OKConsent · Version 216149e79c214483

ENTWURF – nicht veröffentlichen – anwaltliche Prüfung ausstehend (TAS-793)

Entwurf vom 2026-10-28 zu TAS-792. OKConsent verarbeitet Daten von Besuchern der Websites seiner Kunden (Einwilligungsnachweise, Skriptauslieferung, Scans) im Auftrag der Kunden; OKConsent ist hier Auftragsverarbeiter. Rechtsgrundlagen: Art. 28 DSGVO, Art. 32 DSGVO. Anlagen: Anlage 2: TOMs, Anlage 3: Unterauftragsverarbeiter. Offene Fragen: open-questions.md. Englische Fassung: ../en/dpa.md.

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag (Auftragsverarbeitungsvertrag, AVV)

zwischen dem Kunden (der „Verantwortliche“) und Dipl.-Ing. Samir Alibabic – Online Marketing (Einzelunternehmen), Klugstraße 99, 80637 München, Deutschland (der „Auftragsverarbeiter“ oder „OKConsent“).

Er ist Bestandteil des Nutzungsvertrags nach den AGB (der „Hauptvertrag“) und wird mit diesem geschlossen. [Wie der AVV zustande kommt (Annahme beim Registrieren, Bestätigung im Dashboard), ist festzulegen, siehe open-questions.md.]

§ 1 Gegenstand, Dauer

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, soweit der Verantwortliche den Dienst OKConsent für seine Websites nutzt. Gegenstand, Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen stehen in Anlage 1 (am Ende dieses Vertrags).
2. Die Dauer entspricht der Laufzeit des Hauptvertrags. Die Pflichten zur Löschung und zur Vertraulichkeit gelten darüber hinaus, solange der Auftragsverarbeiter noch Daten des Verantwortlichen hat.
3. Abgrenzung. Nicht Gegenstand dieses Vertrags sind die Daten, die der Auftragsverarbeiter als eigener Verantwortlicher verarbeitet, insbesondere Kontodaten der Nutzer des Kunden (E-Mail-Adresse, Anzeigename, Anmeldedaten), Rechnungs- und Zahlungsdaten und Protokolle zur Sicherheit des Dienstes. Dafür gilt die Datenschutzerklärung.
4. Dieser Vertrag gilt für Kunden, die für die Verarbeitung der Daten ihrer Websitebesucher Verantwortliche im Sinne der DSGVO sind. Soweit ein Kunde Daten ausschließlich zu persönlichen oder familiären Zwecken verarbeitet (Art. 2 Abs. 2 Buchst. c DSGVO), findet die DSGVO auf ihn keine Anwendung; der Vertrag schadet dann nicht.

§ 2 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in ein Drittland, es sei denn, er ist nach Unionsrecht oder dem Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; dann teilt er dies dem Verantwortlichen vorab mit, soweit das Recht es nicht verbietet (Art. 28 Abs. 3 Satz 2 Buchst. a DSGVO).
2. Weisungen sind der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Verantwortliche im Dashboard, über die API, das Kommandozeilenwerkzeug oder den MCP-Server vornimmt (zum Beispiel Einwilligungsnachweise ein- oder ausschalten und die Aufbewahrung einstellen). Weitere Weisungen erteilt der Verantwortliche in Textform.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Meinung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 Satz 2 Buchst. b DSGVO). [Derzeit verarbeitet nur der Betreiber selbst Daten im Auftrag; bei Einbindung weiterer Personen schriftliche Verpflichtung vorsehen.]

§ 4 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen (Art. 28 Abs. 3 Satz 2 Buchst. c, Art. 32 DSGVO).
2. Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert der Auftragsverarbeiter und stellt die aktuelle Fassung auf Anfrage zur Verfügung.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung, die in Anlage 3 genannten Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO).
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorher in Textform (E-Mail an die Inhaber der Organisation) über jede beabsichtigte Hinzufügung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei einem Widerspruch suchen die Parteien eine Lösung. Gelingt sie nicht, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt des Einsatzes kündigen, soweit der Dienst ohne den Unterauftragsverarbeiter nicht erbracht werden kann; eine anteilige Erstattung für Verbraucher richtet sich nach den Kündigungsbedingungen, für Unternehmer wird der nicht verbrauchte Teil des bezahlten Lizenzjahres anteilig erstattet.
3. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich zu denselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO) und haftet dem Verantwortlichen für dessen Pflichterfüllung.

§ 6 Verarbeitung außerhalb der EU und des EWR

1. Hosting, Datenbank und Sicherungen befinden sich in der Europäischen Union (Anlage 1, Nr. 5). Das CDN liefert nur aus Europa aus; eine Übermittlung an Knoten außerhalb der EU findet beim CDN nicht statt.
2. Eine Übermittlung in ein Drittland erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, Standardvertragsklauseln oder eine andere Garantie), und nur im Rahmen der Anlage 3.

§ 7 Unterstützung bei Rechten betroffener Personen

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO), soweit möglich (Art. 28 Abs. 3 Satz 2 Buchst. e DSGVO). Er stellt dafür insbesondere den CSV-Export der Einwilligungsnachweise und die Löschung von Sites zur Verfügung.
2. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und antwortet nicht selbst, außer auf Weisung.
3. Zuordnung zu Personen. Einwilligungsnachweise enthalten eine zufällige Einwilligungs-Kennung, aber keine IP-Adresse und keinen Namen. Der Auftragsverarbeiter kann daher einen Datensatz nicht ohne Weiteres einer Person zuordnen (Art. 11 DSGVO). Eine betroffene Person kann nur über die Kennung gefunden werden, die ihr Browser auf der Website des Verantwortlichen gespeichert hat.

§ 8 Unterstützung bei Pflichten nach Art. 32 bis 36 DSGVO

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzung und Konsultation der Aufsichtsbehörde (Art. 28 Abs. 3 Satz 2 Buchst. f DSGVO).
2. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die ihn oder seine Unterauftragsverarbeiter betrifft, unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis (Art. 33 Abs. 2 DSGVO), mit den ihm bekannten Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar. Die Meldung geht an die E-Mail-Adressen der Inhaber der Organisation.

§ 9 Löschung und Rückgabe

1. Die Einwilligungsnachweise der Sites des Verantwortlichen werden nach Ablauf der eingestellten Aufbewahrung (Anlage 1, Nr. 4) automatisch gelöscht.
2. Löscht der Verantwortliche eine Site, werden die Daten der Site gelöscht; Sicherungskopien laufen nach spätestens 35 Tagen ab (Anlage 2). Die Löschung einer ganzen Organisation erfolgt zum Start manuell auf Anfrage per E-Mail.
3. Endet eine bezahlte Lizenz, gilt für Nachweise, die den kostenlosen Tarif übersteigen, § 7 Abs. 3 der AGB (30 Tage ausgeblendet aufbewahrt und exportierbar, dann gelöscht).
4. Vor dem Ende kann der Verantwortliche seine Daten selbst exportieren (CSV). Eine weitere Rückgabe findet nicht statt.
5. Gesetzliche Aufbewahrungspflichten des Auftragsverarbeiters bleiben unberührt.

§ 10 Nachweise und Kontrollen

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 Satz 2 Buchst. h DSGVO). Dazu dienen vorrangig diese Anlagen, die Beschreibung der Maßnahmen und, soweit vorhanden, aktuelle Zertifikate und Prüfberichte der Unterauftragsverarbeiter.
2. Der Verantwortliche kann Überprüfungen, einschließlich Inspektionen, durch sich oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer durchführen oder zulassen. Der Auftragsverarbeiter wirkt daran mit. Sie sind mindestens 14 Tage vorher anzumelden, finden während der üblichen Geschäftszeiten statt, stören den Betrieb nicht unangemessen und sind in der Regel auf einmal pro Jahr beschränkt, außer ein Vorfall gibt Anlass. Die Kosten trägt der Verantwortliche, soweit die Kontrolle keinen Verstoß ergibt.

§ 11 Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung gegenüber den betroffenen Personen verantwortlich, insbesondere für Rechtsgrundlage, Informationspflichten (Datenschutzerklärung seiner Website) und die Entscheidung, ob und wie lange Einwilligungsnachweise geführt werden.
2. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
3. Er stellt sicher, dass er die Domains, die er im Dienst anlegt, kontrollieren darf (§ 8 Abs. 1 der AGB).

§ 12 Haftung

Für die Haftung gelten Art. 82 DSGVO und, im Innenverhältnis, die Haftungsregeln des Hauptvertrags (§ 13 der AGB). [Prüfen, ob die Haftungsbegrenzung des Hauptvertrags für Datenschutzverstöße im Verhältnis zum Verantwortlichen wirksam sein kann.]

§ 13 Schlussbestimmungen

1. Dieser Vertrag kann in elektronischer Form geschlossen werden (Art. 28 Abs. 9 DSGVO).
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen in Fragen des Datenschutzes die Regelungen dieses Vertrags vor.
3. Es gilt deutsches Recht. Für Gerichtsstand und Rechtswahl gilt § 15 der AGB.
4. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Beschreibung der Verarbeitung

1. Gegenstand und Zweck

Der Auftragsverarbeiter betreibt den gehosteten Dienst OKConsent. Er verarbeitet personenbezogene Daten, um für den Verantwortlichen

• Einwilligungen von Besuchern seiner Websites zu verwalten und auf Wunsch nachzuweisen (Einwilligungsnachweise);
• das Einwilligungsskript und die dazugehörigen Regeln über ein Content Delivery Network auszuliefern;
• die Websites des Verantwortlichen zu scannen und zu verifizieren;
• Rechtstexte aus den Angaben des Verantwortlichen zu erzeugen.

2. Arten personenbezogener Daten

3. Kategorien betroffener Personen

• Besucher der Websites des Verantwortlichen;
• natürliche Personen, deren Kontaktdaten der Verantwortliche in den Angaben für Rechtstexte erfasst (zum Beispiel Vertretungsberechtigte, Datenschutzbeauftragte);
• Personen, deren Angaben zufällig auf öffentlichen Seiten stehen, die der Scanner besucht.

4. Löschfristen

5. Orte der Verarbeitung

6. Ansprechpartner

Datenschutzfragen: support@okconsent.com. Einen Datenschutzbeauftragten hat der Auftragsverarbeiter nicht bestellt.

ENTWURF – nicht veröffentlichen – anwaltliche Prüfung ausstehend (TAS-793)

Entwurf vom 2026-10-28 zu TAS-792. Quellen: docs/security-review.md, docs/architecture.md, docs/operations.md, docs/deployment.md, deploy/postgres, docs/specs/saas.md. Nichts ist bisher produktiv. Die Spalte „Stand“ sagt deshalb, was in der Software gebaut und getestet ist (Software), was der Betrieb bei der Inbetriebnahme einrichten muss und noch nicht eingerichtet ist (Betrieb, geplant) und was noch zu klären ist (zu bestätigen). Vor der Veröffentlichung muss jede Zeile „Betrieb, geplant“ und „zu bestätigen“ gegen die laufende Umgebung geprüft werden. Englische Fassung: ../en/dpa-annex-2-toms.md.

Anlage 2 zum AVV: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: [Datum] · Version [1.0]

1. Vertraulichkeit

1.1 Zutrittskontrolle (physisch)

1.2 Zugangskontrolle (System)

1.3 Zugriffskontrolle (Berechtigungen)

1.4 Trennungskontrolle

1.5 Pseudonymisierung und Datenminimierung

2. Integrität

2.1 Weitergabekontrolle

2.2 Eingabekontrolle

3. Verfügbarkeit und Belastbarkeit

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

5. Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen

6. Auftragskontrolle

7. Organisatorische Maßnahmen

ENTWURF – nicht veröffentlichen – anwaltliche Prüfung ausstehend (TAS-793)

Entwurf vom 2026-10-28 zu TAS-792. Quelle: docs/operations.md, docs/architecture.md, docs/decisions.md. Noch nichts ist produktiv: der Dienst ist nicht bereitgestellt; laut operations.md bestehen Konten bei Scaleway und Bunny, Verträge und Auftragsverarbeitungsverträge sind noch zu prüfen. Die Liste beschreibt, was die Entscheidungen vorsehen; vor der Veröffentlichung gegen die tatsächlichen Verträge prüfen. Offene Fragen: open-questions.md. Englische Fassung: ../en/dpa-annex-3-subprocessors.md.

Anlage 3 zum AVV: Unterauftragsverarbeiter

Stand: [Datum]

Teil A: Unterauftragsverarbeiter

Diese Anbieter verarbeiten personenbezogene Daten im Auftrag des Auftragsverarbeiters. Der Verantwortliche genehmigt sie nach § 5 des AVV.

Teil B: Weitere Dienste, die keine Besucherdaten des Verantwortlichen verarbeiten

Diese Anbieter sind keine Unterauftragsverarbeiter für Daten nach Anlage 1. Sie sind der Transparenz halber genannt.

Teil C: Zur Prüfung vorgesehen (noch nicht eingesetzt oder noch zu klären)

Änderungen

Hinzufügungen und Ersetzungen von Unterauftragsverarbeitern teilen wir nach § 5 des AVV mit.