Auftragsverarbeitungsvertrag

01Gegenstand und Dauer

(1) Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien gemäß Art. 28 DSGVO im Zusammenhang mit der Verarbeitung personenbezogener Daten im Auftrag des Auftraggebers.

(2) Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der vertraglich vereinbarten Leistungen (Website-Hosting, Content-Management, SEO, Analytics, Newsletter und Buchungssystem).

(3) Die Dauer der Auftragsverarbeitung entspricht der Laufzeit des Hauptvertrages. Der AVV endet automatisch mit Beendigung des Hauptvertrages, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

02Umfang und Art der Verarbeitung

2.1 Art der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Erhebung personenbezogener Daten über Kontaktformulare und Buchungssysteme
• Speicherung in verschlüsselten Datenbanken (Supabase, Rechenzentrum Frankfurt)
• Nutzung zur Erfüllung der vertraglich vereinbarten Leistungen
• Versand von E-Mail-Benachrichtigungen und Newslettern
• Statistische Auswertung der Website-Nutzung (anonymisiert)
• Löschung nach Vertragsende oder auf Weisung des Auftraggebers

2.2 Zweck der Verarbeitung

• Website-Hosting und Content-Management
• Verarbeitung von Kontaktformular-Anfragen
• Website-Analytics und Nutzungsstatistiken (Matomo, cookieless, selbst gehostet)
• Newsletter-Versand (optional, nur bei Buchung)
• Terminbuchungssystem (optional, nur bei Buchung)
• KI-gestützte Texterstellung und -optimierung (optional)

2.3 Kategorien betroffener Personen

• Website-Besucher des Auftraggebers
• Personen, die Kontaktanfragen stellen
• Newsletter-Abonnenten (bei gebuchtem Newsletter-Modul)
• Buchungskunden (bei gebuchtem Buchungssystem)
• Mitarbeiter des Auftraggebers (bei Admin-Zugang)

2.4 Kategorien personenbezogener Daten

• Name (Vor- und Nachname)
• E-Mail-Adresse
• Telefonnummer (sofern angegeben)
• IP-Adresse (anonymisiert durch Matomo, 2 Bytes gekürzt)
• Nutzungsdaten (Seitenaufrufe, Verweildauer, Geräteinformationen)
• Freitextdaten aus Kontaktformularen und Nachrichten
• Terminbuchungsdaten (Datum, Uhrzeit, Anliegen)

03Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich:

1. Weisungsgebundenheit: Personenbezogene Daten ausschließlich im Rahmen der Weisungen des Auftraggebers zu verarbeiten (Art. 29 DSGVO), es sei denn, eine Verarbeitung ist nach Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Vertraulichkeit: Alle mit der Datenverarbeitung betrauten Personen zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO) oder sicherzustellen, dass sie einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
3. Technische und organisatorische Maßnahmen: Alle gemäß Art. 32 DSGVO erforderlichen Maßnahmen zu ergreifen (siehe § 7 dieses Vertrags).
4. Unterauftragsverarbeiter: Die Bedingungen gemäß § 5 dieses Vertrags für die Inanspruchnahme von Unterauftragsverarbeitern einzuhalten.
5. Unterstützung bei Betroffenenrechten: Den Auftraggeber durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anfragen betroffener Personen (Art. 15–22 DSGVO: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu unterstützen.
6. Meldepflichten: Den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 24 Stunden, über Verletzungen des Schutzes personenbezogener Daten zu informieren (Art. 33 Abs. 2 DSGVO). Die Meldung muss mindestens enthalten: Art der Verletzung, betroffene Datenkategorien, ungefähre Zahl betroffener Personen, wahrscheinliche Folgen, ergriffene Gegenmaßnahmen.
7. Löschung nach Vertragsende: Nach Abschluss der Auftragsverarbeitung alle personenbezogenen Daten zu löschen oder zurückzugeben (siehe § 9 dieses Vertrags).
8. Nachweispflicht: Dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung zu stellen und Überprüfungen zu ermöglichen (siehe § 8 dieses Vertrags).

04Pflichten des Auftraggebers

Der Auftraggeber ist verpflichtet:

1. Rechtmäßigkeit: Die Rechtmäßigkeit der Datenverarbeitung sicherzustellen und für die Wahrung der Rechte der betroffenen Personen verantwortlich zu sein (Art. 24 DSGVO).
2. Weisungen: Dem Auftragnehmer klare und eindeutige Weisungen zu erteilen. Änderungen sind schriftlich oder in Textform (z. B. E-Mail) mitzuteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
3. Datenschutzerklärung: Eine den gesetzlichen Anforderungen entsprechende Datenschutzerklärung auf seiner Website bereitzustellen, die insbesondere die Auftragsverarbeitung durch AnimaContent transparent darstellt.
4. Informationspflicht: Den Auftragnehmer unverzüglich zu informieren, wenn Fehler oder Unregelmäßigkeiten bei der Verarbeitung festgestellt werden.
5. Newsletter-Compliance: Bei Nutzung des Newsletter-Moduls die Einhaltung des Double-Opt-In-Verfahrens sicherzustellen und keine unzulässigen Inhalte zu versenden (siehe AGB § 7).

05Unterauftragsverarbeiter

(1) Der Auftragnehmer setzt derzeit folgende Unterauftragsverarbeiter ein. Die Zustimmung des Auftraggebers zu diesen Unterauftragsverarbeitern gilt mit Abschluss dieses Vertrags als erteilt (allgemeine schriftliche Genehmigung gemäß Art. 28 Abs. 2 DSGVO).

(2) Änderungen an der Liste der Unterauftragsverarbeiter werden dem Auftraggeber mindestens 30 Tage im Voraus schriftlich (per E-Mail ausreichend) mitgeteilt. Der Auftraggeber hat das Recht, innerhalb von 14 Tagen nach Mitteilung aus wichtigem datenschutzrechtlichem Grund Einspruch zu erheben. Erfolgt kein Einspruch innerhalb der Frist, gilt die Zustimmung als erteilt.

(3) Bei berechtigtem Einspruch wird der Auftragnehmer den neuen Unterauftragsverarbeiter nicht einsetzen. Ist eine Leistungserbringung ohne den Unterauftragsverarbeiter nicht möglich, steht beiden Parteien ein Sonderkündigungsrecht mit einer Frist von 30 Tagen zu.

06Drittlandtransfer

(1) Soweit Unterauftragsverarbeiter in Drittländern (außerhalb des EWR) ansässig sind, erfolgt die Übermittlung personenbezogener Daten auf folgender Grundlage:

(2) Der Auftragnehmer stellt sicher, dass für jeden Unterauftragsverarbeiter in einem Drittland ein angemessenes Datenschutzniveau gewährleistet ist, überwacht dies fortlaufend und informiert den Auftraggeber unverzüglich bei Änderungen (z. B. Widerruf einer DPF-Zertifizierung).

(3) Alle EU-/EWR-basierten Anbieter (AWS EMEA, Hostinger, Google Ireland, Make, n8n) verarbeiten Daten ausschließlich innerhalb der EU/des EWR. Ein Drittlandtransfer findet bei diesen nicht statt. Matomo wird auf eigener Infrastruktur in Frankfurt betrieben und ist kein Drittanbieter.

(4) Ergänzende Maßnahmen (Supplementary Measures) gemäß EDSA Empfehlungen 01/2020: Verschlüsselung in Transit (TLS 1.3) und at Rest (AES-256), Pseudonymisierung wo möglich, vertragliche Zusicherung der Anbieter zur Anfechtung unverhältnismäßiger Herausgabeverlangen.

07Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat folgende Maßnahmen gemäß Art. 32 DSGVO implementiert und verpflichtet sich, diese aufrechtzuerhalten, regelmäßig zu überprüfen und dem Stand der Technik anzupassen:

08Kontrollrechte des Auftraggebers

1. Der Auftraggeber hat das Recht, die Einhaltung der in diesem Vertrag getroffenen Vereinbarungen und der datenschutzrechtlichen Vorgaben beim Auftragnehmer zu überprüfen (Art. 28 Abs. 3 lit. h DSGVO). Der Auftragnehmer verpflichtet sich, dem Auftraggeber die zur Durchführung der Kontrolle erforderlichen Auskünfte zu erteilen und Zugang zu ermöglichen.
2. Inspektionen können nach vorheriger Ankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten durchgeführt werden, ohne den Geschäftsbetrieb übermäßig zu stören. Maximal eine Inspektion pro Kalenderjahr, außer bei begründetem Verdacht auf Verstöße.
3. Der Auftragnehmer kann die Kontrolle auch durch Vorlage geeigneter und aktueller Prüfberichte oder Zertifizierungen (z. B. SOC 2 Typ II, ISO 27001) der Unterauftragsverarbeiter nachweisen. Dies gilt als gleichwertig, sofern der Auftraggeber keine konkreten Anhaltspunkte für Verstöße vorbringt.
4. Die Kosten der Inspektion trägt der Auftraggeber, sofern keine Verstöße festgestellt werden. Bei festgestellten Verstößen trägt der Auftragnehmer die Kosten.

09Löschung und Rückgabe von Daten

1. Nach Beendigung des Hauptvertrags löscht der Auftragnehmer sämtliche im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
2. Auf Wunsch des Auftraggebers werden die Daten vor der Löschung in einem maschinenlesbaren Format (CSV, JSON oder SQL-Dump) zurückgegeben. Der Wunsch ist innerhalb von 14 Tagen nach Vertragsende mitzuteilen.
3. Backups werden spätestens 90 Tage nach Vertragsende vollständig gelöscht. Der Auftragnehmer bestätigt die vollständige Löschung schriftlich.
4. Daten, die aufgrund gesetzlicher Aufbewahrungspflichten (z. B. § 147 AO: 10 Jahre für Rechnungen; § 257 HGB: 6 Jahre für Geschäftsbriefe) nicht gelöscht werden können, werden gesperrt und nach Ablauf der Frist gelöscht.

10Weisungen

1. Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag und dieser AVV gelten als Grundweisung.
2. Weisungen sind in der Regel schriftlich oder per E-Mail zu erteilen. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
3. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 S. 3 DSGVO). Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung bis zur Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

11Datenschutzbeauftragter

Der Auftragnehmer hat derzeit keinen Datenschutzbeauftragten bestellt, da die Voraussetzungen nach § 38 BDSG (weniger als 20 Personen ständig mit automatisierter Verarbeitung beschäftigt) nicht erfüllt sind. Sollte sich dies ändern, wird der Auftraggeber unverzüglich informiert.

Ansprechpartner für Datenschutz:
Ervin Keljic
E-Mail: datenschutz@animacontent.de
Telefon: +49 173 8773662

12Meldepflicht bei Datenschutzverletzungen

1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Meldepflichten nach Art. 33 und Art. 34 DSGVO.
2. Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden per E-Mail an die vom Auftraggeber benannte Kontaktadresse.
3. Die Meldung muss mindestens enthalten:
   • Beschreibung der Art der Verletzung
   • Betroffene Datenkategorien und ungefähre Zahl betroffener Personen
   • Wahrscheinliche Folgen der Verletzung
   • Beschreibung der ergriffenen und vorgeschlagenen Gegenmaßnahmen
   • Name und Kontaktdaten des Ansprechpartners

13Datenschutz-Folgenabschätzung

Der Auftragnehmer unterstützt den Auftraggeber bei der Durchführung von Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und vorherigen Konsultationen (Art. 36 DSGVO), soweit dies für die im Auftrag verarbeiteten Daten relevant ist. Dies umfasst insbesondere die Bereitstellung von Informationen über die eingesetzten Verarbeitungssysteme und die implementierten Sicherheitsmaßnahmen.

14Haftung

1. Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Jede Partei haftet für den Schaden, der durch eine nicht dieser Verordnung entsprechende Verarbeitung verursacht wird.
2. Der Auftragnehmer haftet nicht für Schäden, die darauf zurückzuführen sind, dass der Auftraggeber seinen datenschutzrechtlichen Pflichten nicht nachgekommen ist (insbesondere fehlende Rechtsgrundlage, mangelhafte Information betroffener Personen, rechtswidrige Weisungen).
3. Die Haftung des Auftragnehmers ist — soweit gesetzlich zulässig — auf die Höhe des jährlichen Auftragsvolumens begrenzt. Dies gilt nicht bei Vorsatz und grober Fahrlässigkeit.

15Laufzeit und Kündigung

1. Dieser AVV tritt mit Abschluss des Hauptvertrags in Kraft und gilt für die Dauer des Hauptvertrags.
2. Das Recht zur außerordentlichen Kündigung bei schwerwiegenden Verstößen gegen datenschutzrechtliche Bestimmungen bleibt unberührt.
3. Nach Beendigung des AVV gelten die Regelungen zur Löschung und Rückgabe (§ 9) sowie die Vertraulichkeitspflichten fort.

16Schlussbestimmungen

1. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Mülheim an der Ruhr.
2. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck am nächsten kommt.
3. Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform (E-Mail ausreichend). Dies gilt auch für die Aufhebung des Schriftformerfordernisses.
4. Dieser AVV ist Bestandteil des Hauptvertrags zwischen dem Auftraggeber und dem Auftragnehmer und tritt mit dessen Abschluss in Kraft.
5. Im Falle von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV in Bezug auf den Datenschutz vor.
6. Anlagen: Folgende Dokumente sind Bestandteil dieses AVV:
   • Anlage 1: Allgemeine Geschäftsbedingungen (AGB)
   • Anlage 2: Kundenvertrag (Hauptvertrag)
   • Anlage 3: Datenschutzerklärung