Auftragsverarbeitungsvertrag (AVV)

Zwischen
Auftraggeber (Controller): Kund*in des Dienstes „URLIFY“
Auftragnehmer (Processor): Byteman UG (haftungsbeschränkt), Platzl 1a, 80331 München, Deutschland

Stand: 28.10.2026

1. Gegenstand, Dauer, Art und Zweck der Verarbeitung

1.1 Gegenstand: Verarbeitung personenbezogener Daten im Rahmen des URL‑Shortening, der Weiterleitung und Analyse (Klick-/Nutzungsdaten) sowie des Account- und Abrechnungsmanagements.
1.2 Dauer: Für die Vertragslaufzeit gemäß /terms einschließlich Nachlaufzeiten für Backups/Logs entsprechend den Löschfristen.
1.3 Art/Zweck: Erhebung, Speicherung, Organisation, Auswertung, Übermittlung/Weiterleitung und Protokollierung – jeweils soweit zur Bereitstellung des Dienstes, zu Sicherheitszwecken, zur Abrechnung und zum Support erforderlich.

2. Kategorien betroffener Personen und Datenarten

2.1 Betroffene Personen: Endnutzerinnen (Klickende), Kundinnen und deren Nutzer*innen (Admin/Team), Kommunikationspartner.
2.2 Datenarten (typisch): IP‑Adresse, Zeitstempel, Kurz‑/Ziel‑URL, Referrer, User‑Agent, Geräte-/Browser‑Informationen, ungefähre Geo‑Information (aus IP), UTM‑Parameter/Tags, interne IDs, Log‑Daten, Account-/Vertragsdaten, Zahlungsmetadaten (keine vollständigen Zahlungsdaten – Abwicklung via Stripe), Supportinhalte.
2.3 Besondere Kategorien: werden nicht gezielt verarbeitet; der Controller verpflichtet sich, solche Daten nicht über den Dienst zu verarbeiten, oder nur mit geeigneter Rechtsgrundlage und Schutzmaßnahmen.

3. Weisungen

Verarbeitung ausschließlich auf dokumentierte Weisung des Controllers (AGB/Terms, dieser AVV, Admin‑Funktionen, Tickets).

4. Vertraulichkeit

Zur Verarbeitung befugte Personen sind auf Vertraulichkeit verpflichtet und angemessen unterwiesen.

5. Technische und organisatorische Maßnahmen (TOM)

Der Processor implementiert und unterhält u. a.: Zutritts-/Zugriffskontrollen (MFA, Rollen, Least‑Privilege), Verschlüsselung in Transit (TLS) und at Rest, getrennte Umgebungen (Prod/Staging), Firewalls/WAF, DDoS‑Schutz, Rate‑Limiting, Monitoring/Alerting, regelmäßige Backups und Restore‑Tests, Security-/Access‑Logging, Datenschutz durch Technikgestaltung (Pseudonymisierung/Minimierung), Prozesse zur Löschung/Anonymisierung und für Exporte, Lieferkettenkontrollen (AVV/SCC). Eine detaillierte TOM‑Übersicht ist in Anlage 2 enthalten.

6. Unterauftragsverarbeiter

Zulässig bei Abschluss entsprechender Verträge und auferlegten gleichwertigen Pflichten. Aktuelle Liste inkl. Zweck und Standort unter urlify.eu/subprocessors; wesentliche Änderungen werden vorab mit angemessener Frist angekündigt. Der Controller kann aus wichtigem Grund widersprechen; ggf. besteht ein Sonderkündigungsrecht.

7. Drittlandsübermittlungen

Bei Übermittlungen außerhalb der EU/EWR werden geeignete Garantien eingesetzt (insb. EU‑Standardvertragsklauseln) sowie ergänzende Maßnahmen.

8. Unterstützung

Angemessene Unterstützung bei Betroffenenrechten (Art. 12–23 DSGVO), Datenschutz‑Folgenabschätzungen (Art. 35), Meldungen (Art. 33/34) und Sicherheitsmaßnahmen (Art. 32); angemessene Vergütung möglich.

9. Meldung von Verletzungen

Unverzügliche Meldung, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den verfügbaren Informationen nach Art. 33 Abs. 3 DSGVO; fortlaufende Aktualisierung.

10. Löschung und Rückgabe von Daten

Nach Vertragsende: Löschung/Anonymisierung nach 30 Tagen; zuvor Export über das Kundenkonto, soweit verfügbar. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11. Nachweise und Audits

Bereitstellung erforderlicher Informationen (Policies, Zertifizierungen, redigierte Pen‑Test‑Auszüge). Audits/Inspektionen mit angemessener Vorankündigung; Wahrung von Vertraulichkeit und Geschäftsgeheimnissen; max. einmal jährlich, außer bei Anlassfällen.

12. Haftung

Die Haftungsregelungen aus den Terms gelten entsprechend; zwingende gesetzliche Haftung bleibt unberührt.

13. Rangfolge und Gerichtsstand

Bei Widersprüchen geht dieser AVV den Terms/AGB vor. Gerichtsstand: München, Deutschland.

Anlage 1 – Unterauftragsverarbeiter (Stand: 28.10.2026)

OVH SAS (OVHcloud) – Hosting (VPS) für Anwendung, Datenbanken, Cache, Analytics‑Datenbank, Logs und Backups; Standort: Deutschland (Frankfurt, Limburg); Garantien: AVV.
Cloudflare, Inc. – DNS sowie Objektspeicher (R2) für Profilbilder; Standort: EU (R2‑Bucket), konzernweit möglich; Garantien: AVV, SCC, ggf. EU‑US Data Privacy Framework.
Auth0 (Okta, Inc.) – Authentifizierung/Anmeldung; Standort: EU (Tenant ausschließlich in der EU), Konzernzugriff aus Drittländern möglich; Garantien: AVV, SCC, ggf. EU‑US Data Privacy Framework.
Stripe Payments Europe, Ltd. – Zahlungsabwicklung, Abonnement‑ und Rechnungsverwaltung; Standort: EU (primär), konzernweit möglich; Garantien: AVV, ggf. SCC.
Resend, Inc. – Versand von Transaktions‑E‑Mails; Standort: EU‑Datenresidenz, ggf. global; Garantien: AVV, ggf. SCC.

Für die Website‑Analytics (Google Ireland Limited, nur mit Einwilligung) und das Kontaktformular (Formspree, Inc.) ist Byteman selbst Verantwortlicher; sie betreffen keine Auftragsverarbeitung für Kund*innen und sind in der Datenschutzerklärung bzw. auf /subprocessors aufgeführt.

Anlage 2 – Technische und organisatorische Maßnahmen (Kurzfassung)

Organisation/Richtlinien; Rollen/Berechtigungen (Least‑Privilege), MFA für Administrationszugänge; Protokollierung/Auswertung; Infrastruktur: selbst betriebene Container‑Umgebung auf OVH‑VPS in Deutschland; Authentifizierung über Auth0; Verschlüsselung (TLS 1.2+) in Transit, Verschlüsselung at Rest soweit vom Hosting unterstützt; Mandantentrennung/Minimierung (IP‑Adressen werden nicht in den Klick‑Analytics gespeichert); Firewalls, Rate‑Limits; Monitoring/Alerting; regelmäßige Backups und Restore‑Tests; versionierte Deployments, Code‑Reviews, CI/CD, Rollback; Secrets‑Management/Rotation; Server‑Logs mit 30 Tagen Aufbewahrung, Klick‑Analytics gemäß Plan (90/180 Tage); Exportfenster 30 Tage nach Vertragsende; Lieferkette mit AVV/SCC und laufender Evaluierung.

Anlage 3 – Weisungskanal & Ansprechpartner

Weisungen über die Admin‑Konsole oder contact@urlify.eu. Datenschutzkontakt: contact@urlify.eu.