Auftragsverarbeitungsvertrag (AVV)
Stand: März 2026Dieser AVV gilt für die Nutzung der Plattform PageUpgrade und ergänzt die AGB sowie die Datenschutzerklärung.
1. Vertragsparteien
Auftragnehmer: E-Business Matthias Schneider · Kolpingstraße 4 · 40667 Meerbusch
Auftraggeber: Der jeweilige Nutzer der Plattform PageUpgrade.
Dieser Vertrag wird bei der Registrierung elektronisch abgeschlossen. Zustimmung zu AVV, AGB und Datenschutzerklärung ist Voraussetzung. Die Zustimmung wird mit Zeitstempel, IP-Adresse und Dokumentversion protokolliert.
2. Gegenstand der Verarbeitung
Landing Pages, Content Parts, Visual Editor, Content-Bibliothek, WordPress-Plugin, Lead-Erfassung mit DOI, E-Mail-Serien, Popup-System, Webhooks.
3. Art der verarbeiteten Daten
- Name und Anzeigename des Nutzers
- E-Mail-Adresse des Nutzers
- WordPress-Zugangsdaten des Nutzers (Site-URL, Benutzername, Application Password) — verschlüsselt gespeichert
- E-Mail-Serien Versanddaten (Empfänger-E-Mail und -Name in der Versand-Queue)
- Pseudonymisierte Nutzungsdaten
4. Kategorien betroffener Personen
Empfänger von E-Mail-Serien (E-Mail-Adresse und Name in der Versand-Queue). Lead-Daten im engeren Sinne (Formularfelder, Tags, DOI-Status) werden ausschließlich in der WordPress-Datenbank des Auftraggebers verarbeitet.
5. Dauer
Dieser Vertrag gilt für die gesamte Nutzungsdauer der Plattform.
6. Pflichten des Auftragnehmers
Verarbeitung nur auf Weisung, Vertraulichkeit, geeignete technische und organisatorische Maßnahmen, Unterstützung bei DSGVO-Pflichten, Löschung nach Vertragsende, Nachweispflicht nach Art. 28 DSGVO.
7. Pflichten des Auftraggebers
Rechtmäßigkeit der Datenverarbeitung, Einholung von Einwilligungen, Information der Website-Besucher, Weiterleitung von Betroffenenanfragen.
8. Technische und organisatorische Maßnahmen
Verschlüsselung at Rest
Nutzerdaten wie E-Mail-Adresse und Anzeigename sowie die E-Mail-Versand-Queue (Empfänger-E-Mail und -Name) werden unverschlüsselt in der Datenbank gespeichert. Passwörter werden als kryptographischer Hash gespeichert (bcrypt). API-Keys werden als SHA-256-Hash gespeichert.
Weitere Maßnahmen
- Transport: HTTPS/TLS 1.2+ für alle Verbindungen
- Zugang: JWT (HttpOnly), API-Keys (SHA-256-Hash), Magic-Link, Rate-Limiting
- Zugriff: owner_id-Filterung, Audit-Log
- Integrität: HMAC-SHA256, Blind Index
- Verfügbarkeit: Automatisierte verschlüsselte Backups (Fernet/AES), Docker-Infrastruktur
9. Unterauftragsverarbeiter
| Dienst | Zweck | Standort |
|---|---|---|
| Host Europe GmbH | Server-Hosting | Deutschland |
| BunnyWay d.o.o. (Bunny.net) | Verschlüsselte Backups | EU (Slowenien). Backups sind vor dem Upload AES-verschlüsselt. |
Optional aktivierbar:
| Dienst | Zweck | Aktivierung |
|---|---|---|
| SMTP-Provider des Nutzers | E-Mail-Versand | Nutzer konfiguriert in WordPress |
| Webhook-Empfänger | Datenweiterleitung | Nutzer konfiguriert URL |
| Stripe | Zahlungsabwicklung | Bei kostenpflichtigen Plänen |
10. Datenschutzverletzungen
Unverzügliche Unterrichtung des Auftraggebers bei Feststellung einer Verletzung.
11. Löschung nach Vertragsende
Bei Account-Löschung werden alle personenbezogenen Daten des Nutzers entfernt. Der individuelle Verschlüsselungsschlüssel wird vernichtet, wodurch alle damit verschlüsselten Daten (WordPress-Zugangsdaten) kryptographisch dauerhaft unlesbar werden. Unverschlüsselt gespeicherte Daten (E-Mail-Adresse, Anzeigename, Versand-Queue-Einträge) werden direkt aus der Datenbank gelöscht.
12. Schlussbestimmungen
Deutsches Recht. Änderungen bedürfen der Schriftform.