Auftragsverarbeitungsvertrag

Auftraggeber (Verantwortlicher im Sinne der DSGVO): Der jeweilige Kunde, der sich für die Nutzung von PopKit registriert hat (nachfolgend „Auftraggeber").

Auftragnehmer (Auftragsverarbeiter im Sinne der DSGVO):

Tugay Yentur (Yentur.de)
Breslauer Str. 9
71083 Herrenberg
Deutschland
E-Mail: [email protected]

Dieser Vertrag wird mit Registrierung bei PopKit und Nutzung des Dienstes geschlossen und gilt als Anlage zu den Allgemeinen Geschäftsbedingungen.

Für die Verarbeitung von Konto-, Abrechnungs- sowie Missbrauchs- und Sicherheitsdaten ist der Auftragnehmer eigener Verantwortlicher im Sinne der DSGVO; dieser Vertrag erfasst ausschließlich die im Auftrag des Auftraggebers verarbeiteten Daten der Besucher seiner Webseiten.

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen des SaaS-Dienstes „PopKit". Dies umfasst insbesondere:

• Bereitstellung und Auslieferung des Tracking-Snippets auf den Webseiten des Auftraggebers
• Erfassung und Verarbeitung von Nutzer-Events (Impressionen, Conversions, Scroll- und Zeitverhalten)
• Steuerung und Personalisierung von Popup-Kampagnen basierend auf Nutzersignalen
• Aggregation und Darstellung von Analysedaten im Dashboard
• Verschlüsselte Speicherung der über Popup-Formulare erhobenen Kontaktdaten (Leads), sofern der Auftraggeber E-Mail-Formulare einsetzt und die Lead-Speicherung für die jeweilige Kampagne aktiviert, einschließlich Bereitstellung im Dashboard und als CSV-Export

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsverhältnisses. Bei Beendigung werden die Daten gemäß § 10 dieses Vertrags gelöscht.

Art der verarbeiteten Daten:

• Pseudonyme Session-IDs (zufällig generiert, kein Cookie-Tracking)
• Geräteklasse (Desktop, Tablet, Mobil)
• Traffic-Quelle (Direct, Organic, Paid, Social, Referral, E-Mail)
• Verhaltens-Events (Scroll-Tiefe, Verweildauer, Exit-Intent, Idle-Zustand)
• Kampagnen-Interaktionen (Impressionen, Conversions, Schließen)
• Optionale Formulardaten, die der Auftraggeber über Popup-Formulare erhebt (z. B. E-Mail-Adressen, Namen sowie weitere vom Auftraggeber konfigurierte Formularfelder) samt zugehöriger Einwilligungsangabe
• Optionale Bestellwerte bei externer Conversion-Messung
• IP-Adressen (werden nicht dauerhaft gespeichert, nur für die Übertragung verarbeitet)

Kategorien betroffener Personen:

• Besucher der Webseite(n) des Auftraggebers
• Nutzer, die mit Popup-Kampagnen des Auftraggebers interagieren

Der Dienst ist nicht für die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) oder dem Berufsgeheimnis (§ 203 StGB) unterliegender Daten bestimmt. Der Auftraggeber verarbeitet derartige Daten über PopKit nur nach gesonderter schriftlicher Vereinbarung mit dem Auftragnehmer.

Der Auftragnehmer verpflichtet sich:

1. Personenbezogene Daten ausschließlich gemäß den dokumentierten Weisungen des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO).
2. Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).
3. Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe § 7).
4. Den Auftraggeber bei der Erfüllung seiner Pflichten nach Art. 32–36 DSGVO zu unterstützen.
5. Den Auftraggeber unverzüglich zu informieren, falls eine Weisung nach Auffassung des Auftragnehmers gegen datenschutzrechtliche Vorschriften verstößt.

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Weisungen können in Textform (E-Mail) erteilt werden.

Dies gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, der Auftragnehmer ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet; in einem solchen Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Die Nutzung der Funktionen im PopKit-Dashboard (Kampagnen anlegen, Targeting konfigurieren, Daten exportieren) gilt als Weisung des Auftraggebers.

Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Meinung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt.

Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter im Sinne des Art. 28 Abs. 2 DSGVO. Der Auftragnehmer informiert den Auftraggeber mindestens 30 Kalendertage vor Wirksamwerden über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus berechtigten Gründen (insbesondere unzureichende technische und organisatorische Maßnahmen oder Drittlandverarbeitung ohne ausreichende Garantien) widersprechen; kann der Auftragnehmer den Widerspruch nicht durch zumutbare Maßnahmen ausräumen, ist der Auftraggeber zur außerordentlichen Kündigung berechtigt. Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten und haftet für deren Einhaltung weiter (Art. 28 Abs. 4 DSGVO).

Soweit ein Unterauftragsverarbeiter personenbezogene Daten in den USA verarbeitet, erfolgt die Übermittlung vorrangig auf Grundlage des EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795 vom 10.07.2023, Art. 45 DSGVO), sofern der Empfänger zertifiziert ist, andernfalls auf Grundlage der EU-Standardvertragsklauseln (Beschluss (EU) 2021/914, Art. 46 DSGVO) nebst ergänzenden Schutzmaßnahmen.

Da die genannten Dienstleister zu US-amerikanischen Unternehmen gehören, hat der Auftragnehmer für diese Drittlandbezüge eine Transfer-Folgenabschätzung (Transfer Impact Assessment) nach den Empfehlungen 01/2020 des Europäischen Datenschutzausschusses durchgeführt und ergänzende technische und organisatorische Schutzmaßnahmen (insbesondere Verschlüsselung und Datenminimierung) umgesetzt. Die Transfer-Folgenabschätzung wird dem Auftraggeber auf Anfrage zur Verfügung gestellt.

Aktuelle Unterauftragsverarbeiter:

Diese Liste wird bei Änderungen aktualisiert. Die jeweils aktuelle Fassung ist auf dieser Seite einsehbar.

Der Auftragnehmer hat folgende Maßnahmen gemäß Art. 32 DSGVO getroffen:

Vertraulichkeit

• Verschlüsselte Datenübertragung mittels TLS 1.2+ für alle API-Endpunkte und das Dashboard
• Verschlüsselung ruhender Daten mittels AES-256 auf Datenbankebene
• Zusätzliche Verschlüsselung der über Popup-Formulare erhobenen Kontaktdaten (Leads) auf Anwendungsebene (AES-256); E-Mail-Adressen werden für Suche und Deduplizierung ausschließlich über einen pseudonymen Hash-Index (HMAC) referenziert (Art. 32 Abs. 1 lit. a DSGVO)
• Logische Trennung der Daten verschiedener Auftraggeber (Mandantentrennung) auf Datenbank- und Anwendungsebene
• Pseudonymisierung der Besucherdaten durch zufällig erzeugte Session-IDs ohne Personenbezug (Art. 32 Abs. 1 lit. a DSGVO)
• Zugriffskontrolle über rollenbasierte Berechtigungen (Team-/Projektebene)
• Authentifizierung mit gehashten Passwörtern (bcrypt) und optionaler Zwei-Faktor-Authentifizierung

Integrität

• Validierung aller eingehenden Events auf Serverseite
• CSRF-Schutz für alle authentifizierten Endpunkte
• API-Key-basierte Autorisierung für das Tracking-Snippet
• Rate-Limiting auf Ingestion- und API-Endpunkten

Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte Backups der Datenbanken
• Regelmäßige Tests der Wiederherstellbarkeit aus Backups (Art. 32 Abs. 1 lit. c DSGVO)
• Monitoring der Systemverfügbarkeit und automatische Alarmierung
• Queue-basierte asynchrone Verarbeitung zur Lastverteilung

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests der Sicherheitsfunktionen
• Regelmäßige Updates der Abhängigkeiten und Sicherheitspatches
• Dokumentierte Zugriffsprotokolle
• Protokollierung von Eingaben und Änderungen an personenbezogenen Daten (Eingabekontrolle)

Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO), soweit dies technisch möglich und zumutbar ist.

Wendet sich eine betroffene Person direkt an den Auftragnehmer, wird die Anfrage unverzüglich an den Auftraggeber weitergeleitet.

Aufgrund der pseudonymen Natur der verarbeiteten Daten (zufällige Session-IDs ohne Personenbezug) ist eine direkte Identifizierung einzelner betroffener Personen im Regelfall nicht möglich. Sofern der Auftraggeber E-Mail-Formulare in seinen Popups einsetzt, können personenbezogene Daten über das Dashboard eingesehen und gelöscht werden.

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).

Die Meldung enthält mindestens:

• Eine Beschreibung der Art der Verletzung
• Die Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze
• Eine Beschreibung der wahrscheinlichen Folgen
• Eine Beschreibung der ergriffenen oder vorgeschlagenen Abhilfemaßnahmen

Nach Beendigung des Nutzungsverhältnisses gibt der Auftragnehmer die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Auftraggebers zurück oder löscht sie, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen.

Die Rückgabe bzw. Löschung erfolgt spätestens 30 Tage nach Vertragsende. Auf Wunsch des Auftraggebers erfolgt vor der Löschung ein Export der Daten in einem gängigen maschinenlesbaren Format (CSV/JSON); die erfolgte Löschung bestätigt der Auftragnehmer auf Anforderung in Textform.

Event-Rohdaten werden planabhängig nach einem definierten Zeitraum automatisch gelöscht (je nach gewähltem Tarif zwischen 90 und 365 Tagen).

Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrags und der datenschutzrechtlichen Vorgaben zu überprüfen. Dies kann erfolgen durch:

• Einholen von Auskünften des Auftragnehmers
• Einsichtnahme in die technischen und organisatorischen Maßnahmen
• Inspektionen vor Ort nach angemessener Vorankündigung

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

Der Nachweis erfolgt vorrangig durch Selbstauskünfte, aktuelle Testate oder Zertifikate (z. B. nach ISO 27001). Vor-Ort-Inspektionen sind auf einmal jährlich begrenzt, mit einer Ankündigungsfrist von mindestens 30 Tagen, während der Geschäftszeiten, ohne Störung des Betriebsablaufs, unter Wahrung der Vertraulichkeit und der Rechte Dritter sowie auf Kosten des Auftraggebers durchzuführen. Bei konkretem Verdacht einer Verletzung des Schutzes personenbezogener Daten bleibt das Recht zur anlassbezogenen Prüfung unberührt.

Die Haftung richtet sich nach den Regelungen der DSGVO, insbesondere Art. 82 DSGVO, sowie den Vereinbarungen in den Allgemeinen Geschäftsbedingungen von PopKit.

Der Auftragnehmer haftet für Schäden, die durch eine nicht den Vorgaben der DSGVO entsprechende Verarbeitung verursacht werden, oder wenn er über die rechtmäßigen Weisungen des Auftraggebers hinaus oder gegen diese gehandelt hat.

Im Innenverhältnis der Parteien gilt der Ausgleich nach Art. 82 Abs. 5 DSGVO. Die in den Allgemeinen Geschäftsbedingungen vereinbarten Haftungsbeschränkungen (insbesondere § 15 AGB) bleiben unberührt, soweit Art. 82 DSGVO dem nicht entgegensteht.

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Dies gilt auch für den Verzicht auf dieses Formerfordernis.

Bei Widersprüchen zwischen diesem Auftragsverarbeitungsvertrag und den Allgemeinen Geschäftsbedingungen gehen in datenschutzrechtlichen Fragen die Regelungen dieses Vertrags vor.

Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, so bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Es gilt deutsches Recht. Gerichtsstand ist Stuttgart.