Auftragsverarbeitungsvertrag

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem (im Folgenden „Kunde“) und

Steven Braun
widgetfuchs
Voltastraße 1
30165 Hannover
Deutschland
E-Mail: info@stevenbraun.de

als Auftragsverarbeiter (im Folgenden „Auftragsverarbeiter“).

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Kunden die Leistungen von widgetfuchs nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag). Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag regelt die Pflichten beider Seiten dafür.

Der Vertrag gilt, solange der Hauptvertrag besteht, und darüber hinaus, solange der Auftragsverarbeiter Daten des Kunden verarbeitet.

§ 2 Art, Zweck, Datenarten und betroffene Personen

Auslieferung der Widgets

Zweck: Auslieferung der Widget-Dateien an Besucher der Website des Kunden und Zählung der Aufrufe für die Grenzen des Plans.
Betroffene Personen: Besucher der Website des Kunden.
Datenarten: IP-Adresse, Datum und Uhrzeit, abgerufene Datei und Browserangaben (User-Agent) in den Server-Protokollen des CDN.
Art der Verarbeitung: Auslieferung über das CDN; einmal täglich Auslesen der abgerufenen Dateien aus den Protokollen und Speichern der Zahl der Aufrufe je Widget und Tag. IP-Adressen speichert der Auftragsverarbeiter nicht.

Bewertungen und Instagram-Beiträge

Zweck: Anzeige der Bewertungen des vom Kunden verbundenen Google-Profils bzw. der Beiträge des vom Kunden verbundenen Instagram-Kontos im Widget auf der Website des Kunden.
Betroffene Personen: Verfasser von Bewertungen, Inhaber, die auf Bewertungen antworten, und Personen, die auf Bildern in Bewertungen oder Beiträgen zu sehen sind.
Datenarten: angezeigter Name, Profilfoto, Sterne, Text, Datum und Fotos einer Bewertung, Antwort des Inhabers; bei Instagram Bild bzw. Vorschaubild, Beschriftung, Datum und Link eines Beitrags.
Art der Verarbeitung: Abruf der öffentlich zugänglichen Inhalte (Abgleich), Speichern, Kopieren der Bilder auf den Speicher des CDN, Erstellen und Ausliefern der Widget-Datei, Entfernen von Inhalten, die bei der Quelle nicht mehr erscheinen.

Verbinden mehrere Kunden dasselbe Profil oder Konto, ruft der Auftragsverarbeiter es aus technischen Gründen nur einmal ab und speichert es nur einmal. Er nutzt die Daten nicht für eigene Zwecke.

§ 3 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch bei der Übermittlung in ein Drittland, es sei denn, er ist durch das Recht der Union oder eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Kunden diese Pflicht vor der Verarbeitung mit, soweit das Recht dies nicht verbietet.

Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen, die der Kunde im Dashboard vornimmt, insbesondere das Verbinden eines Profils oder Kontos und die Filter eines Widgets. Weitere Weisungen erteilt der Kunde per E-Mail.

Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt, informiert er den Kunden unverzüglich.

§ 4 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

Der Kunde genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

Bunny.net (BunnyWay d.o.o., Slowenien): CDN und Speicher für Widget-Dateien und kopierte Bilder, Auslieferung an Besucher.
Apify (Apify Technologies s.r.o., Tschechien): Abruf der öffentlichen Bewertungen und Instagram-Beiträge. Verarbeitung laut Apify auch in den USA und anderen Ländern möglich; Grundlage sind Standardvertragsklauseln.
Supabase (Supabase Inc., USA): Datenbank, Region Frankfurt am Main. Grundlage für eine Verarbeitung außerhalb der EU sind Standardvertragsklauseln.
Cloudflare (Cloudflare, Inc., USA): Betrieb des Dashboards und der Verarbeitung auf dem Server. Grundlage sind das EU-US Data Privacy Framework und Standardvertragsklauseln.

Der Auftragsverarbeiter erteilt dem Kunden eine allgemeine Genehmigung für weitere Unterauftragsverarbeiter in folgender Form: Er informiert den Kunden vorab per E-Mail über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Kunde kann innerhalb von 14 Tagen nach Zugang widersprechen. Einigen sich die Parteien nicht, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem Vertrag festgelegt sind. Er haftet gegenüber dem Kunden für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

Stripe und Link sind keine Unterauftragsverarbeiter; sie verarbeiten die Zahlungsdaten des Kunden als eigene Verantwortliche.

§ 7 Unterstützung bei den Rechten betroffener Personen

Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anträge betroffener Personen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit zu beantworten. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Kunden weiter, soweit sie sich dem Kunden zuordnen lässt. Verlangt ein Bewerter, dass seine Bewertung, sein Name oder sein Foto nicht mehr gezeigt wird, nimmt der Auftragsverarbeiter diese Inhalte nach Absprache mit dem Kunden aus dem Widget.

§ 8 Unterstützung bei Sicherheit, Meldungen und Folgenabschätzung

Der Auftragsverarbeiter unterstützt den Kunden bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen. Eine Verletzung des Schutzes personenbezogener Daten meldet er dem Kunden unverzüglich, nachdem sie ihm bekannt geworden ist, mit den Angaben, die der Kunde für seine eigene Meldung braucht.

§ 9 Löschung nach Vertragsende

Nach Ende der Leistungen löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten des Kunden, soweit nicht eine Pflicht zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats besteht. Löscht der Kunde sein Konto, entfernt der Auftragsverarbeiter die Widget-Dateien vom CDN und löscht die Widgets des Kunden und die Zahlen seiner Aufrufe. Bewertungen und Beiträge eines Profils oder Kontos, das auch Widgets anderer Kunden nutzen, bleiben für diese gespeichert.

Verlangt der Kunde vor Vertragsende eine Herausgabe der Daten, stellt der Auftragsverarbeiter sie ihm in einem gängigen Format per E-Mail bereit.

§ 10 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Kunden alle Informationen bereit, die nötig sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen, und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer. Der Kunde kündigt Inspektionen mit angemessener Frist an; sie finden zu den üblichen Geschäftszeiten statt, ohne den Betrieb unverhältnismäßig zu stören. Als Nachweis kann der Auftragsverarbeiter auch Selbstauskünfte und Unterlagen seiner Unterauftragsverarbeiter vorlegen.

§ 11 Schlussbestimmungen

Dieser Vertrag wird zusammen mit dem Hauptvertrag elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Für die Haftung gilt der Hauptvertrag, soweit Art. 82 DSGVO nichts anderes bestimmt.

Anlage: Technische und organisatorische Maßnahmen

Vertraulichkeit

Zugang zum Dashboard nur nach Anmeldung über einen Link, der an die E-Mail-Adresse des Kunden geschickt wird; der Link führt nur zur festen Adresse des Dashboards.
Trennung der Daten je Kunde durch Row Level Security in der Datenbank: Ein Kunde kann nur die Daten seiner eigenen Widgets lesen.
Schreibzugriffe auf Profile, Bewertungen, Beiträge, Abo-Daten und Aufrufe nur über die Server-Rolle; Kunden können diese Daten nicht selbst ändern.
Zugangsschlüssel zu den Diensten liegen nur in den Einstellungen der jeweiligen Anbieter, nicht im Quellcode.

Integrität

Alle Verbindungen zwischen Browser, Dashboard, Datenbank, CDN und den Diensten sind per TLS verschlüsselt.
Meldungen von Stripe und Apify an den Server werden nur angenommen, wenn ihre Signatur bzw. ihr Geheimnis stimmt.

Verfügbarkeit und Belastbarkeit

Die Widgets werden als fertige Dateien vom CDN ausgeliefert und funktionieren auch, wenn das Dashboard nicht erreichbar ist.
Schlägt ein Abgleich fehl, bleibt der letzte erfolgreiche Stand im Widget.

Datenminimierung

Keine Speicherung von IP-Adressen der Besucher; gespeichert wird nur die Zahl der Aufrufe je Widget und Tag.
Die Widgets setzen keine Cookies und nutzen keinen Speicher im Browser der Besucher.
Inhalte, die bei der Quelle nicht mehr erscheinen, werden beim nächsten Abgleich aus dem Widget genommen.

Überprüfung

Der Auftragsverarbeiter prüft diese Maßnahmen regelmäßig und passt sie an, wenn sich Technik oder Risiken ändern.

Stand: 12.10.2026