Auftragsverarbeitungsvertrag

Art. 28 DSGVO · InfoPeak Analytics · Dokument analytics-v1.0

1.Gegenstand und Dauer

Dieser Auftragsverarbeitungsvertrag („Vertrag“) regelt die Verarbeitung personenbezogener Daten durch InfoPeak („Auftragsverarbeiter“) im Auftrag von dem bei der Annahme genannten Kunden („Verantwortlicher“) im Zusammenhang mit InfoPeak Analytics, dem Statistikdienst, den der Verantwortliche auf von ihm betriebenen Websites einbindet.

Der Vertrag gilt für jede Website, die unter dem Konto, von dem aus er akzeptiert wurde, in InfoPeak Analytics registriert ist, einschließlich später hinzugefügter Websites. Er tritt mit der elektronischen Annahme in Kraft und gilt, solange der Auftragsverarbeiter auf seiner Grundlage personenbezogene Daten verarbeitet, vorbehaltlich Abschnitt 11.

Der Vertrag betrifft ausschließlich InfoPeak Analytics. Für die InfoPeak-Produktivitätssuite gilt ein gesonderter Auftragsverarbeitungsvertrag.

2.Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich, um dem Verantwortlichen InfoPeak Analytics bereitzustellen, und nur auf dessen dokumentierte Weisung. Weisungen sind dieser Vertrag und die Einstellungen, die der Verantwortliche für jede Website wählt. Die Verarbeitung umfasst:

• die Entgegennahme der Seitenaufrufe und Ereignisse, die das Skript von InfoPeak Analytics von den Websites des Verantwortlichen sendet;
• die Zurückweisung von Anfragen von Domains, die für die Website nicht registriert sind, sowie von erkanntem automatisiertem Datenverkehr;
• die Ermittlung des Landes des Besuchers, der Gerätekategorien und einer täglichen Besucherkennung sowie die Zusammenfassung von Seitenaufrufen zu Besuchen gemäß Abschnitt 3;
• die Speicherung der so entstehenden Einträge und ihre Darstellung als zusammengefasste Berichte im Konto des Verantwortlichen;
• die Löschung der Einträge nach Ablauf der für die Website festgelegten Aufbewahrungsfrist.

Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke, führt keine Daten verschiedener Websites oder verschiedener Kunden zusammen, bildet keine Besucherprofile und verkauft oder übermittelt die Daten nicht.

3.Art der personenbezogenen Daten

• Je Seitenaufruf: die Seitenadresse ohne Abfrageteil und Fragment, der Hostname der Website, die Domain der verweisenden Website, Kampagnenparameter aus der Adresse (utm_source, utm_medium, utm_campaign, utm_content, utm_term), die Besucherkennung, der Zeitpunkt sowie wie lange die Seite im Blick war und wie weit gescrollt wurde.
• Je Besuch (Seitenaufrufe mit weniger als 30 Minuten Abstand): Einstiegs- und Ausstiegsseite, das Land des Besuchers, die Browsersprache als Sprachcode, Gerätetyp, Browserfamilie und Betriebssystem sowie ein Bereich der Bildschirmbreite.
• Je Ereignis: der Ereignisname, den der Verantwortliche vorab registriert, die Seitenadresse, etwaige Ereigniseigenschaften, die der Verantwortliche übermittelt (höchstens 4 KB), die Besucherkennung und der Zeitpunkt. Automatische Ereignisse werden ohne Registrierung erfasst und enthalten nur feste Eigenschaften: Klicks auf Links zu anderen Websites (der Zielhost), Dateidownloads (Dateiname und Endung), Scrollen bis 90 % einer Seite und, nur wenn der Verantwortliche es einschaltet, die Websitesuche (der Suchbegriff, höchstens 100 Zeichen).

Die Besucherkennung ist ein SHA-256-Wert, der auf dem Server des Auftragsverarbeiters aus der IP-Adresse des Besuchers, der User-Agent-Kennung des Browsers, der Website und dem Datum (UTC) zusammen mit einem geheimen, nie offengelegten Wert berechnet wird. Sie wechselt um Mitternacht UTC und ist für jede Website verschieden. IP-Adresse und User-Agent-Kennung werden nur im Arbeitsspeicher verwendet, um die Kennung, das Land und die Gerätekategorien zu berechnen und automatisierten Datenverkehr zu erkennen. Sie werden nicht gespeichert, und die Bildschirmbreite wird nur als Bereich gespeichert.

4.Kategorien betroffener Personen

Besucher der Websites, die der Verantwortliche in InfoPeak Analytics registriert hat.

5.Pflichten des Verantwortlichen

• Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich der Rechtsgrundlage für die Messung und der Information der Besucher in seiner eigenen Datenschutzerklärung.
• Der Verantwortliche nimmt keine personenbezogenen Daten wie Namen, E-Mail-Adressen oder Kundennummern in Seitenadressen, Ereignisnamen oder Ereigniseigenschaften auf. Abfrageteile werden bis auf Kampagnenparameter automatisch entfernt; Seitenpfade und Ereigniseigenschaften werden so gespeichert, wie sie übermittelt werden.
• Schaltet der Verantwortliche die Websitesuche ein, ist er dafür verantwortlich, die Besucher darüber zu informieren, dass auf seiner Website eingegebene Suchbegriffe erfasst werden.
• Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

6.Pflichten des Auftragsverarbeiters

InfoPeak verpflichtet sich,

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet, und den Verantwortlichen zu informieren, falls eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt;
• sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
• die technischen und organisatorischen Maßnahmen nach Abschnitt 7 gemäß Art. 32 DSGVO umzusetzen;
• den Verantwortlichen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO gemäß Abschnitt 10 zu unterstützen;
• den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen;
• den Verantwortlichen unverzüglich zu benachrichtigen, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Verantwortlichen betrifft;
• alle Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO bereitzustellen und Überprüfungen nach Abschnitt 12 zu ermöglichen und dazu beizutragen.

7.Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft folgende Maßnahmen:

• Datenminimierung durch Gestaltung: Weder IP-Adresse noch User-Agent-Kennung werden gespeichert, und da die Besucherkennung täglich wechselt und je Website verschieden ist, lassen sich Besuche nicht über Tage, Websites oder Kunden hinweg verknüpfen.
• Auf dem Gerät des Besuchers wird nichts gespeichert: Das Skript setzt keine Cookies und nutzt keinen lokalen Speicher. Sendet der Browser ein Do-Not-Track-Signal, sendet das Skript nichts.
• Der Server, der die Besuche entgegennimmt, führt kein Zugriffsprotokoll mit IP-Adressen von Besuchern, und seine Fehlerprotokolle erfassen keine Client-IP-Adressen.
• Das Land wird in einer Datenbankdatei auf den eigenen Servern des Auftragsverarbeiters ermittelt; es wird keine Anfrage zum Besucher an Dritte gesendet.
• InfoPeak Analytics hat eine eigene Datenbank. Die Anwendung greift darauf über einen Datenbanknutzer zu, der nur Einträge in dieser Datenbank lesen, schreiben und löschen darf und keinen Zugriff auf die Daten der InfoPeak-Produktivitätssuite hat.
• Domainbindung: Einträge werden nur von den für die Website registrierten Domains angenommen.
• Berichte sind nur über das angemeldete Konto des Verantwortlichen abrufbar, und jede Anfrage wird gegen die Inhaberschaft der Website geprüft.
• Das Einbettungs-Snippet lädt das Skript über HTTPS, das Skript sendet Besuche über HTTPS, und das Konto wird über HTTPS bereitgestellt.
• Ein nächtlicher Vorgang löscht Einträge, die älter als die für die Website festgelegte Aufbewahrungsfrist sind.
• Die Server stehen in Rechenzentren in Deutschland, die von der Contabo GmbH betrieben werden.

8.Unterauftragsverarbeiter

Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Für InfoPeak Analytics setzt der Auftragsverarbeiter derzeit einen ein: Contabo GmbH, Deutschland, für den Betrieb der Server und der Datenbank. Die aktuelle Liste der Unterauftragsverarbeiter aller InfoPeak-Dienste mit Aufgaben und Standorten wird unter infopeak.io/privacy geführt.

Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage, bevor er einen neuen Unterauftragsverarbeiter für InfoPeak Analytics beauftragt. Der Verantwortliche kann innerhalb dieser Frist schriftlich an legal@infopeak.io widersprechen; lässt sich der Widerspruch nicht ausräumen, kann der Verantwortliche die Verarbeitung durch Löschen seiner Websites beenden.

Jeder Unterauftragsverarbeiter ist an Datenschutzpflichten gebunden, die denen dieses Vertrags gleichwertig sind, und der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für seine Unterauftragsverarbeiter.

Die Zahlung für einen kostenpflichtigen Tarif wird nach den Nutzungsbedingungen von InfoPeak über Stripe abgewickelt. Sie betrifft den Verantwortlichen als Kunden und nicht die Besucher seiner Websites und fällt nicht unter diesen Vertrag.

9.Übermittlung in Drittländer

Besucherdaten werden auf Servern in Deutschland gespeichert und verarbeitet und nicht in ein Land außerhalb des Europäischen Wirtschaftsraums übermittelt. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor jeder Änderung daran.

10.Rechte betroffener Personen

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Beantwortung von Anträgen nach Art. 12 bis 22 DSGVO. Anträge, die der Auftragsverarbeiter direkt von Besuchern erhält, leitet er innerhalb von 72 Stunden an den Verantwortlichen weiter, soweit sich der Verantwortliche aus dem Antrag erkennen lässt.

Da keine IP-Adresse gespeichert wird und die Besucherkennung täglich wechselt, kann der Auftragsverarbeiter die gespeicherten Einträge in der Regel keiner bestimmten Person zuordnen. Ermöglicht ein Antrag dies, ermittelt der Auftragsverarbeiter die betreffenden Einträge und löscht sie auf Weisung des Verantwortlichen.

11.Aufbewahrung, Rückgabe und Löschung

• Einträge werden für die für jede Website festgelegte Aufbewahrungsfrist gespeichert, 13 Monate, sofern nichts anderes vereinbart ist, und danach automatisch gelöscht.
• Löscht der Verantwortliche eine Website, werden ihre Einträge gleichzeitig gelöscht.
• Wird das InfoPeak-Konto des Verantwortlichen geschlossen, werden seine Websites und ihre Einträge innerhalb von 30 Tagen gelöscht.
• Vor dem Löschen einer Website kann der Verantwortliche schriftlich an legal@infopeak.io einen Export der gespeicherten Einträge in einem maschinenlesbaren Format anfordern. Der Export wird innerhalb von 30 Tagen bereitgestellt.
• Die Löschung umfasst alle Kopien beim Auftragsverarbeiter, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats eine Aufbewahrung vorschreibt.

12.Überprüfungen

Der Verantwortliche kann die Einhaltung dieses Vertrags durch den Auftragsverarbeiter überprüfen, auch durch Inspektionen, nach angemessener Vorankündigung, während der üblichen Geschäftszeiten und auf eigene Kosten, oder durch einen zur Vertraulichkeit verpflichteten unabhängigen Prüfer. Der Auftragsverarbeiter wirkt mit und stellt die vernünftigerweise erforderlichen Informationen bereit.

13.Haftung

Jede Partei haftet für Schäden, die durch eine gegen die DSGVO oder diesen Vertrag verstoßende Verarbeitung entstehen, nach Maßgabe von Art. 82 DSGVO. Im Übrigen gelten die Haftungsbeschränkungen der Nutzungsbedingungen von InfoPeak.

14.Anwendbares Recht und Sprache

Dieser Vertrag unterliegt dem Recht Dänemarks und der Europäischen Union. Für Streitigkeiten sind die Gerichte Dänemarks zuständig, unbeschadet der Rechte betroffener Personen, der Befugnisse der Aufsichtsbehörden und zwingender Vorschriften, die im Land des Verantwortlichen gelten.

Der Vertrag liegt in englischer und deutscher Sprache vor. Beide Fassungen haben denselben Inhalt; bei Abweichungen geht die englische Fassung vor.