Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO

Version: 1.0
Stand: 8. Oktober 2026

zwischen

dem im Bestellprozess beziehungsweise im Lienks-Konto bezeichneten Kunden
– nachfolgend „Verantwortlicher“ –

und

Philip Knüppelholtz
Lienks Analytics
Klaus-Groth-Straße 28
23769 Fehmarn
Deutschland
E-Mail: philip@lienks.com
– nachfolgend „Auftragsverarbeiter“ oder „Lienks“ –

wird folgende Vereinbarung zur Auftragsverarbeitung geschlossen.

1. Gegenstand und Geltungsbereich

1. Diese Vereinbarung regelt die Verarbeitung personenbezogener Daten durch Lienks im Auftrag des Verantwortlichen bei der Bereitstellung des Webanalysedienstes Lienks.
2. Sie ergänzt die zwischen den Parteien geltenden Allgemeinen Geschäftsbedingungen beziehungsweise Terms of Service. Bei Widersprüchen hinsichtlich der Verarbeitung personenbezogener Daten geht diese Vereinbarung vor.
3. Die Verarbeitung von Konto-, Vertrags-, Abrechnungs- und Supportdaten, bei der Lienks selbst Verantwortlicher ist, fällt nicht unter diese Vereinbarung. Hierfür gilt die Datenschutzerklärung von Lienks.
4. Die Einzelheiten der Verarbeitung ergeben sich aus Anlage 1. Die technischen und organisatorischen Maßnahmen sind in Anlage 2 beschrieben. Die genehmigten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt.

2. Dauer

1. Diese Vereinbarung gilt ab der Registrierung beziehungsweise dem Beginn der Nutzung von Lienks und für die Dauer, in der Lienks personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
2. Die Laufzeit entspricht grundsätzlich der Laufzeit des zugrunde liegenden Nutzungsverhältnisses. Pflichten, die ihrer Natur nach über dessen Ende hinaus gelten, insbesondere Vertraulichkeits-, Lösch- und Nachweispflichten, bleiben bestehen.

3. Verantwortlichkeit und Weisungen

1. Der Verantwortliche bestimmt die Zwecke und wesentlichen Mittel der Verarbeitung. Er ist insbesondere dafür verantwortlich, dass die Erhebung und Übermittlung der Daten an Lienks rechtmäßig erfolgt und die betroffenen Personen ordnungsgemäß informiert werden.
2. Lienks verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht. In diesem Fall informiert Lienks den Verantwortlichen vor der Verarbeitung über die rechtliche Verpflichtung, soweit dies gesetzlich zulässig ist.
3. Die Nutzung und Konfiguration des Dienstes nach Maßgabe dieser Vereinbarung, der Leistungsbeschreibung und der Einstellungen im Konto gelten als dokumentierte Weisungen.
4. Weitergehende Weisungen können in Textform an philip@lienks.com erteilt werden. Verursacht eine Weisung einen Aufwand, der über die vertraglich geschuldete Leistung hinausgeht, kann Lienks nach vorheriger Abstimmung eine angemessene Vergütung verlangen.
5. Hält Lienks eine Weisung für datenschutzrechtswidrig, informiert Lienks den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

4. Pflichten von Lienks

Lienks verpflichtet sich insbesondere,

1. personenbezogene Daten nur im Rahmen dieser Vereinbarung und der dokumentierten Weisungen zu verarbeiten;
2. sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind oder einer entsprechenden gesetzlichen Verschwiegenheitspflicht unterliegen;
3. die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen aufrechtzuerhalten und entsprechend dem Risiko sowie dem Stand der Technik angemessen weiterzuentwickeln;
4. den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit bei der Erfüllung von Betroffenenrechten zu unterstützen;
5. den Verantwortlichen unter Berücksichtigung der verfügbaren Informationen bei der Erfüllung seiner Pflichten nach Art. 32 bis 36 DSGVO zu unterstützen;
6. ein Verzeichnis der Kategorien von Verarbeitungstätigkeiten zu führen, soweit dies gesetzlich erforderlich ist;
7. mit der zuständigen Aufsichtsbehörde im gesetzlich erforderlichen Umfang zusammenzuarbeiten;
8. die Daten nicht für eigene Werbezwecke, Profilbildung oder den Verkauf an Dritte zu verwenden.

5. Pflichten des Verantwortlichen

1. Der Verantwortliche gewährleistet die Rechtmäßigkeit der Verarbeitung und verfügt über eine geeignete Rechtsgrundlage für die Verwendung von Lienks.
2. Der Verantwortliche informiert betroffene Personen transparent über die Verarbeitung und erfüllt gegebenenfalls bestehende Einwilligungs- und Widerspruchspflichten.
3. Der Verantwortliche konfiguriert Lienks entsprechend seinen rechtlichen Anforderungen und übermittelt keine Daten, die für den vereinbarten Analysezweck nicht erforderlich sind.
4. Der Verantwortliche darf über URL-Pfade oder frei gewählte Eventnamen keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO, Daten über strafrechtliche Verurteilungen oder Straftaten nach Art. 10 DSGVO, Zugangsdaten, Zahlungsdaten oder unmittelbar identifizierende Angaben übermitteln.
5. Der Verantwortliche informiert Lienks unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

6. Betroffenenrechte

1. Anfragen betroffener Personen, die Lienks unmittelbar erreichen und erkennbar Daten des Verantwortlichen betreffen, werden ohne inhaltliche Bearbeitung an den Verantwortlichen weitergeleitet, soweit keine gesetzliche Verpflichtung zu einer eigenen Bearbeitung besteht.
2. Lienks unterstützt den Verantwortlichen im Rahmen der verfügbaren Funktionen und Informationen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.
3. Der Verantwortliche bleibt für die Prüfung und Beantwortung von Betroffenenanfragen verantwortlich.

7. Sicherheit der Verarbeitung

1. Lienks trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie von Art, Umfang, Umständen und Zwecken der Verarbeitung angemessene technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO.
2. Der Verantwortliche bestätigt, dass die in Anlage 2 beschriebenen Maßnahmen für das mit seiner Nutzung verbundene Risiko angemessen sind. Er informiert Lienks, wenn sein konkreter Anwendungsfall erhöhte Anforderungen mit sich bringt.
3. Lienks darf einzelne Maßnahmen ändern, sofern das vereinbarte Sicherheitsniveau dadurch nicht unterschritten wird.

8. Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Lienks informiert den Verantwortlichen unverzüglich, nachdem Lienks eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Auftrag verarbeitete Daten betrifft.
2. Die Mitteilung enthält, soweit verfügbar, eine Beschreibung der Art des Vorfalls, der betroffenen Daten und Personen, der wahrscheinlichen Folgen sowie der ergriffenen oder vorgeschlagenen Gegenmaßnahmen.
3. Lienks unterstützt den Verantwortlichen im angemessenen Umfang bei dessen Pflichten nach Art. 33 und 34 DSGVO. Die Entscheidung über eine Meldung an die Aufsichtsbehörde oder betroffene Personen obliegt dem Verantwortlichen.

9. Unterauftragsverarbeiter

1. Der Verantwortliche erteilt Lienks eine allgemeine Genehmigung, die in Anlage 3 aufgeführten Unterauftragsverarbeiter einzusetzen.
2. Lienks informiert den Verantwortlichen vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Verantwortliche kann aus sachlich begründeten datenschutzrechtlichen Gründen innerhalb von 14 Tagen nach der Information widersprechen.
3. Können die Parteien den Widerspruch nicht angemessen lösen, kann der Verantwortliche die von der Änderung betroffene Leistung zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.
4. Lienks verpflichtet Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Pflichten aus dieser Vereinbarung im Wesentlichen entsprechen. Lienks bleibt gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten verantwortlich.

10. Verarbeitung außerhalb des Europäischen Wirtschaftsraums

1. Die in Anlage 1 beschriebenen Analysedaten werden nach dem gegenwärtigen technischen Aufbau in Deutschland verarbeitet.
2. Eine Verarbeitung in einem Drittland erfolgt nur auf dokumentierte Weisung des Verantwortlichen oder wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

11. Löschung und Rückgabe

1. Während der Vertragslaufzeit kann der Verantwortliche Websites und Analysedaten über die vorgesehenen Funktionen löschen. Die Daten werden dabei unverzüglich aus den aktiven Systemen entfernt und sind dort nicht wiederherstellbar.
2. Nach Beendigung der Auftragsverarbeitung löscht oder gibt Lienks die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht besteht. Erfolgt keine abweichende Weisung, löscht Lienks die Daten aus den aktiven Systemen spätestens innerhalb von 30 Tagen nach Beendigung des zugrunde liegenden Kontos.
3. In verschlüsselten Sicherungskopien können gelöschte Daten bis zu 30 Tage verbleiben. Sicherungskopien dienen ausschließlich der Wiederherstellung nach technischen Störungen, werden nicht für den laufenden Betrieb genutzt und turnusmäßig überschrieben.
4. Gesetzlich vorgeschriebene Aufbewahrungen bleiben unberührt. Die betreffenden Daten werden für andere Zwecke gesperrt.

12. Nachweise und Kontrollen

1. Lienks stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen.
2. Der Verantwortliche darf selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer angemessene Kontrollen durchführen. Kontrollen sind grundsätzlich mindestens 14 Tage vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und auf das notwendige Maß zu beschränken.
3. Zum Schutz anderer Kunden, von Geschäftsgeheimnissen und der Systemsicherheit kann Lienks vorrangig geeignete Dokumentationen, Auskünfte oder vorhandene Prüfberichte bereitstellen. Direkte Zugriffe auf Systeme oder Daten anderer Kunden sind ausgeschlossen.
4. Zusätzlicher Aufwand für Kontrollen kann nach vorheriger Abstimmung angemessen berechnet werden, sofern die Kontrolle keinen von Lienks zu vertretenden wesentlichen Verstoß ergibt.

13. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO, den sonstigen gesetzlichen Vorschriften und den Regelungen des zugrunde liegenden Vertrags. Rechte betroffener Personen werden hierdurch nicht eingeschränkt.

14. Schlussbestimmungen

1. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Dies gilt auch für die Änderung dieses Textformerfordernisses.
2. Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
3. Soweit zulässig, gilt deutsches Recht.
4. Die Vereinbarung wird elektronisch geschlossen. Einzelheiten regelt Abschnitt 16.

15. Änderungen dieser Vereinbarung

1. Lienks kann diese Vereinbarung anpassen, wenn das wegen einer Änderung der Rechtslage, der Unterauftragsverarbeiter oder des Funktionsumfangs erforderlich ist. Das vereinbarte Schutzniveau wird dadurch nicht unterschritten.
2. Lienks informiert den Verantwortlichen über Änderungen mindestens 30 Tage vor ihrem Wirksamwerden per E-Mail. Für Unterauftragsverarbeiter gilt Abschnitt 9.
3. Ist der Verantwortliche mit einer Änderung nicht einverstanden, kann er der Änderung widersprechen und den Vertrag zum Zeitpunkt des Wirksamwerdens kündigen. Die jeweils aktuelle Fassung ist auf lienks.com abrufbar.

16. Abschluss und Kontakt

1. Diese Vereinbarung gilt ab dem 8. Oktober 2026 und ersetzt alle zuvor zwischen dem Verantwortlichen und Lienks vereinbarten Regelungen zur Auftragsverarbeitung.
2. Mit der Registrierung beziehungsweise der Nutzung von Lienks wird diese Vereinbarung Bestandteil des Vertrags zwischen dem Verantwortlichen und Lienks. Eine gesonderte Unterschrift ist nicht erforderlich.
3. Bei Fragen zu dieser Vereinbarung erreicht der Verantwortliche Lienks unter philip@lienks.com.

---

Anlage 1 – Beschreibung der Verarbeitung

1. Gegenstand und Zweck

Bereitstellung eines Webanalysedienstes zur Erfassung, Speicherung, Aggregation und Darstellung der Nutzung der vom Verantwortlichen eingebundenen Websites.

2. Art der Verarbeitung

Erheben beziehungsweise Entgegennehmen, Übertragen, temporäres Verarbeiten, Pseudonymisieren, Ordnen, Speichern, Aggregieren, Auswerten, Anzeigen und Löschen von Analysedaten.

3. Kategorien betroffener Personen

• Besucher und Nutzer der Websites des Verantwortlichen
• gegebenenfalls Beschäftigte, Kunden oder Interessenten des Verantwortlichen, soweit sie dessen Websites nutzen

4. Kategorien personenbezogener Daten

• Zeitstempel und aufgerufene Website beziehungsweise Seite oder URL-Pfad
• Referrer-Domain
• Browser-, Betriebssystem- und Geräteinformationen
• ungefährer geografischer Bezug, insbesondere Land
• Sitzungs-, Einstiegs-, Ausstiegs- und Interaktionsinformationen
• vom Verantwortlichen festgelegte Custom-Eventnamen
• täglich wechselnde pseudonyme Besucherkennung
• Kennzeichnung erkannten Bot-Traffics
• IP-Adresse und technische Browserinformationen ausschließlich zur kurzfristigen technischen Verarbeitung und Bildung der pseudonymen Besucherkennung; die IP-Adresse wird nicht als Analysedatum dauerhaft gespeichert

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO sind nicht Gegenstand der vereinbarten Verarbeitung.

5. Dauer und Löschfristen

• Analysedaten bleiben grundsätzlich gespeichert, solange das Konto beziehungsweise die zugehörige Website besteht und der Verantwortliche keine Löschung veranlasst.
• Eine durch den Verantwortlichen ausgelöste Löschung entfernt die Daten unverzüglich aus den aktiven Systemen.
• Sicherungskopien werden spätestens innerhalb von 30 Tagen überschrieben.
• Nach Beendigung der Auftragsverarbeitung gelten die Regelungen aus Abschnitt 11.

6. Verarbeitungsort

Hetzner-Rechenzentrum Falkenstein, Deutschland.

---

Anlage 2 – Technische und organisatorische Maßnahmen

1. Zutritts- und physische Sicherheit

• Betrieb der Server in einem Rechenzentrum der Hetzner Online GmbH in Falkenstein, Deutschland
• Physische Schutzmaßnahmen des Rechenzentrums werden durch Hetzner bereitgestellt
• Kein eigener physischer Zugriff von Lienks auf die Rechenzentrumsinfrastruktur

2. Zugangskontrolle

• Administrativer Serverzugriff ausschließlich über SSH-Schlüssel
• Beschränkung administrativer Zugriffe auf freigegebene IP-Adressen
• Kein unmittelbarer administrativer Login als Root; Verwendung eines gesonderten Benutzerkontos
• Zugriff auf das Produktionssystem ausschließlich durch den Betreiber von Lienks
• Mehrfaktor-Authentifizierung für Hetzner, Firebase und Stripe
• Keine Weitergabe administrativer Zugangsdaten

3. Zugriffskontrolle und Mandantentrennung

• Rollen- und berechtigungsbasierte Zugriffe innerhalb der Anwendung
• Logische Trennung der Daten nach Workspace und Website
• Beschränkung von Zugriffen auf die zur Aufgabenerfüllung erforderlichen Daten
• Schutz des letzten administrativen Workspace-Zugangs vor unbeabsichtigtem Entzug

4. Übertragungs- und Transportkontrolle

• Verschlüsselte Übertragung öffentlich erreichbarer Dienste mittels TLS/HTTPS
• Verschlüsselte administrative Verbindungen mittels SSH
• Keine dauerhafte Speicherung vollständiger IP-Adressen als Analysedaten

5. Speicher- und Pseudonymisierungskonzept

• Speicherung der produktiven Daten in PostgreSQL und ClickHouse auf Servern in Falkenstein, Deutschland
• Täglich wechselnde pseudonyme Besucherkennung im Cookieless-Standardmodus
• Kurzfristige Verarbeitung von IP-Adresse und Browserinformationen zur Bildung der Besucherkennung, ohne dauerhafte Speicherung der IP-Adresse als Analysedatum

6. Verfügbarkeit und Wiederherstellbarkeit

• Tägliche verschlüsselte Sicherungskopien auf einer Hetzner Storage Box in Deutschland
• Aufbewahrung von sieben täglichen und vier wöchentlichen Sicherungsständen
• Turnusmäßige Überschreibung; gelöschte Kundendaten verbleiben höchstens 30 Tage in Sicherungskopien
• Sicherungskopien werden ausschließlich zur Wiederherstellung nach technischen Störungen verwendet
• Regelmäßige Sicherheits- und Systemaktualisierungen im Rahmen des Betriebs

7. Integrität und Eingabekontrolle

• Validierung eingehender Analysedaten und Zuordnung zu einer Website
• Protokollierung sicherheits- und betriebsrelevanter Vorgänge, soweit für Betrieb, Fehleranalyse und Missbrauchserkennung erforderlich
• Beschränkung von Custom Events auf Eventnamen; keine frei übermittelbaren Event-Properties im vereinbarten Funktionsumfang

8. Organisationskontrolle

• Zugriff auf personenbezogene Daten nur, soweit dies für Betrieb, Support, Sicherheit oder Fehlerbehebung erforderlich ist
• Vertrauliche Behandlung aller im Auftrag verarbeiteten Daten
• Dokumentierter Prozess für Sicherheitsvorfälle und Benachrichtigungen
• Regelmäßige Überprüfung und bedarfsgerechte Anpassung der Maßnahmen

---

Anlage 3 – Genehmigte Unterauftragsverarbeiter

Unterauftragsverarbeiter	Anschrift / Ort	Leistung	Verarbeitungsort
Hetzner Online GmbH	Industriestr. 25, 91710 Gunzenhausen, Deutschland	Serverhosting, Rechenzentrumsinfrastruktur und verschlüsselte Backups über Storage Box	Falkenstein, Deutschland

Firebase/Google für die Kontoauthentifizierung, Stripe für Zahlungen, netcup für das E-Mail-Postfach und Brevo für transaktionale Nachrichten verarbeiten nach der derzeitigen Ausgestaltung keine Analysedaten der Websitebesucher im Auftrag des Kunden. Diese eigenständigen Verarbeitungen von Konto-, Vertrags-, Zahlungs- oder Kommunikationsdaten sind daher nicht Gegenstand dieser Vereinbarung und werden in der Datenschutzerklärung von Lienks beschrieben.