Gemäß Art. 28 DSGVO · Stand: August 2026 · Gültig ab: April 2026
Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") regelt die Verarbeitung personenbezogener Daten durch Unseenr im Auftrag von Kunden (nachfolgend „Auftraggeber") im Rahmen der Nutzung des Unseenr-Dienstes.
Auftragsverarbeiter:
Gonzi Tech UG (haftungsbeschränkt)
An der Mannsfaust 10 · 60599 Frankfurt am Main · Deutschland
Geschäftsführer: David Joswig
E-Mail: ···
Registergericht: Amtsgericht Frankfurt am Main · HRB 139764
USt-IdNr.: DE458062905
Auftraggeber / Verantwortlicher:
Natürliche oder juristische Person, die sich bei Unseenr registriert und den Dienst nutzt. Der Auftraggeber ist gem. Art. 4 Nr. 7 DSGVO der Verantwortliche für die personenbezogenen Daten, die er über das Unseenr-SDK und die Unseenr-API einliefert.
Gegenstand der Verarbeitung ist die Erbringung des Unseenr-Dienstes unter app.unseenr.io / ingest.unseenr.io, insbesondere die Entgegennahme, Speicherung, Verarbeitung und Darstellung von Fehler-Events, Log-Einträgen, Performance-Traces, Session Replays, Uptime-Monitor-Daten und sonstigen Telemetriedaten, die der Auftraggeber über das SDK oder die API einliefert.
Vertragsdauer: Der AVV beginnt mit Vertragsschluss des Hauptvertrags und endet automatisch mit dessen Beendigung. Bei Kontolöschung werden alle Daten des Auftraggebers gemäß § 12 gelöscht.
Nachweis des Vertragsschlusses: Datum, Uhrzeit, IP-Adresse und User-Agent des Registrierungsvorgangs werden als Nachweis des AVV-Abschlusses gespeichert und dem Auftraggeber per E-Mail bestätigt.
Die Verarbeitung umfasst folgende Tätigkeiten:
Zweck: Ausschließlich Erbringung der vertraglich vereinbarten Leistung. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt.
Je nach SDK-Konfiguration des Auftraggebers können folgende Datenkategorien übermittelt und verarbeitet werden:
Hinweis: Der Auftraggeber ist dafür verantwortlich, das Unseenr-SDK so zu konfigurieren, dass keine unbeabsichtigten personenbezogenen Daten übermittelt werden (z.B. Masking sensibler Formularfelder in Session Replays, Scrubbing von PII in Fehlermeldungen).
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers gem. Art. 28 Abs. 3 lit. a DSGVO, es sei denn, eine gesetzliche Verpflichtung schreibt eine Verarbeitung vor.
Weisungserteilung: Schriftlich oder per E-Mail an ···. Mündliche Weisungen sind unverzüglich schriftlich zu bestätigen.
Konkludente Weisung durch Konfiguration von Alert-Zielen: Konfiguriert der Auftraggeber im Dashboard eigene Alert-Ziele (z.B. PagerDuty, Opsgenie, Slack, Discord, Webhook oder ein anderes vom Auftragnehmer unterstütztes Ziel) und hinterlegt dabei eigene Zugangsdaten (API-Key, Token oder Webhook-URL), gilt dies als dokumentierte Weisung, Fehlermeldungen und Ereignisdaten an dieses selbst gewählte Ziel zu übermitteln. Der Auftraggeber trägt für die Auswahl dieser Weisungsziele die alleinige Verantwortung, einschließlich der datenschutzrechtlichen Zulässigkeit einer etwaigen Drittlandübermittlung an das gewählte Ziel. Diese Weisungsziele sind keine Unterauftragsverarbeiter des Auftragnehmers im Sinne von § 8. Ausgenommen ist der E-Mail-Fallback-Kanal über den eigenen Brevo-Account des Auftragnehmers (siehe § 8).
Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn eine Weisung nach Einschätzung des Auftragsverarbeiters gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 2 lit. h DSGVO).
Der Auftragnehmer verpflichtet sich zu:
Der Auftraggeber erteilt eine allgemeine schriftliche Genehmigung gem. Art. 28 Abs. 2 DSGVO für den Einsatz folgender Unterauftragsverarbeiter:
| Anbieter | Zweck | Standort / Rechtsgrundlage |
|---|---|---|
| Hetzner Online GmbH | Server-Hosting, Datenbank, Object Storage (Session Replays), Load Balancer, Uptime-Monitoring-Worker (alle Standorte aktuell in der EU: Falkenstein/Nürnberg DE, Helsinki FI). Ein Uptime-Monitoring-Worker außerhalb der EU (Ashburn VA, USA – nur HTTP-Statuscode, Antwortzeit, Zeitstempel; kein Datenbankzugriff, keine Kundendaten) ist geplant, aber aktuell nicht in Betrieb. | EU-Standorte: Deutschland, Finnland – EU · ISO 27001, AVV Bei künftiger Aktivierung des USA-Standorts (ASH): Standardvertragsklauseln / SCCs (Art. 46 DSGVO), AVV · ISO 27001 |
| Cloudflare, Inc. | WAF, DDoS-Schutz, DNS, Rate Limiting, SSL-Terminierung | USA – EU-US Data Privacy Framework (Art. 45 DSGVO), AVV |
| Brevo (Sendinblue GmbH) | Transaktionale E-Mails (Alert-Benachrichtigungen, Einladungen) | Deutschland / Frankreich – EU · TÜV-zertifiziert, AVV |
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung (Kreditkarte, SEPA) | Irland (EU); US-Transfers: EU-US DPF (Art. 45 DSGVO), AVV |
| Haufe-Lexware GmbH & Co. KG (Lexoffice) | Rechnungsstellung und Buchhaltung (gesetzliche Pflicht) | Deutschland (Freiburg) – EU, AVV |
| Porkbun LLC | Domain-Registrar (unseenr.io, unseenr.com) | USA (Vancouver, WA) – Standardvertragsklauseln / SCCs (Art. 46 DSGVO) |
| Microsoft Ireland Operations Ltd. (Microsoft 365) | Interne Team-Kommunikation (kein Zugang zu Kundendaten) | Irland (EU); US-Transfers: EU-US DPF + SCCs (Art. 46 DSGVO), DPA |
Änderungsverfahren: Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters per E-Mail. Der Auftraggeber kann binnen 14 Tagen schriftlich Einspruch erheben; ohne Einspruch gilt Zustimmung als erteilt.
Der Auftragnehmer stellt sicher, dass Unterauftragsverarbeiter dieselben Datenschutzpflichten einhalten wie in diesem AVV festgelegt (Art. 28 Abs. 4 DSGVO).
Kundendaten (Fehler-Events, Session Replays, Datenbankinhalte) werden ausschließlich auf EU-Servern (Hetzner, in der EU) gespeichert. Übermittlungen in Drittländer erfolgen nur im Rahmen der in § 8 genannten Unterauftragsverarbeiter und ausschließlich auf Grundlage der dort angegebenen Rechtsgrundlagen (Art. 44–49 DSGVO).
Geplant: Uptime-Monitoring (ASH-Worker, Ashburn VA, USA): Für Uptime-Checks aus dem nordamerikanischen Raum ist ein Monitoring-Worker bei Hetzner Cloud in Ashburn, Virginia (USA) vorgesehen. Dieser Worker ist aktuell nicht in Betrieb; alle Uptime-Checks laufen derzeit ausschließlich über EU-Standorte (Falkenstein, Helsinki). Bei Aktivierung gilt: Der Worker sendet ausschließlich HTTP-GET- oder HTTP-HEAD-Anfragen an die vom Auftraggeber konfigurierten Monitor-URLs. Zurückübertragen werden ausschließlich technische Messdaten: HTTP-Statuscode, Antwortzeit (ms) und Zeitstempel. Der Worker hat keinen Zugriff auf die Datenbank oder Kundendaten; personenbezogene Daten aus den überwachten URLs werden nicht extrahiert. Rechtsgrundlage: Standardvertragsklauseln (SCCs, Art. 46 DSGVO) mit Hetzner Online GmbH. Der Auftraggeber wird gemäß dem oben genannten Änderungsverfahren mindestens 30 Tage vor Aktivierung informiert.
Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflichten gegenüber betroffenen Personen gem. Art. 15–22 DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).
Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und macht deutlich, dass dieser der Verantwortliche ist.
Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntniserlangung, per E-Mail an die vom Auftraggeber hinterlegte Adresse.
Die Meldung enthält mindestens:
Nach Beendigung des Hauptvertrags löscht der Auftragnehmer sämtliche personenbezogenen Daten des Auftraggebers vollständig (Hard Delete), soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen (insbesondere § 147 AO, § 257 HGB).
Datenexport: Der Auftraggeber kann Daten vor der Löschung über das Dashboard exportieren. Fehler-Events können per API abgerufen werden; ein strukturierter JSON-Export steht im Kontobereich zur Verfügung.
Backup-Rotation: Daten in Backups werden im Rahmen des regulären Backup-Rotationszyklus (max. 14 Tage) überschrieben.
Auf Verlangen stellt der Auftragnehmer einen schriftlichen Nachweis der Löschung bereit.
Der Auftraggeber hat das Recht, die Einhaltung der Vorschriften zum Schutz personenbezogener Daten und der vertraglichen Vereinbarungen beim Auftragnehmer zu überprüfen, einschließlich Inspektionen vor Ort nach angemessener Vorankündigung (mindestens 14 Werktage).
Nachweispflicht: Der Auftragnehmer stellt auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung von Art. 28 DSGVO-Pflichten bereit. Alternativ können Zertifizierungen (z.B. ISO 27001 von Hetzner) oder Berichte unabhängiger Prüfer als Nachweis dienen.
Die Haftung der Parteien richtet sich nach den gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO. Der Auftragnehmer haftet für Schäden, die durch eine nicht den Weisungen des Auftraggebers oder den gesetzlichen Vorschriften entsprechende Verarbeitung entstehen.
Änderungen: Änderungen dieses AVV bedürfen der Textform.
Salvatorische Klausel: Sollten einzelne Bestimmungen unwirksam sein, bleiben die übrigen Bestimmungen wirksam.
Anwendbares Recht: Recht der Bundesrepublik Deutschland. Gerichtsstand: Frankfurt am Main.
Rangverhältnis: Im Widerspruchsfall zwischen Hauptvertrag (AGB) und diesem AVV geht dieser AVV hinsichtlich datenschutzrechtlicher Fragen vor.
Zutrittskontrolle:
Server bei Hetzner Online GmbH in zertifizierten Rechenzentren (ISO 27001) in Nürnberg und Falkenstein sowie Helsinki (EU). Physischer Zugang beschränkt auf autorisiertes Hetzner-Personal.
Zugangskontrolle (IT-Systeme):
Zugriffskontrolle (Anwendung):
Trennungskontrolle: