nennbar

Entwurf · rechtlich zu prüfen

Auftragsverarbeitungsvertrag

Hinweis: Dies ist ein Entwurf. Verbindlich wird der Vertrag erst durch Abschluss in Textform (Anfrage an hi@nennbar.com).

1. Parteien und Gegenstand

Dieser Vertrag gilt zwischen dem Kunden (Verantwortlicher) und der LEA Software UG (haftungsbeschränkt), c/o VERDURE GmbH, Hermannstr. 5A, 70178 Stuttgart (Auftragsverarbeiter, „Nennbar“), soweit Nennbar für den Kunden personenbezogene Daten verarbeitet. Das betrifft insbesondere:

  • den AI-Beacon auf der Website des Kunden (Besuche aus KI-Assistenten: Domain, Pfad, KI-Quelle, Land, Zeitpunkt),
  • das Lead-Widget (Domain, E-Mail-Adresse und optional Name von Interessenten),
  • Angaben zu Team-Mitgliedern und Ansprechpersonen im White-Label-Profil.

Laufzeit: für die Dauer des Hauptvertrags (Tarif bei Nennbar).

2. Art und Zweck, Betroffene, Datenarten

Zweck ist die Bereitstellung der gebuchten Leistungen (Messung, Berichte, Traffic-Nachweis, Lead-Erfassung). Betroffen sind Besucher der Kunden-Website, Interessenten aus dem Lead-Widget und Beschäftigte des Kunden. Datenarten: Kontaktdaten, Nutzungsdaten ohne IP-Adresse, Angaben aus Formularen.

3. Pflichten von Nennbar

  • Verarbeitung nur auf dokumentierte Weisung des Kunden; dieser Vertrag und die Einstellungen im Dashboard gelten als Weisung.
  • Vertraulichkeit aller mit der Verarbeitung befassten Personen.
  • Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (Anlage 1).
  • Unterstützung bei Anfragen Betroffener und bei Pflichten nach Art. 32–36 DSGVO.
  • Meldung von Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst binnen 24 Stunden nach Kenntnis.
  • Löschung oder Rückgabe aller Daten nach Vertragsende, soweit keine Aufbewahrungspflicht besteht.
  • Nachweis der Einhaltung und Ermöglichung von Überprüfungen nach angemessener Vorankündigung.

4. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu (Anlage 2). Über Änderungen informiert Nennbar vorab in Textform; der Kunde kann aus wichtigem Grund widersprechen.

5. Haftung

Es gilt Art. 82 DSGVO; im Übrigen die Regelungen des Hauptvertrags.

Anlage 1: Technische und organisatorische Maßnahmen

Zutritt und Zugang

  • Betrieb in einem Rechenzentrum des Hosters in Frankfurt am Main mit dessen physischen Schutzmaßnahmen
  • Administrativer Zugang nur über verschlüsselte Verbindungen und persönliche Zugangsdaten

Zugriff

  • Anmeldung der Kunden über eine selbst betriebene Supabase-Instanz; Passwörter nur als Hash
  • Rollen: Kontoinhaber und Team-Mitglieder; Abrechnung, Schlüssel und Löschung nur für Inhaber
  • API-Schlüssel nur als Hash gespeichert, widerrufbar

Weitergabe

  • Übertragung ausschließlich per TLS
  • Webhooks mit HMAC-Signatur; Links zu Berichten signiert

Eingabekontrolle

  • Protokollierung von Zahlungs- und Tarifereignissen
  • Aufträge (Scans) mit Zeitstempel und Konto

Verfügbarkeit

  • Datensicherung durch den Hoster
  • Warteschlange mit Wiederholungen bei Ausfällen einzelner Anbieter

Trennung

  • Mandantentrennung über Konto-Kennung in allen Datenbankabfragen
  • Beacon-Daten und Leads nur für das jeweilige Konto abrufbar

Datenminimierung und Löschung

  • Beacon ohne Cookies und ohne Speicherung von IP-Adressen
  • Messaufträge nach 90 Tagen, Beacon-Ereignisse nach 13 Monaten automatisch gelöscht
  • Konto-Löschung durch den Kunden im Dashboard

Anlage 2: Unterauftragsverarbeiter

  • Hostinger International Ltd.: Hosting, Datenbank, E-Mail-Versand (Zypern; Rechenzentrum Frankfurt am Main)
  • DataForSEO OÜ: Abruf von KI-Antworten und Suchergebnissen (ohne personenbezogene Daten Dritter) (Estland (EU))
  • Cloro Incorporation Ltd.: Abruf von KI-Antworten (ohne personenbezogene Daten Dritter) (Malta; Verarbeitung in den USA (Standardvertragsklauseln))
  • OpenRouter, Inc.: KI-Abfragen und Auswertung (ohne personenbezogene Daten Dritter) (USA (Standardvertragsklauseln))