Fassung: 2026-10-11a

Stand: 11.10.2026

Dieser Vertrag wird zwischen dem im Bestellformular genannten Kunden („Verantwortlicher“ oder „Kunde“) und Piet Baldys, handelnd als „Lotklar“, Wilhelmstraße 13, 46483 Wesel, Deutschland, E-Mail: henkbaldys@gmail.com („Auftragsverarbeiter“ oder „Lotklar“) geschlossen. Er gilt bei jeder Bestellung des Pakets „Website“ und kommt mit dem Hauptvertrag zustande (Annahme per Checkbox im Bestellvorgang; Textform nach Art. 28 Abs. 9 DSGVO). Eine Unterschrift ist nicht erforderlich.

§ 1 Gegenstand und Dauer

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch Lotklar im Auftrag des Kunden im Rahmen des Vertrags über das Paket „Website“ (Kurzvertrag und AGB, nachfolgend „Hauptvertrag“).

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags einschließlich der Zeit, in der die Website nach Vertragsende noch online ist, und bis zur Löschung nach § 10. Pflichten, die darüber hinausgehen (insbesondere Löschung, Rückgabe, Vertraulichkeit), bleiben bestehen.

(3) Die Registrierung der Domain auf den Kunden ist keine Auftragsverarbeitung, sondern Teil der Vertragsdurchführung.

§ 2 Art, Zweck, Datenarten und betroffene Personen

(1) Art und Zweck der Verarbeitung:
- Hosting der Website des Kunden einschließlich Verarbeitung der Server-Logdaten ihrer Besucher (IP-Adresse, Zeitpunkt, aufgerufene Seite, Browserdaten) zur Auslieferung und Sicherheit;
- Empfang und Bearbeitung von E-Mails des Kunden an henkbaldys@gmail.com (z. B. Änderungswünsche, weitergeleitete Anfragen), soweit sie personenbezogene Daten Dritter enthalten;
- Verarbeitung von Daten, die Besucher über ein auf der Website eingebundenes Kontaktformular übermitteln, soweit ein solches vorhanden ist;
- Umsetzung von Änderungswünschen an der Website durch einen KI-Agenten (Vorschau, Freigabe, automatisierte Prüfung), soweit die Website personenbezogene Daten enthält;
- Speicherung der Website-Inhalte (einschließlich Fotos), Datensicherung und Support.

(2) Arten personenbezogener Daten:
- personenbezogene Inhalte der Website (z. B. Namen, Fotos und Kontaktdaten von Inhabern und Beschäftigten des Kunden);
- Kontaktdaten und Nachrichteninhalte aus einem Kontaktformular (z. B. Name, E-Mail-Adresse, Telefonnummer, Nachricht);
- technische Daten von Website-Besuchern (z. B. IP-Adresse, Zeitstempel, Browserinformationen).

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen. Der Kunde wird die Website nicht für die gezielte Erhebung solcher Daten einsetzen.

(3) Kategorien betroffener Personen: Besucher der Website des Kunden, Interessenten und Kunden des Kunden, Inhaber und Beschäftigte des Kunden.

(4) Die Verarbeitung erfolgt in der EU, in den USA und in Singapur (siehe Anlage 2). Für Übermittlungen in Drittländer gelten die in Anlage 2 genannten Grundlagen (Art. 44 ff. DSGVO).

§ 3 Weisungen

(1) Lotklar verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, es sei denn, Lotklar ist durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet; in diesem Fall teilt Lotklar dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Der Hauptvertrag, dieser Vertrag sowie die Änderungswünsche und Freigaben des Kunden im Portal sind die dokumentierten Weisungen. Weitere Weisungen erfolgen in Textform.

(3) Lotklar informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzvorschriften verstößt, und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

§ 4 Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage, die Information der Betroffenen (Art. 13, 14 DSGVO, z. B. in der Datenschutzerklärung seiner Website) und erforderliche Einwilligungen.

§ 5 Vertraulichkeit

Lotklar gewährleistet, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und nur im Rahmen der Weisungen tätig werden.

§ 6 Technische und organisatorische Maßnahmen

(1) Lotklar trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Lotklar darf gleichwertige oder bessere Maßnahmen umsetzen; das Sicherheitsniveau darf nicht unterschritten werden.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

(2) Lotklar informiert den Kunden mindestens 30 Tage vor Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen. Kann keine Einigung erzielt werden, kann jede Partei den Hauptvertrag zum Zeitpunkt des Einsatzes des neuen Unterauftragsverarbeiters kündigen.

(3) Lotklar erlegt Unterauftragsverarbeitern vertraglich die Datenschutzpflichten nach Art. 28 Abs. 4 DSGVO auf und haftet gegenüber dem Kunden für deren Einhaltung.

§ 8 Unterstützung des Kunden

(1) Lotklar unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO). Wendet sich eine betroffene Person direkt an Lotklar, leitet Lotklar die Anfrage unverzüglich an den Kunden weiter.

(2) Lotklar unterstützt den Kunden bei der Einhaltung der Pflichten aus Art. 32–36 DSGVO.

(3) Für Unterstützungsleistungen, die über das übliche Maß hinausgehen und nicht auf einem Verstoß von Lotklar beruhen, kann Lotklar eine angemessene, vorab in Textform vereinbarte Vergütung verlangen.

§ 9 Meldung von Datenschutzverletzungen

Lotklar meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

§ 10 Löschung und Rückgabe

Nach Beendigung des Hauptvertrags erhält der Kunde den ZIP-Export seiner Website nach § 9 Abs. 5 AGB. Weitere personenbezogene Daten gibt Lotklar auf Wunsch des Kunden in einem gängigen Format heraus, wenn der Kunde dies bis zur Offline-Schaltung der Website (30 Tage nach Vertragsende) in Textform verlangt. 30 Tage nach der Offline-Schaltung, frühestens nach Zustellung des ZIP-Exports, löscht Lotklar sämtliche im Auftrag verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Aufbewahrungspflicht besteht. Datensicherungen werden im Rahmen der regulären Löschzyklen der Dienstleister überschrieben. Die Löschung wird auf Anfrage bestätigt.

§ 11 Nachweise und Kontrollen

(1) Lotklar stellt dem Kunden die erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung.

(2) Der Kunde darf Überprüfungen einschließlich Inspektionen nach Anmeldung mit mindestens 14 Tagen Vorlauf, während der üblichen Geschäftszeiten und ohne Störung des Betriebs selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Nachweise können auch durch Zertifikate oder Berichte der Unterauftragsverarbeiter erbracht werden.

§ 12 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.

§ 13 Schlussbestimmungen

(1) Bei Widersprüchen gehen die Regelungen dieses Vertrags zum Datenschutz denen des Hauptvertrags vor.

(2) Änderungen bedürfen der Textform. Gerichtsstand und anwendbares Recht richten sich nach dem Hauptvertrag.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

# Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutritt: Keine eigenen Serverräume; die Daten liegen in Rechenzentren der Unterauftragsverarbeiter mit deren physischen Sicherheitsmaßnahmen.

Zugang: Persönliche Benutzerkonten mit starken Passwörtern; Zwei-Faktor-Authentifizierung für administrative Konten, soweit vom Dienst angeboten; Bildschirmsperre und aktuelle Sicherheitsupdates auf Arbeitsgeräten.

Zugriff: Zugriff nur für Piet Baldys und von ihm befugte, zur Vertraulichkeit verpflichtete Personen im erforderlichen Umfang; Kunden sehen im Portal nur ihre eigenen Daten; Service- und API-Schlüssel nur serverseitig, nicht im Quellcode oder im Browser.

Trennung: Logische Trennung der Daten je Kunde.

Datenminimierung: Übermittlung an KI-Dienste nur im für die jeweilige Funktion erforderlichen Umfang.

Weitergabe: Transportverschlüsselung (TLS/HTTPS) für alle Verbindungen; Verschlüsselung gespeicherter Daten durch die Dienstleister nach deren Standard.

Eingabekontrolle: Protokollierung von Änderungswünschen und Freigaben mit Zeitstempel.

Verfügbarkeit: Betrieb auf der redundanten Infrastruktur der Unterauftragsverarbeiter; Datensicherung im Rahmen der Leistungen der Dienstleister; der Code der Websites ist versioniert gespeichert.

Überprüfung: Überprüfung der Maßnahmen mindestens jährlich und bei wesentlichen Änderungen; Auswahl von Unterauftragsverarbeitern mit geeigneten Garantien; Verfahren zur Meldung von Datenschutzverletzungen nach § 9.

# Anlage 2 – Unterauftragsverarbeiter