Art. 28 DSGVO
Auftragsverarbeitung
Wer welche Daten in wessen Auftrag verarbeitet, mit welchen Maßnahmen — und was beim Löschen passiert.
Entwurf, noch nicht rechtsverbindlich. Diese Seite ist ein Platzhalter und ersetzt keine anwaltliche Prüfung. Vor dem ersten fremden Konto muss sie durch einen geprüften Text ersetzt werden.
Vertrag zur Verarbeitung personenbezogener Daten im Auftrag nach Artikel 28 DSGVO zwischen dem Kunden (Verantwortlicher) und dem Anbieter (Auftragsverarbeiter). Er wird mit der Nutzung kostenpflichtiger Leistungen Bestandteil des Vertrags und ergänzt die Allgemeinen Geschäftsbedingungen.
1. Gegenstand und Dauer
Gegenstand ist die wiederkehrende automatisierte Prüfung der vom Kunden benannten Webseiten sowie die Speicherung, Auswertung und Darstellung der dabei entstehenden Befunde. Die Verarbeitung dauert so lange, wie der zugrunde liegende Vertrag besteht. Sie endet mit dessen Beendigung; es folgen Rückgabe oder Löschung nach Abschnitt 9.
2. Art und Zweck der Verarbeitung
Der Anbieter ruft die benannten Seiten mit einem Browser ab, bewertet sie gegen WCAG-Erfolgskriterien und speichert zu jedem Befund einen Beleg. Der Zweck ist ausschließlich die Erbringung dieser Prüfleistung. Eine Verarbeitung zu eigenen Zwecken des Anbieters — insbesondere zu Trainings-, Analyse- oder Werbezwecken — findet nicht statt.
3. Art der Daten
Personenbezogene Daten entstehen an drei Stellen:
- Kontodaten — Firmenname, USt-IdNr., Name und E-Mail-Adresse der zugangsberechtigten Personen.
- Belege aus der Prüfung — HTML-Ausschnitte und Bildausschnitte der beanstandeten Stellen. Sie können Inhalte der geprüften Seite enthalten, bei geschützten Bereichen auch Kundendaten des Kunden.
- Zugangsdaten zu geschützten Bereichen, soweit der Kunde sie hinterlegt. Sie werden verschlüsselt gespeichert und niemals im Klartext protokolliert.
4. Kategorien betroffener Personen
Beschäftigte und Beauftragte des Kunden mit Zugang zum Dienst sowie Personen, deren Daten auf den geprüften Seiten sichtbar sind — bei geschützten Bereichen typischerweise Kundinnen und Kunden des Kunden.
5. Weisungen
Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gelten die im Dienst vorgenommenen Einstellungen: benannte Seiten, Zeitplan, Prüfdimensionen und die Einstellung für Bildausschnitte. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung aussetzen.
6. Vertraulichkeit
Zum Zugriff berechtigt sind ausschließlich Personen, die zur Vertraulichkeit verpflichtet sind. Jeder lesende oder ändernde Zugriff durch den Anbieter erfolgt im Rahmen der Rollen des Dienstes; Änderungen werden protokolliert (Abschnitt 7).
7. Technische und organisatorische Maßnahmen
Maßnahmen nach Artikel 32 DSGVO. Der Stand der Umsetzung ist offengelegt — eine Maßnahmenliste, die Geplantes als Bestehendes ausgibt, ist wertlos.
| Maßnahme | Umsetzung | Stand |
|---|---|---|
| Mandantentrennung | Jeder Datensatz trägt das Firmenkonto; jede Abfrage ist darauf eingeschränkt, jede Berechtigungsprüfung zusätzlich. | umgesetzt |
| Zugriffskontrolle | Rollen (Lesen / Betreiben / Besitzen), Standard ist Verweigerung. | umgesetzt |
| Zwei-Faktor-Anmeldung | Passkey, Authenticator-App und Wiederherstellungscodes. | umgesetzt |
| Verschlüsselung der Zugangsdaten | Hinterlegte Zugangsdaten liegen verschlüsselt in der Datenbank. | umgesetzt |
| Änderungsprotokoll | Wer wann welche Stammdaten, Rollen und Bewertungen geändert hat. | umgesetzt |
| Datensparsamkeit in Belegen | E-Mail-Adressen, Telefonnummern, IBANs und Anschriften werden vor dem Speichern ersetzt. | umgesetzt |
| Bildausschnitte eng gefasst | Voreinstellung: nur strukturelle Befunde, kein Vollbild, höchstens 14 je Seite. | umgesetzt |
| Aufbewahrungsfristen | Bildausschnitte 90 Tage, Belege und Berichte 13 Monate, täglich automatisch durchgesetzt. | umgesetzt |
| Löschung ganzer Konten | Ein Vorgang entfernt Daten, Anhänge im Objektspeicher, Anmeldegeheimnisse und Protokolle; es entsteht ein Nachweis. | umgesetzt |
| Verschlüsselte Übertragung | HTTPS erzwungen. | vor Inbetriebnahme |
| Betrieb in der EU | Server und Objektspeicher in Deutschland. | vor Inbetriebnahme |
| Sicherung und Wiederherstellung | Regelmäßige Sicherung mit dokumentierter Wiederherstellung. | vor Inbetriebnahme |
8. Unterauftragnehmer
Der Kunde stimmt dem Einsatz der folgenden Unterauftragnehmer zu. Eine Änderung wird mit einer Frist von vier Wochen in Textform angekündigt; der Kunde kann widersprechen und den Vertrag außerordentlich kündigen.
| Unterauftragnehmer | Leistung | Ort | Stand |
|---|---|---|---|
| Stripe Payments Europe, Ltd. | Abwicklung der Zahlungen, Rechnungsstellung | Irland (EU) | im Einsatz |
| Hetzner Online GmbH | Server und Objektspeicher | Deutschland | vorgesehen |
| E-Mail-Versand | Zustellung von Anmelde- und Benachrichtigungsmails | EU | wird vor Inbetriebnahme benannt |
Kein Unterauftragnehmer ist die Fehlerüberwachung. Sie läuft auf eigener Infrastruktur. Ebenso werden keine Schriften, Skripte, Zählpixel oder Analysedienste Dritter eingebunden — weder im Dienst noch auf dieser Website.
9. Löschung und Rückgabe
Nach Beendigung des Vertrags löscht der Anbieter auf Wahl des Kunden alle Daten oder gibt sie zuvor heraus. Die Löschung eines Firmenkontos erfasst in einem Vorgang:
- Projekte, Monitore, Seiten, Läufe, Seitenergebnisse, Befunde, Probleme und Ereignisse
- alle Bildausschnitte und Berichte im Objektspeicher — nicht nur die Verweise darauf
- Mitgliedschaften und Personen, die in keinem weiteren Firmenkonto Mitglied sind
- Anmeldegeheimnisse dieser Personen: Passwort, Authenticator-Schlüssel, Passkeys, Wiederherstellungscodes
- das Änderungsprotokoll dieses Kontos
Der Kunde erhält einen Löschnachweis mit Zeitpunkt und Anzahl der entfernten Datensätze je Bestand. Dieser Nachweis überlebt die Löschung — er ist die Erfüllung der Rechenschaftspflicht nach Artikel 5 Absatz 2 DSGVO — und enthält selbst keine Inhalte des Kontos: keine Domains, keine E-Mail-Adressen, keine Befunde.
Unabhängig davon greifen laufend die Fristen aus Abschnitt 7: Bildausschnitte werden nach 90 Tagen entfernt, Belege und Berichte nach 13 Monaten. Erhalten bleiben Läufe, Bewertungen und die Problemhistorie — sie enthalten keine Inhalte der geprüften Seiten, sondern deren Auswertung.
10. Unterstützung des Kunden
Der Anbieter unterstützt den Kunden bei Auskunfts-, Berichtigungs- und Löschverlangen betroffener Personen sowie bei Datenschutz-Folgenabschätzungen. Er meldet eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, mit den zur Meldung nach Artikel 33 DSGVO erforderlichen Angaben.
11. Nachweise und Kontrollen
Der Anbieter weist die Einhaltung auf Anfrage nach. Der Kunde ist berechtigt, sich nach Ankündigung mit angemessener Frist selbst oder durch einen zur Vertraulichkeit verpflichteten Prüfer zu überzeugen, soweit der Betrieb dadurch nicht unverhältnismäßig beeinträchtigt wird.
12. Grenzen, die der Kunde kennen muss
Drei Punkte gehören ausdrücklich in diesen Vertrag und nicht ins Kleingedruckte:
- Die Schwärzung erkennt keine frei stehenden Personennamen. E-Mail-Adressen, Telefonnummern, IBANs und Anschriften werden ersetzt; ein Name im Fließtext bleibt stehen. Das ist Datensparsamkeit, keine Anonymisierung. Wer geschützte Bereiche prüfen lässt, sollte die Bildausschnitte abschalten.
- Beim Abruf wird die Seite vollständig gerendert — einschließlich der Dienste, die sie selbst einbindet. Der Prüfbrowser willigt nirgends ein, hinterlässt aber Datenspuren mit der IP-Adresse des Prüfsystems bei diesen Dritten.
- Die Prüfung bescheinigt keine Konformität. Sie deckt nur einen Teil der WCAG-Erfolgskriterien automatisch ab und ersetzt weder die manuelle Prüfung noch eine Rechtsberatung.
13. Schlussbestimmungen
Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag vor. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.