Auftragsverarbeitungsvertrag (AVV) nach DSGVO

Version: 3.0  ·  Gültig ab: 5. November 2026

Dieser Auftragsverarbeitungsvertrag ("AVV", englisch Data Processing Agreement, "DPA") ist Teil der Nutzungsbedingungen ("Bedingungen") von Plerdy zwischen Plerdy und dem Kunden, der den Plerdy-Dienst nutzt ("Kunde"). Er regelt, wie Plerdy personenbezogene Daten im Auftrag des Kunden verarbeitet, so wie es Artikel 28 der EU-Datenschutz-Grundverordnung 2016/679 ("DSGVO") und andere geltende Datenschutzgesetze verlangen.

1. Wie dieser AVV gilt

1.1. Dieser AVV gilt automatisch für jeden Kunden, der die Bedingungen akzeptiert, ab dem Moment der Annahme. Eine Unterschrift ist nicht nötig. Artikel 28 Absatz 9 DSGVO erlaubt die elektronische Form des Vertrags.

1.2. Der AVV ist für alle Tarife und Zahlungsarten derselbe: kostenloser Tarif, Monats- und Jahresabonnements, Rechnungszahlung und AppSumo-Pakete. Er umfasst alle Websites, die mit dem Plerdy-Konto des Kunden verbunden sind.

1.3. Plerdy verhandelt und unterzeichnet keine individuellen Fassungen dieses AVV. Auf Anfrage an [email protected] schickt Plerdy eine von Plerdy unterzeichnete PDF-Version dieses AVV. Die unterzeichnete Kopie hat denselben Text und dieselbe Wirkung wie diese Seite.

2. Rollen und Begriffe

2.1. Für die personenbezogenen Daten der Besucher der Websites des Kunden, die der Plerdy-Code erfasst ("personenbezogene Daten des Kunden"), ist der Kunde der Verantwortliche und Plerdy der Auftragsverarbeiter. Für die Kontodaten des Kunden ist Plerdy der Verantwortliche, wie in der Datenschutzerklärung beschrieben. Dieser AVV gilt dafür nicht.

2.2. "Plerdy" bezeichnet Andrii Chornyi, Einzelunternehmer (FOP), Ukraine. Begriffe wie "Verantwortlicher", "Auftragsverarbeiter", "personenbezogene Daten", "Verarbeitung", "betroffene Person", "Verletzung des Schutzes personenbezogener Daten" und "Aufsichtsbehörde" haben die Bedeutung aus der DSGVO.

3. Weisungen

3.1. Plerdy verarbeitet personenbezogene Daten des Kunden nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, es sei denn, das Recht schreibt etwas anderes vor. In diesem Fall informiert Plerdy den Kunden vor der Verarbeitung, sofern das Recht dies nicht verbietet.

3.2. Die Bedingungen, dieser AVV und die Einstellungen, die der Kunde in seinem Plerdy-Konto wählt (zum Beispiel welche Tools aktiv sind, Maskierung, Speicherdauer und verbundene Integrationen), sind die vollständigen Weisungen des Kunden. Weitere Weisungen müssen schriftlich an [email protected] gehen. Kann eine Weisung nicht befolgt werden, teilt Plerdy das dem Kunden mit, und der Kunde kann den Dienst nicht weiter nutzen.

3.3. Plerdy informiert den Kunden, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.

3.4. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Dazu gehört, die Besucher zu informieren und ihre Einwilligung einzuholen, wo das Gesetz es verlangt.

4. Vertraulichkeit

Plerdy gewährt nur den Personen Zugriff auf personenbezogene Daten des Kunden, die diesen Zugriff brauchen, um den Dienst bereitzustellen, zu betreuen und abzusichern. Alle diese Personen sind zur Vertraulichkeit verpflichtet.

5. Sicherheit

Plerdy setzt die technischen und organisatorischen Maßnahmen um, die in Anhang 2 und in der Sicherheitsrichtlinie beschrieben sind, entsprechend Artikel 32 DSGVO. Plerdy darf die Maßnahmen aktualisieren, solange das Gesamtschutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

6.1. Der Kunde erteilt Plerdy die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die aktuellen Unterauftragsverarbeiter stehen in Anhang 3.

6.2. Plerdy informiert den Kunden per E-Mail an den Kontoinhaber mindestens 14 Tage, bevor ein Unterauftragsverarbeiter hinzukommt oder ersetzt wird. Der Kunde kann innerhalb dieser Frist aus berechtigten Datenschutzgründen widersprechen, indem er an [email protected] schreibt. Finden die Parteien keine Lösung, kann der Kunde den betroffenen Teil des Dienstes nicht weiter nutzen oder sein Konto löschen.

6.3. Plerdy legt jedem Unterauftragsverarbeiter Datenschutzpflichten auf, die diesem AVV gleichwertig sind, und bleibt für ihn verantwortlich.

6.4. Integrationen, die der Kunde selbst verbindet (zum Beispiel E-Mail-Marketing, CRM, Google Sheets, Slack oder Telegram), erhalten Daten auf Weisung des Kunden. Sie sind eigene Dienstleister des Kunden und keine Unterauftragsverarbeiter von Plerdy.

7. Unterstützung des Kunden

7.1. Plerdy unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung dabei, Anfragen betroffener Personen zu beantworten (Auskunft, Löschung, Berichtigung, Widerspruch und weitere). Erhält Plerdy eine Anfrage direkt von einem Besucher, leitet es sie an den Kunden weiter und beantwortet sie nicht ohne Weisung des Kunden.

7.2. Plerdy löscht die Daten eines bestimmten Besuchers auf Anfrage des Kunden innerhalb von 30 Tagen. Der Kunde kann die Daten einer Website oder sein gesamtes Konto jederzeit auch selbst im Plerdy-Konto löschen.

7.3. Plerdy gibt dem Kunden die Informationen, die er für Datenschutz-Folgenabschätzungen und vorherige Konsultationen mit Aufsichtsbehörden vernünftigerweise braucht.

8. Verletzungen des Schutzes personenbezogener Daten

Plerdy benachrichtigt den Kunden unverzüglich und, soweit möglich, innerhalb von 48 Stunden, nachdem Plerdy von einer Verletzung des Schutzes personenbezogener Daten des Kunden erfahren hat. Die Mitteilung beschreibt, was zu diesem Zeitpunkt bekannt ist: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen und ergriffene Maßnahmen. Plerdy ergänzt Informationen, sobald sie vorliegen, und unternimmt Schritte, um die Verletzung einzugrenzen.

9. Löschung nach Ende des Dienstes

9.1. Während der Laufzeit des Dienstes werden personenbezogene Daten des Kunden automatisch nach Ablauf des Datenverlaufszeitraums des Kundentarifs und gemäß den vom Kunden gewählten Speichereinstellungen gelöscht.

9.2. Löscht der Kunde eine Website oder sein Konto, löscht Plerdy die zugehörigen personenbezogenen Daten des Kunden innerhalb von 30 Tagen, es sei denn, das Recht verpflichtet Plerdy zur Aufbewahrung. Vor dem Löschen kann der Kunde seine Daten mit den Werkzeugen im Konto exportieren.

10. Informationen und Audits

10.1. Plerdy stellt dem Kunden die Informationen bereit, die nötig sind, um die Einhaltung von Artikel 28 DSGVO nachzuweisen: diesen AVV, die Sicherheitsrichtlinie und schriftliche Antworten auf einen angemessenen Sicherheitsfragebogen, einmal alle 12 Monate.

10.2. Reichen diese Informationen nicht aus, kann der Kunde ein Audit durchführen, selbst oder über einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer, einmal alle 12 Monate, mit 30 Tagen schriftlicher Vorankündigung, zu Geschäftszeiten, ohne den Dienst zu stören und auf Kosten des Kunden. Diese Grenzen gelten nicht, wenn eine Aufsichtsbehörde das Audit verlangt oder nach einer Verletzung des Schutzes personenbezogener Daten, die den Kunden betrifft.

11. Internationale Datenübermittlung

11.1. Personenbezogene Daten des Kunden liegen auf Servern in Deutschland. Das Plerdy-Team arbeitet von der Ukraine aus und kann von dort auf die Daten zugreifen, um Support zu leisten und den Dienst zu betreiben. Einige Unterauftragsverarbeiter aus Anhang 3 sitzen außerhalb des Europäischen Wirtschaftsraums.

11.2. Unterliegt der Kunde der DSGVO und werden Daten an Plerdy außerhalb des Europäischen Wirtschaftsraums übermittelt, sind die Standardvertragsklauseln, angenommen durch den Durchführungsbeschluss (EU) 2021/914 der Kommission ("SCC"), Modul Zwei (Verantwortlicher an Auftragsverarbeiter), durch Verweis Teil dieses AVV, mit diesen Festlegungen: Klausel 7 (Kopplungsklausel) gilt; Klausel 9 Buchstabe a, Option 2 (allgemeine Genehmigung), mit der Frist aus Abschnitt 6.2; die optionale Formulierung in Klausel 11 gilt nicht; Klausel 13: die für den Kunden zuständige Aufsichtsbehörde; Klausel 17: das Recht Deutschlands; Klausel 18: die Gerichte Deutschlands. Die Anhänge I, II und III der SCC sind die Anhänge 1, 2 und 3 dieses AVV.

11.3. Für Übermittlungen, die dem Datenschutzrecht des Vereinigten Königreichs unterliegen, gilt der vom britischen Information Commissioner herausgegebene International Data Transfer Addendum zusammen mit den SCC. Für Übermittlungen, die Schweizer Recht unterliegen, gelten die SCC, wobei Verweise auf die DSGVO als Verweise auf das Schweizer Bundesgesetz über den Datenschutz zu lesen sind und der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte die zuständige Behörde ist.

11.4. Plerdy übermittelt personenbezogene Daten des Kunden an Unterauftragsverarbeiter außerhalb des Europäischen Wirtschaftsraums nur auf Grundlage der SCC oder eines anderen von der DSGVO zugelassenen Übermittlungsmechanismus.

12. Haftung

Die Haftung jeder Partei aus diesem AVV unterliegt, soweit gesetzlich zulässig, den Beschränkungen in den Bedingungen. Nichts in diesem AVV schränkt die Rechte betroffener Personen nach der DSGVO oder den SCC ein.

13. Laufzeit, Vorrang und Änderungen

13.1. Dieser AVV gilt, solange Plerdy personenbezogene Daten des Kunden verarbeitet.

13.2. Bei Widersprüchen gehen die SCC diesem AVV vor, und dieser AVV geht in Fragen personenbezogener Daten den Bedingungen vor.

13.3. Plerdy darf diesen AVV aktualisieren, um Änderungen der Rechtslage oder des Dienstes abzubilden. Über wesentliche Änderungen informiert Plerdy die Kunden mindestens 14 Tage im Voraus per E-Mail. Änderungen senken das Schutzniveau für personenbezogene Daten des Kunden nicht.

13.4. Auf diesen AVV ist das Recht anwendbar, das für die Bedingungen gilt, mit Ausnahme der SCC, für die Abschnitt 11.2 gilt.

Anhang 1. Beschreibung der Verarbeitung

Anhang 2. Technische und organisatorische Maßnahmen

• Hosting: Server, Datenbanken und Speicher für Session-Aufzeichnungen in Deutschland, in Rechenzentren mit ISO/IEC-27001-Zertifizierung.
• Verschlüsselung bei der Übertragung: TLS für den gesamten Datenverkehr; ein Content Delivery Network mit Schutz vor Angriffen.
• Datenminimierung im Browser: In Formularfelder eingegebene Werte werden vor dem Senden maskiert; Felder für Passwort, E-Mail, Telefon, Name und Adresse sind immer maskiert; Elemente mit data-sensitive, data-payment oder data-private werden nicht aufgezeichnet; Session-Aufzeichnungen sind weder Video noch Screenshots.
• IP-Adressen: werden nicht in Tracking-Daten gespeichert (siehe Anhang 1).
• Datenschutzsignale: Von Browsern, die Global Privacy Control oder Do Not Track senden, werden keine Daten erfasst.
• Trennung: Die Daten jedes Kunden werden getrennt gespeichert und nicht mit Daten anderer Kunden zusammengeführt.
• Zugriffskontrolle: Zugriff auf Produktivsysteme und Daten nur für befugte Teammitglieder, die ihn brauchen; persönliche Konten; Kundenpasswörter als gesalzene Einweg-Hashes (bcrypt) gespeichert; optionale Zwei-Schritt-Anmeldung mit einem Einmalcode per E-Mail; Begrenzung wiederholter fehlgeschlagener Anmeldungen.
• Code-Integrität: Das Tracking-Skript wird automatisch aus versioniertem Quellcode gebaut und nicht von Hand auf Servern bearbeitet.
• Speicherdauer: automatische Löschung von Session-Aufzeichnungen gemäß den Einstellungen des Kunden; automatische Löschung anderer Besucherdaten nach dem Datenverlaufszeitraum des Tarifs.
• Mitarbeiter: Vertraulichkeitsverpflichtungen; Schulungen zu Phishing und zur Meldung von Vorfällen.
• Vorfälle: ein dokumentierter Prozess, um Vorfälle einzudämmen, zu untersuchen und zu beheben und Kunden wie in Abschnitt 8 beschrieben zu benachrichtigen.

Anhang 3. Unterauftragsverarbeiter

Zahlungen verarbeitet Paddle als Merchant of Record, bei AppSumo-Paketen AppSumo. Beide erhalten nur Konto- und Rechnungsdaten des Kunden, keine personenbezogenen Daten des Kunden.

Kontakt

Datenschutz und dieser AVV: [email protected]
Sicherheit: [email protected]