Lifetime-Deal: einmal zahlen, dauerhaft hosten – nur 500 Plätze.Platz sichern →

Auftragsverarbeitungsvertrag (AVV)

Stand: 25. Oktober 2026

zwischen dem Kunden (Verantwortlicher, nachfolgend „Auftraggeber“)

und

Lars Eppendahl, handelnd unter CheapTopHost, Wasserstr. 496 (Bürocenter am Schlosspark), 44795 Bochum, Deutschland (Auftragsverarbeiter, nachfolgend „Auftragnehmer“)

1. Vertragsschluss und Gegenstand

  1. Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Er kommt mit Annahme der AGB zustande und gilt für alle Verträge zwischen den Parteien, in deren Rahmen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet. Eine gesonderte Unterzeichnung ist nicht erforderlich; auf Wunsch stellen wir eine gegengezeichnete Fassung bereit.
  2. Gegenstand ist die Bereitstellung von Hosting-Leistungen (Webhosting, Managed Cloud Server, E-Mail-Dienste, Speicherplatz und Datenbanken), bei der der Auftragnehmer Zugriff auf die vom Auftraggeber gespeicherten personenbezogenen Daten erhalten kann.
  3. Für die Daten des Auftraggebers selbst (Kundenkonto, Abrechnung) ist der Auftragnehmer eigener Verantwortlicher; insoweit gilt die Datenschutzerklärung.

2. Dauer

Die Laufzeit dieses AVV richtet sich nach der Laufzeit des jeweiligen Hauptvertrags. Er endet automatisch mit Beendigung des letzten Hauptvertrags, gilt jedoch fort, solange der Auftragnehmer noch personenbezogene Daten des Auftraggebers verarbeitet.

3. Art und Zweck der Verarbeitung

  1. Art der Verarbeitung: Speichern, Vorhalten, Übermitteln (Ausliefern an Website-Besucher und E-Mail-Empfänger), Sichern (Backups), Wiederherstellen und Löschen von Daten sowie technische Wartung und Fehlerbehebung.
  2. Zweck: Bereitstellung der vom Auftraggeber gebuchten Hosting-Leistungen und des Supports. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt.

4. Kategorien von Daten und betroffenen Personen

  1. Datenkategorien: alle Daten, die der Auftraggeber auf den Systemen speichert oder verarbeiten lässt, insbesondere Inhalte von Websites und Datenbanken, E-Mails und Postfachinhalte, Formulareingaben, Bestell- und Kundendaten von Onlineshops, Benutzerkonten, Protokolldaten (z. B. IP-Adressen in Zugriffs- und Fehlerprotokollen).
  2. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nur verarbeitet, wenn der Auftraggeber sie speichert; er ist dann für die Zulässigkeit und angemessene Schutzmaßnahmen verantwortlich.
  3. Betroffene Personen: Besucher und Nutzer der Websites des Auftraggebers, dessen Kunden, Interessenten, Beschäftigte, E-Mail-Kommunikationspartner und sonstige Personen, deren Daten der Auftraggeber verarbeitet.

5. Weisungen

  1. Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
  2. Die Weisungen ergeben sich aus dem Hauptvertrag, diesem AVV sowie den Einstellungen, die der Auftraggeber im Control Panel vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform.
  3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich.

6. Pflichten des Auftragnehmers

  1. Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.
  2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Abschnitt 7).
  3. Er unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Beantwortung von Anträgen betroffener Personen (Art. 12–22 DSGVO), insbesondere durch die im Control Panel bereitgestellten Werkzeuge zum Einsehen, Exportieren und Löschen von Daten.
  4. Er unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen.
  5. Er informiert den Auftraggeber unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die Daten des Auftraggebers betrifft, und stellt die für eine Meldung erforderlichen Informationen bereit.
  6. Für über die Bereitstellung der Werkzeuge hinausgehende Unterstützungsleistungen kann der Auftragnehmer eine angemessene Vergütung verlangen, sofern die Unterstützung nicht auf einem Verstoß des Auftragnehmers beruht.

7. Technische und organisatorische Maßnahmen (Zusammenfassung)

Der Auftragnehmer und sein Unterauftragsverarbeiter setzen insbesondere folgende Maßnahmen um:

  • Zutrittskontrolle: Betrieb der Server in professionellen Rechenzentren mit Zugangskontrollsystemen, Videoüberwachung und Sicherheitspersonal.
  • Zugangs- und Zugriffskontrolle: passwortgeschützte, personalisierte Zugänge; Berechtigungen nach dem Erforderlichkeitsprinzip; Trennung der Kundenkonten; verschlüsselte Verbindungen (SSH, SFTP, HTTPS/TLS) für administrative Zugriffe.
  • Weitergabekontrolle: Transportverschlüsselung (TLS) für Website- und E-Mail-Verbindungen; kostenlose SSL-Zertifikate für Kunden-Domains.
  • Eingabekontrolle: Protokollierung administrativer Zugriffe und Änderungen.
  • Verfügbarkeitskontrolle: redundante Infrastruktur, unterbrechungsfreie Stromversorgung, DDoS-Schutz, Malware-Scans, Firewall und Bot-Schutz; bei gebuchten Premium-Backups tägliche Sicherungen mit definierter Aufbewahrungsdauer.
  • Trennungskontrolle: logische Trennung der Daten verschiedener Kunden.
  • Überprüfung: regelmäßige Aktualisierung der Systeme (Sicherheitsupdates) und Überprüfung der Wirksamkeit der Maßnahmen.

Der Auftragnehmer darf die Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird. Eine ausführliche Beschreibung stellt er auf Anfrage zur Verfügung.

8. Unterauftragsverarbeiter

  1. Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern.
  2. Derzeit setzt der Auftragnehmer einen Infrastrukturpartner mit Sitz im Vereinigten Königreich ein, der die Server und Rechenzentren bereitstellt. Die Verarbeitung erfolgt je nach Wahl des Auftraggebers in Rechenzentren im Vereinigten Königreich, in den Vereinigten Staaten oder in Singapur. Eine aktuelle Liste der Unterauftragsverarbeiter mit Name und Anschrift ist auf Anfrage per E-Mail an support@cheaptophost.com erhältlich.
  3. Der Auftragnehmer informiert den Auftraggeber vorab in Textform über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung). Der Auftraggeber kann der Änderung innerhalb von 30 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber die betroffenen Leistungen außerordentlich kündigen.
  4. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den Pflichten dieses AVV entsprechen.
  5. Drittlandübermittlungen: Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss (Art. 45 DSGVO). Für Verarbeitungen in den Vereinigten Staaten und in Singapur, für die kein Angemessenheitsbeschluss besteht, sind Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO) vereinbart.

9. Rechte und Pflichten des Auftraggebers

  1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich.
  2. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

10. Kontrollen und Nachweise

  1. Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Der Nachweis kann insbesondere durch aktuelle Zertifikate, Prüfberichte oder Bestätigungen des Unterauftragsverarbeiters erbracht werden.
  2. Der Auftraggeber kann Überprüfungen einschließlich Inspektionen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Inspektionen sind mit angemessener Frist (in der Regel mindestens 30 Tage) anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Da der Auftragnehmer keine eigenen Rechenzentren betreibt, erfolgen Kontrollen der Rechenzentren grundsätzlich durch Vorlage der Nachweise des Unterauftragsverarbeiters.
  3. Der Auftragnehmer kann für Inspektionen vor Ort eine angemessene Vergütung verlangen, sofern kein Datenschutzverstoß des Auftragnehmers festgestellt wird.

11. Löschung und Rückgabe

  1. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern keine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien werden im Rahmen der regulären Backup-Rotation innerhalb von 60 Tagen überschrieben.
  2. Der Auftraggeber kann seine Daten bis zum Vertragsende jederzeit selbst über das Control Panel, FTP/SFTP oder SSH exportieren. Eine Rückgabe durch den Auftragnehmer in anderer Form erfolgt nach gesonderter Vereinbarung.

12. Haftung und Schlussbestimmungen

  1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.
  2. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor.
  3. Es gilt deutsches Recht. Ergänzend gelten die Schlussbestimmungen der AGB.