Auftragsverarbeitungsvertrag
gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO) · gültig ab 2026-10-09
Verantwortlicher: der Kunde des Dienstes SiteVelox (Website-Betreiber), wie bei der Anmeldung angegeben.
Auftragsverarbeiter: RealDropHunt Labs Ltd, 71-75 Shelton Street, Covent Garden, London WC2H 9JQ, United Kingdom, info@sitevelox.com.
Vertreter des Auftragsverarbeiters in der EU (Art. 27 DSGVO): Matevž Filej, Trg vstaje 8, 2342 Ruše, Slovenia.
Dieser Vertrag kommt durch Zustimmung bei der Anmeldung zustande und ist Bestandteil der AGB. Auf Wunsch stellt der Auftragsverarbeiter ihn auch zur Unterschrift bereit.
1. Gegenstand, Art und Zweck
Im Auftrag des Verantwortlichen leitet der Auftragsverarbeiter den Verkehr der Besucher der Website des Verantwortlichen an dessen Server weiter und optimiert und speichert öffentliche Website-Inhalte zwischen (Dienst SiteVelox). Die Verarbeitung dauert so lange wie das Abonnement.
2. Datenarten und betroffene Personen
- Betroffene: Besucher der Website des Verantwortlichen.
- Daten: IP-Adresse, Anfragedaten (Seitenadresse, Browser, Sprache, Bildschirmgröße), Cookies und Formularinhalte auf dem Weg zum Server des Verantwortlichen.
- Besondere Kategorien personenbezogener Daten verarbeitet der Auftragsverarbeiter nicht gezielt; erhebt die Website sie, werden sie nur weitergeleitet.
3. Umgang mit den Daten
- Besucherdaten werden nur weitergeleitet, nicht gespeichert und nicht für eigene Zwecke verwendet.
- Zwischengespeichert werden nur öffentliche Seiteninhalte. Anfragen mit Login, Warenkorb, Sitzung, Admin-Bereich und Formularübermittlungen gehen immer direkt an den Server des Verantwortlichen und werden nie zwischengespeichert.
- Die IP-Adresse des Besuchers wird an den Server des Verantwortlichen übergeben (Header X-Forwarded-For), damit dieser eigene Sicherheitsmaßnahmen anwenden kann.
- Anonyme Geschwindigkeitsmessungen und JavaScript-Fehlerzahlen (Seitenpfad, Gerätetyp, Zeiten) werden erfasst; sie enthalten keine IP-Adressen, Cookies oder sonstige Kennungen und werden 35 Tage gespeichert. Die Zuordnung zur Vergleichsgruppe (Originalseite) nutzt einen nicht gespeicherten Einweg-Hash aus IP-Adresse und Browser.
- Technische Protokolle der Infrastruktur (zur Fehlerbehebung) werden höchstens 7 Tage gespeichert. Die Eingangsserver führen keine Zugriffsprotokolle.
4. Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen; dieser Vertrag und die Diensteinstellungen sind diese Weisungen.
- Personen mit Systemzugriff sind zur Vertraulichkeit verpflichtet.
- Umsetzung der technischen und organisatorischen Maßnahmen gemäß Anhang.
- Unterstützung des Verantwortlichen bei Anfragen Betroffener und bei Pflichten nach Art. 32–36 DSGVO.
- Meldung einer Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis.
- Löschung aller Daten zur Website des Verantwortlichen innerhalb von 30 Tagen nach Ende des Abonnements.
- Bereitstellung der zum Nachweis erforderlichen Informationen und Ermöglichung von Prüfungen in angemessenem Umfang mit mindestens 30 Tagen Vorankündigung.
5. Unterauftragsverarbeiter
Der Verantwortliche genehmigt allgemein die folgenden Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail; der Verantwortliche kann widersprechen und kostenfrei kündigen.
| Unterauftragsverarbeiter | Leistung | Standort und Garantie |
|---|---|---|
| Cloudflare, Inc. | Netz zur Weiterleitung, Optimierung und Zwischenspeicherung des Verkehrs | global (dem Besucher nächster Standort); USA – EU-US Data Privacy Framework und Standardvertragsklauseln |
| OVH SAS | Eingangsserver für die Hauptdomain, Seitenvorbereitung | EU |
Anhang: technische und organisatorische Maßnahmen
- Verschlüsselung aller Verbindungen (TLS) zwischen Besucher, Netz des Auftragsverarbeiters und Server des Verantwortlichen.
- Serverzugriff nur mit SSH-Schlüsseln; Passwort-Login deaktiviert; Firewall lässt nur notwendige Ports zu; automatische Sicherheitsupdates.
- Interne Verbindungen zwischen Systemkomponenten sind mit geheimen Schlüsseln geschützt.
- Cache nach Domain getrennt; persönliche Inhalte werden nie zwischengespeichert; Sicherheits-Header des Verantwortlichen bleiben erhalten.
- Bei einem Fehler des Dienstes werden Anfragen an den Server des Verantwortlichen weitergeleitet (kein Verlust von Besucherdaten).
- Prinzip der minimalen Rechte und regelmäßige Überprüfung der Zugriffe.