Vereinbarung zur Auftragsverarbeitung
Stand: Oktober 2026
Wann Sie diese Vereinbarung brauchen: wavux läuft auf Ihrem eigenen Server. Für Download und Updates verarbeiten wir keine personenbezogenen Daten in Ihrem Auftrag — Ihr Shop übermittelt dabei nur Installationskennung, Version, PHP-Version und ggf. Lizenzschlüssel und Domain. Die Vereinbarung wird erst nötig, wenn Sie uns mit Support oder Fernwartung beauftragen und wir dabei auf Daten Ihres Shops zugreifen können.
So schließen Sie sie ab: Seite drucken (oder als PDF speichern), Ihre Angaben eintragen, unterschreiben und an info@wavux.de senden. Sie erhalten die gegengezeichnete Fassung zurück.
Zwischen
Name bzw. Firma und Anschrift des Shopbetreibers
— im Folgenden Auftraggeber (Verantwortlicher) —
und
Paul Wagner (wavux)Aufhausener Str. 16, 94436 Simbach
E-Mail: info@wavux.de
— im Folgenden Auftragnehmer (Auftragsverarbeiter) —
§ 1 Gegenstand und Dauer
(1) Gegenstand ist die Erbringung von Support- und Fernwartungsleistungen für die Software wavux in der Installation des Auftraggebers (Fehleranalyse und -behebung, Einrichtung, Einspielen von Updates, Unterstützung bei der Bedienung). Dabei kann der Auftragnehmer Zugriff auf personenbezogene Daten erhalten, die der Auftraggeber in seinem Shop verarbeitet.
(2) Die Vereinbarung gilt für alle Support- und Fernwartungsleistungen, die der Auftraggeber ab Unterzeichnung beauftragt, und endet mit Kündigung durch eine Partei in Textform. Die Pflichten aus §§ 4, 9 und 10 gelten über das Ende hinaus, soweit dort Daten betroffen sind.
§ 2 Art und Zweck der Verarbeitung, Art der Daten, Betroffene
(1) Art und Zweck: Einsicht in und, soweit für den Auftrag erforderlich, Bearbeitung von Daten im Shop des Auftraggebers ausschließlich zur Erbringung der Leistung nach § 1.
(2) Art der Daten, soweit im Shop gespeichert:
- Stamm- und Kontaktdaten (Name, Anschrift, E-Mail-Adresse, Telefonnummer)
- Bestell-, Vertrags- und Rechnungsdaten, Zahlungs- und Versandinformationen (ohne vollständige Kartendaten — diese speichert wavux nicht)
- Kommunikationsdaten (Nachrichten, Anfragen, Bewertungen)
- Kundenkonto- und Nutzungsdaten, Einwilligungsnachweise
- Zugangsdaten und Protokolle von Beschäftigten mit Zugang zum Adminbereich
(3) Betroffene: Kundinnen und Kunden, Interessenten, Newsletter-Empfänger, Beschäftigte und Beauftragte des Auftraggebers.
§ 3 Weisungen
(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers; Weisungen in Textform (z. B. E-Mail) genügen. Das gilt auch für Übermittlungen in ein Drittland, es sei denn, der Auftragnehmer ist durch Recht der Union oder eines Mitgliedstaats dazu verpflichtet; dann teilt er dies vor der Verarbeitung mit.
(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.
§ 4 Vertraulichkeit
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.
§ 5 Technische und organisatorische Maßnahmen
Der Auftragnehmer trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere:
- Zugriff ausschließlich über vom Auftraggeber bereitgestellte, persönliche Zugänge; Zugangsdaten werden nach Abschluss des Auftrags nicht aufbewahrt, der Auftraggeber kann sie jederzeit sperren;
- nur verschlüsselte Verbindungen (HTTPS, SSH/SFTP);
- keine Kopien von Daten außerhalb des Systems des Auftraggebers; ist eine Kopie zur Fehleranalyse unvermeidbar, wird sie nur mit Zustimmung des Auftraggebers angelegt, verschlüsselt aufbewahrt und nach Abschluss gelöscht;
- Zwei-Faktor-Anmeldung, soweit der Zugang sie anbietet;
- geschützte Arbeitsgeräte (aktuelle Software, Datenträgerverschlüsselung, Bildschirmsperre).
Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt.
§ 6 Unterauftragsverarbeiter
Der Auftragnehmer setzt derzeit keine Unterauftragsverarbeiter ein. Er darf dies nur nach vorheriger Zustimmung des Auftraggebers in Textform und muss dem Unterauftragsverarbeiter dieselben Pflichten auferlegen, die diese Vereinbarung vorsieht.
§ 7 Unterstützung des Auftraggebers
Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 23 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Anfragen betroffener Personen, die ihn direkt erreichen, leitet er unverzüglich an den Auftraggeber weiter.
§ 8 Verletzungen des Schutzes personenbezogener Daten
Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
§ 9 Löschung und Rückgabe
Nach Abschluss eines Auftrags, spätestens mit Ende dieser Vereinbarung, löscht der Auftragnehmer alle im Rahmen der Leistung erhaltenen personenbezogenen Daten und bestätigt dies auf Verlangen in Textform, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht.
§ 10 Nachweise und Überprüfungen
Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung dieser Pflichten erforderlich sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung.
§ 11 Ort der Verarbeitung
Die Leistungen werden ausschließlich in der Europäischen Union erbracht.
§ 12 Schlussbestimmungen
(1) Änderungen bedürfen der Textform. (2) Bei Widersprüchen geht diese Vereinbarung in Fragen des Datenschutzes anderen Vereinbarungen der Parteien vor. (3) Ist eine Bestimmung unwirksam, bleibt der Rest wirksam; an die Stelle tritt eine Regelung, die dem Gewollten und den Anforderungen des Art. 28 DSGVO am nächsten kommt. (4) Es gilt deutsches Recht.