(nachfolgend „Auftragsverarbeiter")
Der Kunde, der einen kostenpflichtigen Tarif (Pro, Business oder Agentur) bei Formtresor abgeschlossen hat und dabei seine Kontaktdaten angegeben hat.
(nachfolgend „Verantwortlicher")
Der Auftragsverarbeiter erbringt für den Verantwortlichen die im Rahmen des gewählten Tarifs vereinbarten Leistungen gemäß den AGB. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.
Besucher der Websites des Verantwortlichen, die Formulare ausfüllen (z.B. Interessenten, Kunden, Bewerber).
Alle vom Verantwortlichen in seinen Formularen erhobenen Daten – typischerweise Name, E-Mail-Adresse, Nachricht, ggf. Telefonnummer. Der Auftragsverarbeiter hat keinen Einfluss auf die vom Verantwortlichen erhobenen Datenkategorien.
Dieser AVV gilt für die Dauer des Vertragsverhältnisses. Er endet automatisch mit Kündigung des Tarifs.
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die initiale Weisung ergibt sich aus diesem Vertrag und den AGB.
Weisungen werden vom Verantwortlichen schriftlich erteilt (E-Mail genügt). Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen datenschutzrechtliche Vorschriften verstößt.
Ist der Auftragsverarbeiter nach EU- oder nationalem Recht zur Verarbeitung verpflichtet, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, soweit nicht gesetzlich verboten.
Der Auftragsverarbeiter verpflichtet sich:
Der Verantwortliche ist verpflichtet:
Der Auftragsverarbeiter setzt folgende Subunternehmer ein:
IONOS SE – Hosting und Serverinfrastruktur
Elgendorfer Str. 57, 56410 Montabaur, Deutschland
Zweck: Betrieb der Server und Datenspeicherung in Deutschland
Der Verantwortliche erteilt hiermit seine allgemeine Genehmigung zur Hinzuziehung weiterer Subunternehmer. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen mindestens 14 Tage im Voraus per E-Mail, sodass der Verantwortliche Einwände erheben kann.
Subunternehmer werden durch vertragliche Regelungen gleichwertig zu diesem AVV verpflichtet.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter (z.B. mit einer Auskunftsanfrage), leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) soweit technisch möglich über das Dashboard oder auf Anfrage per E-Mail.
Der Auftragsverarbeiter hat folgende Maßnahmen gemäß Art. 32 DSGVO umgesetzt:
| Maßnahme | Umsetzung |
|---|---|
| Transportverschlüsselung | ✓ TLS 1.3 auf allen Verbindungen (HTTPS) |
| Passwortsicherheit | ✓ bcrypt (Kostenfaktor 12) – nie im Klartext |
| IP-Anonymisierung | ✓ SHA-256-Hash – keine Klartext-IP-Speicherung |
| Authentifizierung | ✓ JWT-Token mit 7 Tagen Gültigkeit |
| Zugriffskontrolle | ✓ Jeder Nutzer sieht ausschließlich eigene Daten |
| Rate-Limiting | ✓ Max. 30 Anfragen/Minute pro IP (Fail2Ban) |
| Firewall | ✓ UFW Firewall, nur Ports 80/443/22 offen |
| Serverstandort | ✓ Ausschließlich Deutschland (IONOS) |
| Automatische Löschung | ✓ Nach Tarif-Speicherfrist (7–365 Tage) |
| Datensparsamkeit | ✓ Nur vom Betreiber definierte Felder gespeichert |
| Backups | ✓ Tägliche georedundante Backups in Deutschland |
| Incident Response | ✓ Meldung bei Datenpanne innerhalb 72 Stunden |
Nach Kündigung des Vertrags werden alle personenbezogenen Daten des Verantwortlichen innerhalb von 30 Tagen unwiderruflich gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.
Auf Anfrage stellt der Auftragsverarbeiter dem Verantwortlichen vor der Löschung einen CSV-Export aller Formulardaten zur Verfügung.
Der Verantwortliche kann jederzeit über das Dashboard einen Export seiner Daten abrufen.
Verstößt der Auftragsverarbeiter gegen diesen AVV oder handelt er entgegen den Weisungen des Verantwortlichen, haftet er für den daraus entstandenen Schaden gemäß Art. 82 DSGVO.
Der Auftragsverarbeiter ist von der Haftung befreit, soweit er nachweist, dass er für den Umstand, durch den der Schaden eingetreten ist, nicht verantwortlich ist.
Im Übrigen gilt die Haftungsbeschränkung gemäß § 8 der AGB.
Es gilt deutsches Recht. Gerichtsstand ist der Sitz des Auftragsverarbeiters, soweit gesetzlich zulässig.
Änderungen dieses AVV bedürfen der Textform. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor Inkrafttreten über Änderungen.
Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
Dieser AVV ersetzt alle vorherigen Vereinbarungen zur Auftragsverarbeitung zwischen den Parteien.