Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: 20.10.2026

zwischen dem Kunden von Histy — im Folgenden „Verantwortlicher" —

und Floxa, Inhaber Paul Ler, Washingtonring 14, 71686 Remseck am Neckar — im Folgenden „Auftragsverarbeiter".

Dieser Vertrag wird mit der Registrierung bei Histy Bestandteil des Nutzungsvertrags und gilt in elektronischer Form (Art. 28 Abs. 9 DSGVO). Er geht den AGB in allen Fragen des Datenschutzes vor.

§ 1 Gegenstand und Dauer

(1) Der Auftragsverarbeiter betreibt für den Verantwortlichen dessen mit Histy erstellte Websites: Bereitstellung im Internet, soweit angeboten einschließlich einer Zählung der Seitenaufrufe, Kontakt- und Anfrageformular mit Anfragen-Eingang im Dashboard, Speicherung von Fotos, Texten und Angebotslisten (etwa Mittags-, Speise- und Getränkekarte, Preisliste, Leistungen, Tarife und Kursplan, auch als PDF) sowie KI-Funktionen zur Texterstellung und zum Ablesen von Karten, Preislisten, Leistungsblättern, Tarifübersichten und Kursplänen von Fotos oder PDF-Dateien.

(2) Der Vertrag gilt für die Dauer des Nutzungsvertrags einschließlich der Testphase und danach bis zur vollständigen Löschung der Daten nach § 9.

§ 2 Art und Zweck der Verarbeitung, Daten, Betroffene

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags. Der Verantwortliche fragt solche Daten im Anfrageformular nicht ab; bei Kosmetik- und Sportangeboten bittet das Formular ausdrücklich darum, keine Gesundheitsangaben zu senden.

§ 3 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem Vertrag, den AGB und den Einstellungen, die der Verantwortliche im Dashboard vornimmt (z. B. Formular ein- oder ausschalten, Anfragen löschen, Website löschen). Weitere Weisungen erteilt der Verantwortliche in Textform.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Verantwortlichen unverzüglich darauf hin (Art. 28 Abs. 3 Satz 3 DSGVO).

(3) Eine Verarbeitung zu eigenen Zwecken findet nicht statt. Insbesondere werden Anfragen und Inhalte des Verantwortlichen nicht zum Training von KI-Modellen verwendet.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

(2) Weitere oder andere Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO).

(4) Übermittlungen in Länder außerhalb des Europäischen Wirtschaftsraums finden nur an die in Anlage 2 genannten Unterauftragsverarbeiter und nur auf der dort genannten Grundlage (Art. 44 ff. DSGVO) statt.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Rechte der Betroffenen (Art. 12–23 DSGVO). Anfragen kann der Verantwortliche im Dashboard selbst einsehen und löschen. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter.

(2) Er unterstützt den Verantwortlichen außerdem bei den Pflichten nach Art. 32 bis 36 DSGVO, soweit ihm die dafür nötigen Informationen vorliegen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntnis, möglichst innerhalb von 24 Stunden, per E-Mail an die im Konto hinterlegte Adresse — mit den Angaben, die der Verantwortliche für eine Meldung nach Art. 33 Abs. 3 DSGVO braucht, soweit sie vorliegen.

§ 9 Löschung und Rückgabe

(1) Nach dem Ende des Nutzungsvertrags löscht der Auftragsverarbeiter die Anfragen und die übrigen Daten der Besucher innerhalb von 30 Tagen, sofern keine Pflicht zur Aufbewahrung besteht. Bis dahin kann der Verantwortliche sie im Dashboard einsehen und herauskopieren; bucht er in dieser Frist erneut, entfällt die Löschung.

(2) Die Inhalte der Websites (Texte, Fotos und die Speisekarte als PDF, auch soweit sie personenbezogene Daten enthalten) hebt der Auftragsverarbeiter nach dem Vertragsende bis zu sechs Monate auf, damit der Verantwortliche zurückkehren kann (AGB § 5 Abs. 4), und löscht sie danach. Der Verantwortliche kann eine frühere Löschung verlangen oder selbst vornehmen.

(3) Löscht der Verantwortliche eine Website, werden ihre Fotos, die Speisekarte als PDF, die Anfragen, die gezählten Seitenaufrufe und eine verbundene Domain sofort entfernt.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer (Art. 28 Abs. 3 lit. h DSGVO).

(2) Vor-Ort-Prüfungen sind mit angemessener Frist anzukündigen, finden höchstens einmal im Jahr statt, außer bei einem konkreten Anlass, und dürfen den Betrieb nicht unverhältnismäßig stören. Für die Rechenzentren der Unterauftragsverarbeiter genügen deren Zertifikate und Prüfberichte.

§ 11 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: Die Server stehen in Rechenzentren der Unterauftragsverarbeiter (Anlage 2) mit eigener Zutrittskontrolle und Zertifizierung; der Auftragsverarbeiter betreibt keine eigenen Server.
• Zugang: Anmeldung am Dashboard nur mit persönlichem Konto; Passwörter werden ausschließlich als Hash gespeichert. Administrative Zugänge hat nur der Inhaber; Zugangsdaten liegen in einem verschlüsselten Passwort-Tresor.
• Zugriff: Jede Anfrage an die Schnittstelle ist an ein Konto gebunden und kann nur dessen Websites und Anfragen lesen oder ändern. Die Datenbank ist zusätzlich durch Row Level Security abgesichert. Dienstschlüssel liegen nur auf dem Server, nie im Browser.
• Trennung: Daten sind je Konto logisch getrennt. Entwicklung und automatisierte Tests arbeiten mit erfundenen Beispieldaten, nie mit Daten von Kunden.

Integrität

• Übertragung: Alle Verbindungen sind per TLS verschlüsselt. Fotos liefert Histy selbst aus; Besucher der Websites übertragen keine Daten an Dritte.
• Eingabe: Aktionen der Administration (z. B. eine Website offline nehmen, Preise ändern) werden mit Zeitpunkt und Grund protokolliert; wesentliche Kontoereignisse ebenso.

Verfügbarkeit und Belastbarkeit

• Tägliche Sicherungen der Datenbank (Konten, Websites, Anfragen) durch den Datenbank-Dienstleister, sieben Tage aufbewahrt.
• Die Anwendung läuft als Funktionen beim Hosting-Dienstleister; fällt eine Instanz aus, übernimmt automatisch eine andere.
• Begrenzungen gegen Missbrauch: Mengenbegrenzung für Formular-Anfragen und Uploads, Größenbegrenzung aller Anfragen, Prüfung hochgeladener Dateien auf ihren tatsächlichen Typ.

Datenminimierung und Löschung

• Zugriffsdaten höchstens 30 Tage. IP-Adressen für die Mengenbegrenzung speichert Histy nur als Prüfsumme und löscht sie spätestens drei Tage nach der letzten Anfrage.
• Anfragen automatisch nach spätestens 12 Monaten; jederzeit durch den Verantwortlichen.
• Fotos werden vor dem Hochladen im Browser verkleinert und ohne Metadaten (z. B. GPS-Position) gespeichert.
• Eine Speisekarte als PDF, die der Verantwortliche selbst hochgeladen hat, wird so veröffentlicht, wie er sie hochlädt, einschließlich ihrer Dateieigenschaften; ausgeliefert wird sie nur als Download.
• PDF-Dateien, die Histy aus den Einträgen einer Karte oder einer anderen Liste (Preisliste, Leistungen, Tarife, Kursplan) gestaltet, entstehen aus den gespeicherten Einträgen und werden nicht als eigene Datei gespeichert; wie die Seiten der Website hält sie nur der Zwischenspeicher des Hosting-Dienstleisters vor, bis der Verantwortliche die Website das nächste Mal speichert. Sie enthalten die Einträge, Hinweise und Kontaktangaben, die der Verantwortliche für seine Website eingetragen hat — auch für eine Liste, die er nur als PDF anbietet.
• Fotos und PDF-Dateien, aus denen die KI eine Karte, eine Preisliste, ein Leistungsblatt, eine Tarifübersicht oder einen Kursplan abliest, werden dafür nicht gespeichert. Der Hinweis am Hochladen-Knopf bittet darum, nur Vorlagen ohne Kundendaten hochzuladen, also keine Rechnungen oder Angebote an Kunden.
• Werden Seitenaufrufe gezählt, dann ohne Cookies und ohne Speicherung von IP-Adressen oder Browserangaben, nur als Zahl je Website und Tag.
• Websites des Verantwortlichen laden keine Inhalte von Drittanbietern (keine Schriftarten, Karten, Videos oder Tracking) und setzen keine Cookies.

Überprüfung

• Automatisierte Tests bei jeder Änderung der Software, darunter Tests für Zugriffsgrenzen zwischen Konten. Veröffentlicht wird nur ein Stand, der sie bestanden hat.
• Jährliche Überprüfung dieser Maßnahmen und der Unterauftragsverarbeiter.

Anlage 2 — Unterauftragsverarbeiter