Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO für die Leistungen von Xcubitor. Stand: Oktober 2026.

Inhalt

1. Vertragsparteien und Abschluss
2. Gegenstand und Dauer
3. Weisungen
4. Pflichten des Auftragnehmers
5. Pflichten des Auftraggebers
6. Weitere Auftragsverarbeiter
7. Nachweise und Kontrollen
8. Löschung und Rückgabe
9. Haftung und Schlussbestimmungen

• Anlage 1: Leistungen, Datenarten und Betroffene
• Anlage 2: Weitere Auftragsverarbeiter
• Anlage 3: Technische und organisatorische Maßnahmen

1. Vertragsparteien und Abschluss

Dieser Auftragsverarbeitungsvertrag (AVV) wird geschlossen zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und Daniel Marina Alcántara, Einzelunternehmen, tätig unter der Bezeichnung Xcubitor, Am Tabor 36, 1020 Wien (nachfolgend „Auftragnehmer“).

Er gilt für alle Verträge über Leistungen von Xcubitor, bei denen der Auftragnehmer personenbezogene Daten im Auftrag des Auftraggebers verarbeitet (nachfolgend „Hauptvertrag“). Er wird Bestandteil des Hauptvertrags, sobald der Auftraggeber ein Angebot annimmt, das auf diesen AVV verweist, oder ihn gesondert bestätigt. Die Annahme per E-Mail genügt (Art. 28 Abs. 9 DSGVO). Auf Wunsch stellt der Auftragnehmer eine unterzeichnete Fassung bereit.

2. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der im Hauptvertrag vereinbarten Leistungen. Art, Zweck, Datenarten und Betroffene ergeben sich aus Anlage 1. Der AVV gilt für die Dauer des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf die Übermittlung in Drittländer, es sei denn, er ist nach Unionsrecht oder österreichischem Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Der Hauptvertrag und dieser AVV sind die Weisungen des Auftraggebers. Weitere Weisungen erteilt der Auftraggeber schriftlich oder per E-Mail. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten des Auftragnehmers

• Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht (§ 6 DSG).
• Sicherheit: Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind. Er darf sie an den Stand der Technik anpassen, sofern das Schutzniveau nicht sinkt.
• Betroffenenrechte: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
• Datenschutzverletzungen: Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den ihm vorliegenden Informationen nach Art. 33 Abs. 3 DSGVO. Er unterstützt den Auftraggeber bei der Meldung an die Datenschutzbehörde und der Benachrichtigung Betroffener.
• Weitere Unterstützung: Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der ihm vorliegenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO.
• Verzeichnis: Der Auftragnehmer führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
• Zweckbindung: Der Auftragnehmer verwendet die Daten für keine anderen Zwecke, insbesondere nicht zum Training von KI-Modellen, und fertigt Kopien nur an, soweit sie für die Leistung erforderlich sind (z. B. Sicherungen).

Unterstützungsleistungen, die über die vereinbarten Leistungen hinausgehen und nicht durch einen Fehler des Auftragnehmers veranlasst sind, kann der Auftragnehmer nach Aufwand verrechnen.

5. Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung, die Information der Betroffenen und die Wahrung ihrer Rechte verantwortlich. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt, und teilt ihm vorab mit, wenn er besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) verarbeitet, etwa Gesundheitsdaten in Formularen.

6. Weitere Auftragsverarbeiter

Der Auftraggeber erteilt die allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten sind in Anlage 2 aufgeführt und gelten als genehmigt.

Über eine beabsichtigte Änderung informiert der Auftragnehmer den Auftraggeber mindestens vier Wochen vorher per E-Mail. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann jede Partei die betroffene Leistung zum Zeitpunkt der Änderung kündigen.

Der Auftragnehmer verpflichtet weitere Auftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem AVV und haftet für deren Einhaltung nach Art. 28 Abs. 4 DSGVO. Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

7. Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses AVV zur Verfügung. Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf Kontrollen nach Anmeldung mit einer Frist von mindestens 14 Tagen während der üblichen Geschäftszeiten durchführen, in der Regel höchstens einmal pro Jahr, nach einer Datenschutzverletzung auch anlassbezogen. Für Rechenzentren genügen Nachweise des jeweiligen Betreibers, etwa Zertifikate oder Prüfberichte. Den Aufwand für Kontrollen vor Ort trägt der Auftraggeber.

8. Löschung und Rückgabe

Nach Ende der Leistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück, sofern keine gesetzliche Pflicht zur Speicherung besteht. Ohne andere Weisung gilt: Bis zum Vertragsende kann der Auftraggeber seine Daten sichern oder eine vollständige Sicherung anfordern; 30 Tage nach Vertragsende werden die Daten gelöscht. Sicherungen werden im Rahmen der regulären Rotation überschrieben und anschließend nicht wiederhergestellt. Auf Anfrage bestätigt der Auftragnehmer die Löschung.

9. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB von Xcubitor. Bei Widersprüchen zwischen Hauptvertrag und diesem AVV hat dieser AVV in Datenschutzfragen Vorrang. Es gilt österreichisches Recht; Gerichtsstand ist das für 1020 Wien sachlich zuständige Gericht. Änderungen bedürfen der Schriftform; E-Mail genügt. Sollte eine Bestimmung unwirksam sein, bleibt der übrige AVV wirksam.

Anlage 1: Leistungen, Datenarten und Betroffene

Art und Zweck der Verarbeitung

• Webhosting: Speicherung und Bereitstellung von Website, Datenbanken und E-Mail-Postfächern, automatische Sicherungen, Server- und Zugriffsprotokolle, Schutz durch Firewall und Malware-Scans.
• WordPress-Wartung: Updates, Sicherungen, Sicherheits-Scans, Spam-Prüfung und Fehlerbehebung mit Zugriff auf Dateien und Datenbank der Website.
• Website-Umzug: Kopieren von Website, Datenbank und Postfächern vom bisherigen Anbieter, Test und Umstellung.
• Notfallhilfe: Analyse von Dateien, Datenbank und Protokollen, Bereinigung, Wiederherstellung und Dokumentation des Vorfalls.
• Überwachung (Pilotphase): Auswertung von Anmelde-, Zugriffs- und Kontoereignissen der vereinbarten Systeme (z. B. Hosting, WordPress, Microsoft 365, Google Workspace) zur Erkennung von Angriffen und Warnung des Auftraggebers.

Datenarten

Je nach Leistung und Website: Kontakt- und Stammdaten, Inhalte von Formularen und E-Mails, Benutzerkonten (z. B. Namen, E-Mail-Adressen, verschlüsselte Passwörter), Bestell-, Vertrags- und Zahlungsinformationen von Onlineshops, Nutzungs- und Protokolldaten (z. B. IP-Adressen, Zeitpunkte, Browserangaben) sowie Anmeldeereignisse. Besondere Kategorien nach Art. 9 DSGVO werden nur verarbeitet, wenn der Auftraggeber sie auf seiner Website erhebt.

Betroffene

Besucherinnen und Besucher der Website, Kunden, Interessenten und Nutzer des Auftraggebers, seine Beschäftigten sowie Personen, mit denen er per E-Mail kommuniziert.

Anlage 2: Weitere Auftragsverarbeiter

• Verpex Limited, Evolution House, Iceni Court, Delft Way, Norwich, NR6 6BB, Vereinigtes Königreich. Leistung: Bereitstellung der Server, des Rechenzentrums und der Server-Software für das Hosting. Ort der Verarbeitung: Rechenzentrum in Frankfurt am Main, Deutschland. Grundlage für den Zugriff aus dem Vereinigten Königreich: Angemessenheitsbeschluss der EU-Kommission (Art. 45 DSGVO).

Werden für Leistungen der Pilotphase weitere Auftragsverarbeiter benötigt, informiert der Auftragnehmer den Auftraggeber vor deren Einsatz gemäß Punkt 6.

Anlage 3: Technische und organisatorische Maßnahmen

• Rechenzentrum: Server in einem Rechenzentrum in Frankfurt am Main mit Zutrittskontrolle, Brandschutz und unterbrechungsfreier Stromversorgung durch den Betreiber.
• Trennung: Jedes Hosting-Konto läuft isoliert mit eigenen Ressourcen und Zugriffsrechten; Daten verschiedener Kunden sind voneinander getrennt.
• Zugangs- und Zugriffskontrolle: Zugriff auf Server-Verwaltung und Kundensysteme nur durch den Auftragnehmer, mit starken, individuellen Passwörtern und, wo verfügbar, Zwei-Faktor-Authentifizierung. Zugangsdaten werden in einem verschlüsselten Passwortmanager gespeichert und nach Vertragsende gelöscht oder übergeben.
• Arbeitsgeräte: Verschlüsselte Datenträger, aktuelle Updates, Virenschutz und Bildschirmsperre.
• Übertragung: Verschlüsselte Verbindungen (TLS/HTTPS, SFTP, SSH) für Websites, Verwaltung und Datenübertragungen.
• Schutz der Server: Firewall, Malware-Scans und Schutz vor Brute-Force-Angriffen (Imunify360), regelmäßige Updates der Server-Software durch den Betreiber.
• Verfügbarkeit und Wiederherstellung: Automatische Sicherungen; Wiederherstellung einzelner Websites; Sicherungen vor jedem Update im Rahmen der Wartung.
• Protokollierung: Server- und Zugriffsprotokolle werden zur Fehlersuche und Angriffserkennung gespeichert und nach kurzer Zeit automatisch gelöscht.
• Organisation: Verpflichtung auf Vertraulichkeit, Verfahren zur Meldung von Datenschutzverletzungen, Überprüfung der Maßnahmen bei wesentlichen Änderungen, mindestens jährlich.

Xcubitor
Daniel Marina Alcántara (Einzelunternehmen)
Am Tabor 36, 1020 Wien
E-Mail: daniel.marina@promeseo.com
Weitere Angaben: Impressum · AGB · Datenschutz