Hillcode

Hillcode

Vertrag zur Auftragsverarbeitung (AV-Vertrag)

Fassung vom 9. Oktober 2026

Vertrag nach Art. 28 Abs. 3 DSGVO zwischen dem Kunden als Verantwortlichem (nachfolgend „Kunde“) und der Sonnenberg & Schimpf Softwareentwicklung GbR, Petersweg 12, 88214 Ravensburg, vertreten durch David Schimpf und Daniel Sonnenberg, als Auftragsverarbeiter (nachfolgend „Hillcode“).

Er ergänzt den Vertrag über das Website-Paket (nachfolgend „Hauptvertrag“) und die AGB für Website-Pakete.

§ 1 Gegenstand und Dauer

  1. Hillcode verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für die Leistungen aus dem Hauptvertrag nötig ist. Art, Zweck, Datenarten und Betroffene ergeben sich aus § 2.
  2. Dieser Vertrag gilt für die Dauer des Hauptvertrags. Er gilt darüber hinaus, solange Hillcode noch personenbezogene Daten im Auftrag des Kunden verarbeitet, etwa für weiterlaufende Plattform-Module oder bis zur Löschung nach § 11.
  3. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag und den AGB vor.

§ 2 Art und Zweck, Datenarten, Betroffene

  1. Art und Zweck der Verarbeitung: Hosting und Betrieb der Website des Kunden; Entgegennahme von Kontaktformular-Anfragen und deren Weiterleitung per E-Mail an den Kunden; Online-Terminbuchung einschließlich Bestätigungs- und Erinnerungsmails; Betrieb des Cookie-Consent- und des Bewertungs-Widgets; technische Server-Logs zur Auslieferung und Absicherung der Website; Datensicherung, Wartung und Fehlerbehebung. Bausteine, die der Kunde nicht gebucht hat, sind nicht umfasst.
  2. Datenarten: Namen, E-Mail-Adressen, Telefonnummern, Inhalte von Nachrichten und Anfragen, Terminwünsche und gebuchte Termine, Bewertungstexte mit Namensangabe, Einwilligungsentscheidungen im Cookie-Banner sowie in Server-Logs IP-Adressen, Zeitpunkt des Abrufs, aufgerufene Seiten und Angaben zum Browser.
  3. Betroffene: Besucher der Website, Interessenten und Kunden des Kunden, die Anfragen senden, Termine buchen oder Bewertungen abgeben, sowie Beschäftigte des Kunden (z. B. als Ansprechpartner auf der Website oder als Empfänger von Anfragen).
  4. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsangaben, sind nicht vorgesehen. Möchte der Kunde solche Daten über die Website erheben, stimmt er das vorher mit Hillcode ab.
  5. Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in ein Drittland erfolgt nur nach § 7.

§ 3 Weisungen

  1. Hillcode verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in ein Drittland, es sei denn, Hillcode ist gesetzlich zur Verarbeitung verpflichtet. In diesem Fall teilt Hillcode dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, soweit das Gesetz dies nicht verbietet.
  2. Die Weisungen ergeben sich aus dem Hauptvertrag und diesem Vertrag. Einzelweisungen erteilt der Kunde in Textform (E-Mail genügt).
  3. Hillcode informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzvorschriften verstößt. Hillcode darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.
  4. Weisungen, die über die vereinbarten Leistungen hinausgehen, behandeln die Parteien als Änderungswunsch; der Mehraufwand wird nach dem Stundensatz des Hauptvertrags berechnet.

§ 4 Vertraulichkeit

  1. Hillcode setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten haben nur die Inhaber von Hillcode sowie von ihnen ausdrücklich beauftragte Personen, soweit es für ihre Aufgabe nötig ist.
  2. Hillcode nutzt die Daten ausschließlich zur Erfüllung des Hauptvertrags, nicht für eigene Zwecke wie Auswertungen oder Werbung.

§ 5 Technische und organisatorische Maßnahmen

  1. Hillcode trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
  2. Hillcode darf die Maßnahmen an den technischen Fortschritt anpassen. Das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert Hillcode und teilt sie dem Kunden auf Anfrage mit.

§ 6 Unterauftragsverarbeiter

  1. Der Kunde erteilt Hillcode die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die in Anlage 2 genannten Unterauftragsverarbeiter gelten mit Abschluss dieses Vertrags als genehmigt.
  2. Hillcode informiert den Kunden mindestens 30 Tage im Voraus in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Finden die Parteien keine Lösung, können beide den betroffenen Teil des Hauptvertrags zum Zeitpunkt des Wechsels kündigen.
  3. Hillcode verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die diesem Vertrag entsprechen (Art. 28 Abs. 4 DSGVO), und haftet gegenüber dem Kunden für deren Einhaltung.
  4. Keine Unterauftragsverarbeitung sind Nebenleistungen Dritter, bei denen Hillcode keine personenbezogenen Daten im Auftrag des Kunden weitergibt, z. B. Telekommunikation oder die Registrierung der Domain auf den Namen des Kunden.

§ 7 Übermittlung in Drittländer

  1. Eine Verarbeitung außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, insbesondere bei einem Angemessenheitsbeschluss der EU-Kommission oder auf Grundlage von Standardvertragsklauseln. Betroffene Unterauftragsverarbeiter sind in Anlage 2 mit der jeweiligen Grundlage genannt.

§ 8 Unterstützung des Kunden

  1. Hillcode unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen von Betroffenen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Wendet sich eine betroffene Person direkt an Hillcode, leitet Hillcode die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, sofern der Kunde nichts anderes anweist.
  2. Hillcode unterstützt den Kunden unter Berücksichtigung der verfügbaren Informationen bei seinen Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
  3. Unterstützung, die über übliche Auskünfte hinausgeht und nicht auf einem Verstoß von Hillcode beruht, kann Hillcode nach Aufwand zum Stundensatz des Hauptvertrags berechnen.

§ 9 Meldung von Datenschutzverletzungen

  1. Hillcode meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie Hillcode bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht Hillcode nach, sobald sie vorliegen.
  2. Hillcode ergreift unverzüglich die nötigen Maßnahmen, um die Verletzung einzudämmen und mögliche nachteilige Folgen zu mindern, und dokumentiert den Vorfall.

§ 10 Nachweise und Kontrollen

  1. Hillcode stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, etwa diesen Vertrag mit Anlagen und Nachweise der Unterauftragsverarbeiter (z. B. Zertifikate).
  2. Der Kunde darf die Einhaltung selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer überprüfen, auch durch Inspektionen. Inspektionen meldet er mit angemessener Frist, in der Regel 14 Tage, an; sie finden während der Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Für Rechenzentren von Unterauftragsverarbeitern genügen in der Regel deren Zertifikate und Prüfberichte.
  3. Mehr als eine Inspektion je Kalenderjahr kann Hillcode nach Aufwand berechnen, sofern kein konkreter Anlass besteht.

§ 11 Löschung und Rückgabe nach Vertragsende

  1. Nach Ende des Hauptvertrags kann der Kunde innerhalb von 14 Tagen in Textform die Herausgabe seiner Inhalte und der im Auftrag verarbeiteten Daten (z. B. Formulareingänge, Terminbuchungen, Bewertungen) in einem gängigen Format verlangen.
  2. Nach Ablauf dieser Frist löscht Hillcode alle im Auftrag verarbeiteten personenbezogenen Daten, soweit keine gesetzliche Pflicht zur Speicherung besteht. Daten in Datensicherungen werden im regulären Sicherungszyklus überschrieben; bis dahin werden sie nicht mehr verarbeitet und bleiben gegen Zugriff geschützt.
  3. Hillcode bestätigt die Löschung auf Wunsch in Textform.

§ 12 Haftung, Schlussbestimmungen

  1. Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln des Hauptvertrags (§ 10 der AGB für Website-Pakete).
  2. Dieser Vertrag kann elektronisch abgeschlossen werden (Art. 28 Abs. 9 DSGVO). Änderungen bedürfen der Textform; für die Anlagen gelten § 5 und § 6.
  3. Es gilt deutsches Recht. Gerichtsstand ist Ravensburg.
  4. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

  1. Zutrittskontrolle: Die Server stehen im Rechenzentrum der netcup GmbH in Nürnberg, das nach ISO/IEC 27001 zertifiziert ist. Zutritt haben nur befugte Mitarbeiter des Rechenzentrums. Hillcode betreibt keine Server in eigenen Räumen.
  2. Zugangskontrolle: Anmeldung an den Servern nur per SSH mit persönlichem Schlüssel; Anmeldung per Passwort ist abgeschaltet. Eine Firewall lässt von außen nur Webzugriffe (HTTP/HTTPS) und SSH zu, wiederholte Fehlanmeldungen werden automatisch gesperrt (Fail2ban). Datenbanken sind nicht aus dem Internet erreichbar. Jede Person nutzt eigene Konten mit starken, individuellen Passwörtern; Verwaltungskonten bei Dienstleistern sind, soweit angeboten, mit Zwei-Faktor-Authentifizierung geschützt.
  3. Zugriffskontrolle: Zugriff auf Verwaltungsoberflächen und Kundendaten haben nur die Inhaber von Hillcode. Anwendungen erhalten nur die Rechte, die sie brauchen, mit eigenen Datenbankrollen. Zugänge zum Kundenportal sind auf die Daten des jeweiligen Kunden beschränkt.
  4. Trennungskontrolle: Daten verschiedener Kunden werden logisch getrennt verarbeitet: eigene Verzeichnisse je Website, Zuordnung zum Kunden in der Datenbank, eigene Datenbanken für Anwendungen.
  5. Weitergabekontrolle: Websites, Kundenportal und Verwaltung sind nur verschlüsselt per HTTPS (TLS) erreichbar, Verwaltungszugriffe erfolgen per SSH oder HTTPS. E-Mails werden verschlüsselt an den Versanddienst übergeben.
  6. Eingabekontrolle: Änderungen an Websites erfolgen versioniert. Veröffentlichungen (Deployments) werden mit Zeitpunkt und Ergebnis protokolliert.
  7. Verfügbarkeitskontrolle: Regelmäßige Datensicherungen der Datenbanken und des Servers, versionierte Website-Stände mit der Möglichkeit, auf einen früheren Stand zurückzugehen, Überwachung der Erreichbarkeit, Datenspeicher mit Redundanz (RAID) beim Rechenzentrum. Sicherheitsupdates werden zeitnah eingespielt.
  8. Datensparsamkeit: Hillcode setzt auf den Websites der Kunden keine eigenen Analyse- oder Werbe-Tracker ein. Server-Logs dienen nur dem Betrieb und der Absicherung und werden nach kurzer Frist automatisch gelöscht.
  9. Organisation: Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet. Löschung nach Vertragsende nach § 11. Für Datenschutzverletzungen gibt es einen festen Ablauf: erkennen, eindämmen, den Kunden nach § 9 informieren, dokumentieren. Hillcode überprüft die Maßnahmen regelmäßig, mindestens einmal im Jahr.

Anlage 2: Unterauftragsverarbeiter

  1. netcup GmbH, Daimlerstraße 25, 76185 Karlsruhe, Deutschland. Leistung: Server im Rechenzentrum Nürnberg für Hosting der Websites, Datenbanken, Server-Logs und Datensicherungen. Ort der Verarbeitung: Deutschland.
  2. Sand Dune Mail Limited (SMTP2GO), 96-106 Manchester Street, Christchurch 8011, Neuseeland. Leistung: Versand von E-Mails (Weiterleitung von Formular-Anfragen, Bestätigungen und Erinnerungen zu Terminen). Daten: Namen, E-Mail-Adressen und Inhalte der E-Mails. Grundlage der Übermittlung: Angemessenheitsbeschluss der EU-Kommission für Neuseeland (Art. 45 DSGVO). Setzt SMTP2GO für den Versand weitere Dienstleister in Ländern ohne Angemessenheitsbeschluss ein, gelten dafür die Standardvertragsklauseln der EU-Kommission (Beschluss (EU) 2021/914) aus dem Auftragsverarbeitungsvertrag zwischen Hillcode und SMTP2GO.