Datenschutz
gemäß Art. 28 DSGVO
Stand: März 2026
Diese Auftragsverarbeitungsvereinbarung (nachfolgend „AVV") wird geschlossen zwischen:
Auftragsverarbeiter (Anbieter):
Ferry Emirer
Edisonstr. 4, 70734 Fellbach
E-Mail: office@ferryemirer.de
Verantwortlicher (Auftraggeber/Kunde):
Wird individuell im Dienstleistungsvertrag benannt.
Diese AVV ergänzt den zwischen den Parteien geschlossenen Dienstleistungsvertrag (nachfolgend „Hauptvertrag") und regelt die Rechte und Pflichten bei der Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen.
1.1 Gegenstand dieser AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der im Hauptvertrag beschriebenen Dienstleistungen (Webdesign, Webentwicklung, Hosting, Wartung).
1.2 Die Dauer der Verarbeitung richtet sich nach der Laufzeit des Hauptvertrags. Sie beginnt mit Vertragsschluss und endet mit Beendigung des Hauptvertrags, sofern sich aus dieser AVV keine darüber hinausgehenden Pflichten ergeben.
2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Verantwortlichen zum Zweck der:
3.1 Im Rahmen der Auftragsverarbeitung können folgende Kategorien personenbezogener Daten verarbeitet werden:
4.1 Betroffene Personen sind:
5.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet.
5.2 Der Auftragsverarbeiter gewährleistet, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
5.3 Der Auftragsverarbeiter trifft alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (TOM), insbesondere:
5.4 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) durch geeignete technische und organisatorische Maßnahmen.
5.5 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Meldepflichten, Datenschutz-Folgenabschätzung).
5.6 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Ansicht ist, dass eine Weisung gegen datenschutzrechtliche Bestimmungen verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
5.7 Der Auftragsverarbeiter setzt gelegentlich Subunternehmer (Freelancer) für die technische Umsetzung ein. Diese werden vor Zugriff auf personenbezogene Daten zur Vertraulichkeit verpflichtet und unterliegen denselben Datenschutzanforderungen wie der Auftragsverarbeiter selbst.
6.1 Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine schriftliche Genehmigung zur Einschaltung von Unterauftragsverarbeitern gemäß Art. 28 Abs. 2 DSGVO.
6.2 Der Auftragsverarbeiter setzt zum Zeitpunkt des Vertragsschlusses folgende Unterauftragsverarbeiter ein:
| Dienstleister | Zweck | Sitz / Land |
|---|---|---|
| Vercel Inc. | Hosting & Deployment | USA (SCCs / DPF) |
| Supabase Inc. | Datenbank, Authentifizierung, Backend | USA (SCCs / DPF) |
| Stripe Inc. | Zahlungsabwicklung | USA (SCCs / DPF) |
| Google LLC | Google Analytics, Google Fonts | USA (SCCs / DPF) |
| Meta Platforms Inc. | Meta Pixel (Tracking) | USA (SCCs / DPF) |
| Microsoft Corp. | Microsoft Clarity (Analytics) | USA (SCCs / DPF) |
| Cal.com Inc. | Terminbuchung | USA (SCCs / DPF) |
6.3 Darüber hinaus kann der Auftragsverarbeiter gelegentlich externe Freelancer/Subunternehmer für die technische Umsetzung einsetzen. Diese werden vor Zugriff auf personenbezogene Daten vertraglich zur Vertraulichkeit und Einhaltung der DSGVO verpflichtet.
6.4 Der Auftragsverarbeiter informiert den Verantwortlichen vorab über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Verantwortliche kann innerhalb von 14 Tagen Einspruch erheben.
6.5 Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragsverarbeiter denselben Datenschutzpflichten unterliegen wie in dieser AVV festgelegt.
7.1 Soweit personenbezogene Daten in Drittländer übermittelt werden (insbesondere USA), stellt der Auftragsverarbeiter sicher, dass geeignete Garantien gemäß Art. 44 ff. DSGVO vorliegen:
8.1 Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).
8.2 Die Meldung enthält mindestens:
8.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen.
9.1 Der Verantwortliche hat das Recht, die Einhaltung dieser AVV und der datenschutzrechtlichen Vorgaben zu überprüfen, einschließlich Inspektionen und Audits (Art. 28 Abs. 3 lit. h DSGVO).
9.2 Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung.
9.3 Inspektionen werden mit angemessener Vorankündigung (mindestens 14 Tage) und unter Berücksichtigung der Betriebsabläufe durchgeführt. Der Verantwortliche trägt die Kosten der Inspektion.
10.1 Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten personenbezogenen Daten, es sei denn, eine Aufbewahrungspflicht nach Unionsrecht oder nationalem Recht besteht.
10.2 Auf Verlangen des Verantwortlichen gibt der Auftragsverarbeiter die Daten vor der Löschung in einem gängigen, maschinenlesbaren Format zurück.
10.3 Die Löschung erfolgt innerhalb von 30 Tagen nach Vertragsende und wird dem Verantwortlichen auf Verlangen bestätigt.
11.1 Die Haftung der Parteien richtet sich nach den Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO.
11.2 Im Übrigen gelten die Haftungsregelungen des Hauptvertrags bzw. der AGB des Auftragsverarbeiters.
12.1 Diese AVV wird auf unbestimmte Zeit geschlossen und ist an die Laufzeit des Hauptvertrags gebunden.
12.2 Rechte und Pflichten aus dieser AVV, die über die Vertragslaufzeit hinausgehen (insbesondere Löschpflichten und Vertraulichkeit), bestehen fort.
12.3 Das Recht zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt, insbesondere bei schwerwiegenden Verstößen gegen Datenschutzbestimmungen.
13.1 Es gilt deutsches Recht. Gerichtsstand ist – soweit zulässig – Fellbach.
13.2 Änderungen und Ergänzungen dieser AVV bedürfen der Textform.
13.3 Sollten einzelne Bestimmungen dieser AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
13.4 Diese AVV kann auch durch digitale Signatur (elektronische Unterschrift mit Erfassung von Zeitstempel, IP-Adresse und User-Agent) rechtswirksam geschlossen werden. Die digitale Annahme des Hauptvertrags durch den Verantwortlichen gilt gleichzeitig als Annahme dieser AVV, sofern die AVV dem Verantwortlichen vor Vertragsschluss zur Kenntnis gebracht wurde.
13.5 Diese AVV wird automatisch Bestandteil jedes zwischen den Parteien geschlossenen Dienstleistungsvertrags. Der Verantwortliche bestätigt mit Unterzeichnung des Hauptvertrags, die AVV zur Kenntnis genommen und akzeptiert zu haben.
13.6 Diese AVV geht im Falle von Widersprüchen den AGB des Auftragsverarbeiters in datenschutzrechtlichen Angelegenheiten vor (vgl. § 1.4 AGB).
Ferry Emirer
Edisonstr. 4, 70734 Fellbach
E-Mail: office@ferryemirer.de
Bei Fragen zum Datenschutz oder zur Auftragsverarbeitung wenden Sie sich bitte an die oben genannte Kontaktadresse.
gemäß Art. 32 DSGVO – Stand: März 2026
Maßnahmen, die Unbefugte am Zutritt zu Datenverarbeitungsanlagen hindern:
Maßnahmen, die die Nutzung von Datenverarbeitungssystemen durch Unbefugte verhindern:
Maßnahmen, die gewährleisten, dass Zugriffsberechtigte nur auf die ihnen zugewiesenen Daten zugreifen:
Maßnahmen zum Schutz bei der Übertragung personenbezogener Daten:
Maßnahmen zur Nachvollziehbarkeit, wer Daten eingegeben, verändert oder entfernt hat:
Maßnahmen, die sicherstellen, dass Daten nur gemäß den Weisungen des Auftraggebers verarbeitet werden:
Maßnahmen zum Schutz personenbezogener Daten gegen zufällige Zerstörung oder Verlust:
Maßnahmen zur getrennten Verarbeitung von Daten verschiedener Auftraggeber:
Überprüfung: Diese technischen und organisatorischen Maßnahmen werden regelmäßig (mindestens jährlich) überprüft und bei Bedarf dem aktuellen Stand der Technik angepasst.