Vereinbarung zur Auftragsverarbeitung (AVV) gemäß Art. 28 DSGVO

1. Vertragsparteien und Rollen

Auftragsverarbeiter: plugwith.me, Inh. Eray Yilmaz, Wuhlestraße 7a, 12683 Berlin (im Folgenden "Anbieter").

Verantwortlicher: Die juristische oder natürliche Person, die ein kostenpflichtiges Konto bei plugwith.me unterhält (im Folgenden "Kunde"). Der Kunde ist Verantwortlicher i.S.d. Art. 4 Nr. 7 DSGVO bezüglich der personenbezogenen Daten der Endbesucherinnen und Endbesucher seiner Slugs.

2. Gegenstand und Dauer der Verarbeitung

Der Anbieter verarbeitet im Auftrag des Kunden anonyme Zugriffsereignisse auf die unter plugwith.me/<slug> erreichbaren Inhalte des Kunden zum Zwecke der Reichweiten- und Klick-Auswertung im Kunden-Dashboard. Sofern der Kunde marketing-tracking-tools (Meta-Pixel, Google Analytics, TikTok-Pixel, Snapchat-Pixel) aktiviert, fungiert der Anbieter lediglich als technischer Mittler, der diese vom Kunden bestimmten Skripte ausliefert; verantwortliche Stelle für die Drittanbieter-Verarbeitung bleibt allein der Kunde.

Die AVV gilt für die Dauer des Hauptvertrages (Abonnement) zwischen den Parteien.

3. Art und Zweck der Verarbeitung

Siehe Anlage 1 der AVV. In der Kurzfassung: anfragesynchrone Annahme und persistente Speicherung anonymer Zugriffsereignisse mit den in der Datenschutzerklärung Ziffer 6.1 aufgeführten Feldern.

4. Art der personenbezogenen Daten und Kategorien betroffener Personen

• Kategorien betroffener Personen: Endbesucher der vom Kunden veröffentlichten Slugs.
• Kategorien Daten: anonyme Zugriffsereignisse (siehe Datenschutzerklärung Ziffer 6.1); bei aktivierten Pixeln zusätzlich die durch den jeweiligen Drittanbieter erhobenen Daten — diese verarbeitet der Anbieter nicht selbst.

5. Pflichten des Anbieters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden (Buchung im Dashboard gilt als Weisung).
• Sicherstellung der Vertraulichkeit der mit der Verarbeitung befassten Personen.
• Implementierung und Aufrechterhaltung der technisch-organisatorischen Maßnahmen gemäß Anlage 2 der AVV (zusammengefasst in der Datenschutzerklärung Ziffer 12).
• Unterstützung des Kunden bei der Beantwortung von Betroffenenanträgen (Art. 12–22 DSGVO).
• Unterstützung des Kunden bei Datenschutz-Folgenabschätzungen, Vorabkonsultationen und Aufsichtsbehörden-Anfragen.
• Mitteilung von Datenschutzverletzungen unverzüglich, spätestens jedoch binnen 72 Stunden nach Kenntnisnahme.
• Rückgabe oder Löschung sämtlicher personenbezogener Daten nach Ende des Vertragsverhältnisses (Standard: Löschung).
• Bereitstellung aller Informationen, die zum Nachweis der Pflichten erforderlich sind, sowie Ermöglichung von Audits.

6. Sub-Auftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zur Heranziehung der folgenden Sub-Auftragsverarbeiter (Anlage 3):

• Netlify, Inc. (Hosting, CDN, Edge-Functions)
• Supabase, Inc. (Datenbank, Authentifizierung, Speicher)
• Stripe Payments Europe, Ltd. + Stripe, Inc. (Zahlungsabwicklung)
• Resend, Inc. (Transaktionsmail)
• Google Ireland Ltd. (Web-Fonts)

Über die Aufnahme oder den Austausch eines Sub-Auftragsverarbeiters wird der Anbieter den Kunden mindestens 30 Tage vor Wirksamwerden in Textform informieren. Der Kunde kann der Veränderung aus berechtigten datenschutzrechtlichen Gründen widersprechen; bei Widerspruch sind beide Parteien berechtigt, das Vertragsverhältnis ordentlich zu kündigen.

7. Drittlandtransfer

Soweit personenbezogene Daten in Drittländer übermittelt werden (insb. USA), sichert der Anbieter durch das EU-US Data Privacy Framework und ergänzend durch Standardvertragsklauseln gemäß Art. 46 Abs. 2 lit. c DSGVO ein angemessenes Schutzniveau zu.

8. Kontrollrechte des Kunden

Der Kunde ist berechtigt, einmal jährlich auf eigene Kosten und nach mindestens 14-tägiger Vorankündigung sowie unter Wahrung von Betriebsgeheimnissen ein Vor-Ort-Audit durchzuführen oder durchführen zu lassen. Der Anbieter kann statt eines Vor-Ort-Audits unabhängige Prüfberichte (z.B. ISO 27001 der Sub-Auftragsverarbeiter) vorlegen.

9. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und im Übrigen nach den Regelungen des Hauptvertrages.

10. Sonstiges

Es gilt deutsches Recht. Gerichtsstand ist Berlin. Mündliche Nebenabreden bestehen nicht.