Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag nach Art. 28 DSGVO wird geschlossen zwischen dem Kunden (im Folgenden „Verantwortlicher“) und

Timon Filipovic, handelnd unter „Percelia“
In der Breite 54, 79224 Umkirch, Deutschland
(im Folgenden „Auftragsverarbeiter“ oder „Percelia“).

Der AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen. Bei Widersprüchen in Datenschutzangelegenheiten geht der AVV vor.

• Gegenstand: Verarbeitung personenbezogener Daten, die Percelia bei der Prüfung der vom Verantwortlichen benannten Websites und Webanwendungen zugänglich werden.
• Dauer: für die Laufzeit des Hauptvertrags (AGB).
• Art und Zweck: Laden der geprüften Seiten in einem Browser des Auftragsverarbeiters, Erstellen von Screenshots und Markup-Auszügen, automatisierte und KI-gestützte Auswertung, menschliche Prüfung unsicherer Befunde, Erstellung von Bericht und Konformitätserklärung, optional wiederkehrendes Monitoring.

• Datenkategorien: Inhalte, die auf den geprüften Seiten sichtbar oder im Markup enthalten sind (typischerweise Testdaten), Zugangsdaten der vom Verantwortlichen bereitgestellten Testkonten, Kontakt- und Kontodaten der beim Verantwortlichen benannten Nutzer des Dashboards.
• Betroffene Personen: Beschäftigte und Ansprechpersonen des Verantwortlichen sowie Personen, deren Daten auf den geprüften Seiten dargestellt werden.
• Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Beauftragung. Der Verantwortliche stellt sicher, dass geprüfte Bereiche mit Testdaten befüllt sind und keine Konten echter Nutzer zugänglich gemacht werden.

Percelia verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit nicht eine gesetzliche Verpflichtung etwas anderes vorschreibt. Die Beauftragung, die Festlegung des Prüfumfangs und die Konfiguration im Dashboard gelten als Standardweisung. Percelia informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

Percelia verpflichtet die mit der Verarbeitung befassten Personen auf Vertraulichkeit nach Art. 28 Abs. 3 lit. b, Art. 29 und Art. 32 Abs. 4 DSGVO. Das gilt auch für externe Prüferinnen und Prüfer, die in der menschlichen Prüfung eingesetzt werden.

• Vertraulichkeit: rollenbasierte Zugriffsrechte, Mehr-Faktor-Authentifizierung für administrative Konten, Trennung der Kundendaten auf Datenbankebene durch Row-Level-Security, nicht öffentlich lesbarer Screenshot-Speicher mit zeitlich begrenzten, authentifizierten Abruflinks.
• Integrität: Verschlüsselung bei der Übertragung (TLS 1.2+) und bei der Speicherung, verschlüsselte Ablage der Testzugangsdaten ohne Rückgabemöglichkeit über eine Schnittstelle, Versionskontrolle und Code-Reviews.
• Keine Rückwirkung auf die Systeme des Verantwortlichen: Der Prüfschritt, der Formulare auslöst, blockiert das Absenden und bricht schreibende Anfragen ab; Korrekturvorschläge werden ausschließlich an einer Kopie der Seite in der Umgebung des Auftragsverarbeiters verifiziert.
• Verfügbarkeit: Betrieb und Sicherungen in EU-Regionen, Monitoring, definierter Incident-Response-Prozess.
• Überprüfung: regelmäßige Überprüfung der Maßnahmen und Bewertung bei wesentlichen Änderungen der Verarbeitung.

Der Verantwortliche erteilt eine allgemeine Genehmigung zur Einbindung der in der Datenschutzerklärung aufgeführten Subprozessoren. Percelia informiert über beabsichtigte Änderungen mit einer Ankündigung von mindestens 30 Tagen. Der Verantwortliche kann aus berechtigten datenschutzrechtlichen Gründen widersprechen; kann die Leistung dann nicht erbracht werden, steht beiden Parteien ein Sonderkündigungsrecht zu. Percelia schließt mit jedem Subprozessor einen Vertrag mit im Wesentlichen vergleichbaren Pflichten.

Percelia unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Art. 12 bis 22 DSGVO) und der Pflichten nach Art. 32 bis 36 DSGVO durch geeignete technische und organisatorische Maßnahmen. Percelia informiert den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, über eine Verletzung des Schutzes personenbezogener Daten (Art. 33 DSGVO), und stellt die zur Meldung erforderlichen Informationen bereit.

Nach Beendigung der Verarbeitungstätigkeit gibt Percelia nach Wahl des Verantwortlichen alle personenbezogenen Daten zurück oder löscht sie. Der Export von Berichten und Befunddaten steht dafür 30 Tage bereit. Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Die Löschung wird auf Wunsch in Textform bestätigt.

Percelia stellt dem Verantwortlichen auf Anfrage die erforderlichen Informationen zur Verfügung, um die Einhaltung der Pflichten aus Art. 28 DSGVO zu belegen. Der Verantwortliche kann einmal jährlich oder anlassbezogen Kontrollen durchführen, in der Regel auf Basis schriftlicher Auskünfte und der Nachweise der Subprozessoren. Vor-Ort-Prüfungen sind mit einer Ankündigung von mindestens 30 Tagen möglich; die Kosten trägt der Verantwortliche.

Soweit Percelia personenbezogene Daten in Drittländer übermittelt, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework, Durchführungsbeschluss (EU) 2023/1795) oder auf Grundlage der Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 mit erforderlichen Zusatzmaßnahmen. Der wesentliche Transfer betrifft die KI-Analyse in den USA; die übermittelten Inhalte werden nicht zum Training von Modellen verwendet.

Im Außenverhältnis gegenüber Betroffenen gilt Art. 82 DSGVO, im Innenverhältnis gelten die Haftungsregelungen der AGB. Es gilt deutsches Recht, Gerichtsstand ist Freiburg im Breisgau. Änderungen bedürfen der Textform.

Dieser AVV wird bei Auftragserteilung zur Annahme bereitgestellt und ist auf Anfrage als unterschriebenes Dokument erhältlich. Anfragen an hello@percelia.eu.