Zurück zu valiko

Vertrag zur Auftragsverarbeitung

Nach Artikel 28 Absatz 3 DSGVO · Fassung vom 09.08.2026

§ 1 Gegenstand und Dauer

1. Gegenstand ist der Betrieb des Anfrage-Werkzeugs valiko. Dazu gehören: die Bereitstellung des Portals, das Ausspielen der veröffentlichten Strecken unter der vom Verantwortlichen gewählten Adresse und die Entgegennahme der abgeschickten Anfragen. Dazu gehören weiter: der Versand jeder Anfrage an die vom Verantwortlichen hinterlegte Adresse, die Speicherung der Anfragen im Portal, die Ablage der vom Verantwortlichen hochgeladenen Bilder und Videos sowie die Zählung der Kartenaufrufe ohne Personenbezug.
2. Die Verarbeitung findet auf Servern in der Europäischen Union statt. Die Datensicherung liegt auf einem zweiten Server des in Anlage 2 genannten Anbieters, ebenfalls in der Europäischen Union; sie wird auf dem Server des Auftragsverarbeiters verschlüsselt, bevor sie übertragen wird, und der Anbieter hat keinen Zugriff auf den Klartext. Näheres in Anlage 2.
3. Die Laufzeit entspricht der Laufzeit der Nutzung von valiko. Sie endet automatisch mit deren Beendigung; § 7 bleibt davon unberührt.

§ 2 Art, Zweck und Umfang

1. Zweck ist ausschließlich die Entgegennahme, Weiterleitung und Bereithaltung der Anfragen, die Interessenten des Verantwortlichen über dessen Strecke abschicken.
2. Art der Verarbeitung: Erheben, Speichern, Übermitteln an den Verantwortlichen, Löschen.
3. Der Auftragsverarbeiter verarbeitet die Daten der Interessenten nicht zu eigenen Zwecken. Eine Weitergabe an andere als die in Anlage 2 genannten Unterauftragsverarbeiter findet nicht statt.

§ 3 Datenkategorien und betroffene Personen

1. Verarbeitete Datenkategorien: die Angaben, die der Verantwortliche in seiner Strecke abfragt. Üblich sind Name, Telefonnummer, E-Mail-Adresse, Ort sowie die angetippten Antworten. Der Verantwortliche legt selbst fest, was er abfragt. Hinzu kommen technische Daten, die beim Absenden anfallen: Zeitstempel der Anfrage sowie die IP-Adresse des Absenders, die der Dienst für höchstens eine Stunde im Arbeitsspeicher mitzählt, um Massen-Einsendungen abzuwehren.
2. Fragt der Verantwortliche besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO ab, etwa Gesundheitsangaben, muss er das vorher in Textform mitteilen. Ohne diese Mitteilung ist die Abfrage solcher Daten über valiko nicht gestattet.
3. Kreis der betroffenen Personen: Interessenten und Bewerber des Verantwortlichen, die seine Strecke ausfüllen.

§ 4 Pflichten des Auftragsverarbeiters

1. Weisungsbindung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. Weisungen können in Textform erteilt werden. Was der Verantwortliche im Portal einstellt, gilt als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
2. Vertraulichkeit. Es werden nur Personen eingesetzt, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff ist auf die Personen beschränkt, die ihn zur Vertragserfüllung benötigen.
3. Sicherheit. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik fortlaufend an. Ein Absenken des Schutzniveaus unter das Niveau der Anlage 1 ist unzulässig. Die Angaben unter "Sparsame Auslieferung" in Anlage 1 beschreiben, wie der Auftragsverarbeiter die Strecke ausliefert; sie hindern den Verantwortlichen nicht daran, eigene Messwerkzeuge einzubauen, und werden durch eine solche Entscheidung nicht verletzt.
4. Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Mitteln bei dessen Pflichten aus Artikel 12 bis 23 DSGVO sowie Artikel 32 bis 36 DSGVO.
5. Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter. Auskunft, Berichtigung, Löschung oder Einschränkung nimmt der Auftragsverarbeiter nur auf Weisung des Verantwortlichen vor.
6. Meldung von Verletzungen. Der Auftragsverarbeiter meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Artikel 33 Absatz 3 DSGVO, soweit verfügbar.
7. Nachweis. Der Auftragsverarbeiter stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DSGVO erforderlich sind.
8. Verzeichnis. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 Absatz 2 DSGVO.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten sind in Anlage 2 aufgeführt.
2. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen in Textform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei berechtigtem Widerspruch ohne zumutbare Alternative steht beiden Parteien ein außerordentliches Kündigungsrecht zu.
3. Mit jedem Unterauftragsverarbeiter werden Pflichten vereinbart, die den Pflichten dieses Vertrags im Wesentlichen entsprechen (Artikel 28 Absatz 4 DSGVO).

§ 6 Kontrollrechte

1. Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu kontrollieren - in der Regel durch Einholung von Auskünften und aussagekräftigen Nachweisen.
2. Kontrollen vor Ort erfolgen nach angemessener Vorankündigung zu üblichen Geschäftszeiten, ohne den Betriebsablauf unverhältnismäßig zu stören. Für den Aufwand einer Kontrolle vor Ort kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, sofern die Kontrolle nicht durch einen von ihm zu vertretenden Umstand veranlasst ist.

§ 7 Löschung und Rückgabe

1. Anfragen werden spätestens 24 Monate nach ihrem Eingang gelöscht, sofern der Verantwortliche nicht zuvor eine andere Weisung erteilt. Der Verantwortliche kann seine Anfragen jederzeit selbst im Portal löschen - einzeln oder alle auf einmal, indem er die zugehörige Strecke löscht. Technische Daten nach § 3 Absatz 1 Satz 4 werden spätestens nach einer Stunde gelöscht.
2. Nach Beendigung gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten in einem gängigen Format heraus - im Portal steht dafür die Tabellen-Ausgabe bereit - oder löscht sie datenschutzgerecht und bestätigt die Löschung in Textform. Ohne Wahl innerhalb von 30 Tagen nach Beendigung werden die Daten gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
3. Aus den verschlüsselten Datensicherungen verschwinden gelöschte Daten mit dem Ablauf der letzten Sicherung, die sie noch enthält, spätestens nach 14 Nächten.

§ 8 Haftung

1. Für die Haftung gilt Artikel 82 DSGVO. Im Innenverhältnis haftet jede Partei für den Schaden, der durch die von ihr zu vertretende Verletzung datenschutzrechtlicher Pflichten entstanden ist.
2. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung zuständig, insbesondere für die Rechtsgrundlage und für die Information der betroffenen Personen nach Artikel 13 und 14 DSGVO. Dazu gehört die Datenschutzerklärung, die er in seiner Strecke verlinkt.

§ 9 Schlussbestimmungen

1. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Änderung dieser Klausel.
2. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist - soweit gesetzlich zulässig - der Sitz des Auftragsverarbeiters.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
4. In datenschutzrechtlichen Fragen geht dieser Vertrag allen sonstigen Vereinbarungen zwischen den Parteien über die Nutzung von valiko vor.
5. Dieser Vertrag wird dem Verantwortlichen in Textform zur Verfügung gestellt. Er wird einbezogen, indem der Verantwortliche ihm bei der Anlage seines Kontos zustimmt. Einer gesonderten Unterschrift bedarf es nicht. Ändert der Auftragsverarbeiter diesen Vertrag, teilt er das in Textform mit; der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Mitteilung widersprechen. Bei Widerspruch gilt die bisherige Fassung fort, und beiden Parteien steht ein Kündigungsrecht zu.

Anlage 1 - Technische und organisatorische Maßnahmen

Zutritt und Zugang

• Server in einem Rechenzentrum in der Europäischen Union (Host Europe GmbH); physischer Zutritt nur für autorisiertes Rechenzentrumspersonal.
• Administrativer Zugriff ausschließlich über SSH mit Schlüssel-Authentifizierung, beschränkt auf die Geschäftsführung und beauftragte Administratoren.

Zugriff

• Der Dienst läuft unter einem eigenen Systemkonto ohne Schreibrecht auf seinen eigenen Programmcode. Zugangsdaten liegen außerhalb des Webverzeichnisses und sind für den Dienst nur lesbar.
• Jede Zeile der Datenbank hängt an einem Konto. Der Zugriff läuft über eine einzige Prüfstelle; passt das Konto nicht, antwortet das Portal, als gäbe es die Strecke nicht.
• Anmeldung ohne Passwort über einen Einmal-Link, der 20 Minuten gilt, genau einmal eingelöst wird und an das anfragende Gerät gebunden ist. Gespeichert wird nur sein Fingerabdruck.

Übertragung

• Sämtliche Verbindungen laufen verschlüsselt über HTTPS, auch unter der eigenen Domain des Verantwortlichen.
• Mailversand über den eigenen Mailserver des Auftragsverarbeiters mit SPF, DKIM und DMARC. Ein externer Massenversand-Dienstleister ist nicht beteiligt.

Eingabe und Auftrag

• Änderungen an Konten und Strecken werden mit Zeitstempel protokolliert.
• Jede Veröffentlichung wird als eigene Fassung abgelegt und bleibt nachvollziehbar.

Sparsame Auslieferung

• Eine über das Portal veröffentlichte Strecke setzt von sich aus kein Cookie, lädt nichts von fremden Servern und protokolliert keine IP-Adresse des Besuchers. Weder der Webserver noch der Dienst dahinter schreiben sie in eine Datei oder in die Datenbank. Baut der Verantwortliche eigene Messwerkzeuge in seine Strecke ein, entscheidet und verantwortet er das selbst.
• Beim Absenden einer Anfrage zählt der Dienst für höchstens eine Stunde im Arbeitsspeicher mit, wie viele Anfragen von derselben IP-Adresse kommen. Das wehrt Massen-Einsendungen ab und endet mit dem Ablauf der Stunde oder mit dem Neustart des Dienstes.
• Gezählt wird beim Auftragsverarbeiter ausschließlich, wie oft eine Karte gesehen und wie oft sie beantwortet wurde, je Karte und Tag. Ein Personenbezug entsteht dabei nicht.

Verfügbarkeit und Trennung

• Tägliche Datensicherung von Datenbank und Mediathek. Die Sicherung wird auf dem Server verschlüsselt und erst danach auf einen zweiten Server übertragen. Den Schlüssel hält allein der Auftragsverarbeiter; der Anbieter des Speicherorts kann den Inhalt nicht lesen. Vierzehn Stände bleiben vorgehalten. Schlägt eine Sicherung fehl, meldet sich das System automatisch per Mail.
• Mandantenfähige Architektur: Die Daten des Verantwortlichen werden logisch getrennt von Daten anderer Auftraggeber verarbeitet.
• Firewall auf dem Server, zeitnahe Sicherheitsaktualisierungen.

Anlage 2 - Unterauftragsverarbeiter

Unternehmen	Sitz	Leistung	Ort der Verarbeitung
Host Europe GmbH	Hansestraße 111, 51149 Köln (Amtsgericht Köln, HRB 28495)	Serverhosting für Portal, Strecken, Datenbank und Mailserver sowie Speicherort der verschlüsselten Datensicherung	Rechenzentrum in der EU
Hetzner Online GmbH	Industriestraße 25, 91710 Gunzenhausen (Amtsgericht Ansbach, HRB 6089)	Namensauflösung der Domain	Deutschland

Pexels Inc. ist kein Unterauftragsverarbeiter: Die Stockfoto-Suche findet nur im Portal statt, betrifft ausschließlich den Verantwortlichen selbst und keine Daten von Interessenten.