Vertrag zur Auftragsverarbeitung (AVV)

zwischen dem Kunden von WP-Cleaner (nachfolgend „Auftraggeber“) und Christian Zimpel, WP-Cleaner, Meersmannufer 35, 30655 Hannover (nachfolgend „Auftragsverarbeiter“)

§ 1 Gegenstand und Dauer

Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien aus dem Vertrag über die Bereinigung einer WordPress-Website und, falls gebucht, das Schutz-Abo (nachfolgend „Hauptvertrag“).
Verantwortlicher ist der Auftraggeber. Auftragsverarbeiter ist Christian Zimpel, WP-Cleaner.
Der Vertrag kommt mit der Bestellung zustande (§ 12 der AGB). Er gilt, solange der Auftragsverarbeiter personenbezogene Daten des Auftraggebers verarbeitet, auch über das Ende des Hauptvertrags hinaus bis zur vollständigen Löschung.
Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.

§ 2 Art und Zweck, Datenarten, betroffene Personen

Zweck: Bereinigung der Website von Schadsoftware, Ermittlung und Schließung des Einfallstors, Aktualisierung und Härtung. Im Schutz-Abo zusätzlich laufende Updates, Überwachung und Sicherungen.
Art der Verarbeitung: Einsehen, Sichern, Durchsuchen, Verändern und Löschen von Dateien und Datenbankeinträgen sowie Auswerten von Logdateien.
Datenarten und betroffene Personen:

Datenkategorie	Beispiele	Betroffene Personen
Nutzerkonten	Benutzername, E-Mail, Passwort-Hash, Rolle	Administratoren, Redakteure, registrierte Nutzer
Kunden- und Bestelldaten (nur Shops)	Name, Anschrift, E-Mail, Telefon, Bestellungen	Kunden des Auftraggebers
Formular- und Kommentardaten	Name, E-Mail, Nachrichteninhalte	Besucher, Interessenten
Protokolldaten	IP-Adresse, Zeitstempel, aufgerufene URL, User-Agent	Besucher der Website
Zugangsdaten	WordPress-, Hosting- und SFTP-Zugänge	Auftraggeber und seine Beschäftigten
Inhalte	Texte, Bilder und Dateien mit Personenbezug	je nach Website

Besondere Kategorien nach Art. 9 DSGVO, etwa Gesundheitsdaten, sind nicht Gegenstand dieses Vertrags. Enthält die Website solche Daten, informiert der Auftraggeber den Auftragsverarbeiter vor Beginn der Arbeiten.
Die Verarbeitung erfolgt grundsätzlich in Deutschland und der EU. Ausnahmen regeln § 6 und Anlage 2.

§ 3 Weisungen des Auftraggebers

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag und die Bestellung sind die erste Weisung. Weitere Weisungen erteilt der Auftraggeber in Textform.
Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke. Anonymisierte technische Erkenntnisse ohne Personenbezug nach § 13 der AGB sind keine personenbezogenen Daten im Sinne dieses Vertrags.
Bei akuter Gefährdung, etwa einem laufenden Datenabfluss, darf der Auftragsverarbeiter Sofortmaßnahmen wie den Wartungsmodus ergreifen. Er informiert den Auftraggeber darüber unverzüglich.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter erbringt die Leistungen persönlich. Setzt er weitere Personen ein, verpflichtet er sie vorher schriftlich zur Vertraulichkeit.
Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO aus Anlage 1 und passt sie dem Stand der Technik an.
Er unterstützt den Auftraggeber im zumutbaren Umfang bei Anfragen Betroffener (Art. 12 bis 23 DSGVO) und bei den Pflichten aus Art. 32 bis 36 DSGVO. Aufwand, der über den Hauptvertrag hinausgeht und nicht auf einem Verstoß des Auftragsverarbeiters beruht, kann er nach vorheriger Absprache gesondert berechnen.
Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten in seinem Verantwortungsbereich unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
Findet er bei der Bereinigung Hinweise, dass personenbezogene Daten bereits abgeflossen sind, etwa einen Skimmer im Checkout oder Zugriffe auf Kundentabellen, informiert er den Auftraggeber unverzüglich. So kann dieser seine Meldepflicht nach Art. 33 und 34 DSGVO prüfen. Die Entscheidung über eine Meldung trifft der Auftraggeber.
Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. Einen Datenschutzbeauftragten muss er nicht benennen. Ansprechpartner ist Christian Zimpel, christian@wp-cleaner.com.

§ 5 Unterauftragsverarbeiter und Einsatz von KI-Diensten

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter, darunter KI-Dienste wie Claude von Anthropic.
Änderungen kündigt der Auftragsverarbeiter mindestens 14 Tage vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, kann jede Partei den Hauptvertrag kündigen.
Der Auftragsverarbeiter setzt Unterauftragsverarbeiter nur ein, wenn mit ihnen ein Vertrag nach Art. 28 Abs. 4 DSGVO besteht, der gleichwertige Datenschutzpflichten festlegt.
Für KI-Dienste gilt zusätzlich:
- Der Auftragsverarbeiter nutzt nur geschäftliche Tarife mit Auftragsverarbeitungsvertrag, bei denen Eingaben nicht zum Training der Modelle verwendet werden.
- An KI-Dienste gibt er vorrangig Code-Ausschnitte, Dateipfade, Fehlermeldungen und gekürzte Logauszüge. Kundenlisten, Bestellungen oder vollständige Datenbankexporte gibt er nicht weiter. Unvermeidbare personenbezogene Daten, etwa IP-Adressen in Logzeilen, entfernt oder kürzt er vorher, soweit möglich.
- Passwörter und andere Zugangsdaten gibt er nicht in KI-Dienste ein.
- Arbeitet ein KI-Dienst über eine freigegebene Werkzeugverbindung direkt auf der Website, beschränkt der Auftragsverarbeiter den Zugriff auf das für die Bereinigung Nötige.
- Er prüft Ergebnisse von KI-Diensten selbst, bevor er die Website ändert. Automatisierte Entscheidungen gegenüber Betroffenen finden nicht statt.
Der Einsatz der in Anlage 2 genannten KI-Dienste ist Bestandteil der Leistung.

§ 6 Übermittlung in Drittländer

Daten werden in Länder außerhalb der EU und des EWR nur unter den Voraussetzungen der Art. 44 ff. DSGVO übermittelt.
Für die in Anlage 2 genannten Anbieter mit Sitz oder Verarbeitung in den USA sind dies die EU-Standardvertragsklauseln, die in deren Auftragsverarbeitungsverträgen enthalten sind. Ist ein Anbieter nach dem EU-U.S. Data Privacy Framework zertifiziert, gilt zusätzlich dieser Angemessenheitsbeschluss.
Der Auftragsverarbeiter bevorzugt Anbieter und Einstellungen, bei denen die Verarbeitung in der EU erfolgt.

§ 7 Kontrollrechte

Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Unterlagen nach, etwa eine Selbstauskunft, die Dokumentation der Maßnahmen aus Anlage 1 und die Verträge der Unterauftragsverarbeiter.
Da der Auftragsverarbeiter im Homeoffice arbeitet, finden Kontrollen vorrangig anhand dieser Unterlagen und in Online-Terminen statt. Vor-Ort-Kontrollen sind nur möglich, wenn diese Nachweise nicht ausreichen, nach Anmeldung mit mindestens 14 Tagen Vorlauf.
Der Auftraggeber trägt die Kosten von Kontrollen, außer sie decken einen Verstoß des Auftragsverarbeiters auf.
Wendet sich eine Aufsichtsbehörde an den Auftragsverarbeiter, informiert er den Auftraggeber unverzüglich, soweit dies rechtlich zulässig ist.

§ 8 Löschung und Rückgabe

Daten	Löschfrist
Zugangsdaten	spätestens 14 Tage nach Eingang (§ 11 AGB)
Sicherung des befallenen Zustands	30 Tage nach Abschluss (§ 10 AGB)
Kopien von Dateien und Datenbank auf dem Analyse-Server	durch Löschung des gesamten Analyse-Servers nach der Nachkontrolle, spätestens mit Ablauf der 30-tägigen Nachbereinigung
Arbeitskopien, Logauszüge, Notizen mit Personenbezug	mit Ablauf der 30-tägigen Nachbereinigung
Daten bei KI-Diensten und anderen Unterauftragsverarbeitern	nach deren Bedingungen (Anlage 2)

Vor der Löschung gibt der Auftragsverarbeiter dem Auftraggeber auf Wunsch eine Kopie der Sicherung zurück.
Der Befundbericht bleibt als Leistungsnachweis bis zum Ende der Verjährungsfrist gespeichert. Er enthält personenbezogene Daten nur, soweit unvermeidbar, etwa Benutzernamen fremder Administratorkonten.
Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 9 Haftung und Schlussbestimmungen

Die Haftung gegenüber Betroffenen richtet sich nach Art. 82 DSGVO. Im Verhältnis der Parteien gilt § 14 der AGB, soweit gesetzlich zulässig.
Änderungen bedürfen der Textform. Ein elektronisches Format genügt nach Art. 28 Abs. 9 DSGVO.
Es gilt deutsches Recht. Der Gerichtsstand richtet sich nach § 15 der AGB.
Sind einzelne Bestimmungen unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Bereich	Maßnahme
Zutritt	Arbeit im abgeschlossenen Homeoffice, keine Dritten an den Arbeitsgeräten
Zugang	Festplattenverschlüsselung, Bildschirmsperre, individuelle Passwörter aus einem Passwortmanager
Zugriff	Nur der Auftragsverarbeiter arbeitet an Kundendaten; temporäre Admin-Konten beim Kunden mit nur den nötigen Rechten
Weitergabe	Übertragung nur verschlüsselt per HTTPS, SFTP oder SSH; Zugangsformular über HTTPS
Weitergabe	Sicherungen werden vor der Ablage mit AES-256 verschlüsselt und nur auf einem nicht öffentlich erreichbaren Speicher abgelegt; abgelaufene Sicherungen werden automatisch gelöscht und protokolliert
Eingabe	Alle Änderungen an der Website werden im Befundbericht dokumentiert
Auftrag	Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO; Weisungen in Textform
Verfügbarkeit	Sicherung des Ist-Zustands vor jedem Eingriff; eigene Systeme werden aktuell gehalten
Trennung	Getrennte Ablage je Auftrag nach Bestellnummer; Analyse und Neuaufbau der Website auf einem eigenen, je Auftrag neu angelegten Analyse-Server (Anlage 2), ohne Webserver und ohne Ausführung von Code der Kundenwebsite
Zugang	Analyse-Server nur per SSH-Schlüssel erreichbar; Firewall lässt ausschließlich SSH zu; Datenbank nur lokal auf dem Server erreichbar
Datenminimierung	Personenbezug wird vor der Nutzung von KI-Diensten entfernt oder gekürzt (§ 5)
Löschung	Automatische Löschung der Zugangsdaten nach spätestens 14 Tagen; Löschung des gesamten Analyse-Servers nach Abschluss des Auftrags, mit Löschprotokoll
Überprüfung	Die Maßnahmen werden mindestens jährlich überprüft

Anlage 2: Unterauftragsverarbeiter

Anbieter	Sitz / Verarbeitungsort	Zweck	Daten	Vertrag und Drittland-Garantie
Anthropic (Claude)	USA	Analyse von Schadcode, Logauszügen und Konfigurationen, Unterstützung bei Bereinigung und Bericht	Code-Ausschnitte, gekürzte Logauszüge, Website-Inhalte bei Werkzeugzugriff	Data Processing Addendum mit EU-Standardvertragsklauseln; nur geschäftliche Nutzung (Claude for Work oder Claude API)
Google (Gemini API)	USA	KI-Auswertung von Update-Logs im Schutz-Abo	Fehlermeldungen, Logauszüge	Data Processing Addendum für kostenpflichtige Dienste; EU-U.S. Data Privacy Framework
Groq (GroqCloud)	USA	Ausweich-KI-Modell, wenn Gemini ausfällt	Fehlermeldungen, Logauszüge	Customer DPA mit EU-Standardvertragsklauseln
ALL-INKL.COM – Neue Medien Münnich	Friedersdorf; Server in Deutschland	Hosting von wp-cleaner.com mit Zugangsformular und E-Mail	Zugangsdaten, Kontaktdaten	Auftragsverarbeitungsvertrag
Hetzner Online GmbH	Gunzenhausen; Rechenzentren in der EU, Analyse-Server in Deutschland	Betrieb von n8n für Update-Agent und Benachrichtigungen; Analyse-Server für die Bereinigung, je Auftrag neu angelegt und danach gelöscht; Aufbewahrung der verschlüsselten Sicherungen und Berichte (Storage Box, Falkenstein)	Logauszüge, Statusdaten, SSH-Zugänge im Schutz-Abo; bei der Bereinigung vollständige Kopien von Dateien und Datenbank der Website; verschlüsselte Sicherungen	Auftragsverarbeitungsvertrag

Die Unterauftragsverarbeiter von Anthropic stehen unter trust.anthropic.com/subprocessors, die von Groq unter trust.groq.com/subprocessors.

Stand: Oktober 2026