Entwurf: Markierte Angaben sind Platzhalter. Der Text ist noch nicht rechtlich geprüft.

Vertrag zur Auftragsverarbeitung (AVV)

Zwischen dem Kunden (Verantwortlicher, bei Partner-Agenturen: Auftragsverarbeiter ihrer eigenen Kunden) und

[Firmenname inkl. Rechtsform, z. B. EXNODO GmbH]
[Straße und Hausnummer]
[PLZ Ort]
Deutschland

(Auftragsverarbeiter, bei Partner-Agenturen: Unterauftragsverarbeiter).

Der Vertrag gilt mit Abschluss des Nutzungsvertrags und endet mit ihm. Er ergänzt die Nutzungsbedingungen; bei Widersprüchen zum Datenschutz geht dieser Vertrag vor.

1. Gegenstand, Art und Zweck

Der Auftragsverarbeiter stellt RankFaster bereit. Dabei verarbeitet er die Daten, die der Kunde in RankFaster anlegt, hochlädt oder durch verbundene Dienste abruft, ausschließlich zur Erbringung der Leistungen: Analyse von Websites, Planung, Erstellung und Prüfung von Artikeln, Freigabe, Veröffentlichung, Messung und Berichte.

2. Art der Daten und betroffene Personen

• Nutzer des Kunden und Endkunden im Kundenportal: Name, E-Mail-Adresse, Rolle, Anmelde- und Protokolldaten, Kommentare und Freigaben.
• Ansprechpartner beim Kunden bzw. bei dessen Kunden: Name, E-Mail-Adresse, Telefon, Angaben aus dem Briefing.
• Inhalte: Texte, Bilder, Zitate und Angaben zu Personen, die in Briefings, Artikeln oder auf den analysierten Websites vorkommen (z. B. Namen von Mitarbeitern im Team-Bereich).
• Daten verbundener Dienste: Suchanfragen und Kennzahlen aus Search Console und Analytics in zusammengefasster Form, keine Profile einzelner Besucher.

Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen und sollen nicht eingegeben werden.

3. Pflichten des Auftragsverarbeiters

1. Er verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind die Nutzung der Software, die Einstellungen darin und Anweisungen in Textform. Hält er eine Weisung für rechtswidrig, weist er darauf hin.
2. Er verpflichtet alle Personen mit Zugriff auf Vertraulichkeit.
3. Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1.
4. Er unterstützt den Kunden bei Anfragen betroffener Personen, bei Meldungen von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen.
5. Er meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [24 Stunden] nach Kenntnis.
6. Daten werden in der Europäischen Union gespeichert. Eine Verarbeitung in Drittländern erfolgt nur durch die Unterauftragsverarbeiter nach Anlage 2 und nur mit geeigneten Garantien (Art. 44 ff. DSGVO).

4. Unterauftragsverarbeiter

Der Kunde stimmt den Unterauftragsverarbeitern in Anlage 2 zu. Neue oder ersetzte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens [vier Wochen] vorher per E-Mail an; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kommt keine Lösung zustande, kann der Kunde den Vertrag zum Zeitpunkt der Änderung kündigen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Pflichten.

5. Kontrollrechte

Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage nach, vorrangig durch Unterlagen, Berichte oder Zertifikate. Prüfungen vor Ort sind nach Anmeldung mit angemessener Frist während der Geschäftszeiten möglich, höchstens einmal im Jahr, sofern kein konkreter Anlass besteht.

6. Löschung und Rückgabe

Nach Vertragsende kann der Kunde seine Daten [30 Tage] lang exportieren. Danach löscht der Auftragsverarbeiter sie, soweit keine gesetzliche Pflicht zur Speicherung besteht. Aus den Backups verschwinden sie, sobald das letzte Backup mit diesen Daten abläuft, spätestens nach sechs Monaten. Auf Wunsch bestätigt er die Löschung in Textform.

Anlage 1: Technische und organisatorische Maßnahmen

• Ort: Server mit Datenbank und Dateispeicher bei Hostinger in der EU, Rechenzentrum: [Rechenzentrum]. Verschlüsselte Backups bei einem zweiten Anbieter: [Backup-Anbieter].
• Zutritt: Rechenzentren des Hosters mit Zutrittskontrolle und Videoüberwachung; Zertifizierung: [laut Hoster eintragen].
• Zugang: Anmeldung mit Passwort (gespeichert nur als Hash) oder Anmeldelink, optional bzw. für ganze Teams verpflichtend mit Zwei-Faktor-Anmeldung; Begrenzung von Anmeldeversuchen; Server-Zugang nur per SSH-Schlüssel.
• Zugriff: Rollen (z. B. Inhaber, Redaktion, Endkunde mit Freigabe- oder Leserecht); Trennung der Daten jeder Agentur bzw. jedes Unternehmens in der Datenbank per Row-Level-Security; Zugriff des Supports nur befristet, mit Begründung, für den Kunden sichtbar und protokolliert.
• Verschlüsselung: TLS für alle Verbindungen; Zugangsdaten zu Websites und verbundenen Konten mit AES-256-GCM verschlüsselt; Backups mit AES-256 verschlüsselt.
• Eingabekontrolle: Protokoll aller wesentlichen Aktionen (Freigaben, Veröffentlichungen, Änderungen an Zugängen und Rollen) mit Person und Zeitpunkt.
• Verfügbarkeit: tägliche, wöchentliche und monatliche Backups außerhalb des Servers, wöchentlicher automatischer Test der Wiederherstellung, Überwachung mit Alarm.
• Schutz vor fremden Inhalten: Inhalte aus dem Internet werden vor der Verwendung bereinigt und auf eingeschleuste Anweisungen geprüft; Abrufe an interne Adressen sind gesperrt.
• Überprüfung: Die Maßnahmen werden bei Änderungen der Software und mindestens jährlich überprüft.

Anlage 2: Unterauftragsverarbeiter

KI-Anbieter erhalten nur die für die jeweilige Aufgabe nötigen Inhalte. Sie dürfen sie nicht zum Training verwenden. Verbindungen zu Google-Diensten bestehen nur, wenn der Kunde sie selbst herstellt.

Ansprechpartner Datenschutz: [datenschutz@rankfaster.de]

Stand: [TT.MM.JJJJ]