zwischen dem Unternehmen, das bei uns eine Analyse bestellt oder einen Team-Bereich bucht (Verantwortlicher, im Folgenden „Kunde“), und seora.one, Peter R. Stuhlmann, Martha-Arendsee-Str. 10, 12681 Berlin (Auftragsverarbeiter, im Folgenden „Anbieter“). Dieser Vertrag kommt mit der Bestellung einer Analyse durch einen Unternehmer (§ 14 BGB) bzw. mit der Buchung eines Team-Pakets zustande und ergänzt die Allgemeinen Geschäftsbedingungen. Er regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO).
1 Gegenstand und Dauer
Der Anbieter analysiert für den Kunden Websites und stellt ihm die Ergebnisse bereit; bei Team-Paketen stellt er dazu einen Team-Bereich bereit. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden, soweit sie zur Website des Kunden, zu seinen Datenquellen und zu seinem Team gehören.
Der Vertrag gilt, solange der Kunde Analysen bei uns gespeichert hat bzw. ein Team-Paket nutzt, und endet mit der Löschung der letzten Analyse bzw. des Team-Bereichs. Nicht erfasst sind Daten, die der Anbieter als eigener Verantwortlicher verarbeitet: das Kundenkonto, Bestellung, Zahlung und Rechnung, die Kommunikation mit dem Kunden sowie die Abfrage öffentlicher Daten über Wettbewerber und die Personen, die eine analysierte Website nennt (Datenschutzerklärung des Anbieters).
2 Art der Daten, Zweck, Betroffene
Betroffene: Personen, die auf der Website des Kunden genannt sind (etwa Inhaber, Beschäftigte, Autoren); Besucher der Website des Kunden in zusammengefasster Form, soweit der Kunde Datenquellen verbindet; Beschäftigte und Beauftragte des Kunden, die er im Team-Bereich einlädt (Mitglieder), sowie Personen, an die Berichte per Link freigegeben werden.
Daten der Analyse: Texte, Metadaten und Bildschirmfotos öffentlich erreichbarer Seiten der Website des Kunden samt den dort veröffentlichten Angaben über Personen; die Angaben des Kunden zur Analyse (Firma, Branche, Region, Ziele, Zielgruppe, Wettbewerber, Angaben zum Geschäft); Daten aus Datenquellen, die der Kunde verbindet – Search Console (Suchanfragen und Seiten mit Klicks, Impressionen, Klickrate, Position), Google Analytics (zusammengefasste Besuchsdaten je Kanal, Einstiegsseite, Gerät und Land, keine Daten einzelner Besucher), Tag Manager (veröffentlichter Container), Matomo und Microsoft Clarity (zusammengefasste Werte je Seite); Status, Zuständige und Kommentare im Maßnahmen-Tracker; Freigabelinks (Name, Gültigkeit, Aufrufe ohne IP-Adresse).
Daten der Mitglieder: Name, E-Mail-Adresse und Rolle, ihr Profilbild, sofern sie eines hochladen; Anmeldezeitpunkte und Geräte für die Sitzungsverwaltung (gekürzte IP-Adresse); bei der Anmeldung mit Google oder LinkedIn die Kennung des Kontos dort und dessen E-Mail-Adresse; Rechte je Mitglied; welches Mitglied welche Analyse gestartet hat; Einladungen (E-Mail-Adresse, Rechte, persönliche Nachricht) und noch nicht bestätigte Beitritte über den Einladungslink (Name, E-Mail-Adresse); Gespräche der Mitglieder mit dem KI-Assistenten; das Protokoll der Zugriffe verbundener Apps; das Protokoll des Teams.
Zweck: Durchführung, Anzeige und Weitergabe der Analysen; Bereitstellung des Team-Bereichs, Anmeldung, Verwaltung von Mitgliedern und Rechten, Nachvollziehbarkeit für den Team-Admin, Benachrichtigungen per E-Mail, Antworten des KI-Assistenten auf Fragen der Mitglieder.
3 Weisungen
Der Anbieter verarbeitet die Daten nur nach dokumentierter Weisung des Kunden – also so, wie es dieser Vertrag, die Leistungsbeschreibung, die Angaben des Kunden bei der Bestellung und die Einstellungen im Konto bzw. Team-Bereich vorgeben. Weitere Weisungen erteilt der Kunde in Textform an die E-Mail-Adresse des Anbieters. Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden darauf hin. Für die Rechtmäßigkeit der Verarbeitung gegenüber den Betroffenen – einschließlich ihrer Information und, soweit vorhanden, der Beteiligung des Betriebsrats (das Protokoll und die Angabe „gestartet von“ lassen erkennen, wer was getan hat) – ist der Kunde verantwortlich.
4 Pflichten des Auftragsverarbeiters
Der Anbieter verpflichtet alle mit der Verarbeitung befassten Personen auf Vertraulichkeit, unterstützt den Kunden im üblichen Umfang ohne zusätzliche Kosten bei Anfragen Betroffener, bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden und führt ein Verzeichnis der Verarbeitungstätigkeiten. Einen Datenschutzbeauftragten muss der Anbieter nicht benennen und hat keinen benannt; Ansprechpartner ist der Anbieter unter seiner E-Mail-Adresse.
5 Sicherheit der Verarbeitung
Der Anbieter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen und hält sie auf dem Stand der Technik. Er darf sie anpassen, solange das Schutzniveau nicht sinkt.
6 Unterauftragnehmer
Der Kunde stimmt dem Einsatz der in Anlage 2 genannten Unterauftragnehmer zu. Neue oder ausgetauschte Unterauftragnehmer kündigt der Anbieter mindestens 30 Tage vorher auf dieser Seite und per E-Mail an die Team-Admins an. Der Kunde kann aus wichtigem Grund widersprechen; lässt sich keine Lösung finden, kann er das Team-Paket zum Zeitpunkt der Änderung kündigen bzw. seine Analysen löschen. Der Anbieter verpflichtet Unterauftragnehmer vertraglich auf ein gleichwertiges Schutzniveau.
7 Übermittlung in Drittländer
Die Anwendung und ihre Datenbank laufen in Deutschland. Soweit Unterauftragnehmer Daten außerhalb der EU verarbeiten (siehe Anlage 2), geschieht das nur mit geeigneten Garantien nach Art. 44 ff. DSGVO – einem Angemessenheitsbeschluss wie dem EU-US Data Privacy Framework oder den Standardvertragsklauseln der EU-Kommission.
8 Rechte der Betroffenen
Wendet sich eine betroffene Person mit einer Anfrage (Auskunft, Berichtigung, Löschung …) an den Anbieter, leitet dieser sie unverzüglich an den Kunden weiter und unterstützt ihn bei der Beantwortung. Der Kunde kann Analysen selbst löschen; der Team-Admin kann Mitglieder im Team-Bereich selbst entfernen – der Anbieter löscht dann den Zugang dieser Person zu diesem Team. Die Analysen, die sie gestartet hat, bleiben im Team.
9 Datenschutzverletzungen
Der Anbieter meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den Angaben, die der Kunde für seine eigene Meldung braucht, und ergreift die nötigen Maßnahmen, um die Folgen zu begrenzen.
10 Nachweise und Kontrollen
Der Anbieter weist die Einhaltung dieses Vertrags auf Anfrage nach, in der Regel durch Auskünfte und Unterlagen. Prüfungen vor Ort sind nach Ankündigung mit einer Frist von mindestens vier Wochen während der üblichen Geschäftszeiten möglich, höchstens einmal im Jahr, sofern kein besonderer Anlass besteht; sie dürfen den Betrieb und die Vertraulichkeit der Daten anderer Kunden nicht gefährden. Den Aufwand einer anlasslosen Prüfung vor Ort trägt der Kunde.
11 Löschung und Rückgabe
Während der Laufzeit löscht der Anbieter Einträge im Protokoll eines Teams nach 3 Monaten, Einträge im Protokoll verbundener Apps nach 90 Tagen, Vermerke über versandte E-Mails nach 90 Tagen und Gespräche mit dem KI-Assistenten nach 180 Tagen ohne Aktivität. Vermerke darüber, was eine Löschfrist automatisch entfernt hat (nur Nummern und Kennungen), löscht er nach 12 Monaten. Entfernt der Team-Admin ein Mitglied, endet dessen Zugriff sofort, und der Anbieter löscht den Zugang dieser Person zu diesem Team samt den zugehörigen Sitzungen, Gesprächen mit dem KI-Assistenten und verbundenen Apps. Löscht der Kunde eine Analyse, löscht der Anbieter sie sofort samt Bildschirmfotos, Downloads, Freigaben und Daten aus Datenquellen.
Endet der Team-Bereich, werden die Mitglieder abgemeldet und alle Freigabelinks geschlossen. Der Team-Admin kann Analysen, Downloads (PDF und Tabellendatei) und Rechnungen noch 30 Tage lesen und herunterladen. Danach löscht der Anbieter das Team vollständig – Analysen, Freigaben, Konten der Mitglieder, Einladungen und Protokoll –, soweit keine gesetzliche Aufbewahrungspflicht besteht (Rechnungen: 8 Jahre). Kopien in Datensicherungen verfallen spätestens nach 14 Tagen. Sperrt der Anbieter einen Team-Bereich, ist er für alle geschlossen.
12 Schlussbestimmungen
Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag in Fragen des Datenschutzes vor. Für die Haftung gelten Art. 82 DSGVO und im Übrigen die Regelungen der Allgemeinen Geschäftsbedingungen. Änderungen kündigt der Anbieter mit der Frist nach Ziffer 6 an; maßgeblich ist die Fassung oben. Es gilt deutsches Recht.
Anlage 1 – Schutzmaßnahmen
- Zugang: Anmeldung per E-Mail-Link, Passwort (nur als Prüfwert gespeichert, geprüft gegen bekannte Datenlecks) oder – sofern eingerichtet – mit Google bzw. LinkedIn (der Anbieter erhält dabei nur Kennung, E-Mail-Adresse und Namen des Kontos dort – von LinkedIn außerdem den Link zum Profilbild und die Spracheinstellung, die er verwirft –, keinen Zugriff auf Daten dort); begrenzte Anmeldeversuche; Sitzungen je Gerät einsehbar und beendbar; Team-Konten gelten nur auf der Adresse ihres Teams.
- Zugriff: Trennung der Daten je Konto und je Team; Rechte je Mitglied (lesen, starten, freigeben), Verwaltung nur durch den Team-Admin; Freigabelinks mit Ablaufdatum, Passwort und Sperre, Empfänger lesen nur.
- Übertragung: ausschließlich verschlüsselt (TLS); Team-Adressen, Analysen und Freigaben sind für Suchmaschinen gesperrt.
- Nachvollziehbarkeit: Protokoll je Team, Löschung nach 3 Monaten; Protokoll der Zugriffe verbundener Apps.
- Schutz vor Missbrauch: Grenzen für die Zahl der Aufrufe bei Anmeldung, Buchung und Downloads; gespeichert wird dabei nur ein verschlüsselter Prüfwert (pseudonym), nie die IP- oder E-Mail-Adresse selbst.
- Server: Betrieb in einem Rechenzentrum in Frankfurt am Main; administrativer Zugang zum Server nur für den Anbieter und nur verschlüsselt; die Anwendung läuft getrennt in Containern ohne Administratorrechte; Updates werden vor dem Einspielen automatisch geprüft.
- Datensicherung: tägliche Sicherung von Datenbank und Datenordner; Aufbewahrung 14 Tage auf dem Server und 30 Tage in einer Kopie beim Anbieter in Deutschland; eine Löschliste sorgt dafür, dass Gelöschtes nach dem Einspielen einer Sicherung gelöscht bleibt.
- Geheimnisse: Die Zugangsschlüssel des Anbieters zu Diensten liegen nur in der Umgebung des Servers – nicht in der Datenbank und nicht in der Oberfläche. Hinterlegt ein Kunde eigene Zugänge zu KI-Diensten, speichert der Anbieter diese Schlüssel verschlüsselt; die Oberfläche zeigt davon nur die letzten vier Zeichen. Speichert ein Kunde auf eigenen Wunsch einen Zugang zu einer Datenquelle (Google, Matomo, Microsoft Clarity) für die Folgeanalysen eines Jahrespakets, liegt dieser ebenso verschlüsselt in der Datenbank – längstens bis zur letzten Folgeanalyse des Pakets, zur Erstattung des Pakets, zur Löschung des Kontos oder bis der Kunde ihn trennt.
- Organisation: Zugriff auf Kundendaten nur, soweit es für Betrieb, Fehlerbehebung oder eine Anfrage des Kunden nötig ist; Exporte personenbezogener Daten durch den Anbieter werden vermerkt.
Anlage 2 – Unterauftragnehmer
Welcher Anbieter welche Aufgabe übernimmt, legen die Einstellungen der Plattform fest; die Liste zeigt den Stand von heute. Die Berichtstexte schreibt OpenAI, die Vorschläge im Bestellformular OpenAI; der KI-Assistent läuft über OpenAI, die Übersetzung von Berichten über OpenAI; zur Sichtbarkeit in KI-Antworten befragen wir ChatGPT, Gemini, Perplexity und Claude.
Hostinger International Ltd.
- Leistung
Server (VPS): Betrieb der Anwendung und Speicherung aller Daten
- Ort der Verarbeitung
Zypern (Sitz); Rechenzentrum in Frankfurt am Main, Deutschland
- Daten
alle Daten nach Ziffer 2
Resend
- Leistung
- Versand von E-Mails (Einladungen, Anmeldelinks, Hinweise zum Kontingent, „Bericht ist fertig“)
- Empfang von E-Mails an die Adressen des Anbieters
- Ort der Verarbeitung
USA – EU-US Data Privacy Framework (zertifiziert)
- Daten
Name, E-Mail-Adresse, Inhalt der jeweiligen Nachricht – bei Einladungen auch die persönliche Nachricht des Team-Admins
OpenAI Ireland Ltd.
- Leistung
- Berichtstexte (Analysemodell)
- Vorschläge im Bestellformular
- KI-Assistent
- Übersetzung von Berichten
- Abfragen zur Sichtbarkeit in ChatGPT
- Ort der Verarbeitung
Irland; Zugriff aus den USA auf Grundlage der EU-Standardvertragsklauseln
- Daten
- Berichtstexte: Inhalte der analysierten Website – auch dort genannte Personen –, Messwerte und die Angaben zur Analyse (Firma, Branche, Region, Ziele, Zielgruppe, Wettbewerber); hat der Kunde sie verbunden, auch Daten aus der Search Console (Suchanfragen und Seiten mit Klicks, Impressionen, Klickrate, Position) und aus Google Analytics (Name der Property; Sitzungen, Interaktion und Conversions je Kanal, Einstiegsseite, Gerät und Land).
- Vorschläge: Adresse, Titel, Beschreibung, Überschriften und ein Textauszug der Startseite, der Text des Impressums und der Firmenname.
- KI-Assistent: die Nachrichten des Mitglieds und – wenn es danach fragt – Inhalte der Analysen sowie Angaben aus seinem Konto und zum Team: Name, E-Mail-Adresse, angemeldete Geräte (ohne IP-Adresse), Rolle, Rechte und Verbrauch, beim Team-Admin auch Angaben zum Abo; Rechnungsanschrift und USt-IdNr., soweit im Konto hinterlegt.
- Übersetzung: die Texte des Berichts.
- Sichtbarkeit: Fragen zur analysierten Website, Marke und Branche.
Anthropic Ireland, Limited
- Leistung
- Abfragen zur Sichtbarkeit in Claude
- Websuche nach Wettbewerbern
- Ort der Verarbeitung
Irland; Zugriff aus den USA auf Grundlage der EU-Standardvertragsklauseln
- Daten
- Sichtbarkeit: Fragen zur analysierten Website, Marke und Branche.
- Wettbewerber: Domain, Angebot und Region der analysierten Website.
- Keine Konto- oder Mitgliederdaten.
Google Ireland Limited / Google LLC
- Leistung
- Abfragen zur Sichtbarkeit in Gemini
- Messung der Ladezeiten mit PageSpeed Insights und Chrome UX Report
- Entität bei Google (Knowledge Graph, Natural Language)
- Search Console – nur, wenn der Kunde sie für eine Analyse verbindet
- Google Analytics – nur, wenn der Kunde es für eine Analyse freigibt
- Google Tag Manager – nur, wenn der Kunde ihn für eine Analyse freigibt
- Ort der Verarbeitung
Irland und USA – Google LLC zertifiziert nach dem EU-US Data Privacy Framework
- Daten
- Sichtbarkeit: Fragen zur analysierten Website, Marke und Branche.
- Ladezeiten: Adressen der geprüften Seiten.
- Entität: Firmenname und Textauszüge der Startseite und der Über-uns-Seite der analysierten Website.
- Search Console: die Anmeldung bei Google; gelesen werden Klick- und Suchdaten der verbundenen Website.
- Google Analytics: die Anmeldung bei Google; gelesen werden zusammengefasste Besuchsdaten der verbundenen Website (Sitzungen, Kanäle, Einstiegsseiten, Geräte, Länder, Conversions), keine Daten einzelner Besucher.
- Google Tag Manager: die Anmeldung bei Google; gelesen wird die veröffentlichte Version des Containers der verbundenen Website (Arten und Namen der Tags, Mess-IDs, Einstellungen zur Einwilligung), keine Daten von Besuchern.
- Keine Konto- oder Mitgliederdaten.
Perplexity AI, Inc.
- Leistung
Abfragen zur Sichtbarkeit in Perplexity
- Ort der Verarbeitung
USA – EU-Standardvertragsklauseln; keine Speicherung der Anfragen
- Daten
- Sichtbarkeit: Fragen zur analysierten Website, Marke und Branche.
- Keine Konto- oder Mitgliederdaten.
DataForSEO OÜ
- Leistung
- Suchergebnisse, Kennzahlen zu Suchbegriffen und Backlinks
- Unternehmensprofil, Bewertungen, Erwähnungen und Antworten von KI-Suchen zur analysierten Website
- Ort der Verarbeitung
Estland (EU)
- Daten
Suchbegriffe, Domains, Firmenname und Fragen zur analysierten Website; Namen von Personen, die die analysierte Website selbst als Inhaber oder Autoren nennt (Suche nach beruflichen Profilen) – keine Konto- oder Mitgliederdaten
ElevenLabs (Eleven Labs Inc.)
- Leistung
Vertonung des Analysevideos – nur mit dem Zusatzmodul
- Ort der Verarbeitung
USA – EU-US Data Privacy Framework (zertifiziert)
- Daten
der Sprechtext des Videos: Firma, Website und Ergebnisse der Analyse – keine Konto- oder Mitgliederdaten
Zahlungen wickelt Stripe Payments Europe, Limited (Irland) als eigener Verantwortlicher ab; Stripe erhält dafür die Rechnungsdaten des Kunden, keine Daten der Mitglieder.
Die Anwendung ruft außerdem Dienste auf, die keine Daten der Mitglieder und keine Daten über Personen erhalten: die Schnittstelle VIES der Europäischen Kommission (die USt-IdNr. des Kunden), „Pwned Passwords“ von Have I Been Pwned (die ersten 5 Zeichen eines Prüfwerts, wenn jemand ein Passwort festlegt) sowie öffentliche Register und Archive für die Analyse – Wikidata, die Wikimedia Foundation (Aufrufzahlen eines Wikipedia-Artikels), Domain-Register (RDAP), Internet Archive, Verzeichnisse von TLS-Zertifikaten, Common Crawl, HTTP Archive, die Werbebibliotheken von Google und Meta und Brave Search; sie erhalten Domain und Firmenname der analysierten Website, Wikimedia den Titel des Artikels.