Anlage zur Auftragsverarbeitung

Verantwortlicher im Sinne der DSGVO sind Sie. Wir sind Auftragsverarbeiter. Das gilt für alle Prüfungen, die Sie beauftragen: für die Websites, die Sie in Ihrem Konto anlegen, für geplante Läufe und für Prüfungen hinter einer Anmeldung.

Nicht unter diese Anlage fällt die kostenlose Prüfung ohne Konto. Dort gibt es keinen Auftraggeber — wir entscheiden selbst über Zweck und Mittel und sind insoweit eigener Verantwortlicher. Für diese Prüfungen gelten die Datenschutzerklärung und die dort beschriebenen Beschränkungen.

Ebenfalls nicht erfasst ist die Zahlungsabwicklung. Für sie ist unser Zahlungsdienstleister eigener Verantwortlicher; Zahlungsdaten gehören nicht zum Auftrag „Website prüfen", und wir speichern sie nicht.

Gegenstand und Zweck: die automatisierte Prüfung der von Ihnen benannten Websites auf Anforderungen der digitalen Barrierefreiheit, die Aufbereitung der Befunde und die Erzeugung eines Erklärungsentwurfs.

Art der Verarbeitung: Erheben, Erfassen, Auslesen, Speichern, Verwenden, Auswerten und Löschen. Eine Übermittlung an Dritte findet nur an die in § 7 genannten Unterauftragsverarbeiter statt.

Dauer: für die Laufzeit des Vertrags über die Nutzung des Dienstes.

Verarbeitet werden die Daten, die auf den geprüften Seiten vorhanden sind, soweit sie für die Prüfung erfasst werden:

• Adressen der geprüften Seiten und die Antwortdaten des Servers
• Ausschnitte des Seiteninhalts und der Dokumentstruktur, soweit sie einen Befund belegen
• Bildschirmfotos der Stelle, an der ein Befund auftrat
• die von Ihnen hinterlegten Zugangsdaten für Prüfungen hinter einer Anmeldung

Datenminimierung an der Quelle: Werte in Formularfeldern werden bereits im Browser des Prüfroboters maskiert, bevor sie ihn verlassen. Was eine Besucherin in ein Feld eingegeben hätte, erreicht unsere Datenhaltung also gar nicht erst (Artikel 25 DSGVO).

Betroffene Personen sind Besucherinnen und Nutzer der geprüften Websites sowie Ihre Beschäftigten, insbesondere die Inhaber der für Prüfungen angelegten Konten.

Wir verarbeiten die Daten ausschließlich auf Ihre dokumentierte Weisung. Weisung sind diese Anlage und die Einstellungen, die Sie in der Anwendung vornehmen: welche Domain geprüft wird, in welchem Takt, mit welchem Zugang und mit welchen Abläufen. Weitergehende Weisungen erteilen Sie in Textform.

Sind wir der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, teilen wir Ihnen das mit und dürfen die Ausführung bis zu Ihrer Bestätigung aussetzen (Artikel 28 Absatz 3 Satz 3 DSGVO).

Alle Personen, die auftragsgemäß Zugang zu diesen Daten haben, sind zur Vertraulichkeit verpflichtet; die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus.

• Verschlüsselte Übertragung aller Verbindungen zur Anwendung (HTTPS) und verschlüsselte Speicherung der hinterlegten Prüf-Zugangsdaten.
• Maskierung von Formularwerten im Browser des Prüfroboters, bevor Inhalte gespeichert werden.
• Trennung von Anwendung und Prüfroboter: der Prüfroboter, der fremde Websites aufruft, hat keinen Zugriff auf die Datenbank. Die beiden Teile tauschen nur Aufträge und Ergebnisse aus.
• Schutz vor Zugriffen auf interne Netze: Prüfziele werden vor jedem Aufruf gegen private und interne Adressbereiche geprüft, auf beiden Seiten unabhängig voneinander.
• Mandantentrennung: Daten sind der Organisation zugeordnet, und jeder Zugriff wird gegen sie geprüft. Innerhalb der Organisation gelten Rollen.
• Nicht erratbare Kennungen (ULID) statt fortlaufender Nummern für alles, was über eine Adresse erreichbar ist.
• Zwei-Faktor-Authentisierung und Passkeys stehen für jedes Konto zur Verfügung.
• Signierte Webhooks: ausgehende Ereignisse tragen eine Signatur über Zeitstempel und Inhalt, sodass eine abgefangene Zustellung nicht wiederholt werden kann.
• Automatisches Löschen nach den Fristen in § 8, ausgeführt von einem wiederkehrenden Auftrag und nicht von Hand.
• Protokollierung sicherheitsrelevanter Vorgänge und ein veröffentlichter Meldeweg für Sicherheitslücken (/.well-known/security.txt).

Die Maßnahmen unterliegen der technischen Entwicklung. Wir dürfen sie anpassen, solange das Schutzniveau nicht unterschritten wird.

Sie erteilen uns die allgemeine Genehmigung, die nachstehenden Unterauftragsverarbeiter einzusetzen. Mit jedem von ihnen besteht ein Vertrag, der ihm dieselben Pflichten auferlegt, die uns diese Anlage auferlegt.

Einen Wechsel oder die Hinzunahme eines weiteren Unterauftragsverarbeiters kündigen wir Ihnen mindestens 30 Tage vorher in Textform an. Sie können der Änderung aus einem wichtigen datenschutzrechtlichen Grund innerhalb dieser Frist widersprechen; kommen wir dann nicht zu einer Lösung, können Sie den Vertrag außerordentlich kündigen.

Wir löschen automatisch, ohne dass Sie darum bitten müssen:

• Bildschirmfotos zu Befunden nach 90 Tagen. Der Bericht bleibt danach lesbar — die Bilder sind der heikle Teil.
• Prüfdaten des kostenlosen Plans nach 7 Tagen.
• Prüfdaten in einem Abonnement spätestens nach 365 Tagen; die genaue Frist richtet sich nach dem gebuchten Plan und ist dort ausgewiesen.
• Protokolle zu Prüfanfragen ohne Konto nach 30 Tagen.

Nach Ende des Vertrags löschen wir die im Auftrag verarbeiteten Daten, sobald sie nicht mehr für die Erfüllung des Vertrags erforderlich sind, spätestens innerhalb von 90 Tagen. Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht, sowie veröffentlichte Barrierefreiheitserklärungen: sie bleiben nach § 8 der Allgemeinen Geschäftsbedingungen bewusst erreichbar, weil eine von einer Behörde verlinkte Erklärung nicht ins Leere laufen darf. Diese Erklärungen enthalten den Text, den Sie freigegeben haben — keine Prüfdaten.

Die Berichte und Erklärungen können Sie jederzeit selbst exportieren; einer gesonderten Rückgabe bedarf es dafür nicht.

Wir unterstützen Sie bei der Erfüllung der Rechte betroffener Personen (Artikel 12 bis 23 DSGVO). Wendet sich eine betroffene Person unmittelbar an uns, leiten wir sie unverzüglich an Sie weiter und beantworten selbst nichts, was Ihre Entscheidung vorwegnähme.

Wir unterstützen Sie ferner bei der Einhaltung der Artikel 32 bis 36 DSGVO. Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die Ihre Daten betrifft, melden wir sie Ihnen unverzüglich mit allen Angaben, die Sie für Ihre eigene Meldung nach Artikel 33 DSGVO benötigen.

Wir weisen Ihnen auf Anfrage die Einhaltung der Pflichten aus dieser Anlage nach. Sie können sich davon überzeugen — durch Auskünfte, durch geeignete Nachweise oder, nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten, durch eine Überprüfung vor Ort. Die Überprüfung darf den Betrieb nicht unangemessen beeinträchtigen.

Der Quelltext dieser Anwendung ist öffentlich einsehbar. Für einen Teil dessen, was hier zugesagt wird, ist das der unmittelbarste Nachweis, den es gibt: https://github.com/lukasboc/web-accessibility-checker

Eine Verarbeitung findet in der Europäischen Union oder dem Europäischen Wirtschaftsraum statt, soweit § 7 nichts anderes ausweist. Wird ein Unterauftragsverarbeiter außerhalb eingesetzt, geschieht das nur auf einer der Grundlagen der Artikel 44 bis 49 DSGVO; die Grundlage ist in § 7 anzugeben.