Vertrag zur Auftragsverarbeitung
nach Art. 28 DSGVO bzw. UK GDPR zwischen dem Kunden, der als Unternehmer bestellt (Verantwortlicher, „Kunde“), und Pesat Group Ltd., 66 Paul Street, London EC2A 4NA, Vereinigtes Königreich, handelnd unter der Marke Sitiq (Auftragsverarbeiter, „Sitiq“). Dieser Vertrag ist Bestandteil der AGB und gilt mit der Bestellung als geschlossen.
1. Gegenstand und Dauer
Sitiq verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies für Betrieb der Website, der E-Mail-Postfächer und der Domain erforderlich ist. Der Vertrag gilt für die Dauer des Hauptvertrags und endet mit der Löschung der Daten nach Ziffer 9.
2. Art der Daten und betroffene Personen
- Besucher der Website: IP-Adresse, Zeitpunkt, aufgerufene Seiten, technische Angaben zum Browser (Server-Protokolle).
- Kommunikationspartner des Kunden: Inhalte und Metadaten von E-Mails in den Postfächern.
- Personen, die auf der Website genannt oder abgebildet sind (z. B. Mitarbeiter): Namen, Fotos, Kontaktdaten, soweit vom Kunden bereitgestellt.
Zweck ist ausschließlich die Bereitstellung der vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken von Sitiq oder zum Training von KI-Modellen findet nicht statt.
3. Weisungen
Sitiq verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen sind die AGB, die Einstellungen im Kundenportal und Anweisungen in Textform. Hält Sitiq eine Weisung für rechtswidrig, weist es den Kunden darauf hin. Gesetzliche Pflichten zur Verarbeitung bleiben unberührt; Sitiq informiert den Kunden darüber, soweit zulässig.
4. Vertraulichkeit
Sitiq verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, sofern sie nicht ohnehin einer gesetzlichen Verschwiegenheitspflicht unterliegen.
5. Technische und organisatorische Maßnahmen
- Verschlüsselte Übertragung (TLS/HTTPS) für Website, Portal und E-Mail-Abruf.
- Zugriff auf Systeme nur für berechtigte Personen, mit persönlicher Anmeldung und Zwei-Faktor-Authentifizierung, wo verfügbar.
- Trennung der Kundendaten durch Zugriffsregeln in der Datenbank (Row Level Security).
- Rechenzentren der Unterauftragnehmer mit anerkannten Zertifizierungen (z. B. ISO 27001, SOC 2).
- Regelmäßige Sicherungen, Schutz vor automatisierten Angriffen, Protokollierung von Fehlern.
- Löschung nach festgelegten Fristen (siehe Datenschutzerklärung).
Sitiq darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht sinkt.
6. Unterauftragnehmer
Der Kunde genehmigt die folgenden Unterauftragnehmer. Sitiq legt ihnen gleichwertige Datenschutzpflichten auf. Über neue oder geänderte Unterauftragnehmer informiert Sitiq den Kunden vorab in Textform; der Kunde kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen.
| Unternehmen | Leistung | Grundlage Drittland |
|---|---|---|
| Vercel Inc., San Francisco, USA | Hosting und Auslieferung der Website, Bot-Schutz | EU-US Data Privacy Framework / Standardvertragsklauseln |
| Supabase Inc., USA (Server in Frankfurt, EU) | Datenbank, Dateispeicher (Bilder) | Verarbeitung in der EU; Standardvertragsklauseln |
| 20i Ltd., Vereinigtes Königreich | Domains, DNS, E-Mail-Postfächer | Angemessenheitsbeschluss UK |
| Anthropic PBC, USA | KI-gestützte Texterstellung und Änderungen auf Anweisung des Kunden | EU-US Data Privacy Framework / Standardvertragsklauseln |
| Resend Inc., USA | Versand von System-E-Mails | EU-US Data Privacy Framework / Standardvertragsklauseln |
7. Unterstützung des Kunden
Sitiq unterstützt den Kunden im Rahmen des Zumutbaren bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung usw.), bei Datenschutz-Folgenabschätzungen und bei der Erfüllung seiner Meldepflichten. Anfragen, die direkt bei Sitiq eingehen, leitet Sitiq unverzüglich an den Kunden weiter.
8. Datenschutzverletzungen
Sitiq meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO.
9. Löschung und Rückgabe
Nach Vertragsende stellt Sitiq Postfächer und Domain-Code noch 30 Tage im Kundenportal bereit, damit der Kunde seine Daten sichern kann. Danach löscht Sitiq die Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Auf Wunsch stellt Sitiq Texte und eigene Bilder vorher zur Verfügung.
10. Nachweise und Kontrollen
Sitiq stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere Zertifikate und Berichte der Unterauftragnehmer. Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung während der Geschäftszeiten möglich; die Kosten trägt der Kunde, soweit kein Verstoß festgestellt wird.
11. Schlussbestimmungen
Für Haftung, anwendbares Recht und Gerichtsstand gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Fragen des Datenschutzes vor. Kontakt in Datenschutzfragen: hallo@sitiq.de
Stand: Oktober 2026