Vertrag zur Auftragsverarbeitung

Präambel

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AV“ oder „Vertrag“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Nutzung der SaaS „Page.io“ ergeben. Er wird geschlossen zwischen dem Kunden als Verantwortlichem im Sinne des Art. 4 Nr. 7 DSGVO und

Kai Hielscher, KH Digital Marketing, Am Eichelkamp 227, 40723 Hilden, Deutschland, als Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

Mit Abschluss des Hauptvertrags über die Nutzung von Page.io wird dieser AV automatisch dessen Bestandteil. Er geht bei Widersprüchen zu datenschutzrechtlichen Regelungen dem Hauptvertrag vor.

1. Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Erbringung der Page.io-Leistungen, insbesondere die Verwaltung von Google-Ads-Kampagnen, den Betrieb von Landingpages sowie die Erfassung und Bereitstellung von Leads und Statistiken für den Verantwortlichen.

Die Dauer dieses AV entspricht der Laufzeit des Hauptvertrags. Der AV endet automatisch mit Beendigung des Hauptvertrags, ohne dass es einer gesonderten Kündigung bedarf; die Regelungen zur Löschung und Rückgabe (Ziffer 8) gelten fort.

2. Art und Zweck der Verarbeitung, Kategorien betroffener Personen und Daten

Art und Zweck: Erhebung, Speicherung, Organisation, Auswertung, Übermittlung und Löschung personenbezogener Daten zum Zweck der Bereitstellung der vertraglich vereinbarten Page.io-Leistungen.

Kategorien betroffener Personen:

• Interessenten und potenzielle Kunden des Verantwortlichen (Leads aus Landingpages);
• Beschäftigte und Ansprechpartner des Verantwortlichen, die die Plattform nutzen.

Kategorien personenbezogener Daten:

• Kontaktdaten (Name, E-Mail-Adresse, Telefonnummer, Firma);
• Login- und Nutzungsdaten (inkl. Passwort-Hash);
• Kampagnen-, Performance- und Statistikdaten;
• Inhalte von Anfragen aus Landingpages (Leads).

Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO sind nicht Gegenstand des Auftrags.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich insbesondere:

• Weisungsgebundenheit: personenbezogene Daten ausschließlich im Rahmen der Auftragserteilung und nach dokumentierten Weisungen des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO). Ist er der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, teilt er dies dem Verantwortlichen unverzüglich mit.
• Vertraulichkeit: sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO).
• Technische und organisatorische Maßnahmen (TOMs): die nach Art. 32 DSGVO erforderlichen Maßnahmen zu treffen und aufrechtzuerhalten (siehe Ziffer 5).
• Unterstützung: den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–22 DSGVO) sowie bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung) im Rahmen des Möglichen zu unterstützen.
• Meldung von Datenschutzverletzungen: den Verantwortlichen unverzüglich zu informieren, wenn ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird.
• Nachweis: dem Verantwortlichen die zur Kontrolle der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung zu stellen.

4. Sub-Auftragsverarbeiter

Der Verantwortliche stimmt der Beauftragung der nachfolgend genannten Sub-Auftragsverarbeiter zu. Der Auftragsverarbeiter stellt durch vertragliche Vereinbarungen sicher, dass diese den Anforderungen der DSGVO entsprechende Datenschutzpflichten einhalten (Art. 28 Abs. 4 DSGVO).

Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Sub-Auftragsverarbeitern. Der Verantwortliche kann einer Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Soweit eine Verarbeitung in einem Drittland erfolgt, werden geeignete Garantien nach Art. 44 ff. DSGVO (insbesondere Standardvertragsklauseln) sichergestellt.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft insbesondere die folgenden technischen und organisatorischen Maßnahmen zur Gewährleistung eines dem Risiko angemessenen Schutzniveaus:

• Verschlüsselung: Transportverschlüsselung (TLS) für sämtliche Datenübertragungen sowie Verschlüsselung gespeicherter Daten (Encryption at Rest) auf Ebene der Datenbank und des Hostings.
• Zugriffskontrolle: rollenbasierte Berechtigungskonzepte, Beschränkung des Datenzugriffs auf befugte Personen nach dem Prinzip der geringstmöglichen Rechte.
• Passwortsicherheit: Speicherung von Passwörtern ausschließlich als sicherer Hash (bcrypt), keine Klartextspeicherung.
• Mandantentrennung: logische Trennung der Daten verschiedener Kunden, sodass ein Zugriff jeweils nur auf die Daten des eigenen Mandanten möglich ist.
• Datensicherung: regelmäßige Backups der Datenbank zur Sicherstellung der Verfügbarkeit und Wiederherstellbarkeit.
• Protokollierung und Sicherheitsupdates: Protokollierung sicherheitsrelevanter Ereignisse sowie zeitnahes Einspielen von Sicherheitsaktualisierungen.

6. Rechte und Kontrollbefugnisse des Verantwortlichen

Der Verantwortliche ist berechtigt, sich von der Einhaltung der in diesem Vertrag festgelegten technischen und organisatorischen Maßnahmen zu überzeugen. Der Auftragsverarbeiter stellt hierzu die erforderlichen Informationen und Nachweise (z. B. Beschreibungen der TOMs, Testate oder Zertifizierungen, soweit vorhanden) zur Verfügung. Vor-Ort- oder sonstige Kontrollen sind rechtzeitig anzukündigen, auf das erforderliche Maß zu beschränken und so durchzuführen, dass der Geschäftsbetrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigt wird.

7. Weisungen

Weisungen erfolgen grundsätzlich in Textform oder über die dafür vorgesehenen Funktionen der Plattform. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Der Auftragsverarbeiter führt Weisungen nur im Rahmen des vereinbarten Leistungsumfangs aus; über den Leistungsumfang hinausgehende Weisungen können eine gesonderte Vergütung auslösen.

8. Löschung und Rückgabe nach Vertragsende

Nach Beendigung des Auftrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht. Bestehende gesetzliche Aufbewahrungspflichten bleiben unberührt; insoweit werden die Daten gesperrt und nach Ablauf der Fristen gelöscht. Auf Verlangen weist der Auftragsverarbeiter die Löschung in geeigneter Weise nach.

Von der Löschung ausgenommen sind vollständig anonymisierte, aggregierte Daten (Benchmarks/Statistiken ohne Personen- und Kundenbezug), die der Auftragsverarbeiter aus der Verarbeitung ableitet. Da sie keinen Personenbezug mehr aufweisen, unterfallen sie nicht der DSGVO; der Auftragsverarbeiter darf sie über das Vertragsende hinaus zur Verbesserung und zum Leistungsvergleich seines Dienstes weiterverwenden (vgl. die entsprechende Regelung im Hauptvertrag/AGB).

9. Haftung

Für die Haftung der Parteien gelten die Regelungen des Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags. Im Verhältnis der Parteien untereinander bleibt die im Hauptvertrag vereinbarte Haftungsbeschränkung maßgeblich, soweit sie zwingenden gesetzlichen Vorgaben nicht widerspricht.

10. Schlussbestimmungen

Änderungen und Ergänzungen dieses AV bedürfen der Textform. Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, so wird die Wirksamkeit der übrigen Bestimmungen hiervon nicht berührt; an die Stelle der unwirksamen Bestimmung tritt eine Regelung, die dem verfolgten Zweck datenschutzrechtlich und wirtschaftlich am nächsten kommt. Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem AV und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieses AV vor.

Stand: Juli 2026.