Auftragsverarbeitung

1. Einleitung, Geltungsbereich, Definitionen

1.1 Dieser Vertrag regelt die Rechte und Pflichten von Kunde und Anbieter (im Folgenden „Parteien“) im Rahmen einer Verarbeitung von personenbezogenen Daten im Auftrag im Sinne des Art. 28 der EU-Datenschutzgrundverordnung (im Folgenden „DSGVO“). Der Kunde ist Verantwortlicher, der Anbieter Auftragsverarbeiter.

1.2 Dieser Vertrag findet auf alle Tätigkeiten Anwendung, bei denen der Anbieter oder durch ihn beauftragte Unterauftragnehmer personenbezogene Daten des Kunden verarbeiten.

1.3 In diesem Vertrag verwendete Begriffe sind entsprechend ihrer Definition in der DSGVO zu verstehen. Soweit Erklärungen im Folgenden „schriftlich“ zu erfolgen haben, ist die Schriftform nach § 126 BGB gemeint. Im Übrigen können Erklärungen auch in anderer Form erfolgen, soweit eine angemessene Nachweisbarkeit gewährleistet ist; Erklärungen und Weisungen innerhalb der Anwendung genügen dieser Anforderung, weil sie protokolliert werden.

2. Gegenstand und Dauer der Verarbeitung

2.1 Der Anbieter übernimmt folgende Verarbeitungen: das Abrufen der vom Kunden benannten Webseiten mit einem Browser, das Erheben, Speichern, Auswerten und Darstellen der dabei entstehenden Befunde und Belege sowie das Speichern der Kontodaten der zugangsberechtigten Personen des Kunden. Die Verarbeitung beruht auf dem Hauptvertrag.

2.2 Die Verarbeitung beginnt mit der Einrichtung des Firmenkontos und erfolgt auf unbestimmte Zeit bis zur Kündigung dieses Vertrags oder des Hauptvertrags durch eine Partei.

3. Art und Zweck der Datenverarbeitung

3.1 Der Anbieter erbringt eine digitale Dienstleistung: die wiederkehrende automatisierte Prüfung von Webseiten auf Barrierefreiheit. Er erhält dabei Zugriff auf die Inhalte der geprüften Seiten, soweit diese öffentlich abrufbar sind.

3.2 Die Verarbeitung durch den Anbieter erfolgt in der Art des Abrufs, des Auslesens, des Zuordnens, des Abgleichs über die Zeit, der Auswertung und der Aufbereitung. Der Kunde ist ein Unternehmen, das eine oder mehrere Webseiten betreibt oder betreut.

3.3 Die Verarbeitung dient dem Zweck, Barrierefreiheitsmängel auf den Seiten des Kunden zu finden, sie über die Zeit wiederzuerkennen und ihre Behebung nachzuweisen. Sie erfolgt aufgrund des Interesses des Kunden an der Erfüllung seiner Pflichten aus dem Barrierefreiheitsstärkungsgesetz und an der Nutzbarkeit seines Angebots. Eine Verarbeitung zu eigenen Zwecken des Anbieters — insbesondere zu Trainings-, Analyse- oder Werbezwecken — findet nicht statt.

3.4 Es werden folgende Kategorien personenbezogener Daten verarbeitet:

• Kontodaten — Firma, Anschrift und USt-IdNr. des Kunden sowie Name und E-Mail-Adresse der zugangsberechtigten Personen.
• Anmeldedaten — Passwort-Hash, Schlüssel der Zwei-Faktor-Verfahren, Passkeys und Wiederherstellungscodes.
• Belege aus der Prüfung — HTML-Ausschnitte und Bildausschnitte der beanstandeten Stellen. Sie enthalten Inhalte der geprüften Seite und können damit personenbezogene Daten enthalten, die dort öffentlich stehen.
• Empfängeradressen für Benachrichtigungen, soweit der Kunde sie hinterlegt.

3.5 Von der Verarbeitung betroffen sind:

• Beschäftigte und Beauftragte des Kunden mit Zugang zum Dienst
• Personen, deren Daten auf den geprüften Seiten öffentlich sichtbar sind

3.6 Nicht verarbeitet werden Zugangsdaten des Kunden zu geschützten Bereichen. Der Dienst prüft ausschließlich Seiten, die ohne Anmeldung abrufbar sind; eine Möglichkeit, Zugangsdaten zu hinterlegen, gibt es nicht. Damit entstehen auch keine Belege aus angemeldeten Bereichen. Sollte die Prüfung geschützter Bereiche später angeboten werden, ist dieser Vertrag vorher anzupassen.

4. Pflichten des Anbieters

4.1 Der Anbieter verarbeitet personenbezogene Daten ausschließlich wie vertraglich vereinbart oder wie vom Kunden angewiesen, es sei denn, er ist gesetzlich zu einer bestimmten Verarbeitung verpflichtet. Bestehen solche Verpflichtungen, teilt er sie dem Kunden vor der Verarbeitung mit, es sei denn, die Mitteilung ist ihm gesetzlich verboten. Die überlassenen Daten verwendet er für keine anderen, insbesondere nicht für eigene Zwecke.

4.2 Der Anbieter bestätigt, dass ihm die einschlägigen datenschutzrechtlichen Vorschriften bekannt sind. Er beachtet die Grundsätze ordnungsgemäßer Datenverarbeitung.

4.3 Der Anbieter verpflichtet sich, bei der Verarbeitung die Vertraulichkeit streng zu wahren.

4.4 Personen, die Kenntnis von den im Auftrag verarbeiteten Daten erhalten können, haben sich schriftlich zur Vertraulichkeit zu verpflichten, soweit sie nicht bereits gesetzlich einer einschlägigen Geheimhaltungspflicht unterliegen. Derzeit hat ausschließlich der Inhaber des Anbieters Zugriff.

4.5 Der Anbieter sichert zu, dass die bei ihm zur Verarbeitung eingesetzten Personen vor Beginn der Verarbeitung mit den relevanten Bestimmungen des Datenschutzes und dieses Vertrags vertraut gemacht wurden und dass entsprechende Maßnahmen angemessen regelmäßig wiederholt werden.

4.6 Der Anbieter unterstützt den Kunden bei Erstellung und Fortschreibung des Verzeichnisses der Verarbeitungstätigkeiten sowie bei der Datenschutz-Folgenabschätzung. Alle erforderlichen Angaben und Dokumentationen hält er vor und leitet sie dem Kunden auf Anforderung unverzüglich zu.

4.7 Wird der Kunde durch Aufsichtsbehörden oder andere Stellen einer Kontrolle unterzogen oder machen betroffene Personen ihm gegenüber Rechte geltend, unterstützt der Anbieter ihn im erforderlichen Umfang, soweit die Verarbeitung im Auftrag betroffen ist.

4.8 Auskünfte an Dritte oder Betroffene erteilt der Anbieter nur nach vorheriger Zustimmung des Kunden. Direkt an ihn gerichtete Anfragen leitet er unverzüglich an den Kunden weiter.

4.9 Der Anbieter hat keinen Datenschutzbeauftragten bestellt und ist dazu nicht verpflichtet: Es sind nicht ständig mindestens 20 Personen mit der automatisierten Verarbeitung beschäftigt (§ 38 Abs. 1 BDSG), und die Kerntätigkeit erfordert weder eine umfangreiche regelmäßige Überwachung von Betroffenen noch die umfangreiche Verarbeitung besonderer Datenkategorien (Art. 37 Abs. 1 lit. b und c DSGVO). Ansprechpartner in Datenschutzfragen ist der Inhaber unter den oben genannten Kontaktdaten. Ändern sich die Voraussetzungen, bestellt der Anbieter einen Beauftragten und teilt dies unverzüglich mit.

4.10 Die Auftragsverarbeitung erfolgt ausschließlich innerhalb der EU beziehungsweise des EWR. Jegliche Verlagerung in ein Drittland darf nur mit Zustimmung des Kunden und unter den in Kapitel V der DSGVO enthaltenen Bedingungen erfolgen.

5. Technische und organisatorische Maßnahmen

5.1 Die in Anlage 1 beschriebenen Datensicherheitsmaßnahmen werden als verbindlich festgelegt. Sie definieren das vom Anbieter geschuldete Minimum. Anlage 1 weist zu jeder Maßnahme aus, ob sie umgesetzt ist; als geschuldet gelten die als umgesetzt ausgewiesenen.

5.2 Die Maßnahmen können der technischen und organisatorischen Weiterentwicklung entsprechend angepasst werden, solange das vereinbarte Niveau nicht unterschritten wird. Zur Aufrechterhaltung der Informationssicherheit erforderliche Änderungen setzt der Anbieter unverzüglich um und teilt sie mit. Wesentliche Änderungen sind zwischen den Parteien zu vereinbaren.

5.3 Genügen die getroffenen Sicherheitsmaßnahmen den Anforderungen des Kunden nicht oder nicht mehr, benachrichtigt der Anbieter ihn unverzüglich.

5.4 Der Anbieter sichert zu, dass die im Auftrag verarbeiteten Daten von sonstigen Datenbeständen strikt getrennt werden. Jeder Datensatz trägt die Kennung des Firmenkontos; jede Abfrage ist darauf eingeschränkt, jede Berechtigungsprüfung zusätzlich.

5.5 Kopien oder Duplikate werden ohne Wissen des Kunden nicht erstellt. Ausgenommen sind technisch notwendige Vervielfältigungen — insbesondere die verschlüsselten Sicherungen nach Anlage 1 —, soweit eine Beeinträchtigung des vereinbarten Datenschutzniveaus ausgeschlossen ist.

5.6 Die Verarbeitung findet ausschließlich auf den in Anlage 2 genannten Systemen statt. Der Verwaltungszugang zu diesen Systemen ist auf ein Gerät des Anbieters beschränkt, erfolgt ausschließlich über SSH mit Schlüssel und nicht über ein Passwort. Eine Verarbeitung im Auftrag auf Geräten Dritter findet nicht statt.

5.7 Der Kunde übergibt dem Anbieter keine körperlichen Datenträger. Alle Daten entstehen im Dienst und verbleiben in den Systemen nach Anlage 2.

5.8 Der Kunde ist berechtigt, die Erfüllung der Pflichten des Anbieters, insbesondere die Umsetzung und Wirksamkeit der vereinbarten Maßnahmen, unter Vorankündigung mit angemessener Frist zu kontrollieren. Der Anbieter erteilt hierzu Auskunft, gewährt Einsicht in Konfiguration, Protokolle und Nachweise und legt die Zertifikate und Prüfberichte der Unterauftragnehmer vor. Ein Zutritt zu den Rechenzentren kann der Anbieter nicht gewähren; sie werden von einem Unterauftragnehmer betrieben (Anlage 2).

6. Berichtigung, Löschung und Einschränkung

6.1 Im Rahmen des Auftrags verarbeitete Daten wird der Anbieter nur entsprechend der getroffenen vertraglichen Vereinbarung oder nach Weisung des Kunden berichtigen, löschen oder in ihrer Verarbeitung einschränken.

6.2 Den entsprechenden Weisungen des Kunden wird der Anbieter jederzeit und auch über die Beendigung dieses Vertrages hinaus Folge leisten.

7. Unterauftragsverhältnisse

7.1 Die Beauftragung von Unterauftragnehmern ist zulässig. Der Anbieter erteilt auf Verlangen jederzeit Auskunft über die gegenwärtig und in der Vergangenheit eingesetzten Unterauftragnehmer und gewährt Einsicht in die mit ihnen geschlossenen Verträge.

7.2 Die Verantwortlichkeiten des Anbieters und der Unterauftragnehmer sind eindeutig voneinander abzugrenzen.

7.3 Eine weitere Unterbeauftragung durch einen Unterauftragnehmer ist nach den Maßgaben der Ziffer 7.1 zulässig.

7.4 Der Anbieter wählt Unterauftragnehmer unter besonderer Berücksichtigung der Eignung ihrer technischen und organisatorischen Maßnahmen sorgfältig aus.

7.5 Alle in Anlage 2 genannten Unterauftragnehmer erbringen ihre Leistung aus dem Gebiet der EU. Eine Beauftragung außerhalb der EU beziehungsweise des EWR ist nur unter den Bedingungen der Ziffer 4.10 möglich.

7.6 Der Anbieter überprüft die Einhaltung der Pflichten der Unterauftragnehmer regelmäßig angemessen und dokumentiert die Ergebnisse. Die Dokumentation legt er auf Verlangen vor.

7.7 Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet hierfür der Anbieter gegenüber dem Kunden.

7.8 Zurzeit sind die in Anlage 2 bezeichneten Unterauftragnehmer in dem dort genannten Umfang betraut. Eine Änderung wird mit einer Frist von vier Wochen in Textform angekündigt; der Kunde kann widersprechen und den Vertrag außerordentlich kündigen.

7.9 Unterauftragsverhältnisse im Sinne dieses Vertrags sind nur solche Leistungen, die einen direkten Zusammenhang mit der Erbringung der Hauptleistung aufweisen. Nebenleistungen sind nicht erfasst. Die Pflicht des Anbieters, auch in diesen Fällen Datenschutz und Datensicherheit sicherzustellen, bleibt unberührt.

8. Rechte und Pflichten des Kunden

8.1 Für die Beurteilung der Zulässigkeit der beauftragten Verarbeitung sowie für die Wahrung der Rechte von Betroffenen ist allein der Kunde verantwortlich. Er stellt insbesondere sicher, dass er die von ihm benannten Seiten prüfen lassen darf.

8.2 Der Kunde erteilt alle Aufträge, Teilaufträge oder Weisungen dokumentiert. Die in der Anwendung vorgenommenen Einstellungen gelten als dokumentierte Weisung; ihre Änderung wird im Änderungsprotokoll des Kontos festgehalten. In Eilfällen können Weisungen mündlich erteilt werden; der Kunde bestätigt sie unverzüglich dokumentiert.

8.3 Der Kunde informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Prüfung der Auftragsergebnisse feststellt.

8.4 Der Kunde ist berechtigt, die Einhaltung der Datenschutzvorschriften und der vertraglichen Vereinbarungen selbst oder durch einen zur Vertraulichkeit verpflichteten Dritten in angemessenem Umfang zu kontrollieren, insbesondere durch Einholung von Auskünften und Einsichtnahme. Der Anbieter erteilt die erforderlichen Auskünfte, demonstriert Abläufe und führt die zur Kontrolle erforderlichen Nachweise. Für die Rechenzentren gilt Ziffer 5.8 Satz 3.

8.5 Kontrollen haben ohne vermeidbare Störungen des Geschäftsbetriebs zu erfolgen. Soweit nicht aus dringlichen, vom Kunden zu dokumentierenden Gründen anders angezeigt, finden sie nach angemessener Vorankündigung, zu Geschäftszeiten und nicht häufiger als alle zwölf Monate statt.

9. Mitteilungspflichten

9.1 Der Anbieter teilt dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich mit; auch begründete Verdachtsfälle sind mitzuteilen. Die Mitteilung hat spätestens innerhalb von 24 Stunden ab Kenntnis an eine vom Kunden benannte Adresse zu erfolgen und muss mindestens enthalten:

• eine Beschreibung der Art der Verletzung, soweit möglich mit Angabe der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• Name und Kontaktdaten der Anlaufstelle für weitere Informationen
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und gegebenenfalls zur Abmilderung nachteiliger Auswirkungen

9.2 Ebenfalls unverzüglich mitzuteilen sind erhebliche Störungen bei der Auftragserledigung sowie Verstöße des Anbieters oder der bei ihm beschäftigten Personen gegen datenschutzrechtliche Bestimmungen oder gegen diesen Vertrag.

9.3 Der Anbieter informiert den Kunden unverzüglich über Kontrollen oder Maßnahmen von Aufsichtsbehörden oder anderen Dritten, soweit diese Bezüge zur Auftragsverarbeitung aufweisen.

9.4 Der Anbieter sichert zu, den Kunden bei dessen Pflichten nach Art. 33 und 34 DSGVO im erforderlichen Umfang zu unterstützen.

10. Weisungen

10.1 Der Kunde behält sich hinsichtlich der Verarbeitung im Auftrag ein umfassendes Weisungsrecht vor.

10.2 Die zur Erteilung und Annahme von Weisungen befugten Personen benennt Anlage 3.

10.3 Bei einem Wechsel oder einer längerfristigen Verhinderung der benannten Personen sind der anderen Partei Nachfolger beziehungsweise Vertreter unverzüglich mitzuteilen. Auf Seiten des Kunden geschieht dies durch Änderung der Rollen unter „Mitglieder“.

10.4 Der Anbieter wird den Kunden unverzüglich darauf aufmerksam machen, wenn eine Weisung seiner Meinung nach gegen gesetzliche Vorschriften verstößt oder zu einer Haftung führen kann. Er ist berechtigt, die Durchführung der Weisung auszusetzen, bis sie bestätigt oder geändert wird.

10.5 Zu einer materiell-rechtlichen Prüfung von Weisungen ist der Anbieter nicht verpflichtet.

11. Beendigung des Auftrags

11.1 Bei Beendigung des Auftragsverhältnisses oder jederzeit auf Verlangen des Kunden hat der Anbieter die im Auftrag verarbeiteten Daten nach Wahl des Kunden entweder zu löschen oder an ihn herauszugeben. Ebenfalls zu löschen sind sämtliche vorhandenen Kopien. Die Löschung eines Firmenkontos erfasst in einem Vorgang:

• Projekte, Monitore, Seiten, Läufe, Seitenergebnisse, Befunde, Probleme und Ereignisse
• alle Bildausschnitte und Berichte im Objektspeicher — nicht nur die Verweise darauf
• Mitgliedschaften und Personen, die in keinem weiteren Firmenkonto Mitglied sind
• Anmeldegeheimnisse dieser Personen: Passwort, Authenticator-Schlüssel, Passkeys, Wiederherstellungscodes
• das Änderungsprotokoll dieses Kontos

11.2 Der Anbieter führt die unverzügliche Löschung auch bei Unterauftragnehmern herbei. Verschlüsselte Sicherungen laufen nach spätestens 30 Tagen aus dem Bestand; bis dahin werden sie nicht wiederhergestellt.

11.3 Der Kunde erhält einen Löschnachweis mit Zeitpunkt und Anzahl der entfernten Datensätze je Bestand. Dieser Nachweis überlebt die Löschung — er ist die Erfüllung der Rechenschaftspflicht nach Art. 5 Abs. 2 DSGVO — und enthält selbst keine Inhalte des Kontos: keine Domains, keine E-Mail-Adressen, keine Befunde. Eine physische Vernichtung von Datenträgern findet nicht statt; der Kunde übergibt keine (Ziffer 5.7).

11.4 Unabhängig davon greifen laufend die Aufbewahrungsfristen aus Anlage 1: Bildausschnitte werden nach 90 Tagen entfernt, Belege und Berichte nach 13 Monaten. Erhalten bleiben Läufe, Bewertungen und die Problemhistorie — sie enthalten keine Inhalte der geprüften Seiten, sondern deren Auswertung. Dokumentationen, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dienen, bewahrt der Anbieter entsprechend den gesetzlichen Fristen auch über das Vertragsende hinaus auf.

12. Vergütung

Die Vergütung des Anbieters ist abschließend im Hauptvertrag geregelt. Eine gesonderte Vergütung oder Kostenerstattung im Rahmen dieses Vertrages erfolgt nicht.

13. Haftung

13.1 Für den Ersatz von Schäden, die eine Person wegen einer unzulässigen oder unrichtigen Datenverarbeitung im Rahmen des Auftragsverhältnisses erleidet, haften Kunde und Anbieter als Gesamtschuldner.

13.2 Der Kunde trägt die Beweislast dafür, dass ein Schaden nicht Folge eines von ihm zu vertretenden Umstandes ist, soweit personenbezogene Daten in seiner Verantwortung vom Anbieter unter dieser Vereinbarung verarbeitet wurden. Solange dieser Beweis nicht erbracht wurde, stellt der Kunde den Anbieter auf erste Anforderung von allen Ansprüchen frei, die im Zusammenhang mit der Auftragsverarbeitung gegen ihn erhoben werden, und ersetzt ihm die entstandenen Kosten der Rechtsverteidigung.

13.3 Der Anbieter haftet dem Kunden für Schäden, die er, seine Mitarbeiter, die von ihm mit der Vertragsdurchführung Beauftragten oder die von ihm eingesetzten Unterauftragnehmer im Zusammenhang mit der Erbringung der beauftragten Leistung schuldhaft verursachen.

13.4 Ziffer 13.3 gilt nicht, soweit der Schaden durch die korrekte Umsetzung der beauftragten Dienstleistung oder einer vom Kunden erteilten Weisung entstanden ist.

14. Sonderkündigungsrecht

14.1 Der Kunde kann den Hauptvertrag und diese Vereinbarung jederzeit ohne Einhaltung einer Frist kündigen, wenn ein schwerwiegender Verstoß des Anbieters gegen Datenschutzvorschriften oder die Bestimmungen dieser Vereinbarung vorliegt, der Anbieter eine rechtmäßige Weisung nicht ausführen kann oder will oder er Kontrollrechte vertragswidrig verweigert.

14.2 Ein schwerwiegender Verstoß liegt insbesondere vor, wenn der Anbieter die in dieser Vereinbarung bestimmten Pflichten, insbesondere die vereinbarten technischen und organisatorischen Maßnahmen, in erheblichem Maße nicht erfüllt oder nicht erfüllt hat.

14.3 Bei unerheblichen Verstößen setzt der Kunde dem Anbieter eine angemessene Frist zur Abhilfe. Erfolgt die Abhilfe nicht rechtzeitig, ist der Kunde zur außerordentlichen Kündigung berechtigt.

15. Sonstiges

15.1 Beide Parteien sind verpflichtet, alle im Rahmen des Vertragsverhältnisses erlangten Kenntnisse von Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei auch über die Beendigung des Vertrages vertraulich zu behandeln. Bestehen Zweifel, ob eine Information der Geheimhaltungspflicht unterliegt, ist sie bis zur schriftlichen Freigabe als vertraulich zu behandeln.

15.2 Sollte Eigentum des Kunden beim Anbieter durch Maßnahmen Dritter, durch ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse gefährdet werden, hat der Anbieter den Kunden unverzüglich zu verständigen.

15.3 Für Nebenabreden ist die Schriftform erforderlich.

15.4 Die Einrede des Zurückbehaltungsrechts im Sinne des § 273 BGB wird hinsichtlich der im Auftrag verarbeiteten Daten ausgeschlossen.

15.5 Es gilt deutsches Recht. Sollten einzelne Teile dieser Vereinbarung unwirksam sein, berührt dies die Wirksamkeit der Vereinbarung im Übrigen nicht.

16. Grenzen, die der Kunde kennen muss

Diese Ziffer steht nicht in der zugrunde liegenden Vorlage. Sie ist eine Ergänzung des Anbieters — drei Punkte, die der Kunde vor der ersten Prüfung wissen sollte:

• Die Schwärzung erkennt keine frei stehenden Personennamen. E-Mail-Adressen, Telefonnummern, IBANs und Anschriften werden vor dem Speichern ersetzt; ein Name im Fließtext bleibt stehen. Das ist Datensparsamkeit, keine Anonymisierung. Wer Seiten mit Personendaten prüfen lässt, sollte die Bildausschnitte abschalten — die Einstellung steht je Website unter „Websites“.
• Beim Abruf wird die Seite vollständig gerendert — einschließlich der Dienste, die sie selbst einbindet. Der Prüfbrowser willigt nirgends ein, hinterlässt aber Datenspuren mit der IP-Adresse des Prüfsystems bei diesen Dritten.
• Die Prüfung bescheinigt keine Konformität. Sie deckt nur einen Teil der WCAG-Erfolgskriterien automatisch ab und ersetzt weder die manuelle Prüfung noch eine Rechtsberatung.

Anlage 1 — Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO, gegliedert nach den dort genannten Schutzzielen. Die Spalte „Stand“ trennt Umgesetztes von Offenem: eine Maßnahmenliste, die Geplantes als Bestehendes ausgibt, ist wertlos — und eine, die Bestehendes als geplant führt, verschenkt Vertrauen. Als geschuldet im Sinne der Ziffer 5.1 gilt, was als umgesetzt ausgewiesen ist.

Anlage 2 — Unterauftragnehmer

Der Anbieter bedient sich zum Zeitpunkt des Vertragsschlusses der folgenden Unterauftragnehmer. Der Kunde stimmt ihrem Einsatz zu; für Änderungen gilt Ziffer 7.8.

Kein Unterauftragnehmer ist die Fehlerüberwachung. Sie läuft auf eigener Infrastruktur. In der Anwendung selbst — also überall dort, wo der Kunde angemeldet arbeitet — wird kein Skript, keine Schrift, kein Zählpixel und kein Analysedienst eines Dritten geladen. Auf den öffentlichen Seiten dieser Website gibt es genau eine Ausnahme: die Einwilligungsverwaltung, die das Banner ausliefert und die Einwilligung dokumentiert. Sie ist kein Unterauftragnehmer dieses Vertrags — sie berührt keine Daten aus der Auftragsverarbeitung, sondern nur den Besuch dieser Website. Näheres in der Datenschutzerklärung. Die Reichweitenmessung läuft selbst gehostet auf eigener Infrastruktur, ohne Cookies und ohne Übermittlung an Dritte.

Anlage 3 — Weisungsberechtigte Personen

Weisungen werden in diesem Dienst nicht per Schreiben erteilt, sondern durch Einstellungen in der Anwendung. Die Vorlage sieht namentlich benannte Personen vor; hier ergeben sie sich aus den Rollen im Konto — das ist genauer, weil es nicht veralten kann: wer weisungsberechtigt ist, steht im Konto unter „Mitglieder“ und ändert sich dort.

• Weisungserteilung (Kunde): die Mitglieder des Firmenkontos mit der Rolle Inhaber oder Verwaltung. Wer nur liest, kann keine Weisung erteilen — die Anwendung lässt es nicht zu.
• Weisungsentgegennahme (Anbieter): Jochen Kächelin, erreichbar unter info@jochenk.com und +49 (0)7161 5071373.

Als dokumentierte Weisung im Sinne der Ziffer 8.2 gelten insbesondere: die benannten Webseiten und Adressen, der Zeitplan, die Prüfdimensionen, die Einstellung für Bildausschnitte und die Empfänger von Benachrichtigungen. Jede Änderung daran steht mit Person und Zeitpunkt im Änderungsprotokoll des Kontos.