Vertrag zur Auftragsverarbeitung
Nach Art. 28 DSGVO für Kunden von SEOFINO – mit Liste der Unterauftragsverarbeiter. Stand: November 2026.
§ 1 Gegenstand und Dauer
(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch die Wpress Group Ltd, Piccadilly Business Centre, Aldow Enterprise Park, Manchester M12 6AE, Vereinigtes Königreich („Auftragsverarbeiter“; SEOFINO ist eine Marke der Wpress Group Ltd) im Auftrag des Kunden („Verantwortlicher“) bei der Nutzung der Software SEOFINO (app.seofino.com) nach Art. 28 DSGVO.
(2) Er gilt für die Dauer des Nutzungsvertrags und wird mit der Registrierung bzw. der Bestätigung im Kundenbereich geschlossen. Er ergänzt die AGB; bei Widersprüchen zum Datenschutz geht dieser Vertrag vor.
(3) Für das Vereinigte Königreich besteht ein Angemessenheitsbeschluss der EU-Kommission nach Art. 45 DSGVO.
§ 2 Art, Zweck und Umfang der Verarbeitung
(1) Zweck ist die Bereitstellung der Funktionen von SEOFINO: Prüfung und Überwachung von Websites, Auswertungen aus verbundenen Diensten, Bewertungs-Werkzeuge, KI-Funktionen, Berichte, Team- und Kundenzugänge sowie das SEO-Check-Widget.
(2) Arten von Daten: Namen und E-Mail-Adressen von Mitarbeitern und Kunden des Verantwortlichen; Anfragen aus dem SEO-Check-Widget (Name, E-Mail, Telefonnummer, Domain, Ergebnis); öffentliche Google-Bewertungen (angezeigter Name, Sterne, Text); zusammengefasste Kennzahlen aus Google Search Console, Google Analytics und Bing; Anmeldenamen der WordPress-Administratoren (SEOFINO Connect); öffentlich abrufbare Inhalte der Websites des Verantwortlichen.
(3) Betroffene: Mitarbeiter und Kunden des Verantwortlichen, Interessenten, die das Widget nutzen, Personen, die Bewertungen über den Verantwortlichen abgegeben haben, Administratoren der WordPress-Websites.
§ 3 Weisungen
(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Weisungen sind die Einstellungen und Aktionen im Kundenbereich sowie Anweisungen in Textform an support@seofino.com.
(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
§ 4 Pflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter verpflichtet alle Personen, die Zugriff auf die Daten haben, zur Vertraulichkeit.
(2) Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind, und passt sie dem Stand der Technik an.
(3) Er unterstützt den Verantwortlichen bei Anfragen betroffener Personen (Art. 12–23 DSGVO), bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen.
(4) Verletzungen des Schutzes personenbezogener Daten meldet er dem Verantwortlichen unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
§ 5 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter:
– WIIT AG, Joachim-Erwin-Platz 3, 40212 Düsseldorf, Deutschland – Hosting von App und Datenbank (Serverstandort Deutschland)
– Anthropic, PBC, San Francisco, USA – KI-Funktionen (Seitentexte, Suchbegriffe, Bewertungstexte); Standardvertragsklauseln der EU-Kommission
– Google Ireland Limited, Dublin, Irland (mit Google LLC, USA) – Search Console, Google Analytics, PageSpeed Insights, Web Risk; EU-US Data Privacy Framework
– Microsoft Ireland Operations Limited, Dublin, Irland (mit Microsoft Corporation, USA) – Bing Webmaster Tools; EU-US Data Privacy Framework
– DataForSEO OÜ, Tallinn, Estland – Keyword-, Ranking-, Wettbewerbs- und Bewertungsdaten, KI-Sichtbarkeit
– OpenAI, L.L.C., San Francisco, USA – als Unterauftragsverarbeiter von DataForSEO, nur für die Funktion „KI-Sichtbarkeit“ (nur die vom Kunden eingegebenen Fragen)
– Sand Dune Mail Ltd (SMTP2GO), Christchurch, Neuseeland – E-Mail-Versand; Angemessenheitsbeschluss der EU-Kommission
– Stripe Payments Europe, Ltd., Dublin, Irland (mit Stripe, Inc., USA) – Zahlungsabwicklung (nur Vertragsdaten des Kunden); EU-US Data Privacy Framework und Standardvertragsklauseln
(2) Über neue Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 14 Tage vorher per E-Mail oder durch Aktualisierung dieser Seite. Der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund widersprechen und den Vertrag in diesem Fall außerordentlich kündigen.
(3) Übermittlungen in Drittländer erfolgen nur auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien nach Art. 46 DSGVO.
§ 6 Rechte des Verantwortlichen
Der Verantwortliche kann sich von der Einhaltung dieses Vertrags überzeugen, vorrangig durch Auskünfte und Unterlagen des Auftragsverarbeiters, nach rechtzeitiger Anmeldung auch durch Kontrollen zu den üblichen Geschäftszeiten.
§ 7 Löschung und Rückgabe
(1) Der Verantwortliche kann Daten jederzeit im Kundenbereich löschen (z. B. Zugänge, Verbindungen, Websites, Widget-Anfragen).
(2) Nach Ende des Nutzungsvertrags löscht der Auftragsverarbeiter alle Daten spätestens nach 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Auf Wunsch stellt er vorher einen Export bereit.
Anlage 1: Technische und organisatorische Maßnahmen
– Betrieb auf Servern der WIIT AG in Deutschland in gesicherten Rechenzentren
– Verschlüsselte Übertragung (HTTPS/TLS) für App, Plugin und Schnittstellen
– Passwörter nur als scrypt-Hash; Zugangsschlüssel zu Google, Microsoft und dem Plugin verschlüsselt (AES-256-GCM)
– Rollen- und Rechtekonzept: Inhaber, Mitarbeiter, Kunde (nur lesen, nur zugewiesene Websites)
– Schutz vor Missbrauch durch Begrenzung von Anmeldeversuchen und Anfragen
– Signierte Verbindung zwischen WordPress-Plugin und App
– Datensparsamkeit: Daten aus verbundenen Diensten nur 6 Stunden zwischengespeichert, keine Daten einzelner Website-Besucher
– Getrennte Verarbeitung der Daten verschiedener Kunden (Mandantentrennung in der Anwendung)