Vertragsparteien
der Kunde, der Richtfest für seine Websites bucht (Angaben gemäß Richtfest-Konto bzw. Rechnungsanschrift) – nachfolgend „Verantwortlicher“ –
und
IQ Mediengruppe LLC, 30 N Gould St Ste N, 82801 Sheridan, WY, USA, vertreten durch Meik Frankenhauser, Bahnhofstr. 10A, 67059 Ludwigshafen, zugleich Vertreter in der Union nach Art. 27 DSGVO – nachfolgend „Auftragsverarbeiter“ –
Präambel
Der Auftragsverarbeiter stellt dem Verantwortlichen das Werkzeug „Richtfest“ bereit, mit dem auf den Websites des Verantwortlichen echte Aktivitäten (z. B. Buchungen, Anmeldungen, Käufe) in kurzen Hinweisen angezeigt werden. Grundlage ist: die Nutzung von Richtfest gemäß gebuchtem Tarif bzw. Mitgliedschaft in der Fundament-Allianz. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO.
§ 1 Gegenstand, Dauer, Art und Zweck
(1) Gegenstand ist die Verarbeitung personenbezogener Daten zur Anzeige von Aktivitätshinweisen, Zählern und Live-Besucherzahlen auf folgenden Websites: die im Richtfest-Konto des Verantwortlichen eingetragenen Websites.
(2) Art der Verarbeitung: Erheben über Webhook oder Formularerfassung, Speichern, Auslesen, Anzeigen in anonymisierter oder verkürzter Form, Zählen, Löschen.
(3) Zweck: Darstellung echter Aktivitäten zur Information der Websitebesucher; Auswertung von Einblendungen und Klicks ohne Personenbezug.
(4) Dauer: Der Vertrag läuft so lange wie die Nutzung von Richtfest durch den Verantwortlichen.
§ 2 Art der Daten und betroffene Personen
(1) Datenarten: Vorname, Ort, Art der Aktivität und Zeitpunkt, Seitenadresse; eine je Seitenaufruf zufällig erzeugte, nicht auf dem Endgerät gespeicherte Besucherkennung für die Live-Zählung; technisch bedingt IP-Adressen in Server-Protokollen. E-Mail-Adressen, Nachnamen und Zahlungsdaten werden von Richtfest nicht verarbeitet.
(2) Betroffene: Kunden, Interessenten und Websitebesucher des Verantwortlichen.
§ 3 Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen erteilt der Verantwortliche insbesondere über die Einstellungen in seinem Richtfest-Konto (z. B. Datenschutz-Stufe, Quellen, Domains) sowie in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
§ 4 Pflichten des Auftragsverarbeiters
(1) Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
(2) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an, ohne das Schutzniveau zu senken.
(3) Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12–23 DSGVO), bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde (Art. 32–36 DSGVO). Einzelne Ereignisse kann der Verantwortliche jederzeit selbst löschen.
(4) Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.
§ 5 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann außerordentlich kündigen.
(3) Unterauftragsverarbeitern werden dieselben Datenschutzpflichten auferlegt wie in diesem Vertrag.
§ 6 Übermittlung in Drittländer
Die Speicherung erfolgt in der Europäischen Union (Rechenzentrum Frankfurt am Main). Der Auftragsverarbeiter hat seinen Sitz in den USA; soweit dadurch ein Zugriff aus einem Drittland möglich ist, gelten die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914, Modul 2) als vereinbart; sie gehen diesem Vertrag im Konfliktfall vor.
§ 7 Kontrollen
Der Auftragsverarbeiter weist die Einhaltung seiner Pflichten auf Anfrage durch geeignete Unterlagen nach. Der Verantwortliche kann nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten Kontrollen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen.
§ 8 Löschung und Rückgabe
Ereignisse werden nach 180 Tagen automatisch gelöscht, Live-Kennungen nach 10 Minuten. Nach Ende der Nutzung löscht der Auftragsverarbeiter alle Daten des Verantwortlichen innerhalb von 30 Tagen, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht; auf Wunsch stellt er sie vorher als Datei bereit.
§ 9 Haftung und Schlussbestimmungen
Für die Haftung gilt Art. 82 DSGVO. Änderungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist, soweit zulässig, Ludwigshafen am Rhein. Sollte eine Bestimmung unwirksam sein, bleibt der Rest wirksam. Der Vertrag kann elektronisch abgeschlossen werden.
Anlage 1 – Technische und organisatorische Maßnahmen
- Vertraulichkeit: Zugriff nur mit persönlicher Anmeldung; Zeilen-Zugriffsregeln in der Datenbank trennen die Daten jedes Verantwortlichen; Administrationszugänge mit starken Passwörtern und Zwei-Faktor-Anmeldung.
- Datensparsamkeit: nur Vorname und Ort; Anzeige wahlweise anonym; keine Cookies und kein Speicher auf dem Endgerät der Besucher; Live-Zählung mit flüchtiger Zufallskennung.
- Integrität: verschlüsselte Übertragung (TLS); Webhooks nur mit geheimem Schlüssel; Auslieferung nur an eingetragene Domains; Begrenzung der Anfragen gegen Missbrauch.
- Verfügbarkeit: Betrieb in einem Rechenzentrum mit redundanter Infrastruktur und regelmäßigen Sicherungen.
- Löschung: automatische Löschfristen (Ereignisse 180 Tage, Live-Kennungen 10 Minuten); Löschen einzelner Ereignisse durch den Verantwortlichen.
- Überprüfung: regelmäßige Kontrolle und Anpassung der Maßnahmen.
Anlage 2 – Unterauftragsverarbeiter
- Supabase Inc., 970 Toa Payoh North #07-04, Singapur – Datenbank und Server, Speicherort: EU (Frankfurt am Main); Standardvertragsklauseln vereinbart
- 1blu AG, Riedemannweg 60, 13627 Berlin – Webhosting der Auslieferungs- und Webhook-Adressen
Abschluss
Der Vertrag wird mit der Buchung von Richtfest bzw. mit der Freischaltung im Tarif Tragwerk geschlossen. Auf Wunsch senden wir ihn dir zusätzlich zur elektronischen Unterschrift. Fassung 2026-10.