Fassung avv-2026-11-07 · Stand 7. November 2026 · English version

Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Anlage 4 zu den AGB von ProntoWeb · Sie schließen ihn mit den AGB ab.

§ 1 Parteien und Gegenstand

1. Dieser Vertrag gilt zwischen Ihnen als Verantwortlichem („Sie“) und der tiro UG (haftungsbeschränkt), Oranienburger Straße 45, 10117 Berlin, prontoweb@tiro-agent.com, als Auftragsverarbeiter („wir“).
2. Gegenstand ist der Betrieb Ihrer Website nach AGB § 3. Dabei verarbeiten wir in Ihrem Auftrag personenbezogene Daten der Besucher Ihrer Website.
3. Nicht Gegenstand dieses Vertrags sind Ihre eigenen Daten, die wir im WhatsApp-Gespräch und bei der Abrechnung verarbeiten. Für diese Daten sind wir selbst verantwortlich. Was wir mit ihnen tun, beschreibt unsere Datenschutzerklärung.

§ 2 Dauer

Der Vertrag gilt, solange der Vertrag über Ihre Website läuft. § 10 gilt darüber hinaus, bis die Löschung erfolgt ist.

§ 3 Art, Zweck und Umfang

1. Zweck: Ihre Website ausliefern und vor Missbrauch und Angriffen schützen. Sobald wir es anbieten, außerdem Aufrufe und Klicks nach Anlage 1 § 9 zählen.
2. Art der Verarbeitung: Die Daten, die bei jedem Aufruf technisch anfallen (Server-Logs), werden empfangen, kurz gespeichert und gelöscht. Für die Zählung nach Anlage 1 § 9 erhöht unser Server bei einem Aufruf oder Klick nur eine Summe je Tag. Die IP-Adresse speichert er dafür nicht.
3. Art der Daten: IP-Adresse, Zeitpunkt des Aufrufs, aufgerufene Adresse, Statuscode, übertragene Datenmenge, Browser- und Betriebssystemkennung und gegebenenfalls die verweisende Seite.
4. Betroffene: Besucher Ihrer Website.
5. Was Ihre Website nicht tut: Sie setzt keine Cookies, hat kein Formular, bindet keine Inhalte Dritter ein und bildet keine Besucherprofile. Schriften liefert sie selbst aus. Die Server-Logs werten wir nicht aus. Die Zahlen nach Anlage 1 § 9 entstehen ohne Personenbezug.

§ 4 Weisungen

1. Wir verarbeiten die Daten nur auf Ihre dokumentierte Weisung. Ihre Weisung sind die AGB und dieser Vertrag. Weitere Weisungen erteilen Sie in Textform, etwa per E-Mail oder per WhatsApp.
2. Verstößt eine Weisung nach unserer Auffassung gegen Datenschutzrecht, sagen wir Ihnen das unverzüglich. Bis Sie die Weisung bestätigen oder ändern, dürfen wir sie aussetzen.
3. Verpflichtet uns das Recht der Union oder eines Mitgliedstaats zu einer Verarbeitung, teilen wir Ihnen das vorher mit, soweit dieses Recht die Mitteilung nicht verbietet.
4. Sie weisen uns an, die Zahlen nach Anlage 1 § 9 ohne Personenbezug zu bilden. Diese Zahlen dürfen wir nach AGB § 8 Abs. 7 auch für eigene Zwecke nutzen.

§ 5 Vertraulichkeit

Zugriff auf die Daten haben nur Personen, die wir zur Vertraulichkeit verpflichtet haben oder die einer gesetzlichen Verschwiegenheitspflicht unterliegen, und auch nur, soweit es für den Betrieb der Website nötig ist.

§ 6 Technische und organisatorische Maßnahmen

Wir treffen die Maßnahmen nach Art. 32 DSGVO, die Anhang A beschreibt. Wir dürfen sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt.

§ 7 Unterauftragsverarbeiter

1. Sie sind damit einverstanden, dass wir die Unterauftragsverarbeiter aus Anhang B einsetzen.
2. Jedem Unterauftragsverarbeiter erlegen wir vertraglich Pflichten auf, die Art. 28 Abs. 4 DSGVO entsprechen. Daten gelangen in ein Drittland nur auf einer Grundlage nach Art. 44 ff. DSGVO. Welche das ist, nennt Anhang B.
3. Einen neuen oder anderen Unterauftragsverarbeiter kündigen wir Ihnen mindestens vier Wochen vorher in Textform an. In dieser Zeit können Sie widersprechen. Setzen wir den Wechsel trotzdem um, können Sie den Vertrag fristlos kündigen, wirksam zum Tag des Wechsels.

§ 8 Unterstützung

1. Wendet sich ein Besucher mit einem Anliegen nach Art. 15 bis 22 DSGVO an uns, leiten wir es Ihnen unverzüglich weiter. Wir helfen Ihnen bei der Antwort, soweit wir die Daten haben.
2. Bei Ihren Pflichten nach Art. 32 bis 36 DSGVO unterstützen wir Sie mit den Informationen, die uns vorliegen.

§ 9 Datenpannen

Erfahren wir von einer Verletzung des Schutzes der Daten aus diesem Vertrag, melden wir sie Ihnen unverzüglich. Wir sagen Ihnen, was wir über Art, Umfang, Folgen und Gegenmaßnahmen wissen. Was wir erst später erfahren, reichen wir nach.

§ 10 Löschung nach Vertragsende

Mit dem Vertragsende nehmen wir Ihre Website offline (AGB § 6 Abs. 5). Danach fallen keine neuen Besucherdaten an. Server-Logs, die beim Hoster noch vorhanden sind, löscht dieser nach seinen Fristen (Anhang B). Wir selbst speichern keine Kopie. Deshalb können wir Ihnen die Logs auch nicht herausgeben.

§ 11 Nachweise und Kontrollen

1. Auf Anfrage geben wir Ihnen die Informationen, die Sie brauchen, um die Einhaltung dieses Vertrags zu prüfen. Dafür können wir auf Zertifizierungen und Prüfberichte unserer Unterauftragsverarbeiter verweisen.
2. Sie oder ein von Ihnen beauftragter, zur Verschwiegenheit verpflichteter Prüfer dürfen Kontrollen durchführen. Sie kündigen sie rechtzeitig an, führen sie zu üblichen Geschäftszeiten durch und stören den Betrieb nicht unverhältnismäßig.

§ 12 Haftung und Vorrang

1. Für die Haftung gilt Art. 82 DSGVO, im Übrigen AGB § 11.
2. Widerspricht eine Regel der AGB diesem Vertrag, geht für den Schutz personenbezogener Daten dieser Vertrag vor.

§ 13 Übertragung

Wird der Vertrag über Ihre Website nach AGB § 15 Abs. 4 übertragen, geht dieser Vertrag mit über.

Anhang A – Technische und organisatorische Maßnahmen

Bereich	Maßnahme
Datensparsamkeit	keine Cookies, keine Formulare, keine Analyse- oder Werbedienste, keine eingebundenen Inhalte Dritter, Schriften vom eigenen Server
Verschlüsselung	Jede Website ist nur über HTTPS erreichbar.
Zugang und Zugriff	Zugang zu den Konten beim Hoster haben nur namentlich berechtigte Personen. Zwei-Faktor-Anmeldung für alle Konten. Schlüssel und Zugangsdaten liegen nicht im Programmcode, sondern nur in den geschützten Einstellungen der Dienste.
Eingabekontrolle	Jede Änderung an Programmcode und Auslieferung ist in der Versionsverwaltung und im Protokoll der Auslieferung nachvollziehbar.
Trennung	Jede Website ist eine eigene Bereitstellung und nur unter ihrer eigenen Adresse erreichbar. Besucherdaten verschiedener Kunden werden nicht zusammengeführt oder gemeinsam ausgewertet. Zusammengefasst werden nur Zahlen ohne Personenbezug (Anlage 1 § 9).
Verfügbarkeit	Auslieferung über die Infrastruktur des Hosters mit dessen Redundanz. Unsere Systeme melden Störungen selbst.
Auftragskontrolle	Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern (Anhang B)
Physische Sicherheit	Für Rechenzentren, Zutritt und Netz gelten die Maßnahmen des Hosters aus seinem Auftragsverarbeitungsvertrag. Vercel ist nach SOC 2 Typ 2 und ISO 27001:2022 geprüft.
Überprüfung	Automatische Tests bei jeder Änderung. Wir überprüfen diese Maßnahmen mindestens einmal im Jahr.

Anhang B – Unterauftragsverarbeiter

Unternehmen	Leistung	Ort und Grundlage für das Drittland	Löschfrist der Logs
Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA	Auslieferung (Hosting) der Website; dabei fallen die Server-Logs nach § 3 an	Ihre Website besteht aus statischen Dateien. Vercel liefert sie über sein weltweites Netz aus und verarbeitet hauptsächlich in den USA. Sitz in den USA. Vercel ist nach dem EU-US Data Privacy Framework zertifiziert; zusätzlich gelten EU-Standardvertragsklauseln.	nach den Fristen von Vercel: 1 Tag (Laufzeit-Protokolle)