Stand: Juli 2026

Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)
Version standard-v1 — Standard

Stand: 1. Juli 2026

Präambel und Parteien

Dieser Vertrag konkretisiert die Datenschutzpflichten der Parteien im Rahmen der Auftragsverarbeitung. Er gilt für alle Tätigkeiten, bei denen orbisite (Norman Voellings) als Auftragsverarbeiter personenbezogene Daten im Auftrag des Kunden (Verantwortlicher) verarbeitet.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Erstellung und der Betrieb der Website des Verantwortlichen einschließlich der Terminbuchungs- und Kontaktfunktionen. Verarbeitet werden Stammdaten der Endkunden des Verantwortlichen (Name, Kontaktdaten), Buchungs- und Termindaten sowie technische Nutzungs- und Protokolldaten. Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen. Die Dauer entspricht der Laufzeit des Hauptvertrages.

§ 2 Weisungsgebundenheit

orbisite verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer, sofern nicht eine Rechtsvorschrift der Union oder der Mitgliedstaaten dies verlangt. In letzterem Fall teilt orbisite dies vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. orbisite informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO verstößt.

§ 3 Vertraulichkeit

orbisite verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO).

§ 4 Technische und organisatorische Maßnahmen (Art. 32 DSGVO) — Anlage 1

orbisite gewährleistet ein dem Risiko angemessenes Schutzniveau, insbesondere:

• Transportverschlüsselung TLS 1.2/1.3 durchgängig, HSTS aktiviert;
• Verschlüsselung im Ruhezustand (AES-256), Schlüsselverwaltung innerhalb der EU;
• rollenbasiertes Zugriffskonzept (RBAC), Mehr-Faktor-Authentisierung für Administratoren, keine geteilten Logins;
• revisionssichere Zugriffs- und Änderungsprotokolle;
• getestete, verschlüsselte Backups innerhalb der EU;
• dokumentiertes Lösch- und Aufbewahrungskonzept mit Nachweis;
• mandantengetrennte Datenhaltung (tenant-scoping) gegen mandantenübergreifende Zugriffe;
• regelmäßiges Review der Maßnahmen (mindestens jährlich) sowie Sicherheitstests.

§ 5 Inanspruchnahme weiterer Auftragsverarbeiter (Sub-Prozessoren)

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten Sub-Prozessoren. orbisite informiert den Verantwortlichen über beabsichtigte Änderungen vorab; der Verantwortliche kann innerhalb von 14 Tagen widersprechen. orbisite erlegt jedem Sub-Prozessor durch Vertrag dieselben Datenschutzpflichten auf (Art. 28 Abs. 4 DSGVO, back-to-back) und haftet für deren Einhaltung voll weiter. Eine Übermittlung in Drittländer erfolgt nur auf Grundlage geeigneter Garantien (SCC 2021/914 + Transfer-Impact-Assessment + Zusatzmaßnahmen); der Stack ist auf EU/EWR ausgerichtet.

§ 6 Unterstützung des Verantwortlichen

orbisite unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Betroffenenanträgen (Art. 12–23 DSGVO) sowie bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

§ 7 Meldung von Datenschutzverletzungen

orbisite meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden, damit dieser seine Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO erfüllen kann.

§ 8 Löschung und Rückgabe

Nach Abschluss der Verarbeitung löscht orbisite nach Wahl des Verantwortlichen alle personenbezogenen Daten oder gibt sie zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht.

§ 9 Nachweise und Kontrollen

orbisite stellt dem Verantwortlichen die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (Audits) in angemessenem Umfang.

Anlage 2 — Sub-Prozessoren (Stand 2026-07-01)

Die laufend gepflegte Fassung ist unter orbisite.de/subunternehmer abrufbar.