← Zu den AGB

Vertrag zur Auftragsverarbeitung

GT Business GmbH · nach Art. 28 DSGVO · Stand: 17. Oktober 2026

Dieser Vertrag gilt, soweit die GT Business GmbH im Rahmen ihrer Leistungen personenbezogene Daten im Auftrag des Kunden verarbeitet. Er ist nach Ziffer 15.2 der Allgemeinen Geschäftsbedingungen Bestandteil des Vertrags.

zwischen dem Kunden laut Angebot bzw. Buchung (Verantwortlicher, „Kunde“)

und der GT Business GmbH, Lietzenburger Straße 107, 10707 Berlin (Auftragsverarbeiter, „Anbieter“)

1. Gegenstand und Dauer

1.1 Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für die Leistungen nach dem Hauptvertrag (Angebot/Buchung mit AGB der GT Business GmbH) erforderlich ist, insbesondere für

a) den Betrieb der Kundenwebseite im Webseiten System (Hosting, Kontakt- und Terminanfrageformulare, Sicherungen),

b) die Einrichtung und Betreuung von Werbekampagnen und Landingpages, soweit dabei Anfragen von Interessenten (Leads) erhoben oder an den Kunden weitergeleitet werden.

1.2 Die Dauer entspricht der Laufzeit des Hauptvertrags. Pflichten zur Löschung und Rückgabe (Ziffer 9) gelten darüber hinaus.

2. Art und Zweck, Datenarten, Betroffene

3. Weisungen

3.1 Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden; Weisungen ergeben sich aus diesem Vertrag und dem Hauptvertrag und können in Textform ergänzt werden.

3.2 Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

4. Pflichten des Anbieters

4.1 Vertraulichkeit: Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet.

4.2 Sicherheit: Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 (Art. 32 DSGVO) und darf sie dem Stand der Technik anpassen, ohne das Schutzniveau zu senken.

4.3 Unterstützung: Der Anbieter unterstützt den Kunden angemessen bei Anfragen Betroffener (Art. 12–23 DSGVO) und bei den Pflichten nach Art. 32–36 DSGVO. Anfragen Betroffener, die beim Anbieter eingehen, leitet er unverzüglich weiter.

4.4 Meldung: Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

4.5 Nachweise: Der Anbieter stellt die zum Nachweis der Pflichten erforderlichen Informationen zur Verfügung und ermöglicht Prüfungen nach Ziffer 7.

5. Unterauftragsverarbeiter

5.1 Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.

5.2 Weitere oder andere Unterauftragsverarbeiter kündigt der Anbieter mindestens 30 Tage vorher in Textform an. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; ist eine Einigung nicht möglich, können beide Seiten den betroffenen Teil des Hauptvertrags kündigen.

5.3 Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich mindestens auf das Schutzniveau dieses Vertrags.

6. Drittländer

Eine Verarbeitung außerhalb der EU/des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (z. B. Angemessenheitsbeschluss einschließlich EU-US Data Privacy Framework oder Standardvertragsklauseln).

7. Kontrollen

Der Kunde kann sich nach vorheriger Ankündigung mit angemessener Frist (in der Regel 14 Tage) und höchstens einmal jährlich, außer bei konkretem Anlass, von der Einhaltung überzeugen. Vorrangig genügen aktuelle Nachweise (z. B. Zertifikate, Berichte der Unterauftragsverarbeiter, Selbstauskunft). Vor-Ort-Prüfungen erfolgen während der Geschäftszeiten ohne Störung des Betriebs; der Kunde trägt seine Kosten.

8. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Datenschutzerklärung und Einwilligungen auf seiner Webseite (z. B. Cookie-Banner, Formular-Hinweise) und für die Information der Betroffenen. Er informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.

9. Löschung und Rückgabe

Nach Ende des Hauptvertrags gibt der Anbieter auf Wunsch des Kunden die Daten innerhalb von 30 Tagen in einem gängigen Format heraus (vgl. AGB-Ziffer 9.5) und löscht sie danach, soweit keine gesetzliche Aufbewahrungspflicht besteht. Sicherungskopien werden im regulären Rhythmus der eingesetzten Plattform überschrieben.

10. Haftung, Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregeln der AGB, soweit Art. 82 DSGVO nicht entgegensteht. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor. Im Übrigen gelten die Schlussbestimmungen der AGB.

Anlage 1 – Technische und organisatorische Maßnahmen (Kurzfassung)

• Zugang/Zugriff: persönliche Konten mit Zwei-Faktor-Anmeldung für Plattform, Hosting, Werbekonten und Mail; Rechte nur im erforderlichen Umfang; Entzug bei Ausscheiden.
• Übertragung: Webseiten ausschließlich per HTTPS (SSL); Weiterleitung von Anfragen verschlüsselt (TLS).
• Verfügbarkeit: regelmäßige Sicherungen durch die Plattform; Wiederherstellung getestet.
• Trennung: Daten je Kunde in eigenen Projekten/Konten.
• Organisation: Verpflichtung auf Vertraulichkeit; Verfahren für Datenschutzvorfälle (Meldung an den Kunden ≤ 24 h).

Anlage 2 – Unterauftragsverarbeiter

Je Kundenwebseite wird eine der beiden Plattformen eingesetzt; welche, teilt der Anbieter auf Anfrage mit.

Nicht Unterauftragsverarbeiter des Anbieters: Meta Platforms und Google bei Werbekonten des Kunden – der Kunde schließt die Bedingungen der Plattform selbst ab (Konto gehört dem Kunden, AGB-Ziffer 6.1); Daten aus Lead-Formularen der Plattformen verarbeitet der Kunde in seinem eigenen Konto.