BFSG Monitor

Vereinbarung zur Auftragsverarbeitung (AVV)

nach Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und Jack Fuchs, Am Dreisberg 3, 57520 Niederdreisbach (Auftragsverarbeiter, „Anbieter"). Diese Vereinbarung wird auf Wunsch des Kunden Bestandteil des Nutzungsvertrags über BFSG Monitor; Anfrage an kontakt@bfsg-monitor.de. Stand: 30. August 2026.

§ 1 Gegenstand und Dauer

(1) Der Anbieter verarbeitet im Auftrag des Kunden personenbezogene Daten im Rahmen der Nutzung der Plattform BFSG Monitor (automatisierte Prüfung und Überwachung von Websites, Speicherung von Prüfergebnissen, Screenshots und Berichten, Kundenkonto).

(2) Die Dauer entspricht der Laufzeit des Nutzungsvertrags. Nach Vertragsende werden die Daten gemäß § 7 gelöscht.

§ 2 Art, Zweck, Datenarten, Betroffene (Anlage 1)

Zweck: Prüfung der Barrierefreiheit von Websites des Kunden bzw. seiner Auftraggeber, Dokumentation des Prüfstands, Benachrichtigungen.

Datenarten: Inhalte der geprüften Websites (HTML-Ausschnitte, Screenshots — vor Anzeige auf Personendaten geprüft und unkenntlich gemacht), Kontaktdaten des Kunden und seiner Ansprechpartner (Name, E-Mail), Angaben für die Barrierefreiheitserklärung (Firma, Anschrift, Kontakt), Nutzungs- und Protokolldaten.

Betroffene: Mitarbeitende und Ansprechpartner des Kunden, ggf. auf den geprüften Websites abgebildete oder genannte Personen, Endkunden des Kunden (Agentur-Tarif).

§ 3 Weisungsgebundenheit

Der Anbieter verarbeitet die Daten ausschließlich im Rahmen der Vereinbarung und nach dokumentierten Weisungen des Kunden; Weisungen ergeben sich aus der Konfiguration in der Plattform (angelegte Websites, Scan-Intervalle, Alerts) und können in Textform ergänzt werden. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit.

§ 4 Pflichten des Anbieters

(1) Vertraulichkeit: Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.

(2) Technische und organisatorische Maßnahmen gemäß Anlage 3 (§ 8); der Anbieter überprüft sie regelmäßig und passt sie an.

(3) Unterstützung des Kunden bei der Beantwortung von Betroffenenanfragen (Art. 12–22 DSGVO), bei Datenschutz-Folgenabschätzungen und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten; Verletzungen im Verantwortungsbereich des Anbieters werden dem Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, gemeldet.

(4) Nachweis: Der Anbieter stellt dem Kunden die zur Nachweispflicht erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen; Prüfungen vor Ort erfolgen nach Ankündigung während der üblichen Geschäftszeiten.

§ 5 Verarbeitungsort, Subunternehmer (Anlage 2)

(1) Die Verarbeitung erfolgt in Deutschland: Plattform und Datenbanken im Rechenzentrum OVH Limburg; KI-gestützte Auswertungen auf eigener Hardware des Anbieters in Deutschland. Eine Übermittlung in Drittländer findet nur für die ersatzweise Screenshot-Prüfung bei Auslastung der eigenen Infrastruktur statt (Subunternehmer OpenRouter, USA, EU-Standardvertragsklauseln).

(2) Der Kunde genehmigt folgende Subunternehmer: OVH GmbH, Christophstraße 19, 50670 Köln (Hosting, Rechenzentrum Limburg); Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxemburg (Versand von Transaktions-E-Mails über Amazon SES, Region Frankfurt). OpenRouter, Inc., San Francisco, USA (ersatzweise KI-Prüfung von Screenshots auf Personendaten bei Auslastung der eigenen Infrastruktur; Datenspeicherung beim Dienst deaktiviert; EU-Standardvertragsklauseln). Der Zahlungsdienstleister Stripe verarbeitet Zahlungsdaten als eigener Verantwortlicher.

(3) Änderungen werden dem Kunden mindestens vier Wochen vorher in Textform angekündigt; der Kunde kann aus wichtigem Grund widersprechen.

§ 6 Rechte des Kunden, Kontrolle

Der Kunde bleibt Verantwortlicher im Sinne der DSGVO und ist für die Rechtmäßigkeit der Verarbeitung sowie die Wahrung der Betroffenenrechte verantwortlich; der Anbieter unterstützt ihn dabei gemäß § 4.

§ 7 Löschung und Rückgabe

Nach Beendigung des Vertrags löscht der Anbieter alle im Auftrag verarbeiteten Daten innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht besteht. Prüfergebnisse und Berichte kann der Kunde vorher exportieren (PDF-Reports, API). Quick-Check-Ergebnisse werden unabhängig davon 30 Tage nach der Prüfung gelöscht.

§ 8 Technische und organisatorische Maßnahmen (Anlage 3)

§ 9 Haftung, Schlussbestimmungen

Für die Haftung gelten die Regelungen des Nutzungsvertrags (AGB § 11) sowie Art. 82 DSGVO. Es gilt deutsches Recht. Änderungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Vereinbarung im Übrigen wirksam.