Auftragsverarbeitung

AV-Vertrag einschließlich Schutzmaßnahmen und Dienstleister. Der Vertrag wird im Einrichtungsablauf für deinen Betrieb abgeschlossen.

Entwurf. Markierte Stellen werden vor dem Start ergänzt. Der Text wird noch rechtlich geprüft.

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

Version 2026-10-18.3; Konfiguration d9216f17-4912-4ab3-a4cf-237aa7d25f0f

Auftragnehmer: Emil Harlan (Einzelunternehmen), Richtweg 6a

28870 Ottersberg Deutschland, info@lookdesk.de, handelnd unter LookDesk. Auftraggeber ist der bei der Annahme bezeichnete Betrieb; die Annahme und diese Vertragsfassung werden dokumentiert.

1. Gegenstand, Dauer und Zwecke

Der Auftrag umfasst Einrichtung, Speicherung, technische Bearbeitung, Bereitstellung und Löschung der beauftragten Websiteinhalte sowie die ausdrücklich beauftragten Import-, KI- und Synchronisationsfunktionen. Er gilt während der Leistung und bis zur vertragsgemäßen Rückgabe oder Löschung. Datenarten sind insbesondere Betriebs- und Ansprechpartnerangaben, Bilder, Texte, technische Verbindungsdaten und – soweit die Funktion genutzt wird – Kontakt- und Reservierungsanfragen. Betroffen sind Betriebsinhaber, Beschäftigte, abgebildete Personen, Websitebesucher und Anfragende. Besondere Kategorien nach Art. 9 DSGVO sind ohne gesonderte Vereinbarung und geeignete Voraussetzungen nicht Gegenstand des Auftrags.

2. Weisungen und Zweckbindung

Der Auftragnehmer verarbeitet Daten ausschließlich auf dokumentierte Weisung, einschließlich hinsichtlich Übermittlungen in Drittländer. Die ausgewählten Funktionen, gespeicherten Einstellungen und dokumentierten Anweisungen konkretisieren den Auftrag. Erforderliche gesetzliche Verarbeitungen werden dem Auftraggeber vorab mitgeteilt, soweit dies rechtlich erlaubt ist. Der Auftragnehmer informiert unverzüglich, wenn eine Weisung nach seiner Auffassung Datenschutzrecht verletzt. Eine eigene Nutzung von Auftragsdaten für Werbung oder Training eigener Modelle ist nicht vereinbart.

3. Vertraulichkeit und Sicherheit

Zugriffsberechtigte werden zur Vertraulichkeit verpflichtet. Es gelten die beigefügten tatsächlichen technischen und organisatorischen Maßnahmen. Der Auftragnehmer hält ein dem Risiko angemessenes Schutzniveau nach Art. 32 DSGVO aufrecht und überprüft die Maßnahmen regelmäßig.

4. Weitere Auftragsverarbeiter

Die bei Vertragsschluss bezeichneten Unterauftragsverarbeiter werden genehmigt. Weitere oder ersetzende Unterauftragsverarbeiter bedürfen vorheriger Information und Genehmigung gemäß Art. 28 Abs. 2 DSGVO; ein dokumentierter Vertrag und ein angemessenes Einspruchsverfahren sind erforderlich. Ein bloßer Austausch der veröffentlichten Liste ersetzt diese Information nicht. Dem weiteren Auftragsverarbeiter werden die erforderlichen Datenschutzpflichten auferlegt; die gesetzliche Verantwortung des Auftragnehmers bleibt bestehen.

5. Unterstützung und Vorfälle

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung bei Betroffenenrechten sowie den Pflichten nach Art. 32–36 DSGVO. Anfragen zu Auftragsdaten werden unverzüglich an den Auftraggeber weitergegeben, sofern keine abweichende Weisung besteht. Datenschutzverletzungen an Auftragsdaten werden dem Auftraggeber unverzüglich nach Bekanntwerden mit den verfügbaren Informationen mitgeteilt; weitere Informationen folgen ohne unangemessene Verzögerung. Die Pflichten des Verantwortlichen zur Bewertung, Behördenmeldung und gegebenenfalls Betroffeneninformation bleiben bestehen.

6. Nachweise und Kontrollen

Der Auftragnehmer stellt die für den Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten Prüfer und trägt hierzu bei. Organisatorische Abstimmungen dürfen gesetzlich erforderliche Kontrollen nicht unangemessen beschränken.

7. Ende des Auftrags

Nach Abschluss werden Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht und vorhandene Kopien gelöscht, soweit keine gesetzliche Pflicht zur Speicherung besteht. Der Export ist vor dem Löschtermin abzurufen. Die von LookDesk verwalteten Sicherungen laufen spätestens nach 7 Tagen aus, bleiben zweckbeschränkt und werden bei einer Wiederherstellung erneut um die gelöschten Daten bereinigt. Gesonderte Lösch-/Sicherungsfristen weiterer Anbieter sind in der Dienstleisteranlage bezeichnet und bei Rückgabe/Löschung zu berücksichtigen; eine pauschale Sieben-Tage-Zusage für eigenständige Anbieter-Verarbeitungen ist damit nicht verbunden. Abweichende gesetzliche Aufbewahrung wird begründet und auf die erforderlichen Daten beschränkt.

8. Kontakt

Dokumentierte Weisungen, Rechteanfragen und Vorfallmeldungen: info@lookdesk.de.

Anlage: Schutzmaßnahmen

Im Anwendungscode vorhanden: mandantenbezogene Datenbankzugriffe mit PostgreSQL-RLS, rollenabhängige Verwaltungsrechte, Schutz schreibender Anfragen über Herkunft und CSRF-Kennung, Passwort-Hashes, zeitlich begrenzte Sitzungen und private Vorschautokens. Veröffentlichungen und externe Verarbeitung werden anhand dokumentierter Kundenaufträge geprüft. Speicherobjekte werden über kontrollierte Zugriffe ausgeliefert; Löschfehler bleiben wiederholbar. Vor Release am echten System nachzuweisen: HTTPS, geschlossene Datenbank-/Speicherports, sichere Administratorzugänge und Geräte, Aktualisierung, Protokollrotation, verschlüsselte Sicherungen und geprüfte Wiederherstellung. Die Codeprüfung ist kein Nachweis dieser Produktiveinstellungen.

Datensicherung

Zum Release vorgesehen: tägliche AES-256-GCM-verschlüsselte Sicherung von Datenbank und Medien, verschlüsselte Übertragung zum eigenen Homeserver in Ottersberg, Aufbewahrung sieben Tage auf beiden Systemen, Zugriff ausschließlich Emil Harlan. Schlüssel getrennt und gegen Verlust geschützt aufbewahren. Wiederherstellung vor Release in einer getrennten Umgebung testen und protokollieren; Löschungen vor erneuter Inbetriebnahme nachziehen. Bisherige unverschlüsselte Kopien nach erfolgreichem Umstieg gemäß Löschkonzept behandeln. Die tatsächliche Einrichtung und Abnahme steht bis zum Release noch aus.

Vorfallmanagement

Verantwortlich: Emil Harlan, info@lookdesk.de. Postfach und Datenschutzanfragen regelmäßig prüfen; bei bekanntem Vorfall unverzüglich reagieren. Zeitpunkt der Kenntnisnahme, Umfang, betroffene Betriebe, Daten, Risiken und Maßnahmen dokumentieren. Zugriff eindämmen und Beweise sichern. Betroffene verantwortliche Kunden unverzüglich mit verfügbaren Angaben informieren und nachberichten. Für eigene Verantwortlichkeit die Behördenmeldung innerhalb von 72 Stunden nach Bekanntwerden prüfen; bei voraussichtlich hohem Risiko Betroffene unverzüglich informieren. Auch eine begründete Nichtmeldung dokumentieren. Erreichbarkeit, Ausfall des Postfachs und Vertretung vor Release organisatorisch absichern.

Aufbewahrung

Kontodaten werden für das Vertragsverhältnis verarbeitet und nach dessen Ende beziehungsweise einem berechtigten Löschverlangen nach Prüfung verbleibender Zugänge gelöscht oder auf erforderliche Belege beschränkt. Unbeanspruchte Entwürfe: höchstens sieben Tage. Technische Prüfprotokolle: sieben Tage, bei einem konkreten Vorfall begründete gesonderte Aufbewahrung. Abgeschlossene Datenschutzanfragen und Einwilligungsnachweise: 90 Tage nach den beschriebenen technischen Regeln. Geschlossene Website-Anfragen: grundsätzlich 90 Tage nach Abschluss, soweit der verantwortliche Betrieb keine andere erforderliche Frist festlegt. Website-Löschaufträge schalten sofort ab und werden regulär nach sieben Tagen bereinigt; dringende berechtigte Fälle werden früher manuell bearbeitet. Eigene Sicherungen: höchstens sieben Tage. Rechnungen/Buchungsbelege: grundsätzlich acht Jahre; Bücher und bestimmte Organisationsunterlagen zehn, einschlägige Geschäftsbriefe sechs Jahre, jeweils nach den gesetzlichen Fristregeln und erforderlichen Verlängerungen. Solche Belege werden getrennt aufbewahrt. Anbieterfristen, externe Postfächer und manuelle Konto-/Beleglöschung sind gesondert zu steuern. Die produktiven Löschläufe und Fristen werden vor Release abgenommen.

Anlage: Unterauftragsverarbeiter

Diese Genehmigung umfasst ausschließlich die beschriebenen Auftragsverarbeitungen für die Kundenwebsite. Bei gemischter Rolle gilt sie nur für den Anteil als Auftragsverarbeiter. Dienste für LookDesks eigene Kontoverwaltung, Abrechnung und eigenständig verantwortliche Anbieter sind dadurch nicht als Unterauftragsverarbeiter genehmigt. Die vollständige Dienstleisterübersicht enthält daneben diese eigenen Verarbeitungen.

Contabo GmbH, Welfenstraße 22, 81541 München, Deutschland. Aufgabe: Hosting und Bildspeicher. Daten: Konto- und Kontaktdaten, Passwort-Hashes und Sitzungen, Betriebsangaben, Websiteinhalte einschließlich Personenbildern, Vertragsnachweise und technische Verbindungsdaten.. Verarbeitung: VPS: Lauterbourg, Frankreich (EU). Datenschutzrechtliche Rolle: Auftragsverarbeiter. Rechtsgrundlagen: Bereitstellung auf Kundenauftrag; Art. 28 DSGVO für Auftragsdaten. Eigene Konto-/Vertragsverarbeitung nach Art. 6 Abs. 1 lit. b bzw. f DSGVO.. Vertragsgrundlage: AVV nach Betreiberangabe abgeschlossen und gespeichert. Vertrag und aktuelle Anlagen: https://docs.contabo.com/docs/dpa/dpa/ . Standort vom Betreiber bestätigt.. Aufbewahrung: Operative Daten nach LookDesks Löschkonzept; Infrastruktur- und Unterauftragnehmerfristen gemäß abgeschlossenem AVV und Anlagen.. Drittlandübermittlungen und Schutzmaßnahmen: VPS innerhalb der EU. Etwaige weitere Zugriffe und Unterauftragnehmer richten sich nach den AVV-Anlagen; aus dem VPS-Standort wird keine ausschließliche EU-Verarbeitung aller Contabo-Vorgänge abgeleitet.. Datenschutzhinweise: https://contabo.com/de/legal/privacy/

STRATO GmbH – E-Mail, Otto-Ostrowski-Straße 7, 10249 Berlin, Deutschland. Aufgabe: E-Mail-Versand. Daten: Absender-/Empfängeradressen, erforderliche Kontaktdaten, Nachrichten, technische Versanddaten sowie Konto-, Vertrags- und Sicherheitsmitteilungen.. Verarbeitung: Deutschland; Produkt und weitere Empfänger nach Vertragsanlagen. Datenschutzrechtliche Rolle: Auftragsverarbeiter. Rechtsgrundlagen: Art. 6 Abs. 1 lit. b bzw. f DSGVO nach Anlass; Art. 28 DSGVO für beauftragte E-Mail-Verarbeitung.. Vertragsgrundlage: AVV nach Betreiberangabe wirksam abgeschlossen/einbezogen und gespeichert: https://www.strato.de/agb/avv/ .. Aufbewahrung: Versandwarteschlange in LookDesk sieben Tage nach Abschluss; geschäftliches Postfach nach Löschkonzept, gesetzliche Belege getrennt. STRATO-seitige Sicherungen nach Produkt/AVV.. Drittlandübermittlungen und Schutzmaßnahmen: AVV sieht EU/EWR-Verarbeitung vor, bei erforderlichen Drittlandübermittlungen Schutz nach Art. 44 ff. DSGVO; tatsächliche Empfänger laut Vertragsanlagen.. Datenschutzhinweise: https://www.strato.de/datenschutz/

Google LLC – Gemini API, kostenloser Zugang, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA. Aufgabe: KI-Verarbeitung. Daten: Erforderliche Betriebsangaben, Texte, Bildcollagen ausgewählter Originalbilder und generierte Vorschläge; technische API-, Konto- und Nutzungsdaten.. Verarbeitung: International, einschließlich USA; keine reine EU-Verarbeitung zugesagt. Datenschutzrechtliche Rolle: je Verarbeitung Auftragsverarbeiter oder eigenständig Verantwortlicher. Rechtsgrundlagen: Auf Kundenweisung für Erstellung/Einordnung; Art. 28 DSGVO für Auftragsdaten. Google verarbeitet daneben eigene Konto-/Sicherheitsdaten in eigener Rolle.. Vertragsgrundlage: Google APIs Terms (https://developers.google.com/terms), Gemini-Zusatzbedingungen und EWR-Datenverwendungsregeln mit Verweis auf https://business.safety.google/processorterms/ . Free-Betrieb ist Betreiberentscheidung trotz offener Paid-Services-Vorgabe. Bei Paid gelten andere Vertragsgesellschaften; vor Wechsel aktualisieren.. Aufbewahrung: Vorschläge in LookDesk bis Annahme/Verwerfung beziehungsweise Website-Löschung. Google beschreibt begrenzte Sicherheitsprotokollierung; maßgeblich sind Produktbedingungen und Prozessor-Anlage, keine pauschale Sieben-Tage-Zusage für Google.. Drittlandübermittlungen und Schutzmaßnahmen: Anwendbare Übermittlungsmechanismen und Empfänger aus den konkreten Google-Bedingungen dokumentieren; Einbeziehung von Standardvertragsklauseln bzw. passender Angemessenheitsgrundlage vor Freigabe nachweisen. Keine automatische Bestätigung allein durch diese Vorbelegung.. Datenschutzhinweise: https://ai.google.dev/gemini-api/terms