Vereinbarung zur Auftragsverarbeitung (Agentur-Paket)

Fassung 2026-10, Stand: 8. Oktober 2026

Diese Vereinbarung nach Art. 28 DSGVO gilt zwischen dem Kunden des Agentur-Pakets („Verantwortlicher“) und der That Works Media UG (haftungsbeschränkt), Danckelmannstraße 40, 14059 Berlin, E-Mail hallo@seonautik.de („Auftragsverarbeiter“ oder „wir“). Sie ist mit der Buchung des Agentur-Pakets vereinbart (AGB § 2c Abs. 11) und gilt, solange wir personenbezogene Daten im Auftrag des Verantwortlichen verarbeiten.

1. Gegenstand, Art und Zweck der Verarbeitung

Gegenstand ist die Speicherung der Angaben, die der Verantwortliche im Agentur-Portal zu seinen eigenen Kunden macht, damit er seine Reports zuordnen und abrufen kann. Das sind der optionale „Kundenname“ und die Domain der zu prüfenden Website, soweit sie sich auf eine natürliche Person beziehen (zum Beispiel ein Einzelunternehmer oder ein Ansprechpartner).

Nicht Gegenstand dieser Vereinbarung ist die Prüfung der öffentlich zugänglichen Website selbst (Abruf der Seiten, Auswertung, Abfragen bei Prüfdiensten und KI-Systemen). Dafür sind wir nach Abschnitt 7 der Datenschutzerklärung selbst verantwortlich. Die eigenen Vertrags- und Markendaten des Verantwortlichen verarbeiten wir als Vertragspartner, nicht im Auftrag.

2. Art der Daten und Kreis der Betroffenen

Daten: Namen von Unternehmen, Projekten oder Personen, die der Verantwortliche in das Feld „Kundenname“ einträgt, und Domains. Betroffene: Kunden und Ansprechpartner des Verantwortlichen. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) dürfen nicht eingegeben werden. Wir bitten darum, im Feld „Kundenname“ nur Firmen- oder Projektnamen anzugeben.

3. Dauer

Die Verarbeitung dauert, solange das Agentur-Paket besteht und die Reports abrufbar sind. Die Löschung richtet sich nach Abschnitt 9.

4. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus dieser Vereinbarung, den AGB und der Nutzung des Agentur-Portals; weitere Weisungen erteilt der Verantwortliche in Textform. Ist eine Weisung nach unserer Auffassung rechtswidrig, teilen wir das unverzüglich mit (Art. 28 Abs. 3 Satz 3 DSGVO). Eine Verarbeitung für eigene Zwecke findet nicht statt, es sei denn, das Recht der Union oder Deutschlands verpflichtet uns dazu; in diesem Fall teilen wir dem Verantwortlichen die rechtliche Anforderung vorher mit, soweit das Recht dies nicht verbietet.

5. Vertraulichkeit

Personen, die bei uns Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Betrieb auf einem gemieteten virtuellen Server in einem Rechenzentrum in Frankfurt am Main; Übertragung ausschließlich TLS-verschlüsselt (HTTPS).
• Zugang zum Agentur-Portal nur über einmalige Anmelde-Links (30 Minuten gültig, nur ein Hash gespeichert) und ein Sitzungs-Cookie (httpOnly), das beim Abmelden für alle Geräte ungültig wird.
• Verwaltungsbereich und Server nur für unsere Mitarbeitenden zugänglich und passwort- bzw. schlüsselgeschützt.
• Reports nur über nicht erratbare Links abrufbar.
• Tägliche Datensicherung, vor der Übertragung mit einem nur uns bekannten Schlüssel verschlüsselt, Speicherort in der EU.
• Datenminimierung: Das Feld „Kundenname“ ist freiwillig; die Angaben werden nach Abschnitt 9 automatisch gelöscht.

Wir dürfen die Maßnahmen an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

7. Unterauftragsverarbeiter

Der Verantwortliche ist mit folgenden Unterauftragsverarbeitern einverstanden:

• Hostinger International Ltd., Zypern: Server (Standort Frankfurt am Main) und E-Mail-Postfach.
• Backblaze, Inc., USA: Speicherung der verschlüsselten Datensicherung in einem Rechenzentrum in den Niederlanden; Übermittlungsgrundlage nach Abschnitt 12 der Datenschutzerklärung.
• Resend, Inc., USA: Versand der E-Mails an den Verantwortlichen (z. B. „Report fertig“ mit der Domain); Übermittlungsgrundlage nach Abschnitt 9 der Datenschutzerklärung.

Weitere oder andere Unterauftragsverarbeiter kündigen wir mindestens 30 Tage vorher per E-Mail an. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er das Agentur-Paket zum Wirksamwerden der Änderung kündigen. Wir verpflichten Unterauftragsverarbeiter vertraglich auf gleichwertige Datenschutzpflichten.

8. Unterstützung des Verantwortlichen

Wir unterstützen den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person an uns, leiten wir die Anfrage an den Verantwortlichen weiter. Eine Verletzung des Schutzes personenbezogener Daten melden wir dem Verantwortlichen unverzüglich, nachdem sie uns bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen.

9. Löschung und Rückgabe

„Kundennamen“ und Domain löschen wir zwölf Monate nach Erstellung des jeweiligen Reports, die Reports selbst nach Abschnitt 8 der Datenschutzerklärung. Der Verantwortliche kann einzelne Angaben jederzeit früher löschen lassen (E-Mail an hallo@seonautik.de). Nach Ende des Agentur-Pakets löschen wir die Daten spätestens zu diesen Zeitpunkten, sofern keine gesetzliche Pflicht zur Speicherung besteht. Vor der Löschung kann der Verantwortliche seine Reports im Portal abrufen. Kopien in der Datensicherung werden mit deren Ablauf gelöscht (höchstens sechs Monate).

10. Nachweise und Überprüfungen

Wir stellen dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlich sind. Überprüfungen, auch Inspektionen, ermöglichen wir nach Absprache mit angemessener Vorankündigung während der Geschäftszeiten und ohne Störung des Betriebs; der Verantwortliche trägt die eigenen Kosten.

11. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO, im Übrigen gelten die AGB. Bei Widersprüchen zu den AGB geht diese Vereinbarung in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Berlin.