Auftragsverarbeitung (AVV) – Kundenpaket
Dieses AVV-Paket regelt die Verarbeitung personenbezogener Daten, wenn VorteQ im Auftrag des Kunden Kontakt-/Lead-Anfragen der Kundenwebsite verarbeitet. Es ist die kundenfähige Kombifassung aus dem Kunden-AVV nach Art. 28 DSGVO und drei Anlagen.
Rollen
Bei Kontaktanfragen über die Kundenwebsite ist der Kunde Verantwortlicher. Philipp Steglich, handelnd unter der Geschäftsbezeichnung „VorteQ“, Elisabethstraße 34c, 86167 Augsburg, wird als Auftragsverarbeiter tätig und verarbeitet die Anfragen ausschließlich auf dokumentierte Weisung des Kunden.
Bestandteile des Pakets
- Kunden-AVV nach Art. 28 DSGVO
- Anlage 1 – Beschreibung der Verarbeitung
- Anlage 2 – Technische und organisatorische Maßnahmen (TOM)
- Anlage 3 – Unterauftragsverarbeiter
Was das praktisch bedeutet
Geht über die Kundenwebsite eine Anfrage ein, ist der Kunde als Betrieb Verantwortlicher. VorteQ verarbeitet die Anfrage ausschließlich im Auftrag des Kunden, um sie technisch per E-Mail an den Kunden weiterzuleiten und den Kunden über neue Anfragen zu benachrichtigen.
Lead-Inhalte werden nicht für eigene Analysen, CRM, KI-Training, Statistik oder Marketing genutzt. Erfolgreich zugestellte Lead-Inhalte werden möglichst sofort gelöscht; technische Fehlerqueues mit Lead-Inhalten spätestens nach 7 Kalendertagen. Eine persistente Lead-Datenbank besteht nicht.
Die Website läuft auf Hetzner-Servern in Deutschland/EU; die E-Mail-Zustellung erfolgt über Brevo (Sendinblue SAS, Frankreich/EU). Der Zugriff durch VorteQ erfolgt aus Deutschland.
Wesentliche Pflichten von VorteQ (Art. 28 Abs. 3 DSGVO)
VorteQ verarbeitet die personenbezogenen Daten ausschließlich auf dokumentierte Weisung des Kunden, sofern nicht eine gesetzliche Verpflichtung etwas anderes vorschreibt.
VorteQ verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit und ergreift die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 2).
Unterauftragsverarbeiter werden nur nach Maßgabe von Art. 28 Abs. 2 und 4 DSGVO eingesetzt (Anlage 3) und auf ein gleichwertiges Datenschutzniveau verpflichtet. Über beabsichtigte Änderungen informiert VorteQ den Kunden vorab; der Kunde kann einer Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen.
VorteQ unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 23 DSGVO) sowie bei den Pflichten nach Art. 32 bis 36 DSGVO und stellt dem Kunden die zum Nachweis der Einhaltung erforderlichen Informationen zur Verfügung.
Nach Abschluss der Verarbeitung löscht VorteQ die personenbezogenen Daten oder gibt sie nach Wahl des Kunden zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
Verbindliche Annahme im Checkout
Mit der Beauftragung akzeptiert der Kunde den Kunden-AVV nach Art. 28 DSGVO einschließlich der technischen und organisatorischen Maßnahmen (Anlage 2) und der Unterauftragsverarbeiterliste (Anlage 3) in der Fassung VQ-AVVP-2026-06-v5. Dem Kunden ist bekannt, dass sein Unternehmen bei Kontaktanfragen über die Kundenwebsite Verantwortlicher ist und VorteQ als Auftragsverarbeiter tätig wird.
Anlage 1 – Beschreibung der Verarbeitung
Gegenstand und Zweck: Empfang und technische Weiterleitung der über die Kundenwebsite eingehenden Kontakt-/Lead-Anfragen an den Kunden sowie Benachrichtigung des Kunden über neue Anfragen per E-Mail.
Art der Verarbeitung: Erheben über das Webformular, kurzzeitiges Speichern für die Dauer der Zustellung, Übermitteln per E-Mail und anschließendes Löschen.
Keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO.
Ort der Verarbeitung: Server in Deutschland/EU (Hetzner); E-Mail-Zustellung über Brevo (Sendinblue SAS, Frankreich/EU); Zugriff durch VorteQ aus Deutschland.
- Kategorien betroffener Personen: Interessenten und Endkunden des Kunden, die über die Kundenwebsite eine Anfrage stellen.
- Kategorien personenbezogener Daten: Name, Telefonnummer, E-Mail-Adresse sowie der vom Anfragenden eingegebene Freitext der Anfrage.
- Dauer/Löschung: erfolgreich zugestellte Lead-Inhalte möglichst sofort, technische Fehlerqueues mit Lead-Inhalten spätestens nach 7 Kalendertagen; keine persistente Lead-Datenbank.
- Weisungsbindung: Verarbeitung ausschließlich auf dokumentierte Weisung des Kunden; keine Nutzung für eigene Zwecke.
Anlage 2 – Technische und organisatorische Maßnahmen (TOM)
VorteQ trifft die folgenden Maßnahmen nach Art. 32 DSGVO. Sie werden jährlich sowie bei jeder Änderung an Funnel, Hosting oder Dienstleistern überprüft.
- Zutrittskontrolle: Verarbeitung im Hetzner-Rechenzentrum in Deutschland (Falkenstein/Nürnberg), TÜV-Rheinland-auditiert; eigener Arbeitsplatz ohne Publikumsverkehr.
- Zugangskontrolle: Zwei-Faktor-Authentifizierung am Hosting-Login; starke Einzelpasswörter; ausschließlich verschlüsselte Administrationsverbindungen (SSH/HTTPS).
- Zugriffskontrolle: genau eine zugriffsberechtigte Person; keine Lead-Datenbank; eingehende Anfragen ausschließlich im E-Mail-Postfach.
- Weitergabe-/Transportkontrolle: durchgängige TLS-/HTTPS-Verschlüsselung; E-Mail-Versand über TLS-gesicherte Anbieterschnittstellen; kein Versand physischer Datenträger.
- Eingabe-/Protokollkontrolle: Server-Logs mit kurzer Vorhaltung (Nginx 14 Tage, PHP-FPM 7 Tage); Formularinhalte, Cookies, Authentifizierungs-Header und Passwörter werden nicht protokolliert.
- Auftragskontrolle: Unterauftragsverarbeiter sind nach Art. 28 DSGVO vertraglich gebunden (Hetzner-AVV; Brevo Data Protection Agreement, Anhang 2 der Nutzungsbedingungen, für den E-Mail-Versand).
- Verfügbarkeits-/Wiederherstellungskontrolle: minimale Datenhaltung; Anwendungscode vollständig versioniert und jederzeit reproduzierbar.
- Trennungskontrolle: eingehende Anfragen sind von der Rechnungs-/Buchhaltungsverarbeitung getrennt.
- Verschlüsselung: durchgängige Transportverschlüsselung (TLS) für Web und E-Mail.
- Datenminimierung: nur Pflichtfelder; selbst gehostete Schriften; kein Tracking auf Kundenwebsites, keine Analyse-Tools, keine Pixel, keine externen Karten oder Chats.
Anlage 3 – Unterauftragsverarbeiter
VorteQ setzt zur Erbringung der Verarbeitung die folgenden Unterauftragsverarbeiter ein. Mit Annahme dieses AVV stimmt der Kunde deren Einsatz zu.
- Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – Hosting, Server und Server-Logs; Verarbeitung in Deutschland/EU; Auftragsverarbeitungsvertrag nach Art. 28 DSGVO abgeschlossen.
- Brevo (Sendinblue SAS), 106 boulevard Haussmann, 75008 Paris, Frankreich – E-Mail-Versand über neue Anfragen an den Kunden; Verarbeitung in der Europäischen Union; Data Protection Agreement nach Art. 28 DSGVO (Anhang 2 der Brevo-Nutzungsbedingungen).