Auftragsverarbeitungsvertrag

Wer ein CMP einsetzt, verarbeitet über uns personenbezogene Daten seiner Besucher. Damit sind wir Auftragsverarbeiter nach Art. 28 DSGVO — und ein AV-Vertrag ist Pflicht, kein Extra.

Entwurf — juristisch noch nicht geprüft

Der folgende Text beschreibt die tatsächlich umgesetzten technischen und organisatorischen Maßnahmen zutreffend. Als unterschriftsreifes Vertragsdokument sollte er vor dem produktiven Einsatz anwaltlich geprüft werden.

Angaben werden ergänzt.

Verantwortlicher im Sinne dieses Vertrags ist der jeweilige Website-Betreiber, der consented.eu auf seiner Website einsetzt.

Art und Zweck: Erfassung, Speicherung und Bereitstellung von Einwilligungsentscheidungen der Besucher des Verantwortlichen zum Zweck der Nachweisführung nach Art. 7 Abs. 1 DSGVO.

Kategorien betroffener Personen: Besucher der Websites des Verantwortlichen.

Kategorien von Daten: Einwilligungsentscheidung je Kategorie und Dienst, Zeitstempel, Konfigurationsversion, Sprache, Domain, Gerätefamilie, gehashte Seiten-URL, HMAC-pseudonymisierte IP-Adresse.

Maßnahme	Umsetzung
Pseudonymisierung	IP-Adressen ausschließlich als HMAC-SHA-256 mit rotierendem Pepper; Seiten-URLs nur als SHA-256-Hash
Verschlüsselung im Transport	TLS erzwungen, HSTS aktiv, HTTP leitet auf HTTPS um
Zugriffskontrolle	Rollenmodell mit vier Stufen, jede Rechteänderung im Audit-Log
Passwortsicherheit	Argon2id mit Pepper, Mindestlänge 12 Zeichen, progressive Sperre
Eingabekontrolle	Append-only-Historie: Änderungen an einer Einwilligung überschreiben nichts
Trennungskontrolle	Mandantentrennung über Organisation und Property auf jeder Abfrage
Belastbarkeit	Rate Limiting auf Anmeldung, Registrierung, Passwort-Reset und Consent-Endpunkt
Löschung	Automatischer Ablauf nach konfigurierter Frist, Standard 36 Monate; Sofortlöschung über die Betroffenen-Schnittstelle

Diese Instanz läuft auf eigener Infrastruktur ohne Unterauftragnehmer. Es werden keine Daten in Drittländer übermittelt. Sollte sich das ändern, wird es hier vorab dokumentiert.