Der vorliegende Auftragsverarbeitungsvertrag (nachfolgend der "AVV") regelt die Verarbeitung personenbezogener Daten durch Expeteo SARL, société à responsabilité limitée de droit luxembourgeois, mit Sitz in Op der Haart 28, L-9999 Wemperhardt, Luxembourg (RCS Luxemburg B212614), Betreiberin der Marke Pulsar (nachfolgend der "Auftragsverarbeiter"), im Auftrag seines Kunden (nachfolgend der "Verantwortliche"), im Rahmen des Dienstes Pulsar Analytics. Er ergänzt die Allgemeinen Geschäftsbedingungen und geht diesen im Widerspruchsfall ausschliesslich in Fragen des Datenschutzes vor. Er wird gemäss Artikel 28 der Verordnung (EU) 2016/679 ("DSGVO") geschlossen.

1. Begriffsbestimmungen

Die Begriffe "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "betroffene Person", "Verletzung des Schutzes personenbezogener Daten" und "Aufsichtsbehörde" haben die Bedeutung, die ihnen Artikel 4 DSGVO gibt. Der "Dienst" bezeichnet Pulsar Analytics; die "Reichweitendaten" bezeichnen die über das Pixel auf den Websites des Verantwortlichen verarbeiteten Daten.

2. Rollen der Parteien

Der Verantwortliche bestimmt die Zwecke und Mittel der Verarbeitung der Reichweitendaten seiner eigenen Websites. Der Auftragsverarbeiter verarbeitet diese Daten ausschliesslich im Auftrag und auf dokumentierte Weisung des Verantwortlichen, zum Zweck der Bereitstellung des Dienstes. Der Auftragsverarbeiter ist nicht verantwortlich für die Rechtmässigkeit der vom Verantwortlichen beschlossenen Erhebung (Rechtsgrundlage, Information der Besucher), die diesem obliegt.

3. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand und Art: Reichweitenmessung im Web ohne Cookies (Erhebung, Aggregation und Darstellung von Statistiken). Zweck: dem Verantwortlichen aggregierte Reichweitenstatistiken bereitzustellen, unter Ausschluss jeder Nutzung für Werbung, Personalisierung oder Retargeting. Dauer: für die gesamte Laufzeit des Dienstvertrags. Die Kategorien der Daten und der betroffenen Personen sind in Anlage 1 beschrieben.

4. Pflichten des Auftragsverarbeiters (Artikel 28 Absatz 3)

Der Auftragsverarbeiter verpflichtet sich:

• (a) die Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, auch für Übermittlungen ausserhalb der EU, sofern keine gesetzliche Pflicht besteht (in diesem Fall informiert er den Verantwortlichen, sofern gesetzlich zulässig);
• (b) sicherzustellen, dass die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind;
• (c) die nach Artikel 32 erforderlichen Sicherheitsmassnahmen umzusetzen (siehe Anlage 2);
• (d) die Bedingungen für die Inanspruchnahme eines weiteren Auftragsverarbeiters einzuhalten (Artikel 5 unten);
• (e) den Verantwortlichen durch geeignete technische und organisatorische Massnahmen bei der Beantwortung von Anträgen betroffener Personen zu unterstützen;
• (f) den Verantwortlichen bei der Einhaltung der Pflichten zur Sicherheit (Art. 32), zur Meldung von Verletzungen (Art. 33-34) und zur Datenschutz-Folgenabschätzung (Art. 35-36) zu unterstützen;
• (g) nach Wahl des Verantwortlichen die Daten nach Abschluss der Leistung zu löschen oder zurückzugeben und bestehende Kopien zu vernichten, sofern keine gesetzliche Aufbewahrungspflicht besteht;
• (h) dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung von Artikel 28 erforderlich sind, und Überprüfungen zu ermöglichen (Artikel 8 unten).

Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Auffassung nach gegen die DSGVO verstösst.

5. Weitere Auftragsverarbeiter

Der Verantwortliche genehmigt die Inanspruchnahme der in Anlage 3 aufgeführten weiteren Auftragsverarbeiter (allgemeine Genehmigung). Der Auftragsverarbeiter informiert den Verantwortlichen über jede Hinzufügung oder Ersetzung und lässt diesem die Möglichkeit, aus berechtigtem Grund Einspruch zu erheben. Der Auftragsverarbeiter verpflichtet jeden weiteren Auftragsverarbeiter vertraglich zu Datenschutzpflichten, die denen dieses AVV gleichwertig sind, und bleibt für deren Erfüllung verantwortlich.

6. Sicherheit (Artikel 32)

Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Massnahmen um, dem Risiko angemessen, insbesondere: Gestaltung ohne Cookie und ohne dauerhafte Kennung, Kürzung/Anonymisierung der IP-Adresse, Verschlüsselung bei der Übertragung und im Ruhezustand, Trennung nach Website, Zugriffskontrolle und Protokollierung.

7. Verletzungen des Datenschutzes (Artikel 33-34)

Im Fall einer Verletzung, die die Reichweitendaten betrifft, benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich nach Kenntniserlangung, mit den sachdienlichen Informationen, damit der Verantwortliche seinen eigenen Pflichten zur Meldung an die Aufsichtsbehörde und gegebenenfalls zur Benachrichtigung der betroffenen Personen nachkommen kann.

8. Überprüfungen

Der Auftragsverarbeiter stellt die zum Nachweis seiner Konformität erforderlichen Informationen bereit und ermöglicht Überprüfungen, einschliesslich Inspektionen, durch den Verantwortlichen oder einen beauftragten Prüfer, nach angemessener Vorankündigung, unter Wahrung der Vertraulichkeit und der Sicherheit und ohne den Dienst zu beeinträchtigen.

9. Übermittlungen ausserhalb der Europäischen Union

Die Reichweitendaten werden in der Schweiz verarbeitet, für die ein Angemessenheitsbeschluss der Europäischen Kommission besteht. Die einzigen in der Europäischen Union verarbeiteten Daten sind die Abrechnungsdaten bei Stripe (Irland). Eine Übermittlung ausserhalb dieses Raums erfolgt nur mit geeigneter Rechtsgrundlage im Sinne der Artikel 44 bis 49 DSGVO (insbesondere Standardvertragsklauseln).

10. Vertragsende

Nach Abschluss der Leistung löscht oder gibt der Auftragsverarbeiter die Reichweitendaten nach Wahl des Verantwortlichen zurück und löscht bestehende Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Rohdaten werden in jedem Fall spätestens 25 Monate nach ihrer Erhebung gelöscht (automatisch angewandte Aufbewahrungsdauer).

11. Haftung und anwendbares Recht

Die Haftung der Parteien richtet sich nach den Allgemeinen Geschäftsbedingungen und nach Artikel 82 DSGVO. Dieser AVV unterliegt luxemburgischem Recht; zuständig sind die Gerichte des Grossherzogtums Luxemburg, vorbehaltlich der anwendbaren zwingenden Vorschriften.

---

Anlage 1: Beschreibung der Verarbeitung

• Kategorien betroffener Personen: Besucher der Websites des Verantwortlichen.
• Datenkategorien: aggregierte und pseudonymisierte technische Navigationsdaten (aufgerufene Seiten, Quelle/Verweis, Kanal, UTM, Gerätetyp, Browser, System, aus einer gekürzten IP abgeleitetes Land, Zeitstempel, Ereignisse und Scrolltiefe). Ist die Option Heatmaps vom Verantwortlichen für eine Website aktiviert: aggregierte Klickpositionen und eine Stichprobe von Cursorbewegungen, gezählt je Zelle und je Seite, ohne Kennung und ohne Rekonstruktion einer individuellen Navigation; Formularfelder und maskierte Bereiche (data-pulsar-mask) sind ausgeschlossen. Keine dauerhafte Kennung: Die Besucherkennung ist ein nicht dauerhafter Tages-Hash (weniger als 24 Stunden). Keine direkt identifizierenden Daten, keine besonderen Kategorien im Sinne von Artikel 9.
• Art und Zweck: aggregierte statistische Reichweitenmessung (einschliesslich, optional, aggregierter Heatmaps).
• Dauer: Laufzeit des Vertrags; Rohdaten höchstens 25 Monate aufbewahrt; aggregierte Heatmap-Daten höchstens 12 Monate aufbewahrt.

Anlage 2: technische und organisatorische Massnahmen

• Keine Cookies und keine Speicherung auf dem Endgerät; kein Fingerprinting.
• IP-Adresse ausschliesslich zur Ableitung eines Landes verwendet, danach sofort gekürzt/anonymisiert, nie im Klartext gespeichert.
• Besucherkennung: nicht dauerhafter, täglich rotierender Hash, mit geheimem Salt berechnet; Trennung nach Website (keine websiteübergreifende Verknüpfung).
• Verschlüsselung der Daten bei der Übertragung (HTTPS) und im Ruhezustand.
• Zugriffskontrolle, Protokollierung, Ratenbegrenzung des Erfassungsendpunkts.
• Datenminimierung und automatische Löschung nach Ablauf der Aufbewahrungsdauer.
• Hosting der Reichweitendaten in der Schweiz (Infomaniak, Genf).

Anlage 3: genehmigte weitere Auftragsverarbeiter

• Infomaniak Network SA (Schweiz): Hosting der Anwendung und des Erfassungsservers.
• Stripe Payments Europe, Limited (Irland, EU): Zahlungsabwicklung (Konto-/Rechnungsdaten, ohne Reichweitendaten).

Für eine unterzeichnete Fassung dieses AVV oder bei Fragen schreiben Sie an privacy@pulsar.lu. Dieses Dokument stellt eine vertragliche Standardgrundlage dar; eine Prüfung durch Ihren Rechtsbeistand wird empfohlen.