Auftragsverarbeitungsvertrag (AVV)

Stand: 20. Oktober 2026

Dieser Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO („AVV“) ist Bestandteil der AGB und gilt zwischen dem Kunden als Verantwortlichem und Marcel Sandro Truskaller (Agentur.jetzt), Dellach am Millstätter See 38, 9872 Millstatt, Österreich als Auftragsverarbeiter, soweit der Kunde Unternehmer ist und wir personenbezogene Daten in seinem Auftrag verarbeiten.

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der beauftragten Leistungen, insbesondere:

Hosting und Wartung von Websites und Webshops einschließlich Datensicherung
E-Mail-Postfächer (Speicherung und Zustellung von E-Mails)
Website-Änderungen auf Wunsch des Kunden, auch KI-gestützt, einschließlich Versionierung des Quellcodes
Google-Unternehmensprofile (zeitlich begrenzte Zwischenspeicherung von Rezensionen, KI-gestützte Antworten, Medienverwaltung, Berichte)
Virtuelle Rundgänge (Hosting und Einbindung)
Anbieterwechsel (Übernahme von Daten vom bisherigen Anbieter auf Grundlage der Vollmacht)

Die Dauer entspricht der Laufzeit des jeweiligen Auftrags. Inhalte aus den Google-Business-Profile-Schnittstellen werden unabhängig davon spätestens 30 Kalendertage nach dem letzten erfolgreichen Abruf gelöscht oder anonymisiert.

2. Datenarten und Kategorien betroffener Personen

Datenarten: Inhalte und Daten der Website bzw. des Webshops (z. B. Kontaktformular-Eingaben, Kundenkonten, Bestellungen), E-Mail-Inhalte und -Metadaten, Bilder und Videos, Anzeigename und Profilbild von Rezensentinnen und Rezensenten, Bewertungstexte, Antworttexte, Leistungsdaten.
Betroffene Personen: Besucher, Kunden und Interessenten des Kunden, Absender und Empfänger von E-Mails, Personen, die den Kunden auf Google bewertet haben, in Inhalten abgebildete Personen, Beschäftigte des Kunden.

3. Pflichten des Auftragsverarbeiters

Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden. Automatisierte Google-Schreibaktionen gelten nur als angewiesen, wenn ein berechtigter Benutzer sie zuvor für Profil, Aktion und Modus ausdrücklich aktiviert hat; Website-Änderungen werden nur auf Wunsch des Kunden und nach unserer Freigabe veröffentlicht.
Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen.
Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage, Ziffer 8).
Unterstützung des Kunden bei Betroffenenrechten (Art. 12–23 DSGVO) sowie bei Pflichten nach Art. 32–36 DSGVO, soweit erforderlich und möglich.
Unverzügliche Meldung von Verletzungen des Schutzes personenbezogener Daten an den Kunden.
Information des Kunden, falls eine Weisung nach unserer Auffassung gegen Datenschutzrecht verstößt.

4. Subunternehmer (weitere Auftragsverarbeiter)

Der Kunde genehmigt allgemein den Einsatz folgender Subunternehmer, jeweils nur soweit für die gebuchte Leistung erforderlich:

netcup GmbH, Deutschland — Hosting (EU-Rechenzentren)
Cloudflare, Inc., USA — Auslieferung und Schutz der Domains
GitHub, Inc., USA — Versionierung des Website-Quellcodes
OpenRouter Inc., USA — KI-Routing mit technisch erzwungenem Ausschluss datensammelnder Provider, sowie die im jeweils aktuellen OpenRouter-Unterauftragnehmerverzeichnis benannten Modellanbieter, soweit die konkrete Modellroute sie verwendet
OpenAI — direkte KI-API für beauftragte Website-Änderungen; Verarbeitung durch OpenAI und dessen eingesetzte Unterauftragsverarbeiter kann in den USA erfolgen
Matterport, Inc., USA — Hosting virtueller Rundgänge
Microsoft (Microsoft 365 / Exchange Online) — SMTP-Zustellung transaktionaler E-Mails

Über beabsichtigte Änderungen informieren wir im Kundenportal oder per E-Mail mit mindestens 30 Tagen Vorlauf; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei Übermittlungen in Drittländer müssen vor Beginn der Verarbeitung geeignete Garantien gemäß Art. 44 ff. DSGVO dokumentiert sein.

5. Eigenständig Verantwortliche

Google (Google Ireland Ltd. / Google LLC) handelt als eigenständiger Verantwortlicher der Google-Plattformen; der Zugriff erfolgt im Auftrag des Kunden über dessen Google-Konto. Domain-Registrare und Stripe verarbeiten Daten als (teilweise) eigenständige Verantwortliche und sind nicht Subunternehmer dieses AVV.

6. Kontroll- und Nachweisrechte

Wir stellen dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung. Audits sind nach Vorankündigung von mindestens 14 Tagen während der üblichen Geschäftszeiten möglich; an Stelle einer Vor-Ort-Prüfung können wir aussagekräftige Nachweise bereitstellen.

7. Löschung und Rückgabe

Nach Ende des jeweiligen Auftrags löschen wir die im Auftrag verarbeiteten Daten, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Vorher stellt der Kunde auf Wunsch einen vollständigen Export bereit (Website-Sicherung, Postfach-Export, Datenexport im Kundenportal) bzw. erhält die Domain-Übertragungscodes.

8. Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung: TLS für alle Verbindungen; Zugriffstokens und gespeicherte Zugangsdaten AES-256-GCM-verschlüsselt (mit Schlüsselversionierung).
Zugangskontrolle: httpOnly-Sitzungs-Cookies, kurzzeitige Anmeldelinks, Zwei-Faktor-Schutz für Mitarbeiterkonten, nur vom Administrator angelegte Mitarbeiterkonten.
Zugriffskontrolle: rollenbasierte Berechtigungen mit frei definierbaren Rollen; Mitarbeiter sehen nur die ihnen zugewiesenen Kunden; strikte Mandantentrennung.
Eingabekontrolle: Protokollierung sicherheitsrelevanter Änderungen, Freigaben, Rechteänderungen und Deployments.
Verfügbarkeitskontrolle: Datensicherung vor jedem Update und regelmäßige Sicherungen in der EU; Überwachung der Erreichbarkeit; automatisches Zurückrollen fehlgeschlagener Updates.
Trennungskontrolle: getrennte Umgebungen für Entwicklung und Produktion; eigene Plesk-Abonnements je Kundenwebsite.
Datenminimierung: KI-Anfragen enthalten nur die erforderlichen, soweit technisch möglich redigierten Inhalte; keine Weitergabe zu Werbezwecken; keine Tracking-Cookies.