Vertrag zur Auftragsverarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO)

Vertragspartner

Kunde ist die Organisation, die diesen Vertrag in Cleverpage beim Aktivieren einer Website annimmt. Wer ihn annimmt, bestätigt, dafür vertretungsberechtigt zu sein.

Auftragsverarbeiter (im Folgenden „Anbieter“) ist:

wamedia ITC Markus Anspach & Michael Wischang GbR
Europaallee 10, 67657 Kaiserslautern
hello@cleverpage.ai

Rolle des Kunden

Betreibt der Kunde eine Website für sich selbst, ist er für sie Verantwortlicher im Sinne der DSGVO und der Anbieter sein Auftragsverarbeiter.

Betreibt der Kunde eine Website für einen Dritten, etwa als Agentur für ihre Auftraggeber, ist dieser Dritte der Verantwortliche. Der Kunde ist dann dessen Auftragsverarbeiter und der Anbieter ein weiterer Auftragsverarbeiter des Kunden (Art. 28 Abs. 2 und 4 DSGVO). Für diesen Fall gilt zusätzlich:

• Der Kunde hat mit dem Verantwortlichen einen eigenen Vertrag nach Art. 28 DSGVO geschlossen, der den Einsatz des Anbieters und der Unterauftragsverarbeiter nach Abschnitt 6 erlaubt.
• Der Kunde gibt Weisungen des Verantwortlichen an den Anbieter weiter. Der Anbieter erfüllt seine Pflichten aus diesem Vertrag gegenüber dem Kunden; der Verantwortliche übt seine Rechte über den Kunden aus.

1. Gegenstand und Dauer

Der Anbieter betreibt für den Kunden die Software Cleverpage, mit der Websites erstellt, gespeichert, gepflegt und ausgeliefert werden. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag gilt, solange der Kunde Cleverpage nutzt, und endet mit der Löschung seiner Daten nach Abschnitt 9.

2. Art, Zweck und Umfang der Verarbeitung

Verarbeitet wird, soweit es für den Betrieb der Websites des Kunden nötig ist:

• Auslieferung der Websites an Besucher, dabei die IP-Adresse und die Angaben, die der Browser mitschickt;
• die anonyme Besucherzählung der Website, ohne Cookies und ohne gespeicherte IP-Adressen;
• Einsendungen aus Formularen der Website, ihre Speicherung nach der Aufbewahrungsfrist, die der Kunde einstellt, und ihre Weiterleitung per E-Mail an die Empfänger, die der Kunde festlegt;
• Inhalte der Website, die personenbezogene Daten enthalten können, etwa Namen und Fotos von Mitarbeitenden;
• die Konten der Personen, die der Kunde in Cleverpage einlädt (Name, E-Mail-Adresse, Rechte, Anmeldungen);
• Änderungswünsche, die per E-Mail oder über verbundene Kanäle eingehen, und Aufträge an KI-Funktionen, die der Kunde nutzt.

Betroffene Personen sind Besucher der Websites, Personen, die Formulare absenden, Personen, deren Daten in den Inhalten stehen, sowie die Nutzer und Ansprechpartner des Kunden.

3. Weisungen

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten dieser Vertrag sowie die Einstellungen und Handlungen des Kunden in Cleverpage. Weitere Weisungen erteilt der Kunde in Textform. Hält der Anbieter eine Weisung für rechtswidrig, sagt er es dem Kunden unverzüglich. Verarbeitet der Anbieter Daten, weil ihn das Recht der Union oder eines Mitgliedstaats dazu verpflichtet, teilt er das dem Kunden vorher mit, sofern das Recht es nicht verbietet.

4. Pflichten des Anbieters

• Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
• Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Abschnitt 8 beschrieben sind, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
• Er unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten, und bei den Pflichten nach Art. 32 bis 36 DSGVO.
• Er meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, mit den Angaben, die der Kunde für eine eigene Meldung braucht.
• Er stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis dieser Pflichten nötig sind, und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten Prüfer nach Absprache und mit angemessener Vorankündigung.

5. Pflichten des Kunden

Der Kunde ist, als Verantwortlicher oder im Verhältnis zu seinem Auftraggeber, für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Inhalte seiner Websites, die Fragen seiner Formulare, die Aufbewahrungsfristen, die er einstellt, und die Information der betroffenen Personen in seiner Datenschutzerklärung.

6. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu. Der Anbieter verpflichtet sie vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen: Betrieb des Servers in einem Rechenzentrum in Deutschland, auf dem Websites, Medien, Formulareinsendungen und Konten gespeichert sind.
• Cloudflare, Inc., 101 Townsend St, San Francisco, CA 94107, USA: Auslieferung veröffentlichter Websites auf ihrer eigenen Domain, sobald eine Website öffentlich ist.
• Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburg (Amazon SES und Amazon S3, Region Frankfurt): Versand von Benachrichtigungen über Formulareinsendungen, Empfang von Änderungswünschen per E-Mail und Speicherung der verschlüsselten Sicherungskopien.
• Anthropic (USA): KI-Funktionen in Cleverpage, etwa das Bearbeiten von Texten und Seiten, wenn der Kunde sie nutzt.
• fal.ai und Replicate (USA): Erzeugung von Bildern, Videos, Sprache und Musik, wenn der Kunde diese Funktionen nutzt.

Will der Anbieter einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, teilt er das dem Kunden mindestens 30 Tage vorher in Textform mit. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Einigen sich die Parteien nicht, kann der Kunde die betroffene Leistung kündigen.

7. Verarbeitung außerhalb der EU

Wo ein Unterauftragsverarbeiter Daten in den USA verarbeitet oder verarbeiten kann, geschieht das auf Grundlage des EU-U.S. Data Privacy Framework, soweit der Unterauftragsverarbeiter dort zertifiziert ist, und sonst auf Grundlage der Standardvertragsklauseln der EU-Kommission.

8. Technische und organisatorische Maßnahmen

• Der Server steht in einem Rechenzentrum in Deutschland. Zugang zum Server haben nur berechtigte Personen des Anbieters, über persönliche Schlüssel.
• Alle Verbindungen zu Cleverpage und zu den Websites sind verschlüsselt (HTTPS).
• Die Anmeldung in Cleverpage erfolgt über Links, die nur einmal gelten. Was eine Person darf, regeln Rechte, die der Kunde vergibt. Externe Benutzer sehen nur die Website, für die sie eingeladen sind.
• Der Server speichert Zugriffe nur mit gekürzter IP-Adresse (IPv4 ohne das letzte Byte, IPv6 nach den ersten 48 Bit) und löscht dieses Protokoll nach 7 Tagen. Der vorgeschaltete Webserver protokolliert gewöhnliche Aufrufe nicht. Aufrufe von Adressen, nach denen nur Angriffswerkzeuge suchen (etwa /.env oder /wp-login.php, nie eine Seite einer Website), speichert er mit vollständiger IP-Adresse höchstens zwei Tage, um solche Absender zu sperren.
• Die Besucherzählung setzt keine Cookies und speichert keine IP-Adressen. Sie beachtet „Do Not Track“ und „Global Privacy Control“.
• Formulareinsendungen werden nach der Frist gelöscht, die der Kunde einstellt, oder gar nicht gespeichert, wenn er das so wählt.
• Änderungen an Websites werden versioniert und lassen sich zurücknehmen.
• Von allen Daten entsteht täglich eine verschlüsselte Sicherungskopie, die in einem Rechenzentrum in Frankfurt am Main liegt. Gelöschte Daten sind dort spätestens nach 42 Tagen entfernt und danach noch bis zu 30 Tage wiederherstellbar, bevor sie endgültig gelöscht sind.

9. Ende des Vertrags

Endet die Nutzung, löscht der Anbieter alle personenbezogenen Daten des Kunden, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht. Aus den Sicherungskopien verschwinden sie nach den Fristen in Abschnitt 8. Vorher kann der Kunde seine Websites jederzeit vollständig exportieren.

10. Schlussbestimmungen

Dieser Vertrag wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Er geht anderen Vereinbarungen zwischen den Parteien vor, soweit sie den Schutz personenbezogener Daten betreffen. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.