Premium WordPress-Wartung · by Frontend GmbH
Welche AV-Verträge und Sicherheitsnachweise sind nötig?
Die Antwort.
Benötigte AV-Verträge und Nachweise hängen von den verarbeiteten Daten, Unterauftragnehmern und Vorgaben Ihres Unternehmens ab. Wir können technische und organisatorische Informationen zu unserem Leistungsumfang bereitstellen; welche Vereinbarungen und Prüfungen rechtlich erforderlich sind, bewerten Sie mit Ihren zuständigen Fachleuten.
Wir stellen Ihnen die für unseren konkreten technischen Leistungsumfang verfügbaren Informationen bereit. Welche AV-Vereinbarungen oder Nachweise erforderlich sind, lassen Sie anhand Ihrer Datenverarbeitung rechtlich prüfen.
Zuerst klären, ob Auftragsverarbeitung vorliegt.
Welche Vereinbarungen und Nachweise nötig sind, hängt nicht am Etikett „Wartung“, sondern an Aufgaben, Zugriffsmöglichkeiten und verarbeiteten personenbezogenen Daten.
- Welche Daten kann der Anbieter bei seiner Tätigkeit einsehen?
- Erfolgt die Verarbeitung weisungsgebunden für Ihr Unternehmen?
- Welche Unterauftragnehmer und Speicherorte sind beteiligt?
- Welche technischen und organisatorischen Maßnahmen sind dokumentiert?
- Welche internen Compliance-Nachweise verlangt Ihr Unternehmen zusätzlich?
Unterlagen passend zum Verarbeitungsszenario anfordern.
Eine lange Sammlung von Zertifikaten ist weniger hilfreich als Nachweise, die zum tatsächlichen Zugriff passen. Zuerst wird der Datenfluss beschrieben, dann werden Vertrags- und Sicherheitsunterlagen ausgewählt.
- Beschreibung von Leistung, Datenarten und betroffenen Personengruppen.
- Liste beteiligter Unterauftragnehmer und Verarbeitungsorte.
- Technische und organisatorische Maßnahmen für den konkreten Dienst.
- Verfahren für Sicherheitsvorfälle, Löschung und Vertragsende.
- Gegebenenfalls unabhängige Prüfberichte nach internen Anforderungen.
Ob ein AV-Vertrag erforderlich und ausreichend ist, entscheidet die zuständige Datenschutzstelle. Wir können technische Fragen beantworten, aber keine rechtliche Freigabe für Ihr Unternehmen ersetzen.
Technische Information ist keine Rechtsprüfung.
Wir stellen verfügbare Angaben zu unserem konkreten Leistungsumfang bereit. Die rechtliche Einordnung und die Auswahl erforderlicher Vertragsdokumente erfolgt durch Ihre zuständigen Fachleute.
Nachweise nach Aussagekraft einordnen.
Dokumente beantworten unterschiedliche Fragen und sind weder austauschbar noch automatisch für jeden Auftrag erforderlich.
- AV-Vertrag: regelt weisungsgebundene Verarbeitung, sofern einschlägig.
- TOM-Beschreibung: erläutert organisatorische und technische Kontrollen.
- Zertifizierung: bezieht sich auf definierten Scope, nicht automatisch jede Leistung.
- Penetrationstest: punktuelle technische Prüfung eines konkreten Ziels.
- Auditbericht: unabhängige Aussage mit Zeitraum, Umfang und Einschränkungen.
Die zuständige Stelle prüft Aktualität, Geltungsbereich und Abweichungen. Logos oder allgemeine Selbstauskünfte ersetzen diese Einordnung nicht.
Prüffragen statt Dokumentensammlung.
Ein Nachweis ist wertvoll, wenn er eine konkrete Unsicherheit beantwortet und zum Geltungsbereich des Auftrags passt.
Die Prüfung endet mit einer dokumentierten Entscheidung je Unterlage: ausreichend, mit Auflage akzeptiert, zu ergänzen oder für den Scope nicht relevant. Fehlende Nachweise werden nach tatsächlichem Risiko priorisiert. Ein Zertifikat außerhalb des betroffenen Dienstumfangs schließt die Lücke nicht. Umgekehrt sollte die Beschaffung keine beliebige Dokumentensammlung ohne Bezug zur konkreten Verarbeitung verlangen.
Nachweise können vertraulich sein und werden nur berechtigten Prüfern über geeignete Wege bereitgestellt. Aufbewahrung und Weitergabe folgen internen Regeln. Ein öffentliches Marketingdokument ist nicht automatisch derselbe Nachweis wie ein detaillierter Auditbericht unter Vertraulichkeit.
| Aspekt | Einordnung | Konsequenz |
|---|---|---|
| Frage | Passender Nachweis | Zu prüfen |
| Wer verarbeitet welche Daten? | Leistungsbeschreibung und AV-Regelung | Tatsächlicher Datenfluss |
| Welche Kontrollen bestehen? | TOM oder Auditbericht | Scope und Aktualität |
| Welche Dritten sind beteiligt? | Unterauftragnehmerliste | Rolle und Standort |
| Was geschieht im Vorfall? | Incident-Verfahren | Meldeweg und Fristen im Vertrag |
| Wie endet die Verarbeitung? | Lösch- und Exit-Regelung | Daten, Backups und Bestätigung |
Die rechtliche Auswahl bleibt bei Ihren Fachleuten. Wir können nur Nachweise für den konkret vereinbarten technischen Umfang bereitstellen.
Verwandte Fragen.
Wann sollte die interne IT Premium-WordPress-Wartung beauftragen?
Eine erweiterte WordPress-Wartung ist sinnvoll, wenn WordPress-Spezialwissen, laufende Kapazität oder ein klarer externer Eskalationsweg fehlen und die Website für wichtige Geschäftsprozesse relevant ist.
Wann ist ein dediziertes Hosting sinnvoll?
Dediziertes oder stärker isoliertes Hosting ist sinnvoll bei hoher Last, besonderen Compliance-Anforderungen, vielen Integrationen oder wenn geteilte Ressourcen und Rechte ein Risiko darstellen.
Wie wird die Zusammenarbeit mit dem Hoster technisch eskaliert?
Die Zusammenarbeit mit dem Hoster wird über dessen vorgesehenen Supportkanal mit Priorität, Zeitstempel, betroffenen Diensten, Logs und bereits erfolgten Tests eskaliert.
Wie werden Performance-Baselines und SLOs definiert?
Performance-Baselines entstehen aus wiederholten Messungen repräsentativer Seiten, Geräteklassen und Lastsituationen; darauf werden messbare SLOs festgelegt.
Ihre Website-Betreuung klären.
Beschreiben Sie uns Ihre Website und Ihr Anliegen. Im Gespräch legen wir fest, welche Betreuung Sie benötigen.