Auftragsverarbeitungsvertrag

Zuletzt aktualisiert am 14. Oktober 2026

Dieser Auftragsverarbeitungsvertrag („AVV“, englisch „DPA“) wird zwischen der Aporia Research Ltd (Firmennummer 17518971, eingetragen in England und Wales), London N22 8NL, Vereinigtes Königreich („wir“, „uns“), die Page Lemon betreibt, und dir, dem Kunden, geschlossen. „Du“ umfasst jede Person, die eine Website auf Page Lemon veröffentlicht, mit oder ohne Konto. Dieser AVV ist Bestandteil unserer Nutzungsbedingungen, sobald wir personenbezogene Daten in deinem Auftrag verarbeiten. Du nimmst ihn an, indem du die Nutzungsbedingungen annimmst, eine Website veröffentlichst oder eine Website in ein Konto übernimmst. Widersprechen sich dieser AVV und die Nutzungsbedingungen beim Datenschutz, geht dieser AVV vor.

1. Rollen

• Für personenbezogene Daten, die deine Websites erheben oder enthalten („Kundenpersonendaten“), bist du der Verantwortliche und wir sind dein Auftragsverarbeiter. Wenn du für jemand anderen handelst (zum Beispiel als Agentur, die die Website eines Kunden erstellt), bist du Auftragsverarbeiter und wir sind dein Unterauftragsverarbeiter. Anhang 1 listet die Daten auf.
• Für deine eigenen Konto-, Abrechnungs- und Supportdaten sind wir Verantwortlicher. Das regelt unsere Datenschutzerklärung, nicht dieser AVV.
• „Datenschutzrecht“ bezeichnet die UK GDPR und den Data Protection Act 2018 sowie, soweit sie für dich gelten, die EU-DSGVO (Verordnung (EU) 2016/679) und Gesetze, die diese ersetzen oder umsetzen. Begriffe wie „Verantwortlicher“, „Auftragsverarbeiter“, „Verletzung des Schutzes personenbezogener Daten“ und „betroffene Person“ haben die Bedeutung, die diese Gesetze ihnen geben.

2. Deine Weisungen

• Wir verarbeiten Kundenpersonendaten nur auf deine dokumentierte Weisung. Deine Weisungen sind: dieser AVV und die Nutzungsbedingungen; die Einstellungen, die du in Page Lemon wählst; und das, was du, dein Team oder eine KI-App, die du verbindest, Page Lemon über die App, die API oder unseren MCP-Server auszuführen auffordern. Weitere Weisungen müssen schriftlich erfolgen (eine E-Mail genügt) und sich mit der Funktionsweise des Dienstes vereinbaren lassen.
• Wir dürfen Kundenpersonendaten außerdem verarbeiten, wenn britisches Recht (bei EU-Daten das Recht der EU oder eines Mitgliedstaats) dies verlangt. In diesem Fall teilen wir dir das vorher mit, es sei denn, dieses Recht verbietet dies aus wichtigen Gründen des öffentlichen Interesses.
• Wir teilen dir unverzüglich mit, wenn wir der Meinung sind, dass eine Weisung gegen das Datenschutzrecht verstößt. Wir müssen ihr erst folgen, wenn sie bestätigt oder geändert wurde.
• Du bist verantwortlich dafür, dass du eine Rechtsgrundlage für die Daten hast, die deine Websites erheben, für deine eigene Datenschutzerklärung gegenüber deinen Besucher:innen und für das, was deine Formulare und Seiten erheben sollen.
• Wir verkaufen Kundenpersonendaten nicht, nutzen sie nicht für Werbung, nutzen sie nicht zum Training von KI-Modellen und führen sie nicht mit Daten anderer Kunden zusammen.

3. Vertraulichkeit

Alle Personen, die wir zur Verarbeitung von Kundenpersonendaten befugen, sind vertraglich oder gesetzlich zur Vertraulichkeit verpflichtet. Der Zugriff ist auf Personen beschränkt, die ihn für den Betrieb, die Sicherung oder den Support des Dienstes brauchen.

4. Sicherheit

• Wir halten die technischen und organisatorischen Maßnahmen in Anhang 2 ein. Wir dürfen sie ändern, aber nicht so, dass das Schutzniveau insgesamt sinkt.
• Du bist verantwortlich für die Sicherheit dessen, was du kontrollierst: deine Anmeldung, deine API-Token und Übernahme-Links, die Personen, die du einlädst, die KI-Apps, die du verbindest, und die Inhalte deiner Websites.

5. Unterauftragsverarbeiter

• Allgemeine Genehmigung. Du genehmigst, dass wir die Unterauftragsverarbeiter einsetzen, die auf unserer Seite zu Unterauftragsverarbeitern aufgeführt sind. Sie nennt jeden Anbieter, seinen Zweck, die betroffenen Daten und den Ort der Verarbeitung.
• Information über Änderungen. Mindestens 14 Tage, bevor ein neuer oder ersetzender Unterauftragsverarbeiter mit der Verarbeitung von Kundenpersonendaten beginnt, senden wir allen Kontoinhaber:innen eine E-Mail und aktualisieren die Seite zu Unterauftragsverarbeitern. Websites, die ohne Konto veröffentlicht wurden, haben keine E-Mail-Adresse, daher ist für sie die Seite die Information.
• Einspruch. Du kannst innerhalb dieser 14 Tage aus berechtigten datenschutzrechtlichen Gründen per E-Mail an support@pagelemon.com Einspruch erheben. Wir besprechen das nach Treu und Glauben mit dir. Wenn wir es nicht lösen können, kannst du den betroffenen bezahlten Tarif beenden, und wir erstatten den im Voraus bezahlten, nicht genutzten Zeitraum.
• Gleiche Pflichten. Jeder Unterauftragsverarbeiter ist durch einen schriftlichen Vertrag gebunden, der Datenschutzpflichten enthält, die mindestens so schützend sind wie dieser AVV. Wir bleiben dir gegenüber dafür verantwortlich, wie er sie erfüllt.

6. Unterstützung für dich

• Anfragen von Personen. Wir unterstützen dich dabei, Personen zu antworten, die ihre Datenschutzrechte ausüben. Das meiste geht in Selbstbedienung: Du kannst Formularnachrichten und Buchungen ansehen, exportieren und löschen, Mitglieder entfernen, ein Formular entfernen oder eine Website löschen. Wenn sich eine Person wegen deiner Website an uns wendet, leiten wir die Anfrage an dich weiter und beantworten sie nicht selbst, es sei denn, das Gesetz verlangt es von uns.
• Sonstige Unterstützung. Wir unterstützen dich in angemessenem Umfang bei deinen Sicherheitspflichten, Meldungen von Verletzungen, Datenschutz-Folgenabschätzungen und der Konsultation einer Aufsichtsbehörde, anhand der Informationen, die uns vorliegen.

7. Verletzungen des Schutzes personenbezogener Daten

• Wir informieren dich unverzüglich und wollen das innerhalb von 48 Stunden tun, nachdem uns eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Kundenpersonendaten betrifft. Wir schreiben an die E-Mail-Adresse der Kontoinhaberin oder des Kontoinhabers.
• Wir teilen dir mit, was wir wissen, und ergänzen es, sobald wir mehr erfahren: was geschehen ist, die Arten und ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen und was wir getan haben oder zu tun planen.
• Die Information an dich ist kein Schuldeingeständnis. Du entscheidest, ob du die Aufsichtsbehörde oder die betroffenen Personen benachrichtigst.

8. Speicherort der Daten und internationale Übermittlungen

• Speicherort der Daten. Unsere Server stehen in London, Vereinigtes Königreich. Sie enthalten die Kontodatenbank (einschließlich Formularnachrichten, Buchungen und Mitglieder) und einen Cache der Website-Dateien. Website-Dateien werden in der EU gespeichert, ebenso Datenbank-Backups. Einige Unterauftragsverarbeiter verarbeiten Daten in anderen Ländern, darunter den Vereinigten Staaten, wie die Seite zu Unterauftragsverarbeitern zeigt.
• Daten, die aus der EU zu uns kommen. Wenn die EU-DSGVO für dich gilt, sind Daten, die du an uns im Vereinigten Königreich sendest, durch den Angemessenheitsbeschluss der Europäischen Kommission für das Vereinigte Königreich abgedeckt. Läuft dieser Beschluss aus, gelten automatisch die EU-Standardvertragsklauseln mit den Auswahlen in Anhang 3.
• Weiterübermittlungen durch uns. Wenn wir Kundenpersonendaten an einen Unterauftragsverarbeiter in einem Land ohne Angemessenheitsbeschluss übermitteln, nutzen wir die Garantie in Anhang 3 und führen die dafür erforderliche Folgenabschätzung für die Übermittlung (Transfer Risk Assessment) durch. Eine Zusammenfassung stellen wir auf Anfrage bereit.

9. Rückgabe und Löschung

• Export jederzeit. Solange dein Konto besteht, kannst du deine Website-Dateien, Formularnachrichten und Buchungen sowie Mitgliederlisten herunterladen.
• Deine Wahl am Ende. Wenn du dein Konto schließt oder der Dienst endet, wählst du, ob wir Kundenpersonendaten zurückgeben oder löschen. Damit wir sie zurückgeben, schreib an support@pagelemon.com, bevor du dein Konto schließt oder innerhalb von 7 Tagen danach; wir senden sie dir in einem gängigen, maschinenlesbaren Format. Andernfalls löschen wir sie.
• Wie schnell wir löschen. Website-Dateien: innerhalb von 7 Tagen, nachdem die Website oder das Konto gelöscht wurde. Formularnachrichten und Buchungen: 30 Tage, nachdem du sie in den Papierkorb legst, das Formular entfernst oder die Website löschst. Mitglieder und Anmeldesitzungen: wenn du die Person entfernst oder die Website löschst. Besucherzahlen: einzelne Seitenaufrufe nach 30 Tagen; Tagessummen 30 Tage nach Löschung der Website. Kontodaten: innerhalb von 30 Tagen nach Schließung des Kontos. Datenbank-Backups werden alle 7 Tage überschrieben, sodass gelöschte Daten sie 7 Tage später verlassen. Für Website-Dateien gibt es kein separates Backup. Anonyme Websites, die nie übernommen werden, werden 72 Stunden nach der Veröffentlichung gelöscht, die Dateien werden danach innerhalb von 7 Tagen entfernt. Auf Wunsch bestätigen wir die Löschung schriftlich.
• Wir speichern Daten nur dann länger, wenn britisches Recht (bei EU-Daten das Recht der EU oder eines Mitgliedstaats) uns dazu verpflichtet, und nur so lange, wie es dies verlangt; auch dann sind sie weiterhin durch diesen AVV geschützt.

10. Audits und Informationen

• Wir stellen alle Informationen bereit, die nötig sind, um nachzuweisen, dass wir unsere Pflichten als dein Auftragsverarbeiter erfüllen: diesen AVV, die Seite zu Unterauftragsverarbeitern, unsere Seiten Sicherheit und Vertrauen sowie Antworten auf einen angemessenen Sicherheitsfragebogen.
• Wir ermöglichen Audits, einschließlich Inspektionen, durch dich oder einen von dir beauftragten unabhängigen Prüfer, der zur Vertraulichkeit verpflichtet ist, und tragen dazu bei. Kündige sie mindestens 30 Tage vorher an, oder kürzer, wenn eine Aufsichtsbehörde es verlangt oder nach einer Verletzung des Schutzes personenbezogener Daten. Audits finden während der Geschäftszeiten statt, dürfen nicht auf Daten anderer Kunden zugreifen oder den Dienst gefährden, und jede Partei trägt ihre eigenen Kosten.
• Wir gehen in der Regel von einem Audit pro Jahr aus. Weitere sind in Ordnung, wenn sie nötig sind, um die Einhaltung nachzuweisen, nach einer Verletzung oder wenn eine Aufsichtsbehörde dies verlangt.
• Bei unseren Unterauftragsverarbeitern stützen wir uns auf deren Zertifizierungen und Auditberichte und geben sie weiter, soweit deren Bedingungen das erlauben. Reichen diese nicht aus, nutzen wir für dich unsere eigenen Auditrechte aus unseren Verträgen mit ihnen.

11. Haftung

Die Haftung jeder Partei nach diesem AVV richtet sich nach Abschnitt 8 der Nutzungsbedingungen, außer soweit das Datenschutzrecht eine Haftungsbeschränkung nicht zulässt. Die Haftung gegenüber den Personen, deren Daten betroffen sind, richtet sich nach dem Datenschutzrecht.

12. Laufzeit, Änderungen und anwendbares Recht

• Dieser AVV gilt, solange wir Kundenpersonendaten für dich verarbeiten.
• Wir dürfen diesen AVV aktualisieren, um Änderungen der Rechtslage, von Leitlinien einer Aufsichtsbehörde oder unseres Dienstes abzubilden. Wesentliche Änderungen kündigen wir, wie bei den Nutzungsbedingungen, mindestens 30 Tage vorher per E-Mail an. Änderungen verringern den Schutz von Kundenpersonendaten nicht, es sei denn, das Gesetz verlangt es.
• Für diesen AVV gilt das Recht von England und Wales, und die Gerichte von England und Wales sind zuständig, außer wo die EU-Standardvertragsklauseln gelten; diese unterliegen dann dem Recht, das Anhang 3 bestimmt.

Anhang 1: Einzelheiten der Verarbeitung

Anhang 2: Sicherheitsmaßnahmen

1. Verschlüsselung bei der Übertragung. Der gesamte Datenverkehr zu unseren Domains und zu deinen Websites nutzt TLS.
2. Verschlüsselung im Ruhezustand. Website-Dateien und Backups werden in verschlüsseltem Speicher in der EU aufbewahrt.
3. Trennung. Deine Websites werden von einer anderen Domain ausgeliefert als die App und die Anmeldung, sodass eine Website keine App-Sitzungen lesen kann. Die Daten jedes Kunden werden in der Anwendung getrennt gehalten und bei jeder Anfrage geprüft.
4. Zugriffskontrolle. Nur namentlich benannte Mitarbeitende erreichen die Produktionsserver, mit individuellen Schlüsseln und ohne gemeinsame Passwörter. Der Zugriff von Mitarbeitenden auf Kundendaten ist auf das beschränkt, was Support, Sicherheit oder das Gesetz verlangen.
5. Passwörter und Token. Website-Passwörter und API-Token werden nur als Einweg-Hashes gespeichert. Wir sehen nie Kontopasswörter; die Anmeldung übernimmt unser Anmeldeanbieter. Kartendaten erreichen unsere Server nie.
6. Datenminimierung. Besucherzahlen nutzen keine Cookies und keine Skripte und speichern nie eine vollständige IP-Adresse. Spam-Begrenzungen bei Formularen nutzen einen Einweg-Hash der IP-Adresse.
7. Sicherheit beim Hochladen. Uploads werden auf durchgesickerte geheime Schlüssel geprüft, und Uploads, die solche zu enthalten scheinen, werden blockiert. Wir führen keinen serverseitigen Code von Kunden aus.
8. Schutz vor Angriffen. Ratenbegrenzungen und Schutz vor Denial-of-Service-Angriffen vor allen unseren Domains.
9. Resilienz. Kontinuierliche Datenbank-Backups, ein getestetes Wiederherstellungsverfahren und die Möglichkeit, eine Website auf eine frühere Version zurückzusetzen.
10. Reaktion auf Vorfälle. Ein schriftliches Verfahren für Datenschutzverletzungen mit Rollen, eine 72-Stunden-Frist für die Meldung an die Aufsichtsbehörde bei unseren eigenen Daten und die Kundenmitteilung nach Abschnitt 7.
11. Lieferantenmanagement. Unterauftragsverarbeiter werden nach ihrer Sicherheit ausgewählt und durch Auftragsverarbeitungsbedingungen gebunden.
12. Überprüfung. Wir überprüfen diese Maßnahmen mindestens einmal im Jahr und nach jedem wesentlichen Vorfall oder jeder wesentlichen Änderung.

Anhang 3: Bedingungen für internationale Übermittlungen

Parteien

• Datenexporteur: du, der Kunde, mit den Kontaktdaten in deinem Konto. Rolle: Verantwortlicher, oder Auftragsverarbeiter, wenn du für jemand anderen handelst. Tätigkeiten: wie in Anhang 1.
• Datenimporteur: Aporia Research Ltd (Firmennummer 17518971, eingetragen in England und Wales), London N22 8NL, Vereinigtes Königreich, Kontakt support@pagelemon.com. Rolle: Auftragsverarbeiter (oder Unterauftragsverarbeiter). Tätigkeiten: wie in Anhang 1.
• Unterschrift und Datum: Die Annahme der Nutzungsbedingungen oder die Veröffentlichung einer Website gilt als Unterzeichnung dieses Anhangs, und zwar am Tag der Annahme.

An uns gesendete EU-Daten (nur wenn der Angemessenheitsbeschluss für das Vereinigte Königreich endet)

Übermittlungen von uns an Unterauftragsverarbeiter

Welche Garantie jeder Unterauftragsverarbeiter nutzt, steht auf der Seite zu Unterauftragsverarbeitern oder ist auf Anfrage bei support@pagelemon.com erhältlich.