Auftragsverarbeitungsvertrag
Zuletzt aktualisiert: 2026-08-02
Diese Übersetzung wurde maschinell erstellt. Im Zweifel gilt die englische Fassung als Referenz.
1. Parteien und Gegenstand
Dieser Auftragsverarbeitungsvertrag („AVV“) regelt die Verarbeitung personenbezogener Daten durch Formhook („Auftragsverarbeiter“), betrieben von astropixels.rs, im Auftrag des Formular-Inhabers („Verantwortlicher“), der ein Konto erstellt und Formhook nutzt, um Formular-Einsendungen zu erhalten. Er ergänzt unsere Nutzungsbedingungen und Datenschutzerklärung. Erstellung und Nutzung eines Formhook-Kontos stellt die Annahme dieses AVV dar; keine separate Unterschrift erforderlich.
2. Dauer
Dieser AVV gilt, solange das Formhook-Konto des Verantwortlichen aktiv ist und für jeden Zeitraum nach der Beendigung, in dem der Auftragsverarbeiter noch Daten des Verantwortlichen hält (siehe Klausel 12).
3. Art und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um:
- Formular-Einsendungen an die Endpoints des Verantwortlichen zu empfangen;
- diese Einsendungen zu speichern und im Dashboard des Verantwortlichen anzuzeigen;
- operative E-Mails an den Verantwortlichen zu senden (Konto-Verifikation, Passwort-Reset, Kontingent-Alarme);
- Web-Push-Benachrichtigungen an die opt-in-Geräte des Verantwortlichen bei neuen Einsendungen zu liefern.
4. Kategorien betroffener Personen
Die betroffenen Personen sind diejenigen, die die Formulare des Verantwortlichen ausfüllen (typischerweise Website-Besucher, Kunden, Interessenten, Bewerber - wen auch immer das Formular des Verantwortlichen ansprechen soll).
5. Kategorien personenbezogener Daten
Der Auftragsverarbeiter verarbeitet:
- welche Felder der Verantwortliche in seinem Formular abfragt (häufig Name, E-Mail, Nachricht, aber der Verantwortliche entscheidet);
- technische Metadaten der Einsendung: IP-Adresse, User-Agent-String, Origin-Header, Zeitstempel.
Der Verantwortliche ist dafür verantwortlich, keine besonderen Kategorien von Daten (Art. 9 DSGVO) über Formhook zu sammeln, sofern keine Rechtsgrundlage besteht und Einreichende angemessen informiert wurden.
6. Unter-Auftragsverarbeiter
Die aktuellen Unter-Auftragsverarbeiter und was sie erhalten, sind in unserer Datenschutzerklärung aufgeführt. Der Auftragsverarbeiter benachrichtigt den Verantwortlichen über jede Änderung der Liste der Unter-Auftragsverarbeiter per Dashboard-Banner oder E-Mail mindestens 14 Tage, bevor die Änderung wirksam wird. Wenn der Verantwortliche einen neuen Unter-Auftragsverarbeiter ablehnt, kann er sein Konto kündigen und seine Daten gemäß den Klauseln 8 und 12 unten exportieren.
7. Vertraulichkeit und Sicherheitsmaßnahmen
Der Auftragsverarbeiter unterhält folgende technische und organisatorische Maßnahmen:
- TLS für alle Daten im Transit;
- Argon2id-Passwort-Hashing für Konto-Anmeldedaten;
- nächtliche Postgres-Backups, mit age verschlüsselt, 14 Tage aufbewahrt;
- administrativer Zugang beschränkt auf Betreiber, die die Vertraulichkeitsbedingungen des Auftragsverarbeiters unterzeichnet haben;
- Anwendungsdatenbankrolle mit minimalen Privilegien; Service-Role-Anmeldedaten werden dem Browser nicht offengelegt.
8. Unterstützung bei Rechten betroffener Personen
Die meisten Rechte nach DSGVO-Artikeln 15–22 (Zugang, Berichtigung, Löschung, Übertragbarkeit, Einschränkung) können vom Verantwortlichen direkt über das Dashboard erfüllt werden:
- Zugang / Übertragbarkeit - Konto → Daten exportieren lädt eine JSON-Datei mit allen Daten des Verantwortlichen herunter, die wir halten.
- Löschung - Konto → Konto löschen entfernt das Konto des Verantwortlichen und alle seine Formulare und Einsendungen dauerhaft; Pro-Formular-Löschung ist auch in den Formular-Einstellungen verfügbar.
- Berichtigung - Einsendungen und Formular-Konfiguration können vom Verantwortlichen in seinem Dashboard bearbeitet werden.
Für ungewöhnliche Anfragen (z. B. Reaktion auf eine Datenschutz-Anfrage eines Endbenutzers, die der Verantwortliche nicht selbst bedienen kann) schreiben Sie an info@formhook.app.
9. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter benachrichtigt den Verantwortlichen ohne unangemessene Verzögerung (Ziel: innerhalb von 72 Stunden nach Kenntnis) über jede Verletzung personenbezogener Daten, die die Daten des Verantwortlichen betrifft, mit den von DSGVO Art. 33(3) geforderten Informationen (Art der Verletzung, Kategorien und ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen, Abhilfemaßnahmen).
10. Internationale Übermittlungen
Der primäre Verarbeitungsort ist Deutschland (Hetzner). Cloudflares Edge verarbeitet Daten nur im Transit. Resend verarbeitet ausgehende E-Mails in seiner EU-Versandregion. Zwei vom Verantwortlichen aktivierbare Integrationen sind hiervon absichtlich ausgenommen, nicht standardmäßig: Web-Push-Benachrichtigungen mit Nachrichtenvorschau senden den Benachrichtigungsinhalt über den Push-Dienst Ihres Browser-Anbieters (Google, Mozilla oder Apple), und die optionale Google-Sheets-Synchronisierung sendet die Einsendungen dieses Formulars an Google. Beide sind deaktiviert, solange der Verantwortliche sie nicht für ein bestimmtes Formular oder Konto aktiviert. Abgesehen von diesen zwei Integrationen haben wir keine derzeitige Absicht, Daten des Verantwortlichen außerhalb der EU/EWR zu übermitteln. Sollte sich das ändern, aktualisieren wir diese Klausel und die Liste der Unter-Auftragsverarbeiter und stützen uns auf Standardvertragsklauseln oder eine andere Garantie nach Kapitel V der DSGVO.
11. Auditrechte
Der Verantwortliche kann höchstens einmal pro Kalenderjahr und bei angemessener Vorankündigung schriftliche Informationen anfordern, die die Einhaltung dieses AVV durch den Auftragsverarbeiter nachweisen. Vor-Ort-Audits sind im aktuellen Umfang des Dienstes außerhalb des Geltungsbereichs.
12. Beendigung, Rückgabe und Löschung
Der Verantwortliche kann seine Daten jederzeit über die Funktion Konto → Export exportieren. Bei Beendigung des Kontos des Verantwortlichen werden alle Daten des Verantwortlichen sofort im Rahmen des Kontolöschungsprozesses aus der Live-Datenbank gelöscht. Verschlüsselte Backups mit früheren Snapshots laufen automatisch innerhalb des 14-Tage-Backup-Aufbewahrungsfensters ab, wie in unserer Datenschutzerklärung beschrieben.
13. Haftung und Reihenfolge der Geltung
Die Haftungsbedingungen unserer Nutzungsbedingungen gelten für die Verarbeitung unter diesem AVV. Im Konfliktfall regelt dieser AVV Fragen der personenbezogenen Datenverarbeitung; die Bedingungen regeln alles andere.
14. Änderungen
Wir können diesen AVV aktualisieren. Wesentliche Änderungen werden im Dashboard oder per E-Mail mindestens 14 Tage vor Inkrafttreten angekündigt.