Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Dies ist eine von der Entwicklung vorbereitete Vorlage für die rechtliche Prüfung, kein fertiges Rechtsdokument. Jede technische Angabe darin (Aufbewahrungsfristen, Unterauftragsverarbeiter, technische Maßnahmen) stammt unmittelbar aus der technischen Spezifikation des Systems — nichts hier ist erfunden oder angenommen. Mit [TBD — …] markierte Stellen sind offene Entscheidungen, die die Gründung und/oder die Rechtsberatung noch treffen müssen. Dieses Dokument darf Kundinnen und Kunden erst vorgelegt oder von den AGB und dem Zustimmungsschritt in Stripe Checkout verlinkt werden, nachdem es anwaltlich geprüft wurde und jedes TBD aufgelöst ist.

zwischen der im SFT-Visitor-Journeys-Konto benannten Kundin/dem Kunden (“Verantwortlicher”)

und Smooth Flow Tech, Horn, Österreich [TBD — vollständiger Firmenname, eingetragener Sitz und Firmenbuchnummer der Gesellschaft, die SFT Visitor Journeys betreibt] (“Auftragsverarbeiter”)

(jeweils eine “Partei”, gemeinsam die “Parteien”)

Dieser Auftragsverarbeitungsvertrag (“AVV”) ergänzt die Allgemeinen Geschäftsbedingungen zwischen den Parteien und gilt immer dann, wenn der Auftragsverarbeiter im Zusammenhang mit dem Dienst SFT Visitor Journeys (“der Dienst”) personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet. Bei Widersprüchen zwischen diesem AVV und den Allgemeinen Geschäftsbedingungen in Datenschutzfragen geht dieser AVV vor.

1. Gegenstand und Dauer

Gegenstand: Der Auftragsverarbeiter betreibt eine Webanalyse-Plattform. Der Verantwortliche installiert ein Tracking-Skript (sowie optional eine Reverse-Proxy-Konfiguration und ein Google-Ads-Tracking-Template) auf der eigenen Website bzw. den eigenen Websites, wodurch Daten über die Besucherinnen und Besucher dieser Website(s) an die Infrastruktur des Auftragsverarbeiters zur Verarbeitung und Anzeige an den Verantwortlichen übermittelt werden.

Dauer: Dieser AVV gilt, solange der Verantwortliche ein aktives Konto mit mindestens einer für den Dienst eingerichteten Website hat, und darüber hinaus, solange noch von diesem AVV erfasste personenbezogene Daten beim Auftragsverarbeiter vorhanden sind (siehe §7, Löschung).

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter erhebt, speichert, aggregiert und zeigt Daten über die Besucherinnen und Besucher der eigenen Website des Verantwortlichen an, im Auftrag des Verantwortlichen, ausschließlich zu drei Zwecken:

1. Webanalyse — Seitenaufrufe, Klicks, Scroll-Tiefe, Verweildauer, Navigationspfade und ähnliche Verhaltenssignale, dem Verantwortlichen als Berichte und “Besucher-Journeys” angezeigt.
2. Lead-Zuordnung — Verknüpfung einer Formularübermittlung, eines eingebetteten Buchungs- oder Kontakt-Tools oder eines per Webhook gemeldeten Leads mit dem Besuch und dem Marketingkanal, der ihn hervorgebracht hat.
3. Erkennung von Anzeigenbetrug — Kennzeichnung von Besuchen und Anzeigenklicks, die Anzeichen von Automatisierung zeigen oder aus Rechenzentrums-Netzwerkbereichen stammen, damit der Verantwortliche sie prüfen und nach eigenem Ermessen in seinen eigenen Werbekonten darauf reagieren kann.

Der Auftragsverarbeiter nutzt die im Rahmen dieses AVV verarbeiteten personenbezogenen Daten nicht für eigene Zwecke (z. B. zur Entwicklung von Produkten für andere Kundinnen und Kunden, zum Trainieren von Modellen oder für eigenes Marketing) und verkauft sie nicht.

3. Kategorien betroffener Personen

Besucherinnen und Besucher der Website(n) des Verantwortlichen — die allgemeine Öffentlichkeit, die diese Websites aufruft und in keiner direkten Beziehung zum Auftragsverarbeiter steht.

4. Kategorien personenbezogener Daten

Genau wie vom Dienst verarbeitet:

• IP-Adresse (bei eigenen Websitebesuchen; auch bei Anzeigenklick-Datensätzen, wenn der Besuch über einen erfassten Anzeigenklick erfolgte)
• Browser-User-Agent-String (nur bei Anzeigenklick-Datensätzen)
• Ein pseudonymer, besucher- und tagesbezogener Bezeichner (“Tages-ID”), abgeleitet aus IP-Adresse, User-Agent und einem geheimen Salt, der am Ende jedes Tages gelöscht wird. Diese ID lässt sich nach Löschung des jeweiligen Tages-Salts nicht mehr aus der IP-Adresse neu berechnen, wird aber für die unten genannte Aufbewahrungsfrist zusammen mit der rohen IP-Adresse gespeichert.
• Eine dauerhafte Besucher-ID, im Browser der Besucherin/des Besuchers gespeichert, nur wenn der Verantwortliche einen Consent-Modus konfiguriert hat, der dies erlaubt, und die Besucherin/der Besucher die entsprechende Einwilligung erteilt hat.
• Google-Ads-Klick-Kennungen (gclid, gbraid, wbraid), wenn ein Besuch von einem erfassten Anzeigenklick ausging.
• Aufgerufene Seitenpfade und Seitentitel, Bezeichnungen angeklickter Elemente (der sichtbare Text oder ein vom Entwickler vergebener Name), externer Referrer (beschränkt auf Ursprung und Pfad, ohne Query-String), Geräteklasse, Browsersprache sowie eine grobe Netzwerkklassifizierung (privat/unbekannt, Rechenzentrum, Private Relay oder “Google-Anzeigenprüfung”-Verkehr).

Ausdrücklich NICHT verarbeitete Kategorien personenbezogener Daten: die Werte, die eine Besucherin/ein Besucher in ein Formularfeld, einen contenteditable-Bereich oder ein Passwortfeld eingibt; Cookies (der Dienst setzt keine); Namen oder E-Mail-Adressen (ein “Lead”-Ereignis enthält nur einen Anbieternamen und ein optionales, kurzes, vom Verantwortlichen oder dessen eigenem Code vergebenes Label — der Lead-Webhook weist jedes andere Feld, einschließlich E-Mail-Adressen, kategorisch zurück).

5. Aufbewahrung

• IP-Adressen und User-Agent-Strings: gelöscht 60 Tage nach Erhebung (automatisierte Löschung, nächtlich überprüft).
• Alle übrigen Ereignisdaten (Seitenaufrufe, Klicks, Journeys, Anzeigenklick-Datensätze): gelöscht 180 Tage nach Erhebung.
• Der Tages-Salt zur Berechnung der pseudonymen Besucher-ID eines Tages: gelöscht am Ende dieses Tages.
• Konto- und Abrechnungsdaten (Organisation, Nutzerinnen/Nutzer, Website-Konfiguration, Rechnungen): aufbewahrt, solange das Konto des Verantwortlichen besteht, zuzüglich etwaiger nach geltendem Steuer- oder Handelsrecht vorgeschriebener Fristen.
• Backups: Der Auftragsverarbeiter sichert seine Datenbanken (Konto-/Konfigurationsdaten und Besucher-/Ereignisdaten) jede Nacht und löscht jedes Backup 14 Tage nach seiner Erstellung. Die Backups liegen auf dem Server und, verschlüsselt bevor sie ihn verlassen, in einem Objektspeicher in der EU (Anlage 2). Zusätzlich bewahrt der Hosting-Anbieter seine zwei jüngsten wöchentlichen Backups des gesamten Servers auf. Dadurch können personenbezogene Daten, die im Live-System nach dem obigen Zeitplan gelöscht wurden, in Backups noch bis zu weitere 28 Tage fortbestehen, bevor auch die letzte Kopie gelöscht wird. [Vor Unterzeichnung prüfen: die derzeit von Hostinger angegebene Aufbewahrung der Server-Backups.]

6. Technische und organisatorische Maßnahmen (TOM)

Siehe Anlage 1 unten.

7. Unterauftragsverarbeiter

Die aktuellen Unterauftragsverarbeiter des Auftragsverarbeiters für von diesem AVV erfasste Daten sind auf unserer Seite zu Unterauftragsverarbeitern aufgeführt, die durch Bezugnahme einbezogen wird und Anlage 2 dieses AVV bildet. [TBD — die Rechtsberatung sollte hier den Mechanismus zur Genehmigung neuer Unterauftragsverarbeiter festlegen: allgemeine schriftliche Genehmigung mit vorheriger Ankündigung und Widerspruchsrecht (Art. 28 Abs. 2 DSGVO) oder vorherige Einzelgenehmigung für jeden Unterauftragsverarbeiter].

8. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Der Auftragsverarbeiter verpflichtet sich,

a. personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (auch hinsichtlich internationaler Übermittlungen), es sei denn, er ist nach EU- oder mitgliedstaatlichem Recht zu einer Verarbeitung verpflichtet; in diesem Fall unterrichtet er den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht dies nicht verbietet; b. sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen; c. die in Anlage 1 genannten technischen und organisatorischen Maßnahmen umzusetzen; d. die in §7 genannten Bedingungen für die Hinzuziehung von Unterauftragsverarbeitern einzuhalten; e. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht zur Beantwortung von Anträgen auf Ausübung der Rechte betroffener Personen zu unterstützen (siehe §9); f. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus den Art. 32 bis 36 DSGVO zu unterstützen; g. nach Wahl des Verantwortlichen nach Beendigung der Erbringung der mit der Verarbeitung verbundenen Dienstleistungen alle personenbezogenen Daten zu löschen oder an den Verantwortlichen zurückzugeben und bestehende Kopien zu löschen, vorbehaltlich der Backup-Aufbewahrung nach §5 (siehe §11); h. dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind, und Prüfungen einschließlich Inspektionen, die vom Verantwortlichen oder einem von ihm beauftragten Prüfer durchgeführt werden, zu ermöglichen und dazu beizutragen, vorbehaltlich angemessener Vorankündigung und Vertraulichkeit (siehe §10).

9. Unterstützung bei Anträgen betroffener Personen

Da Besucherdaten systembedingt pseudonym sind, kann der Auftragsverarbeiter aus eigener Kraft nicht feststellen, welcher gespeicherte Datensatz zu einer bestimmten betroffenen Person gehört; er kann nur eine IP-Adresse nachschlagen und darauf reagieren, die ihm der Verantwortliche (oder die betroffene Person über den Verantwortlichen) mitteilt. Erhält der Verantwortliche einen Antrag einer betroffenen Person (Auskunft, Löschung, Widerspruch usw.) betreffend eine Websitebesucherin/einen Websitebesucher, wird der Auftragsverarbeiter auf Weisung des Verantwortlichen und innerhalb des 60-Tage-Aufbewahrungsfensters, in dem die IP-Adresse noch gespeichert ist (§5), den bzw. die entsprechenden Datensätze anhand der IP-Adresse auffinden und auf Wunsch löschen. [TBD — die Rechtsberatung sollte festlegen: eine Reaktionszeit-Zusage für diese Unterstützung sowie, ob sie unentgeltlich oder ab einer bestimmten Anzahl von Anfragen pro Jahr kostenpflichtig angeboten wird].

10. Prüfungen (Audits)

[TBD — die Rechtsberatung sollte diesen Abschnitt ausarbeiten: Umfang und Häufigkeit von Prüfungen, die der Verantwortliche durchführen oder in Auftrag geben kann, Vorlauffrist, Kostentragung, und ob eine Zertifizierung, ein Bericht einer unabhängigen Prüfstelle oder ein ausgefüllter Fragebogen anstelle einer Vor-Ort-Prüfung angeboten werden kann.]

11. Löschung bei Vertragsende

Bei Beendigung des Kontos des Verantwortlichen (oder Entfernung einer einzelnen Website) löscht der Auftragsverarbeiter die Daten der Website (das Löschen einer Website löscht kaskadierend deren Domains, Schlüssel, Labels und Abrechnungsdatensätze in PostgreSQL; die entsprechenden ClickHouse-Ereignisdaten werden gesondert gelöscht). [TBD — die Rechtsberatung und die Gründung sollten festlegen: wie schnell nach Beendigung diese Löschung erfolgt (sofort oder nach einer Übergangsfrist, in der der Verantwortliche die Daten noch exportieren oder das Konto reaktivieren kann), ob der Verantwortliche vor der Löschung einen Datenexport erhält, und bestätigen, dass die in §5 beschriebene Backup-Nachlauffrist auch hier gilt.] Dieser Punkt entspricht dem offenen Punkt in den Allgemeinen Geschäftsbedingungen zur Datenlöschung nach Kündigung — beide Dokumente müssen nach der Entscheidung dieselbe Regel wiedergeben.

12. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die im Rahmen dieses AVV verarbeitete personenbezogene Daten betrifft, und stellt die Informationen bereit, die der Verantwortliche zur Erfüllung seiner eigenen Meldepflichten nach Art. 33 und 34 DSGVO vernünftigerweise benötigt. [TBD — die Rechtsberatung sollte eine konkrete maximale Meldefrist festlegen, z. B. “unverzüglich, spätestens jedoch innerhalb von 48 Stunden”, sowie den Mindestinhalt der Meldung.]

13. Internationale Datenübermittlungen

[TBD — mit der Rechtsberatung abstimmen. Nach aktueller Planung befinden sich alle Unterauftragsverarbeiter, die im Rahmen dieses AVV Besucherdaten verarbeiten, in der EU (siehe unsere Seite zu Unterauftragsverarbeitern), sodass für Besucherdaten kein Übermittlungsmechanismus (Standardvertragsklauseln, Angemessenheitsbeschluss) erforderlich sein sollte; dies ist zu bestätigen, sobald die offenen Entscheidungen zu Unterauftragsverarbeitern (Backup-Speicherung, Transaktions-E-Mail) getroffen sind. Anlage 3 (Standardvertragsklauseln) ist nur hinzuzufügen, falls ein Unterauftragsverarbeiter außerhalb der EU/des EWR oder eines Landes mit Angemessenheitsbeschluss zum Einsatz kommt.]

14. Haftung

[TBD — die Rechtsberatung sollte eine Haftungsklausel im Einklang mit den Allgemeinen Geschäftsbedingungen ausarbeiten, typischerweise mit Verweis auf bzw. Begrenzung durch dieselben Grenzen.]

---

Anlage 1 — Technische und organisatorische Maßnahmen

Entnommen aus dem Sicherheitskonzept des Dienstes selbst; die Rechtsberatung sollte bestätigen, dass diese Liste vollständig ist, und alle organisatorischen Maßnahmen ergänzen (Personalrichtlinien, Turnus von Zugriffsprüfungen usw.), die außerhalb des Codes bestehen.

• Hosting: ein einzelner VPS in einem EU-Rechenzentrum (§13; genaues Rechenzentrum TBD, siehe unsere Seite zu Unterauftragsverarbeitern). PostgreSQL und ClickHouse haben keine veröffentlichten Ports und liegen in einem internen Netzwerk, das nur vom Anwendungscontainer aus erreichbar ist.
• Verschlüsselung bei der Übertragung: Der öffentlich erreichbare Reverse Proxy terminiert TLS für den gesamten Datenverkehr; interner Dienst-zu-Dienst-Verkehr bleibt im internen Docker-Compose-Netzwerk.
• Zugriffskontrolle: Datenbankrollen folgen dem Prinzip der geringsten Rechte — die Rolle der Anwendung selbst hat nur Rechte zur Datenmanipulation; eine gesonderte, privilegiertere Rolle wird ausschließlich für Migrationen verwendet. Der Dashboard-Zugriff erfordert eine authentifizierte Anmeldung (E-Mail und Passwort, mit verpflichtender E-Mail-Verifizierung); jede websitebezogene Aktion prüft serverseitig erneut die Mitgliedschaft und Berechtigungen der anfragenden Person, nicht nur auf Seiten-/Navigationsebene.
• Geheimnisse nach dem Prinzip der geringsten Rechte: Alle Zugangsdaten liegen in einer einzigen, im Dateisystem rechte-beschränkten Umgebungsdatei auf dem Server, niemals im Quellcode oder Container-Image der Anwendung; die Anwendung prüft beim Start, ob jedes erforderliche Geheimnis vorhanden ist, und startet andernfalls nicht.
• Schlüsselrotation: Der Verantwortliche kann die Proxy- und API-Schlüssel seiner Website jederzeit rotieren (ein neuer Schlüssel wird ausgestellt, der alte widerrufen, die Änderung wirkt sofort). Der öffentliche Tracking-Schlüssel des Verantwortlichen kann ebenso neu erzeugt werden, wodurch der alte sofort ungültig wird, falls er offengelegt oder missbraucht wurde.
• Disziplin bei der Protokollierung: Anwendungsprotokolle enthalten niemals IP-Adressen, User-Agent-Strings, Klick-Kennungen oder Lead-Referenzen — nur eine Website-Kennung, einen Fehlergrund und einen kurzen Diagnosehinweis. Die Zugriffsprotokollierung auf Ebene des Reverse Proxy ist gezielt deaktiviert, weil sie sonst Besucher-IP-Adressen erfassen würde.
• Automatisierte Durchsetzung der Aufbewahrungsfristen: Die 60- und 180-Tage-Löschfristen aus §5 werden von der Datenbank selbst durchgesetzt (spalten- und tabellenbezogene Time-to-Live-Regeln), nicht durch ein Skript, das vergessen werden oder stillschweigend fehlschlagen könnte, und werden nächtlich überprüft.
• Missbrauchsschutz am öffentlichen Datenerfassungs-Endpunkt: eine Positivliste der eigenen registrierten Domains des Verantwortlichen, Erkennung automatisierten Datenverkehrs, IP- und website-bezogene Ratenbegrenzungen sowie eine strikte Validierung jedes Feldes, jeweils angewendet, bevor Daten geschrieben werden.
• Backups: nächtlich, jedes 14 Tage aufbewahrt und verschlüsselt, bevor es den Server in Richtung eines Objektspeichers in der EU verlässt; die wöchentlichen Server-Backups des Hosting-Anbieters (die zwei jüngsten) verlängern dies um bis zu 14 Tage — siehe §5 zum Zusammenspiel mit den Löschfristen.

Anlage 2 — Unterauftragsverarbeiter

Siehe unsere Seite zu Unterauftragsverarbeitern.

Anlage 3 — Mechanismus für internationale Datenübermittlungen (falls zutreffend)

[TBD — nur hinzufügen, falls ein Unterauftragsverarbeiter außerhalb der EU/des EWR hinzugezogen wird; siehe §13.]