Vereinbarung zur Auftragsverarbeitung

Nach Artikel 28 DSGVO. Fassung vom 03.10.2026. Bestandteil jedes Vertrags mit all in media e.U., in dem die Agentur personenbezogene Daten im Auftrag des Kunden verarbeitet (Punkt 3.8 der AGB). Drucken oder als PDF speichern.

Auftraggeber (Verantwortlicher): der Kunde laut angenommenem Angebot.
Auftragnehmer (Auftragsverarbeiter): all in media e.U., Inhaber Daniel Puschmann, Schulweg 8/9/4, 2340 Mödling, FN 441093 t, office@allinmedia.at (im Folgenden „Agentur“).

1. Gegenstand und Dauer

1.1 Die Agentur verarbeitet personenbezogene Daten im Auftrag des Kunden im Rahmen der im Angebot vereinbarten Leistungen, insbesondere Hosting und Betrieb der Website, Formulare und Anfragen, Buchungs- und Reservierungssysteme, Kundenbereiche, Onlineshops, Besucherzählung, KI-Assistent, WhatsApp-KI, Telefon-KI, Upload-Ordner sowie Wartung, Betreuung und Fehlerbehebung.

1.2 Die Vereinbarung gilt, solange die Agentur solche Daten für den Kunden verarbeitet, und endet mit dem letzten Vertrag, auf den sie sich bezieht. Pflichten zur Löschung, Rückgabe und Verschwiegenheit gelten darüber hinaus.

1.3 Bei gebuchter WhatsApp-KI wertet die Agentur die WhatsApp-Gespräche des Kunden automatisch aus, auch den früheren Verlauf, den Meta beim Verbinden der Nummer übergibt, und Verläufe, die der Kunde selbst hochlädt. Zweck ist allein, Wissen, Antworten und Tonfall des Assistenten dieses Kunden zu verbessern und fehlende Angaben zu erkennen, die der Kunde dann ergänzt. Die Auswertung ist Teil der vereinbarten Leistung und gilt als Weisung nach Punkt 3.1. Die Ergebnisse verwendet die Agentur nur für den Assistenten dieses Kunden, nicht für andere Kunden und nicht zum Training allgemeiner KI-Modelle. Angaben zu einzelnen Personen und besondere Kategorien nach Artikel 9 DSGVO übernimmt sie nicht in das Wissen des Assistenten. Der Kunde kann die Auswertung jederzeit per E-Mail abbestellen.

2. Art der Daten und Betroffene

2.1 Besondere Kategorien nach Artikel 9 DSGVO (zum Beispiel Gesundheitsdaten) verarbeitet die Agentur nur, wenn das im Angebot ausdrücklich vereinbart ist. Der Kunde weist die Agentur darauf hin, wenn sein Formular oder Buchungssystem solche Daten abfragt.

3. Weisungen

3.1 Die Agentur verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Das Angebot, diese Vereinbarung und die Einstellungen, die der Kunde in seinem System vornimmt oder in Auftrag gibt, sind die Weisungen. Weitere Weisungen erteilt der Kunde schriftlich; E-Mail genügt.

3.2 Hält die Agentur eine Weisung für datenschutzwidrig, sagt sie das dem Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

3.3 Verarbeitungen, zu denen die Agentur gesetzlich verpflichtet ist, teilt sie dem Kunden vorher mit, sofern das Gesetz es nicht verbietet.

4. Vertraulichkeit

Die Agentur setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen (§ 6 Datenschutzgesetz). Die Pflicht gilt auch nach Ende ihrer Tätigkeit.

5. Sicherheit der Verarbeitung

Die Agentur trifft geeignete technische und organisatorische Maßnahmen nach Artikel 32 DSGVO, die in der Anlage beschrieben sind. Sie darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

6. Weitere Auftragsverarbeiter

6.1 Der Kunde genehmigt allgemein, dass die Agentur weitere Auftragsverarbeiter einsetzt. Die bei Vertragsabschluss eingesetzten stehen in der Anlage.

6.2 Über einen neuen oder ersetzten weiteren Auftragsverarbeiter informiert die Agentur den Kunden mindestens 14 Tage vorher. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Lässt sich keine Lösung finden, kann er die betroffene Leistung zum Wirksamwerden der Änderung kündigen.

6.3 Die Agentur verpflichtet jeden weiteren Auftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten. Übermittlungen in Länder außerhalb des EWR erfolgen nur mit geeigneten Garantien nach Kapitel V DSGVO, etwa Angemessenheitsbeschluss (EU-US Data Privacy Framework) oder Standardvertragsklauseln.

7. Unterstützung des Kunden

7.1 Die Agentur unterstützt den Kunden mit geeigneten Maßnahmen bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch). Erreicht eine solche Anfrage die Agentur, leitet sie sie unverzüglich an den Kunden weiter.

7.2 Sie unterstützt den Kunden außerdem bei Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und Konsultation der Datenschutzbehörde (Artikel 32 bis 36 DSGVO), soweit ihr die nötigen Informationen vorliegen.

7.3 Unterstützung, die über die laufende Leistung hinausgeht und nicht durch einen Fehler der Agentur veranlasst ist, wird nach Punkt 3.3 der AGB nach Aufwand verrechnet.

8. Datenschutzverletzungen

Stellt die Agentur eine Verletzung des Schutzes personenbezogener Daten des Kunden fest, informiert sie den Kunden unverzüglich, nach Möglichkeit innerhalb von 24 Stunden ab Kenntnis. Die Mitteilung enthält, soweit bekannt, Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und die getroffenen oder vorgeschlagenen Maßnahmen. Fehlende Angaben reicht sie nach. Die Meldung an die Datenschutzbehörde und an Betroffene obliegt dem Kunden als Verantwortlichem; die Agentur bereitet sie auf Wunsch vor.

9. Ende der Verarbeitung

Nach Ende der Leistungen stellt die Agentur dem Kunden auf Wunsch seine Daten in einem gängigen Format zur Verfügung und löscht sie danach, spätestens 30 Tage nach Vertragsende (Punkt 4.4 der AGB), sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien werden im regulären Ablauf überschrieben, spätestens 30 Tage nach der Löschung. Unterlagen aus dem Upload-Ordner löscht die Agentur spätestens drei Monate nach Projektabschluss, nachdem sie dies dem Kunden mindestens 14 Tage vorher angekündigt hat (Punkt 15 der AGB).

10. Nachweise und Kontrollen

Die Agentur stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung, in der Regel mit 14 Tagen Vorlauf und zu üblichen Geschäftszeiten. Vor Ort beschränkt sich die Prüfung auf die Agentur selbst; bei weiteren Auftragsverarbeitern genügen deren Nachweise und Zertifikate.

11. Haftung und Schlussbestimmungen

11.1 Für die Haftung gegenüber Betroffenen gilt Artikel 82 DSGVO. Im Verhältnis zwischen den Parteien gelten die Haftungsregeln der AGB (Punkt 14) auch für Pflichten aus dieser Vereinbarung, soweit Artikel 82 DSGVO nicht zwingend etwas anderes vorsieht.

11.2 Bei Widersprüchen geht diese Vereinbarung beim Datenschutz den AGB und dem Angebot vor. Im Übrigen gelten die AGB, insbesondere zu Recht und Gerichtsstand.

Anlage 1: Technische und organisatorische Maßnahmen

• Zutritt und Zugang: Server in professionellen Rechenzentren der Hosting-Anbieter. Kundenwebsites und Postfächer liegen im Rechenzentrum von Mittwald in Espelkamp (Deutschland), dessen Betrieb nach ISO/IEC 27001:2022 zertifiziert ist. Verwaltungs- und Serverzugänge nur mit persönlichem Kennwort, Zwei-Faktor-Anmeldung wo verfügbar, Bremse gegen Durchprobieren von Kennwörtern, Sitzungen in geschützten Cookies (HttpOnly, Secure, SameSite).
• Zugriff: Rollen und Rechte nach Bedarf (Verwaltung, Vertrieb, Kundenbereich). Datenbanken und Dateien des Kunden liegen außerhalb des öffentlich erreichbaren Webordners. Zugangsdaten werden nicht per E-Mail ausgetauscht, sondern über einen verschlüsselten Bereich.
• Weitergabe: Verbindungen nur verschlüsselt (HTTPS mit HSTS). Einspielen von Änderungen nur über einen gesicherten, zeitlich befristeten Zugang mit Einmal-Kennwort.
• Eingabekontrolle: Protokolle für Einspielungen, Anmeldungen und abgewehrte Zugriffe. Ersetzte Dateien werden vor jeder Änderung gesichert.
• Verfügbarkeit: Erreichbarkeitsprüfung bei gebuchter Betreuung, Überwachung von Zertifikaten, Sicherungen nach den Leistungen des Hosting-Anbieters und, bei Betreuung, zusätzlich durch die Agentur.
• Trennung: Jeder Kunde hat eigene Ordner und Datenbanken.
• Datensparsamkeit: Besucherzählung ohne Cookies und ohne Speicherung der IP-Adresse, Formulare fragen nur ab, was gebraucht wird, Schutz vor Spam ohne Fremddienste.
• Organisation: Verpflichtung auf Vertraulichkeit, Notfallablauf für Datenschutzverletzungen, tägliche automatische Sicherheitsprüfung der betreuten Seiten, laufende Aktualisierung der eingesetzten Software bei gebuchter Betreuung.

Anlage 2: Weitere Auftragsverarbeiter

Anlage 2 ergänzt am 20.10.2026 um Mittwald und Fonio. Anlage 1 und 2 ergänzt am 22.10.2026 um die Zertifizierung des Rechenzentrums von Mittwald und dessen Dienstleister. Punkt 1.1, 1.3, 2 und Anlage 2 ergänzt am 28.10.2026 um die WhatsApp-KI (Auswertung des Verlaufs, Kapso, Meta).

Setzt der Kunde selbst Dienste ein, etwa Shopify, WordPress-Erweiterungen, Zahlungsanbieter, Google oder Meta, schließt er die Verträge mit diesen Anbietern selbst ab (Punkt 3.4 der AGB); sie sind keine weiteren Auftragsverarbeiter der Agentur.