Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag gemäß Art. 28 DSGVO („AVV") zwischen der Kund*in (nachfolgend „Verantwortliche") und der

Musu Labs GmbH
Hochkamerstr. 63F, 47506 Neukirchen-Vluyn
Handelsregister: HRB 21048, Amtsgericht Kleve
(nachfolgend „Auftragsverarbeiterin")

Dieser AVV wird bei der Registrierung bzw. beim Beitritt zu einer Organisation elektronisch akzeptiert und ist Bestandteil des Nutzungsvertrages über die Vantance-Plattform. Zeitpunkt, akzeptierte Fassung sowie technische Nachweisdaten der Zustimmung (IP-Adresse, User-Agent) werden revisionssicher protokolliert. Die Anlagen 1 (TOM) und 2 (Unterauftragsverarbeiter) sind Bestandteil dieses Vertrages.

1. Gegenstand und Dauer der Verarbeitung

(1) Gegenstand ist die Erbringung von Web-Analytics-, A/B-Testing-, Attributions- und Conversion-Tracking-Leistungen einschließlich optionaler KI-gestützter Auswertungen über die Vantance-Plattform.

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrages. Die Regelungen zur Löschung und Rückgabe (§ 10) gelten über das Vertragsende hinaus, bis die Daten vollständig gelöscht bzw. zurückgegeben sind.

2. Art und Zweck der Verarbeitung, Datenarten, Betroffene

(1) Zweck: Messung und Analyse der Nutzung der Websites der Verantwortlichen, Auswertung von Werbekampagnen (Attribution, Ad-Performance), Durchführung von A/B-Tests sowie — ausschließlich nach Konfiguration durch die Verantwortliche — server-seitige Weiterleitung von Conversion-Ereignissen an die von ihr verbundenen Werbeplattformen.

(2) Art der Verarbeitung: Erhebung über ein Mess-Skript bzw. serverseitige Schnittstellen, Speicherung, Aggregation, Auswertung, pseudonymisierte Verknüpfung, weisungsgebundene Übermittlung, Löschung.

(3) Datenarten: Nutzungsdaten (Seitenaufrufe, Ereignisse, Referrer, UTM-Parameter, Klick-IDs wie gclid/fbclid), technische Merkmale (Gerätetyp, Browser, Betriebssystem, Herkunftsland/-region), pseudonyme Kennungen (täglich rotierender Besucher-Hash; Roh-IP-Adressen werden nicht gespeichert), Consent-Status; bei entsprechender Einwilligung der Endnutzer*innen zusätzlich gehashte E-Mail-Adressen (SHA-256) und Umsatz-/Bestellwerte (z. B. aus Stripe-Webhooks der Verantwortlichen).

(4) Betroffene: Besucher*innen und Kund*innen der Websites der Verantwortlichen.

3. Weisungsgebundenheit

(1) Die Auftragsverarbeiterin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, auch hinsichtlich einer Übermittlung in ein Drittland, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats sie hierzu verpflichtet; in einem solchen Fall teilt sie der Verantwortlichen diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen erfolgen in der Regel über die Konfiguration in der Plattform (aktivierte Integrationen, Consent-Einstellungen, Event-Zuordnungen, Lösch- und Exportaufträge) sowie in Textform an die im Impressum genannten Kontaktdaten. Die jeweils aktive Konfiguration gilt als dokumentierte Weisung.

(3) Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, informiert sie die Verantwortliche unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen.

4. Vertraulichkeit

Die Auftragsverarbeiterin gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Der Zugriff auf Kundendaten ist auf das für Betrieb und Support erforderliche Maß beschränkt (Need-to-know-Prinzip) und wird protokolliert.

5. Sicherheit der Verarbeitung

Die Auftragsverarbeiterin trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Vertragsschluss implementierten Maßnahmen sind in Anlage 1 beschrieben. Sie dürfen dem Stand der Technik angepasst werden, sofern das Schutzniveau nicht unterschritten wird; wesentliche Änderungen werden dokumentiert.

6. Unterauftragsverarbeitung

(1) Die Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der in Anlage 2 aufgeführten Unterauftragsverarbeiter*innen.

(2) Über beabsichtigte Hinzuziehungen oder Ersetzungen informiert die Auftragsverarbeiterin mindestens 30 Tage im Voraus (per E-Mail an die Organisations-Owner oder Hinweis in der Plattform). Die Verantwortliche kann aus wichtigem, datenschutzrechtlichem Grund widersprechen; kommt keine einvernehmliche Lösung zustande, sind beide Parteien zur außerordentlichen Kündigung des Nutzungsvertrages berechtigt.

(3) Mit jeder Unterauftragsverarbeiter*in werden Verpflichtungen auferlegt, die den Regelungen dieses AVV im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO). Die Auftragsverarbeiterin haftet gegenüber der Verantwortlichen für die Pflichterfüllung ihrer Unterauftragsverarbeiter*innen.

(4) Keine Unterauftragsverarbeitung im Sinne dieses Vertrages ist die von der Verantwortlichen selbst konfigurierte Übermittlung von Conversion-Daten an die von ihr verbundenen Plattformen (Meta, Google, TikTok, Snapchat, LinkedIn, Pinterest, Reddit, eigener Webhook-Endpunkt, eigenes Stripe-Konto). Insoweit handelt die Auftragsverarbeiterin als Übermittlerin auf Weisung; die Rechtsbeziehung zur jeweiligen Plattform besteht unmittelbar zwischen der Verantwortlichen und der Plattform.

7. Übermittlungen in Drittländer

(1) Verarbeitung findet vorrangig innerhalb der EU bzw. des Vereinigten Königreichs (Angemessenheitsbeschluss nach Art. 45 DSGVO) statt. Soweit Unterauftragsverarbeiter*innen in Drittländern ohne Angemessenheitsbeschluss eingesetzt werden oder ein Zugriff aus solchen Drittländern nicht ausgeschlossen werden kann, stützt sich die Übermittlung auf die EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3 „Auftragsverarbeiter–Unterauftragsverarbeiter") und/oder — bei zertifizierten US-Anbietern — auf das EU-U.S. Data Privacy Framework.

(2) Die Auftragsverarbeiterin prüft vor dem Einsatz von Drittland-Dienstleistern, ob zusätzliche Maßnahmen (z. B. Verschlüsselung, Pseudonymisierung, Datenminimierung) erforderlich sind, und setzt diese um. Die je Anbieter einschlägige Transfergrundlage ist in Anlage 2 ausgewiesen.

8. Unterstützung der Verantwortlichen

(1) Die Auftragsverarbeiterin unterstützt die Verantwortliche mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO) — insbesondere durch die integrierten Export- und Löschfunktionen (DSAR-Werkzeuge). Anfragen Betroffener, die direkt bei der Auftragsverarbeiterin eingehen, werden unverzüglich an die Verantwortliche weitergeleitet.

(2) Sie unterstützt die Verantwortliche ferner bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen.

9. Meldung von Verletzungen des Schutzes personenbezogener Daten

Die Auftragsverarbeiterin meldet der Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten der Verantwortlichen betrifft, unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung. Die Meldung enthält — soweit bekannt — Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Abhilfemaßnahmen. Die Auftragsverarbeiterin dokumentiert Verletzungen und unterstützt die Verantwortliche bei Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO).

10. Löschung und Rückgabe

(1) Nach Beendigung des Vertrages werden sämtliche personenbezogenen Daten der Verantwortlichen nach deren Wahl gelöscht oder in einem gängigen, maschinenlesbaren Format herausgegeben und anschließend gelöscht — spätestens 90 Tage nach Vertragsende, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Die Löschung aus Backups erfolgt spätestens mit deren regulärem Auslauf (max. 35 Tage).

(2) Unabhängig davon greifen die automatisierten Löschfristen der Plattform (Analyse-Rohdaten: 14 Monate; Consent-Nachweise: 3 Jahre als Nachweis nach Art. 7 Abs. 1 DSGVO).

11. Nachweise und Kontrollrechte

(1) Die Auftragsverarbeiterin stellt der Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung — vorrangig durch aussagekräftige Dokumentation (dieser AVV nebst Anlagen, TOM-Beschreibung, Zertifikate und Auditberichte der Unterauftragsverarbeiter*innen).

(2) Auf begründete Anfrage ermöglicht sie darüber hinaus Überprüfungen (Audits) durch die Verantwortliche oder eine beauftragte, zur Vertraulichkeit verpflichtete Prüfer*in — höchstens einmal pro Vertragsjahr, nach Terminabstimmung mit mindestens 14 Tagen Vorlauf, während üblicher Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebs. Anlassbezogene Prüfungen (z. B. nach einer Datenschutzverletzung) bleiben unbenommen. Jede Partei trägt ihre eigenen Kosten.

12. Haftung

Für die Haftung gelten Art. 82 DSGVO sowie ergänzend die Haftungsregelungen des Nutzungsvertrages (AGB). Die Parteien stellen einander von Ansprüchen frei, soweit die jeweils andere Partei den datenschutzrechtlichen Verstoß zu vertreten hat.

13. Laufzeit, Änderungen, Schlussbestimmungen

(1) Dieser AVV gilt für die Dauer des Nutzungsvertrages. (2) Änderungen dieses AVV werden versioniert (Datumsstand oben); über wesentliche Änderungen werden die Organisations-Owner informiert. (3) Bei Widersprüchen zwischen diesem AVV und den AGB geht hinsichtlich der Verarbeitung personenbezogener Daten dieser AVV vor. (4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit im Übrigen unberührt. (5) Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Pseudonymisierung und Datenminimierung (Art. 32 Abs. 1 lit. a)

• Keine Speicherung von Roh-IP-Adressen; Besucher-Identifikation über einen täglich rotierenden Hash (Site-ID + gekürzte Merkmale + Tages-Salt)
• E-Mail-Adressen ausschließlich als SHA-256-Hash (normalisiert), nie im Klartext im Event-Stream
• Consent-abhängige Signalstufen (none/degraded/full): Ohne jegliche Einwilligung (Stufe „none") erfolgt rein cookielose, aggregierte Messung ohne Weiterleitung an Werbeplattformen. Server-seitige Conversion-Weiterleitung (z. B. Meta CAPI) erfolgt standardmäßig nur bei voller Marketing-Einwilligung („full"). Aktiviert die Verantwortliche den optionalen „Degraded Mode" (Standard: aus), werden bei fehlender Marketing-Einwilligung technisch für das Matching notwendige Signale (IP-Adresse, User-Agent) an die Plattform übermittelt — jedoch keine erweiterten Identifikatoren (gehashte E-Mail, external_id, fbp/fbc). Diese Übermittlung liegt in der bewussten Verantwortung und Weisung der Verantwortlichen.

2. Verschlüsselung (Art. 32 Abs. 1 lit. a)

• Transportverschlüsselung (TLS 1.2+) für sämtliche Verbindungen (Erhebung, Dashboard, APIs)
• Verschlüsselung ruhender Daten (AES-256) bei Hosting- und Datenbank-Anbietern
• API-Tokens/Secrets der Kund*innen in einem verschlüsselten Vault (nie im Klartext in der Datenbank oder im Quellcode; Write-only aus Sicht des Browsers)

3. Vertraulichkeit und Zugriffskontrolle (Art. 32 Abs. 1 lit. b)

• Mandantentrennung auf Datenbankebene (Row Level Security) und in der Anwendungsschicht (per-Site-Autorisierung jeder API-Anfrage)
• Rollenbasierte Zugriffskontrolle (Owner/Admin/Analyst, Site-Scoping für Analysten)
• Zugriff auf Produktionssysteme nur über personalisierte Konten mit OAuth/2FA; kein geteiltes Passwort im Produktivbetrieb
• Need-to-know-Prinzip für Support-Zugriffe; administrative Zugriffe werden protokolliert

4. Integrität und Übertragungskontrolle (Art. 32 Abs. 1 lit. b)

• Signierte Webhooks (HMAC) für ausgehende Daten-Exports; Signatur-Verifikation eingehender Webhooks (z. B. Stripe)
• Server-seitige Weiterleitungen ausschließlich über authentifizierte, verschlüsselte APIs mit Zustell-Protokoll (Forward-Queue mit Status je Ereignis)
• Eingabekontrolle: schema-validierte Schreibpfade; KI-Funktionen mit validierten, read-only bzw. eng begrenzten Werkzeugen

5. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b, c)

• Hosting auf redundanter Cloud-Infrastruktur mit automatischem Failover
• Tägliche automatisierte Datenbank-Backups (Point-in-Time-Recovery beim Datenbank-Anbieter); Backup-Aufbewahrung max. 35 Tage
• Rate-Limiting und Missbrauchs-Schutz auf den Erfassungs-Endpunkten

6. Löschkonzept und Betroffenenrechte

• Automatisierter Retention-Purge (Analyse-Rohdaten nach 14 Monaten; Consent-Nachweise nach 3 Jahren)
• Integrierte DSAR-Werkzeuge: personenbezogener Export und Löschung/Anonymisierung auf Anfrage, protokolliert

7. Verfahren zur regelmäßigen Überprüfung (Art. 32 Abs. 1 lit. d)

• Regelmäßige Überprüfung der Zugriffsrechte, Abhängigkeiten (Dependency-Updates) und Sicherheitskonfiguration
• Protokollierung sicherheitsrelevanter Ereignisse; dokumentierte Incident-Response-Abläufe (siehe § 9)

Anlage 2 — Unterauftragsverarbeiter*innen

Stand: Juli 2026. Aktuelle Fassung stets unter vantance.com/avv.

Musu Labs GmbH — Hochkamerstr. 63F, 47506 Neukirchen-Vluyn
Handelsregister: HRB 21048, Amtsgericht Kleve · Vertreten durch: Vincent Musche