Zwischen dem Kunden als Verantwortlichem („Kunde") und DACH Digital Growth Group LLC, 30 N Gould St, STE R, Sheridan, WY 82801, Vereinigte Staaten von Amerika als Auftragsverarbeiter („Anbieter"). Der Vertrag wird vom Kunden bei der Freigabe seiner Website elektronisch anerkannt; Zeitpunkt, Name und Version werden dokumentiert.
§ 1 Gegenstand und Dauer
Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden im Rahmen des Betriebs der über PageKoala erstellten Website des Kunden. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.
§ 2 Art, Zweck, Datenarten, Betroffene
(1) Zweck: Hosting und Auslieferung der Kundenwebsite; Entgegennahme und Bereitstellung von Kontaktanfragen; cookielose Besucherstatistik; Weiterleitung von Anfragen-Benachrichtigungen per E-Mail; Kontakt- und Anfragenverwaltung (CRM-Funktionen) im Kundenbereich.
(2) Datenarten: Namen, E-Mail-Adressen, Telefonnummern und Nachrichteninhalte von Anfragenden; technische Zugriffsdaten (IP-Adresse in Systemprotokollen, max. 14 Tage); pseudonyme Statistik-Kennwerte (täglich wechselnder Hash, 13 Monate); vom Kunden im CRM erfasste Notizen, Status und Auftragswerte.
(3) Betroffene: Besucher und Anfragende der Kundenwebsite sowie vom Kunden erfasste Kontakte.
§ 3 Weisungen
Der Anbieter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Kunden. Weisungen erfolgen in der Regel durch Nutzung der Plattformfunktionen (z. B. Löschen einer Anfrage, Export, Kontolöschung); darüber hinausgehende Weisungen bedürfen der Textform an service@pagekoala.com. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
§ 4 Vertraulichkeit
Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet und mit den einschlägigen Datenschutzvorschriften vertraut. Zugriff auf Kundendaten haben nur der Anbieter und von ihm beauftragte, verpflichtete Personen, soweit dies für Betrieb, Support und Fehlerbehebung erforderlich ist.
§ 5 Technische und organisatorische Maßnahmen
Der Anbieter trifft die in Anlage 1 beschriebenen Maßnahmen nach Art. 32 DSGVO. Die Maßnahmen dürfen bei mindestens gleichwertigem Schutzniveau fortentwickelt werden.
§ 6 Unterauftragsverarbeiter
(1) Der Kunde genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Anbieter mindestens vier Wochen vorab in Textform; der Kunde kann aus wichtigem Grund widersprechen und den Nutzungsvertrag in diesem Fall außerordentlich kündigen.
(2) Mit jedem Unterauftragsverarbeiter bestehen Vereinbarungen, die diesem Vertrag entsprechende Pflichten auferlegen.
§ 7 Ort der Verarbeitung, Drittländer, Standardvertragsklauseln
(1) Die Verarbeitung der Auftragsdaten erfolgt ausschließlich auf Servern in Deutschland (Anlage 2); der Zugriff des Anbieters erfolgt aus Deutschland. Die KI-Dienste der Plattform verarbeiten nur die vom Kunden zur Website-Erstellung bereitgestellten Unternehmensangaben, nicht die Auftragsdaten nach § 2.
(2) Da der Anbieter seinen Sitz in den USA hat, vereinbaren die Parteien ergänzend die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 2: Verantwortlicher → Auftragsverarbeiter) gemäß Anlage 3. Bei Widersprüchen gehen die Standardvertragsklauseln diesem Vertrag vor.
§ 8 Unterstützung des Verantwortlichen
Der Anbieter unterstützt den Kunden mit den Plattformfunktionen (Einsicht, Export, Löschung) und darüber hinaus in angemessenem Umfang bei der Beantwortung von Betroffenenanfragen (Art. 12–23 DSGVO), bei der Meldung von Datenschutzverletzungen (Art. 33, 34) und bei Datenschutz-Folgenabschätzungen (Art. 35, 36), jeweils soweit die Auftragsverarbeitung betroffen ist. Datenschutzverletzungen, die Auftragsdaten betreffen, meldet der Anbieter dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, an die hinterlegte E-Mail-Adresse.
§ 9 Löschung und Rückgabe
Nach Vertragsende oder auf Weisung löscht der Anbieter alle im Auftrag verarbeiteten Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht; Sicherungskopien werden spätestens nach 21 Tagen überschrieben. Der Kunde kann seine Anfragen und Kontakte jederzeit selbst als CSV exportieren.
§ 10 Nachweise und Kontrollen
Der Anbieter weist die Einhaltung seiner Pflichten durch geeignete Dokumentation nach (insbesondere diese Anlagen und die Dokumentation der Freigabe). Der Kunde kann sich nach vorheriger Ankündigung mit angemessener Frist von der Einhaltung überzeugen; Kontrollen sind auf das erforderliche Maß beschränkt und finden während üblicher Geschäftszeiten statt.
§ 11 Haftung, Schlussbestimmungen
Die Haftung richtet sich nach § 11 der AGB; Art. 82 DSGVO bleibt unberührt. Es gilt deutsches Recht. Änderungen dieses Vertrags bedürfen der Textform; bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Datenschutzfragen vor.
Anlage 1 – Technische und organisatorische Maßnahmen
- Zutritt/Zugang: Rechenzentrum Hetzner (ISO 27001), Server-Zugriff ausschließlich per SSH-Schlüssel, Passwort-Login deaktiviert; Firewall (nur 22/80/443), automatische Sperre bei Angriffsversuchen (fail2ban).
- Zugriff: Datenbank nur lokal erreichbar; Kundenkonten mit Argon2id-gehashten Passwörtern; Zwei-Faktor-Authentifizierung und Passkeys für Administratorkonten; Administrator-Zugriffe auf Kundendaten werden protokolliert; Kunden-Ansicht durch Administratoren nur lesend.
- Übertragung: TLS-Verschlüsselung (HSTS) für sämtliche Verbindungen einschließlich Kundenwebsites; E-Mail-Versand über Microsoft 365 mit SPF, DKIM und DMARC.
- Trennung: Mandantentrennung auf Datenbankebene (jede Anfrage ist genau einer Website und einem Kunden zugeordnet); getrennte Hostnamen für Plattform und Kundenwebsites.
- Verfügbarkeit: tägliche Datenbank- und Datei-Sicherung, Kopie auf einem zweiten, getrennten Server (21 Tage); minütliche Erreichbarkeitsüberwachung mit Alarmierung; automatische Sicherheitsupdates des Betriebssystems.
- Löschung: automatisiertes tägliches Löschkonzept (Systemprotokolle 14 Tage, IP-Adressen in Anmeldeprotokollen 30 Tage, Statistik 13 Monate, Gast-Konten 14 Tage, verwaiste Dateien); Kontolöschung durch den Kunden selbst, wirkt sofort.
- Datensparsamkeit: keine Tracking-Cookies, Besucherstatistik ohne IP-Speicherung (täglich wechselnder Hash), Honeypot- und Ratenbegrenzung statt Drittanbieter-Captcha.
Anlage 2 – Unterauftragsverarbeiter
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen | Server-Infrastruktur (Plattform, Kundenwebsites, Sicherungen) | Deutschland (Nürnberg/Falkenstein) |
| Microsoft Ireland Operations Ltd., One Microsoft Place, Dublin 18, Irland | E-Mail-Versand der Anfragen-Benachrichtigungen (Microsoft 365) | EU |
Die KI-Dienstleister der Plattform (Anthropic, Black Forest Labs, DataForSEO) erhalten keine Auftragsdaten nach § 2 und sind daher keine Unterauftragsverarbeiter im Sinne dieses Vertrags; sie sind in der Datenschutzerklärung beschrieben.
Anlage 3 – EU-Standardvertragsklauseln (Modul 2)
Die Parteien schließen die Standardvertragsklauseln für die Übermittlung personenbezogener Daten an Drittländer gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021 in der Fassung Modul 2 (Übermittlung von Verantwortlichen an Auftragsverarbeiter) ab. Der Text der Klauseln ist unter eur-lex.europa.eu/eli/dec_impl/2021/914/oj abrufbar und wird durch Verweis Bestandteil dieses Vertrags. Die Parteien treffen dazu folgende Festlegungen:
- Klausel 7 (Kopplungsklausel): wird nicht angewendet.
- Klausel 9 (Unterauftragsverarbeiter): Option 2 – allgemeine schriftliche Genehmigung; Frist für Änderungsmitteilungen vier Wochen (§ 6).
- Klausel 11 (Rechtsbehelfe): die optionale Regelung wird nicht angewendet.
- Klausel 13 (Aufsicht): zuständige Aufsichtsbehörde ist die des EU-Vertreters, Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
- Klausel 17 (Anwendbares Recht): Option 1 – Recht der Bundesrepublik Deutschland.
- Klausel 18 (Gerichtsstand): Gerichte der Bundesrepublik Deutschland.
Anhang I – Liste der Parteien und Beschreibung der Übermittlung
Datenexporteur: der Kunde (Verantwortlicher) mit den bei der Freigabe dokumentierten Angaben (Firma, Name, E-Mail-Adresse). Datenimporteur: DACH Digital Growth Group LLC, 30 N Gould St, STE R, Sheridan, WY 82801, Vereinigte Staaten von Amerika, E-Mail service@pagekoala.com (Auftragsverarbeiter).
Kategorien betroffener Personen und Daten: wie § 2. Sensible Daten: keine vorgesehen; der Kunde stellt sicher, dass über das Kontaktformular keine besonderen Kategorien erhoben werden. Häufigkeit: laufend während der Vertragslaufzeit. Art der Verarbeitung: Speicherung, Bereitstellung im Kundenbereich, E-Mail-Benachrichtigung, Statistik. Zweck: Betrieb der Kundenwebsite (§ 2). Dauer: Laufzeit des Nutzungsvertrags zzgl. Löschfristen nach § 9. Unterauftragsverarbeiter: Anlage 2. Zuständige Aufsichtsbehörde: Der Landesbeauftragte für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Lautenschlagerstraße 20, 70173 Stuttgart.
Anhang II – Technische und organisatorische Maßnahmen
Entspricht Anlage 1 dieses Vertrags. Ergänzend zur Übermittlung: Die Daten verlassen physisch Deutschland nicht; ein Zugriff aus den USA findet nicht statt. Der Datenimporteur wird Anfragen von Behörden nach Offenlegung der Daten prüfen, anfechten, soweit rechtlich möglich, und den Datenexporteur unverzüglich informieren, soweit dies nicht gesetzlich untersagt ist.