Auftragsverarbeitung

Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO
Stand: 5. Oktober 2026 · Anlage zu den Allgemeinen Geschäftsbedingungen von GetOneLink

Dieser Vertrag gilt zwischen dem Nutzer von GetOneLink als Verantwortlichem (im Folgenden „Kunde“) und

Philipp Reinhardt
Weberstr. 9
99734 Nordhausen
Thüringen, Deutschland
E-Mail: info@getonelink.de
als Auftragsverarbeiter (im Folgenden „GetOneLink“).

Er ist Bestandteil der Allgemeinen Geschäftsbedingungen und wird mit ihnen vereinbart. Er gilt, soweit GetOneLink bei der Bereitstellung der Plattform personenbezogene Daten im Auftrag des Kunden verarbeitet. Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag in Fragen des Datenschutzes vor.

Gegenstand ist der Betrieb der Linkseiten des Kunden und der damit verbundenen Funktionen auf GetOneLink. Die Verarbeitung dauert so lange wie der Nutzungsvertrag. Nach dessen Ende gilt Abschnitt 10.

GetOneLink verarbeitet personenbezogene Daten ausschließlich, um die vom Kunden genutzten Funktionen bereitzustellen:

• Auslieferung der Kundenseiten an Besucher (Hosting)
• Entgegennahme und Speicherung von Eintragungen in Formularen der Kundenseiten, etwa zur Newsletter-Anmeldung oder zur Freischaltung von Links, einschließlich Double-Opt-In und Einwilligungsnachweis
• Versand der E-Mails, die der Kunde über GetOneLink an seine Kontakte richtet (Bestätigungen, Newsletter, automatische Sequenzen), und Verarbeitung von Abmeldungen
• Zählung von Aufrufen und Klicks für die Statistik des Kunden
• Dokumentation von Einwilligungen im Einwilligungsfenster der Kundenseiten
• Weitergabe von Eintragungen an den Anbieter, den der Kunde im Funnel gewählt hat, auf Weisung des Kunden und nur mit Einwilligung der betroffenen Person; ab der Übergabe verantwortet der Anbieter die Daten selbst

Betroffen sind die Besucher der Kundenseiten und die Kontakte des Kunden.
Verarbeitet werden:

• technische Verbindungsdaten beim Aufruf (IP-Adresse, Zeitpunkt, aufgerufene Adresse, Browserangaben)
• E-Mail-Adresse und weitere Angaben, die ein Formular des Kunden abfragt, etwa Name
• Einwilligungsnachweise (Wortlaut, Zeitpunkte, gekürzte IP-Adresse) sowie Abmelde- und Sperrvermerke
• Statistikdaten; sie werden nur als Tageszahlen ohne Personenbezug gespeichert

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags; der Kunde erhebt sie über GetOneLink nicht.

GetOneLink verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus diesem Vertrag, aus den Einstellungen, die der Kunde im Kundenportal vornimmt, und aus Aufträgen, die er per E-Mail erteilt. Hält GetOneLink eine Weisung für rechtswidrig, weist es den Kunden unverzüglich darauf hin. Eine Verarbeitung für eigene Zwecke findet nicht statt, es sei denn, GetOneLink ist gesetzlich dazu verpflichtet; dann informiert es den Kunden vorher, soweit das Gesetz es erlaubt.

Personen, die bei GetOneLink Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. GetOneLink trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage beschrieben sind. Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt.

Der Kunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Derzeit sind das:

• Shock Hosting LLC (Piscataway, NJ 08854) – Betrieb der Server, Speicherung und E-Mail-Versand. Dabei werden Daten in ein Land außerhalb der EU und des EWR übermittelt. Grundlage sind die Standardvertragsklauseln der Europäischen Kommission (Art. 46 Abs. 2 lit. c DSGVO).
• Apify Technologies s.r.o., Vodičkova 704/36, 110 00 Prag, Tschechien – nur für die Funktionen Viraltrends und Social Stats, soweit Abrufe über den Apify-Zugang von GetOneLink laufen: Abruf öffentlicher Instagram-Daten zu den Suchen des Kunden. Grundlage ist das Data Processing Addendum von Apify (Teil der Nutzungsbedingungen von Apify); für Übermittlungen in Drittländer gelten die EU-Standardvertragsklauseln.
• Bright Data Ltd., 4 Hamahshev St., Netanya 4250714, Israel – nur für die Funktionen Viraltrends und Social Stats, soweit Abrufe über den Bright-Data-Zugang von GetOneLink laufen: Abruf öffentlicher Instagram-Daten (Profile, Beiträge, Reels) zu den Suchen des Kunden. Grundlage ist das Data Processing Addendum von Bright Data; für Israel besteht ein Angemessenheitsbeschluss der EU-Kommission.

GetOneLink informiert den Kunden vor jeder Änderung per E-Mail oder im Kundenportal. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Wirksamwerden der Änderung kündigen. GetOneLink verpflichtet jeden Unterauftragsverarbeiter vertraglich auf die Pflichten dieses Vertrags.

GetOneLink unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anfragen betroffener Personen zu beantworten (Art. 12 bis 23 DSGVO). Dafür stehen im Kundenportal Funktionen zum Einsehen, Ändern, Exportieren und Löschen von Kontakten und Inhalten bereit; darüber hinaus hilft GetOneLink auf Anfrage. Wendet sich eine betroffene Person direkt an GetOneLink, leitet GetOneLink die Anfrage an den Kunden weiter.

GetOneLink unterstützt den Kunden außerdem bei seinen Pflichten aus Art. 32 bis 36 DSGVO, insbesondere mit den Informationen, die er für eine Meldung an die Aufsichtsbehörde oder eine Datenschutz-Folgenabschätzung braucht.

Wird GetOneLink eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten des Kunden betrifft, informiert es den Kunden unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail an die Adresse seines Kundenkontos. Die Meldung enthält, soweit bekannt, Art und Umfang der Verletzung, die betroffenen Daten, die wahrscheinlichen Folgen und die ergriffenen Maßnahmen.

Nach Ende des Vertrags oder wenn der Kunde sein Konto löscht, löscht GetOneLink die im Auftrag verarbeiteten Daten in der zentralen Löschroutine, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Vor der Löschung kann der Kunde seine Kontakte und Inhalte über die Exportfunktionen des Kundenportals sichern. Kopien in Sicherungen werden nicht mehr verwendet und im Rahmen der regulären Sicherungsrotation überschrieben.

GetOneLink stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind. Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer sind nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten möglich, soweit sie für die Pflichten nach Art. 28 DSGVO erforderlich sind. In der Regel genügt eine schriftliche Auskunft.

Der Kunde ist dafür verantwortlich, dass die Verarbeitung, die er über GetOneLink veranlasst, rechtmäßig ist – insbesondere, dass Einwilligungen für Newsletter und Werbe-E-Mails wirksam vorliegen und dass er auf seinen Seiten eine eigene Datenschutzerklärung bereitstellt. Stellt er Fehler oder Unregelmäßigkeiten fest, informiert er GetOneLink unverzüglich.

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB. Änderungen dieses Vertrags werden dem Kunden rechtzeitig vorher mitgeteilt. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Zutritt und Zugang zu den Systemen: Die Server stehen im Rechenzentrum des Hosters; der physische Zutritt ist dort geregelt. Der Zugang zur Verwaltung ist nur mit persönlicher Anmeldung möglich; Passwörter werden ausschließlich als Hash gespeichert, eine Zwei-Faktor-Anmeldung steht zur Verfügung, fehlgeschlagene Anmeldeversuche werden gebremst.

Zugriff und Trennung: Die Daten jedes Kunden liegen in einem eigenen, getrennten Projekt. Kunden sehen nur die Kontakte und Statistiken ihrer eigenen Seiten; Rechte in der Verwaltung werden nach Rollen vergeben.

Übertragung: Alle Verbindungen sind per HTTPS (TLS) verschlüsselt. Fremde Skripte werden durch eine Content-Security-Policy ausgeschlossen; Inhalte fremder Anbieter laden erst nach Einwilligung.

Eingabe- und Änderungskontrolle: Wichtige Vorgänge in der Verwaltung werden protokolliert. Volle IP-Adressen werden dort höchstens 14 Tage gespeichert, die Einträge höchstens zwölf Monate.

Datensparsamkeit und Pseudonymisierung: IP-Adressen in Einwilligungsnachweisen werden gekürzt; die Besucherstatistik arbeitet ohne Cookies und ohne gespeicherte IP-Adressen.

Verfügbarkeit: Der Datenbestand wird regelmäßig gesichert; Sicherungen werden rotierend überschrieben.

Löschung: Fristen werden durch eine zentrale Routine regelmäßig automatisch umgesetzt.