Auftragsverarbeitungsvertrag

1. Parteien und Gegenstand

Dieser Auftragsverarbeitungsvertrag („AVV“) regelt die Verarbeitung personenbezogener Daten durch Formhook („Auftragsverarbeiter“), betrieben von astropixels.rs, im Auftrag des Formular-Inhabers („Verantwortlicher“), der ein Konto erstellt und Formhook nutzt, um Formular-Einsendungen zu erhalten. Er ergänzt unsere Nutzungsbedingungen und Datenschutzerklärung. Erstellung und Nutzung eines Formhook-Kontos stellt die Annahme dieses AVV dar; keine separate Unterschrift erforderlich.

2. Dauer

Dieser AVV gilt, solange das Formhook-Konto des Verantwortlichen aktiv ist und für jeden Zeitraum nach der Beendigung, in dem der Auftragsverarbeiter noch Daten des Verantwortlichen hält (siehe Klausel 12).

3. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um:

Formular-Einsendungen an die Endpoints des Verantwortlichen zu empfangen;
diese Einsendungen zu speichern und im Dashboard des Verantwortlichen anzuzeigen;
operative E-Mails an den Verantwortlichen zu senden (Konto-Verifikation, Passwort-Reset, Kontingent-Alarme);
Web-Push-Benachrichtigungen an die opt-in-Geräte des Verantwortlichen bei neuen Einsendungen zu liefern.

4. Kategorien betroffener Personen

Die betroffenen Personen sind diejenigen, die die Formulare des Verantwortlichen ausfüllen (typischerweise Website-Besucher, Kunden, Interessenten, Bewerber - wen auch immer das Formular des Verantwortlichen ansprechen soll).

5. Kategorien personenbezogener Daten

Der Auftragsverarbeiter verarbeitet:

welche Felder der Verantwortliche in seinem Formular abfragt (häufig Name, E-Mail, Nachricht, aber der Verantwortliche entscheidet);
technische Metadaten der Einsendung: IP-Adresse, User-Agent-String, Origin-Header, Zeitstempel.

Der Verantwortliche ist dafür verantwortlich, keine besonderen Kategorien von Daten (Art. 9 DSGVO) über Formhook zu sammeln, sofern keine Rechtsgrundlage besteht und Einreichende angemessen informiert wurden.

6. Unter-Auftragsverarbeiter

Die aktuellen Unter-Auftragsverarbeiter und was sie erhalten, sind in unserer Datenschutzerklärung aufgeführt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über jede Änderung der Liste der Unter-Auftragsverarbeiter per Dashboard-Banner oder E-Mail mindestens 14 Tage, bevor die Änderung wirksam wird. Wenn der Verantwortliche einen neuen Unter-Auftragsverarbeiter ablehnt, kann er sein Konto kündigen und seine Daten gemäß den Klauseln 8 und 12 unten exportieren.

7. Vertraulichkeit und Sicherheitsmaßnahmen

Der Auftragsverarbeiter unterhält folgende technische und organisatorische Maßnahmen:

TLS für alle Daten im Transit;
Argon2id-Passwort-Hashing für Konto-Anmeldedaten;
nächtliche Postgres-Backups, mit age verschlüsselt, 14 Tage aufbewahrt;
administrativer Zugang beschränkt auf Betreiber, die die Vertraulichkeitsbedingungen des Auftragsverarbeiters unterzeichnet haben;
Anwendungsdatenbankrolle mit minimalen Privilegien; Service-Role-Anmeldedaten werden dem Browser nicht offengelegt.

8. Unterstützung bei Rechten betroffener Personen

Die meisten Rechte nach DSGVO-Artikeln 15–22 (Zugang, Berichtigung, Löschung, Übertragbarkeit, Einschränkung) können vom Verantwortlichen direkt über das Dashboard erfüllt werden:

Zugang / Übertragbarkeit - Konto → Daten exportieren lädt eine JSON-Datei mit allen Daten des Verantwortlichen herunter, die wir halten.
Löschung - Konto → Konto löschen entfernt das Konto des Verantwortlichen und alle seine Formulare und Einsendungen dauerhaft; Pro-Formular-Löschung ist auch in den Formular-Einstellungen verfügbar.
Berichtigung - Einsendungen und Formular-Konfiguration können vom Verantwortlichen in seinem Dashboard bearbeitet werden.

Für ungewöhnliche Anfragen (z. B. Reaktion auf eine Datenschutz-Anfrage eines Endbenutzers, die der Verantwortliche nicht selbst bedienen kann) schreiben Sie an info@formhook.app.

9. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter benachrichtigt den Verantwortlichen ohne unangemessene Verzögerung (Ziel: innerhalb von 72 Stunden nach Kenntnis) über jede Verletzung personenbezogener Daten, die die Daten des Verantwortlichen betrifft, mit den von DSGVO Art. 33(3) geforderten Informationen (Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen, Abhilfemaßnahmen).

10. Internationale Übermittlungen

Der primäre Verarbeitungsort ist Deutschland (Hetzner). Cloudflares Edge verarbeitet Daten nur im Transit. Resend verarbeitet ausgehende E-Mails in seiner EU-Versandregion. Wir haben keine derzeitige Absicht, Daten des Verantwortlichen außerhalb der EU/EWR zu übermitteln. Sollte sich das ändern, aktualisieren wir diese Klausel und die Liste der Unter-Auftragsverarbeiter und stützen uns auf Standardvertragsklauseln oder eine andere Garantie nach Kapitel V der DSGVO.

11. Auditrechte

Der Verantwortliche kann höchstens einmal pro Kalenderjahr und bei angemessener Vorankündigung schriftliche Informationen anfordern, die die Einhaltung dieses AVV durch den Auftragsverarbeiter nachweisen. Vor-Ort-Audits sind im aktuellen Umfang des Dienstes außerhalb des Geltungsbereichs.

12. Beendigung, Rückgabe und Löschung

Bei Beendigung des Kontos des Verantwortlichen kann der Verantwortliche seine Daten innerhalb von 30 Tagen über die Funktion Konto → Export exportieren. Nach 60 Tagen ab Beendigung werden alle Daten des Verantwortlichen aus der Live-Datenbank gelöscht. Verschlüsselte Backups mit früheren Snapshots laufen automatisch innerhalb des 14-Tage-Backup-Aufbewahrungsfensters ab, wie in unserer Datenschutzerklärung beschrieben.

13. Haftung und Reihenfolge der Geltung

Die Haftungsbedingungen unserer Nutzungsbedingungen gelten für die Verarbeitung unter diesem AVV. Im Konfliktfall regelt dieser AVV Fragen der personenbezogenen Datenverarbeitung; die Bedingungen regeln alles andere.

14. Änderungen

Wir können diesen AVV aktualisieren. Wesentliche Änderungen werden im Dashboard oder per E-Mail mindestens 14 Tage vor Inkrafttreten angekündigt.