Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag über die Plattform Sitebaze (nachfolgend „Hauptvertrag"). Er gilt für alle Verarbeitungen personenbezogener Daten, die der Anbieter (Auftragsverarbeiter) im Auftrag des Kunden (Verantwortlicher) im Rahmen der Plattformnutzung durchführt - etwa Kontaktdaten im CRM, Zugangsdaten von Kundenportal-Nutzern oder vom Kunden verbundene Analyse- und Social-Media-Daten.

Der AVV wird mit Abschluss des Hauptvertrags wirksam und gilt für dessen Dauer. Bei Widersprüchen gehen die Regelungen dieses AVV den Regelungen des Hauptvertrags in datenschutzrechtlichen Fragen vor.

Gegenstand der Verarbeitung ist die Bereitstellung der Sitebaze-Plattform als Software-as-a-Service, einschließlich Speicherung, Auswertung und Darstellung der vom Kunden eingebrachten oder über verbundene Dienste abgerufenen Daten. Zwecke sind die Vertragserfüllung gegenüber dem Kunden: SEO- und Sichtbarkeits-Analysen, Monitoring, Social- und Werbedaten-Auswertung, CRM-Funktionen und Kundenportale.

Art der Verarbeitung: Erhebung, Speicherung, Strukturierung, Auswertung, Anzeige, Übermittlung an vom Kunden veranlasste Empfänger, Löschung.

Datenarten (je nach vom Kunden genutzten Funktionen): Stammdaten (Name, E-Mail-Adresse), Kontakt- und Kommunikationsdaten (CRM-Kontakte, Formulareingaben), Zugangsdaten für Kundenportale, Nutzungs- und Kennzahlendaten aus verbundenen Diensten (z. B. Search Console, Analytics, Social-Media- und Werbekonten), technische Verbindungsdaten.

Betroffene: Mitarbeitende und Beauftragte des Kunden, Kunden und Interessenten des Kunden (z. B. CRM-Kontakte, Portal-Nutzer), Besucher der Websites des Kunden (in aggregierter bzw. gekürzter Form).

• Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO); die Nutzung der Plattform-Funktionen durch den Kunden gilt als Weisung.
• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (Anhang 1 - TOMs).
• Unterstützung des Kunden bei Betroffenenrechten (Art. 12-23 DSGVO), Datenschutz-Folgenabschätzungen und Meldepflichten - soweit möglich mit geeigneten Mitteln der Plattform (z. B. Export-, Lösch- und Auskunftsfunktionen).
• Unverzügliche Information des Kunden bei Verletzungen des Schutzes personenbezogener Daten, die den Auftrag betreffen.
• Information des Kunden, wenn eine Weisung nach Auffassung des Anbieters gegen Datenschutzrecht verstößt.

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der nachfolgenden Subprozessoren. Über beabsichtigte Änderungen informiert der Anbieter vorab in Textform (z. B. per E-Mail oder In-App-Hinweis); der Kunde kann aus wichtigem Grund widersprechen.

Verbindet der Kunde eigene Drittdienste (z. B. Google Search Console, Google Analytics, Meta, TikTok, YouTube, Werbekonten), handelt es sich nicht um Subprozessoren des Anbieters, sondern um vom Kunden veranlasste Übermittlungen an dessen eigene Vertragspartner.

Der Anbieter trifft insbesondere folgende Maßnahmen (Auszug, Stand siehe oben):

• Verschlüsselung: TLS für alle Übertragungen; Verschlüsselung sensibler Felder und Zugriffstoken in der Datenbank (AES-256-GCM); verschlüsselte Backups.
• Zugriffskontrolle: rollenbasierte Berechtigungen, Zwei-Faktor-Authentifizierung/Passkeys, mandantengetrennte Datenhaltung mit Row-Level-Security.
• Infrastruktur: Hosting in deutschen Rechenzentren, Firewalls, Zugriff auf Verwaltungsebenen nur über VPN, Protokollierung sicherheitsrelevanter Ereignisse.
• Verfügbarkeit: tägliche verschlüsselte Backups mit externer Aufbewahrung, Wiederherstellungstests, Monitoring und Alarmierung.
• Organisation: Vertraulichkeitsverpflichtung, Need-to-know-Prinzip, Prozesse für Datenpannen und Betroffenenrechte.

Wendet sich eine betroffene Person unmittelbar an den Anbieter, leitet dieser die Anfrage unverzüglich an den Kunden weiter. Der Anbieter unterstützt den Kunden mit den in der Plattform verfügbaren Export-, Berichtigungs- und Löschfunktionen.

Nach Beendigung des Hauptvertrags werden alle im Auftrag verarbeiteten personenbezogenen Daten nach Ablauf der im Hauptvertrag beschriebenen Nachlauffristen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen. Beim Trennen verbundener Dienste werden zugehörige Zugriffstoken widerrufen und gespeicherte Verläufe gelöscht.

Der Anbieter stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Kontrollen vor Ort sind nach angemessener Vorankündigung während üblicher Geschäftszeiten möglich, soweit keine gleichwertigen Nachweise (z. B. Zertifizierungen, Prüfberichte) beigebracht werden können.

Für die Haftung gelten die Regelungen des Hauptvertrags; Art. 82 DSGVO bleibt unberührt.

Hinweis: Dieser AVV ist eine Standardfassung für alle Kunden. Für individuelle Anpassungen wenden Sie sich an support@sitebaze.com.