für die Cloud-Funktionen von EZZE WCAG Pro
Dieser Auftragsverarbeitungsvertrag („AVV„) ist Bestandteil der Vereinbarung zwischen:
(1) dem Kunden / Verantwortlichen, also der natürlichen oder juristischen Person, die diesen AVV akzeptiert oder in deren Namen die Services genutzt oder aktiviert werden („Kunde“ oder „Verantwortlicher„),
und
(2) Patrick Helms, Neue Heimat 20, 15848 Beeskow, Deutschland, support@ezze-wcag-pro.com, https://ezze-wcag-pro.com/support/ („Anbieter“ oder „Auftragsverarbeiter„),
über die Nutzung von EZZE WCAG Pro und dessen optionalen cloudbasierten Funktionen (die „Services„).
Der Kunde akzeptiert diesen AVV durch Setzen eines entsprechenden Kontrollkästchens, durch Aktivierung einer hiervon erfassten Cloud-Funktion oder durch die sonstige Nutzung der Services. Die handelnde Person sichert zu, zur Annahme dieses AVV im Namen des Kunden berechtigt zu sein.
1. Gegenstand und Anwendungsbereich
- Dieser AVV gilt nur insoweit, als der Anbieter personenbezogene Daten im Auftrag des Kunden als Auftragsverarbeiter im Zusammenhang mit den optionalen cloudbasierten Funktionen von EZZE WCAG Pro verarbeitet.
- Dieser AVV gilt nicht für:
- Funktionen, die ausschließlich lokal auf den Systemen des Kunden laufen, ohne Übermittlung an den Anbieter oder dessen Unterauftragsverarbeiter;
- Verarbeitungen, bei denen der Anbieter, Freemius, Zahlungsdienstleister oder andere Dritte als eigenständig Verantwortliche handeln;
- rein private oder familiäre Nutzungen außerhalb des Anwendungsbereichs des einschlägigen Datenschutzrechts, soweit relevant.
- Im Fall eines Widerspruchs zwischen diesem AVV und der Hauptvereinbarung geht dieser AVV für den Gegenstand der Verarbeitung nach diesem AVV vor.
2. Begriffsbestimmungen
Für die Zwecke dieses AVV haben die Begriffe personenbezogene Daten, Verantwortlicher, Auftragsverarbeiter, betroffene Person, Verarbeitung, Verletzung des Schutzes personenbezogener Daten, Aufsichtsbehörde und anwendbares Datenschutzrecht die Bedeutung, die ihnen nach der DSGVO, UK GDPR, dem Schweizer DSG sowie anderen anwendbaren Datenschutzgesetzen zukommt.
3. Rollen der Parteien
- Der Kunde handelt als Verantwortlicher für die im Rahmen dieses AVV verarbeiteten personenbezogenen Daten.
- Der Anbieter handelt als Auftragsverarbeiter und verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit nicht anwendbares Recht etwas anderes verlangt.
- Die Parteien erkennen an, dass bestimmte zusammenhängende Leistungen von Dritten in eigener Verantwortlichkeit erbracht werden können. Solche Verarbeitungen unterfallen diesem AVV nicht, es sei denn und nur soweit der Dritte als Unterauftragsverarbeiter des Anbieters tätig wird.
4. Gegenstand, Art, Zweck und Dauer der Verarbeitung
4.1 Gegenstand
Der Anbieter stellt innerhalb von EZZE WCAG Pro optionale cloudbasierte Dienste bereit, einschließlich – je nach Konfiguration oder Aktivierung durch den Kunden –
- cloudbasierter Barrierefreiheitstests und Berichte;
- KI-gestützter Generierung von Alternativtexten;
- KI-gestützter Erklärungen, Lösungshinweise oder Zusammenfassungen von Problemen;
- KI-gestützter Insights, Empfehlungen oder aggregierter Analysen;
- Support, Diagnose, Missbrauchsprävention und Service-Betrieb im Zusammenhang mit solchen Funktionen.
4.2 Art der Verarbeitung
Die Verarbeitung kann die Erhebung, Übermittlung, Organisation, Speicherung, den Abruf, die Analyse, die Generierung von Ausgabetexten, die Einschränkung, Löschung sowie sonstige Vorgänge umfassen, die zur Bereitstellung der Services erforderlich sind.
4.3 Zweck der Verarbeitung
Zweck der Verarbeitung ist die Bereitstellung, Absicherung, Wartung und Unterstützung der vom Kunden angeforderten oder aktivierten optionalen cloudbasierten Funktionen von EZZE WCAG Pro. Eine Nutzung der im Auftrag verarbeiteten personenbezogenen Daten für allgemeine Produktverbesserung, allgemeines Modelltraining oder sonstige eigene Zwecke des Anbieters oder der eingesetzten KI-Anbieter erfolgt im Rahmen dieses AVV nicht, soweit nicht ausdrücklich anders vereinbart oder gesetzlich vorgeschrieben.
4.4 Dauer
Die Verarbeitung erfolgt für die Dauer der Hauptvereinbarung sowie für eine begrenzte Aufbewahrungszeit, die vernünftigerweise für Löschprozesse, Backup-Rotation, rechtliche Pflichten, Betrugsprävention, Sicherheitsprotokollierung, Streitbeilegung oder die Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist.
5. Kategorien betroffener Personen
Abhängig von der Implementierung und Nutzung der Services durch den Kunden können betroffene Personen insbesondere sein:
- Website-Besucher;
- Nutzer, Redakteure, Administratoren und Support-Ansprechpartner des Kunden;
- Personen, deren personenbezogene Daten in Website-Inhalten, Medien, Metadaten, Testergebnissen, Screenshots, Support-Tickets oder Konfigurationen enthalten sind, die an die Services übermittelt werden.
6. Kategorien personenbezogener Daten
Abhängig von den aktivierten Funktionen können insbesondere folgende personenbezogene Daten verarbeitet werden:
- Seiten-URLs und zugehörige Request-Daten;
- Bild-URLs, Medienkennungen, Dateinamen und Metadaten;
- Barrierefreiheitsbefunde, Problembeschreibungen, Audit-Kennungen, DOM- oder HTML-Ausschnitte, CSS-bezogene Werte, Screenshots und technische Testergebnisse;
- Sprache, Locale, Funktionskonfiguration, Plugin-Version, Site-Kennungen und Installationsmetadaten;
- Lizenz-, Abonnement-, Tarif- und Site-Referenzkennungen, soweit dies für die Servicebereitstellung, Missbrauchsprävention oder den Support erforderlich ist;
- begrenzte Protokoll-, Diagnose- und Sicherheitsdaten, einschließlich IP-Adresse, soweit erforderlich;
- Prompts, Ausgabetexte, Alternativtexte, Erklärungen, Empfehlungen und Zusammenfassungen, die durch KI-gestützte Funktionen erzeugt werden;
- Support-Kommunikation und zugehörige Anhänge, die vom Kunden übermittelt werden.
Weisung des Kunden: Der Kunde darf keine besonderen Kategorien personenbezogener Daten übermitteln, sofern diese nicht ausdrücklich vom Service unterstützt und durch zusätzliche dokumentierte Schutzmaßnahmen abgedeckt sind.
7. Weisungen des Kunden
- Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisungen des Kunden, einschließlich dieses AVV, der Hauptvereinbarung, der Einstellungen und Nutzung der Services durch den Kunden sowie zusätzlicher schriftlicher Weisungen, die vom Anbieter akzeptiert wurden.
- Der Kunde weist den Anbieter an, personenbezogene Daten in dem Umfang zu verarbeiten, wie dies zur Bereitstellung der konkret ausgewählten, aktivierten oder genutzten Cloud-Funktionen erforderlich ist.
- Ist der Anbieter der Auffassung, dass eine Weisung gegen anwendbares Datenschutzrecht verstößt, informiert er den Kunden unverzüglich.
- Der Kunde ist allein dafür verantwortlich, sicherzustellen, dass er über die erforderlichen Rechte, Berechtigungen und Rechtsgrundlagen verfügt, um Bilddaten, Bild-URLs, Metadaten, Prompts und sonstige zugehörige Inhalte für die Verarbeitung durch die KI-Alt-Text-Funktion und sonstige KI-gestützte Funktionen zu übermitteln. Die Aktivierung und Nutzung solcher Funktionen erfolgt in eigener Verantwortung des Kunden.
8. Vertraulichkeit
Der Anbieter stellt sicher, dass Personen, die zur Verarbeitung personenbezogener Daten befugt sind,
- einer Vertraulichkeitsverpflichtung unterliegen oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterstehen;
- angemessene Datenschutz- und Sicherheitsschulungen erhalten;
- nur insoweit Zugriff auf personenbezogene Daten haben, wie dies für die Erfüllung ihrer Aufgaben erforderlich ist.
9. Sicherheitsmaßnahmen
- Der Anbieter trifft und unterhält geeignete technische und organisatorische Maßnahmen, um personenbezogene Daten gegen zufällige oder unrechtmäßige Zerstörung, Verlust, Veränderung sowie gegen unbefugte Offenlegung oder unbefugten Zugriff zu schützen.
- Solche Maßnahmen können – soweit angemessen – insbesondere umfassen:
- rollenbasierte Zugriffskontrolle und Authentifizierung;
- Least-Privilege-Prinzipien;
- Verschlüsselung bei der Übertragung und, soweit angemessen, im Ruhezustand;
- Trennung von Umgebungen und logische Separierung;
- Protokollierung und Sicherheitsüberwachung;
- Schwachstellenmanagement und Patching;
- Backup- und Wiederherstellungsverfahren;
- Verfahren für Incident Response und Business Continuity;
- regelmäßige Überprüfung und Tests der Sicherheitsmaßnahmen.
- Die aktuellen technischen und organisatorischen Maßnahmen des Anbieters sind in Anlage 2 näher beschrieben.
10. Unterstützung des Kunden
Unter Berücksichtigung der Art der Verarbeitung und der dem Anbieter zur Verfügung stehenden Informationen unterstützt der Anbieter den Kunden, soweit vernünftigerweise möglich, insbesondere bei:
- der Beantwortung von Anträgen betroffener Personen;
- Pflichten zur Sicherheit der Verarbeitung;
- Meldungen von Datenschutzverletzungen und zugehöriger Dokumentation;
- Datenschutz-Folgenabschätzungen;
- gegebenenfalls erforderlichen vorherigen Konsultationen mit zuständigen Behörden.
11. Verletzungen des Schutzes personenbezogener Daten
- Der Anbieter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die personenbezogene Daten betrifft, die nach diesem AVV verarbeitet werden.
- Soweit verfügbar, enthält diese Mitteilung insbesondere:
- die Art der Verletzung;
- die Kategorien betroffener Personen und personenbezogener Daten;
- die voraussichtlichen Folgen;
- die bereits ergriffenen oder vorgeschlagenen Maßnahmen;
- Kontaktdaten für Rückfragen.
12. Unterauftragsverarbeiter
- Der Kunde erteilt dem Anbieter eine allgemeine schriftliche Genehmigung, Unterauftragsverarbeiter für die Verarbeitung personenbezogener Daten im Rahmen dieses AVV einzusetzen.
- Der Anbieter führt eine aktuelle Liste der Unterauftragsverarbeiter und stellt sie unter folgendem Link zur Verfügung: https://ezze-wcag-pro.com/de/subprozessoren/.
- Der Anbieter informiert den Kunden über wesentliche Ergänzungen oder Ersetzungen von Unterauftragsverarbeitern durch Aktualisierung der Liste und gegebenenfalls durch zusätzliche Mitteilung.
- Der Kunde kann aus sachlichen datenschutzrechtlichen Gründen innerhalb von 30 Tagen nach der Mitteilung Widerspruch gegen einen neuen Unterauftragsverarbeiter einlegen.
- Der Anbieter verpflichtet Unterauftragsverarbeiter zu Datenschutzpflichten, die im Wesentlichen nicht weniger schützend sind als die in diesem AVV festgelegten Pflichten, soweit dies für die jeweils erbrachten Leistungen anwendbar ist.
12.1 Aktuelle Liste der Unterauftragsverarbeiter
IONOS Cloud GmbH
- Rolle: Unterauftragsverarbeiter
- Zweck: Hosting der Proxy-/Cloud-Infrastruktur, technische Verarbeitung, Logs sowie persistente Speicherung verarbeitungsrelevanter Daten
- Ort: Europäische Union
- Transfergrundlage: Nach aktuellem Setup erfolgt das reguläre Hosting der Proxy-/Cloud-Infrastruktur innerhalb der Europäischen Union; ein Drittlandtransfer über IONOS findet hierfür derzeit nicht statt.
- Referenz: https://cloud.ionos.com/protection ; https://www.ionos.de/hilfe/datenschutz/allgemeine-informationen-zur-datenschutz-grundverordnung-dsgvo/vereinbarung-zur-auftragsverarbeitung-avv-mit-ionos-abschliessen/
OpenAI Ireland Ltd.
- Rolle: Unterauftragsverarbeiter
- Zweck: KI-Alt-Text, KI-Erklärungen / Lösungen, AI Insights, AI Image Accessibility Review
- Ort: Irland / weitere Verarbeitung nach dem OpenAI-Vertragswerk, soweit einschlägig
- Transfergrundlage: Soweit personenbezogene Daten außerhalb des EWR übermittelt werden, erfolgt dies auf Grundlage des OpenAI Data Processing Addendum und der dort vorgesehenen Transfermechanismen, einschließlich Standardvertragsklauseln, soweit erforderlich.
- Referenz: https://openai.com/policies/data-processing-addendum/
Hinweis: Die Google PageSpeed Insights API wird nicht als klassischer Haupt-Unterauftragsverarbeiter in dieser Liste geführt, sondern gesondert als eingesetzter externer Dienst im Rahmen der Accessibility-Tests transparent gemacht. Dabei wird insbesondere die vom Kunden zur Prüfung eingereichte URL an die Google PageSpeed Insights API übermittelt.
13. Internationale Datenübermittlungen
- Der Anbieter darf personenbezogene Daten nur dann außerhalb der Rechtsordnung des Kunden, einschließlich außerhalb des EWR, des Vereinigten Königreichs oder der Schweiz, übermitteln oder dort verarbeiten lassen, wenn eine solche Übermittlung oder Verarbeitung nach anwendbarem Datenschutzrecht zulässig ist.
- Für die derzeit eingesetzten wesentlichen externen Dienste gilt nach aktuellem Stand insbesondere Folgendes:
- IONOS Cloud GmbH (Hosting / Serverstandort Europäische Union): Nach aktuellem Setup wird die Proxy-/Cloud-Infrastruktur innerhalb der Europäischen Union gehostet; ein Drittlandtransfer über IONOS findet hierfür derzeit nicht statt.
- OpenAI Ireland Ltd.: Soweit personenbezogene Daten außerhalb des EWR übermittelt werden, erfolgt dies auf Grundlage des OpenAI Data Processing Addendum und der dort vorgesehenen Transfermechanismen, einschließlich Standardvertragsklauseln, soweit erforderlich.
- Soweit für einen konkreten Verarbeitungsvorgang ein Angemessenheitsbeschluss, Standardvertragsklauseln, das UK International Data Transfer Addendum oder ein anderer zulässiger Transfermechanismus einschlägig ist, erfolgt die Verarbeitung auf dieser Grundlage.
- Informationen über die jeweils verwendeten Transfermechanismen werden auf Anfrage bereitgestellt, soweit dem keine Vertraulichkeits- oder Sicherheitsinteressen entgegenstehen.
14. Löschung und Rückgabe von Daten
- Nach Beendigung oder Ablauf der Services löscht der Anbieter nach Wahl des Kunden die nach diesem AVV verarbeiteten personenbezogenen Daten oder gibt sie zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.
- Der Anbieter darf personenbezogene Daten für einen begrenzten Zeitraum weiter aufbewahren, soweit dies für rechtliche Pflichten, Sicherheitsprotokollierung, Betrugsprävention, Backup-Rotation oder die Bearbeitung von Rechtsansprüchen erforderlich ist.
- Auf Anfrage bestätigt der Anbieter die Durchführung der Löschung, sofern dies nicht gesetzlich untersagt oder in Bezug auf verbleibende Backup-Medien technisch unmöglich ist; in diesem Fall schützt der Anbieter die Daten weiterhin und schließt sie von jeder weiteren aktiven Verarbeitung aus.
15. Audits und Informationsrechte
- Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die vernünftigerweise erforderlich sind, um die Einhaltung dieses AVV nachzuweisen.
- Soweit vernünftigerweise erforderlich, darf der Kunde selbst oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Prüfer ein Audit durchführen, sofern:
- eine angemessene Vorankündigung erfolgt;
- das Audit seinem Umfang nach auf für diesen AVV relevante Themen beschränkt ist;
- das Audit den Geschäftsbetrieb des Anbieters nicht unangemessen beeinträchtigt;
- der Kunde seine eigenen Auditkosten trägt, es sei denn, das Audit weist einen wesentlichen Verstoß des Anbieters nach.
- Der Anbieter kann Auditpflichten teilweise dadurch erfüllen, dass er aktuelle Zertifizierungen, Auditberichte, Penetrationstest-Zusammenfassungen, Fragebögen oder Sicherheitsnachweise zur Verfügung stellt, soweit angemessen.
16. Haftung
- Soweit zwischen den Parteien eine gesonderte Hauptvereinbarung mit Haftungsregelungen besteht, gelten diese auch für diesen AVV, soweit und solange dies nach anwendbarem Datenschutzrecht zulässig ist.
- Soweit keine gesonderte Hauptvereinbarung mit abweichenden Haftungsregelungen besteht, richtet sich die Haftung der Parteien nach den gesetzlichen Vorschriften.
17. Anwendbares Recht
Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des Kollisionsrechts, soweit zwingende datenschutzrechtliche Schutzvorschriften zugunsten betroffener Personen dem nicht entgegenstehen.
Anlage 1 – Beschreibung der Verarbeitung
Produkt: EZZE WCAG Pro
Erfasste Services: cloudbasierte Barrierefreiheitstests, KI-generierte Alt-Texte, KI-Erklärungen und Lösungshinweise, KI-Insights, supportbezogene Verarbeitung sowie zugehörige Service-Vorgänge.
Zweck: Bereitstellung, Wartung, Support, Sicherheit und Missbrauchsprävention der angeforderten Services. Der Kunde bleibt dafür verantwortlich sicherzustellen, dass übermittelte Bilddaten und zugehörige Inhalte rechtmäßig für KI-generierte Alt-Texte und sonstige KI-gestützte Funktionen verwendet werden dürfen.
Betroffene Personen: Website-Besucher, Nutzer und Administratoren des Kunden, Support-Ansprechpartner sowie Personen, deren Daten in vom Kunden an die Services übermittelten Inhalten enthalten sind.
Kategorien personenbezogener Daten: URLs, Inhaltsausschnitte, Bilddaten bzw. Bild-URLs, Diagnosedaten, Site-/Lizenzkennungen, Konfigurationsdaten, Support-Inhalte, KI-Ein- und Ausgabedaten sowie Nutzungs-, Protokoll- und Sicherheitsdaten (z. B. Zeitstempel, Event-Typ, IP-Adresse, Provider-/Modellmetadaten, Token- und Kostenschätzungen), soweit diese im Zusammenhang mit den Services verarbeitet werden.
Weitere Hinweise zum Verarbeitungsablauf: Im Rahmen der Services können Nutzungs- und Kontingentdaten serverseitig protokolliert werden. Bilddateien werden nach aktuellem technischem Stand nicht als Produktfunktion dauerhaft auf dem Proxy gespeichert. Erweiterte Debug-/Fehlerlogs werden nur bei Bedarf bzw. im Fehler- oder Supportfall aktiviert. Für Accessibility-Tests kann zusätzlich die Google PageSpeed Insights API als externer Dienst zur Analyse der vom Kunden übermittelten URL eingesetzt werden.
Besondere Kategorien: nicht vorgesehen, sofern nicht ausdrücklich unterstützt und gesondert abgesichert.
Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)
Der Anbieter unterhält nach aktuellem Stand insbesondere folgende Maßnahmen:
- Hosting der Proxy-/Cloud-Infrastruktur bei IONOS Cloud GmbH mit Serverstandort innerhalb der Europäischen Union;
- verschlüsselte Übertragung sämtlicher relevanter Proxy-Endpunkte per HTTPS/TLS;
- Verschlüsselung von Daten im Ruhezustand (encryption at rest) nach aktuellem Stand des eingesetzten Hostings;
- Absicherung administrativer Zugänge mit Multi-Faktor-Authentifizierung;
- Beschränkung des administrativen Zugriffs auf einen einzelnen administrativen Zugang;
- Logging von Nutzungs-, Sicherheits- und Fehlerereignissen; erweitertes Debug-/Fehlerlogging wird nur bei Bedarf bzw. im Fehler- oder Supportfall aktiviert;
- verschlüsselte Offsite-Backups der Proxy-/Cloud-Infrastruktur bei einem in Deutschland betriebenen Backup-Anbieter;
- Change-Management und Patching nach Bedarf;
- Incident-Handling und Eskalation nach internen organisatorischen Abläufen;
- Management und vertragliche Einbindung von Unterauftragsverarbeitern.
Verfügbarkeit, Wiederherstellung und organisatorische Sicherheitsmaßnahmen
Backups / Wiederherstellung
Der Anbieter betreibt verschlüsselte technische Offsite-Backups der Proxy-/Cloud-Infrastruktur. Die Backups werden bei einem Backup-Anbieter in Deutschland gespeichert. Der Zugriff ist auf autorisierte administrative Wiederherstellungs-, Sicherheits- und Notfallzwecke beschränkt und durch technische Zugriffskontrollen abgesichert. Die Backup-Aufbewahrung erfolgt begrenzt und rotierend; ältere Sicherungspunkte werden nach Maßgabe des Backup-Konzepts entfernt. In Backups enthaltene Daten werden nicht aktiv verarbeitet; nach einer Wiederherstellung werden die regulären Lösch- und Aufbewahrungsregeln erneut angewendet.
Restore-Tests
Ein initialer Restore-Test aus dem produktiven Offsite-Repository wurde erfolgreich durchgeführt. Wiederherstellungstests sollen in angemessenen Abständen wiederholt und dokumentiert werden.
Test- und Produktivumgebung
Der Anbieter betreibt derzeit keine getrennte Testumgebung. Änderungen an der Proxy- und Service-Infrastruktur werden deshalb kontrolliert und mit besonderer Vorsicht in der Produktivumgebung vorgenommen. Ein mehrstufiges Rollenmodell besteht derzeit nicht; der Zugriff auf administrative Funktionen ist auf einen einzelnen administrativen Zugang mit Mehrfaktor-Authentifizierung beschränkt.
Incident Response / Sicherheitsvorfälle
Der Anbieter verfügt derzeit über keinen formalisierten schriftlichen Incident-Response-Plan. Sicherheitsvorfälle, Störungen und datenschutzrelevante Ereignisse werden jedoch intern nach einem fallbezogenen Verfahren bearbeitet, das insbesondere Erkennung, Eindämmung, Fehlerbehebung, Ursachenanalyse sowie – soweit erforderlich – die Information betroffener Kunden umfasst. Eine weitergehende formale Dokumentation dieses Prozesses ist geplant.
Anlage 3 – Verweis auf die Liste der Unterauftragsverarbeiter
Aktuelle Liste verfügbar unter: https://ezze-wcag-pro.com/de/subprozessoren/
Die Liste enthält, soweit anwendbar:
- Name des Unterauftragsverarbeiters;
- Beschreibung der Leistung;
- Ort;
- verwendeter Mechanismus für internationale Datenübermittlungen;
- relevante URL zu Datenschutz- oder Sicherheitsinformationen.