Vereinbarung zur Auftragsverarbeitung

Fassung vom Datum der Veröffentlichung

Präambel

Diese Vereinbarung zur Auftragsverarbeitung („AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Nutzungsvertrag über mavirank (die AGB, „Hauptvertrag“). Sie gilt für alle Verarbeitungen personenbezogener Daten, die wir im Auftrag deiner Organisation durchführen. Bei Widersprüchen zwischen dieser AVV und den AGB geht in Datenschutzfragen diese AVV vor.

Parteien. Verantwortlicher ist die Organisation, für die ein Konto bei mavirank angelegt wird (im Folgenden „du“ oder „Verantwortlicher“). Auftragsverarbeiter ist die Global Solutions Systems GmbH, Bessemerstraße 51, 1. OG, 12103 Berlin, Deutschland (im Folgenden „wir“ oder „Auftragsverarbeiter“). Wer eine Organisation anlegt oder ihr als Owner beitritt, versichert, zur Vertretung des Verantwortlichen in Datenschutzfragen berechtigt zu sein. Verarbeitest du die Daten selbst im Auftrag eines Dritten (etwa als Agentur für deine Kunden), bist du uns gegenüber Verantwortlicher im Sinne dieser Vereinbarung und stellst sicher, dass du uns als weiteren Auftragsverarbeiter einsetzen darfst.

1. Zustandekommen, Form, Rangfolge

1. Diese AVV kommt zustande, indem du bei der Registrierung bzw. beim Anlegen einer Organisation die AGB akzeptierst; sie ist Bestandteil der AGB und gilt je Organisation. Das elektronische Format genügt (Art. 28 Abs. 9 DSGVO). Jede Fassung trägt ihr Datum; die Anwendung hält fest, welche Fassung wann für deine Organisation angenommen wurde, und wir bestätigen dir das auf Anfrage in Textform.
2. Die jeweils gültige Fassung ist unter dieser Adresse abrufbar; maßgeblich ist die hier veröffentlichte Online-Fassung. Sofern wir zusätzlich eine PDF-Fassung bereitstellen, hat sie denselben Inhalt. Benötigst du für deine Unterlagen eine unterschriebene Fassung, schreib uns an OFFEN-1: Support-Adresse von mavirank; wir stellen dir die gültige Fassung als Dokument zur Verfügung, du sendest sie unterschrieben zurück, und wir zeichnen gegen. Die unterschriebene Fassung hat denselben Inhalt wie diese Seite; abweichende Vereinbarungen bedürfen der Textform und unserer ausdrücklichen Zustimmung.
3. Änderungen dieser Vereinbarung. Ändern wir diese Vereinbarung oder ihre Anlagen 1 und 3, veröffentlichen wir eine neue Fassung mit Datum, informieren die Owner deiner Organisation mindestens 30 Tage vor Inkrafttreten per E-Mail und zeigen ihnen die neue Fassung in der Anwendung zur Annahme an; die Annahme wird mit Fassung und Zeitpunkt festgehalten. Willst du die neue Fassung nicht annehmen, kannst du bis zum Inkrafttreten zum Ende des laufenden Abrechnungszeitraums kündigen; nutzt du mavirank nach dem Inkrafttreten weiter, ohne zu kündigen, gilt die neue Fassung. Änderungen an der Liste der Unterauftragsverarbeiter (Anlage 2) richten sich nach Abschnitt 7.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

1. Gegenstand ist der Betrieb von mavirank für deine Organisation: Abruf und Prüfung der von dir eingetragenen Seiten und Websites durch unseren Crawler (Audits, wiederkehrende Audits, Prüfung über die Sitemap), Speicherung und Anzeige der Ergebnisse, Bereitstellung von Reports (öffentlich, passwortgeschützt, unter eigener Domain), Benachrichtigung über die von dir eingerichteten Kanäle, Abruf und Anzeige von Daten der Google Search Console über deine Verbindung, Erzeugung von AI-Zusammenfassungen, Annahme und Auswertung der von deinem Collector eingelieferten Webserver-Protokolle (Log-Analyse), die REST-API und der Live-Kanal in der App. Einzelheiten stehen in Anlage 1.
2. Dauer ist die Laufzeit des Hauptvertrags. Die Vereinbarung endet mit der Löschung der Organisation oder der Kündigung des Hauptvertrags; Abschnitt 9 (Löschung und Rückgabe) gilt darüber hinaus.
3. Art der Verarbeitung: Erheben (Abruf der zu prüfenden Seiten, Abruf aus der Google Search Console, Entgegennahme der Protokolle vom Collector), Speichern, Auswerten (Tests, Score, Vergleich mit dem vorherigen Audit, Tagesstatistiken, Abgleich mit der Sitemap), Übermitteln (Benachrichtigungen an die von dir gewählten Kanäle, Veröffentlichung in Reports, Ausgabe über App und API, Übermittlung von Audit-Befunden an AI-Anbieter, sofern eingeschaltet), Löschen nach Ablauf der Aufbewahrung.
4. Zweck ist ausschließlich die Erbringung der vertraglich vereinbarten Leistungen für dich. Wir verarbeiten die Daten nicht für eigene Zwecke; statistische Auswertungen für den Betrieb (Auslastung, Kontingente) erfolgen nur ohne Personenbezug.

3. Art der Daten und Kreis der Betroffenen

Die Kategorien personenbezogener Daten und die Kategorien betroffener Personen stehen in Anlage 1. Ob die von dir eingetragenen Adressen, die Audit-Ergebnisse, Reports, Benachrichtigungskontakte, Daten der Google Search Console und Protokolle personenbezogene Daten enthalten, bestimmst du; wir behandeln sie durchgehend so, als könnten sie welche enthalten. Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand dieser Vereinbarung; du lässt keine Seiten prüfen und lieferst keine Protokolle ein, bei denen solche Daten Gegenstand der Verarbeitung wären.

4. Weisungen

1. Wir verarbeiten personenbezogene Daten nur auf deine dokumentierte Weisung, auch in Bezug auf die Übermittlung in ein Drittland, es sei denn, wir sind nach dem Recht der Union oder eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilen wir dir die Verpflichtung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 Satz 2 lit. a DSGVO).
2. Weisung ist zunächst dieser Vertrag. Darüber hinaus erteilst du Weisungen durch die Nutzung von mavirank: Du legst Audits, Websites, Reports und Freigaben, Kanäle, Benachrichtigungsregeln, eigene Domains, Log-Quellen, Mitglieder und Rollen an, änderst oder löschst sie, verbindest oder trennst die Google Search Console, schaltest AI-Zusammenfassungen ein oder aus und exportierst oder löschst Daten. Jede dieser Einstellungen in der App oder über die API ist eine dokumentierte Weisung; wir halten sie mit Zeitpunkt fest, sicherheitsrelevante Vorgänge zusätzlich mit dem handelnden Mitglied.
3. Einzelweisungen außerhalb dieser Funktionen (zum Beispiel eine manuelle Löschung, Auskunft oder Berichtigung in unseren Systemen) erteilst du in Textform an OFFEN-1: Support-Adresse von mavirank. Weisungsberechtigt sind die Mitglieder deiner Organisation mit den Rollen Owner und Admin; Member und Viewer sind es nicht. Wir dürfen eine Weisung, die über den Leistungsumfang hinausgeht, von einer gesonderten Vergütung abhängig machen.
4. Halten wir eine Weisung für rechtswidrig, informieren wir dich unverzüglich und dürfen die Ausführung aussetzen, bis du sie bestätigst oder änderst (Art. 28 Abs. 3 Satz 3 DSGVO).
5. Reports. Eine Freigabe ist die Weisung, den freigegebenen Report allen zugänglich zu machen, die den Link und, bei geschützten Reports, das Passwort kennen, bei eigener Domain unter dieser Domain. Wir zeigen im Report nur, was freigegeben ist.
6. AI-Zusammenfassungen. AI-Zusammenfassungen sind für deine Organisation ausgeschaltet, bis ein Owner oder Admin sie einschaltet (Vorgabe: aus). Solange sie eingeschaltet sind, weist du uns an, zur Erzeugung einer Zusammenfassung die Befunde des betroffenen Audits bzw. der Audits der betroffenen Website an den eingestellten AI-Anbieter aus Anlage 2 zu übermitteln, der sie außerhalb der EU verarbeitet. Übermittelt werden ausschließlich Audit-Befunde (Testergebnisse mit ausgewerteten Werten, darunter die geprüfte Adresse). Daten der Google Search Console, Protokolle der Log-Analyse, Benachrichtigungskontakte, Konto- und Mitgliederdaten sowie hinterlegte Zugangsdaten und Header übermitteln wir nicht. Schaltest du AI-Zusammenfassungen aus, übermitteln wir ab diesem Zeitpunkt keine Daten deiner Organisation mehr an einen AI-Anbieter.
7. Log-Analyse. Mit dem Einrichten einer Log-Quelle und dem Betrieb des Collectors weist du uns an, die eingelieferten Protokolle anzunehmen, auszuwerten und nach Anlage 1.3 zu löschen. Welche Protokolle der Collector liest und in welcher Form er sie einliefert (Pseudonym, gekürztes Netz, Parameter, Fehlerprotokoll), bestimmst du über seine Konfiguration und die Einstellungen der Log-Quelle. Die Verarbeitung auf deinem Server einschließlich der Pseudonymisierung ist deine eigene Verarbeitung und nicht Gegenstand dieser Auftragsverarbeitung.

5. Pflichten des Auftragsverarbeiters

1. Vertraulichkeit. Wir gewähren Zugang zu personenbezogenen Daten nur Personen, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und nur soweit es für die Leistung nötig ist (Art. 28 Abs. 3 Satz 2 lit. b DSGVO). Zugriffe von Plattform-Administratoren auf Kundendaten erfolgen mit zweitem Faktor und werden in einem Audit-Log festgehalten, das wir zwei Jahre aufbewahren.
2. Sicherheit. Wir treffen alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses umgesetzten technischen und organisatorischen Maßnahmen stehen in Anlage 3. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird, und informieren dich über wesentliche Änderungen.
3. Unterstützung bei Betroffenenrechten. Wir unterstützen dich mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Art. 12 bis 23 DSGVO) zu beantworten (Art. 28 Abs. 3 Satz 2 lit. e DSGVO). In erster Linie geschieht das über die Funktionen der App und der API: Suche, Ansicht, Abruf und Löschung von Audits, Websites, Reports, Kanälen und Log-Quellen. In den Protokollen der Log-Analyse sind Besucherinnen und Besucher nur über ein täglich wechselndes Pseudonym erfasst, dessen Schlüssel auf deinem Server liegt; einzelne Personen können wir dort nicht auffinden, die Daten laufen nach Anlage 1.3 aus. Erreicht uns ein Antrag einer betroffenen Person unmittelbar, leiten wir ihn ohne eigene Beantwortung an dich weiter, soweit wir ihn deiner Organisation zuordnen können. Darüber hinausgehende Unterstützung leisten wir innerhalb von 7 Tagen nach Textform-Anfrage.
4. Unterstützung bei Art. 32 bis 36 DSGVO. Wir unterstützen dich unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen bei der Sicherheit der Verarbeitung, bei der Meldung und Mitteilung von Verletzungen des Schutzes personenbezogener Daten, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Die Informationen aus Anlage 1 und 3 dienen dir dafür als Grundlage.
5. Verletzungen des Schutzes personenbezogener Daten. Wird uns eine Verletzung bekannt, die deine Daten betrifft, melden wir sie dir unverzüglich, spätestens 48 Stunden nach Kenntnis, an die E-Mail-Adressen der Owner deiner Organisation (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Datenkategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, Ansprechperson. Fehlende Angaben reichen wir nach. Wir melden nicht selbst an Aufsichtsbehörden oder Betroffene, soweit wir nicht gesetzlich dazu verpflichtet sind.
6. Verzeichnis und Ansprechperson. Wir führen ein Verzeichnis aller Kategorien von Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO). Ansprechperson für Datenschutzfragen: info@global-solutions-systems.com. Einen Datenschutzbeauftragten haben wir nicht benannt; eine Pflicht dazu besteht nicht (§ 38 Abs. 1 BDSG).
7. Ort der Verarbeitung. Die Standorte der Verarbeitung stehen in Anlage 2. Eine Verarbeitung außerhalb der EU bzw. des EWR findet nur auf deine Weisung (Abschnitt 4 Nr. 6, Abschnitt 8) oder durch die in Anlage 2 dafür genannten Unterauftragsverarbeiter mit einer Garantie nach Abschnitt 8 Nr. 1 statt.
8. Trennung. Deine Daten sind von denen anderer Organisationen logisch getrennt (Mandantentrennung je Organisation in Datenbank, Protokollspeicher, Live-Kanal und API). Fremde Zugriffe werden abgewiesen.

6. Pflichten des Verantwortlichen

1. Du bist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass du die eingetragenen Seiten und Websites prüfen, die Protokolle deiner Server auswerten lassen, die Benachrichtigungskontakte verarbeiten und die Daten der Google Search Console in mavirank nutzen darfst, und dass die Betroffenen informiert sind (Art. 13, 14 DSGVO). Das gilt besonders für die Besucherinnen und Besucher deiner Website, deren Zugriffe in den Protokollen der Log-Analyse erscheinen.
2. Du trägst keine Daten ein, deren Verarbeitung durch uns unzulässig wäre, insbesondere keine besonderen Kategorien (Art. 9 DSGVO), keine Daten, die einem Berufsgeheimnis unterliegen, und keine Zugangsdaten zu Seiten, die du nicht prüfen darfst.
3. Du verwaltest Mitglieder, Rollen, API-Tokens, Collector-Tokens, Report-Freigaben und Report-Passwörter in eigener Verantwortung und hältst sie geheim. Die Zuteilung der Rollen Owner und Admin ist zugleich die Bestimmung, wer uns Weisungen erteilen darf.
4. Für den Collector auf deinen Servern, seine Konfiguration und den dort liegenden Schlüssel für die Pseudonyme bist du verantwortlich. Belässt du die Voreinstellungen (Pseudonym statt IP-Adresse, maskierte Parameterwerte, verweisende Adresse ohne Parameter), erhalten wir keine vollständigen IP-Adressen; änderst du sie, verantwortest du die Einlieferung der zusätzlichen Daten.
5. Du entscheidest, welche Reports du freigibst und an wen du Link und Passwort weitergibst, und verantwortest deren Inhalt.
6. Du informierst uns unverzüglich, wenn du Fehler oder Unregelmäßigkeiten in der Verarbeitung feststellst.

7. Unterauftragsverarbeiter

1. Du erteilst uns eine allgemeine Genehmigung für den Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Als Unterauftragsverarbeiter gelten nur Dienstleister, die personenbezogene Daten aus deiner Organisation in unserem Auftrag verarbeiten. Nicht dazu gehören: Paddle (eigenständiger Verantwortlicher für die Zahlung), Google als Anbieter der Search Console (eigenständiger Verantwortlicher, Quelle der Daten), die von dir gewählten Chat- und Webhook-Dienste (Abschnitt 8 Nr. 2), die Betreiber der geprüften Seiten und deine eigenen Server.
2. Mit jedem Unterauftragsverarbeiter schließen wir einen Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung uns (Art. 28 Abs. 4 DSGVO). Kommt er seinen Pflichten nicht nach, haften wir dir gegenüber für die Einhaltung seiner Pflichten.
3. Änderungen (neuer Unterauftragsverarbeiter, Wechsel, neuer Verarbeitungsort) kündigen wir mindestens 30 Tage vor dem Einsatz per E-Mail an die Owner deiner Organisation an. Du kannst aus wichtigem datenschutzrechtlichen Grund innerhalb von 30 Tagen in Textform widersprechen. Können wir dem Widerspruch nicht abhelfen, dürfen beide Seiten den Hauptvertrag für die betroffene Organisation zum Zeitpunkt des Einsatzes kündigen; bereits gezahlte Beträge für die Zeit danach werden anteilig erstattet. Einem Widerspruch gegen einen AI-Anbieter helfen wir ab, indem AI-Zusammenfassungen für deine Organisation ausgeschaltet bleiben oder werden (Abschnitt 4 Nr. 6); einem Widerspruch gegen den Dienst für SMS und Anrufe, indem du solche Kanäle nicht einrichtest oder entfernst. Danach übermitteln wir keine Daten deiner Organisation an diese Unterauftragsverarbeiter, und die übrigen Leistungen bleiben unverändert.

8. Übermittlung in Drittländer, Benachrichtigungskanäle

1. Wir übermitteln personenbezogene Daten nur dann in ein Land außerhalb der EU bzw. des EWR, wenn du es durch das Einschalten von AI-Zusammenfassungen oder die Wahl eines Benachrichtigungskanals anweist oder wenn ein Unterauftragsverarbeiter aus Anlage 2 dort verarbeitet. In diesen Fällen stellen wir sicher, dass ein Angemessenheitsbeschluss der EU-Kommission oder Standarddatenschutzklauseln (Art. 46 DSGVO) vorliegen, und benennen die Garantie in Anlage 2.
2. Kanäle Dritter. Richtest du einen Kanal bei einem Dienst ein (E-Mail-Postfach, Slack, Discord, Microsoft Teams, Google Chat, Telegram, ntfy, eigener Webhook), weist du uns an, Benachrichtigungen (Name bzw. Adresse der Website oder des Audits, Ereignis, Zeit, Score, Link) an diesen Dienst zu senden. Der Dienst ist dein Empfänger, nicht unser Unterauftragsverarbeiter; dein Vertrag mit ihm, seine Rolle und eine etwaige Drittlandübermittlung liegen in deiner Verantwortung. SMS und Anrufe stellen wir über den in Anlage 2 genannten Dienst zu.
3. Daten der Google Search Console verwenden wir ausschließlich, um sie deiner Organisation in mavirank bereitzustellen und für sie auszuwerten. Wir geben sie nicht an AI-Anbieter und nicht an sonstige Dritte weiter und nutzen sie nicht für eigene Zwecke.

9. Löschung und Rückgabe

1. Während der Laufzeit löschen wir Daten nach den Fristen, die dein Plan vorsieht (Audits, archivierte Audits, Tagesstatistiken der Log-Analyse) oder die fest gelten (Protokollzeilen der Log-Analyse, Zustellprotokoll); die Fristen stehen in Anlage 1. Was du in der App löschst (Audit, Website, Report-Freigabe, Kanal, eigene Domain, Log-Quelle, Mitglied), wird mit seinen abhängigen Daten gelöscht; Protokollzeilen einer gelöschten Log-Quelle sind sofort nicht mehr abrufbar und laufen spätestens nach 30 Tagen im Protokollspeicher aus.
2. Nach Beendigung des Hauptvertrags bzw. Löschung der Organisation löschen wir alle personenbezogenen Daten der Organisation aus der laufenden Anwendung, widerrufen die Verbindung zur Google Search Console bei Google und löschen das Zugriffstoken, soweit nicht Unionsrecht oder das Recht eines Mitgliedstaats eine Speicherung verlangt (insbesondere Abrechnungsdaten nach § 147 AO, § 257 HGB). Protokollzeilen der Log-Analyse laufen spätestens 30 Tage nach der Löschung aus. Du kannst die Daten vorher über die API, die Druckansicht der Reports und den CSV-Bericht der Log-Analyse selbst abrufen (Rückgabe); eine darüber hinausgehende Herausgabe erfolgt auf Anfrage in Textform vor der Löschung (Art. 28 Abs. 3 Satz 2 lit. g DSGVO).
3. Sicherungskopien. Unsere Sicherungen sind verschlüsselt und werden nach festen Fristen überschrieben OFFEN-23: Aufbewahrung der lokalen und der Offsite-Sicherungen. Eine Löschung wirkt dort erst mit Ablauf der jeweiligen Kopie; Sicherungen werden nicht zur Wiederherstellung einzelner gelöschter Daten verwendet, und nach einer Wiederherstellung löschen wir bereits gelöschte Daten unverzüglich erneut.
4. Auf Anfrage bestätigen wir die Löschung in Textform.

10. Nachweise und Kontrollen

1. Wir stellen dir alle Informationen zur Verfügung, die zum Nachweis der Einhaltung unserer Pflichten nach Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 Satz 2 lit. h DSGVO): diese Vereinbarung mit Anlagen, aktuelle Zusammenfassungen unserer Sicherheitsprüfungen, Zertifikate und Berichte unserer Unterauftragsverarbeiter (etwa des Rechenzentrumsbetreibers), auf Anfrage das Verzeichnis nach Art. 30 Abs. 2 DSGVO für deine Kategorien.
2. Reichen diese Nachweise im Einzelfall nicht aus, kannst du einmal je Kalenderjahr kostenfrei eine Fernprüfung verlangen: schriftliche Fragen, Einsicht in Unterlagen und, soweit nötig, in Konfigurationen per Bildschirmfreigabe. Vor-Ort-Kontrollen einschließlich Inspektion sind nach Ankündigung von mindestens zehn Werktagen zu den üblichen Geschäftszeiten möglich, zusätzlich jederzeit bei konkretem Anlass (etwa einer Datenpanne oder einer Anordnung einer Aufsichtsbehörde); du erstattest uns dafür den angemessenen Aufwand, es sei denn, die Kontrolle ergibt erhebliche Verstöße gegen diese Vereinbarung. Prüfer müssen zur Verschwiegenheit verpflichtet sein und dürfen nicht im Wettbewerb mit uns stehen. Inspektionen beim Rechenzentrumsbetreiber richten sich nach dessen Kontrollregelungen.
3. Anordnungen einer Aufsichtsbehörde, die deine Daten betreffen, teilen wir dir unverzüglich mit, soweit zulässig.

11. Haftung

Für die Haftung gelten Art. 82 DSGVO und der Abschnitt „Haftung“ der AGB. Die dort geregelte Begrenzung gilt auch für Ansprüche aus dieser Vereinbarung, soweit Art. 82 DSGVO dem nicht entgegensteht.

12. Schlussbestimmungen

Es gilt deutsches Recht. Die Schlussbestimmungen der AGB (Gerichtsstand, salvatorische Klausel, maßgebliche Sprachfassung) gelten entsprechend. Diese Vereinbarung ist auf Deutsch und Englisch verfügbar; die englische Fassung ist eine Übersetzung zu deiner Information, bei Abweichungen gilt die deutsche Fassung.

---

Anlage 1: Gegenstand der Verarbeitung, Datenkategorien, Betroffene, Aufbewahrung

1.1 Leistungen und Verarbeitungen

Leistung	Was wir verarbeiten	Woher die Daten kommen
Audits und Websites	Adresse der geprüften Seite, Hostname, Einstellungen (Header und Zugangsdaten für die HTTP-Anmeldung verschlüsselt, Zeitlimit, erwarteter Statuscode), Prüfintervalle, Adresse der Sitemap und dort gefundene Adressen; je Lauf Statuscode, Weiterleitungskette, Antwortzeiten, Größe, Angaben zu Verschlüsselung und Zertifikat, Antwort-Header; je Test ausgewertete und begrenzte Werte (zum Beispiel Titel, Beschreibung, Überschriften, Links, Wortzahl, bis zu zehn im sichtbaren Text gefundene E-Mail-Adressen), Befunde, Score, Verlauf. Keine Kopie der geprüften Seite	Adressen und Einstellungen von dir eingetragen; Ergebnisse aus dem Abruf der öffentlich erreichbaren Seite durch unseren Crawler
Reports	Freigaben (Sichtbarkeit, Link-Kennung, Passwort nur als Hash, Ablaufdatum), eigenes Erscheinungsbild (Logo, Farben, Name), Inhalt wie bei Audits und Websites, soweit freigegeben	von dir freigegeben
Eigene Domains	Domain, Prüfwert und Stand der DNS-Prüfung, Zertifikat	von dir eingetragen
Benachrichtigungskanäle	Kontakte (E-Mail-Adressen, Telefonnummern, Chat- und Kanal-Kennungen, Webhook-Adressen, Bot-Token; Konfiguration verschlüsselt), Benachrichtigungsregeln, Zustellprotokoll (Kanal, Ereignis, Zeitpunkt, Ergebnis, Fehlertext), Benachrichtigungen in der App	von dir eingetragen; Protokoll aus dem Versand
Google Search Console	freigegebene Properties und ihre Zuordnung zu Websites, Indexierungsstatus einzelner Adressen, Kennzahlen der Suchanalyse (Suchanfragen, Klicks, Impressionen, Position, nach Tag, Land und Gerät)	von Google über die Verbindung deiner Organisation abgerufen
AI-Zusammenfassungen (nur wenn eingeschaltet)	an den AI-Anbieter übermittelte Audit-Befunde; gespeicherte Zusammenfassung als strukturierter Text, Anbieter, Modell, Verbrauch	aus den Audits deiner Organisation; Antwort des AI-Anbieters
Ahrefs Domain Rating, Google Web Risk	Hostname der Website (Ahrefs) bzw. geprüfte Adresse (Web Risk); gespeicherter Wert bzw. Ergebnis	aus deinen Websites und Audits; Antwort des Dienstes
Log-Analyse	Log-Quelle (Hostnamen, Einstellungen, Collector-Token nur als Hash, Zeitpunkt des letzten Kontakts, Version des Collectors); je Protokollzeile Zeitpunkt, Domain, Methode, Pfad (Parameterwerte in der Voreinstellung maskiert), Statuscode, Größe, Pseudonym der IP-Adresse (täglich wechselnd, auf deinem Server gebildet), Kennung des anfragenden Programms, verweisende Adresse ohne Parameter, Bot-Erkennung und deren Bestätigung, bei abgewiesenen Scan-Anfragen das gekürzte Netz (abschaltbar), gekürzte Meldungen des Fehlerprotokolls (abschaltbar); Tagesstatistiken, Top-Listen und Ergebnis des Abgleichs mit der Sitemap	vom Collector auf deinem Server eingeliefert; Statistiken daraus abgeleitet
API und Live-Kanal	Ausgabe der oben genannten Daten an Mitglieder und API-Tokens deiner Organisation; Live-Ereignisse (Kennungen, Status)	—

Nicht Gegenstand dieser Vereinbarung (dafür sind wir selbst Verantwortlicher, siehe Datenschutzerklärung): Konto- und Anmeldedaten der Mitglieder, Einladungen, Rollen, Sitzungen, die Kennung des mit der Search Console verbundenen Google-Kontos, Abrechnung und Paddle, System-E-Mails an Konten, Server-Logdaten und Raten-Limits der Plattform, das Audit-Log der Plattform sowie die Nutzung der öffentlichen Tools ohne Konto.

1.2 Kategorien betroffener Personen

• Mitglieder, Mitarbeitende und Beauftragte deiner Organisation (als Benachrichtigungskontakte, als Anlegende von Audits und Freigaben)
• Besucherinnen und Besucher deiner Websites, soweit ihre Zugriffe in den eingelieferten Protokollen erscheinen (pseudonymisiert)
• Personen, die auf den geprüften Seiten öffentlich genannt sind (zum Beispiel in Titeln, Überschriften, Adressen oder als E-Mail-Adresse im sichtbaren Text), sowie Personen, die in Suchanfragen der Search Console oder in Pfaden und Parametern der Protokolle erkennbar sind
• Leserinnen und Leser deiner Reports erzeugen nur Server-Logdaten bei uns (eigene Verantwortung)

1.3 Aufbewahrung während der Laufzeit

Daten	Dauer
Audits mit Verlauf	nach Plan 30, 90, 365 oder 730 Tage (Free, Starter, Pro, Agency)
Archivierte Audits	nach Plan 30, 365, 730 oder 1 825 Tage
Protokollzeilen der Log-Analyse	30 Tage in allen Plänen
Tagesstatistiken der Log-Analyse	nach Plan 30 Tage, 6, 12 oder 24 Monate; bei Löschung der Log-Quelle, Website oder Organisation sofort
Daten der Google Search Console	OFFEN-26: Aufbewahrung der Search-Console-Daten je Plan; das Zugriffstoken bis zum Trennen der Verbindung
AI-Zusammenfassungen	so lange wie das Audit bzw. die Website, zu der sie gehören
Zustellprotokoll der Benachrichtigungen, Benachrichtigungen in der App	90 Tage
Nach einem Wechsel in einen kleineren Plan	die Aufbewahrungsfristen für Audits, archivierte Audits und Tagesstatistiken behalten 30 Tage den höheren Wert (Schonfrist)
Websites, Reports und Freigaben, Kanäle, eigene Domains, Log-Quellen, hinterlegte Zugangsdaten	bis du sie löschst
Sicherungskopien	OFFEN-23: Aufbewahrung der lokalen und der Offsite-Sicherungen

---

Anlage 2: Unterauftragsverarbeiter und Verarbeitungsorte

Stand Datum der Veröffentlichung

Unternehmen	Leistung	Sitz / Verarbeitungsort	Garantie bei Drittland
OFFEN-5: Hosting-Anbieter mit Anschrift	Rechenzentrum und Server für Anwendung, Datenbank, Protokollspeicher der Log-Analyse, Warteschlangen, Crawler und lokale Sicherungen	OFFEN-5: Standort des Rechenzentrums	OFFEN-5: entfällt, wenn EU
OFFEN-7: Anbieter des Offsite-Backups	verschlüsselte Offsite-Sicherungen	OFFEN-7: Sitz und Verarbeitungsort	OFFEN-7: Garantie
OFFEN-20: Versanddienst für Benachrichtigungs-E-Mails	Versand der Benachrichtigungs-E-Mails (enthalten Name bzw. Adresse der Website oder des Audits, Ereignis, Empfängeradresse)	OFFEN-20: Sitz und Verarbeitungsort	OFFEN-20: entfällt, wenn EU
Anthropic (Claude) OFFEN-21: Vertragspartner mit Anschrift	Erzeugung von AI-Zusammenfassungen aus Audit-Befunden; voreingestellter Anbieter. Nur wenn AI-Zusammenfassungen eingeschaltet sind	außerhalb der EU OFFEN-21: Verarbeitungsorte	OFFEN-21: Garantie für die Übermittlung
OpenAI OFFEN-21: Vertragspartner mit Anschrift	wie vor; nur wenn dieser Anbieter eingestellt ist	außerhalb der EU OFFEN-21: Verarbeitungsorte	OFFEN-21: Garantie für die Übermittlung
Google (Gemini) OFFEN-21: Vertragspartner mit Anschrift	wie vor; nur wenn dieser Anbieter eingestellt ist	außerhalb der EU OFFEN-21: Verarbeitungsorte	OFFEN-21: Garantie für die Übermittlung
Twilio OFFEN-22: Vertragspartner mit Anschrift	Zustellung von SMS und Anrufen (Telefonnummer, Text der Benachrichtigung). Nur wenn du solche Kanäle einrichtest (Pläne Pro und Agency)	OFFEN-22: Verarbeitungsort	OFFEN-22: Garantie für die Übermittlung

AI-Anbieter erhalten Daten deiner Organisation nur, solange AI-Zusammenfassungen für sie eingeschaltet sind (Abschnitt 4 Nr. 6, Abschnitt 7 Nr. 3).

Weitere Empfänger einzelner Angaben: Google (Web Risk) erhält die geprüfte Adresse, Ahrefs den Hostname der Website, jeweils ohne Konto- oder Mitgliederdaten OFFEN-24: Ahrefs und Google Web Risk – Vertragspartner, Verarbeitungsort und Einordnung.

Keine Unterauftragsverarbeiter im Sinne dieser Vereinbarung: Paddle.com Market Limited (Zahlung; eigenständiger Verantwortlicher, erhält keine Audit-, Report- oder Protokolldaten) · Google als Anbieter der Search Console (eigenständiger Verantwortlicher, Quelle der Daten) · der Versanddienst für System-E-Mails an Konten wie Bestätigung und Einladung (unsere eigene Verarbeitung) · die von dir gewählten Chat- und Webhook-Dienste (Abschnitt 8 Nr. 2) · die Betreiber der geprüften Seiten · deine Server und der dort installierte Collector.

---

Anlage 3: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand Datum der Veröffentlichung. Die Maßnahmen beschreiben den Stand, der zum Start des Dienstes umgesetzt ist zu prüfen: Maßnahmen des Betriebs (Serverzugang, Sicherungen, Wiederherstellungsproben, Umgebungen) vor Veröffentlichung gegen den Produktivbetrieb abgleichen.

Vertraulichkeit

• Zutrittskontrolle: Rechenzentrum des Hosting-Anbieters mit dessen Zutritts- und Sicherheitsmaßnahmen (Nachweise des Anbieters); kein eigener Serverraum.
• Zugangskontrolle: Anwendungs-Logins mit Passwort-Hash; Plattform-Administratoren zusätzlich mit zweitem Faktor; API-Tokens und Collector-Tokens nur als Hash gespeichert, Klartext einmalig angezeigt; Report-Passwörter nur als Hash (argon2id); Raten-Limits gegen das Erraten von Passwörtern, Tokens und Report-Passwörtern; einheitliche Fehlerantworten ohne Rückschluss auf vorhandene Konten.
• Zugriffskontrolle: Rollen Owner, Admin, Member, Viewer und Token-Scopes; Verbindung zur Search Console, AI-Einstellungen, eigene Domains und Log-Quellen nur für Owner und Admin; Mandantentrennung durch Bindung jeder Abfrage an die Organisation, fremde Ressourcen antworten „nicht gefunden“; Abfragen der Log-Analyse entstehen ausschließlich aus geprüften Parametern, Kunden senden keine Abfragesprache, und der Mandant wird beim Schreiben und beim Lesen unabhängig erzwungen; öffentliche Reports zeigen nur Freigegebenes und laufen unter einer eigenen Adresse ohne die Cookies der App.
• Trennung: getrennte Netze für Web-Dienste, Datenbank, Crawler und Protokollspeicher; der Protokollspeicher ist nur intern erreichbar; die Crawler erreichen aus dem internen Netz nur Datenbank und Warteschlange.
• Pseudonymisierung und Verschlüsselung: IP-Adressen in Protokollen der Log-Analyse werden bereits auf dem Server des Kunden pseudonymisiert (täglich wechselnder Schlüssel, der den Server nicht verlässt); Kunden-Geheimnisse (Zugriffstoken der Search Console, Header und Zugangsdaten der Audits, Kanal-Konfigurationen) verschlüsselt gespeichert; Übertragung ausschließlich über TLS; Sicherungskopien verschlüsselt; Geheimnisse werden in Logs und API maskiert.

Integrität

• Eingabekontrolle: Ergebnisse der Crawler und eingelieferte Protokolle werden validiert (zulässige Felder, Typen, Längen, Zeitfenster, Deduplizierung) und in der Größe begrenzt; Inhalte geprüfter Seiten werden in der Oberfläche nie ungefiltert als HTML dargestellt; Antworten der AI-Anbieter werden nur als Struktur und Text übernommen; Audit-Log für Administrator-Zugriffe und für sicherheitsrelevante Handlungen von Mitgliedern mit handelndem Konto, zwei Jahre.
• Weitergabekontrolle: Abrufe zu Kundenzielen laufen ausschließlich über den Crawler mit Sperre privater, lokaler und Metadaten-Adressen (auch nach Weiterleitungen und Namensauflösung), in eigenen Containern mit Ausgangsregeln; Webhook-Ziele werden nach denselben Regeln geprüft; AI-Anbieter erhalten nur Audit-Befunde, keine Daten der Search Console; öffentliche Tools geben nur ausgewertete Ergebnisse aus; Live-Ereignisse enthalten nur Kennungen und Status.

Verfügbarkeit und Belastbarkeit

• Verschlüsselte Sicherungen OFFEN-23: Aufbewahrung der lokalen und der Offsite-Sicherungen; Raten-, Mengen- und Größenlimits gegen Überlastung; Begrenzung gleichzeitiger Audits je Organisation und je Ziel; feste Zeit- und Größengrenzen je Abruf.

Verfahren zur regelmäßigen Überprüfung

• Sicherheitsprüfung je Entwicklungsphase (Code-Review und Tests der Mandantentrennung, Authentifizierung, Eingabevalidierung, Raten-Limits und des Schutzes vor Abrufen interner Adressen); automatisierte Tests der Mandantentrennung und der Limits; Löschkonzept mit automatischen Aufbewahrungsläufen (Anlage 1.3); Verzeichnis nach Art. 30 Abs. 2 DSGVO; Verpflichtung der Mitarbeitenden zur Vertraulichkeit zu prüfen: Vertraulichkeitsverpflichtungen der Mitarbeitenden bestätigen; Auftragskontrolle gegenüber Unterauftragsverarbeitern durch Verträge nach Art. 28 Abs. 4 DSGVO.