Fassung vom 31. August 2026

Vertrag zur Auftragsverarbeitung

Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen und gilt für alle personenbezogenen Daten, die der Kunde in Affleo verarbeitet — also die Daten seiner Partner und seiner Kunden. Für diese Daten ist der Kunde Verantwortlicher, wir sind Auftragsverarbeiter.

§ 1 Parteien und Gegenstand

(1) Auftraggeber und Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist der Kunde. Auftragnehmer und Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO ist FIRMENNAME, STRASSE UND HAUSNUMMER, POSTLEITZAHL ORT.

(2) Gegenstand des Auftrags ist der Betrieb der Software Affleo zur Verwaltung von Partnerprogrammen. Die Verarbeitung umfasst das Erfassen von Empfehlungen, die Berechnung von Provisionen und die Vorbereitung von Auszahlungen.

(3) Die Verarbeitung findet ausschließlich innerhalb der Bundesrepublik Deutschland statt. Eine Übermittlung in ein Drittland erfolgt nicht.

§ 2 Art der Daten und betroffene Personen

Die nachstehende Aufstellung ist zugleich die Grundlage, die der Kunde für sein eigenes Verzeichnis von Verarbeitungstätigkeiten nach Art. 30 DSGVO benötigt.

E-Mail-Adressen von Endkunden und IP-Adressen von Websitebesuchern werden nicht im Klartext gespeichert, sondern zu Schlüsselwerten verrechnet. Bei der IP-Adresse wird dazu ein Salzwert verwendet, der täglich wechselt und nach 24 Stunden verworfen wird; danach ist die Adresse auch für uns nicht mehr rückrechenbar.

§ 3 Weisungsrecht

(1) Wir verarbeiten die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gilt auch jede Einstellung, die der Kunde in der Software vornimmt — etwa die Wahl einer Löschfrist oder die Anlage eines Programms.

(2) Eine Nutzung der Daten für eigene Zwecke findet nicht statt. Das gilt ausdrücklich auch für aggregierte oder anonymisierte Auswertungen, für Produktverbesserung und für das Training von Modellen.

(3) Halten wir eine Weisung für rechtswidrig, teilen wir dies mit und dürfen die Ausführung aussetzen.

§ 4 Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet. Die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus fort.

§ 5 Technische und organisatorische Maßnahmen

Nach Art. 32 DSGVO treffen wir die nachstehenden Maßnahmen. Sie sind Bestandteil dieses Vertrages und dürfen nur so geändert werden, dass das Schutzniveau erhalten bleibt.

Trennung der Mandanten

Die Daten verschiedener Kunden liegen in einer gemeinsamen Datenbank, werden aber auf Datenbankebene getrennt (Row Level Security). Die Trennung wird also nicht erst im Anwendungscode hergestellt, sondern von der Datenbank selbst erzwungen. Ein Programmierfehler in der Anwendung kann sie deshalb nicht aushebeln.

Verschlüsselung

Übertragung ausschließlich über TLS. Datenträger sind im Ruhezustand verschlüsselt. Zugangsdaten werden mit einem für Passwörter geeigneten Verfahren gespeichert, nicht mit einer einfachen Prüfsumme.

Zugriffskontrolle

Zugriff auf Produktivdaten haben nur namentlich benannte Personen, und nur soweit es für Betrieb und Fehlersuche erforderlich ist. Jeder Zugriff wird protokolliert. Innerhalb der Software steuert ein Rollenmodell, wer welche Daten sieht.

Vier-Augen-Prinzip bei Auszahlungen

Auszahlungen ab 1.000 € benötigen die Freigabe durch eine zweite Person. Das ist keine reine Verfahrensregel: Der Betrag lässt sich ohne die zweite Freigabe technisch nicht anweisen.

Nachvollziehbarkeit

Zu jeder Provision wird festgehalten, welche Regel galt und wie gerundet wurde. Korrekturen erfolgen als Gegenbuchung; ein einmal entstandener Datensatz wird nicht überschrieben. Damit bleibt jede Abrechnung auch Jahre später rekonstruierbar.

Verfügbarkeit

Tägliche Sicherung mit einer Aufbewahrung von 30 Tagen. Die Wiederherstellung wird regelmäßig erprobt — eine Sicherung, die nie zurückgespielt wurde, ist keine.

§ 6 Unterauftragnehmer

(1) Der Kunde stimmt dem Einsatz der nachstehenden Unterauftragnehmer zu.

(2) Ein Wechsel oder die Aufnahme eines weiteren Unterauftragnehmers wird mindestens 30 Tage vorher mitgeteilt. Der Kunde kann innerhalb dieser Frist widersprechen; in diesem Fall darf er den Vertrag zum Zeitpunkt der Umstellung außerordentlich kündigen.

(3) Stripe verarbeitet die Zahlungsdaten des Kunden, nicht die Daten aus dessen Partnerprogramm. Für diese Verarbeitung ist Stripe eigener Verantwortlicher.

§ 7 Unterstützung des Kunden

(1) Macht eine betroffene Person Rechte nach Art. 15 bis 22 DSGVO geltend, unterstützen wir den Kunden bei der Beantwortung. Wendet sich eine betroffene Person direkt an uns, leiten wir sie an den Kunden weiter und beantworten das Anliegen nicht selbst.

(2) Wir unterstützen den Kunden bei Datenschutz-Folgenabschätzungen und bei der Meldung von Verletzungen des Schutzes personenbezogener Daten.

(3) Wird uns eine solche Verletzung bekannt, melden wir sie dem Kunden unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. Die Frist ist bewusst kürzer als die 72 Stunden aus Art. 33 DSGVO, weil der Kunde selbst noch melden muss.

§ 8 Nachweis und Kontrolle

(1) Wir weisen die Einhaltung dieses Vertrages auf Anfrage nach, insbesondere durch Auskunft und durch Vorlage der Dokumentation zu den Maßnahmen nach § 5.

(2) Der Kunde ist berechtigt, sich von der Einhaltung zu überzeugen. Vor-Ort-Prüfungen sind mit angemessener Vorlaufzeit anzukündigen und auf das erforderliche Maß zu beschränken; die Rechte anderer Kunden dürfen dabei nicht beeinträchtigt werden.

§ 9 Löschung und Rückgabe

(1) Nach Ende des Vertrages stellen wir die Daten 30 Tage lang zum Export bereit. Das Ausgabeformat ist CSV und steht dem Kunden jederzeit auch während der Laufzeit offen.

(2) Nach Ablauf dieser Frist löschen wir die Daten einschließlich der Sicherungen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Daten in Sicherungen entfallen mit dem Ablauf des jeweiligen Sicherungszyklus, spätestens nach 30 Tagen.

§ 10 Speicherfristen während der Laufzeit

Handelsdaten lassen sich nicht vorzeitig löschen, weil steuerliche Aufbewahrungspflichten dem entgegenstehen. Ein Anbieter, der hier eine freie Löschung verspricht, verspricht etwas, das er nicht halten darf.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen gehen die Regelungen dieses Vertrages vor.

(2) Es gilt das Recht der Bundesrepublik Deutschland.

Wie das Tracking datenschutzrechtlich funktioniert →