formexposed
Loslegen

Auftragsverarbeitungsvertrag

Dieses Dokument wird in mehreren Sprachen veröffentlicht. Bei Abweichungen zwischen den Sprachfassungen ist die polnische Fassung verbindlich.

Fassung 2.2 · Stand: 29. Oktober 2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)

zwischen dem Kunden von formexposed als Verantwortlichem (im Folgenden „Kunde“) und LW IT Solutions Company Lukas Wójcik, al. Tadeusza Kościuszki 80/82, lok. 301, 90-437 Łódź, Polen, NIP 7252266190, als Auftragsverarbeiter (im Folgenden „wir“).

Vorbemerkung: worum es in diesem Vertrag geht

formexposed prüft Kontaktformulare von Websites auf ihren Schutz gegen Spam und Missbrauch, überwacht sie und meldet Veränderungen. Für den größten Teil der Daten, die dabei anfallen, sind wir selbst verantwortlich: für das Kundenkonto, die Abrechnung, die Sicherheit des Dienstes, die Protokolle und für Prüfungen ohne Konto. Diese Verarbeitungen beschreibt unsere Datenschutzerklärung; dieser Vertrag gilt für sie nicht.

Einige Funktionen bringen aber personenbezogene Daten Dritter in den Dienst, über die der Kunde entscheidet: Kopien echter Anfragen von Besuchern seiner Website, die Adressen der Personen, die seine Alarme erhalten, Zugangsdaten eines Testkontos, Code, den er uns zur Bearbeitung gibt. Diese Daten verarbeiten wir nur in seinem Auftrag. Dafür gilt dieser Vertrag. Welche Funktionen das im Einzelnen sind, steht in Anlage 1 am Ende dieses Vertrags.

Der Vertrag folgt Art. 28 Abs. 3 DSGVO und lehnt sich in Aufbau und Inhalt an die Standardvertragsklauseln der Europäischen Kommission zwischen Verantwortlichen und Auftragsverarbeitern an (Durchführungsbeschluss (EU) 2021/915). Er übernimmt sie nicht wörtlich, sondern beschreibt den tatsächlichen Dienst. Wo wir eine Pflicht aus Art. 28 DSGVO näher ausgestalten, soll das Schutzniveau der Verordnung nicht unterschritten werden.

§ 1 Gegenstand, Geltungsbereich und Rollen

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch uns im Auftrag des Kunden bei der Erbringung des Dienstes nach unseren Allgemeinen Geschäftsbedingungen. Gegenstand, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen stehen je Funktion in Anlage 1.

(2) Nicht erfasst sind Verarbeitungen, für die wir selbst Verantwortlicher sind, insbesondere das Kundenkonto und die Mitglieder eines Arbeitsbereichs, Anmeldung und Kontosicherheit, Abrechnung, Support, Protokolle, Sicherungen dieser eigenen Daten, der kostenlose Check ohne Konto, Prüfungen von Domains im Konto, deren Verfügungsbefugnis der Kunde noch nicht nachgewiesen hat, die Interessenten-Prüfung, die Studie, das Siegel und was das WordPress-Plugin und die TYPO3-Erweiterung übermitteln: Tageszahlen, das Plugin-Inventar und beim verbundenen WordPress-Plugin für den Schwarmschutz (ab Werk an) die Domains von Links aus abgewehrten Nachrichten. Darüber hinaus enthalten diese Daten nach der Bauart der Erweiterungen keine Inhalte, Namen, Adressen oder IP-Adressen von Besuchern. Sicherungen, soweit sie Auftragsdaten enthalten, und Einblicke in Auftragsdaten für Betrieb, Fehlersuche und Sicherheit sind dagegen Teil der Verarbeitung im Auftrag; für sie gelten § 7 Abs. 3 und § 15 Abs. 5.

(3) Der Kunde ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO für die Daten in Anlage 1. Handelt der Kunde seinerseits als Auftragsverarbeiter eines Dritten, etwa eine Agentur für ihre Kunden, sind wir für diese Daten weiterer Auftragsverarbeiter. Der Kunde stellt dann sicher, dass dieser Vertrag mit den Pflichten aus seinem eigenen Vertrag vereinbar ist, und leitet Weisungen des Dritten nur über sich an uns weiter.

(4) Abschluss: Der Vertrag wird bei der Registrierung zusammen mit den AGB geschlossen, und zwar mit jedem Kunden, auch wenn er keine der Funktionen aus Anlage 1 nutzt. Er wird elektronisch geschlossen; das genügt Art. 28 Abs. 9 DSGVO. Wir speichern dazu die angezeigte Fassung, ihren Prüfwert, den Zeitpunkt, die IP-Adresse und die Browserkennung der Annahme.

§ 2 Begriffe

Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung aus Art. 4 DSGVO. Ergänzend gilt:

  • Auftragsdaten sind die personenbezogenen Daten, die wir nach Anlage 1 im Auftrag des Kunden verarbeiten.
  • Unterauftragsverarbeiter ist ein weiterer Auftragsverarbeiter, den wir einsetzen und der dabei Auftragsdaten verarbeitet (Art. 28 Abs. 2 und 4 DSGVO).
  • Arbeitsbereich ist der Bereich im Dienst, in dem ein Kunde seine Domains, Einstellungen und Mitglieder verwaltet. Alle Auftragsdaten sind einem Arbeitsbereich zugeordnet.
  • Textform ist jede lesbare Erklärung auf einem dauerhaften Träger, insbesondere eine E-Mail.
  • Tage sind Kalendertage. Fällt das Ende einer Frist auf einen Samstag, Sonntag oder gesetzlichen Feiertag in Polen, endet sie am nächsten Werktag.

§ 3 Dauer

(1) Der Vertrag gilt, solange wir Auftragsdaten verarbeiten. Er beginnt mit der Registrierung und endet nicht schon mit dem Ende eines bezahlten Tarifs: Nach einer Kündigung bleibt das Konto als kostenloses Konto bestehen, und mit ihm gegebenenfalls Auftragsdaten. Er endet, wenn das Konto gelöscht ist und keine Auftragsdaten des Kunden mehr bei uns liegen, außer in Sicherungen bis zu deren Ablauf (§ 15).

(2) Pflichten, die ihrer Natur nach fortwirken, gelten über das Ende hinaus, insbesondere Vertraulichkeit, Löschung, Nachweis und Haftung.

(3) Eine ordentliche Kündigung allein dieses Vertrags ist ausgeschlossen, weil ohne ihn keine Auftragsdaten verarbeitet werden dürften, solange das Konto besteht. Will der Kunde ihn beenden, löscht er sein Konto (§ 15 Abs. 3). Die Kündigungsrechte nach § 9 Abs. 3 und § 16 und die Kündigungsrechte der AGB bleiben unberührt.

§ 4 Weisungen

(1) Wir verarbeiten Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch bei einer Übermittlung in ein Drittland oder an eine internationale Organisation. Das gilt nicht, wenn uns das Recht der Union oder eines Mitgliedstaats, dem wir unterliegen, zu einer Verarbeitung verpflichtet. Dann teilen wir dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).

(2) Die Weisungen des Kunden sind abschließend dokumentiert in diesem Vertrag, in den AGB und in den Einstellungen, die der Kunde im Dienst vornimmt. Beispiele: Das Einrichten der Zustellungsprüfung ist die Weisung, Kopien der Formular-Mails anzunehmen und auszuwerten; das Anlegen eines Alarmziels ist die Weisung, Meldungen dorthin zu senden; das Hinterlegen eines Testkontos ist die Weisung, sich damit für den Scan hinter dem Login anzumelden. Der Dienst ist so gebaut, dass er nur tut, was diese Einstellungen vorsehen.

(3) Weitere Weisungen erteilt der Kunde in Textform an contact@lukaswojcik.com oder über das Support-Fenster. Weisungsberechtigt sind der Inhaber und die Administratoren des Arbeitsbereichs; Weisungen über Einstellungen im Dienst erteilt, wer die Einstellung nach seiner Rolle vornehmen darf. Eine mündliche Weisung bestätigt der Kunde unverzüglich in Textform; bis dahin dürfen wir mit der Ausführung warten, außer die Weisung betrifft die Löschung oder Sperrung von Daten. Eine Weisung, die über den vereinbarten Leistungsumfang hinausgeht, behandeln wir als Antrag auf Änderung der Leistung; wir dürfen sie ablehnen oder von einer Vergütung abhängig machen, die wir vorher in Textform nennen. Eine Weisung, die eine Pflicht aus der DSGVO betrifft, etwa eine Löschung, lehnen wir nicht aus diesem Grund ab.

(4) Ist eine Weisung nach unserer Auffassung rechtswidrig, teilen wir das dem Kunden unverzüglich mit (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Wir dürfen die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert. Eine offensichtlich rechtswidrige Weisung führen wir nicht aus. Zu einer umfassenden rechtlichen Prüfung jeder Weisung sind wir nicht verpflichtet; die Verantwortung für ihre Rechtmäßigkeit bleibt beim Kunden.

§ 5 Zweckbindung und was wir mit Auftragsdaten nicht tun

(1) Wir verarbeiten Auftragsdaten nur für die Zwecke in Anlage 1 und nur so weit, wie die jeweilige Funktion es braucht.

(2) Wir verwenden Auftragsdaten nicht für eigene Zwecke. Insbesondere werten wir sie nicht für Werbung aus, verkaufen sie nicht, verknüpfen sie nicht mit Daten anderer Kunden zu Profilen und verwenden sie nicht, um Sprachmodelle zu trainieren. Das Sprachmodell, das bei einzelnen Funktionen mitarbeitet, läuft auf unserem eigenen Server; an einen externen KI-Dienst geht nichts.

(3) Der Kunde gestattet uns, aus Auftragsdaten zusammengefasste Zahlen zu bilden, die sich keiner Person, keinem Kunden und keiner Domain mehr zuordnen lassen, etwa zu Zustellungen, Fehlern oder Prüfergebnissen. Das Zusammenfassen ist eine Verarbeitung nach diesem Vertrag; die fertigen Zahlen sind keine personenbezogenen Daten und keine Auftragsdaten mehr. Wir versuchen nicht, aus ihnen Personen wieder zu bestimmen.

§ 6 Pflichten des Kunden

(1) Der Kunde ist für die Zulässigkeit der Verarbeitung verantwortlich, die er uns aufträgt. Dazu gehört, dass er eine Rechtsgrundlage für sie hat und die betroffenen Personen nach Art. 13 und 14 DSGVO informiert.

(2) Nutzt der Kunde die Zustellungsprüfung, informiert er die Besucher seiner Website in seiner Datenschutzerklärung darüber, dass eine Kopie der Formular-Mail an uns geht. Einen Textvorschlag dafür zeigt der Dienst auf der Seite der Domain; weitere Bausteine stehen unter Textbausteine für Ihre Datenschutzerklärung. Der Vorschlag ersetzt keine eigene Prüfung.

(3) Für den Scan hinter dem Login legt der Kunde ein eigenes Testkonto an, das nur die Rechte hat, die für das Lesen der angegebenen Seiten nötig sind, und das keine echten Daten von Kunden, Patienten, Mitgliedern oder Beschäftigten zeigt. Er hinterlegt keine Zugangsdaten einer realen Person und keine Zugangsdaten, für die er nicht berechtigt ist. Die Regeln zur Nutzung stehen auch unter Zulässige Nutzung und Missbrauch.

(4) Der Kunde lässt besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) nicht über den Dienst verarbeiten, soweit er das vermeiden kann. Er fügt bei „Fix it for me“ keinen Code mit echten Personendaten ein und legt Kundenportale nur für Personen an, die den Bericht bestellt haben.

(5) Kundenportale: Für den Monatsbericht an Abonnenten ist der Kunde, in der Regel eine Agentur, Verantwortlicher. Der Dienst holt die Bestätigung jedes Abonnenten über einen Bestätigungslink ein (Double-Opt-in) und bietet in jeder Mail die Abmeldung an. Ob die Einwilligung für den Inhalt des Berichts reicht, beurteilt der Kunde.

(6) Stellt der Kunde Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, teilt er uns das unverzüglich mit.

(7) Bindet der Kunde das Siegel ein, ist das keine Auftragsverarbeitung; die Verarbeitung dafür beschreibt unsere Datenschutzerklärung. Der Kunde weist in seiner Datenschutzerklärung darauf hin.

§ 7 Vertraulichkeit

(1) Wir gewähren Zugang zu Auftragsdaten nur Personen, die ihn für ihre Aufgabe brauchen und die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Die Verpflichtung gilt über das Ende ihrer Tätigkeit hinaus.

(2) Derzeit betreibt der Inhaber den Dienst selbst. Kommen weitere Personen hinzu, werden sie vor dem ersten Zugriff verpflichtet und in den Umgang mit personenbezogenen Daten eingewiesen.

(3) Einblick in einen Arbeitsbereich nehmen wir nur, soweit es für Betrieb, Fehlersuche, Support oder Missbrauchsabwehr nötig ist. Die Support-Funktion „Ansicht als Kunde“ ist auf eine Stunde begrenzt, sperrt Änderungen an Passwort, Adresse, zweitem Faktor, Abo, Export und Löschung und wird protokolliert; der Kunde sieht den Zugriff in seinem Datenexport.

§ 8 Sicherheit der Verarbeitung

(1) Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die ein dem Risiko angemessenes Schutzniveau gewährleisten. Sie sind auf der Seite Technische und organisatorische Maßnahmen beschrieben. Diese Seite ist Bestandteil dieses Vertrags (Anlage 2) in der Fassung, die zum jeweiligen Zeitpunkt dort veröffentlicht ist. Der Kunde konnte die Beschreibung vor Vertragsschluss einsehen. Ob die Maßnahmen für die Verarbeitung, die er uns aufträgt, ein angemessenes Schutzniveau bieten, beurteilt er in eigener Verantwortung (Art. 28 Abs. 1 DSGVO), insbesondere bevor er eine Funktion aus Anlage 1 einschaltet.

(2) Die Seite beschreibt nur Maßnahmen, die tatsächlich umgesetzt sind. Was geplant, aber noch nicht umgesetzt ist, steht dort ausdrücklich als „geplant“ und gehört nicht zu den zugesagten Maßnahmen, bis es umgesetzt ist.

(3) Wir dürfen die Maßnahmen dem technischen Fortschritt und der Entwicklung des Dienstes anpassen, solange das Schutzniveau insgesamt nicht sinkt. Jede Änderung veröffentlichen wir mit neuer Fassungsnummer und Datum auf der Seite und in der Übersicht Änderungen der Vertragsunterlagen. Eine Änderung, die eine bisher beschriebene Maßnahme ersatzlos entfallen lässt oder abschwächt, teilen wir dem Kunden zusätzlich mindestens 30 Tage vorher in Textform mit; der Kunde kann dann wie bei einem neuen Unterauftragsverarbeiter widersprechen (§ 9 Abs. 3). Muss eine Maßnahme kurzfristig ersetzt werden, um einer Gefahr zu begegnen, darf das ohne Vorlauf geschehen, wenn das Schutzniveau dadurch nicht sinkt; die Mitteilung folgt dann unverzüglich.

§ 9 Unterauftragsverarbeiter

(1) Der Kunde erteilt uns die allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Welche wir derzeit einsetzen, mit Sitz, Zweck, Daten, Ort der Verarbeitung und Grundlage einer Übermittlung in ein Drittland, steht auf der Seite Unterauftragsverarbeiter. Diese Liste ist Bestandteil dieses Vertrags (Anlage 3) in der dort veröffentlichten Fassung. Die Genehmigung gilt für die dort genannten Unterauftragsverarbeiter als erteilt.

(2) Über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters informieren wir den Kunden mindestens 30 Tage vorher per E-Mail an die Adresse des Kontoinhabers. Die Mitteilung nennt den Unterauftragsverarbeiter, seinen Sitz, die betroffene Funktion, die Daten, den Ort der Verarbeitung und die Grundlage einer Übermittlung. Zugleich steht die angekündigte Änderung auf der Seite der Unterauftragsverarbeiter und in der Übersicht der Änderungen.

(3) Der Kunde kann innerhalb dieser 30 Tage in Textform widersprechen, wenn er einen sachlichen, datenschutzrechtlichen Grund hat; den Grund nennt er im Widerspruch. Wir suchen dann gemeinsam mit ihm eine Lösung, etwa indem die betroffene Funktion für ihn ohne den neuen Unterauftragsverarbeiter weiterläuft oder abgeschaltet wird. Bis eine Lösung gefunden ist, setzen wir den neuen Unterauftragsverarbeiter für Auftragsdaten dieses Kunden nicht ein; ist das technisch nicht möglich, ruht die betroffene Funktion für ihn. Gelingt keine Lösung, kann der Kunde den Vertrag über den Dienst oder die betroffene Leistung zum Zeitpunkt der Änderung kündigen, und wenn wir ihm erst danach mitteilen, dass keine Lösung möglich ist, binnen 14 Tagen nach dieser Mitteilung mit sofortiger Wirkung. Für einen im Voraus bezahlten Zeitraum, den er danach nicht mehr nutzen kann, erstatten wir den anteiligen Betrag. Unser Recht zur ordentlichen Kündigung nach den AGB bleibt unberührt.

(4) Wir erlegen jedem Unterauftragsverarbeiter durch Vertrag dieselben Datenschutzpflichten auf, die dieser Vertrag uns auferlegt, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 Satz 1 DSGVO). Wir wählen ihn sorgfältig aus und prüfen vor dem Einsatz, ob die Garantien bestehen, und erneut, wenn er seine Bedingungen wesentlich ändert, im Übrigen bei der jährlichen Überprüfung unserer Maßnahmen. Legt ein Unterauftragsverarbeiter Nachweise nur als Zertifikat, Prüfbericht oder in seinen veröffentlichten Bedingungen vor, stützen wir unsere Prüfung auf diese Nachweise, wenn sie aktuell und aussagekräftig sind. Auf Verlangen übermitteln wir dem Kunden eine Kopie des Vertrags mit dem Unterauftragsverarbeiter oder seiner Datenschutzbedingungen; Geschäftsgeheimnisse und andere vertrauliche Angaben, etwa Preise, dürfen wir vorher schwärzen.

(5) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haften wir dem Kunden gegenüber für die Einhaltung seiner Pflichten wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO). Die Auswahl eines Unterauftragsverarbeiters durch uns verlagert keine Verantwortung auf den Kunden. Erfüllt ein Unterauftragsverarbeiter seine vertraglichen Pflichten nicht und betrifft das Auftragsdaten des Kunden, teilen wir ihm das unverzüglich mit. Sind wir tatsächlich weggefallen, rechtlich erloschen oder zahlungsunfähig geworden, ohne dass ein Rechtsnachfolger unsere Pflichten übernimmt, soll der Kunde vom Unterauftragsverarbeiter verlangen können, die Auftragsdaten zu löschen oder zurückzugeben; das vereinbaren wir mit jedem Unterauftragsverarbeiter, soweit er es zulässt (vgl. Klausel 7.7 Buchst. e der Standardvertragsklauseln 2021/915).

(6) Keine Unterauftragsverarbeiter sind Empfänger, an die Daten nur deshalb gehen, weil der Kunde sie im Dienst selbst als Ziel einrichtet: Chat-Dienste (etwa Slack, Discord, Microsoft Teams, Google Chat) und Webhook-Adressen für Alarme. Die Einrichtung ist die Weisung, die Meldung dorthin zu senden; das Vertragsverhältnis zu diesen Anbietern und eine nötige Grundlage für eine Übermittlung in ein Drittland liegen beim Kunden. Unsere eigenen Pflichten aus diesem Vertrag bis zur Übergabe der Meldung bleiben davon unberührt. Telegram ist ebenfalls ein vom Kunden gewähltes Ziel, aber anders gebaut: Die Nachricht verschicken wir über unseren eigenen Bot an den Chat, den der Empfänger selbst mit dem Bot verknüpft hat, und Telegram verarbeitet sie außerhalb des Europäischen Wirtschaftsraums. Wählt der Kunde Telegram, weist er uns damit ausdrücklich an, die Meldungen dorthin zu übermitteln (Art. 28 Abs. 3 Satz 2 lit. a DSGVO); sollte Telegram dabei als unser Unterauftragsverarbeiter einzuordnen sein, gilt die Wahl dieses Ziels zugleich als gesonderte Genehmigung nach Art. 28 Abs. 2 DSGVO für diesen Zweck. Auf welcher Grundlage nach Kapitel V DSGVO diese Übermittlung geschieht, ist noch nicht abschließend geklärt; wer eine Übermittlung ohne geklärte Grundlage vermeiden will, wählt ein anderes Ziel. Ebenso sind Dienstleister, die nur Daten durchleiten, etwa unser Internetanbieter, keine Unterauftragsverarbeiter.

(7) Server, Datenbank und Rechenleistung, auch für das Sprachmodell, betreiben wir selbst in Polen. Ein Hosting- oder Cloud-Anbieter ist nicht eingebunden.

§ 10 Übermittlung in Drittländer

(1) Unsere eigenen Server, auf denen wir Auftragsdaten verarbeiten, stehen in Polen; wo ein Unterauftragsverarbeiter Auftragsdaten verarbeitet, nennt Anlage 3 den Ort. Eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, und nur auf Weisung des Kunden nach § 4 oder an einen nach § 9 genehmigten Unterauftragsverarbeiter.

(2) Die Grundlage je Unterauftragsverarbeiter (Angemessenheitsbeschluss, etwa der für das EU-U.S. Data Privacy Framework bei zertifizierten Empfängern, oder Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO) nennt die Liste der Unterauftragsverarbeiter. Steht dort für einen Empfänger „zu prüfen“, gehen Auftragsdaten an ihn erst, wenn die Grundlage dokumentiert ist. Setzen wir einen Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums ein, ohne dass ein Angemessenheitsbeschluss greift, vereinbaren wir mit ihm die Standardvertragsklauseln nach dem Durchführungsbeschluss (EU) 2021/914 (Modul 3: Auftragsverarbeiter an Auftragsverarbeiter), prüfen vorher, ob Recht und Praxis des Ziellandes ihre Einhaltung zulassen, ergreifen nötige zusätzliche Maßnahmen und halten das Ergebnis fest. Eine Zusammenfassung dieser Prüfung erhält der Kunde auf Anfrage.

(3) Für Übermittlungen an Ziele, die der Kunde selbst wählt (§ 9 Abs. 6), sorgt der Kunde für die Grundlage.

§ 11 Unterstützung bei den Rechten betroffener Personen

(1) Wir unterstützen den Kunden angesichts der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO).

(2) Vieles kann der Kunde selbst im Dienst erledigen: Alarmziele, Testzugänge und die eigene Marke ändern oder löschen; Formularwege ändern oder abschalten; Kundenportale widerrufen (ihre Abonnenten bleiben dabei gespeichert, bis der Arbeitsbereich gelöscht wird); eine Domain mit ihren Daten entfernen; einen Datenexport herunterladen. Wo das nicht reicht, helfen wir auf Anfrage in Textform.

(3) Wendet sich eine betroffene Person mit einem Anliegen zu Auftragsdaten an uns, beantworten wir es nicht selbst in der Sache, sondern leiten es unverzüglich, spätestens sieben Tage nach Eingang, an den Kunden weiter, soweit wir ihn erkennen können, und teilen der Person mit, dass wir das getan haben. Erkennen wir den Kunden nicht, sagen wir der Person, welche Angaben wir brauchen, um ihn zu finden.

(4) Eine Grenze nennen wir offen: Kopien von Formular-Mails aus der Zustellungsprüfung speichern wir nicht in der Datenbank, und die Mail wird nach erfolgreicher Verarbeitung aus dem Postfach gelöscht, bei einem Abruf- oder Löschfehler mit Verzögerung. Zu einer bestimmten Besucherin oder einem bestimmten Besucher können wir deshalb in der Regel nur sagen, dass keine Inhalte mehr bei uns liegen.

(5) Erfahren wir, dass Auftragsdaten unrichtig oder veraltet sind, teilen wir das dem Kunden unverzüglich mit. Berichtigen, löschen oder einschränken kann er sie dann selbst im Dienst oder durch eine Weisung an uns.

§ 12 Unterstützung bei Sicherheit, Folgenabschätzung und Konsultation

(1) Wir unterstützen den Kunden unter Berücksichtigung der Art der Verarbeitung und der uns vorliegenden Informationen bei der Einhaltung seiner Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 Satz 2 lit. f DSGVO).

(2) Dazu stellen wir insbesondere die Beschreibung der Maßnahmen, die Liste der Unterauftragsverarbeiter und auf Anfrage weitere Angaben zu Datenflüssen und Fristen bereit. Unsere eigene Einschätzung der Risiken des Dienstes veröffentlichen wir in der Datenschutz-Folgenabschätzung; der Kunde kann sie für seine eigene Prüfung verwenden.

(3) Für Unterstützung nach den §§ 11 und 12, die der Kunde nicht mit den Funktionen des Dienstes oder den veröffentlichten Unterlagen selbst erledigen kann, deren Aufwand vier Stunden im Kalenderjahr übersteigt und die nicht auf einem Verstoß von uns gegen diesen Vertrag oder die DSGVO beruht, können wir für die darüber hinausgehende Zeit eine Vergütung nach einem Stundensatz verlangen, den wir vorher in Textform nennen. Die Weiterleitung von Anträgen und die Meldung von Verletzungen sind immer kostenlos. Gesetzlich geschuldete Unterstützung machen wir nicht von einer Zahlung oder einer Einigung über die Vergütung abhängig.

§ 13 Verletzungen des Schutzes personenbezogener Daten

(1) Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die Auftragsdaten des Kunden betrifft, melden wir sie dem Kunden unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail an die Adresse des Kontoinhabers (Art. 33 Abs. 2 DSGVO). Die Frist von 72 Stunden, die der Kunde gegenüber der Aufsichtsbehörde einhalten muss, soll ihm dadurch nicht verkürzt werden. Bekannt ist eine Verletzung, sobald wir mit hinreichender Sicherheit festgestellt haben, dass ein Sicherheitsvorfall Auftragsdaten des Kunden betrifft; einem Verdacht gehen wir unverzüglich nach. Das gilt ebenso für eine Verletzung bei einem Unterauftragsverarbeiter, sobald er sie uns mitteilt.

(2) Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: die Art der Verletzung mit ihrem Zeitpunkt oder Zeitraum, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, eine Kontaktstelle für weitere Informationen, die wahrscheinlichen Folgen und die ergriffenen oder vorgeschlagenen Maßnahmen. Was zum Zeitpunkt der ersten Meldung noch nicht feststeht, reichen wir ohne unangemessene weitere Verzögerung nach.

(3) Wir ergreifen unverzüglich die Maßnahmen, die nötig sind, um die Verletzung zu beheben und ihre Folgen zu mildern, und stimmen weitere Schritte mit dem Kunden ab. Wir dokumentieren jede Verletzung mit Sachverhalt, Folgen und Abhilfe und stellen die Dokumentation dem Kunden auf Anfrage zur Verfügung.

(4) Eine Meldung an die Aufsichtsbehörde oder die Benachrichtigung betroffener Personen nimmt der Kunde vor. Wir übernehmen das nur auf seine Weisung.

(5) Sicherheitslücken, die Dritte im Dienst finden, nehmen wir unter Sicherheit entgegen.

(6) Eine Meldung und unsere Mitwirkung nach diesem Paragrafen sind kein Anerkenntnis einer Pflichtverletzung oder einer Haftung. Betrifft eine Verletzung zugleich Daten, für die wir selbst Verantwortlicher sind, erfüllen wir für diese unsere eigenen Pflichten aus Art. 33 und 34 DSGVO; Auftragsdaten des Kunden geben wir dabei nur preis, soweit das dafür nötig ist.

§ 14 Nachweise und Kontrollen

(1) Wir stellen dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglichen und unterstützen Überprüfungen einschließlich Inspektionen, die der Kunde oder ein von ihm beauftragter Prüfer durchführt (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).

(2) Vorrangig weisen wir die Einhaltung durch Unterlagen nach: die Beschreibung der Maßnahmen, die Liste der Unterauftragsverarbeiter, das Verzeichnis von Verarbeitungstätigkeiten mit den Verarbeitungen im Auftrag (Art. 30 Abs. 2 DSGVO), schriftliche Antworten auf Fragebögen und auf Anfrage Auszüge aus Protokollen oder Ergebnissen der Wiederherstellungsprobe. Wir beantworten Fragebögen innerhalb von 30 Tagen nach Eingang, bei einem Anlass nach Absatz 4 so schnell, wie es der Anlass erfordert. Externe Prüfberichte oder Zertifizierungen bestehen derzeit nicht; das sagen wir, damit niemand sie voraussetzt.

(3) Reichen die Unterlagen nicht, kann der Kunde eine Kontrolle verlangen, auch vor Ort. Eine Regelkontrolle kündigt der Kunde mindestens 30 Tage vorher in Textform mit Gegenstand, voraussichtlicher Dauer und Prüfer an; sie findet zu üblichen Geschäftszeiten in Polen statt und wird so abgestimmt, dass der Betrieb nicht unnötig gestört wird. Regelkontrollen vor Ort finden höchstens einmal im Kalenderjahr statt; Absatz 4 bleibt unberührt.

(4) Keine starre Sperrfrist bei dringendem Anlass. Bei einer Verletzung des Schutzes personenbezogener Daten, bei konkreten Anhaltspunkten für einen Verstoß gegen diesen Vertrag oder die DSGVO und wenn eine Aufsichtsbehörde eine Kontrolle verlangt, gelten weder der Vorlauf von 30 Tagen noch die Begrenzung auf eine Kontrolle im Jahr. Die Kontrolle findet dann so bald statt, wie es der Anlass erfordert und organisatorisch möglich ist.

(5) Der Kunde kann einen Prüfer beauftragen, der zur Verschwiegenheit verpflichtet ist und weder selbst einen mit formexposed vergleichbaren Dienst anbietet noch für einen solchen Anbieter tätig ist. Wir dürfen verlangen, dass Prüfer Geheimnisse anderer Kunden, Zugangsdaten und Sicherheitseinzelheiten nicht mitnehmen oder aufzeichnen. Der Kunde und sein Prüfer behandeln, was sie bei einer Kontrolle über unseren Betrieb erfahren, vertraulich und verwenden es nur, um die Einhaltung dieses Vertrags und der DSGVO zu prüfen; weitergeben dürfen sie es an die zuständige Aufsichtsbehörde, an zur Verschwiegenheit verpflichtete Berater und soweit ein Gesetz es verlangt. Solche Vorkehrungen dürfen gesetzliche Kontrollrechte nicht vereiteln.

(6) Jede Partei trägt ihre eigenen Kosten einer Kontrolle. Übersteigt unser Aufwand für Kontrollen und Fragebögen eines Kunden insgesamt acht Stunden im Kalenderjahr, können wir für die darüber hinausgehende Zeit eine Vergütung nach einem Stundensatz verlangen, den wir vorher in Textform nennen; nicht aber, wenn die Kontrolle einen Verstoß von uns aufdeckt oder wegen eines Anlasses nach Absatz 4 stattfindet, den wir zu vertreten haben. Die Kontrolle selbst machen wir nicht von einer Zahlung abhängig.

(7) Die Befugnisse der Aufsichtsbehörden bleiben unberührt. Zuständige Aufsichtsbehörde für uns ist der Prezes Urzędu Ochrony Danych Osobowych (UODO), ul. Moniuszki 1A, 00-014 Warszawa. Beide Parteien stellen die Informationen nach diesem Paragrafen, einschließlich der Ergebnisse von Kontrollen, der zuständigen Aufsichtsbehörde auf Verlangen zur Verfügung.

§ 15 Löschung und Rückgabe

(1) Während der Laufzeit gelten die Löschfristen aus Anlage 1. Sie werden von einem nächtlichen Lauf eingehalten, der nach denselben Einstellungen löscht, die auch in den Texten erscheinen.

(2) Wahl zwischen Rückgabe und Löschung. Nach dem Ende der Verarbeitung entscheidet der Kunde, ob wir die Auftragsdaten zurückgeben oder löschen (Art. 28 Abs. 3 Satz 2 lit. g DSGVO). Die Rückgabe geschieht durch den Datenexport, den der Kunde in den Einstellungen selbst als maschinenlesbare Datei herunterladen kann, oder auf Anfrage in Textform durch uns innerhalb von 30 Tagen, dann auch für Auftragsdaten, die der Export nicht enthält, soweit sie sich zurückgeben lassen (Absatz 4). Die Löschung geschieht durch das Entfernen einer Domain, das deren Daten löscht, oder durch die Löschung des Kontos, die der Kunde selbst auslöst. Will der Kunde zurückerhalten und löschen, lädt er zuerst den Export herunter und löscht dann.

(3) Trifft der Kunde keine Wahl und löscht er sein Konto, gilt das als Wahl der Löschung. Mit der Löschung des Kontos werden die Arbeitsbereiche, deren alleiniger Inhaber er ist, samt allen Auftragsdaten sofort im laufenden System gelöscht. Hat ein Arbeitsbereich weitere Mitglieder, geht er auf das Mitglied über, das am längsten dabei ist, Administratoren vor Lesern, und wird nicht gelöscht; dieses Mitglied wird damit Kunde für diesen Arbeitsbereich. Wer das nicht will, entfernt vor der Löschung die anderen Mitglieder oder die Domains. Endet der Vertrag über das Konto auf andere Weise, etwa durch unsere Kündigung nach den AGB, weisen wir den Kunden mit der Kündigung auf den Export hin, und er kann ihn bis zum Vertragsende herunterladen. Spätestens 30 Tage nach dem Vertragsende löschen wir das Konto mit den Auftragsdaten; das geschieht derzeit von Hand.

(4) Was sich nicht zurückgeben lässt, sagen wir vorher: Zugangsdaten für den Scan hinter dem Login sind nicht Teil des Exports, weil der Webserver sie nicht entschlüsseln kann (Anlage 1, Nummer 5); Kopien aus der Zustellungsprüfung liegen nach der Verarbeitung nicht mehr vor; Code aus „Fix it for me“ wird gar nicht gespeichert.

(5) Sicherungen. Die Datenbank wird jede Nacht gesichert. Jede Sicherung wird nach 14 Tagen gelöscht. Im laufenden System gelöschte Auftragsdaten bleiben bis dahin in den älteren Sicherungen enthalten; eine gezielte Löschung einzelner Datensätze innerhalb einer Sicherung findet nicht statt, weil eine Sicherung ein unverändertes Abbild eines Zeitpunkts sein muss. Bis zu ihrem Ablauf sind die Sicherungen geschützt wie die Datenbank selbst und werden nur zur Wiederherstellung und zur Probe der Wiederherstellung verwendet, nicht durchsucht und nicht ausgewertet. Müssen wir eine Sicherung zurückspielen, führen wir Löschaufträge, die nach ihrem Zeitpunkt erteilt wurden, erneut aus, soweit sie uns bekannt sind, bevor der Dienst wieder in Betrieb geht. Spätestens 14 Tage nach der Löschung im laufenden System ist ein Datensatz damit auch aus den Sicherungen verschwunden.

(6) Eine Pflicht, Auftragsdaten aufzubewahren, haben wir nach heutigem Stand nicht. Entsteht eine gesetzliche Aufbewahrungspflicht nach dem Recht der Union oder Polens, sperren wir die betroffenen Daten statt sie zu löschen, nutzen sie nur für diesen Zweck und löschen sie mit Ablauf der Pflicht.

(7) Auf Verlangen bestätigen wir die Löschung innerhalb von 30 Tagen in Textform und nennen dabei, was nach den Absätzen 5 und 6 noch bis zu welchem Zeitpunkt vorhanden ist.

§ 16 Verstöße, Aussetzung und Kündigung

(1) Können wir eine Pflicht aus diesem Vertrag nicht erfüllen, gleich aus welchem Grund, teilen wir das dem Kunden unverzüglich mit.

(2) Verstoßen wir gegen diesen Vertrag oder gegen die DSGVO, kann der Kunde verlangen, dass wir die Verarbeitung der betroffenen Auftragsdaten aussetzen, bis der Verstoß behoben ist. Dauert der Verstoß an oder ist er erheblich, kann der Kunde den Vertrag über den Dienst außerordentlich kündigen, insbesondere wenn wir den Verstoß nicht innerhalb eines Monats nach seiner Mitteilung beheben oder eine Entscheidung eines Gerichts oder einer Aufsichtsbehörde dazu nicht befolgen. Für die Zeit nach dem Vertragsende im Voraus gezahlte Entgelte erstatten wir anteilig.

(3) Besteht der Kunde auf einer Weisung, die wir nach § 4 Abs. 4 für rechtswidrig halten, dürfen wir den Vertrag über die betroffene Leistung kündigen, wenn wir den Kunden vorher darauf hingewiesen haben und er die Weisung nicht innerhalb eines Monats ändert.

(4) Nach einer Kündigung gilt § 15.

§ 17 Haftung

(1) Für Schäden, die einer betroffenen Person entstehen, gilt Art. 82 DSGVO. Diese Haftung ist durch keine vertragliche Haftungsgrenze beschränkt, auch nicht durch die der AGB.

(2) Hat eine Partei einer betroffenen Person Schadenersatz nach Art. 82 DSGVO geleistet, kann sie von der anderen den Teil zurückverlangen, der deren Anteil an der Verantwortung für den Schaden entspricht (Art. 82 Abs. 4 und 5 DSGVO). Auch dieser Rückgriff ist durch die Haftungsgrenzen der AGB nicht beschränkt.

(3) Für alle anderen Ansprüche zwischen dem Kunden und uns aus diesem Vertrag, etwa auf Ersatz eigener Schäden oder Kosten einer Partei, gelten die Haftungsregeln der AGB, soweit das gesetzlich zulässig ist. Für Unterauftragsverarbeiter haften wir nach § 9 Abs. 5 wie für eigenes Handeln. Eine Geldbuße, die eine Aufsichtsbehörde gegen eine Partei wegen eines eigenen Verstoßes verhängt, trägt diese Partei selbst.

(4) Wird eine Partei von einer betroffenen Person oder einer Aufsichtsbehörde in Anspruch genommen, unterrichtet sie die andere unverzüglich, und beide wirken bei der Aufklärung zusammen. Keine Partei erkennt einen Anspruch, für den sie bei der anderen Rückgriff nehmen will, ohne deren Zustimmung an; die Zustimmung darf nicht ohne sachlichen Grund verweigert werden.

§ 18 Kontaktstelle und Datenschutzbeauftragter

(1) Datenschutzfragen zu diesem Vertrag, Weisungen und Meldungen richtet der Kunde an contact@lukaswojcik.com oder über das Support-Fenster und die Seite Kontakt. Unsere Meldungen nach diesem Vertrag gehen an die E-Mail-Adresse des Kontoinhabers; der Kunde hält sie aktuell.

(2) Einen Datenschutzbeauftragten haben wir nicht benannt, weil die Voraussetzungen von Art. 37 Abs. 1 DSGVO nach unserer Einschätzung nicht vorliegen. Ändert sich das, geben wir die Benennung in diesem Vertrag bekannt.

§ 19 Schlussbestimmungen

(1) Vorrang. Widerspricht eine Regelung der AGB oder einer anderen Vereinbarung diesem Vertrag, geht in allen Fragen der Verarbeitung von Auftragsdaten dieser Vertrag vor; eigene Bedingungen des Kunden gelten nicht. Änderungen und Ergänzungen dieses Vertrags im Einzelfall bedürfen der Textform und müssen ausdrücklich auf ihn Bezug nehmen; sie werden Teil dieses Vertrags und gehen ihm im Umfang ihrer Regelung vor. Widerspricht dieser Vertrag zwingenden Vorschriften der DSGVO, gehen diese vor.

(2) Änderungen. Wir ändern diesen Vertrag nur aus einem der folgenden sachlichen Gründe: wegen einer Änderung der Gesetze oder ihrer Auslegung durch Gerichte und Behörden, auch durch neue Standardvertragsklauseln der Europäischen Kommission, wegen einer Änderung des Dienstes, seiner Funktionen oder seiner technischen Grundlagen, wegen eines Wechsels eines für die Erbringung notwendigen Dritten, zur Abwehr von Missbrauch oder Sicherheitsrisiken oder zur Berichtigung von Fehlern und Unklarheiten. Änderungen kündigen wir mit dem geänderten Wortlaut, dem Grund und dem geplanten Zeitpunkt mindestens 30 Tage vorher per E-Mail an die Adresse des Kontoinhabers und in der Übersicht der Änderungen an. Ohne diese Frist ändern wir nur, was ausschließlich zum Vorteil des Kunden ist, rein sprachlicher Natur ist oder offensichtliche Fehler berichtigt, was ein Gesetz, ein Gericht oder eine Behörde mit kürzerer Frist verlangt und was zur Abwehr eines unmittelbar drohenden Sicherheitsrisikos nötig ist; auch dann teilen wir die Änderung so bald wie möglich mit und nennen den Grund. Schweigen gilt nicht als Zustimmung. Wo eine Änderung die Zustimmung des Kunden erfordert, holen wir sie ausdrücklich ein; ohne sie gilt die bisherige Fassung weiter, und die gesetzlichen und vertraglichen Kündigungsrechte bleiben bestehen. Der Kunde kann einer angekündigten Änderung bis zu ihrem Wirksamwerden in Textform widersprechen; die Folgen richten sich nach den Regeln der AGB über den Widerspruch gegen eine Änderung. Für Änderungen der Anlagen 2 und 3 gelten § 8 Abs. 3 und § 9 Abs. 2 und 3. Alle Fassungen sind in der Übersicht Änderungen der Vertragsunterlagen nachgewiesen.

(3) Anwendbares Recht und Gerichtsstand. Es gilt das Recht, das die AGB bestimmen; zwingende Vorschriften der DSGVO bleiben unberührt. Für den Gerichtsstand gelten die AGB.

(4) Sprache. Der Vertrag liegt in allen Amtssprachen der Europäischen Union vor. Bei Abweichungen ist die polnische Fassung maßgeblich.

(5) Ist eine Regelung unwirksam, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Regelung tritt die gesetzliche Regelung, die ihrem Zweck am nächsten kommt; im Zweifel eine Regelung, die den Anforderungen von Art. 28 Abs. 3 DSGVO entspricht.

Anlage 1 – Verarbeitungen im Auftrag

Diese Anlage beschreibt je Funktion den Gegenstand, die Art und den Zweck der Verarbeitung, die Arten personenbezogener Daten, die Kategorien betroffener Personen und die Löschung (Art. 28 Abs. 3 Satz 1 DSGVO). Art der Verarbeitung ist, soweit nicht anders gesagt: Erheben, Speichern, Auslesen, Abgleichen, Übermitteln an die vom Kunden bestimmten Ziele und Löschen. Ort der Verarbeitung sind unsere eigenen Server in Polen; wo ein Unterauftragsverarbeiter beteiligt ist, steht es dabei. Die Fristen in geschweiften Klammern sind Einstellungen, nach denen der nächtliche Löschlauf tatsächlich arbeitet. Dauer der Verarbeitung ist die Laufzeit dieses Vertrags (§ 3); innerhalb dieser Zeit gelten je Funktion die genannten Löschfristen. Die Verarbeitung geschieht laufend, solange der Kunde die Funktion nutzt. Besondere Kategorien personenbezogener Daten sind nicht Gegenstand des Auftrags; gelangen sie über Formular-Mails dennoch in den Dienst, gilt § 6 Abs. 4.

1. Zustellungsprüfung

Zweck: zu prüfen, ob Mails aus dem Formular des Kunden ankommen und ob sie echt sind (SPF, DKIM, DMARC).

Wie es funktioniert: Die Funktion ist freiwillig. Der Kunde trägt die Adresse eines Kontrollpostfachs als Blindkopie in sein Formular ein. Dadurch geht eine Kopie jeder Formular-Mail an uns, nicht nur die Kopien unserer Test-Einsendungen, sondern auch die echter Anfragen seiner Besucher. Ein automatischer Abruf liest per IMAP die Kopfzeilen und höchstens die ersten 8 KB des Textes, ordnet die Mail der Domain und gegebenenfalls einer Test-Einsendung zu und prüft die Echtheitsmerkmale. Nach erfolgreicher Verarbeitung wird die Mail aus dem Postfach gelöscht. Bei einem Abruf- oder Löschfehler kann sie bis zum nächsten erfolgreichen Lauf im Postfach bleiben.

Daten: Inhalt und Kopfzeilen der Formular-Mails mit allem, was Besucher eingeben, etwa Name, E-Mail-Adresse, Telefonnummer und Nachricht, sowie Absender- und Empfängeradressen und technische Angaben der beteiligten Mailserver.

Betroffene: Besucher der Website des Kunden, die das Formular absenden; Empfänger der Formular-Mails beim Kunden.

Gespeichert und Löschung: In der Datenbank gespeichert werden nur Zeitpunkt, Zuordnung zur Domain, gegebenenfalls die Kennung der Test-Einsendung und die Ergebnisse der Echtheitsprüfung. Zeitpunkt und Zuordnung bleiben 180 Tage; das jeweils letzte Ergebnis der Echtheitsprüfung steht bei der Domain, bis die nächste Mail es ersetzt oder die Domain gelöscht wird. Das Ergebnis der Echtheitsprüfung enthält die IP-Adresse des einliefernden Mailservers und die Domain der Absenderadresse; ein Alarm nennt diese Domain nur, wenn sie nicht zur Website gehört. Inhalte und vollständige Absenderadressen von Besuchern werden nicht in der Datenbank gespeichert. Die Mail selbst wird nach erfolgreicher Verarbeitung aus dem Postfach gelöscht, bei einem Abruf- oder Löschfehler mit Verzögerung.

Beteiligt: der Mail-Dienstleister (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) für das Postfach; die Kopien erreichen es direkt über die MX-Einträge unserer Domain, nicht über eine Weiterleitung, siehe Unterauftragsverarbeiter.

Grenze: Ein Treffer bestätigt nur, dass die passende Kopie im Kontrollpostfach angekommen ist, nicht den Eingang beim eigentlichen Empfänger oder einen Eintrag in einem CRM. Ohne Kontrollpostfach ist die Funktion nicht verfügbar. Kopien sollen keine besonderen Kategorien personenbezogener Daten enthalten (§ 6 Abs. 4).

2. Kundenportal und Monatsbericht an Abonnenten

Zweck: Versand eines Monatsberichts über die Formulare einer Website im Namen des Kunden, typischerweise einer Agentur an ihre eigenen Kunden, und Bereitstellung eines Portals mit diesen Berichten.

Daten: E-Mail-Adresse, Sprache, Zeitpunkt und IP-Adresse der Bestellung, Zeitpunkt der Bestätigung (Double-Opt-in) und der Abmeldung; Inhalt des Berichts (Domain, Prüfergebnisse, Zahlen).

Betroffene: Kunden und Ansprechpersonen des Kunden, die den Bericht bestellen.

Löschung: Unbestätigte Bestellungen nach 30 Tagen. Nach einer Abmeldung bleibt der Nachweis von Bestellung, Bestätigung und Abmeldung drei Jahre, damit der Kunde die Einwilligung belegen kann. Alles spätestens mit dem Arbeitsbereich; das Widerrufen eines Portals allein löscht seine Abonnenten nicht.

Beteiligt: der Mail-Dienstleister (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) für den Versand.

3. Alarme, Berichte und Vorfälle

Zweck: Zustellung von Alarmen, Sammelmeldungen und Berichten an die Ziele, die der Kunde einrichtet, und Verwaltung von Vorfällen.

Daten: E-Mail-Adressen, Adressen von Webhooks und Chat-Kanälen, die Kennung eines Telegram-Chats nach Verknüpfung durch den Empfänger; Inhalt der Meldungen (Domain, Ereignis, Zeitpunkt, Link in den Dienst, bei Prüfungsalarmen der Report-Link, über den Ergebnisse und Bildschirmfotos ohne Anmeldung abrufbar sind; an Telegram geht statt des Report-Links nur der Link auf die Domain-Seite im Konto, die eine Anmeldung verlangt); Versandprotokoll; Zustellversuche der Eskalation je Vorfall und Ziel (Zahl, Zeitpunkte, Ergebnis, Fehler); Name oder E-Mail-Adresse der Person, die einen Vorfall quittiert, und die zuständige Person mit Fälligkeit.

Betroffene: Beschäftigte und Dienstleister des Kunden, die Alarme erhalten oder Vorfälle bearbeiten.

Löschung: Ziele, bis der Kunde sie entfernt oder die Domain löscht; Versandprotokoll nach 90 Tagen; gesammelte Meldungen 30 Tage nach dem Versand; Vorfälle, solange sie ungelöst sind, und 180 Tage nach Behebung, mit ihnen die Zustellversuche der Eskalation.

Beteiligt: der Mail-Dienstleister (Namecheap, Inc. (Private Email), Phoenix, Arizona, USA) für E-Mail; für Chat-Dienste und Webhooks die Anbieter, die der Kunde wählt (§ 9 Abs. 6).

4. Prüfung der Websites des Kunden: zufällig sichtbare Personen

Zweck: Prüfung und Überwachung der Formulare und ihres Schutzes auf den Domains des Kunden, deren Verfügungsbefugnis er nachgewiesen hat. Solange der Nachweis für eine Domain fehlt, prüfen wir sie nur passiv und sind für diese Prüfungen selbst verantwortlich; das beschreibt die Datenschutzerklärung.

Daten: Ein Scan liest öffentliche Seiten der Domain: Adressen der Seiten, Aufbau der Formulare (Feldnamen, -typen, Beschriftungen, Pflicht- und Sichtbarkeitsmerkmal, keine Werte; die Anfänge vorbelegter versteckter Felder und von data-Attributen liest der Scanner nur während der Prüfung und speichert sie nicht), eingebundene Skripte, Schutzmaßnahmen. Er erstellt Bildschirmfotos des sichtbaren Bereichs der Startseite und der Formulare, bei aktiven Test-Einsendungen auch der Antwortseite; sie werden nicht geschwärzt. Darin und im gelesenen Seiteninhalt können personenbezogene Daten stehen, die der Kunde selbst veröffentlicht, etwa Namen und Kontaktdaten von Ansprechpersonen, Fotos oder Bewertungen. Empfängeradressen von Formularen speichern wir nur als Domain. Zu jeder Prüfung legt der Dienst einen Bericht unter einem zufälligen Link an, über den Ergebnisse und Bildschirmfotos ohne Anmeldung abrufbar sind, bis die Prüfung gelöscht wird; der Link steht im Konto und in Alarmen (Nummer 3). Wer ihn weitergibt, gibt den Bericht weiter.

Betroffene: Personen, deren Angaben auf der Website des Kunden sichtbar sind.

Löschung: Prüfergebnisse samt Bildschirmfotos höchstens 13 Monate; die jeweils letzte Prüfung bleibt, solange die Domain im Konto steht. Mit dem Entfernen der Domain werden die Daten der Domain gelöscht, darunter Prüfungen, Befunde und Bildschirmfotos.

Hinweis: Ein Sprachmodell auf unserem eigenen Server hilft, Formulare einzuordnen, deren Zweck die Regeln allein nicht erkennen. So eingeordnete Formulare werden nie abgesendet und zählen nicht für Punktwert und Urteil. Aktive Test-Einsendungen (höchstens fünf je Prüfung) enthalten nur gekennzeichnete Testtexte ohne Personendaten.

5. Zugangsdaten eines Testkontos für den Scan hinter dem Login

Zweck: Formulare auf bis zu fünf vom Kunden angegebenen Seiten hinter einer Anmeldung zu lesen. Nur für bestätigte Domains, nur durch Inhaber und Administratoren eines Arbeitsbereichs, nur in bezahlten Tarifen. Das Testkonto wird nur in der vollen Prüfung verwendet, nicht in den Browserprüfungen (Nummer 6).

Daten: Anmeldeadresse, Benutzername und Passwort des Testkontos, Angaben zu den Anmeldefeldern; was auf den gelesenen Seiten für dieses Konto sichtbar ist, soweit es den Aufbau der Formulare betrifft.

Betroffene: die Person, auf die das Testkonto lautet, falls es einer Person zugeordnet ist; Personen, deren Angaben im Testkonto sichtbar sind.

Schutz: Benutzername und Passwort werden schon auf dem Webserver mit dem öffentlichen Schlüssel des Scan-Servers verschlüsselt und an die Domain gebunden. Entschlüsseln kann sie nur der Scan-Server während des Scans; der Webserver, die Datenbank und die Sicherungen enthalten nur Chiffretext. Die Zugangsdaten werden nie angezeigt, nie protokolliert und nie über die Schnittstelle ausgegeben; die Oberfläche zeigt nur das erste Zeichen und die Länge des Benutzernamens. Hinter dem Login wird nichts abgesendet, kein aktiver Test ausgeführt und kein Bildschirmfoto erstellt; Seiten zum Abmelden, Löschen oder Kündigen werden nicht aufgerufen.

Löschung: bis der Kunde die Zugangsdaten entfernt oder die Domain löscht; das Entfernen überschreibt den Chiffretext und leert wartende Aufträge. Die Kopie am einzelnen Scan-Auftrag wird nach dem Lauf geleert, Reste spätestens nach einer Stunde.

6. Formularwege und Browserprüfungen

Zweck: wiederkehrende Prüfung, ob konfigurierte Formulare in einem echten Browser bis vor das Absenden funktionieren.

Daten: Formularadressen, Selektoren, vorgeschaltete Klicks und Prüfschritte, Wahl des Browsers, zuständige Person und Fälligkeit; Ergebnisse mit Status, technischen Fehlerkategorien, bereinigten Fehlerhinweisen, Zeitmessungen und einem Bildschirmfoto des Formulars, auf dem die Eingabefelder abgedeckt sind. Personenbezug entsteht vor allem über die zuständige Person und über Inhalte, die der Kunde selbst in Schritte oder Bezeichnungen schreibt.

Betroffene: Beschäftigte des Kunden, denen Formulare zugeordnet sind.

Löschung: Konfigurationen, bis die Domain gelöscht wird; einzeln ändern oder abschalten kann der Kunde sie, einzeln entfernen derzeit nicht. Ergebnisse nach 13 Monaten.

Grenze: Browserprüfungen senden nichts ab. Eine unabhängige zweite Prüfstelle ist im Dienst vorgesehen, aber derzeit nicht eingerichtet; ohne sie gibt es keine Bestätigung von einem zweiten Standort. Wird sie bei einem Dritten eingerichtet, gilt § 9.

7. „Fix it for me“

Zweck: Einbau eines Schutzbausteins in Formular-Code, den der Kunde einfügt.

Daten: der eingefügte Code, falls er personenbezogene Daten enthält, etwa in Kommentaren, Beispielwerten oder fest eingetragenen Adressen.

Betroffene: Personen, deren Angaben im Code stehen.

Verarbeitung und Löschung: Ein Sprachmodell auf unserem eigenen Server baut den Baustein ein. Der Code wird nur für die Dauer der Anfrage verarbeitet und nicht gespeichert. Der Dienst arbeitet ohne Zugangsdaten zu Systemen des Kunden und spielt nichts auf dessen Server ein.

8. Eigene Marke (White-Label)

Zweck: Darstellung der Marke des Kunden auf Berichten und im Kundenportal.

Daten: Firmenname, Website, Kontaktangaben und Logo, gegebenenfalls Name und Kontaktdaten einer Ansprechperson.

Betroffene: Ansprechpersonen des Kunden.

Löschung: bis der Kunde die Angaben ändert oder löscht, spätestens mit dem Arbeitsbereich.

9. Ergänzende Zahlen ohne Personenbezug

Die optionalen Formular- und Feldfehlerzahlen der WordPress-Erweiterung enthalten keine Eingaben, Feldnamen oder Besucherkennungen und bleiben 13 Monate. Der Recorder für Formularwege hält Schritte höchstens 15 Minuten im Browser des Kunden, lokale Tageszähler bleiben höchstens 14 Tage auf seiner Website. Wir führen sie hier auf, damit das Bild vollständig ist; Auftragsdaten sind sie nach ihrer Bauart nicht.

10. Formularschutz (formconfirmed)

Diese Nummer gilt nur, wenn der Kunde den Formularschutz einschaltet (AGB Ziffer 5.7).

Zweck: Einsendungen über Formulare auf Websites des Kunden zu bewerten, um automatisierte Einsendungen zu erkennen.

Wie es funktioniert: Beim Aufruf einer Seite mit geschütztem Formular holt ein Skript im Browser des Besuchers eine signierte Aufgabe von unserem Server und löst sie (Rechennachweis). Beim Absenden legt der Server des Kunden das Ergebnis unserer Prüfschnittstelle vor. Wir prüfen Signatur, Alter, einmalige Verwendung und Domain des Prüfzeichens sowie weitere Signale wie Ausfüllzeit, ein unsichtbares Fallenfeld und gehäufte Anfragen derselben gekürzten Adresse. Schaltet der Kunde die Inhaltsprüfung ein, bewertet ein Sprachmodell den Text der Nachricht, den der Server des Kunden mitschickt. Zurück geht eine Punktzahl mit empfohlener Aktion und Gründen; was mit der Einsendung geschieht, entscheidet der Kunde. Es gibt keine Cookies, keinen Speicher im Browser und keinen Geräte-Fingerabdruck.

Daten: IP-Adresse des Besuchers beim Abruf der Aufgabe und bei der Prüfung, Adresse und Domain der Seite, Zeitpunkte und Ausfüllzeit, ob das Fallenfeld ausgefüllt wurde, Browserkennung im Protokoll des Webservers; nur bei eingeschalteter Inhaltsprüfung der Text der Nachricht.

Betroffene: Besucher der Websites des Kunden, die eine Seite mit geschütztem Formular aufrufen oder ein solches Formular absenden.

Gespeichert und Löschung: Die IP-Adresse wird nur gekürzt (IPv4 ohne das letzte Byte, IPv6 die ersten 48 Bit) und als Hashwert mit täglich wechselndem Schlüssel gespeichert, eine Stunde lang; verbrauchte Prüfzeichen höchstens elf Minuten; Prüfergebnisse ohne IP-Adresse und ohne Text (Aktion, Punktzahl, Gründe, Domain, Kategorie der Inhaltsprüfung) 30 Tage; Tageszahlen ohne Personenbezug 400 Tage; das Protokoll des Webservers 14 Tage. Der Text einer Nachricht wird nur im Arbeitsspeicher verarbeitet und weder gespeichert noch protokolliert noch zum Training verwendet.

Wo: auf unseren eigenen Servern in Polen, das Sprachmodell auf eigener Hardware; zusätzliche Unterauftragsverarbeiter gibt es nicht.

Anlage 2 – Technische und organisatorische Maßnahmen

Die Maßnahmen stehen auf der Seite Technische und organisatorische Maßnahmen. Sie ist Bestandteil dieses Vertrags in der jeweils veröffentlichten Fassung; Änderungen richten sich nach § 8 Abs. 3.

Anlage 3 – Unterauftragsverarbeiter

Die genehmigten Unterauftragsverarbeiter stehen auf der Seite Unterauftragsverarbeiter. Sie ist Bestandteil dieses Vertrags in der jeweils veröffentlichten Fassung; Änderungen richten sich nach § 9 Abs. 2 und 3.

Offen vor dem Start: Vorgesehener Mail-Dienstleister ist Namecheap, Inc. (Private Email), Phoenix, Arizona, USA. Der für diesen Einsatz geltende Auftragsverarbeitungsvertrag, die tatsächlichen Orte der Verarbeitung und die passende Grundlage der Übermittlung sind noch zu dokumentieren. Diese Fassung bestätigt weder einen abgeschlossenen Vertrag noch eine Zertifizierung nach dem Data Privacy Framework.

Fassung

Fassung 2.2 vom 29. Oktober 2026, ersetzt die Fassung 2.1. Geändert: neue Nummer 10 in Anlage 1 zum Formularschutz formconfirmed; sie gilt nur, wenn der Kunde ihn einschaltet. Sonst ändert sich keine Bestimmung.

Fassung 2.1 vom 22. Oktober 2026, ersetzt die Fassung 2.0. Geändert: Bei Abweichungen ist jetzt statt der deutschen die polnische Fassung maßgeblich; der Vertrag liegt in allen Amtssprachen der Europäischen Union vor (Sprachklausel). Sonst ändert sich keine Bestimmung.

Fassung 2.0 vom 11. Oktober 2026, ersetzt die Fassung vom 9. Oktober 2026. Geändert: Gliederung nach Art. 28 Abs. 3 DSGVO mit Blick auf die Standardvertragsklauseln 2021/915; Anlage 1 je Funktion vollständig, neu mit Zugangsdaten für den Scan hinter dem Login, Formularwegen und Grenzen der Zustellungsprüfung; die technischen und organisatorischen Maßnahmen und die Liste der Unterauftragsverarbeiter sind eigene Seiten und als Anlagen 2 und 3 Vertragsbestandteil; Wahl zwischen Rückgabe und Löschung, Sicherungen mit Ablauf und erneuter Ausführung von Löschaufträgen, keine starre Sperrfrist bei dringenden Kontrollen, Haftung für Unterauftragsverarbeiter wie für eigenes Handeln.