Rechtliche Angaben
Auftragsverarbeitungsvertrag
Stand: 12.06.2026
Präambel
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird gemäß Art. 28 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, nachfolgend „DSGVO“) zwischen den nachfolgend bezeichneten Parteien geschlossen.
Er ergänzt die zwischen den Parteien bestehenden Allgemeinen Geschäftsbedingungen (AGB) von wedoria und regelt die datenschutzrechtlichen Pflichten und Rechte bei der Verarbeitung personenbezogener Daten im Rahmen der Nutzung der Zusatzleistungen Gästemanagement und/oder Bildergalerie sowie jeglicher weiterer Leistungen, bei denen der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
§ 1 – Parteien
1.1 Auftragsverarbeiter
| Feld | Information |
|---|---|
| Unternehmensname | wedoria IT Solutions |
| Inhaber | Lukas Knips |
| Anschrift | Bahnhofstraße 8, 67283 Obrigheim (Pfalz) |
| Telefon | 0176 63807783 |
| support@wedoria.io | |
| Website | www.wedoria.io |
| USt-IdNr. | DE359167652 |
1.2 Verantwortlicher
Der Kunde gemäß den AGB von wedoria (natürliche Person, die als Verbraucher im Sinne des § 13 BGB einen Vertrag mit wedoria IT Solutions abgeschlossen hat), identifiziert durch die im Nutzerkonto hinterlegten Daten zum Zeitpunkt des Vertragsschlusses.
Der Auftragsverarbeiter und der Verantwortliche werden nachfolgend gemeinsam als „Parteien“ bezeichnet.
§ 2 – Gegenstand und Dauer der Verarbeitung
2.1 Gegenstand
Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Erbringung folgender Leistungen für den Verantwortlichen:
- Bereitstellung einer SaaS-Plattform für digitale Hochzeitseinladungen im Website-Format
- Optionale Zusatzleistung: Gästemanagement (Verwaltung von Gästelisten, RSVPs und Rückmeldungen)
- Optionale Zusatzleistung: Bildergalerie (Upload und Anzeige von Bilddateien durch den Verantwortlichen und seine Gäste)
- Alle weiteren Leistungen des Auftragsverarbeiters, bei denen personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet werden
2.2 Dauer
Dieser AVV gilt ab dem Zeitpunkt der Online-Zustimmung durch den Verantwortlichen im Rahmen des Bestellprozesses und läuft parallel zur Laufzeit des zugrundeliegenden Hauptvertrages (AGB). Er endet automatisch mit der endgültigen Löschung aller personenbezogenen Daten des Verantwortlichen gemäß § 9 dieses AVV, spätestens jedoch nach Ablauf der dort geregelten Löschfristen.
§ 3 – Art, Zweck und Umfang der Verarbeitung
3.1 Art der Verarbeitung
Im Rahmen der Leistungserbringung werden folgende Verarbeitungstätigkeiten durchgeführt:
- Erhebung und Speicherung personenbezogener Daten der Gäste auf EU-Servern
- Abruf und Anzeige der gespeicherten Daten durch den Verantwortlichen über die Plattform
- Technische Übertragung von Daten an Endgeräte beim Aufruf der Einladungswebsite
- Löschung der Daten nach Ablauf der vertraglich vereinbarten Fristen
3.2 Zweck der Verarbeitung
Die Verarbeitung erfolgt ausschließlich zum Zweck der Erbringung der vertraglich vereinbarten Leistungen für den Verantwortlichen. Eine darüber hinausgehende Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
3.3 Kategorien betroffener Personen
Von der Verarbeitung betroffene Personen sind:
- Gäste des Verantwortlichen, die die Einladungswebsite aufrufen
- Gäste, die im Rahmen des Gästemanagements eine Rückmeldung übermitteln
- Gäste, die über die Bildergalerie Bilder hochladen
3.4 Kategorien personenbezogener Daten
Verarbeitet werden insbesondere folgende Datenkategorien:
- Namen der Gäste
- Rückmeldungen (Zu- und Absagen sowie optionale Nachrichten)
- Bilddateien (z.B. im Rahmen der Bildergalerie), die ggf. Abbildungen von Personen enthalten
- Technische Zugriffsdaten (IP-Adressen, Browser-Informationen) in serverseitigen Protokolldateien
Eine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO ist nicht Gegenstand der Leistung. Der Verantwortliche ist verpflichtet, solche Daten nicht gezielt – etwa in Form strukturierter Angaben zu Gesundheit, Religion oder Sexualleben (z. B. in Gästelisten oder Freitextfeldern) – auf der Plattform zu speichern. Bilddateien können naturgemäß beiläufig Merkmale erkennen lassen, die besonderen Kategorien zuzuordnen sind (z. B. religiöse Zeremonien oder sichtbare Gesundheitsmerkmale abgebildeter Personen); diese beiläufige Abbildung gilt nicht als gezielte Verarbeitung im Sinne dieses Absatzes. Die Verantwortung für die Rechtmäßigkeit der gespeicherten Inhalte liegt beim Verantwortlichen.
§ 4 – Weisungsrecht des Verantwortlichen
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen des Verantwortlichen sind in diesem AVV sowie in den zugrundeliegenden AGB dokumentiert.
Ergänzende oder abweichende Weisungen sind dem Auftragsverarbeiter in Textform (z. B. per E-Mail an support@wedoria.io) zu erteilen. Der Auftragsverarbeiter bestätigt den Eingang einer Weisung unverzüglich.
Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstößt, teilt er dies dem Verantwortlichen unverzüglich mit. Der Auftragsverarbeiter ist berechtigt, die Ausführung einer solchen Weisung bis zur Klärung auszusetzen.
§ 5 – Pflichten des Auftragsverarbeiters
5.1 Vertraulichkeit
Der Auftragsverarbeiter gewährleistet, dass alle Personen, die Zugang zu den personenbezogenen Daten des Verantwortlichen haben, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Schweigepflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
5.2 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die konkret umgesetzten Maßnahmen sind in § 8 dieses AVV beschrieben.
5.3 Unterstützung des Verantwortlichen
Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei:
- der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) gemäß Art. 15–22 DSGVO
- der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Vorabkonsultation)
5.4 Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, per E-Mail an die im Nutzerkonto hinterlegte E-Mail-Adresse. Die Meldung enthält alle verfügbaren Informationen gemäß Art. 33 Abs. 3 DSGVO.
5.5 Keine Weitergabe an Dritte
Der Auftragsverarbeiter gibt personenbezogene Daten des Verantwortlichen nicht an Dritte weiter, es sei denn, dies ist zur Erfüllung der Leistung durch genehmigte Unterauftragsverarbeiter gemäß § 7 dieses AVV erforderlich oder der Verantwortliche hat in Textform eingewilligt.
§ 6 – Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung in seinem Verantwortungsbereich allein zuständig. Er ist insbesondere verpflichtet:
- sicherzustellen, dass eine Rechtsgrundlage für die Verarbeitung der Daten seiner Gäste vorliegt (z. B. Einwilligung gemäß Art. 6 Abs. 1 lit. a DSGVO)
- seine Gäste gemäß Art. 13 DSGVO über die Verarbeitung ihrer personenbezogenen Daten zu informieren
- Weisungen an den Auftragsverarbeiter nur im Einklang mit der DSGVO und anwendbarem Datenschutzrecht zu erteilen
- Betroffenenrechte seiner Gäste (Auskunft, Löschung etc.) zu erfüllen und den Auftragsverarbeiter bei Bedarf gemäß § 5.3 um Unterstützung zu bitten
- den Auftragsverarbeiter unverzüglich zu informieren, falls er Kenntnis von einer Datenschutzverletzung erhält, die den Auftragsverarbeiter betrifft
§ 7 – Unterauftragsverarbeiter
7.1 Allgemeine Genehmigung
Der Verantwortliche erteilt hiermit seine allgemeine schriftliche Genehmigung im Sinne von Art. 28 Abs. 2 DSGVO für den Einsatz der nachfolgend genannten Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügen oder Ersetzen von Unterauftragsverarbeitern) mit einer Vorlaufzeit von mindestens 30 Tagen, sodass der Verantwortliche die Möglichkeit hat, Einwände zu erheben.
7.2 Genehmigte Unterauftragsverarbeiter
| Dienstleister | Zweck | Sitz / Serverstandort | Zertifizierung |
|---|---|---|---|
| Hetzner Online GmbH | Hosting, Server-Infrastruktur, Objektspeicher (S3) | Deutschland (EU) | ISO/IEC 27001 |
| IONOS SE | E-Mail-Versand (Transaktions- und Benachrichtigungs-E-Mails) | Deutschland (EU) | ISO/IEC 27001 |
Alle Unterauftragsverarbeiter sind durch den Auftragsverarbeiter vertraglich zu denselben datenschutzrechtlichen Pflichten verpflichtet, die für den Auftragsverarbeiter gemäß diesem AVV gelten (Art. 28 Abs. 4 DSGVO). Der Auftragsverarbeiter haftet dem Verantwortlichen gegenüber für die Einhaltung dieser Pflichten durch die Unterauftragsverarbeiter.
7.3 Künftige Unterauftragsverarbeiter
Für künftig hinzugefügte Unterauftragsverarbeiter (z. B. selbst gehostete Monitoring- oder Support-Software auf Hetzner-VMs) gilt die allgemeine Genehmigung gemäß § 7.1 mit der Maßgabe, dass der Auftragsverarbeiter den Verantwortlichen mindestens 30 Tage vor dem Einsatz informiert. Der Verantwortliche kann innerhalb dieser Frist in Textform Einwände erheben.
Erhebt der Verantwortliche fristgerecht Einwände, bemühen sich die Parteien um eine einvernehmliche Lösung (z. B. Verzicht auf den Einsatz des betreffenden Unterauftragsverarbeiters für die Daten des Verantwortlichen). Kommt eine solche Lösung nicht zustande, ist der Verantwortliche berechtigt, den Hauptvertrag und diesen AVV außerordentlich zu kündigen. In diesem Fall erstattet der Auftragsverarbeiter den auf den nicht erbrachten Leistungszeitraum entfallenden, anteiligen Betrag.
§ 8 – Technische und organisatorische Maßnahmen (TOMs)
Der Auftragsverarbeiter trifft gemäß Art. 32 DSGVO folgende technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten:
| Maßnahme | Konkrete Umsetzung |
|---|---|
| Vertraulichkeit – Zugriffskontrolle | Zugriff auf personenbezogene Daten nur für autorisierte Personen; rollenbasierte Zugriffsrechte; Zwei-Faktor-Authentifizierung für administrative Systeme |
| Verschlüsselung der Übertragung | Durchgängige TLS/SSL-Verschlüsselung (mind. TLS 1.2) aller Datentransporte zwischen Client und Server sowie zwischen Server und Unterauftragsverarbeitern |
| Verschlüsselung der Speicherung | Bilddateien werden in einem dedizierten Objektspeicher mit serverseitiger Verschlüsselung (Encryption at rest) abgelegt; der Zugriff ist durch restriktive Zugriffsrichtlinien und private Sichtbarkeit auf autorisierte Dienste beschränkt. Gästedaten werden in einer dedizierten Datenbank gespeichert, die durch Netzwerk-Kapselung gegen externen Zugriff geschützt ist; der Zugriff ist ausschließlich auf autorisierte interne Dienste beschränkt. |
| Verfügbarkeit | Redundante Server-Infrastruktur bei Hetzner Online GmbH in Deutschland; gewährleistete Jahresverfügbarkeit 99 %; regelmäßige automatische Backups |
| Integrität | Regelmäßige Sicherheitsupdates der eingesetzten Systeme und Softwarekomponenten; Einsatz von Integritätsprüfungen |
| Pseudonymisierung | Technische Zugriffsdaten (IP-Adressen) werden in Logfiles nur so lange gespeichert, wie für den Betrieb erforderlich, und danach gelöscht oder anonymisiert |
| Belastbarkeit | Skalierbare Cloud-Infrastruktur bei Hetzner; Schutzmechanismen gegen DDoS-Angriffe auf Infrastrukturebene |
| Wiederherstellbarkeit | Regelmäßige Backups; dokumentiertes Notfallwiederherstellungsverfahren; Wiederherstellungstests |
| Vertraulichkeitspflicht | Alle Mitarbeiter und Auftragnehmer, die Zugang zu personenbezogenen Daten haben, sind schriftlich zur Vertraulichkeit verpflichtet |
| Datenschutz durch Technik | Privacy by Design und Privacy by Default als Grundsätze bei der Systementwicklung; datensparsame Erhebung |
| Zertifizierungen | Hetzner Online GmbH und IONOS SE sind nach ISO/IEC 27001 zertifiziert; Zertifikate sind auf Anfrage verfügbar |
| Physische Sicherheit | Serverstandorte in ISO-27001-zertifizierten Rechenzentren von Hetzner in Deutschland; Zutrittskontrollen und Überwachung durch Hetzner |
§ 9 – Löschung und Rückgabe von Daten
9.1 Nachfrist zur Datensicherung
Der Auftragsverarbeiter bewahrt die Daten des Verantwortlichen für eine Nachfrist von 30 Tagen nach Vertragsende auf. Während dieser Frist stellt der Auftragsverarbeiter eine Export-Funktion bereit, über die der Verantwortliche seine Daten in einem gängigen, maschinenlesbaren Format herunterladen kann.
9.2 Endgültige Löschung
Nach Ablauf der Nachfrist von 30 Tagen werden alle personenbezogenen Daten des Verantwortlichen – einschließlich aller Gästedaten, Bilddateien und technischen Protokolldaten – aus den Produktivsystemen unwiderruflich und vollständig gelöscht. Dies umfasst auch alle bei Unterauftragsverarbeitern gespeicherten Kopien.
Daten in automatischen Sicherungskopien (Backups) werden spätestens mit Ablauf des regulären Backup-Zyklus von 30 Tagen nach der Löschung aus den Produktivsystemen überschrieben bzw. gelöscht. Bis dahin sind sie durch technische Maßnahmen gegen Zugriff geschützt und werden nicht in Produktivsysteme zurückgespielt; erfolgt ausnahmsweise eine Notfall-Wiederherstellung, wird die Löschung unverzüglich nachgeholt.
Die Löschung erfolgt, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht; in diesem Fall werden die betreffenden Daten gesperrt und nach Wegfall der Pflicht gelöscht.
9.3 Löschnachweis
Auf ausdrückliche Anfrage des Verantwortlichen stellt der Auftragsverarbeiter eine Bescheinigung über die erfolgte Löschung aus.
§ 10 – Kontrollrechte des Verantwortlichen
Der Verantwortliche ist gemäß Art. 28 Abs. 3 lit. h DSGVO berechtigt, die Einhaltung der Datenschutzvorschriften und dieses AVV durch den Auftragsverarbeiter zu kontrollieren. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung und ermöglicht Prüfungen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden.
Kontrollen können insbesondere in folgender Form durchgeführt werden:
- Schriftliche Auskunftsanfragen per E-Mail an support@wedoria.io
- Anforderung von Dokumentationen, Zertifikaten oder Prüfberichten
- Vor-Ort-Prüfungen nach vorheriger Ankündigung mit angemessener Vorlaufzeit (mind. 14 Tage) und auf Kosten des Verantwortlichen
Zum Nachweis der Einhaltung kann der Auftragsverarbeiter zunächst auf aussagekräftige Unterlagen verweisen (z. B. aktuelle Prüfberichte, Testate oder Zertifizierungen wie das ISO-27001-Zertifikat der eingesetzten Rechenzentren). Soweit diese Nachweise im Einzelfall nicht ausreichen, erfolgen Vor-Ort-Prüfungen zu den üblichen Geschäftszeiten, ohne unverhältnismäßige Störung des Betriebsablaufs und unter Wahrung der Vertraulichkeit von Geschäftsgeheimnissen sowie der Daten anderer Kunden. Das Überprüfungsrecht des Verantwortlichen gemäß Art. 28 Abs. 3 lit. h DSGVO bleibt unberührt.
§ 11 – Datenübermittlung in Drittländer
Eine Übermittlung personenbezogener Daten in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums (Drittländer) findet nicht statt. Alle Daten werden ausschließlich auf Servern innerhalb der Europäischen Union gespeichert und verarbeitet (Hetzner Online GmbH, Deutschland; IONOS SE, Deutschland).
Sollte künftig eine Übermittlung in ein Drittland erforderlich werden, wird der Auftragsverarbeiter den Verantwortlichen vorab informieren und sicherstellen, dass ein angemessenes Schutzniveau gemäß Art. 44–49 DSGVO gewährleistet ist (z. B. Standardvertragsklauseln der EU-Kommission).
§ 12 – Haftung
Die Haftung der Parteien richtet sich nach den Vorgaben der DSGVO sowie den Regelungen der zugrundeliegenden AGB von wedoria, insbesondere § 8 der AGB.
Jede Partei haftet für Schäden, die durch einen Verstoß gegen diesen AVV oder die DSGVO entstehen, nach den Maßgaben des Art. 82 DSGVO. Soweit mehrere Verantwortliche oder Auftragsverarbeiter an derselben Verarbeitung beteiligt sind und für einen durch diese Verarbeitung entstandenen Schaden verantwortlich sind, haftet jeder Verantwortliche oder Auftragsverarbeiter für den gesamten Schaden (Gesamtschuldnerschaft), um sicherzustellen, dass die betroffene Person Schadensersatz erhält.
Ein Auftragsverarbeiter ist von der Haftung befreit, wenn er nachweist, dass er in keinerlei Hinsicht für den Umstand, durch den der Schaden eingetreten ist, verantwortlich ist (Art. 82 Abs. 3 DSGVO).
§ 13 – Schlussbestimmungen
13.1 Anwendbares Recht
Es gilt das Recht der Bundesrepublik Deutschland. Die Vorschriften der DSGVO haben Vorrang.
13.2 Vorrang des AVV
Im Falle von Widersprüchen zwischen diesem AVV und den AGB von wedoria hat dieser AVV in datenschutzrechtlichen Fragen Vorrang.
13.3 Salvatorische Klausel
Sollten einzelne Bestimmungen dieses AVV unwirksam oder undurchführbar sein, berührt dies die Gültigkeit der übrigen Bestimmungen nicht. Die unwirksame Bestimmung ist durch eine wirksame zu ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
13.4 Änderungen des AVV
Änderungen dieses AVV bedürfen der Textform (z. B. E-Mail). Für Änderungen während eines laufenden Leistungszeitraums gilt § 12.2 der AGB entsprechend: Sie werden dem Verantwortlichen mindestens 30 Tage vor Inkrafttreten im Volltext mitgeteilt und bedürfen seiner ausdrücklichen Zustimmung. Stimmt der Verantwortliche nicht zu, gilt der AVV in der bisherigen Fassung fort. Die Änderung der Liste der Unterauftragsverarbeiter richtet sich abweichend hiervon ausschließlich nach § 7 dieses AVV.
13.5 Online-Zustimmung als Vertragsschluss
Die Online-Zustimmung des Verantwortlichen im Rahmen des Bestellprozesses (Checkbox-Bestätigung) gilt als Abschluss dieses AVV in Textform gemäß § 126b BGB und begründet einen rechtsverbindlichen Vertrag im Sinne von Art. 28 DSGVO. Das vorliegende Dokument dient als Dokumentation dieser Vereinbarung und wird dem Verantwortlichen per E-Mail als Anlage zur Auftragsbestätigung übermittelt.
Vertragsschluss
Dieser AVV wird ausschließlich durch die Online-Zustimmung des Verantwortlichen im Rahmen des Bestellprozesses auf www.wedoria.io verbindlich abgeschlossen. Die Bestätigung erfolgt durch aktives Setzen der entsprechenden Checkbox mit folgendem Wortlaut:
„Ich habe den Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO gelesen und stimme seinem Abschluss zu. Mir ist bekannt, dass diese Zustimmung rechtsverbindlich ist und einen AVV in Textform gemäß § 126b BGB begründet.“
Mit der Zustimmung per Checkbox erkennt der Verantwortliche die Geltung dieses AVV in seiner zum Zeitpunkt des Vertragsschlusses aktuellen Fassung an. Der Auftragsverarbeiter übermittelt dem Verantwortlichen dieses Dokument unmittelbar nach Vertragsschluss als Anlage zur Auftragsbestätigung per E-Mail zur Dokumentation.