Rechtliches

Vertrag zur Auftragsverarbeitung

Für Geschäftskunden, bei denen wir Plugins installieren, einrichten, Fehler im Shop suchen oder Daten aufbereiten. Dabei sehen wir oft Kundendaten – dafür verlangt die DSGVO diesen Vertrag (Art. 28).

Vertragsparteien

Verantwortlicher: der Kunde, wie im unterzeichneten Exemplar angegeben.
Auftragsverarbeiter: MEK7, Inhaber Karsten Höfner, Reinhold-Timme-Str. 2, 09405 Zschopau, kontakt@mek7.com

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch MEK7 (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher) nach Art. 28 DSGVO. Er gilt für alle Leistungen, bei denen MEK7 Zugriff auf personenbezogene Daten des Kunden erhält oder erhalten kann, insbesondere:

• Installation, Einrichtung, Wartung und Support von Software auf Websites und Onlineshops des Kunden,
• Fehleranalyse in Systemen des Kunden (z. B. WordPress, WooCommerce, Datenbank, Server),
• den Datenservice, soweit die übergebenen Dateien personenbezogene Daten enthalten.

(2) Der Vertrag beginnt mit Unterzeichnung bzw. Bestätigung in Textform und läuft, solange MEK7 für den Kunden Leistungen nach Abs. 1 erbringt. Er endet automatisch mit der letzten dieser Leistungen; § 10 gilt fort.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art: Einsehen, Abfragen, Verwenden, Anpassen, Übertragen und Löschen von Daten, soweit es für die beauftragte Leistung nötig ist. MEK7 kopiert personenbezogene Daten nur aus den Systemen des Kunden, wenn das für die Leistung unvermeidbar ist (z. B. zur Fehleranalyse an einer Testkopie) und der Kunde dem zugestimmt hat.

(2) Zweck: ausschließlich die Erbringung der jeweils beauftragten Leistung.

(3) Datenarten: Kontakt- und Stammdaten (Name, Anschrift, E-Mail, Telefon), Bestell- und Vertragsdaten, Zahlungs-Metadaten ohne vollständige Zahlungsmittel­daten, Benutzerkonten, Kommunikations- und Protokolldaten, Produktdaten mit Personenbezug (z. B. Ansprechpartner von Lieferanten).

(4) Betroffene: Kunden, Interessenten und Besucher des Kunden, Beschäftigte des Kunden, Lieferanten und Geschäftspartner des Kunden.

(5) Die Verarbeitung findet in der Europäischen Union bzw. im EWR statt. Eine Verlagerung in ein Drittland bedarf der vorherigen Zustimmung des Kunden in Textform und der Erfüllung der Art. 44 ff. DSGVO.

§ 3 Weisungen

(1) MEK7 verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Beauftragung der Leistung gilt als Weisung. Weitere Weisungen erteilt der Kunde in Textform (z. B. per E-Mail oder Ticket).

(2) Ist MEK7 der Ansicht, dass eine Weisung gegen Datenschutzrecht verstößt, weist MEK7 den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung aussetzen.

(3) Ist MEK7 gesetzlich zu einer Verarbeitung verpflichtet, teilt MEK7 dies dem Kunden vorher mit, sofern das Gesetz es nicht verbietet.

§ 4 Vertraulichkeit

MEK7 setzt nur Personen ein, die auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht gilt auch nach Ende dieses Vertrags.

§ 5 Technische und organisatorische Maßnahmen

(1) MEK7 trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Sie sind Bestandteil dieses Vertrags.

(2) MEK7 darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen werden dokumentiert.

(3) Für die Sicherheit seiner eigenen Systeme, aktuelle Datensicherungen vor Arbeiten durch MEK7 sowie die Vergabe und den Entzug von Zugängen ist der Kunde verantwortlich.

§ 6 Unterauftragsverarbeiter

(1) Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu.

(2) Über die Hinzuziehung oder den Austausch weiterer Unterauftragsverarbeiter informiert MEK7 den Kunden mindestens 14 Tage vorher in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Einigung zustande, können beide Seiten die betroffene Leistung kündigen.

(3) MEK7 erlegt jedem Unterauftragsverarbeiter vertraglich die Pflichten aus diesem Vertrag auf.

§ 7 Unterstützung des Kunden

(1) MEK7 unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Anfragen betroffener Personen (Art. 12–22 DSGVO), bei der Datenschutz-Folgenabschätzung und bei Konsultationen der Aufsichtsbehörde. Wenden sich Betroffene direkt an MEK7, leitet MEK7 die Anfrage unverzüglich an den Kunden weiter.

(2) Unterstützungsleistungen, die über den üblichen Umfang hinausgehen, kann MEK7 nach Aufwand berechnen, soweit sie nicht auf einen Verstoß von MEK7 zurückgehen.

§ 8 Meldung von Verletzungen

MEK7 meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Bekanntwerden in Textform, möglichst innerhalb von 24 Stunden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. MEK7 ergreift sofort zumutbare Maßnahmen, um den Schaden zu begrenzen, und stimmt das weitere Vorgehen mit dem Kunden ab.

§ 9 Nachweise und Kontrollen

(1) MEK7 stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind.

(2) Der Kunde kann Kontrollen nach Anmeldung mit angemessener Frist während der üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, ohne den Betrieb von MEK7 unverhältnismäßig zu stören. In der Regel genügt eine schriftliche Auskunft.

§ 10 Löschung und Rückgabe

(1) Nach Abschluss der jeweiligen Leistung löscht MEK7 alle personenbezogenen Daten des Kunden, die sich bei MEK7 befinden, einschließlich Kopien und Zugangsdaten, es sei denn, eine gesetzliche Pflicht verlangt die Aufbewahrung. Auf Wunsch gibt MEK7 die Daten vorher zurück.

(2) Zugänge zu Systemen des Kunden nutzt MEK7 nach Abschluss nicht mehr. Der Kunde entfernt oder deaktiviert sie.

(3) Die Löschung bestätigt MEK7 auf Anfrage in Textform.

§ 11 Haftung

Die Haftung gegenüber Betroffenen richtet sich nach Art. 82 DSGVO. Im Verhältnis zwischen den Vertragsparteien gelten die Haftungsregeln der Allgemeinen Geschäftsbedingungen von MEK7, soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser Vertrag den übrigen Vereinbarungen der Parteien vor, soweit es um den Schutz personenbezogener Daten geht.

(2) Änderungen bedürfen der Textform.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

(4) Es gilt deutsches Recht. Gerichtsstand ist, soweit zulässig, der Sitz von MEK7.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Arbeitsgeräte stehen in verschlossenen Büroräumen; mobile Geräte werden nicht unbeaufsichtigt gelassen.
• Zugang: Geräte mit Passwort bzw. biometrischer Sperre und automatischer Bildschirmsperre; Festplatten verschlüsselt; Zwei-Faktor-Anmeldung bei Hosting, E-Mail und Code-Verwaltung, soweit angeboten.
• Zugriff: Arbeiten in Kundensystemen nur mit eigenen, personengebundenen Zugängen mit den geringsten nötigen Rechten; keine gemeinsam genutzten Konten.
• Zugangsdaten: Übermittlung nicht per unverschlüsselter E-Mail, sondern über das verschlüsselte Einmal-Formular auf mek7.com/zugang; Aufbewahrung nur in einem verschlüsselten Passwort-Manager; Löschung nach Abschluss.
• Trennung: Daten verschiedener Kunden werden getrennt abgelegt und nicht zusammengeführt.
• Datensparsamkeit: Fehleranalysen möglichst ohne Kopie personenbezogener Daten; Testdaten statt Echtdaten, wo möglich.

Integrität

• Übertragung: ausschließlich verschlüsselt (TLS/HTTPS, SFTP/SSH).
• Nachvollziehbarkeit: durchgeführte Arbeiten werden im Ticket bzw. in der E-Mail-Korrespondenz dokumentiert.

Verfügbarkeit und Belastbarkeit

• Vor Eingriffen in Kundensysteme wird geprüft, ob eine aktuelle Datensicherung des Kunden vorliegt; Änderungen werden nach Möglichkeit zuerst auf einer Testumgebung erprobt.
• Systeme und Software bei MEK7 werden zeitnah aktualisiert; Schutzsoftware ist aktiv.

Überprüfung

• Die Maßnahmen werden mindestens jährlich und nach Sicherheitsvorfällen überprüft und angepasst.

Anlage 2: Unterauftragsverarbeiter

Dienstleister	Leistung	Ort der Verarbeitung
STRATO GmbH, Otto-Ostrowski-Straße 7, 10249 Berlin	Hosting der Website mek7.com, E-Mail, verschlüsselte Zwischenablage für Zugangsdaten und Dateien	Deutschland

Stand: Oktober 2026