DIST-NET · B2B

Vereinbarung zur Auftragsverarbeitung

Standardisierte Vereinbarung nach Art. 28 DSGVO für die beauftragte Analyse autorisierter Websiteinhalte. Stand 25.10.2026.

1. Parteien und Abgrenzung

Auftragnehmer ist Sebastian Bulak, DIST-NET, Velberter Straße 74, 45239 Essen, Deutschland, E-Mail info@dist-net.com. Auftraggeber ist das Unternehmen, das die Analyse seiner autorisierten Website beauftragt und im Fall einer Buchung im Bestellprozess bezeichnet wird. Die Anwendung dieser Vereinbarung setzt ihre wirksame Einbeziehung in den konkreten Auftrag voraus; der bloße Aufruf eines Links oder eine allgemeine Bestätigung von Scanbedingungen belegt diesen Abschluss nicht. Die Einbeziehung im Bestellprozess betrifft den dort vereinbarten Auftrag und ersetzt keine bereits zuvor erforderliche Vereinbarung für den kostenlosen Scan. Für eigene Rechnungs-, Zahlungs- und Vertragsverwaltung handelt DIST-NET als eigenständig Verantwortlicher; diese Verarbeitungen sind nicht Gegenstand des Auftrags. Soweit bereits im kostenlosen Scan personenbezogene Daten im Auftrag verarbeitet werden, muss eine hierfür erforderliche Vereinbarung nach Art. 28 DSGVO bereits vor dieser Verarbeitung wirksam bestehen. Eine erst später abgegebene Bestellbestätigung ersetzt diese Voraussetzung nicht rückwirkend. Ist die Einbeziehung vor einem beabsichtigten Scan unklar, ist sie vor dessen Beginn mit DIST-NET über info@dist-net.com zu klären.

2. Gegenstand, Zweck und Dauer

Gegenstand ist die automatisierte Erfassung öffentlicher Inhalte der vom Auftraggeber benannten autorisierten Website, ihre technische Auswertung, die angeforderte KI-gestützte Textvorbereitung sowie die zeitweise Bereitstellung der Ergebnisse. Verarbeitet werden Daten nur zu diesen Zwecken. Die Verarbeitung beginnt mit dem angefragten Scan und endet mit der Bereinigung der Analysedaten nach Ablauf der Bereitstellungsfrist. Vorschau ohne Buchung: 24 Stunden; bestätigte Analyse: 7 Kalendertage. Gesetzlich notwendige eigene Belegnachweise sind davon getrennt. Die Bereitstellungsfrist beginnt bei neuen Bestellungen mit der erstmaligen erfolgreichen Freischaltung, einschließlich einer gültigen Geschenkfreischaltung. Während der 7 Kalendertage sind die zum ursprünglichen Auftrag gehörenden ausdrücklich angeforderten KI-Vorschläge, Freigaben und Downloads möglich; erneutes Öffnen verlängert die Frist nicht. Für vorher angelegte Bestellungen bleibt eine bereits vereinbarte längere Frist erhalten. Externe Rankingmessungen und Keyword-Suchvolumenabfragen sind nicht Gegenstand neuer Aufträge. Frühere ausdrücklich vereinbarte Aufträge und ihre gespeicherten Fassungen werden durch diese Bereinigung nicht geändert. Der Zugriff endet unabhängig vom nächsten Bereinigungslauf zum gespeicherten Ablaufzeitpunkt. Die Rollenabgrenzung dieser AVV und eigene gesetzliche Belegpflichten bleiben unverändert.

3. Datenarten und betroffene Personen

Datenarten: öffentlich zugängliche Seitentexte, Namen, geschäftliche Kontaktdaten, Seitenadressen, Überschriften, Metadaten, technische Prüfergebnisse und die daraus erstellten Entwürfe. Betroffen sein können Beschäftigte, geschäftliche Ansprechpartner und andere auf der Website benannte Personen. Nicht beauftragt ist die Verarbeitung besonderer Kategorien nach Art. 9 DSGVO, strafrechtlicher Angaben nach Art. 10 DSGVO, Zugangsdaten oder nicht öffentlicher Kundendaten. Der Auftraggeber prüft die Eignung der Website und unterlässt die Eingabe solcher Inhalte.

4. Dokumentierte Weisungen und Verantwortung

Die Benennung der Website und die gezielte Anforderung einer KI-Verarbeitung sind dokumentierte fachliche Weisungen. Weitere Weisungen sind in Textform an info@dist-net.com zu richten. Der Auftraggeber verantwortet Rechtsgrundlagen, Informationspflichten und Berechtigungen seiner Datenverarbeitung. DIST-NET verarbeitet die Auftragsdaten nur auf dokumentierte Weisung, auch hinsichtlich einer Drittlandübermittlung, soweit keine zwingende gesetzliche Verpflichtung entgegensteht. Bei einer solchen Pflicht wird der Auftraggeber vorab informiert, sofern dies rechtlich zulässig ist. Für erkennbar rechtswidrige Weisungen informiert DIST-NET unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus.

5. Vertraulichkeit und Schutzmaßnahmen

Zugriffsberechtigte Personen werden vor einer Verarbeitung zur Vertraulichkeit verpflichtet oder unterliegen einer entsprechenden gesetzlichen Verpflichtung. Die als Anlage einbezogenen TOM beschreiben die tatsächlichen technischen Schutzmaßnahmen der Anwendung und die zusätzlich vom Betreiber zu erfüllenden Betriebsmaßnahmen. DIST-NET erhält ein angemessenes Schutzniveau nach Art. 32 DSGVO aufrecht. Änderungen der Maßnahmen dürfen den vereinbarten Schutz nicht wesentlich mindern und werden dokumentiert.

6. Unterauftragsverarbeiter

Für das eingerichtete Hosting wird IONOS SE eingesetzt. Für die angeforderte KI-Verarbeitung wird der OpenAI-Vertragspartner des API-Kontos eingesetzt; bei einem Vertrag für einen Kunden im EWR ist nach den einschlägigen Anbieterbedingungen grundsätzlich OpenAI Ireland Ltd. vorgesehen. Der eingerichtete Maildienst verarbeitet transaktionale E-Mails. Sofern dieser nicht durch IONOS erbracht wird, ist er vom Betreiber vor der Verarbeitung als zusätzlicher Unterauftragnehmer konkret zu benennen. Die aktuelle konkrete Dienstleister-, Leistungs- und Standortzuordnung wird dem Auftraggeber vor einer beabsichtigten abweichenden Verarbeitung mitgeteilt und ist Bestandteil der dokumentierten Betriebsangaben. PayPal verarbeitet Zahlungsdaten im Rahmen seiner eigenständigen Anbieterrolle, nicht als Unterauftragnehmer des Website-Scans. DataForSEO gehört nicht zum Auftragsgegenstand neuer Beauftragungen. Aus dieser Fassung folgt keine Genehmigung zusätzlicher Datenabfragen oder Unterauftragnehmer. Für zuvor ausdrücklich vereinbarte Altaufträge bleiben deren dokumentierte Anbieterzuordnungen und Datenschutzvereinbarungen unberührt. Die konkrete Mitteilung und erforderliche Genehmigung der tatsächlich eingesetzten Unterauftragsverarbeiter sowie erforderliche Transfernachweise werden durch eine allgemeine Nennung im Text nicht ersetzt.

7. Zustimmung zu Änderungen und Drittlandverarbeitung

Der Auftraggeber genehmigt die konkret mitgeteilten erforderlichen Unterauftragnehmer allgemein. DIST-NET informiert in Textform mindestens 14 Tage vor beabsichtigten Hinzufügungen oder einem Austausch. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren datenschutzbezogenen Gründen widersprechen. Bis zur Klärung wird die betroffene neue Verarbeitung für diesen Auftrag nicht begonnen; erforderlichenfalls wird eine vertragsgerechte Alternative oder die Beendigung des betroffenen Leistungsteils vereinbart. Unterauftragnehmer sind mit gleichwertigen Pflichten nach Art. 28 Abs. 4 DSGVO einzubinden. Drittlandübermittlungen erfolgen nur auf geeigneter Grundlage nach Art. 44 ff. DSGVO, beispielsweise einem einschlägigen Angemessenheitsbeschluss oder passenden Garantien einschließlich erforderlicher ergänzender Maßnahmen. Die EU-Adresse eines Anbieters allein belegt keinen ausschließlichen EU-Verarbeitungsort. Informationen über die für den konkreten Auftrag eingesetzten Unterauftragsverarbeiter und die einschlägigen Übermittlungsgarantien werden auf Anfrage in geeigneter Form bereitgestellt; erforderliche Schwärzungen zum Schutz fremder Rechte bleiben möglich. Eine allgemeine Benennung von Dienstleisterkategorien ersetzt nicht die vor einer einschlägigen Beauftragung erforderliche konkrete Mitteilung und Genehmigung.

8. Unterstützung, Vorfälle und Anfragen

DIST-NET unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei Betroffenenrechten, Sicherheit, Datenschutz-Folgenabschätzungen und erforderlichen Konsultationen nach Art. 32 bis 36 DSGVO. Unmittelbar eingehende Anfragen zu Auftragsdaten werden an den Auftraggeber weitergeleitet; eine eigenständige inhaltliche Beantwortung erfolgt nur auf dessen Weisung. Bekannt gewordene Verletzungen des Schutzes von Auftragsdaten werden dem Auftraggeber ohne unangemessene Verzögerung mitgeteilt. Verfügbare Angaben zu Art, Umfang, Folgen und Abhilfemaßnahmen werden beigefügt und erforderlichenfalls ergänzt. Die Meldung an Aufsichtsbehörden und Betroffene bleibt Aufgabe des Verantwortlichen, soweit das Gesetz nichts anderes bestimmt.

9. Nachweise und Kontrollen

DIST-NET stellt die erforderlichen Informationen zum Nachweis der vereinbarten Pflichten bereit und ermöglicht angemessene Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten Prüfer. Termine und Umfang werden unter Berücksichtigung von Sicherheit und Rechten anderer Kunden abgestimmt; ein berechtigter dringender Kontrollanlass wird nicht vereitelt. Soweit ein unabhängiger geeigneter Nachweis dieselbe Kontrolle ermöglicht, kann er einbezogen werden. Eine allgemeine Zertifizierung der Anwendung wird nicht zugesagt.

10. Rückgabe, Löschung und Ende des Auftrags

Der Auftraggeber kann während des Ergebniszeitraums seine Entwürfe exportieren. Nach Ende des Auftrags werden Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht; die Wahl ist rechtzeitig vor Ablauf mitzuteilen. Ohne abweichende Weisung gelten Exportmöglichkeit und anschließender Löschlauf als vereinbarter Ablauf. Vorhandene Kopien werden ebenfalls entfernt, soweit keine gesetzliche Speicherung erforderlich ist. Für eigene Belegzwecke erforderliche Nachweise werden getrennt geschützt und ausschließlich im zulässigen Umfang aufbewahrt. Backupkopien sind vom Betreiber in einem dokumentierten, angemessenen Rotations- und Wiederherstellungskonzept zu berücksichtigen; bereits gelöschte Daten dürfen nach einer Wiederherstellung nicht erneut dauerhaft aktiv werden.

11. Anlagen und dokumentierte Fassung

Anlage 1 sind die veröffentlichten technischen und organisatorischen Maßnahmen unter /tom. Die dem Auftrag zugrunde liegenden Unternehmens-, Website- und Bestelldaten bestimmen dessen konkrete Zuordnung. Die bei Bestellung bestätigten Fassungen werden zur Bestellung gespeichert und im Pay-&-Go-Vertrags-PDF bereitgestellt. Ein späterer Texteditor-Eingriff ändert diese gespeicherte Fassung nicht rückwirkend. Ergänzende individuelle Datenschutzvereinbarungen haben Vorrang.