Auftragsverarbeitungsvertrag (AVV)

§ 1 Vertragsparteien und Rangfolge

(1) Auftraggeber, Verantwortlicher: Der Nutzer der Plattform „fastmon" (Unternehmer gemäß § 14 BGB), dessen individuelle Angaben bei Vertragsschluss im Nutzerprofil erfasst werden.

(2) Auftragnehmer, Auftragsverarbeiter:

fastmon labs UG (haftungsbeschränkt)
Stresemannallee 4, 30173 Hannover
Amtsgericht Hannover, HRB 230880
Geschäftsführer: Kamil Adrian Czujowski, Lucas Röhrs
E-Mail: privacy@fastmon.eu

(3) Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Parteien, die sich aus der Nutzung des Software-as-a-Service-Dienstes fastmon (Real User Monitoring) ergeben. Im Falle von Widersprüchen zwischen diesem AVV und anderen Vereinbarungen (insbesondere AGB) gehen die Bestimmungen dieses AVV vor.

§ 2 Gegenstand, Art und Zweck der Verarbeitung

(1) Der Auftragnehmer stellt dem Auftraggeber den SaaS-Dienst fastmon zur Verfügung. Gegenstand ist die Messung der Performance und Verfügbarkeit der vom Auftraggeber betriebenen Webseiten und Webanwendungen aus Sicht der tatsächlichen Endnutzer (Real User Monitoring). Verarbeitet werden Core Web Vitals (LCP, INP, CLS, TTFB, FCP), Navigation- und Resource-Timing, technische Metadaten zu Browser, Betriebssystem, Gerät, Viewport, Country-Code (ISO-2) sowie Fehlerereignisse.

(2) Zweck der Verarbeitung ist die Bereitstellung des Dashboards, der Alarmierung und der Performance-Auswertung für den Auftraggeber.

(3) Eine Verarbeitung der Daten zu eigenen Zwecken des Auftragnehmers (Werbung, Profilierung, Weitergabe an Dritte) findet nicht statt.

(4) Der Auftraggeber sichert zu, keine personenbezogenen oder personenbeziehbaren Daten gleich welcher Art in vom Auftragnehmer erfassbare Felder zu übermitteln. Dies umfasst insbesondere URL-Pfade, Query-Strings, Anker, UTM- und Kampagnen-Parameter, frei konfigurierbare Markenwerte, Tag-Werte und Fehler-Kontexte. Besondere Kategorien nach Art. 9 DSGVO und Daten nach Art. 10 DSGVO werden nicht verarbeitet. Eine entgegen dieser Zusicherung erfolgende Übermittlung erfolgt außerhalb des Verarbeitungszwecks und fällt in den Verantwortungsbereich des Auftraggebers.

§ 3 Dauer

Die Dauer dieses Vertrages entspricht der Laufzeit des Hauptvertrages (Nutzungsvertrag fastmon).

§ 4 Weisungsrecht des Auftraggebers

(1) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers.

(2) Weisungen erfolgen in der Regel durch die Nutzung des Dashboards und der API; darüber hinausgehende Weisungen sind in Textform an privacy@fastmon.eu zu richten.

(3) Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, hat er den Auftraggeber unverzüglich zu informieren.

§ 5 Edge-Server-Architektur und Stitch-Identifier

(1) Der Auftragnehmer betreibt eine vorgelagerte Edge-Server-Schicht. Die IP-Adresse und der rohe User-Agent des Endnutzers werden dort ausschließlich transient (weniger als 1 Sekunde im Arbeitsspeicher) zur Ableitung von Country-Code (ISO 3166-1 alpha-2) und Browser-Kategorie verarbeitet und unmittelbar danach vernichtet.

(2) Die Anwendungsschicht, Datenbank und Logs verarbeiten und speichern zu keinem Zeitpunkt rohe IP-Adressen oder rohe User-Agent-Strings. Diese Eigenschaft ist durch automatisierte Tests dauerhaft abgesichert.

(3) Der Stitch-Identifier ist ein serverseitig berechneter HMAC-SHA256-Hash auf Basis eines rotierenden 24-Stunden-Salts, mandantenintern und pro-Site. Eine Wiedererkennung über Sitzungen hinaus, über Sites hinweg oder über Geräte hinweg ist technisch ausgeschlossen. Der Stitch ist pro Site abschaltbar (store_stitch=false).

§ 6 Pflichten des Auftragnehmers

(1) Der Auftragnehmer gewährleistet, dass die zur Verarbeitung berechtigten Personen zur Vertraulichkeit verpflichtet sind.

(2) Der Auftragnehmer setzt die in § 8 beschriebenen technischen und organisatorischen Maßnahmen um.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO im Rahmen der ihm zur Verfügung stehenden Informationen.

§ 7 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die folgenden Unterauftragsverarbeiter:

• Hetzner Online GmbH, Gunzenhausen (DE), Hosting, Storage, Backup (Rechenzentrum Falkenstein, DE)
• sevdesk GmbH, Offenburg (DE), Buchhaltung und Rechnungserstellung
• Lettermint B.V., Zwolle (NL), transaktionale E-Mails
• Soverin B.V., Rotterdam (NL), Geschäftsmail
• BunnyWay d.o.o., Tržič (SI), autoritativer DNS-Dienst
• smoxy GmbH, Berlin (DE), Ingress
• Mistral AI SAS, Paris (FR), LLM-Inferenz (nur bei Opt-in der AI-Chat-Funktion)
• ScaleCommerce GmbH, Berlin (DE), Hosting
• All Quiet GmbH, Berlin (DE), On-Call-Tool für fastmon-Engineering

(2) Mit Mollie B.V., Amsterdam (NL) besteht keine Auftragsverarbeitung im Sinne von Art. 28 DSGVO. Mollie handelt als regulierter Zahlungsdienstleister gemäß PSD2 in eigener datenschutzrechtlicher Verantwortlichkeit.

(3) Eine aktuelle Liste der Unterauftragsverarbeiter ist unter fastmon.eu/de/subprozessoren einsehbar und auf Anforderung bei privacy@fastmon.eu erhältlich.

(4) Beabsichtigt der Auftragnehmer, weitere Unterauftragsverarbeiter hinzuzuziehen oder zu ersetzen, informiert er den Auftraggeber 30 Tage vorab in Textform. Dem Auftraggeber steht ein Widerspruchsrecht aus wichtigem datenschutzrechtlichem Grund zu. Bei berechtigtem Widerspruch darf der neue Unterauftragsverarbeiter nicht für die Verarbeitung der Daten des widersprechenden Auftraggebers eingesetzt werden, bis eine einvernehmliche Lösung erreicht wurde. Kommt innerhalb von 30 Tagen keine Lösung zustande, steht dem Auftraggeber ein außerordentliches Kündigungsrecht des Hauptvertrages zu.

§ 8 Technische und organisatorische Maßnahmen (TOM)

Der Auftragnehmer setzt gemäß Art. 32 DSGVO insbesondere folgende Maßnahmen um:

• EU-only-Infrastruktur, keine Datenübermittlung an US-Provider im Datenpfad
• TLS-Verschlüsselung sämtlicher externer Verbindungen
• Edge-Stripping IP und User-Agent vor der Anwendungsschicht
• Datensparsamkeit als Architektur-Prinzip, keine Cookies und keine persistenten Identifier im Default-Modus
• Mandantentrennung in der Datenbank über Tenant-IDs
• Rollenbasierte Zugriffskontrolle, Least-Privilege-Prinzip
• SSH-Zugang nur per Public-Key, 2FA für administrative Konsolen
• Verschlüsselte Datenbank-Backups, Retention 7 Tage
• Externes Uptime-Monitoring und Alarmierung

Detaillierte TOM-Dokumentation auf Anforderung an privacy@fastmon.eu.

§ 9 Betroffenenrechte

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anträgen Betroffener nach Art. 15 bis 22 DSGVO im Rahmen der ihm zur Verfügung stehenden Informationen.

(2) Aufgrund der datensparsamen Architektur (Edge-Stripping IP, keine persistenten Identifier, 24-Stunden-Begrenzung des Stitch) ist eine direkte Zuordnung von Telemetriedaten zu einer natürlichen Person regelmäßig nicht möglich. Der Auftragnehmer weist hierauf im Einzelfall hin (Art. 11 DSGVO).

(3) Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er diese Anfrage unverzüglich an den Auftraggeber weiter.

§ 10 Datenschutzverletzungen

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten gemäß Art. 4 Nr. 12 DSGVO unverzüglich, spätestens innerhalb von 24 Stunden ab Kenntnis. Die Meldung enthält mindestens Art der Verletzung, betroffene Datenkategorien, ungefähre Anzahl Betroffener, Folgen und ergriffene Maßnahmen.

§ 11 Löschung und Rückgabe nach Vertragsende

(1) Nach Beendigung des Hauptvertrages löscht der Auftragnehmer die personenbezogenen Daten des Auftraggebers innerhalb von 30 Tagen, einschließlich aller Backups innerhalb der regulären Backup-Retention.

(2) Der Auftraggeber kann seine Daten vor Vertragsende über die im Produkt bereitgestellten Export-Schnittstellen sichern.

(3) Eine Speicherung über das Vertragsende hinaus erfolgt nur, soweit gesetzliche Aufbewahrungspflichten dies erfordern (insbesondere Rechnungsdaten, § 257 HGB, § 147 AO, 10 Jahre).

§ 12 Kontrollrechte

(1) Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung zu kontrollieren. Vorrangig erfolgt dies durch Vorlage der aktuellen TOM-Dokumentation, Selbstauskünfte und ggf. Zertifikate der Unterauftragsverarbeiter (Hetzner ISO 27001, All Quiet ISO 27001).

(2) Vor-Ort-Prüfungen sind mit 30 Tagen Vorankündigung möglich, maximal einmal pro Kalenderjahr, während der üblichen Geschäftszeiten. Die Kosten trägt der Auftraggeber, bei festgestelltem wesentlichem Verstoß der Auftragnehmer.

§ 13 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO sowie den Regelungen der AGB. Haftungsobergrenzen aus den AGB finden keine Anwendung auf Bußgelder nach Art. 83 DSGVO, soweit deren Ursache in den Verantwortungsbereich des Auftragnehmers fällt, sowie auf Vorsatz und grobe Fahrlässigkeit.

§ 14 Behörden- und Strafverfolgungsanfragen

(1) Erhält der Auftragnehmer Anfragen von Behörden auf Herausgabe personenbezogener Daten des Auftraggebers, prüft er die Rechtmäßigkeit und gibt nur dasjenige Minimum heraus, das gesetzlich erforderlich ist.

(2) Der Auftragnehmer informiert den Auftraggeber unverzüglich, soweit dies rechtlich zulässig ist.

(3) Eine Verarbeitung unter dem U.S. CLOUD Act, FISA 702 oder vergleichbaren extraterritorialen Zugriffsregimen ist nach derzeitiger Bewertung nicht zu erwarten, da die Verarbeitungstätigkeiten in der EU bzw. im EWR stattfinden.

§ 15 Schlussbestimmungen

(1) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

(2) Gerichtsstand ist Hannover, soweit nicht zwingende gesetzliche Regelungen Abweichendes vorsehen.

(3) Änderungen dieses AVV bedürfen der Textform. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen die Regelungen dieses AVV vor, soweit datenschutzrechtliche Themen betroffen sind.

(4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Gültigkeit der übrigen Regelungen unberührt.