Parteien, Gegenstand und Dauer
Vorgesehener Verantwortlicher ist der jeweilige Website-Kunde; vorgesehener Auftragsverarbeiter ist Sebastian Schors, Offpulse by Kind Offset, Anschrift im Impressum. Kundendaten, Vertragsbeginn, Laufzeit und Weisungsberechtigte sind vor Abschluss einzusetzen.
Gegenstand ist die Annahme, Speicherung, Auswertung und Bereitstellung browsergemeldeter Website-Telemetrie für Fehlerdiagnose, Priorisierung und manuelle Fix-Aufträge. Betroffene sind Websitebesucher und gegebenenfalls Personen, deren Daten unbeabsichtigt in Fehlerberichten stehen. Datenarten umfassen Sessionkennungen, Seiteninformationen, Browser-/Gerätedaten, Fehler, Stacktraces, Interaktionen und Leistungswerte. Besondere Kategorien sollen nicht gezielt erhoben werden.
Weisungen und Vertraulichkeit
Der Vertrag soll Verarbeitung ausschließlich nach dokumentierten Weisungen einschließlich Übermittlungen vorsehen, soweit keine gesetzliche Pflicht entgegensteht. Eine solche Pflicht ist im zulässigen Umfang mitzuteilen. Rechtlich bedenkliche Weisungen sind dem Kunden mitzuteilen. Zugriffsberechtigte Personen müssen zur Vertraulichkeit verpflichtet werden.
Schutzmaßnahmen und Unterauftragnehmer
Technisch vorhanden sind HTTPS, serverseitige Authentifizierung, Mandantenprüfung, Datenbank-Zugriffsregeln und privater Profilbildspeicher. Diese Maßnahmen ersetzen keine abschließende TOM-Anlage. Berechtigungsprozesse, Schulung, Backup, Wiederherstellung und regelmäßige Wirksamkeitsprüfung müssen ergänzt und nachgewiesen werden.
Vercel und Supabase sind als Dienstleister vorgesehen. Die konkrete Unterauftragnehmerliste mit Rechtsträgern, Tätigkeiten, Standorten und Transfergarantien sowie das Verfahren zur Genehmigung, Änderungsinformation und zum Widerspruch müssen vor Abschluss feststehen. Vergleichbare Datenschutzpflichten sind vertraglich weiterzugeben.
Unterstützung und Vorfälle
Vorzusehen sind Unterstützung bei Betroffenenrechten sowie bei den Pflichten aus Art. 32–36 DSGVO, insbesondere Sicherheitsmaßnahmen, Datenschutzverletzungen und Folgenabschätzungen. Datenschutzverletzungen sind dem Verantwortlichen unverzüglich nach Bekanntwerden mit den verfügbaren Informationen mitzuteilen. Zuständigkeiten, erreichbare Meldewege und konkrete Abläufe sind noch zu vereinbaren.
Nachweise, Vertragsende und offene Anlagen
Der Vertrag soll notwendige Nachweise sowie Kontrollen und Audits durch den Kunden oder beauftragte Prüfer ermöglichen. Nach Vertragsende sind Daten nach Wahl des Kunden zurückzugeben oder zu löschen, einschließlich Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Praktische Fristen und Backup-Löschung sind noch festzulegen.
Vor Abschluss fehlen insbesondere Kundendaten, Weisungskontakte, TOM-Anlage, geprüfte Unterauftragnehmer-/Transferliste, Lösch- und Rückgabefristen sowie ein wirksamer Abschlussprozess. Diese Seite ersetzt keinen AVV nach Art. 28 DSGVO und darf nicht als bereits vereinbarter Vertrag verwendet werden.