Auftragsverarbeitungsvertrag

Stand: 18. September 2026

Dieser Auftragsverarbeitungsvertrag („AVV") ist ein Zusatz zu den Nutzungsbedingungen zwischen Ihnen („Kunde", „Verantwortlicher") und der Omexa LLC, einer Limited Liability Company nach dem Recht des US-Bundesstaates Wyoming, die unter dem Namen Privatrak auftritt („Privatrak", „Auftragsverarbeiter").

Dieser AVV regelt die Verarbeitung personenbezogener Daten durch Privatrak im Auftrag des Kunden im Zusammenhang mit der Erbringung des Produktanalyse-Dienstes Privatrak („Dienst").

Mit der Nutzung des Dienstes erkennen Sie diesen AVV an. Besteht ein gesonderter schriftlicher AVV mit Privatrak, geht dieser dem vorliegenden Dokument vor.

1. Begriffsbestimmungen

• „Personenbezogene Daten" sind alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person beziehen, im Sinne von Art. 4 Nr. 1 DSGVO oder gleichwertiger Definitionen des anwendbaren Datenschutzrechts.
• „Verarbeitung" ist jeder Vorgang im Zusammenhang mit personenbezogenen Daten im Sinne von Art. 4 Nr. 2 DSGVO.
• „Verantwortlicher" ist der Kunde, der über die Zwecke und Mittel der Verarbeitung entscheidet.
• „Auftragsverarbeiter" ist Privatrak, das personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
• „Betroffene Personen" sind die identifizierten oder identifizierbaren natürlichen Personen, deren personenbezogene Daten verarbeitet werden.
• „Unterauftragsverarbeiter" ist ein von Privatrak zur Unterstützung bei der Verarbeitung hinzugezogener Dritter.
• „DSGVO" ist die Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates.
• „Anwendbares Datenschutzrecht" umfasst die DSGVO sowie einschlägige nationale Datenschutzgesetze, einschließlich des California Consumer Privacy Act (CCPA/CPRA).

2. Anwendungsbereich und Rollen

2.1 Rollen

• Der Kunde ist Verantwortlicher. Der Kunde entscheidet, welche Daten von den Besuchern seiner Website erhoben und an Privatrak übermittelt werden.
• Privatrak ist Auftragsverarbeiter. Privatrak verarbeitet Daten ausschließlich nach Weisung des Kunden, wie sie über den Dienst konfiguriert wird.

2.2 Art der Verarbeitung

Privatrak erbringt einen Produktanalyse-Dienst, der Datenschutz an erste Stelle stellt. Der Dienst ist darauf ausgelegt, standardmäßig keine personenbezogenen Daten zu erheben:

• Keine Cookies, kein localStorage, keine dauerhaften Kennungen
• IP-Adressen werden für die Ableitung der Session-Kennung per HMAC nur vorübergehend im Arbeitsspeicher verarbeitet — niemals gespeichert oder protokolliert
• User-Agent-Angaben werden für die Ableitung der Session-Kennung per HMAC nur vorübergehend im Arbeitsspeicher verarbeitet — niemals gespeichert oder protokolliert
• Kein Browser-Fingerprinting
• Session-Kennungen werden serverseitig aus einem täglich wechselnden HMAC über Besuchermetadaten abgeleitet. Sie sind innerhalb eines Tages in der für die Website eingestellten Zeitzone gleich und werden bei der täglichen Aggregation gelöscht.
• URLs werden automatisch bereinigt, um möglicherweise identifizierende Parameter zu entfernen
• Zeitstempel werden auf volle Sekunden gekürzt, stets abgerundet

2.3 Datenkategorien

Standardmäßig erhobene Daten (konzeptionell nicht personenbezogen):

Vom Kunden bestimmte Daten (können personenbezogene Daten enthalten):

Wichtig: Entscheidet sich der Kunde, über benutzerdefinierte Events, Traits oder eigene Tracking-Attribute (data-track / data-track-*) personenbezogene Daten zu senden, ist allein der Kunde dafür verantwortlich, eine Rechtsgrundlage sicherzustellen und die betroffenen Personen entsprechend zu informieren.

2.4 Betroffene Personen

Betroffene Personen sind die Besucher der Websites des Kunden, auf denen das Privatrak-Tracking-Skript eingebunden ist.

2.5 Dauer

Die Verarbeitung erfolgt für die Dauer der Nutzung des Dienstes durch den Kunden. Nach Beendigung werden die Daten gemäß Abschnitt 9 dieses AVV behandelt.

3. Pflichten des Kunden als Verantwortlicher

Der Kunde ist verpflichtet:

• die Rechtmäßigkeit jeder Verarbeitung zu bestimmen und eine gültige Rechtsgrundlage sicherzustellen
• die betroffenen Personen angemessen über den Einsatz von Privatrak zu informieren
• erforderlichenfalls Datenschutz-Folgenabschätzungen durchzuführen
• Anfragen betroffener Personen zu beantworten und zu erfüllen (mit angemessener Unterstützung durch Privatrak gemäß Abschnitt 7)
• sicherzustellen, dass alle über benutzerdefinierte Events, Traits oder eigene Tracking-Attribute an Privatrak gesendeten personenbezogenen Daten rechtmäßig und unter angemessener Information der betroffenen Personen erhoben wurden
• Privatrak nicht anzuweisen, Daten unter Verstoß gegen anwendbares Datenschutzrecht zu verarbeiten
• Datenschutzvorfälle den Aufsichtsbehörden zu melden, soweit gesetzlich vorgeschrieben
• geeignete technische und organisatorische Maßnahmen in den eigenen Systemen umzusetzen

4. Pflichten von Privatrak als Auftragsverarbeiter

Privatrak ist verpflichtet:

• personenbezogene Daten ausschließlich nach den dokumentierten Weisungen des Kunden zu verarbeiten, wie sie über die Oberfläche und die API des Dienstes konfiguriert werden
• den Kunden zu informieren, wenn eine Weisung nach Auffassung von Privatrak gegen anwendbares Datenschutzrecht verstößt
• sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind
• geeignete technische und organisatorische Sicherheitsmaßnahmen umzusetzen und aufrechtzuerhalten (siehe Abschnitt 6)
• keine weiteren Unterauftragsverarbeiter ohne vorherige Information des Kunden hinzuzuziehen (siehe Abschnitt 5)
• den Kunden bei der Beantwortung von Anfragen betroffener Personen zu unterstützen, soweit technisch möglich
• den Kunden erforderlichenfalls bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen mit Aufsichtsbehörden zu unterstützen
• dem Kunden alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung dieses AVV erforderlich sind
• personenbezogene Daten zu keinem anderen Zweck zu verarbeiten als zur Erbringung des Dienstes nach Weisung des Kunden

5. Unterauftragsverarbeiter

5.1 Derzeitige Unterauftragsverarbeiter

Privatrak setzt die folgenden Unterauftragsverarbeiter ein:

Hinweise zum Speicherort:

• Alle Analysedaten (Events, Sessions, Aggregate) werden ausschließlich in der EU gespeichert.
• Resend (mit Sitz in den USA) verarbeitet ausschließlich E-Mail-Adressen des Kunden zum Versand transaktionsbezogener E-Mails. Analysedaten und Besucherdaten der Endnutzer werden nicht an Resend weitergegeben.
• Google verarbeitet Daten nur für Kunden, die sich für die Anmeldung per Google OAuth entscheiden.
• Paddle verarbeitet ausschließlich Rechnungsdaten des Kunden. Analysedaten werden nicht an Paddle weitergegeben.

5.2 Information über Änderungen

Privatrak informiert den Kunden über beabsichtigte Änderungen bei den Unterauftragsverarbeitern (Hinzunahme oder Austausch) mindestens 30 Tage vor Wirksamwerden per E-Mail oder über den Dienst.

Der Kunde kann einem neuen Unterauftragsverarbeiter innerhalb von 30 Tagen nach Erhalt der Information widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann der Kunde den Dienst kündigen.

5.3 Pflichten der Unterauftragsverarbeiter

Privatrak stellt sicher, dass alle Unterauftragsverarbeiter zu Datenschutzpflichten verpflichtet sind, die denen dieses AVV mindestens gleichwertig sind.

6. Sicherheitsmaßnahmen

Privatrak setzt die folgenden technischen und organisatorischen Maßnahmen zum Schutz personenbezogener Daten um:

Technische Maßnahmen

• Verschlüsselung bei der Übertragung: Alle Daten zwischen der Website des Kunden, den Browsern der Endnutzer und den Servern von Privatrak werden per HTTPS/TLS verschlüsselt.
• Passwort-Hashing: Kundenpasswörter werden mit bcrypt (Kostenfaktor 12) gehasht.
• Token-Hashing: Sitzungs-Token und API-Schlüssel werden vor der Speicherung mit SHA-256 gehasht.
• Datenbanksicherheit: Alle Datenbankabfragen verwenden parametrisierte Anweisungen, um SQL-Injection auszuschließen. Der Datenbankzugriff ist über ein privates Netzwerk auf die Anwendungsserver beschränkt.
• Datenminimierung durch Technikgestaltung: Der Dienst ist architektonisch darauf ausgelegt, keine personenbezogenen Daten zu erheben. IP-Adressen und User-Agent-Angaben werden ausschließlich im Arbeitsspeicher für die HMAC-Ableitung der Session-Kennung verarbeitet und sofort verworfen — sie werden nie gespeichert oder protokolliert. Session-Kennungen werden aus einem täglich wechselnden Schlüssel abgeleitet und bei der Aggregation gelöscht.
• Keine personenbezogenen Daten in Server-Protokollen: Anwendungs-, Reverse-Proxy- und Monitoring-Protokolle erfassen ausschließlich HTTP-Methode, URL-Pfad, Statuscode und Antwortzeit. IP-Adressen, User-Agent-Angaben und Request-Header der Besucher werden in keinem Protokoll, keinem Log-System und keiner Monitoring-Plattform festgehalten.
• Automatische Datenbereinigung: Standardmäßig werden in URL-Pfaden numerische IDs, UUIDs und Hex-Zeichenketten durch Platzhalter ersetzt. Alle Bereinigungseinstellungen sind vom Kunden pro Projekt konfigurierbar. Query-Parameter, die personenbezogene Daten enthalten können (email, token, key, password, secret), werden automatisch geschwärzt.
• Ausschluss sensibler Felder: Passworteingaben, Kreditkartenfelder und versteckte Formularfelder sind unabhängig von der Konfiguration des Kunden stets vom Interaktions-Tracking ausgenommen.

Organisatorische Maßnahmen

• Der Zugriff auf Produktivsysteme ist auf berechtigte Personen beschränkt.
• Alle Personen mit Zugang zu personenbezogenen Daten sind zur Vertraulichkeit verpflichtet.
• Die Sicherheitspraktiken werden regelmäßig überprüft und aktualisiert.

7. Rechte betroffener Personen

7.1 Unterstützung

Erhält Privatrak eine Anfrage unmittelbar von einer betroffenen Person zu Daten, die im Auftrag des Kunden verarbeitet werden, informiert Privatrak den Kunden unverzüglich und beantwortet die Anfrage nicht selbst, sofern der Kunde dies nicht anweist oder das Gesetz es verlangt.

7.2 Technische Grenzen

Aufgrund der datenschutzfreundlichen Bauweise des Dienstes können Anfragen betroffener Personen in Bezug auf Analysedaten technisch nicht erfüllbar sein, weil:

• Analyse-Events standardmäßig nicht mit identifizierbaren Personen verknüpft sind
• Session-Kennungen aus einem nicht umkehrbaren HMAC mit täglich wechselndem Schlüssel abgeleitet werden und sich keiner bestimmten Person zuordnen lassen
• keine IP-Adressen gespeichert werden — sie werden nur vorübergehend zur Ableitung der Session-Kennung verwendet

Hat der Kunde personenbezogene Daten über benutzerdefinierte Events gesendet, ist der Kunde dafür verantwortlich, die zur Identifizierung und Beantwortung erforderliche Zuordnung vorzuhalten. Privatrak unterstützt bei Lösch- und Auskunftsanfragen, soweit technisch möglich.

8. Meldung von Datenschutzverletzungen

8.1 Meldung

Im Falle einer Verletzung des Schutzes personenbezogener Daten (Art. 4 Nr. 12 DSGVO) informiert Privatrak den Kunden unverzüglich, in jedem Fall jedoch spätestens 48 Stunden nach Kenntniserlangung.

8.2 Inhalt der Meldung

Die Meldung enthält, soweit bekannt:

• eine Beschreibung der Art der Verletzung, einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze
• Namen und Kontaktdaten einer Ansprechperson bei Privatrak
• eine Beschreibung der wahrscheinlichen Folgen der Verletzung
• eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung

8.3 Pflichten des Kunden

Der Kunde ist dafür verantwortlich, betroffene Personen und Aufsichtsbehörden zu benachrichtigen, soweit das anwendbare Datenschutzrecht dies verlangt.

9. Speicherdauer und Löschung

9.1 Speicherung während der Vertragslaufzeit

Analysedaten werden entsprechend dem Tarif des Kunden aufbewahrt:

Daten, die älter als die Speicherdauer sind, werden durch einen stündlich laufenden Bereinigungsvorgang automatisch und dauerhaft gelöscht.

Die Wegedaten, auf denen die Flows-Funktion beruht, werden in jedem Tarif 90 Tage aufbewahrt, bei kürzerer Tarif-Speicherdauer entsprechend kürzer.

9.2 Löschung bei Beendigung

Bei Beendigung des Dienstes gilt:

• Löscht der Kunde sein Konto, werden alle Daten sofort dauerhaft gelöscht.
• Kündigt der Kunde sein Abonnement, unterliegen die Daten der Speicherdauer des Free-Tarifs (30 Tage).
• Privatrak bewahrt nach der Kontolöschung keine Analysedaten des Kunden auf.

9.3 Keine Wiederherstellung

Gelöschte Daten können nicht wiederhergestellt werden. Der Kunde sollte vor einer Kontolöschung oder Beendigung sicherstellen, dass er alle Daten gesichert hat, die er behalten möchte.

10. Internationale Datenübermittlung

10.1 Speicherort

Alle von Privatrak verarbeiteten Analysedaten werden in der Europäischen Union gespeichert. Die zentrale Verarbeitungsinfrastruktur befindet sich innerhalb der EU.

10.2 Übermittlungen außerhalb der EU

Die folgenden Unterauftragsverarbeiter können begrenzte Datenkategorien außerhalb der EU verarbeiten:

Analysedaten und Besucherdaten der Endnutzer werden nicht außerhalb der EU übermittelt.

10.3 Standardvertragsklauseln

Werden personenbezogene Daten in ein Land außerhalb der EU/des EWR übermittelt, für das kein Angemessenheitsbeschluss vorliegt, stellt Privatrak geeignete Garantien sicher, insbesondere die Standardvertragsklauseln der Europäischen Kommission gemäß Durchführungsbeschluss (EU) 2021/914.

11. Überprüfungen

Der Kunde kann nach angemessener Ankündigung und auf eigene Kosten die Informationen anfordern, die zur Überprüfung der Einhaltung dieses AVV durch Privatrak erforderlich sind. Privatrak beantwortet angemessene Prüfungsanfragen zeitnah.

Ist eine Prüfung vor Ort erforderlich, verständigen sich die Parteien einvernehmlich über Umfang, Zeitpunkt und Dauer; der Geschäftsbetrieb von Privatrak darf dabei nicht unangemessen beeinträchtigt werden.

12. Haftung

Die Haftung jeder Partei aus diesem AVV unterliegt den Haftungsbeschränkungen der Nutzungsbedingungen.

Jede Partei stellt die andere von Kosten, Ansprüchen, Schäden und Aufwendungen frei, die aus einem Verstoß der freistellenden Partei gegen diesen AVV oder gegen anwendbares Datenschutzrecht entstehen, vorbehaltlich der Beschränkungen in den Nutzungsbedingungen.

13. Laufzeit und Beendigung

Dieser AVV gilt ab dem Zeitpunkt, zu dem der Kunde den Dienst erstmals nutzt, und für die Dauer der Nutzung.

Pflichten zur Vertraulichkeit und zur Datenlöschung gelten über die Beendigung dieses AVV hinaus fort.

Verstößt Privatrak wesentlich gegen diesen AVV und behebt den Verstoß nicht innerhalb von 30 Tagen nach schriftlicher Aufforderung, kann der Kunde den Dienst kündigen.

14. Sonstiges

• Dieser AVV unterliegt dem Recht des US-Bundesstaates Wyoming unter Ausschluss des Kollisionsrechts. Für Kunden in der EU/im EWR bleibt davon die Anwendbarkeit der DSGVO und die Zuständigkeit europäischer Datenschutzbehörden unberührt.
• Bei Widersprüchen zwischen diesem AVV und den Nutzungsbedingungen geht dieser AVV in Datenschutzfragen vor.
• Privatrak kann diesen AVV mit einer Frist von 30 Tagen ändern. Die fortgesetzte Nutzung des Dienstes nach Ablauf der Frist gilt als Zustimmung zur geänderten Fassung.
• Der Kunde darf diesen AVV an seine eigenen Kunden und an Datenschutzbehörden weitergeben.

15. Kontakt

Bei Fragen zu diesem AVV oder zum Datenschutz:

E-Mail: privacy@privatrak.com

Omexa LLC Wyoming, Vereinigte Staaten