website und Eingaben in Formulare der Website, zum Beispiel Kontakt- oder Terminanfragen,
   3. E-Mails mit Anhängen sowie Adress- und Kommunikationsdaten in den Postfächern,
   4. Benutzerkonten der Website und des Kundencenters (Name, E-Mail-Adresse, Rolle),
   5. je nach Nutzung durch den Auftraggeber besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO, insbesondere Gesundheitsdaten in E-Mails oder Formularen einer Arztpraxis.
3. Betroffene Personen: Besucher der Website, Kommunikationspartner des Auftraggebers (zum Beispiel Patientinnen und Patienten, Kunden, Lieferanten) sowie Beschäftigte und Beauftragte des Auftraggebers.
4. Die Verarbeitung findet ausschließlich in Deutschland statt. Eine Verlagerung in ein anderes Land bedarf der vorherigen Zustimmung des Auftraggebers in Textform.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder Deutschlands dazu verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
2. Die Weisungen ergeben sich aus dem Hauptvertrag und diesem Vertrag. Einzelweisungen erteilt der Auftraggeber in Textform, auch über das Kundencenter.
3. Hält der Auftragnehmer eine Weisung für datenschutzwidrig, weist er den Auftraggeber unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 4 Pflichten des Auftragnehmers

1. Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
2. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO laut Anlage 1. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Auftraggeber mit.
3. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen nach Kapitel III DSGVO. Anfragen betroffener Personen, die bei ihm eingehen, leitet er unverzüglich an den Auftraggeber weiter.
4. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.
5. Verletzungen des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
6. Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
7. Ansprechpartner für den Datenschutz ist der Geschäftsführer Oliver Bernhardt, kontakt@scriptale.de. Ein Datenschutzbeauftragter ist nicht benannt, da die gesetzlichen Voraussetzungen dafür nicht vorliegen.
8. Der Auftragnehmer nimmt von Inhalten wie E-Mails oder Formulareingaben nur Kenntnis, soweit dies zur Erfüllung des Auftrags erforderlich ist, etwa zur Fehlerbehebung oder zur Wiederherstellung auf Weisung. Kopien erstellt er nur als Datensicherung nach dem Hauptvertrag.

§ 5 Verschwiegenheit für Berufsgeheimnisträger (§ 203 StGB)

1. Dieser Paragraf gilt, wenn der Auftraggeber zu den in § 203 Abs. 1 oder 2 StGB genannten Personen gehört, insbesondere Ärztinnen und Ärzte, Zahnärzte, Psychotherapeuten und Apotheker sowie Rechtsanwälte, Steuerberater und Wirtschaftsprüfer.
2. Der Auftragnehmer wirkt als sonstige mitwirkende Person im Sinne von § 203 Abs. 3 Satz 2 StGB an der beruflichen Tätigkeit des Auftraggebers mit. Er verpflichtet sich, fremde Geheimnisse, die ihm bei der Ausübung oder bei Gelegenheit seiner Tätigkeit bekannt werden, geheim zu halten und von ihnen nur insoweit Kenntnis zu nehmen, als dies zur Erfüllung des Auftrags erforderlich ist.
3. Der Auftragnehmer ist darüber belehrt, dass er sich nach § 203 Abs. 4 Satz 1 StGB strafbar macht, wenn er ein solches Geheimnis unbefugt offenbart. Diese Pflicht besteht auch nach Vertragsende fort.
4. Der Auftragnehmer zieht weitere mitwirkende Personen, also Beschäftigte und Unterauftragsverarbeiter, nur heran, soweit dies erforderlich ist, und verpflichtet sie vorher in Textform zur Geheimhaltung unter Belehrung über die strafrechtlichen Folgen einer Pflichtverletzung (§ 203 Abs. 4 Satz 2 Nr. 2 StGB).
5. Der Auftraggeber kann jederzeit einen Nachweis über diese Verpflichtungen verlangen.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann innerhalb von zwei Wochen nach Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und haftet dem Auftraggeber für deren Einhaltung.

§ 7 Kontrollrechte

1. Der Auftraggeber kann sich von der Einhaltung dieses Vertrags überzeugen, vorrangig durch Auskünfte, Unterlagen und Nachweise des Auftragnehmers, etwa Zertifikate des Rechenzentrumsbetreibers.
2. Kontrollen vor Ort sind nach rechtzeitiger Anmeldung während der üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden. Für das Rechenzentrum gelten die Zutrittsregeln des Betreibers.

§ 8 Löschung und Rückgabe

1. Nach Ende des Hauptvertrags gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers als Export zurück oder löscht sie, sofern keine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
2. Ohne andere Weisung löscht der Auftragnehmer die Daten 30 Tage nach Vertragsende. Kopien in den Datensicherungen werden mit Ablauf der Aufbewahrungsfrist des Pakets überschrieben, spätestens nach 90 Tagen.
3. Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 9 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gilt im Übrigen die Haftungsregelung des Hauptvertrags.

§ 10 Schlussbestimmungen

1. Bei Widersprüchen gehen die Regelungen dieses Vertrags denen des Hauptvertrags vor, soweit es um den Schutz personenbezogener Daten geht.
2. Dieser Vertrag wird mit der Bestellung elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO). Änderungen bedürfen der Textform.
3. Ist eine Bestimmung unwirksam, bleiben die übrigen Bestimmungen wirksam.
4. Es gilt deutsches Recht. Für den Gerichtsstand gilt die Regelung des Hauptvertrags.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Der Server steht in einem Rechenzentrum der IONOS SE in Deutschland; den Zutritt regelt der Betreiber. Das Sicherungssystem steht in Räumen von Scriptale in Deutschland; Zutritt haben nur befugte Personen.
• Zugang: Anmeldung am Server per SSH und SFTP ausschließlich mit Schlüssel, Anmeldung mit Kennwort ist abgeschaltet. Adressen mit wiederholten Fehlanmeldungen (SSH, E-Mail, Plesk) werden automatisch gesperrt. Das Kundencenter nutzt Passkeys statt Kennwörter; Sitzungen laufen nach 30 Minuten ab, Anmeldeversuche sind begrenzt.
• Zugriff: Verwaltungszugänge zu Server und Plesk haben nur Administratoren von Scriptale. Im Kundencenter gelten Rollen (Inhaber, Mitarbeiter, Webmaster) mit Rechten nach dem Erforderlichkeitsprinzip; Webmaster-Zugänge sind befristbar und jederzeit sperrbar und haben keinen Zugriff auf Postfächer und Benutzerverwaltung.
• Trennung: Jedes Paket ist ein eigenes Plesk-Abonnement mit eigenem Systembenutzer, eigenem Verzeichnis und eigenen Datenbanken. PHP läuft je Website in eigenen Prozessen unter deren Systembenutzer; der Dateizugriff von Webmastern ist auf das eigene Abonnement beschränkt.

Integrität

• Weitergabe: Websites nur über HTTPS mit Let’s-Encrypt-Zertifikaten; Abruf und Versand der Postfächer über verschlüsselte Verbindungen; Dateiübertragung nur per SFTP, FTP ist von außen gesperrt.
• Eingabe: Verwaltungsaktionen werden in Plesk und im Kundencenter protokolliert (wer hat wann was geändert); Anmeldungen am Server werden in Logdateien festgehalten.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung von Website-Dateien, Datenbanken und Postfächern mit Kopie außer Haus auf ein Speichersystem von Scriptale mit täglichen Versionen; Aufbewahrung laut Paket.
• Sicherungen werden auf Vollständigkeit geprüft.
• Automatische Sicherheitsupdates des Betriebssystems; Updates von Plesk und WordPress laut Leistungsbeschreibung.
• Automatische Erreichbarkeitsprüfung der Websites mit Benachrichtigung.

Überprüfung und Organisation

• Überprüfung dieser Maßnahmen mindestens einmal jährlich und nach wesentlichen Änderungen.
• Vertrag zur Auftragsverarbeitung mit dem Rechenzentrumsbetreiber.
• Alle Personen mit Zugriff sind zur Vertraulichkeit und nach § 203 StGB verpflichtet.
• Im Kundencenter werden keine Inhalte von Websites oder Postfächern gespeichert, nur Konten, Rollen und Protokolle.

Anlage 2: Unterauftragsverarbeiter

Stand: 30. Oktober 2026