Vertrag zur Auftragsverarbeitung

Der Verantwortliche benennt im Portal eine Website. Der Auftragsverarbeiter prüft diese Website automatisiert auf technische, rechtliche und redaktionelle Merkmale.

Die Verarbeitung umfasst dabei folgende Schritte:

• – Abruf öffentlich erreichbarer Seiten der benannten Website über das Internet.
• – Auswertung der abgerufenen Seiten auf messbare Merkmale, etwa Ladezeit, Verlinkung, Auffindbarkeit, eingebundene Drittanbieterdienste und Barrierefreiheit.
• – Speicherung der ausgewerteten Merkmale je Seite als Bestandsverzeichnis der Website.
• – Erstellung eines Prüfberichts mit Befunden, Bewertung und Empfehlungen.
• – Verfolgung der Befunde über mehrere Prüfläufe hinweg, damit erkennbar bleibt, was behoben wurde und was neu hinzugekommen ist.
• – Versand des Berichts per E-Mail an die vom Verantwortlichen hinterlegte Adresse, sofern er das eingeschaltet hat.

Zweck der Verarbeitung ist allein die Erbringung dieser Prüfleistung für den Verantwortlichen. Eine Nutzung der Daten für eigene Zwecke des Auftragsverarbeiters findet nicht statt.

Der Auftragsverarbeiter wertet die Daten nicht aus, um sie an Dritte zu verkaufen. Er bildet daraus auch keine anbieterübergreifenden Auswertungen oder Vergleichslisten.

Ein Prüflauf erfasst höchstens 300 Seiten und folgt Verlinkungen bis zu zehn Ebenen tief. Externe Links werden notiert, aber nicht abgerufen.

Die abgerufenen Seiten können personenbezogene Daten enthalten. Das ist bei Impressum, Kontaktseite und Teamseite der Regelfall.

Dauerhaft gespeichert werden je Seite die folgenden Angaben:

Während eines Prüflaufs verarbeitet der Auftragsverarbeiter zusätzlich den vollständigen Seiteninhalt im Arbeitsspeicher. Darin enthalten sind typischerweise Namen, Anschriften, Telefonnummern und E-Mail-Adressen aus Impressum, Kontakt- und Teamseiten.

Der Seitenquelltext wird nicht dauerhaft gespeichert. Nach der Auswertung bleiben nur die oben genannten Merkmale und die daraus gebildeten Befunde erhalten.

Betroffen sind folgende Personengruppen:

• – Beschäftigte des Verantwortlichen, die auf der Website genannt sind.
• – Vertretungsberechtigte des Verantwortlichen, etwa aus dem Impressum.
• – Ansprechpartner des Verantwortlichen für Kunden, Presse oder Bewerbungen.
• – Dritte, die auf der Website genannt werden, etwa Partner, Referenzkunden oder Autoren.
• – Nutzer des Portals auf Seiten des Verantwortlichen, soweit sie Befunde bearbeiten oder Berichte abrufen.

Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO sind nicht Gegenstand des Auftrags. Stellt der Verantwortliche solche Daten auf seiner Website bereit, prüft der Auftragsverarbeiter sie nicht gesondert aus.

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Das gilt auch für eine Übermittlung in ein Drittland.

Weisung ist die Nutzung des Portals. Das Anlegen eines Projekts, das Starten einer Prüfung, das Einschalten der Dauerüberwachung und die Auswahl der Prüfoptionen sind Weisungen im Sinne dieses Vertrags. Sie werden im Portal protokolliert.

Weisungen außerhalb des Portals bedürfen der Textform. Eine E-Mail genügt.

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen das Datenschutzrecht verstößt. Er darf die Ausführung bis zur Klärung aussetzen.

Personen, die Zugang zu den Daten haben, verarbeiten diese nur auf Weisung des Verantwortlichen. Das gilt nicht, soweit eine gesetzliche Verpflichtung besteht (Artikel 29 DSGVO).

Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Die Verpflichtung gilt auch nach dem Ende ihrer Tätigkeit fort.

Der Auftragsverarbeiter macht die eingesetzten Personen mit den für sie geltenden Datenschutzvorgaben vertraut.

Zugriff erhält nur, wer ihn für seine Aufgabe braucht.

Der Auftragsverarbeiter trifft die nach Artikel 32 DSGVO erforderlichen Maßnahmen. Umgesetzt sind derzeit:

• – Vertraulichkeit der Übertragung: Der Zugriff auf das Portal läuft über HTTPS. Sitzungscookies werden im Produktivbetrieb nur über gesicherte Verbindungen gesetzt.
• – Passwörter: Sie werden mit argon2id nach den Empfehlungen des OWASP gespeichert. Ein Passwort im Klartext existiert in der Datenbank nicht.
• – Sitzungen und Bestätigungslinks: In der Datenbank steht nur der SHA-256-Hash des Tokens, nie das Token selbst. Das betrifft Anmeldesitzungen, E-Mail-Bestätigungen, Passwort-Zurücksetzungen und Einladungen.
• – Zugangsdaten zu Google: Zugriffs- und Erneuerungstoken werden mit AES-256-GCM verschlüsselt gespeichert. Fehlt der Schlüssel, verweigert das System die Speicherung, statt auf Klartext auszuweichen.
• – Zwei-Faktor-Anmeldung: Optional je Konto, als zeitbasierter Einmalcode nach RFC 6238. Ein bereits benutzter Code wird ein zweites Mal abgelehnt.
• – Schutz gegen Passwort-Raten: Höchstens zehn Fehlversuche je E-Mail-Adresse und IP-Adresse innerhalb von 15 Minuten.
• – Rollenbasierte Zugriffskontrolle: Rechte hängen an der Organisation und zusätzlich am einzelnen Projekt. Sie werden serverseitig geprüft, nicht nur in der Oberfläche.
• – Schutz interner Netze: Jede ausgehende Anfrage wird vor dem Absenden geprüft. Private, lokale und reservierte Adressbereiche sind gesperrt, ebenso die Abfrage von Cloud-Metadaten. Die Prüfung wiederholt sich bei jeder Weiterleitung.
• – Begrenzung der Datenmenge: Der gelesene Inhalt je Abruf ist auf 5 MB gedeckelt.
• – Trennung der Abläufe: Der Webserver und der Hintergrundprozess für die Prüfläufe laufen getrennt und können auf verschiedenen Maschinen betrieben werden.
• – Betriebssicherheit des Containers: Die Anwendung läuft als Benutzer ohne Administratorrechte.
• – Trennung nach Mandanten: Alle Prüfdaten hängen an einem Projekt, jedes Projekt an einer Organisation. Der Zugriff wird bei jeder Abfrage gegen die Mitgliedschaft geprüft.
• – Datensicherung: Der Datenbestand wird gesichert. Die Sicherung umfasst dieselben Daten und unterliegt denselben Regeln wie der Wirkbetrieb.
• – Betriebsüberwachung: Eine Übersichtsseite zeigt fehlgeschlagene und überfällige Prüfläufe. Stille Ausfälle sollen dadurch auffallen, bevor ein Kunde sie meldet.
• – Löschung im Regelbetrieb: Abgelaufene Sitzungen und Token werden alle sechs Stunden automatisch gelöscht.

Die Maßnahmen entsprechen dem Stand der Technik. Der Auftragsverarbeiter darf sie weiterentwickeln. Das Schutzniveau darf dabei nicht sinken.

Die Website des Verantwortlichen wird schonend abgerufen. Die Pause zwischen zwei Anfragen richtet sich nach der gemessenen Antwortzeit des Servers. Bei Überlastsignalen zieht sich der Prüfdienst zurück.

Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Artikel 28 Absatz 2 DSGVO). Zum Zeitpunkt dieser Fassung sind das:

Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten, die dieser Vertrag vorsieht.

Wechselt oder ergänzt der Auftragsverarbeiter einen Unterauftragsverarbeiter, kündigt er das mindestens vier Wochen vorher in Textform an. Der Verantwortliche kann innerhalb von zwei Wochen aus wichtigem Grund widersprechen.

Widerspricht der Verantwortliche, kann der Auftragsverarbeiter den betroffenen Leistungsteil einstellen. Beide Seiten können den Vertrag dann außerordentlich kündigen.

Die Anbindung an die Search Console entfällt vollständig, solange der Verantwortliche sein Google-Konto nicht verbindet. Der zugehörige Prüfpunkt bleibt dann ohne Ergebnis.

Eine Übermittlung in ein Drittland findet nur statt, soweit sie in § 6 beschrieben ist.

Betroffen sind die Dienste von Google. Für die Vereinigten Staaten gilt der Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 (EU-US Data Privacy Framework). Der Auftragsverarbeiter nutzt nur nach diesem Rahmen zertifizierte Empfänger.

Gegen den Beschluss sind Rechtsmittel beim Gerichtshof der Europäischen Union anhängig. Wird er aufgehoben, stützt der Auftragsverarbeiter die Übermittlung auf Standardvertragsklauseln oder stellt den betroffenen Leistungsteil ein.

An die PageSpeed-Insights-API wird ausschließlich die Adresse der zu messenden Seite übergeben. Personenbezogene Daten aus dem Portal werden dabei nicht übermittelt.

Der Auftragsverarbeiter unterstützt den Verantwortlichen dabei, Anträge betroffener Personen zu beantworten. Das betrifft die Rechte aus Artikel 15 bis 22 DSGVO.

Die Unterstützung erfolgt mit geeigneten technischen und organisatorischen Maßnahmen, soweit das möglich ist. Sie ist auf die im Auftrag verarbeiteten Daten begrenzt.

Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser den Antrag unverzüglich weiter. Er beantwortet ihn nicht selbst.

Der Verantwortliche kann die Prüfdaten eines Projekts jederzeit selbst einsehen. Das Portal stellt dafür den Prüfbericht als PDF-Datei und das Seitenverzeichnis als CSV-Datei bereit.

Löschungen und Berichtigungen führt der Auftragsverarbeiter auf Weisung durch. Für Angaben, die aus der Website stammen, gilt: Sie entstehen bei der nächsten Prüfung erneut, solange sie auf der Website stehen.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei dessen Pflichten aus Artikel 32 bis 36 DSGVO. Maßgeblich sind die Art der Verarbeitung und die dem Auftragsverarbeiter vorliegenden Informationen.

Das umfasst insbesondere:

• – Auskunft über die getroffenen technischen und organisatorischen Maßnahmen (Artikel 32 DSGVO).
• – Zuarbeit für eine Datenschutz-Folgenabschätzung des Verantwortlichen (Artikel 35 DSGVO).
• – Zuarbeit für eine vorherige Konsultation der Aufsichtsbehörde (Artikel 36 DSGVO).

Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich in Textform. Die Meldung erfolgt so rechtzeitig, dass der Verantwortliche seine Frist von 72 Stunden nach Artikel 33 DSGVO einhalten kann.

Die Meldung nennt, soweit bekannt: die Art des Vorfalls, die betroffenen Datenarten, den ungefähren Umfang, die wahrscheinlichen Folgen und die ergriffenen Gegenmaßnahmen.

Der Auftragsverarbeiter meldet einen Vorfall nicht selbst an die Aufsichtsbehörde. Diese Entscheidung trifft der Verantwortliche.

Nach Abschluss der Leistung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten oder gibt sie zurück. Der Verantwortliche wählt zwischen Löschung und Rückgabe.

Trifft der Verantwortliche keine Wahl, gilt die Löschung.

Für die Löschung gelten diese Fristen:

• – Wird die Überwachung eines Projekts pausiert, bleiben die Daten lesbar. Neue Prüfläufe finden nicht statt.
• – Zwölf Monate nach dem Ende der Überwachung löscht der Auftragsverarbeiter die Prüfdaten des Projekts. Das betrifft das Seitenverzeichnis, die Prüfläufe, die Befunde und deren Verlauf.
• – Vor der Löschung erhält die Organisation eine Ankündigung per E-Mail.
• – Projekt- und Vertragsstammdaten bleiben erhalten, soweit sie für die Abrechnung nötig sind.

Die Rückgabe erfolgt über die im Portal vorhandenen Ausgaben: Prüfbericht als PDF-Datei, Seitenverzeichnis als CSV-Datei. Ein darüber hinausgehendes Format schuldet der Auftragsverarbeiter nicht.

Gesetzliche Aufbewahrungspflichten bleiben unberührt. Betroffene Daten werden gesperrt statt gelöscht.

Sicherungskopien werden mit dem üblichen Sicherungszyklus überschrieben.

Der Auftragsverarbeiter weist die Einhaltung der Pflichten aus diesem Vertrag nach. Er stellt dem Verantwortlichen dafür alle erforderlichen Informationen bereit.

Der Nachweis erfolgt in dieser Reihenfolge:

• – schriftliche Auskunft zu einer konkreten Frage,
• – Selbstauskunft zu den technischen und organisatorischen Maßnahmen,
• – Vorlage vorhandener Prüfberichte oder Zertifikate, sofern es solche gibt.

Reichen diese Nachweise nicht aus, kann der Verantwortliche eine Kontrolle vor Ort durchführen. Sie ist mindestens vier Wochen vorher anzukündigen und auf die üblichen Geschäftszeiten beschränkt.

Die Kontrolle darf den Betrieb nicht unangemessen stören. Sie findet höchstens einmal im Jahr statt. Bei einem konkreten Anlass ist eine weitere Kontrolle möglich.

Der Verantwortliche kann einen Prüfer beauftragen. Der Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein und ist zur Verschwiegenheit zu verpflichten.

Den Aufwand einer Kontrolle vor Ort trägt der Verantwortliche. Das gilt nicht, wenn die Kontrolle einen erheblichen Verstoß aufdeckt.

Der Auftragsverarbeiter kann nicht feststellen, wem eine Website gehört. Deshalb ist dieser Punkt eine Zusicherung des Verantwortlichen.

Der Verantwortliche sichert zu, dass er zur Prüfung jeder von ihm eingetragenen Website berechtigt ist. Er ist entweder deren Betreiber oder handelt in dessen Auftrag.

Der Auftragsverarbeiter tritt beim Abruf mit einer eigenen, öffentlich dokumentierten Kennung auf. Er beachtet dabei:

• – den maschinenlesbaren Nutzungsvorbehalt in der Datei robots.txt nach RFC 9309, zugleich Vorbehalt im Sinne von § 44b Absatz 3 UrhG,
• – eine dort angegebene Wartezeit zwischen zwei Abrufen,
• – die Rücknahme der Abrufe, sobald der Server Überlast meldet.

Der Verantwortliche kann den Nutzungsvorbehalt für seine eigene Website übersteuern. Das setzt einen Eigentumsnachweis im Portal voraus und wird mit Person und Zeitpunkt protokolliert. Die Drosselung bleibt davon unberührt.

Die Beachtung der robots.txt ersetzt keine Erlaubnis des Betreibers. Das Datenbankherstellerrecht nach § 87b UrhG gilt unabhängig davon. Eine fehlende robots.txt bedeutet also nicht, dass eine fremde Website ausgewertet werden darf.

Trägt der Verantwortliche eine fremde Website ein, stellt er den Auftragsverarbeiter von Ansprüchen Dritter frei. Das umfasst Ansprüche wegen unerlaubter Auswertung, wegen Verletzung des Datenbankherstellerrechts und die Kosten einer angemessenen Rechtsverteidigung.

Der Auftragsverarbeiter kann ein Projekt sperren, wenn ein Betreiber der Prüfung widerspricht. Er informiert den Verantwortlichen darüber.

Für die Haftung gelten die Regelungen des Hauptvertrags. Artikel 82 DSGVO bleibt unberührt.

Im Verhältnis der Parteien untereinander haftet jede Partei für den Anteil des Schadens, den sie zu verantworten hat.

Die Freistellung nach § 12 bleibt von dieser Regelung unberührt.

Dieser Vertrag gilt für die Dauer des Hauptvertrags. Er endet mit diesem, ohne dass es einer gesonderten Kündigung bedarf.

Die Pflichten aus § 10 und § 11 bestehen über das Ende hinaus fort, bis alle Daten gelöscht oder zurückgegeben sind.

Der Verantwortliche kann diesen Vertrag außerordentlich kündigen, wenn der Auftragsverarbeiter schwerwiegend gegen seine Pflichten verstößt.

Änderungen und Ergänzungen bedürfen der Textform. Eine E-Mail genügt. Das gilt auch für die Aufhebung dieses Formerfordernisses.

Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.

Jede inhaltliche Änderung erhält eine neue Fassung. Der Verantwortliche wird darüber informiert, bevor die neue Fassung gilt.

Auftragsverarbeiter ist .pupit GmbH, Senefelderstraße 5, 08523 Plauen. Erreichbar unter info@pupit.de.

Fassung dieses Vertrags: 2026-08-11.