Auftragsverarbeitungsvertrag

Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO für den Analyse-Dienst Pulselytics · Fassung November 2026

1. Vertragsparteien und Abschluss

  1. Dieser Vertrag gilt zwischen dem Kunden von Pulselytics als Verantwortlichem („Auftraggeber“) und CAN DO IT, Andre Oestreich, Hannoversche Straße 6, 27243 Harpstedt, Deutschland, als Auftragsverarbeiter („Auftragnehmer“).
  2. Er ist Bestandteil des Vertrags über die Nutzung von Pulselytics nach unseren Allgemeinen Geschäftsbedingungen („Hauptvertrag“) und kommt mit diesem zustande, auch für den kostenlosen Testzeitraum. Eine Unterschrift ist nicht erforderlich; der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO).
  3. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht.

2. Gegenstand, Dauer und Art der Verarbeitung

  1. Der Auftragnehmer misst im Auftrag des Auftraggebers die Nutzung der Websites, in die der Auftraggeber das Script von Pulselytics eingebunden hat, wertet die Besuche aus und stellt die Ergebnisse im Dashboard, über die Schnittstelle (API) und den MCP-Server sowie in Berichten und Benachrichtigungen bereit.
  2. Die Verarbeitung dauert so lange wie der Hauptvertrag und endet mit der Löschung der Daten nach Ziffer 10.
  3. Art, Zweck, Datenarten und Betroffene beschreibt Anlage 1.

3. Weisungen

  1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der EU oder eines Mitgliedstaats zu einer Verarbeitung verpflichtet. In diesem Fall teilt er dem Auftraggeber diese Pflicht vorher mit, soweit das Recht dies nicht verbietet.
  2. Die Weisungen sind abschließend im Hauptvertrag, in diesem Vertrag und in den Einstellungen festgelegt, die der Auftraggeber im Dashboard vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform, etwa per E-Mail.
  3. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit. Er darf die Ausführung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

4. Pflichten des Auftragnehmers

  1. Der Auftragnehmer verarbeitet die Daten nur, um die Leistungen nach dem Hauptvertrag zu erbringen. Er nutzt sie nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, außer an Unterauftragnehmer nach Ziffer 6.
  2. Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.
  3. Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
  4. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen zu beantworten (Art. 12 bis 22 DSGVO), und bei seinen Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen und Datenschutz-Folgenabschätzungen. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter.
  5. Erhält der Auftragnehmer Kenntnis von einer Verletzung des Schutzes der Daten des Auftraggebers, informiert er den Auftraggeber unverzüglich, möglichst innerhalb von 48 Stunden, und teilt ihm die Angaben nach Art. 33 Abs. 3 DSGVO mit, soweit sie ihm vorliegen.
  6. Ein Datenschutzbeauftragter ist beim Auftragnehmer gesetzlich nicht vorgeschrieben. Ansprechpartner für den Datenschutz ist Andre Oestreich, info@can-do.it.

5. Pflichten des Auftraggebers

  1. Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Messung auf seinen Websites und die Information der Besucher in seiner Datenschutzerklärung.
  2. Er übermittelt keine Daten, die über Anlage 1 hinausgehen. Insbesondere schreibt er keine Namen, E-Mail-Adressen oder anderen direkt identifizierenden Angaben in Ereignisse, Seitenadressen oder Kampagnen-Parameter.
  3. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

6. Unterauftragnehmer

  1. Der Auftraggeber stimmt dem Einsatz der in Anlage 3 genannten Unterauftragnehmer zu.
  2. Der Auftragnehmer darf weitere Unterauftragnehmer einsetzen oder bestehende ersetzen. Er informiert den Auftraggeber mindestens vier Wochen vorher per E-Mail. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund bis zu ihrem Wirksamwerden widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Wirksamwerden der Änderung kündigen.
  3. Der Auftragnehmer verpflichtet jeden Unterauftragnehmer vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.
  4. Keine Unterauftragsverarbeitung ist die Abfrage über die Schnittstelle oder den MCP-Server mit Diensten, die der Auftraggeber selbst auswählt und anbindet, etwa Claude, ChatGPT oder Cursor. Dafür ist der Auftraggeber allein verantwortlich; die Daten gehen dabei auf seine Veranlassung an den jeweiligen Anbieter.

7. Ort der Verarbeitung

Die Daten werden ausschließlich in Rechenzentren in Deutschland verarbeitet. Eine Verarbeitung außerhalb der EU oder des EWR findet nur mit vorheriger Zustimmung des Auftraggebers und unter den Voraussetzungen der Art. 44 ff. DSGVO statt.

8. Kontrollen

  1. Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.
  2. Der Auftraggeber kann Überprüfungen, auch vor Ort, selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen. Er kündigt sie mit angemessener Frist, in der Regel zwei Wochen, an und nimmt Rücksicht auf den Betriebsablauf. Vor-Ort-Prüfungen finden höchstens einmal im Jahr statt, es sei denn, es gibt einen konkreten Anlass.
  3. Den Aufwand einer Prüfung vor Ort trägt der Auftraggeber, es sei denn, die Prüfung deckt einen erheblichen Verstoß des Auftragnehmers auf.

9. Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

10. Löschung und Rückgabe

  1. Nach dem Ende des Hauptvertrags hält der Auftragnehmer die Daten noch 30 Tage vor. In dieser Zeit kann der Auftraggeber einen Export anfordern oder den Vertrag fortsetzen. Danach löscht der Auftragnehmer alle Daten des Auftraggebers, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.
  2. Kopien in Datensicherungen werden im Rahmen des regulären Sicherungszyklus überschrieben.
  3. Auf Anfrage bestätigt der Auftragnehmer die Löschung in Textform.

Anlage 1: Gegenstand der Verarbeitung

Zweck: Reichweitenmessung und Auswertung der Nutzung der Websites des Auftraggebers.

Betroffene: Besucher der Websites des Auftraggebers; Nutzer, denen der Auftraggeber Zugang zum Dashboard gibt, soweit deren Daten im Rahmen des Auftrags verarbeitet werden.

Datenarten:

  • Aufgerufene Seiten und Seitentitel, Herkunft (Referrer ohne Abfrageparameter, Kampagnen-Parameter), Zeitpunkt, Verweildauer, Scrolltiefe, ausgelöste Ereignisse und Ladezeiten
  • Gerätetyp, Browser, Betriebssystem, Bildschirmbreite und Sprache
  • Land und Region (z. B. Bundesland), die im Arbeitsspeicher aus der IP-Adresse ermittelt werden; die Stadt wird nie ermittelt
  • Eine Prüfsumme aus IP-Adresse, Browserkennung und einem täglich wechselnden Zufallswert, um Besuche eines Tages zusammenzufassen

Nicht gespeichert werden: IP-Adressen, vollständige Browserkennungen, Cookies oder sonstige Kennungen im Browser. Der Zufallswert wird nach einem Tag gelöscht, Besuche sind daher nicht über Tage hinweg verknüpfbar.

Anlage 2: Technische und organisatorische Maßnahmen

Datensparsamkeit: Die Messung kommt ohne Cookies, ohne Speicherung im Browser und ohne Wiedererkennung über Tage aus. IP-Adressen werden nur im Arbeitsspeicher verarbeitet und verworfen.

Zutrittskontrolle: Die Server stehen in Rechenzentren der Hetzner Online GmbH in Deutschland, die nach ISO/IEC 27001 zertifiziert sind, mit Zutrittskontrolle, Videoüberwachung und Sicherheitspersonal.

Zugangskontrolle: Administrativer Zugang zu den Servern hat nur der Auftragnehmer, ausschließlich über verschlüsselte Verbindungen. Passwörter im Dashboard werden nur als Hash gespeichert; Anmeldung wahlweise mit Passkeys und Zwei-Faktor-Authentifizierung.

Zugriffskontrolle: Rollen und Rechte im Dashboard; Nutzer sehen nur die Websites ihrer Organisation. Datenbanken sind nicht öffentlich erreichbar. Zugriff auf Produktionsdaten hat nur der Auftragnehmer selbst.

Trennung: Die Daten jedes Auftraggebers sind logisch getrennt und über seine Organisation und Websites zugeordnet. Test- und Produktionsumgebung sind getrennt.

Weitergabekontrolle: Alle Verbindungen zum Dashboard, zur Messung, zur Schnittstelle und zum MCP-Server sind mit TLS verschlüsselt. Zugriff auf Schnittstelle und MCP-Server nur mit persönlichem Schlüssel, der sich jederzeit widerrufen lässt.

Eingabekontrolle: Aktive Anmeldungen werden mit Zeitpunkt und Gerät gespeichert; Nutzer sehen sie in ihren Einstellungen und können sie beenden. Einzelne Messdaten lassen sich im Dashboard nicht bearbeiten.

Verfügbarkeit: Regelmäßige Datensicherungen, Überwachung der Dienste und Aktualisierung der Software mit Sicherheitsupdates.

Überprüfung: Die Maßnahmen werden regelmäßig und bei Änderungen am System überprüft und angepasst.

Anlage 3: Unterauftragnehmer

  • Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland: Hosting der Server, Datenbanken und Messdaten
  • ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland: Versand von E-Mails, etwa Berichte und Benachrichtigungen