Vertrag zur Auftrags­verarbeitung

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) zwischen dem Kunden (Verantwortlicher) und ARAVILO, Einzelunternehmen, Anton-Rauch-Straße 6a/13, 6020 Innsbruck, Österreich (Auftragsverarbeiter, im Folgenden „Trackum“). Stand: 15. Oktober 2026.

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag gilt für die Leistungen „Anfragen ins CRM“ (CRM-Übergabe) und „Verkäufe zurück an Google und Meta“ (Offline-Conversions). Trackum leitet dabei Anfragen aus Formularen auf der Website des Kunden samt Kampagnen-Daten an das vom Kunden gewählte Ziel weiter und meldet Abschlüsse aus dem CRM des Kunden an Google Ads und Meta.

(2) Der Vertrag wird mit der Bestellung einer dieser Leistungen geschlossen und läuft, solange Trackum die Leistung erbringt. Er endet ohne gesonderte Kündigung mit dem Ende der Leistung.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Empfangen, kurzzeitiges Zwischenspeichern im Arbeitsspeicher, Umwandeln in das Format des Ziels, Weiterleiten. Anfragen und Abschlüsse werden nicht dauerhaft gespeichert. Gespeichert werden nur Zählerstände (Anzahl, Zeitpunkt der letzten Übergabe) und Fehlermeldungen ohne Inhalte.

(2) Zweck: Zustellung von Anfragen an den Kunden bzw. sein CRM mit Angabe der Herkunft; Übermittlung von Abschlüssen an die Werbekonten des Kunden zur Erfolgsmessung.

(3) Arten personenbezogener Daten: Inhalte der Formularfelder (zum Beispiel Name, E-Mail-Adresse, Telefonnummer, Firma, Nachricht), Kampagnen-Daten (UTM-Parameter, Klick-Kennungen von Werbeplattformen wie gclid oder fbclid, Einstiegsseite, verweisende Seite, Zeitpunkte), bei Abschlüssen Wert, Währung, Auftragsnummer sowie E-Mail-Adresse und Telefonnummer, die vor der Weitergabe an Google und Meta mit SHA-256 unumkehrbar verschlüsselt (gehasht) werden.

(4) Betroffene: Besucher der Website des Kunden, die ein Formular absenden, sowie Interessenten und Kunden des Kunden.

(5) Kampagnen-Daten werden auf der Website nur nach Einwilligung des Besuchers in Marketing-Zwecke erfasst. Für die Einholung der Einwilligungen und die Information der Betroffenen ist der Kunde verantwortlich.

§ 3 Weisungen

(1) Trackum verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag und den Einstellungen, die der Kunde auf seiner Verbindungsseite vornimmt (Wahl des Ziels, Schlüssel, Werbekonten). Weitere Weisungen erteilt der Kunde in Textform.

(2) Hält Trackum eine Weisung für rechtswidrig, weist es den Kunden unverzüglich darauf hin und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Vertraulichkeit

Trackum setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Zugriff auf Daten ist auf das für die Leistung Nötige beschränkt.

§ 5 Technische und organisatorische Maßnahmen

Trackum trifft angemessene Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Verarbeitung ausschließlich in Rechenzentren in der Europäischen Union (Google Cloud, Region Belgien)
• Übertragung nur verschlüsselt (TLS)
• Zugangsschlüssel des Kunden (CRM, Webhook, Meta) verschlüsselt mit AES-256-GCM gespeichert; der Hauptschlüssel liegt getrennt in einem Schlüsseltresor
• keine dauerhafte Speicherung von Anfragen und Abschlüssen
• Annahme von Anfragen nur von der Website des Kunden, Begrenzung der Anfragen je Zeitraum, Größenbegrenzung
• Signatur jeder Webhook-Übergabe (HMAC-SHA256), damit der Empfänger die Echtheit prüfen kann
• Rückweg nur über eine geheime, nicht erratbare Adresse, die Trackum nur als Hashwert speichert
• Zugriff auf Betriebssysteme und Schlüssel nur für berechtigte Personen mit Zwei-Faktor-Anmeldung

§ 6 Unterauftragsverarbeiter

(1) Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Google Cloud EMEA Ltd., Irland: Betrieb des Dienstes, Region Belgien
• Resend (Plus Five Five, Inc., USA): Versand von Anfragen per E-Mail, wenn der Kunde E-Mail als Ziel wählt oder sein CRM nicht erreichbar ist; Übermittlung auf Grundlage von Standardvertragsklauseln

(2) Die vom Kunden gewählten Ziele (zum Beispiel HubSpot, Pipedrive, Brevo, Salesforce, ein Webhook) sowie Google Ads und Meta sind keine Unterauftragsverarbeiter von Trackum. Der Kunde übermittelt die Daten über Trackum an diese Empfänger auf eigene Verantwortung und auf Grundlage seiner eigenen Verträge mit ihnen.

(3) Trackum informiert den Kunden mindestens vier Wochen vorher per E-Mail über neue oder geänderte Unterauftragsverarbeiter. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; dann kann jede Seite die betroffene Leistung zum Zeitpunkt der Änderung kündigen.

§ 7 Unterstützung des Kunden

(1) Trackum unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte der Betroffenen sowie bei seinen Pflichten nach Art. 32 bis 36 DSGVO, soweit es die Verarbeitung durch Trackum betrifft. Da Trackum Anfragen nicht speichert, liegen die Daten dafür in der Regel beim Kunden bzw. in seinem CRM.

(2) Trackum meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt.

§ 8 Löschung und Rückgabe

Mit dem Ende der Leistung löscht Trackum die gespeicherten Zugangsschlüssel und Einstellungen des Kunden innerhalb von 30 Tagen. Inhalte von Anfragen und Abschlüssen liegen bei Trackum ohnehin nicht dauerhaft vor.

§ 9 Nachweise und Kontrollen

Trackum stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags nötig sind, und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach angemessener Vorankündigung, in der Regel in Form schriftlicher Auskünfte.

§ 10 Schlussbestimmungen

Im Übrigen gelten die Allgemeinen Geschäftsbedingungen. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor. Es gilt österreichisches Recht; die DSGVO bleibt unberührt.