Zurück zu valiko

Vertrag zur Auftragsverarbeitung

Nach Artikel 28 Absatz 3 DSGVO · Fassung vom 30.09.2026

§ 1 Gegenstand und Dauer

1. Gegenstand ist der Betrieb von valiko, einem Werkzeug für Bewerbungs- und Anfrage-Strecken. Dazu gehören: die Bereitstellung des Portals, das Ausspielen der veröffentlichten Strecken unter der vom Verantwortlichen gewählten Adresse, die Entgegennahme der abgeschickten Bewerbungen und Anfragen (nachfolgend zusammen Anfragen) und, sofern der Verantwortliche es für eine Strecke nicht abschaltet, das Festhalten von Zwischenständen nicht abgeschickter Besuche. Dazu gehören weiter: der Versand jeder Anfrage samt mitgeschickter Fotos und PDF-Dateien an die vom Verantwortlichen hinterlegten Adressen, auf seinen Wunsch eine Bestätigungsmail an den Absender, die Speicherung der Anfragen im Portal, die Ablage der vom Verantwortlichen hochgeladenen Bilder und Videos sowie die Zählung der Kartenaufrufe ohne Personenbezug.
2. Die Verarbeitung findet auf Servern in der Europäischen Union statt. Die Datensicherung liegt auf einem zweiten Server der Host Europe GmbH (Anlage 2), ebenfalls in der Europäischen Union; sie wird auf dem Server des Auftragsverarbeiters verschlüsselt, bevor sie übertragen wird, und der Anbieter hat keinen Zugriff auf den Klartext. Näheres in Anlage 1.
3. Die Laufzeit entspricht der Laufzeit der Nutzung von valiko. Sie endet automatisch mit deren Beendigung; § 7 bleibt davon unberührt.

§ 2 Art, Zweck und Umfang

1. Zweck ist ausschließlich die Entgegennahme, Weiterleitung und Bereithaltung der Anfragen, die Bewerber und Interessenten des Verantwortlichen über dessen Strecke abschicken, sowie die Auswertung für den Verantwortlichen, an welcher Stelle Besucher eine Strecke verlassen.
2. Art der Verarbeitung: Erheben, Speichern, Übermitteln an den Verantwortlichen und auf dessen Wunsch an den Absender, Löschen.
3. Der Auftragsverarbeiter verarbeitet die Daten der Bewerber und Interessenten nicht zu eigenen Zwecken. Eine Weitergabe an andere als die in Anlage 2 genannten Unterauftragsverarbeiter findet nicht statt.

§ 3 Datenkategorien und betroffene Personen

1. Verarbeitete Datenkategorien: die Angaben, die der Verantwortliche in seiner Strecke abfragt. Üblich sind Name, Telefonnummer, E-Mail-Adresse, Ort, die angetippten Antworten und frei geschriebene Texte, bei Bewerbungen etwa Berufserfahrung und frühester Beginn. Der Verantwortliche legt selbst fest, was er abfragt. Hinzu kommen:
   • Fotos und PDF-Dateien, die der Absender mitschickt, etwa ein Lebenslauf, sofern die Strecke das vorsieht;
   • Bilder und Videos, die der Verantwortliche in seine Mediathek hochlädt, samt der Personen, die darauf zu sehen sind;
   • Zwischenstände nicht abgeschickter Besuche: die angetippten Antworten und frei geschriebenen Texte, zusammengehalten durch eine zufällige Besuchskennung. Die Felder für Name, Telefonnummer und E-Mail-Adresse gehören nicht dazu; was jemand in ein freies Textfeld schreibt, schon;
   • Herkunftsangaben: Enthält der Link, über den die Strecke aufgerufen wurde, Kampagnenkennungen (utm-Angaben) wie Quelle, Kampagne oder Anzeige, werden sie mit der Anfrage gespeichert und an den Verantwortlichen übermittelt;
   • technische Daten: der Zeitpunkt jeder Anfrage sowie ein Prüfwert der IP-Adresse zur Abwehr von Massen-Einsendungen (Anlage 1, „Sparsame Auslieferung“).
2. Fragt der Verantwortliche besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO ab, etwa Gesundheitsangaben, muss er das vorher in Textform mitteilen. Ohne diese Mitteilung ist die Abfrage solcher Daten über valiko nicht gestattet. Ein Feld für Dateien, etwa für den Lebenslauf, ist für sich genommen keine solche Abfrage. Enthält eine mitgeschickte Datei solche Angaben, etwa zu einer Schwerbehinderung oder zur Konfession, leitet der Auftragsverarbeiter die Datei unverändert an den Verantwortlichen weiter und bewahrt ihren Inhalt nicht auf (§ 7 Absatz 1).
3. Kreis der betroffenen Personen: Bewerber und Interessenten des Verantwortlichen, die seine Strecke aufrufen oder ausfüllen, sowie Personen, die auf seinen hochgeladenen Bildern und Videos zu sehen sind, etwa seine Beschäftigten.

§ 4 Pflichten des Auftragsverarbeiters

1. Weisungsbindung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist. In einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. Weisungen können in Textform erteilt werden. Was der Verantwortliche im Portal einstellt, gilt als Weisung. Richtet der Auftragsverarbeiter auf Wunsch des Verantwortlichen dessen Strecken oder Einstellungen im Portal ein, gilt dieser Wunsch ebenfalls als Weisung. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
2. Vertraulichkeit. Es werden nur Personen eingesetzt, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Der Zugriff ist auf die Personen beschränkt, die ihn zur Vertragserfüllung benötigen.
3. Sicherheit. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Artikel 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik fortlaufend an. Ein Absenken des Schutzniveaus unter das Niveau der Anlage 1 ist unzulässig. Die Angaben unter „Sparsame Auslieferung“ in Anlage 1 beschreiben, wie der Auftragsverarbeiter die Strecke ausliefert; sie hindern den Verantwortlichen nicht daran, eigene Messwerkzeuge einzubauen, und werden durch eine solche Entscheidung nicht verletzt.
4. Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Mitteln bei dessen Pflichten aus Artikel 12 bis 23 DSGVO sowie Artikel 32 bis 36 DSGVO.
5. Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter. Auskunft, Berichtigung, Löschung oder Einschränkung nimmt der Auftragsverarbeiter nur auf Weisung des Verantwortlichen vor.
6. Meldung von Verletzungen. Der Auftragsverarbeiter meldet jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Artikel 33 Absatz 3 DSGVO, soweit verfügbar.
7. Nachweis. Der Auftragsverarbeiter stellt alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DSGVO erforderlich sind.
8. Verzeichnis. Der Auftragsverarbeiter führt ein Verzeichnis der Verarbeitungstätigkeiten nach Artikel 30 Absatz 2 DSGVO.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten sind in Anlage 2 aufgeführt.
2. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen in Textform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Bei berechtigtem Widerspruch ohne zumutbare Alternative steht beiden Parteien ein außerordentliches Kündigungsrecht zu.
3. Mit jedem Unterauftragsverarbeiter werden Pflichten vereinbart, die den Pflichten dieses Vertrags im Wesentlichen entsprechen (Artikel 28 Absatz 4 DSGVO).

§ 6 Kontrollrechte

1. Der Verantwortliche ist berechtigt, die Einhaltung dieses Vertrags zu kontrollieren - in der Regel durch Einholung von Auskünften und aussagekräftigen Nachweisen.
2. Kontrollen vor Ort erfolgen nach angemessener Vorankündigung zu üblichen Geschäftszeiten, ohne den Betriebsablauf unverhältnismäßig zu stören. Für den Aufwand einer Kontrolle vor Ort kann der Auftragsverarbeiter eine angemessene Vergütung verlangen, sofern die Kontrolle nicht durch einen von ihm zu vertretenden Umstand veranlasst ist.

§ 7 Löschung und Rückgabe

1. Anfragen und Zwischenstände werden nach der Frist gelöscht, die der Verantwortliche je Strecke im Portal einstellt; möglich sind 7 bis 3.650 Tage. Ohne Einstellung gelten 730 Tage, gerechnet bei Anfragen ab Eingang, bei Zwischenständen ab dem letzten Kartenwechsel. Der Verantwortliche kann seine Anfragen jederzeit selbst im Portal löschen - einzeln oder alle auf einmal, indem er die zugehörige Strecke löscht. Prüfwerte nach § 3 Absatz 1 werden spätestens nach zwei Tagen gelöscht. Mitgeschickte Fotos und PDF-Dateien bewahrt der Auftragsverarbeiter nicht auf: Ihr Inhalt verlässt den Dienst nur als Anhang der Mail an den Verantwortlichen, im Portal bleiben nur ihre Dateinamen. Ob der Dienst die Mail verschickt hat, zeigt das Portal bei jeder Anfrage an.
2. Nach Beendigung gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten in einem gängigen Format heraus - im Portal steht dafür die Tabellen-Ausgabe bereit - oder löscht sie datenschutzgerecht und bestätigt die Löschung in Textform. Ohne Wahl innerhalb von 30 Tagen nach Beendigung werden die Daten gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt.
3. Aus den verschlüsselten Datensicherungen verschwinden gelöschte Daten mit dem Ablauf der letzten Sicherung, die sie noch enthält. Aufgehoben werden die letzten 14 Sicherungen, bei täglichem Lauf also 14 Nächte.

§ 8 Haftung

1. Für die Haftung gilt Artikel 82 DSGVO. Im Innenverhältnis haftet jede Partei für den Schaden, der durch die von ihr zu vertretende Verletzung datenschutzrechtlicher Pflichten entstanden ist.
2. Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung zuständig, insbesondere für die Rechtsgrundlage und für die Information der betroffenen Personen nach Artikel 13 und 14 DSGVO. Dazu gehört die Datenschutzerklärung, die er in seiner Strecke verlinkt.

§ 9 Schlussbestimmungen

1. Änderungen und Ergänzungen bedürfen der Textform. Das gilt auch für die Änderung dieser Klausel.
2. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist - soweit gesetzlich zulässig - der Sitz des Auftragsverarbeiters.
3. Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung.
4. In datenschutzrechtlichen Fragen geht dieser Vertrag allen sonstigen Vereinbarungen zwischen den Parteien über die Nutzung von valiko vor.
5. Dieser Vertrag wird dem Verantwortlichen in Textform zur Verfügung gestellt. Er wird einbezogen, indem der Verantwortliche ihm im Portal zustimmt: bei der Anlage seines Kontos oder, wenn der Auftragsverarbeiter das Konto für ihn angelegt hat, bei der ersten Anmeldung. Vorher lässt sich das Portal mit dem Konto nicht nutzen, und seine Strecken sind nicht erreichbar. Der Auftragsverarbeiter hält fest, welche Fassung wann bestätigt wurde. Einer gesonderten Unterschrift bedarf es nicht. Ändert der Auftragsverarbeiter diesen Vertrag, teilt er das in Textform mit; der Verantwortliche kann der Änderung innerhalb von 14 Tagen nach Mitteilung widersprechen. Bei Widerspruch gilt die bisherige Fassung fort, und beiden Parteien steht ein Kündigungsrecht zu.

Anlage 1 - Technische und organisatorische Maßnahmen

Zutritt und Zugang

• Portal, Strecken und Datenbank laufen auf einem eigenen Server, Mailserver und Datensicherung auf einem zweiten. Beide stehen in Rechenzentren der Host Europe GmbH in der Europäischen Union; physischer Zutritt nur für autorisiertes Rechenzentrumspersonal.
• Administrativer Zugriff auf den Server von Portal und Strecken ausschließlich über SSH mit Schlüssel-Authentifizierung, beschränkt auf die Geschäftsführung und beauftragte Administratoren.

Zugriff

• Der Dienst läuft unter einem eigenen Systemkonto ohne Schreibrecht auf seinen eigenen Programmcode. Zugangsdaten liegen außerhalb des Webverzeichnisses und sind für den Dienst nur lesbar.
• Jede Strecke, jede Anfrage und jede Datei hängt an einem Konto. Der Zugriff läuft über eine einzige Prüfstelle; passt das Konto nicht, antwortet das Portal, als gäbe es die Strecke nicht.
• Anmeldung mit Benutzername oder E-Mail-Adresse und Kennwort. Kennwörter liegen nur als scrypt-Prüfwert mit eigenem Salz je Konto vor. Ein vom Auftragsverarbeiter vergebenes Einmal-Kennwort muss beim ersten Anmelden durch ein eigenes ersetzt werden. Fehlversuche werden je Anschluss und je Konto gebremst.
• Wer sein Kennwort vergessen hat oder sich per Mail anmelden will, bekommt einen Einmal-Link, der 20 Minuten gilt, genau einmal eingelöst wird und an das anfragende Gerät gebunden ist. Legt der Auftragsverarbeiter ein Konto an, geht an den Kunden ein Einladungslink, der 7 Tage gilt und genau einmal eingelöst wird; wer noch kein Kennwort hat, legt danach sein eigenes fest. Gespeichert wird von jedem Link nur sein Prüfwert. Eine Sitzung endet nach 12 Stunden. Abgelaufene Links und Sitzungen löscht ein täglicher Lauf.

Übertragung

• Sämtliche Verbindungen laufen verschlüsselt über HTTPS, auch unter der eigenen Domain des Verantwortlichen.
• Mailversand über den eigenen Mailserver des Auftragsverarbeiters mit SPF, DKIM und DMARC; nach außen geht die Mail über das Weiterleitungssystem des Hosters. Ein externer Massenversand-Dienstleister ist nicht beteiligt.

Eingabe und Auftrag

• Anlegen, Veröffentlichen, Weitergeben und Löschen von Strecken, das Löschen von Anfragen und Änderungen an Konten werden mit Zeitstempel protokolliert, ebenso die Bestätigung dieses Vertrags.
• Jede Veröffentlichung wird als eigene Fassung abgelegt und bleibt nachvollziehbar.

Sparsame Auslieferung

• Eine über das Portal veröffentlichte Strecke setzt von sich aus kein Cookie, legt nichts im dauerhaften Speicher des Browsers ab (weder localStorage noch sessionStorage) und lädt nichts von fremden Servern. Damit der Zurück-Knopf funktioniert, merkt sich der Browser für diesen Tab, welche Karten schon gezeigt wurden, nur ihre Kennung und ohne Antworten. Webserver und Dienst schreiben keine IP-Adresse eines Besuchers in eine Protokolldatei.
• Zur Abwehr von Massen-Einsendungen und Anmeldeversuchen zählt der Dienst mit, wie oft von derselben IP-Adresse etwas kommt. Gespeichert wird dafür nicht die IP-Adresse, sondern ein mit einem geheimen Schlüssel gebildeter Prüfwert samt Uhrzeit. Er wird nach spätestens zwei Tagen gelöscht.
• Gezählt wird, wie oft eine Karte gesehen und wie oft sie beantwortet wurde, je Karte und Tag, ohne Personenbezug. Dazu hält der Dienst je Besuch einen Zwischenstand fest (§ 3 Absatz 1), damit der Verantwortliche sieht, an welcher Stelle Besucher aufhören. Die zufällige Besuchskennung, die ihn zusammenhält, existiert nur, solange die Seite offen ist. Der Verantwortliche kann das Festhalten von Zwischenständen für einzelne Strecken im Portal abschalten.
• Baut der Verantwortliche Messwerkzeuge in seine Strecke ein, etwa ein Zählpixel von Meta, Google oder TikTok, lädt die Strecke sie erst nach Einwilligung des Besuchers und merkt sich dessen Wahl im Speicher seines Browsers. Ob er solche Werkzeuge einbaut, entscheidet und verantwortet der Verantwortliche selbst.

Verfügbarkeit und Trennung

• Tägliche Datensicherung von Datenbank und Mediathek. Die Sicherung wird auf dem Server verschlüsselt und erst danach auf einen zweiten Server übertragen. Den Schlüssel hält allein der Auftragsverarbeiter; der Anbieter des Speicherorts kann den Inhalt nicht lesen. Vierzehn Stände bleiben vorgehalten. Schlägt eine Sicherung fehl, meldet sich das System automatisch per Mail.
• Mandantenfähige Architektur: Die Daten des Verantwortlichen werden logisch getrennt von Daten anderer Auftraggeber verarbeitet.
• Firewall auf dem Server, zeitnahe Sicherheitsaktualisierungen.

Anlage 2 - Unterauftragsverarbeiter

Unternehmen	Sitz	Leistung	Ort der Verarbeitung
Host Europe GmbH	Hansestraße 111, 51149 Köln (Amtsgericht Köln, HRB 28495)	Serverhosting für Portal, Strecken, Datenbank und Mailserver, Weiterleitung ausgehender Mail sowie Speicherort der verschlüsselten Datensicherung	Rechenzentrum in der EU
Hetzner Online GmbH	Industriestraße 25, 91710 Gunzenhausen (Amtsgericht Ansbach, HRB 6089)	Namensauflösung der Domain	Deutschland

Pexels, eine Marke der Canva Germany GmbH, ist kein Unterauftragsverarbeiter: Die Stockfoto-Suche findet nur im Portal statt, betrifft ausschließlich den Verantwortlichen selbst und keine Daten von Bewerbern oder Interessenten.