Anlage 1 zu den AGB. Stand: 02.11.2026.

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und EASY Dienstleistungen, Inhaber Amir Pasic, Nürnberger Str. 30, 90518 Altdorf b. Nürnberg (Auftragsverarbeiter).

1. Gegenstand und Dauer

Bereitstellung der Plattform neado (Website-Hosting, Kontakt- und Terminformulare, Besucherstatistik, CRM, Angebote/Rechnungen, Termine, E-Mail-Weiterleitung, IMAP-Postfach-Anbindung, KI-Funktionen auf Weisung). Dauer: Laufzeit des Nutzungsvertrags.

2. Art und Zweck

Speicherung, Anzeige, Weiterleitung und auf Weisung KI-gestützte Bearbeitung der Daten zur Nutzung durch den Kunden.

3. Art der Daten

Kontaktdaten (Name, Anschrift, E-Mail, Telefon), Kommunikationsinhalte (Anfragen, E-Mails), Vertrags- und Abrechnungsdaten (Angebote, Rechnungen, Zahlungsstatus), Termindaten, Nutzungs- und Verbindungsdaten (gekürzte IP, Zeitstempel).

4. Kategorien betroffener Personen

Besucher und Interessenten der Kundenwebsite, Kunden und Lieferanten des Kunden, Mitarbeitende des Kunden (Team-Zugänge), Kommunikationspartner des Kunden.

5. Pflichten des Auftragsverarbeiters

Verarbeitung nur auf dokumentierte Weisung (Weisungen über das Dashboard und in Textform); Vertraulichkeitsverpflichtung aller eingesetzten Personen; technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage: TLS-Verschlüsselung, Zugriffskontrolle, verschlüsselte Speicherung von Zugangsdaten, Server in Deutschland, tägliche Sicherungen, Protokollierung); Unterstützung bei Betroffenenrechten (Art. 12–22) und bei den Pflichten nach Art. 32–36; Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis; Bereitstellung aller zum Nachweis erforderlichen Informationen und Ermöglichung von Überprüfungen (vorrangig durch schriftliche Auskunft, Zertifikate und Nachweise der Unterauftragsverarbeiter; Vor-Ort-Prüfungen nach Ankündigung und zu üblichen Geschäftszeiten); Information, wenn eine Weisung nach Ansicht des Auftragsverarbeiters gegen Datenschutzrecht verstößt.

6. Unterauftragsverarbeiter (allgemeine Genehmigung)

STRATO AG, Berlin (Hosting, DE); Cloudflare, Inc., USA (CDN, DDoS-Schutz, DNS, E-Mail-Weiterleitung; EU-Datenverarbeitung soweit möglich, DPF-Zertifizierung + Standardvertragsklauseln); Anthropic PBC, USA (KI-Funktionen, nur bei Nutzung durch den Kunden; Standardvertragsklauseln, kein Training, kurzfristige Löschung); [bei Einsatz: Amazon Web Services EMEA SARL, Luxemburg – E-Mail-Versand, Region EU]. Änderungen werden mindestens 30 Tage vorher in Textform mitgeteilt; der Kunde kann aus wichtigem datenschutzrechtlichen Grund widersprechen; bei Widerspruch kann jede Partei den betroffenen Leistungsteil kündigen.

7. Drittlandübermittlung

Nur an die in Nr. 6 genannten Empfänger auf Grundlage von Art. 45 (DPF) bzw. Art. 46 Abs. 2 lit. c DSGVO (Standardvertragsklauseln) mit ergänzenden Maßnahmen (Transportverschlüsselung, Datenminimierung).

8. Löschung und Rückgabe

Nach Vertragsende bzw. Kontolöschung wählt der Kunde zwischen Export (ZIP im Dashboard) und Löschung; ohne Wahl löscht der Auftragsverarbeiter alle Daten innerhalb von 30 Tagen nach Ablauf der 14-tägigen Widerrufsfrist der Kontolöschung, soweit keine gesetzliche Aufbewahrungspflicht besteht, und bestätigt die Löschung auf Anfrage.

9. Haftung und Schluss

Es gelten Art. 82 DSGVO und § 13 der AGB. Die Vereinbarung wird elektronisch durch Zustimmung zu den AGB geschlossen (Art. 28 Abs. 9 DSGVO) und kann jederzeit im Dashboard als PDF abgerufen werden.

Anlage: Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

Zutrittskontrolle: Serverbetrieb in einem zertifizierten Rechenzentrum der STRATO AG in Deutschland mit Zutrittsschutz.
Zugangskontrolle: individuelle Benutzerkonten mit Passwort, verschlüsselte Übertragung (TLS), Schutz vor unbefugtem Systemzugang.
Zugriffskontrolle: rollenbasierte Rechte, Mandantentrennung je Kundenkonto, Zugriff auf Kundendaten nur im zur Leistungserbringung nötigen Umfang.
Verschlüsselung: TLS für alle Verbindungen; verschlüsselte Speicherung von Zugangsdaten (z. B. IMAP-Zugänge).
Trennungskontrolle: logische Trennung der Daten je Kunde.
Verfügbarkeit & Backup: tägliche Datensicherungen, Schutz vor Verlust und Zerstörung.
Protokollierung: Protokollierung sicherheitsrelevanter Zugriffe; Protokolldateien werden spätestens nach 14 Tagen gelöscht.
Löschkonzept: Löschung nach Zweckfortfall bzw. Vertragsende gemäß Nr. 8 und der Datenschutzerklärung.