Vereinbarung zur Auftragsverarbeitung

nach Art. 28 Abs. 3 DSGVO — zwischen Apexly und Partneragenturen

Vertragsparteien

Diese Vereinbarung wird geschlossen zwischen

Stellung der Parteien in der Verarbeitungskette

Bei der Prüfung einer Kundenwebsite entsteht eine Kette aus drei Beteiligten:

Zwischen Apexly und dem Endkunden der Agentur besteht keine Vertragsbeziehung und kein Kontakt. Apexly handelt ausschließlich auf Weisung der Agentur.

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch Apexly im Rahmen der Leistungen, die im Partnerpaket beschrieben sind: die automatisierte Prüfung von Websites auf technische Sicherheit, Datenschutz und Rechtspflichten, deren Auswertung, Aufbewahrung und Bereitstellung als Bericht.

1.2 Die Vereinbarung gilt für die Dauer der Partnerschaft. Sie endet mit deren Beendigung, spätestens mit dem tatsächlichen Ende der Verarbeitung.

2. Art und Zweck der Verarbeitung

Apexly ruft die von der Agentur eingetragenen Websites öffentlich ab — so, wie es jeder Besucher tun könnte — und wertet das Ergebnis aus. Verarbeitet werden dabei:

• öffentlich abrufbare Inhalte der geprüften Website
• technische Merkmale des Servers (Zertifikate, Kopfzeilen, DNS-Einträge)
• Kontaktdaten, soweit sie in Impressum oder Datenschutzerklärung öffentlich stehen
• Angaben, die die Agentur selbst einträgt (Kundenname, Empfängeradresse für Berichte)
• ein Bild der Startseite zum Vergleich mit dem vorigen Stand

Ausgeschlossene Verarbeitungen

• Kein Eindringen. Es werden keine Passwörter geraten, keine Lücken ausgenutzt und keine Anmeldebereiche betreten. Apexly liest nur, was öffentlich zugänglich ist.
• Keine Formulare. Es werden keine Eingaben abgeschickt und keine Anmeldevorgänge durchgespielt.
• Keine Besucherdaten. Apexly erhält keinen Zugriff auf die Besucher der geprüften Website, ihre Sitzungen oder ihre Eingaben.
• Keine Weitergabe. Die Daten werden nicht verkauft, nicht für Werbung genutzt und nicht mit anderen Beständen zusammengeführt.

3. Betroffene Personen und Datenarten

4. Weisungsbindung

4.1 Apexly verarbeitet die Daten ausschließlich auf dokumentierte Weisung der Agentur. Die Weisungen ergeben sich aus dieser Vereinbarung, den AGB und den Einstellungen im Partner-Bereich — welche Websites geprüft werden, wie oft, wer Berichte bekommt.

4.2 Einzelweisungen darüber hinaus sind in Textform an info@pepelabs.de zu richten.

4.3 Hält Apexly eine Weisung für rechtswidrig, wird die Agentur unverzüglich informiert. Apexly darf die Umsetzung bis zur Klärung aussetzen.

5. Ort der Verarbeitung

Speicherung ausschließlich in Deutschland. Server, Datenbank und Mailversand stehen in Rechenzentren der IONOS SE. Alle Daten der Agentur und ihrer Kunden — Konten, Websites, Prüfberichte, Rechnungen — werden dort und nirgendwo sonst gespeichert.

Prüfabfragen an Stellen außerhalb der EU. Für einzelne der 63 Prüfungen fragt Apexly öffentliche Auskunftsdienste ab. Dabei wird die Adresse der geprüften Website übermittelt, keine Daten der Agentur, ihrer Kunden oder Berichtsinhalte. Diese Abfragen sind für die Leistung erforderlich; sie sind in Ziffer 8 einzeln aufgeführt.

Ob eine solche Adresse selbst einen Personenbezug hat, hängt vom Einzelfall ab: Bei einer Firmendomain in aller Regel nicht, bei einer Domain aus Vor- und Nachname schon. Apexly behandelt sie vorsorglich als personenbezogen.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zutritts-, Zugangs- und Zugriffskontrolle

• Passwörter werden ausschließlich als bcrypt-Prüfsumme gespeichert, niemals im Klartext.
• Zwei-Faktor-Anmeldung über TOTP steht für jedes Konto zur Verfügung.
• Sitzungsschlüssel, API-Schlüssel und Berichtslinks liegen ausschließlich als Prüfsumme in der Datenbank — wer sie dort lesen könnte, kann sie nicht benutzen.
• Jede Abfrage prüft die Zugehörigkeit der Daten zum anfragenden Konto. Eine Agentur kann die Daten einer anderen weder lesen noch verändern.
• Der Serverzugang ist auf Schlüsselanmeldung beschränkt; Passwortanmeldung ist abgeschaltet. Wiederholte Fehlversuche führen zur automatischen Sperre der Herkunftsadresse.

Weitergabekontrolle

• Der gesamte Verkehr läuft ausschließlich über TLS. Unverschlüsselte Aufrufe werden weitergeleitet, HSTS ist gesetzt.
• Ausgehende Verbindungen zu geprüften Websites werden vorher gegen interne Netze geprüft und auf die aufgelöste Adresse festgenagelt.

Trennungskontrolle

• Die Datenbank ist von den übrigen Anwendungen des Servers getrennt und besitzt eigene Zugangsdaten.
• Berichte an Endkunden sind nur über einen Link erreichbar, dessen Prüfsumme gespeichert ist. Der Link ist jederzeit widerrufbar; die Berechtigung wird bei jedem Abruf neu geprüft.

Eingabekontrolle

• Jede erkannte Änderung an einer geprüften Website wird protokolliert. Die Einträge sind über Prüfsummen verkettet — nachträgliche Änderungen an einem Eintrag fallen auf, weil die Kette dann nicht mehr aufgeht.
• Das Protokoll ist gegen Änderung und Löschung auf Datenbankebene gesperrt.

Verfügbarkeitskontrolle

• Tägliche Sicherung der Datenbank.
• Automatische Überwachung der eigenen Erreichbarkeit.

7. Löschung und Aufbewahrung

7.1 Nach Beendigung der Partnerschaft werden die Daten auf Wahl der Agentur gelöscht oder herausgegeben. Ohne Wahl wird gelöscht.

7.2 Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Sie werden für die Dauer der Frist gesperrt und danach gelöscht.

8. Weitere Auftragsverarbeiter

8.1 Die Agentur erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die erste Zeile betrifft die Speicherung, die übrigen sind Auskunftsdienste, an die im Rahmen einer Prüfung die Adresse der geprüften Website übermittelt wird:

8.2 Mit IONOS besteht eine Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO. IONOS ist nach ISO 27001 zertifiziert.

8.2a Für die Übermittlung an Stellen in den USA stützt sich Apexly auf die Standardvertragsklauseln der Kommission nach Art. 46 Abs. 2 lit. c DSGVO beziehungsweise, soweit der Empfänger dort zertifiziert ist, auf den Angemessenheitsbeschluss zum EU-US Data Privacy Framework. Übermittelt wird jeweils nur die Adresse der geprüften Website.

8.2b Verbindet die Agentur ihr Konto mit der Google Search Console, ruft Apexly damit Suchdaten zu den eigenen Websites ab. Google ist dafür eigener Verantwortlicher, nicht Unterauftragsverarbeiter; die Verbindung wird von der Agentur selbst erteilt und kann jederzeit widerrufen werden. Ohne diese Freigabe findet keine solche Abfrage statt.

8.3 Eine Änderung wird der Agentur vorher mitgeteilt. Sie kann binnen 14 Tagen aus sachlichem Grund widersprechen. Im Fall des Widerspruchs kann Apexly die Leistung ohne die beabsichtigte Änderung erbringen oder — wenn das nicht zumutbar ist — die Partnerschaft zum Ende des laufenden Monats beenden.

9. Unterstützungspflichten

9.1 Meldet sich eine betroffene Person direkt bei Apexly, wird sie an die Agentur verwiesen. Apexly beantwortet solche Anfragen nicht selbst, es sei denn, die Agentur beauftragt es ausdrücklich.

9.2 Apexly unterstützt die Agentur bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Ein vollständiger Export aller zu einem Konto gespeicherten Daten steht im Partner-Bereich jederzeit als Datei bereit — ohne Anfrage und ohne Wartezeit.

9.3 Wird Apexly eine Verletzung des Schutzes personenbezogener Daten bekannt, wird die Agentur unverzüglich informiert — mit den Angaben, die sie für ihre eigene Meldung nach Art. 33 DSGVO braucht.

10. Nachweis und Überprüfung

10.1 Apexly stellt der Agentur die Angaben zur Verfügung, die sie zum Nachweis der Einhaltung braucht. In der Regel genügt dazu dieses Dokument zusammen mit dem Nachweis der Zertifizierung des Unterauftragsverarbeiters.

10.2 Darüber hinausgehende Überprüfungen sind nach Ankündigung mit angemessener Frist zu den üblichen Geschäftszeiten möglich.

11. Vertraulichkeit

11.1 Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Die Verpflichtung erfolgt vor der ersten Aufnahme der Tätigkeit in Textform und besteht nach deren Beendigung fort.

11.2 Der Kreis der zugriffsberechtigten Personen ist auf das für die Leistungserbringung erforderliche Maß beschränkt. Zum Zeitpunkt dieser Fassung besteht er aus dem Anbieter selbst.

12. Haftung und Schlussbestimmungen

12.1 Es gilt die Haftungsregelung der AGB, ergänzt um Art. 82 DSGVO.

12.2 Änderungen bedürfen der Textform. Bei Widerspruch zwischen dieser Vereinbarung und den AGB gehen die Regelungen dieser Vereinbarung vor, soweit es um die Verarbeitung personenbezogener Daten geht.

12.3 Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.

12.4 Es gilt deutsches Recht.

Fassung 1.0 · Stand: August 2026
Patrick Neumann (pepelabs), Feldstraße 1B, 03159 Döbern · info@pepelabs.de
Datenschutzerklärung · Vertrag widerrufen · Verträge hier kündigen · AGB · Kontakt · Automatisierte Zugriffe · Impressum · Barrierefreiheit · Sicherheitslücke melden