Fassung avv-2026-10-24-entwurf · Stand 24. Oktober 2026 · English version

Auftragsverarbeitungsvereinbarung

Anlage 1 zu den Allgemeinen Geschäftsbedingungen von ProntoWeb, nach Art. 28 DSGVO. Der Kunde akzeptiert sie mit den AGB.

§ 1 Parteien und Gegenstand

1. Diese Vereinbarung gilt zwischen dem Kunden als Verantwortlichem („Kunde“) und der tiro UG (haftungsbeschränkt), Solinger Straße 3, 10555 Berlin, prontoweb@tiro-agent.com, als Auftragsverarbeiter („wir“).
2. Gegenstand ist der Betrieb der Website des Kunden nach § 3 der AGB. Dabei verarbeiten wir personenbezogene Daten der Besucher dieser Website im Auftrag des Kunden.
3. Nicht Gegenstand dieser Vereinbarung sind die Daten, die wir vom Kunden selbst verarbeiten, etwa im WhatsApp-Gespräch und bei der Abrechnung. Dafür sind wir selbst verantwortlich; sie beschreibt unsere Datenschutzerklärung.

§ 2 Dauer

Die Vereinbarung gilt, solange der Vertrag über die Website läuft. Pflichten nach § 10 (Löschung) gelten darüber hinaus, bis sie erfüllt sind.

§ 3 Art, Zweck und Umfang der Verarbeitung

1. Zweck: die Website auszuliefern und sie gegen Missbrauch und Angriffe zu schützen.
2. Art der Verarbeitung: Empfangen, kurzzeitiges Speichern und Löschen der Daten, die bei jedem Aufruf technisch anfallen (Server-Logs).
3. Art der Daten: IP-Adresse, Zeitpunkt des Aufrufs, aufgerufene Adresse, Statuscode und übertragene Datenmenge, Browser- und Betriebssystemkennung (User-Agent), gegebenenfalls die verweisende Seite.
4. Betroffene: Besucher der Website des Kunden.
5. Eine Live-Website setzt keine Cookies, hat kein Formular, bindet keine Inhalte Dritter ein und bildet keine Besucherprofile. Schriften liefert sie selbst aus. Wir werten die Server-Logs nicht für Statistiken über Besucher aus.

§ 4 Weisungen

1. Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Die AGB und diese Vereinbarung sind die Weisung. Weitere Weisungen erteilt der Kunde in Textform, etwa per E-Mail oder als WhatsApp-Nachricht im Gespräch.
2. Verstößt eine Weisung nach unserer Auffassung gegen Datenschutzrecht, sagen wir dem Kunden das unverzüglich. Bis er sie bestätigt oder ändert, dürfen wir sie aussetzen.
3. Verpflichtet uns das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung, teilen wir das dem Kunden vorher mit, soweit das Recht es nicht verbietet.

§ 5 Vertraulichkeit

Zugriff auf die Daten haben nur Personen, die wir zur Vertraulichkeit verpflichtet haben oder die einer gesetzlichen Verschwiegenheitspflicht unterliegen, und nur, soweit es für den Betrieb der Website nötig ist.

§ 6 Technische und organisatorische Maßnahmen

Wir treffen die Maßnahmen nach Art. 32 DSGVO. Dazu gehören:

• Datensparsamkeit: keine Cookies, keine Formulare, keine Analyse- oder Werbedienste, keine eingebundenen Inhalte Dritter, Schriften vom eigenen Server.
• Verschlüsselung: Jede Website ist nur verschlüsselt (HTTPS) erreichbar.
• Zugriffskontrolle: Zugang zu den Konten beim Hoster haben nur berechtigte Personen. Schlüssel und Zugangsdaten liegen nicht im Code, sondern nur in den geschützten Einstellungen der Dienste.
• Trennung: Jede Website wird für sich ausgeliefert; Besucherdaten verschiedener Kunden werden nicht zusammengeführt.
• Verfügbarkeit: Die Website läuft auf der Infrastruktur des Hosters mit dessen Redundanz. Unsere Systeme melden Störungen selbst.
• Sicherheit beim Unterauftragsverarbeiter: Für Rechenzentren, physischen Zugang und Netz gelten die Maßnahmen des Hosters, die er in seinem Auftragsverarbeitungsvertrag beschreibt.

Wir dürfen die Maßnahmen an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

§ 7 Unterauftragsverarbeiter

1. Der Kunde ist damit einverstanden, dass wir die folgenden Unterauftragsverarbeiter einsetzen:

   Unternehmen	Leistung	Ort
   Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA	Auslieferung (Hosting) der Website; dabei fallen die Server-Logs nach § 3 an	USA, mit Servern in der EU
   Railway Corp., USA	Nur Entwurfsseiten vor dem Livegang: Sie laden ein unsichtbares Zählbild von unserem Server, damit wir sehen, ob der Entwurf geöffnet wurde. Dabei fallen IP-Adresse, Zeitpunkt und Browserkennung an. Die Live-Website lädt dieses Bild nicht.	USA, mit Servern in den Niederlanden (EU)

2. Mit jedem Unterauftragsverarbeiter haben wir einen Vertrag, der ihm dieselben Datenschutzpflichten auferlegt wie diese Vereinbarung uns. Für die Übermittlung in die USA gelten die EU-Standardvertragsklauseln; Vercel ist außerdem nach dem EU-US Data Privacy Framework zertifiziert.
3. Einen neuen oder anderen Unterauftragsverarbeiter kündigen wir dem Kunden mindestens vier Wochen vorher in Textform an. Der Kunde kann in dieser Zeit widersprechen. Setzen wir den Wechsel trotzdem um, kann er den Vertrag zum Wirksamwerden des Wechsels kündigen.

§ 8 Unterstützung des Kunden

1. Wendet sich ein Besucher mit einem Anliegen nach Art. 15 bis 22 DSGVO an uns, leiten wir es unverzüglich an den Kunden weiter. Wir helfen dem Kunden, das Anliegen zu beantworten, soweit wir die Daten haben.
2. Wir unterstützen den Kunden bei seinen Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) mit den Informationen, die uns vorliegen.

§ 9 Verletzungen des Schutzes personenbezogener Daten

Erfahren wir von einer Verletzung des Schutzes der Daten nach dieser Vereinbarung, melden wir sie dem Kunden unverzüglich, mit dem, was wir zu Art, Umfang, Folgen und Gegenmaßnahmen wissen. Was wir erst später erfahren, reichen wir nach.

§ 10 Löschung nach Vertragsende

Mit dem Vertragsende nehmen wir die Website offline (§ 6 Abs. 5 der AGB). Danach fallen keine neuen Besucherdaten an. Server-Logs, die beim Hoster noch vorhanden sind, löscht dieser nach seinen Fristen; eine Kopie behalten wir nicht. Eine Herausgabe der Server-Logs an den Kunden ist nicht vorgesehen, weil wir sie nicht selbst speichern.

§ 11 Nachweise und Kontrollen

1. Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die er braucht, um die Einhaltung dieser Vereinbarung zu prüfen. Dazu können wir auf Zertifizierungen und Berichte unserer Unterauftragsverarbeiter verweisen.
2. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer darf Kontrollen vornehmen, nach rechtzeitiger Ankündigung und zu den üblichen Geschäftszeiten, ohne den Betrieb unverhältnismäßig zu stören.

§ 12 Haftung und Schluss

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gilt § 11 der AGB.
2. Widerspricht eine Regel der AGB dieser Vereinbarung, geht für den Schutz personenbezogener Daten diese Vereinbarung vor.
3. Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.