Vertrag zur Auftragsverarbeitung

1. Gegenstand und Dauer

Gegenstand ist die Bereitstellung von Hullwise für den Auftraggeber nach den AGB und der jeweiligen Bestellung (Hauptvertrag): Checks von Websites von außen, Verlauf, Überwachung, Subdomain-Suche, REST-API, MCP-Server und, falls bestellt, das Security Audit.

Dieser Vertrag gilt, solange der Auftragnehmer für den Auftraggeber personenbezogene Daten verarbeitet. Er endet mit dem Hauptvertrag, Pflichten zur Löschung und Rückgabe nach Ziffer 10 gelten fort.

2. Art und Zweck der Verarbeitung

Art: Erheben, Speichern, Abfragen, Abgleichen, Übermitteln per E-Mail und Löschen.

Zwecke:

• Prüfen der Websites, die der Auftraggeber angibt, und Erstellen der Berichte
• Speichern von Verlauf und überwachten Seiten im Konto des Auftraggebers
• Benachrichtigungen per E-Mail, etwa bei einer schlechteren Note
• Zugang zu API und MCP-Server mit API-Schlüsseln
• Schutz des Dienstes vor Missbrauch

3. Arten personenbezogener Daten

• E-Mail-Adressen der Konten
• Domains und Hosts, die geprüft oder überwacht werden
• Scan-Ergebnisse: Bericht, Note, Punkte, Zeitpunkt und Quelle des Checks. Gefundene Schlüssel enthalten sie nur gekürzt (Anfang und letzte Zeichen), nie mit vollständigem Wert.
• IP-Adressen für den Missbrauchsschutz (Zähler im Arbeitsspeicher, verfällt nach einer Stunde) und in den Protokollen des Hostings
• API-Schlüssel als SHA-256-Hash mit Name, Anfang und Zeitpunkt der letzten Nutzung
• Audit-Bestellungen: Domain, E-Mail-Adresse und Bearbeitungsstand

Zahlungsdaten gibt der Auftraggeber direkt bei Stripe ein. Sie sind nicht Gegenstand dieses Vertrags.

4. Kategorien betroffener Personen

• Beschäftigte und Beauftragte des Auftraggebers, die ein Konto oder einen API-Schlüssel nutzen
• Personen, auf die sich geprüfte Domains oder öffentlich ausgelieferte Inhalte der geprüften Websites beziehen, soweit diese personenbezogen sind

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die unter Sicherheit und Datenschutz beschrieben sind. Sie sind Bestandteil dieses Vertrags in der Fassung, die bei Abschluss gilt.

Der Auftragnehmer darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er auf dieser Seite.

6. Unterauftragsverarbeiter

Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter:

DPF steht für das EU-US Data Privacy Framework. Die Standardvertragsklauseln sind die der EU-Kommission nach Beschluss 2021/914. Quellen sind unter Dienstleister verlinkt. Stripe verarbeitet einen Teil der Daten als eigener Verantwortlicher.

Will der Auftragnehmer einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiert er den Auftraggeber mindestens [14] Tage vorher in Textform. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

7. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, außer eine gesetzliche Pflicht verlangt etwas anderes. Weisungen sind der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Auftraggeber im Konto vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform.

Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er das dem Auftraggeber unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

8. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Pflicht gilt über das Ende dieses Vertrags hinaus.

9. Unterstützung des Auftraggebers

• Der Auftragnehmer unterstützt den Auftraggeber dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten. Geht ein Antrag beim Auftragnehmer ein, leitet er ihn unverzüglich weiter.
• Er unterstützt bei den Pflichten nach Art. 32 bis 36 DSGVO, also Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation.
• Eine Verletzung des Schutzes personenbezogener Daten meldet er dem Auftraggeber unverzüglich, spätestens innerhalb von [48] Stunden, nachdem sie ihm bekannt wurde, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

10. Löschung und Rückgabe

Nach Ende der Leistungen löscht der Auftragnehmer alle Daten des Auftraggebers oder gibt sie nach dessen Wahl zurück, etwa den Verlauf als Datei. Das gilt nicht, soweit eine gesetzliche Pflicht zur Aufbewahrung besteht, etwa für Rechnungen. Kopien in Sicherungen werden innerhalb von [Frist eintragen] gelöscht.

Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

11. Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen. Er ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer.

Prüfungen vor Ort kündigt der Auftraggeber mindestens [14] Tage vorher an. Sie finden zu Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Für Unterauftragsverarbeiter genügen deren Berichte, Zertifikate oder Prüfnachweise.

12. Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien gelten die Haftungsregeln der AGB.

13. Schlussbestimmungen

• Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.
• Änderungen und Ergänzungen bedürfen der Textform.
• Ist eine Bestimmung unwirksam, bleibt der Rest wirksam.
• Es gilt deutsches Recht. Gerichtsstand ist [Frankfurt am Main], soweit gesetzlich zulässig.

Unterschriften