Auftragsverarbeitung für decivo Analytics

§ 1 Gegenstand und Dauer

Der Auftraggeber nutzt decivo Analytics, um die Nutzung seiner Website zu messen und zu verbessern. Dafür bindet er ein Messskript des Auftragnehmers in seine Website ein. Dieser Vertrag regelt die Verarbeitung personenbezogener Daten, die der Auftragnehmer dabei im Auftrag des Auftraggebers vornimmt.

Der Vertrag gilt, solange der Auftraggeber decivo Analytics für die betreffende Website nutzt, und endet mit der Löschung der Daten nach § 11.

§ 2 Art und Zweck der Verarbeitung

Das Messskript erfasst im Browser der Besucher zusammengefasste Zählwerte (z. B. Seitenaufrufe, Klicks auf Elemente, Scrolltiefe, grobe Herkunft und Verweildauer) und sendet sie an den Auftragnehmer. Der Auftragnehmer nimmt sie entgegen, speichert sie, wertet sie aus und stellt die Ergebnisse dem Auftraggeber im Dashboard dar. Für Auswertungen und Vorschläge kann er zusammengefasste Kennzahlen an den in Anlage 2 genannten KI-Dienst übermitteln; personenbezogene Daten gehen dorthin nicht.

Um zu zählen, wie viele verschiedene Besucher die Website an einem Tag hat, verarbeitet der Auftragnehmer beim Seitenaufruf kurzzeitig IP-Adresse und Browserkennung (User-Agent) der Besucher. Daraus wird im Arbeitsspeicher mit einem täglich wechselnden Zufallswert eine Prüfsumme gebildet, von der nur ein kleiner Ausschnitt in eine Zählstruktur je Website und Tag einfließt. IP-Adresse, Browserkennung und Prüfsumme werden weder gespeichert noch protokolliert; der Zufallswert wird nach Ablauf des Tages gelöscht.

Nur wenn der Auftraggeber sie aktiviert, kommen hinzu: (a) Verhaltensmuster aus Sitzungen, ausschließlich nach Einwilligung der Besucher über das Einwilligungsfenster des Auftragnehmers, veröffentlicht nur als Muster, die mindestens 20 Sitzungen gemeinsam haben; (b) Aufgaben-Tests, an denen Personen nach Einwilligung teilnehmen. Eine Verarbeitung zu anderen Zwecken, insbesondere zu eigenen Zwecken des Auftragnehmers, findet nicht statt.

§ 3 Art der Daten und Kreis der Betroffenen

Betroffen sind die Besucher der Website des Auftraggebers und, bei Aufgaben-Tests, die teilnehmenden Personen. Verarbeitet werden:

• IP-Adresse und Browserkennung (User-Agent) — nur flüchtig im Arbeitsspeicher zur Besucherzählung und zum Verwerfen automatisierter Zugriffe; nie gespeichert
• Zählwerte je Seite, Element und Stunde mit Geräteklasse und grober Fensterbreiten-Stufe, Herkunftskategorie (ohne vollständige Referrer-Adresse) und grobem Bereich der Verweildauer; der Seitenpfad ohne Parameter, aus dem personenbeziehbare Bestandteile bereits im Browser entfernt werden
• nur mit Einwilligung: Abfolgen von Element-Kennungen einer Sitzung, die vor der Speicherung zusammengefasst und erst ab 20 gleichen Sitzungen ausgewertet werden
• nur bei Aufgaben-Tests mit Einwilligung: eine zufällige Teilnahme-Kennung, Element-Kennungen, Bildschirmfolge, Zeiten, Ergebnis und Schwierigkeitsangabe je Aufgabe

Nicht verarbeitet werden Eingaben in Formularfelder, Texte der Seite, Bildschirmaufnahmen, Mauspositionen, Cookies, Inhalte des lokalen Speichers des Browsers sowie Kennungen, die einen Besucher über Seitenaufrufe oder Tage hinweg wiedererkennbar machen.

§ 4 Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten dieser Vertrag und die Einstellungen, die der Auftraggeber im Dashboard vornimmt. Weitere Weisungen erteilt der Auftraggeber in Textform. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 5 Pflichten des Auftraggebers

Der Auftraggeber ist für die Zulässigkeit der Verarbeitung verantwortlich. Er informiert die Besucher seiner Website in seiner Datenschutzerklärung über den Einsatz von decivo Analytics; einen Textvorschlag stellt der Auftragnehmer bereit. Aktiviert er Funktionen, die eine Einwilligung voraussetzen, bindet er das Einwilligungsfenster des Auftragnehmers ein und verändert es nicht so, dass es ohne Einwilligung misst.

§ 6 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugang zu den Daten nur, soweit es für den Betrieb erforderlich ist. Die Pflicht zur Vertraulichkeit gilt über das Ende dieses Vertrags hinaus.

§ 7 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 8 Unterauftragsverarbeiter und Drittländer

Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über jede beabsichtigte Änderung informiert der Auftragnehmer den Auftraggeber vorab in Textform, in der Regel über das Dashboard oder per E-Mail; der Auftraggeber kann binnen 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen und die Nutzung beenden. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf.

Daten werden außerhalb der EU und des EWR nur verarbeitet, soweit Anlage 2 es ausweist, und nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage der Standardvertragsklauseln der EU-Kommission.

§ 9 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO. Weil die gespeicherten Daten keine Kennungen enthalten, lassen sie sich in der Regel keiner einzelnen Person zuordnen (Art. 11 DSGVO); eine Teilnahme an einem Aufgaben-Test kann die teilnehmende Person selbst sofort widerrufen und damit löschen. Anfragen betroffener Personen, die den Auftragnehmer direkt erreichen, leitet er unverzüglich an den Auftraggeber weiter.

§ 10 Verletzungen des Schutzes personenbezogener Daten

Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem sie ihm bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 11 Löschung und Rückgabe

Während der Nutzung löscht der Auftragnehmer automatisch: Zählwerte, Verhaltensmuster und Besucherzählung 395 Tage nach dem gemessenen Zeitraum, den täglichen Zufallswert der Besucherzählung nach Ablauf des Tages, noch nicht ausgewertete Sitzungsdaten nach 30 Tagen, Auswertungsberichte nach 730 Tagen und Teilnahmen an Aufgaben-Tests nach der im Test festgelegten Frist (Standard 90 Tage).

Endet die Nutzung, löscht der Auftragnehmer die Daten der Website binnen 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht; auf Wunsch stellt er sie dem Auftraggeber vorher in einem gängigen Format bereit und bestätigt die Löschung in Textform.

§ 12 Nachweise und Überprüfungen

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung und zu den üblichen Geschäftszeiten.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregeln des Hauptvertrags über die Nutzung von decivo Analytics.

§ 14 Schlussbestimmungen

Dieser Vertrag wird elektronisch abgeschlossen, indem der Auftraggeber ihm im Dashboard zustimmt (Art. 28 Abs. 9 DSGVO); der Auftragnehmer speichert Zeitpunkt, zustimmende Person und Fassung als Nachweis. Ändert der Auftragnehmer den Vertrag, bittet das Dashboard den Auftraggeber erneut um Zustimmung. Bei Widersprüchen zu anderen Vereinbarungen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt deutsches Recht. Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Technische und organisatorische Maßnahmen

• Datensparsamkeit an der Quelle: Das Messskript fasst Ereignisse im Browser zu Zählwerten zusammen und sendet keine Eingaben, Texte, Koordinaten oder Kennungen; es setzt keine Cookies und nutzt keinen lokalen Speicher
• IP-Adresse und Browserkennung nur flüchtig im Arbeitsspeicher; gespeichert wird nur ein daraus abgeleiteter Zählwert je Website und Tag, der Zufallswert wird täglich gelöscht
• Zugriffe automatisierter Programme werden anhand der Browserkennung verworfen und nicht gespeichert
• Verhaltensmuster nur nach Einwilligung und nur als Muster, die mindestens 20 Sitzungen gemeinsam haben; Raten werden nur mit Konfidenzintervall gezeigt
• Annahme von Messdaten nur von Websites, die im Dashboard angelegt sind, und nur mit Zustimmung zu diesem Vertrag
• Übertragung ausschließlich über TLS-verschlüsselte Verbindungen
• Zugang zum Dashboard nur für eingeladene Personen mit Anmeldung; jede Person sieht nur die Websites, für die sie freigeschaltet ist
• An den KI-Dienst gehen nur zusammengefasste Kennzahlen, keine Einzeldaten
• Gespeicherte Zugangsdaten für angebundene Dienste nur verschlüsselt (AES-256-GCM)
• Automatische Löschung nach § 11

Anlage 2 — Unterauftragsverarbeiter

• Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA — Entgegennahme der Messdaten und Besucherzählung (Cloudflare Workers); Verarbeitung im Netz von Cloudflare, auch außerhalb der EU, auf Grundlage der EU-Standardvertragsklauseln
• Supabase Inc. — Datenbank für Zählwerte, Muster und Auswertungen; Rechenzentrum Frankfurt am Main (Deutschland); für den Fall eines Zugriffs aus einem Drittland auf Grundlage der EU-Standardvertragsklauseln
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Betrieb des Dashboards und Weiterleitung der Messdaten; Standort Deutschland
• Anthropic Ireland, Limited, Dublin, Irland — KI-gestützte Auswertung zusammengefasster Kennzahlen (Claude-API); die Verarbeitung kann durch die Anthropic PBC in den USA erfolgen, auf Grundlage der EU-Standardvertragsklauseln; erhält keine personenbezogenen Daten