Auftragsverarbeitungsvertrag (AVV)

Parteien

Auftragsverarbeiter (nachfolgend „Verarbeiter"):
Pfadfindr — Inhaber Mattis Vahldieck, Nymphenburger Str. 3, 10825 Berlin, E-Mail: hallo@pfadfindr.com.

Verantwortlicher (nachfolgend „Verantwortlicher" / „Kunde"): der Inhaber des annehmenden Pfadfindr-Kontos (Firma, Anschrift und Vertretungsberechtigte:r gemäß den im Account hinterlegten Angaben).

Der Verantwortliche nutzt die SaaS-Anwendung von Pfadfindr zur Analyse eigener bzw. von ihm beauftragter Websites (Suchmaschinenoptimierung, Sichtbarkeit in KI-Suchsystemen und Barrierefreiheit). Dabei verarbeitet der Verarbeiter personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen. Dieser AVV konkretisiert die Pflichten nach Art. 28 DSGVO und ist Bestandteil des Hauptvertrags (Nutzungsvertrag / AGB).

1. Gegenstand, Art, Zweck, Dauer (Art. 28 Abs. 3 S. 1)

• Gegenstand: Crawlen und Analysieren von Websites über die Pfadfindr-Plattform, ihre Schnittstellen und das WordPress-Plugin von Pfadfindr, als SEO- & GEO-Audit (Suchmaschinenoptimierung und Sichtbarkeit in KI-Suchsystemen) oder als Barrierefreiheits-Audit, einschließlich wiederkehrender Audits (Monitoring).
• Art der Verarbeitung: Erheben, Speichern, Auslesen, Auswerten, Löschen (automatisiertes Crawling, Darstellung ausgewählter Seiten in einem Browser (Barrierefreiheits-Audit), Analyse, Reporting).
• Zweck: Erstellung technischer/inhaltlicher Audits (SEO & GEO bzw. Barrierefreiheit) im Auftrag des Verantwortlichen.
• Dauer: Für die Laufzeit des Hauptvertrags; endet mit dessen Beendigung (siehe Ziff. 9).

2. Art der Daten & Kategorien Betroffener (Art. 28 Abs. 3 S. 1)

• Datenarten: In gecrawlten URLs und HTML-Inhalten potenziell enthaltene personenbezogene Daten (z. B. Namen, E-Mail-Adressen, Telefonnummern in Impressen/Kontaktseiten/Kommentaren), Metadaten, ggf. Screenshots; sowie Kontodaten des Verantwortlichen (Name, E-Mail).
• Kategorien Betroffener: Beschäftigte, Kund:innen, Interessent:innen und sonstige auf den analysierten Websites genannte natürliche Personen; Nutzer:innen des Verantwortlichen-Accounts.

3. Weisungsbindung (Art. 28 Abs. 3 lit. a)

Der Verarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Als Weisung gilt die Auswahl der zu crawlenden Domains und der aktivierten Analyse-Disziplinen durch den Verantwortlichen in der Anwendung, über ihre Schnittstellen oder über das WordPress-Plugin von Pfadfindr. Ein Audit, das mit einem dem Konto des Verantwortlichen zugeordneten Schlüssel (z. B. Plugin- oder API-Schlüssel) gestartet wird, gilt als Weisung des Verantwortlichen. Der Verantwortliche sorgt dafür, dass nur befugte Personen solche Schlüssel nutzen können, und widerruft sie im Account, wenn das nicht mehr gewährleistet ist. Über das WordPress-Plugin werden nur die Domain und der Schlüssel übermittelt, keine Daten von Besuchern der Website. Weisungen außerhalb der Anwendung erfolgen in Textform an hallo@pfadfindr.com. Hält der Verarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

Der Verarbeiter darf aus den Auftragsdaten zusammengefasste, anonyme Kennzahlen bilden (z. B. Anzahl der Audits, Verteilung der Scores, Häufigkeit einzelner Befunde), um den Dienst zu verbessern. Diese enthalten weder Domains noch URLs oder personenbezogene Daten und lassen keinen Rückschluss auf den Verantwortlichen oder Betroffene zu. Darüber hinaus verarbeitet der Verarbeiter die Auftragsdaten nicht für eigene Zwecke, insbesondere nicht für Werbung oder Vertrieb.

4. Vertraulichkeit (Art. 28 Abs. 3 lit. b)

Der Verarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind bzw. einer gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Technisch-organisatorische Maßnahmen (Art. 28 Abs. 3 lit. c, Art. 32)

Der Verarbeiter trifft angemessene technisch-organisatorische Maßnahmen (TOMs) zum Schutz der Daten (u. a. TLS-Verschlüsselung in der Übertragung, Zugriffsbeschränkung auf das erforderliche Maß, bcrypt-Passwort-Hashing, Hosting in Deutschland). Änderungen dürfen das Schutzniveau nicht unterschreiten.

6. Sub-Auftragsverarbeiter (Art. 28 Abs. 2 & 4, lit. d)

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Beauftragung der gelisteten Sub-Auftragsverarbeiter (Hosting, E-Mail-Versand, Zahlungsabwicklung, optionale KI-Funktion). Eine aktuelle Übersicht der Sub-Auftragsverarbeiter und Drittlandübermittlungen finden Sie in der Datenschutzerklärung (Abschnitt 11). Der Verarbeiter informiert über beabsichtigte Änderungen und räumt ein Widerspruchsrecht (Frist: 14 Tage) ein. Sub-Auftragsverarbeiter werden vertraglich auf dasselbe Schutzniveau verpflichtet („flow-down").

7. Unterstützung bei Betroffenenrechten (Art. 28 Abs. 3 lit. e)

Der Verarbeiter unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

8. Unterstützung bei Sicherheit & Meldepflichten (Art. 28 Abs. 3 lit. f, Art. 32–36)

Der Verarbeiter unterstützt bei der Einhaltung von Art. 32 (Sicherheit), Art. 33/34 (Meldung von Datenschutzverletzungen — unverzüglich, spätestens 48 h nach Kenntnis) und Art. 35/36 (DSFA, vorherige Konsultation).

9. Löschung / Rückgabe (Art. 28 Abs. 3 lit. g)

Nach Beendigung löscht der Verarbeiter alle personenbezogenen Daten bzw. gibt sie nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Crawl-Ergebnisse unterliegen der Retention-Policy (automatische Löschung 90 Tage nach dem Crawl; siehe Datenschutzerklärung, Abschnitt 12).

10. Nachweise & Kontrollen (Art. 28 Abs. 3 lit. h)

Der Verarbeiter stellt dem Verantwortlichen die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen (auch vor Ort, mit angemessener Vorankündigung) bzw. trägt zu diesen bei.

11. Drittlandübermittlung (Art. 44 ff.)

Soweit Sub-Auftragsverarbeiter Daten in Drittländer übermitteln, erfolgt dies nur auf Grundlage geeigneter Garantien (EU-US Data Privacy Framework bzw. Standardvertragsklauseln/SCCs). Drittland-Dienste (z. B. KI-Advisor via xAI, Google PageSpeed Insights) sind in der Anwendung als zustimmungspflichtig gekennzeichnet.

12. Form & Schlussbestimmungen (Art. 28 Abs. 9)

Dieser AVV bedarf der Schriftform; die elektronische Form (Textform / Click-Accept) ist ausreichend. Es gilt deutsches Recht. Bei Widersprüchen zwischen Hauptvertrag und AVV geht dieser AVV in datenschutzrechtlichen Fragen vor.

Die elektronische Zustimmung erfolgt über Ihren Account unter „Datenschutz" oder beim Verbinden des WordPress-Plugins und wird mit Datum, IP und Version protokolliert.