Auftragsverarbeitungsvertrag Tegnest

Dies ist die deutsche Fassung unseres niederländischen Textes. Beide Fassungen gelten gleichermaßen. Weichen sie voneinander ab, gilt die für dich günstigere Fassung.

Anlage zu den Allgemeinen Geschäftsbedingungen (AGB) von Tegnest, Version 2026-10-14.4. Diese Vereinbarungen folgen Artikel 28 der DSGVO.

Parteien

• Du (der Kunde): der Verantwortliche. Du bestimmst, warum deine Website personenbezogene Daten erhält.
• Dario Albers (Einzelunternehmen, Handelsname Tegnest), Vlierstraat 196, 7544 GJ Enschede, KvK (niederländische Handelskammer) 42167593, hallo@tegnest.com: der Auftragsverarbeiter. In diesem Vertrag heißt das „wir“.

Du stimmst diesem Vertrag zu, wenn du den Allgemeinen Geschäftsbedingungen zustimmst. Lädst du schon Fotos oder anderes Material hoch, bevor du bestellst, dann gelten diese Vereinbarungen ab diesem ersten Upload. Du akzeptierst sie dann vor diesem Upload.

1. Worum geht es?

Dieser Vertrag gilt nur für personenbezogene Daten, die wir für dich über deine Website verarbeiten, auch in Fotos und anderem Material, das du bereitstellst, ab deinem ersten Upload. Er gilt nicht für Daten über dich als Kunden (dein Account, Zahlungen, Rechnungen, deine Domainregistrierung und die Unternehmensdaten für die KI). Für diese Daten sind wir selbst verantwortlich. Das steht in unserer Datenschutzerklärung (https://tegnest.com/de/datenschutz).

2. Welche Daten, von wem und wofür?

3. Deine Weisungen

1. Wir verarbeiten die Daten nur für die oben genannten Zwecke und nach deinen Weisungen. Die Einstellungen, die du in deinem Account wählst, sind ebenfalls Weisungen: zum Beispiel das Ein- oder Ausschalten des Kontaktformulars, die Fragen in deinem Anfrageformular, die Speicherdauer von Anfragen, die E-Mail-Adresse für Benachrichtigungen und die Eingangsbestätigung, und bei Terminen deine Leistungen, Zeiten, Orte und Schließtage, die Speicherdauer von Terminen, ob Termine sofort verbindlich sind, die Absagefrist und die Erinnerung.
2. Müssen wir nach dem Gesetz etwas anderes tun, teilen wir dir das vorher mit, es sei denn, das Gesetz verbietet es.
3. Halten wir eine Weisung für einen Verstoß gegen die DSGVO, sagen wir dir das sofort.

4. Vertraulichkeit

Nur wer die Daten für die Arbeit braucht, hat Zugriff darauf. Jeder, der für uns arbeitet, ist zur Verschwiegenheit verpflichtet.

5. Sicherheit

Wir treffen geeignete Maßnahmen (Artikel 32 DSGVO), darunter:

• verschlüsselte Verbindungen (https/TLS) für deine Website und unsere Plattform;
• Zugang nur mit einem eigenen Account, Anmeldung mit einem Einmalcode per E-Mail, und so wenige Personen mit Zugang wie möglich; Administratoren melden sich mit ihrem Google-Account (mit Zwei-Faktor-Authentifizierung bei Google) oder mit einem Code per E-Mail an, ihre Anmeldung läuft nach 12 Stunden ab und jede Administratoranmeldung wird im Protokoll festgehalten;
• Zugangsdaten und Schlüssel nur auf dem Server, nie im Browser;
• Datenbanken und Speicher in der EU, wo das möglich ist;
• Updates und Backups (die Datenbank lässt sich auf jeden Zeitpunkt der letzten 7 Tage zurücksetzen (Point-in-Time-Wiederherstellung bei Neon), die Hauptdatenbank ist gegen Löschen geschützt, und wir üben das Zurücksetzen mit einem Wiederherstellungstest);
• ein Protokoll der Änderungen an der Plattform.

6. Unterauftragsverarbeiter

1. Du erteilst uns die allgemeine Genehmigung, die Unterauftragsverarbeiter aus der Anlage einzusetzen.
2. Kommt ein neuer Unterauftragsverarbeiter hinzu oder ersetzen wir einen, teilen wir das mindestens 30 Tage vorher per E-Mail mit. Bist du damit nicht einverstanden, kannst du Einspruch erheben. Finden wir gemeinsam keine Lösung, kannst du das Hosting kostenlos kündigen, mit Wirkung vor dem Beginn des neuen Unterauftragsverarbeiters. Du bekommst dann das im Voraus bezahlte Geld für die verbleibenden Tage zurück (pro Tag).
3. Wir erlegen Unterauftragsverarbeitern dieselben Pflichten auf, die in diesem Vertrag stehen. Wir bleiben dir gegenüber für sie verantwortlich.

7. Daten außerhalb der EU

Einige Unterauftragsverarbeiter sind US-amerikanische Unternehmen. Wir wählen eine EU-Region, wo das möglich ist. Werden Daten dennoch in Länder außerhalb des EWR übermittelt, geschieht das nur auf einer gültigen Rechtsgrundlage, etwa dem EU-US Data Privacy Framework oder den Standardvertragsklauseln der Europäischen Kommission. Für jeden Unterauftragsverarbeiter steht das in der Anlage.

8. Unterstützung für dich

1. Bittet dich jemand um Auskunft, Berichtigung oder Löschung seiner Daten, helfen wir dir dabei. Anfragen kannst du selbst in deinem Account suchen, ansehen, exportieren (als CSV-Datei) und löschen. Termine kannst du in deinem Kalender ansehen, exportieren (als CSV-Datei) und löschen. Fotos kannst du in deinem Account löschen. Geht ein solches Ersuchen bei uns ein, leiten wir es an dich weiter.
2. Wir helfen dir auch bei deinen anderen Pflichten aus den Artikeln 32 bis einschließlich 36 DSGVO: der Sicherheit, der Meldung einer Datenschutzverletzung an die Aufsichtsbehörde und an die betroffenen Personen, einer DSFA (Datenschutz-Folgenabschätzung) und einer vorherigen Konsultation der Aufsichtsbehörde. Hast du Fragen der Autoriteit Persoonsgegevens (niederländische Datenschutzbehörde) oder einer anderen Aufsichtsbehörde, geben wir dir die Informationen, die wir haben.
3. Kostet diese Hilfe mehr als einen angemessenen Zeitaufwand, besprechen wir zuerst die Kosten mit dir.

9. Datenschutzverletzungen

1. Entdecken wir eine Datenschutzverletzung, die deine Daten betrifft, melden wir sie ohne unnötige Verzögerung und spätestens 48 Stunden, nachdem wir sie entdeckt haben. Diese 48 Stunden sind eine äußerste Grenze, keine Wartezeit.
2. Wir sagen dir dann, was passiert ist, welche Daten und wie viele Menschen betroffen sind, welche Folgen das haben kann und was wir dagegen tun. Wissen wir noch nicht alles, schicken wir den Rest so schnell wie möglich nach.
3. Du entscheidest, ob du die Verletzung der Autoriteit Persoonsgegevens oder den betroffenen Personen meldest. Das tun wir nicht selbst für dich, es sei denn, du bittest uns darum.

10. Kontrolle

1. Wir geben dir alle Informationen, die nötig sind, um nachzuweisen, dass wir uns an Artikel 28 DSGVO und diesen Vertrag halten.
2. Du darfst überprüfen, ob wir uns daran halten, selbst oder durch einen von dir beauftragten Prüfer, auch mit einer Inspektion. Wer prüft, hält geheim, was er sieht.
3. Für eine gewöhnliche Prüfung vereinbaren wir gemeinsam eine angemessene Frist. Bei einer Datenschutzverletzung, einem Hinweis darauf, dass wir uns nicht an diesen Vertrag halten, oder einem Ersuchen einer Aufsichtsbehörde gilt keine feste Grenze pro Jahr und keine Wartezeit.
4. Die Kosten deines eigenen Prüfers trägst du, es sei denn, die Prüfung zeigt, dass wir diesen Vertrag schwerwiegend verletzt haben.

11. Ende

1. Dieser Vertrag läuft, solange wir Daten für dich verarbeiten.
2. Nach dem Ende wählst du: Bekommst du alle personenbezogenen Daten, die wir für dich verarbeitet haben, zurück, oder löschen wir sie? Das darfst du uns jederzeit per E-Mail mitteilen, auch schon vorher.
3. Wählst du nichts, gilt Folgendes als deine Weisung: Du kannst deine Anfragen und Termine selbst als CSV in deinem Account herunterladen, bis 30 Tage nach dem Ende des Hostings (danach wird deine Website archiviert); danach kannst du bis zur Löschung bei uns einen Export deiner Website und deiner Anfragen und Termine (als CSV) anfordern; solange wir die Daten haben, kannst du sie zurückbekommen. 90 Tage, nachdem deine Website archiviert wurde, löschen wir die Daten, auch alle Anfragen, Termine, deine Formulare und deine Leistungen und Zeiten für Termine. Möchtest du, dass wir früher löschen, oder möchtest du alles früher zurückbekommen, dann maile uns; dann tun wir das.
4. Sie bleiben nicht wegen einer Aufbewahrungspflicht bei uns: Die hast du, und dafür ist der Export da. Kopien und Backups werden danach in ihrem normalen Turnus überschrieben; das dauert höchstens 7 Tage. Gelöschte Daten stehen noch höchstens 7 Tage in der Wiederherstellungszeitleiste der Datenbank (Neon point-in-time restore).
5. Länger bewahren wir nur auf, wozu uns eine konkrete gesetzliche Aufbewahrungspflicht verpflichtet.

12. Haftung und was Vorrang hat

Für die Haftung zwischen dir und uns gelten die Regeln aus den Allgemeinen Geschäftsbedingungen: Artikel 13, wenn du Geschäftskunde bist, und Artikel B6 (die gesetzlichen Regeln), wenn du Verbraucher bist. Nichts in diesem Vertrag oder in den AGB beschränkt die Rechte der betroffenen Personen, etwa ihr Recht auf Schadenersatz (Artikel 82 DSGVO). Geht es um personenbezogene Daten und widersprechen die AGB diesem Vertrag, hat dieser Vertrag Vorrang.

Anlage — Unterauftragsverarbeiter und andere Parteien

Rolle: SV = Unterauftragsverarbeiter für deine Websitedaten. V = Auftragsverarbeiter für unsere eigene Kundenverwaltung, nicht für deine Websitedaten. ZV = eigenständig Verantwortlicher.