Auftragsverarbeitungsvertrag für Agenturen

Version 1.1, 31. Oktober 2026. Die englische Fassung ist die maßgebliche Fassung. Im Zweifel hat sie Vorrang.

Dieser Vertrag ist Teil der White-Label-Bedingungen zwischen The CSS Partner (Gezar, einem dänischen Einzelunternehmen im Eigentum von Magnus Bo Nielsen, CVR-Nr. 42476226, Lupinskrænten 58, 8500 Grenaa, Dänemark) und der Agentur. Er gilt ab dem Tag, an dem die Agentur die Bedingungen annimmt. „DSGVO“ bezeichnet die Verordnung (EU) 2016/679.

1. Wer wofür verantwortlich ist

Die meisten personenbezogenen Daten im Dienst werden nicht im Auftrag der Agentur verarbeitet. Die Tabelle zeigt, wer darüber entscheidet, warum und wie die Daten verwendet werden.

Daten	Wer ist Verantwortlicher	Rolle von The CSS Partner als Auftragsverarbeiter?
Technische Daten über Besucher der Website des White Label CSS (etwa IP-Adresse, Gerät, aufgerufene Seiten, Klicks auf Produkte)	The CSS Partner	Nein
Anmeldedaten der eigenen Mitarbeiter der Agentur im Partnerportal	The CSS Partner, zum Betrieb des Portals und des Vertrags	Nein
Abrechnungsdaten der Agentur selbst (Name, Adresse, USt-IdNr., Zahlungsmethode)	The CSS Partner	Nein
Bei Resell: Konto- und Zahlungsdaten der Kunden der Agentur (Name, E-Mail, Unternehmen, Land, USt-IdNr., Shops, Abonnement und Zahlungen)	The CSS Partner, als Verkäufer	Nein
Bei Resell: was die Agentur über ihre Kunden erhält (Name, E-Mail, Shops, Status, Zahlungen)	Die Agentur, als eigene Verantwortliche	Nein. Wir legen die Daten gegenüber der Agentur offen
Kontaktdaten und Merchant-Center-IDs von Kunden, die die Agentur selbst eingibt oder importiert (volle Kontrolle, ohne Zahlung über uns)	Die Agentur	Ja
E-Mails, die wir im Namen der Agentur von der E-Mail-Domain der Agentur an diese Kunden senden	Die Agentur	Ja
Die eigenen Kundenbeziehungen, das Marketing und die Verträge der Agentur	Die Agentur	Nein

Die Agentur ist für ihre Kundenbeziehungen selbst Verantwortliche. Wir entscheiden nicht, wie die Agentur die Daten ihrer Kunden verwendet.

2. Wann wir keine Daten im Auftrag der Agentur verarbeiten

Gibt die Agentur keine Kundendaten im Portal ein und sendet sie keine E-Mails über das Portal, verarbeiten wir keine personenbezogenen Daten im Auftrag der Agentur. Dann gelten die Ziffern 3 bis 9 nicht, und jede Partei hält die DSGVO für die Daten, für die sie verantwortlich ist. Dasselbe gilt für Resell-Kunden: Wir verarbeiten ihre Daten als Verantwortliche, nicht für die Agentur.

Produktfeeds und Produktdaten der Kunden der Agentur sind Geschäftsdaten, keine personenbezogenen Daten. Enthält ein Feed personenbezogene Daten, ist das ein Verstoß gegen Ziffer 3.6 der Bedingungen.

3. Verarbeitung im Auftrag der Agentur

Dieser Teil gilt nur für die beiden mit „Ja“ markierten Zeilen in Ziffer 1.

1. Gegenstand und Zweck. Wir verarbeiten die Daten, um das White Label CSS für die Agentur zu betreiben: um die Kundendatensätze und Shops der Agentur zu speichern und die von der Agentur aktivierten E-Mails in ihrem Namen zu senden.
2. Art. Speicherung, Anzeige im Portal, Übermittlung an das CSS Center von Google, soweit zur Verknüpfung eines Shops nötig, und Versand von E-Mails.
3. Datenarten. Name, E-Mail-Adresse, Telefonnummer (optional), Unternehmen, Land, USt-IdNr., Merchant-Center-ID, Shop-Adresse, der Status der Shops des Kunden sowie die gesendeten E-Mails mit Datum und Zustellstatus.
4. Betroffene. Ansprechpartner bei den Kunden der Agentur.
5. Dauer. Solange die Bedingungen laufen und bis zur Löschung nach Ziffer 8.
6. Weisungen. Wir verarbeiten die Daten nur auf dokumentierte Weisung der Agentur. Die Bedingungen, dieser Vertrag und das, was die Agentur im Portal tut, sind ihre Weisungen. Wir teilen der Agentur mit, wenn wir der Meinung sind, dass eine Weisung gegen das Gesetz verstößt.
7. Vertraulichkeit. Jede Person, die auf unserer Seite Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet.
8. Sicherheit. Wir wenden die Maßnahmen in Ziffer 6 an.
9. Unterstützung. Wir unterstützen die Agentur bei der Beantwortung von Anfragen betroffener Personen und bei ihren Pflichten zu Sicherheit, Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorheriger Konsultation der Aufsichtsbehörde, soweit die Verarbeitung es zulässt. Wir informieren die Agentur unverzüglich, wenn sich eine betroffene Person wegen Daten, die wir für die Agentur verarbeiten, an uns wendet.
10. Nachweis. Wir geben der Agentur die Informationen, die sie braucht, um nachzuweisen, dass wir diesen Vertrag einhalten. Die Agentur kann uns einmal im Jahr mit einer Frist von 30 Tagen prüfen, während der Arbeitszeit und auf eigene Kosten, durch einen zur Vertraulichkeit verpflichteten Prüfer. Wir können stattdessen die Fragen der Agentur schriftlich beantworten, wenn dies dasselbe abdeckt.
11. Pflichten der Agentur. Die Agentur hat eine Rechtsgrundlage für die Daten, die sie eingibt, und informiert ihre Kunden und deren Mitarbeiter darüber, dass die Daten in ihrem Auftrag von uns verarbeitet werden. Sie gibt keine Daten ein, zu deren Eingabe sie nicht berechtigt ist.

4. Unterauftragsverarbeiter

Die Agentur erteilt uns eine allgemeine Genehmigung, die unten genannten Unterauftragsverarbeiter einzusetzen. Wir informieren die Agentur per E-Mail mindestens 30 Tage vor dem Beginn über einen neuen oder ersetzten Unterauftragsverarbeiter. Die Agentur kann innerhalb dieser Frist aus sachlichen Gründen widersprechen. Können wir dem Widerspruch nicht abhelfen, kann die Agentur die Bedingungen mit Wirkung zum Tag des Beginns der Änderung kündigen. Jeder Unterauftragsverarbeiter ist durch einen Vertrag gebunden, der dieselben Datenschutzpflichten enthält wie dieser Vertrag. Wir sind für sie verantwortlich.

Unterauftragsverarbeiter	Was er tut	Wo
Die eigenen Server von The CSS Partner	Hosten das Portal, die Datenbank und die Vergleichsseite	Dänemark (erreicht über Cloudflare)
Resend	Sendet E-Mails im Namen der Agentur	Region eu-west-1 (Irland)
Cloudflare	DNS, Sicherheit und Zertifikate für die Domain der Agentur sowie Auslieferung der Website	Globales Netz
Cloudflare R2	Speichert verschlüsselte Sicherungen der Datenbank. Der Schlüssel zum Öffnen liegt nur bei uns	EU
Google Drive	Speichert verschlüsselte Sicherungen von Dateien und Datenbank-Dumps. Der Schlüssel liegt nur bei uns	Standort nicht auf die EU festgelegt. Die Übermittlung beruht auf den Datenschutzbedingungen von Google und Standardvertragsklauseln
Stripe	Zahlungen und Rechnungen für die White-Label-Gebühr der Agentur und, bei Resell, für die Resell-Kunden	EU und USA

Abgesehen von Google Drive ist Google nicht unser Unterauftragsverarbeiter. Wenn wir einen Shop im CSS Center von Google verknüpfen, verarbeitet Google die Merchant-Center-Daten nach seinen eigenen Bedingungen mit dem Kunden der Agentur und mit uns als CSS. Stripe verarbeitet Zahlungsdaten für einige Zwecke als eigenständiger Verantwortlicher, etwa zur Betrugsprävention und zur Erfüllung seiner gesetzlichen Pflichten.

5. Übermittlungen außerhalb der EU und des EWR

1. Unser eigener Server steht in Dänemark. Resend speichert in Irland. Sicherungen in R2 werden in der EU aufbewahrt. Verschlüsselte Kopien in Google Drive können außerhalb der EU aufbewahrt werden und sind durch die Übermittlungsinstrumente in Ziffer 5.1 abgedeckt. Cloudflare und Stripe sind US-Unternehmen mit Präsenz in der EU. Übermittelt ein Unterauftragsverarbeiter Daten in ein Land ohne Angemessenheitsbeschluss, beruht die Übermittlung auf den Standardvertragsklauseln der Europäischen Kommission (Beschluss (EU) 2021/914) oder einem anderen Übermittlungsinstrument der DSGVO.
2. Hat die Agentur ihren Sitz außerhalb der EU und des EWR und hat ihr Land keinen Angemessenheitsbeschluss, sind die Standardvertragsklauseln der Kommission Teil dieses Vertrags für die Daten, die wir an die Agentur senden. Für Daten, die wir als Verantwortliche offenlegen, gilt Modul 1. Für Daten, die wir als Auftragsverarbeiter zurücksenden, gilt Modul 4. Die Angaben zu den Anhängen ergeben sich aus diesem Vertrag und aus Ziffer 1. Es gilt dänisches Recht, soweit die Klauseln die Wahl offenlassen, und Retten i Randers ist das zuständige Gericht.

6. Sicherheit

Wir schützen die Daten mit diesen Maßnahmen:

• verschlüsselte Verbindungen (TLS) zwischen Browser, Website und Portal,
• Anmeldungen per Einmal-Link, signierte Sitzungs-Cookies und eine Rolle für jeden Nutzer (Inhaber, Administrator, Mitarbeiter, Leser), wobei ein deaktivierter Nutzer sofort den Zugang verliert,
• das Portal, die Website und das Backend sind getrennt, und der Browser kommuniziert nur mit der eigenen Website-Adresse der Agentur,
• Schlüssel und Zugangsdaten werden nur auf dem Server aufbewahrt, nie im Browser,
• eine Versandsperre, die jede E-Mail stoppt, die die Agentur nicht aktiviert hat, und jede E-Mail eines nicht verifizierten Absenders,
• Protokolle der gesendeten E-Mails,
• Zugang zu Kundendaten nur für die Personen, die ihn für den Betrieb des Dienstes brauchen.

Wir überprüfen die Maßnahmen, wenn sich der Dienst oder die Risiken ändern. Wir senken das Schutzniveau während der Laufzeit nicht.

7. Verletzung des Schutzes personenbezogener Daten

Wir informieren die Agentur unverzüglich, wenn uns eine Verletzung der Daten bekannt wird, die wir in ihrem Auftrag verarbeiten. Die Mitteilung nennt, was geschehen ist, welche Daten und wie viele Personen betroffen sein können, welche Folgen wir erwarten und was wir unternommen haben. Weitere Informationen senden wir, sobald wir sie erfahren. Die Agentur entscheidet, ob sie die Aufsichtsbehörde und die betroffenen Personen benachrichtigt.

8. Löschung und Rückgabe am Ende

1. Wenn die Bedingungen enden, stellen wir die Verarbeitung der Kundendatensätze und E-Mails der Agentur ein.
2. Auf Anfrage vor dem Ende oder innerhalb von 30 Tagen danach geben wir der Agentur einen Export der Kundendatensätze in einem gängigen Format (CSV).
3. Wir löschen die Kundendatensätze und die E-Mail-Protokolle, die wir im Auftrag der Agentur verarbeiten, innerhalb von 30 Tagen nach dem Ende der Bedingungen oder innerhalb von 30 Tagen nach der Auslaufphase nach Ziffer 5.5 der Bedingungen, wenn diese später endet. Kopien in Sicherungen werden automatisch gelöscht: in R2 spätestens 35 Tage nach ihrer Erstellung, in Google Drive spätestens 190 Tage danach.
4. Wir bewahren auf, was das Gesetz uns als Verantwortlichen aufzubewahren vorschreibt, etwa Rechnungen und Buchhaltungsunterlagen für 5 Jahre nach den dänischen Buchführungsvorschriften. Diese Daten werden nicht im Auftrag der Agentur verarbeitet.
5. Auf Anfrage bestätigen wir die Löschung per E-Mail.

9. Haftung, Recht und Änderungen

1. Die Haftung richtet sich nach Ziffer 8 der Bedingungen. Ein datenschutzrechtlicher Anspruch einer betroffenen Person ändert dies zwischen den Parteien nicht, soweit das Gesetz nichts anderes bestimmt.
2. Es gilt dänisches Recht. Streitigkeiten gehen wie in den Bedingungen an Retten i Randers (Amtsgericht Randers).
3. Wir können diesen Vertrag mit einer Frist von 60 Tagen in Schriftform für die Zukunft ändern, wenn sich das Gesetz, ein Unterauftragsverarbeiter oder der Dienst ändert. Die Agentur kann kündigen, bevor die Änderung wirksam wird.
4. Stehen dieser Vertrag und die Bedingungen in Bezug auf personenbezogene Daten im Widerspruch, geht dieser Vertrag vor.
5. Fragen zu personenbezogenen Daten gehen an kontakt@gezar.dk.