Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Der Kunde, der den SiteNorma-Dienst beauftragt, handelt als Verantwortlicher. Gassiot & Llobet mit Steuer-ID (NIF) J66534553 handelt als Auftragsverarbeiter und verarbeitet die Daten nur zur Erbringung des beauftragten Dienstes gemäß den dokumentierten Anweisungen des Kunden, nämlich diesen Bedingungen und der Nutzung des Dienstes durch den Kunden.

2. Dauer

Diese Vereinbarung gilt so lange wie der Dienstvertrag. Bei Beendigung gelten die Bestimmungen von Abschnitt 8.

3. Art und Zweck der Verarbeitung

• Analyse der öffentlichen Webseiten des Kunden. Diese Seiten können personenbezogene Daten enthalten, etwa Namen, Fotos oder Kontaktdaten, die der Kunde selbst veröffentlicht und die in Screenshots und Codeausschnitten erfasst werden.
• Speicherung der erzeugten Ergebnisse, Belege und Dokumente.
• Verwaltung der Nutzer, die der Kunde in seine Organisation einlädt.
• Sobald das Barrierefreiheitszentrum existiert, Entgegennahme und Bearbeitung der Meldungen von Personen, die die Website des Kunden besuchen.

4. Datenarten und betroffene Personen

Im Auftrag des Kunden verarbeitete Daten

Betroffene Personen	Daten
Personen, deren Daten auf den gescannten Websites erscheinen	Die Daten, die der Kunde auf seiner Website veröffentlicht: Namen, Bilder, Kontaktdaten.
Vom Kunden eingeladene Nutzer	Name, E-Mail, Rolle und Aktivitätsprotokoll.
Personen, die ein Barrierefreiheitsproblem melden (künftig)	Optionale Kontaktdaten und Inhalt der Meldung.

5. Pflichten des Auftragsverarbeiters

• Die Daten nur gemäß den Anweisungen des Kunden verarbeiten und den Kunden informieren, wenn eine Anweisung gegen die geltenden Vorschriften verstoßen könnte.
• Sicherstellen, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben.
• Die Sicherheitsmaßnahmen nach Artikel 32 DSGVO anwenden: Verschlüsselung bei Übertragung und Speicherung, Zugangskontrolle, Audit-Protokollierung und verschlüsselte Sicherungen mit getesteter Wiederherstellung.
• Den Kunden bei der Beantwortung von Betroffenenanfragen und bei der Erfüllung seiner Pflichten zu Sicherheit, Verletzungsmeldung und Datenschutz-Folgenabschätzungen unterstützen.
• Den Kunden unverzüglich über jede bekannt gewordene Verletzung des Schutzes personenbezogener Daten unterrichten.
• Dem Kunden die Informationen zur Verfügung stellen, die nötig sind, um die Einhaltung nachzuweisen, und angemessene Audits zulassen.

6. Pflichten des Kunden

• Nur eigene Websites oder Websites analysieren, für die eine Berechtigung vorliegt.
• Betroffene Personen gegebenenfalls informieren, etwa im Formular des Barrierefreiheitszentrums.
• Nur Nutzer einladen, die Zugang brauchen, und ihre Berechtigungen prüfen.

7. Unterauftragsverarbeiter

Der Kunde erteilt eine allgemeine Genehmigung zur Beauftragung der für die Diensterbringung nötigen Unterauftragsverarbeiter. Wir kündigen Änderungen der Liste im Voraus an, damit der Kunde widersprechen kann. Jeder Unterauftragsverarbeiter übernimmt dieselben Datenschutzpflichten vertraglich.

Vorläufige Liste der Unterauftragsverarbeiter (zu bestätigen)

Anbieter	Dienst	Datenstandort
Hetzner Online GmbH	Server und Speicherung	Deutschland und Finnland (EU)
Anthropic	KI-Vorschläge, nur mit Fragmenten öffentlichen HTMLs	[PENDIENTE DE CONFIRMAR]
Sentry	Fehlerprotokollierung der App	Europäische Union
[PROVEEDOR DE EMAIL]	Versand von Service-E-Mails	Europäische Union
Stripe	Zahlungen und Abonnements	[PENDIENTE DE CONFIRMAR]

8. Ende der Vereinbarung

Wenn der Dienst endet, kann der Kunde seine Daten exportieren. Danach löschen wir sie, es sei denn, ein Gesetz verpflichtet uns, einen Teil aufzubewahren; dann halten wir ihn für die erforderliche Dauer gesperrt. [PLAZOS PENDIENTES]

9. Internationale Übermittlungen

Wenn ein Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums verarbeitet, geschieht das mit den Garantien nach Kapitel V der DSGVO, etwa den Standardvertragsklauseln der Europäischen Kommission.