Auftragsverarbeitungsvertrag gemäß Art. 28 DSGVO
Stand: April 2026
Zwischen dem Auftraggeber (nachfolgend „Verantwortlicher“) und der NLTS Global Analytics s.r.o., Malá 43/6, 301 00 Pilsen, CZ (nachfolgend „Auftragsverarbeiter“), Betreiber des Dienstes forensicprivacy.io.
§ 1 Gegenstand und Dauer
(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der forensischen Website-Analyse über den Dienst forensicprivacy.io.
(2) Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags (über die Nutzung des Dienstes). Er endet automatisch mit Beendigung des Hauptvertrags.
§ 2 Art und Zweck der Verarbeitung
(1) Der Auftragsverarbeiter führt technische Analysen von Websites auf Datenschutz-Compliance durch.
(2) Dies umfasst die Erfassung und Auswertung technischer Website-Daten: HTTP-Header, Cookies, Tracker, DNS-Records und TLS-Konfigurationen.
§ 3 Art der personenbezogenen Daten
Folgende Kategorien personenbezogener Daten werden verarbeitet:
Daten des Auftraggebers:
- E-Mail-Adresse
- IP-Adresse (Speicherung für 7 Tage, danach Anonymisierung)
- Aktenzeichen / Scan-Referenzen
Daten der gescannten Website:
Ausschließlich öffentlich zugängliche technische Daten. Es werden keine personenbezogenen Daten Dritter erhoben.
§ 4 Kategorien betroffener Personen
Betroffene Personen sind die Kunden und Nutzer des Dienstes (Auftraggeber und deren Mitarbeiter).
§ 5 Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- Personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO).
- Alle Beschäftigten, die Zugang zu personenbezogenen Daten haben, zur Vertraulichkeit zu verpflichten (Art. 28 Abs. 3 lit. b DSGVO).
- Geeignete technisch-organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen (siehe TOM-Dokumentation).
- Den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Art. 15–22 DSGVO) zu unterstützen.
- Nach Beendigung des Auftrags alle personenbezogenen Daten innerhalb von 30 Tagen zu löschen, sofern keine gesetzliche Aufbewahrungspflicht besteht.
- Kontrollen und Audits durch den Verantwortlichen zu dulden und zu unterstützen.
§ 6 Unterauftragnehmer
(1) Der Verantwortliche genehmigt die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragnehmer. Die aktuelle Liste ist unter forensicprivacy.io/subunternehmer einsehbar.
(2) Der Auftragsverarbeiter informiert den Verantwortlichen vor jeder beabsichtigten Änderung bei den Unterauftragnehmern. Der Verantwortliche kann innerhalb von 30 Tagen Widerspruch einlegen.
§ 7 Drittlandtransfers
(1) Soweit Unterauftragnehmer in Drittländern (insbesondere USA) ansässig sind, erfolgt die Übermittlung auf Grundlage von Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO und/oder eines Angemessenheitsbeschlusses.
(2) Anthropic (AI-gestützte Gutachten): Die Nutzung ist optional und erfolgt nur bei expliziter Aktivierung durch den Verantwortlichen. Ohne Aktivierung werden keine Daten an Anthropic übermittelt.
§ 8 Technisch-Organisatorische Maßnahmen
Der Auftragsverarbeiter setzt technisch-organisatorische Maßnahmen gemäß Art. 32 DSGVO um. Die vollständige Dokumentation ist unter forensicprivacy.io/tom einsehbar.
§ 9 Löschung und Rückgabe
(1) Scan-Ergebnisse werden für 90 Tage aufbewahrt und danach automatisch gelöscht.
(2) IP-Adressen werden nach 7 Tagen anonymisiert.
(3) Auf Wunsch des Verantwortlichen erfolgt die sofortige Löschung aller personenbezogenen Daten.
§ 10 Kontrollrechte
(1) Der Verantwortliche hat das Recht, Audits und Inspektionen durchzuführen oder durch einen beauftragten Prüfer durchführen zu lassen.
(2) Der Auftragsverarbeiter stellt alle relevanten Unterlagen und Informationen für die Prüfung bereit.
(3) Die Kosten für Vor-Ort-Prüfungen trägt der Verantwortliche.
§ 11 Haftung
Die Haftung der Parteien richtet sich nach Art. 82 DSGVO. Jede Partei haftet gegenüber betroffenen Personen für den durch eine nicht DSGVO-konforme Verarbeitung verursachten Schaden gemäß den gesetzlichen Bestimmungen.
§ 12 Schlussbestimmungen
(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Schriftform. Dies gilt auch für die Aufhebung dieses Schriftformerfordernisses.
(2) Es gilt das Recht der Tschechischen Republik. Gerichtsstand ist Pilsen, CZ.
(3) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
Kontakt für Datenschutzanfragen: [email protected]