Auftragsverarbeitungsvertrag (AVV)

Hauptteil: Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915 vom 4. Juni 2021, Modul „Verantwortlicher-Auftragsverarbeiter”, Klauseln 1 bis 10 — wortgleich übernommen via Verweis. Volltext: eur-lex.europa.eu — CELEX:32021D0915.

Vertragsparteien

Auftragsverarbeiter (Anbieter):
Wagner IT-Solutions e.U.
Adelheid-Popp-Gasse 14/1/36, 1220 Wien, Österreich
FN 609574h, Handelsgericht Wien
GISA-Zahl 34399071
UID-Nummer: ATU83298959 (nach Art. 28 UStG, ausschließlich für den innergemeinschaftlichen Leistungsbezug — es wird keine Umsatzsteuer verrechnet)
E-Mail Datenschutz: datenschutz@instantpage.at

Verantwortlicher (Kunde): Firmenwortlaut, Geschäftsanschrift, Firmenbuchnummer und Kontaktdaten gemäß den im Plattform-Konto hinterlegten Stammdaten; bei individuell erstellten Websites ohne Plattform-Konto (§ 2 Abs. 3) gemäß den Angaben im Impressum der betriebenen Website.

Präambel

Der Verantwortliche nutzt instantpage.at zur Erstellung und zum Betrieb einer Unternehmens-Website — entweder über die Selbstbedienungs-Plattform oder als individuell erstellte Website (§ 2 Abs. 3). Im Rahmen dieser Nutzung kann es zur Verarbeitung personenbezogener Daten von Endnutzern (Besuchern der Kunden-Website) durch den Auftragsverarbeiter im Auftrag des Verantwortlichen kommen — etwa bei der Weiterleitung von Kontaktanfragen, der Speicherung von Bewertungen oder der Auslieferung von Bildern mit Personenabbildungen.

Dieser Auftragsverarbeitungsvertrag (im Folgenden „AVV”) regelt die Rechte und Pflichten der Parteien gemäß Art. 28 DSGVO.

§ 1 Gegenstand und Aufbau dieses AVV

(1) Der AVV setzt sich zusammen aus:

• a) den nachstehenden besonderen Bestimmungen (§§ 1–3),
• b) dem Hauptteil — den Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/915 der Europäischen Kommission vom 4. Juni 2021, Modul „Verantwortlicher-Auftragsverarbeiter”, Klauseln 1 bis 10, die durch Verweis Bestandteil dieses AVV sind und vom Verantwortlichen mit der Annahme dieses AVV ausdrücklich als wortgleich übernommen akzeptiert werden,
• c) den Anhängen I bis IV dieses AVV.

(2) Im Falle von Widersprüchen zwischen den nachstehenden besonderen Bestimmungen, dem Hauptteil und den Anhängen gilt folgende Rangordnung: zwingende Bestimmungen des Hauptteils (SCC) → Anhänge → besondere Bestimmungen.

(3) Der Hauptteil ist abrufbar unter: eur-lex.europa.eu/legal-content/DE/TXT/HTML/?uri=CELEX:32021D0915.

§ 2 Geltungsbereich

(1) Dieser AVV gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Rahmen der Plattform-Nutzung oder des Betriebs einer individuell erstellten Website (Abs. 3) im Auftrag des Verantwortlichen ausführt.

(2) Verarbeitungen, die der Auftragsverarbeiter zur Erfüllung des Hauptvertrags für eigene Zwecke vornimmt (Vertragsabwicklung, Plattform-Konto-Verwaltung, Abrechnung), unterliegen der Datenschutzerklärung des Anbieters und sind nicht Gegenstand dieses AVV.

(3) Individuell erstellte Websites. Dieser AVV gilt auch dann, wenn der Auftragsverarbeiter die Website des Verantwortlichen nicht über die Selbstbedienungs-Plattform, sondern als individuell erstelltes Website-Paket auf derselben Infrastruktur betreibt (Auslieferung über Cloudflare, Weiterleitung von Formular-Anfragen über Resend, kein Plattform-Konto). Er gilt unabhängig davon, ob für Erstellung und Betrieb ein Entgelt vereinbart ist.

(4) Funktionsumfang. Die Anhänge I, III und IV beschreiben den vollen Funktionsumfang von instantpage.at und gelten in vollem Umfang. Funktionen, die für die Website eines Verantwortlichen nicht aktiviert sind, lösen dort keine Verarbeitung aus; der Umfang dieses AVV wird dadurch nicht verengt. Welche Funktionen für eine Website aktiviert sind, wird bei Plattform-Websites durch den gewählten Plan bestimmt und bei individuell erstellten Websites (Abs. 3) in der Annahme nach § 3 Abs. 1 benannt und im Verzeichnis nach § 3 Abs. 2 festgehalten.

§ 3 Annahme und Form

(1) Der AVV wird zwischen Verantwortlichem und Auftragsverarbeiter elektronisch geschlossen. Die Annahme erfolgt durch ausdrücklichen Bestätigungs-Klick im Bestellprozess oder spätestens vor der erstmaligen Veröffentlichung einer Website unter *.instantpage.at. Besteht kein Plattform-Konto (§ 2 Abs. 3), erfolgt die Annahme schriftlich in elektronischer Form (Art. 28 Abs. 9 DSGVO); eine E-Mail des Verantwortlichen, die den angenommenen Stand dieses AVV, die für seine Website aktivierten Funktionen und eine Adresse für Mitteilungen nach diesem AVV benennt, genügt. Benennt die Erklärung keine Mitteilungsadresse, gilt ihre Absenderadresse als Mitteilungsadresse. Fehlt die Angabe der aktivierten Funktionen, berührt das weder die Wirksamkeit der Annahme noch den Umfang dieses AVV (§ 2 Abs. 4).

(2) Die Annahme wird mit Zeitstempel, IP-Adresse, User-Agent, akzeptierter AVV-Version und deren Stand-Datum im Aktivitätenprotokoll des Verantwortlichen festgehalten (Audit-Trail). Bei Annahme in elektronischer Form nach Abs. 1 tritt an die Stelle des Aktivitätenprotokolls die aufbewahrte Erklärung des Verantwortlichen; der Auftragsverarbeiter führt darüber ein Verzeichnis, das je Website den angenommenen Stand, die aktivierten Funktionen und die Mitteilungsadresse festhält.

(3) Der jeweils geltende AVV-Stand ist unter instantpage.at/avv abrufbar. Für Websites, für die ein Plattform-Konto besteht, gilt § 14 der AGB (Anpassungs-Verfahren) für Änderungen dieses AVV sinngemäß. Im Übrigen teilt der Auftragsverarbeiter wesentliche Änderungen mindestens sechs Wochen vor Wirksamwerden per E-Mail an die Mitteilungsadresse nach Abs. 2 mit; widerspricht der Verantwortliche innerhalb dieser Frist, tritt die Änderung ihm gegenüber nicht in Kraft, und er kann die Auftragsverarbeitung zum Wirksamwerden der Änderung beenden. Macht er davon Gebrauch, werden die Daten nach Anhang I.4 herausgegeben und gelöscht.

Anhang I — Beschreibung der Verarbeitung

I.1 Gegenstand der Verarbeitung

Die folgende Aufstellung beschreibt den vollen Funktionsumfang. Funktionen, die für die Website eines Verantwortlichen nicht aktiviert sind, lösen dort keine Verarbeitung aus; der Umfang dieses AVV wird dadurch nicht verengt (§ 2 Abs. 4).

• Hosting der vom Verantwortlichen betriebenen Website
• Bereitstellung von Funktionen zur KI-gestützten Text- und Inhaltsgenerierung auf Weisung des Verantwortlichen
• Weiterleitung der Anfragen aus dem Kontaktformular als Pure-Forwarder via Resend an die vom Verantwortlichen hinterlegte Mailbox
• Speicherung von Bewertungen, die der Verantwortliche selbst auf seiner Website einträgt (können den Namen genannter Personen enthalten)
• Speicherung und Auslieferung von vom Verantwortlichen bereitgestellten Bildern und Dokumenten (hochgeladen oder aus der bisherigen Website des Verantwortlichen übernommen)
• Cookielose Reichweitenmessung der Website-Nutzung (auf allen Plänen)
• Bereitstellung der Auswertung im Portal und als Monatsreport (sofern Professional-Plan aktiviert)
• Custom-Hostname-Provisionierung: Übermittlung des vom Verantwortlichen verbundenen Domainnamens an Cloudflare zur Einrichtung des Custom-Hostname-Routings und zur SSL-Zertifikatsausstellung (nur Professional-Plan, auf Veranlassung des Verantwortlichen)

I.2 Art der Verarbeitung

Erheben, Speichern, Strukturieren, Verändern (durch Endnutzer- oder Verantwortlichen-Eingaben), Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Verbreitung oder eine andere Form der Bereitstellung, Löschen oder Vernichten.

I.3 Zweck der Verarbeitung

Betrieb der Website des Verantwortlichen, Erstellung der Website-Inhalte aus den Angaben des Verantwortlichen unter Einsatz von KI-Sprachmodellen, Zustellung von Endnutzer-Anfragen an den Verantwortlichen, statistische Auswertung der Website-Nutzung, technische Sicherheit und Bot-Abwehr.

I.4 Dauer der Verarbeitung

Bei Websites mit Plattform-Konto: für die Laufzeit des Hauptvertrags zwischen Verantwortlichem und Auftragsverarbeiter zuzüglich Grace-Zeitraum von insgesamt 90 Tagen (30 Tage Reaktivierung + 60 Tage Soft-Delete; vgl. AGB § 11). Aktivitäts-Logs werden nach 12 Monaten anonymisiert, soweit nicht durch Sicherheits-Vorfälle länger erforderlich.

Bei individuell erstellten Websites, für die kein Plattform-Konto besteht (§ 2 Abs. 3): für die Dauer, in der der Auftragsverarbeiter die Website betreibt. Wird der Betrieb eingestellt — auf Verlangen des Verantwortlichen, mit Beendigung des zugrunde liegenden Vertrags oder nach § 3 Abs. 3 —, gibt der Auftragsverarbeiter die vom Verantwortlichen bereitgestellten Inhalte binnen 30 Tagen heraus und löscht danach alle verbleibenden Daten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Protokolle des vom Auftragsverarbeiter betriebenen Workers werden von der Protokollfunktion des Subprozessors Cloudflare längstens sieben Tage vorgehalten; eine eigene, darüber hinausgehende Zugriffsprotokollierung (Logpush, Logpull) betreibt der Auftragsverarbeiter nicht. Zugriffsdaten, die Cloudflare bei der Auslieferung verarbeitet (IP-Adresse, User-Agent, Referrer, abgeleitete Standortdaten), verarbeitet Cloudflare als Subprozessor nur so lange, wie das zur Erbringung der vertraglich vereinbarten Leistungen erforderlich ist, längstens bis zur Beendigung des Vertrags zwischen Auftragsverarbeiter und Cloudflare, soweit keine rechtliche Verpflichtung zu einer weiteren Aufbewahrung besteht (Cloudflare-DPA, Annex 1 und Ziffer 3.1(i)); eine feste Tagesfrist nennt Cloudflare dafür nicht (Anhang IV.2).

I.5 Kategorien betroffener Personen

• Endnutzer der Kunden-Website (Besucher, die das Kontaktformular nutzen)
• Personen, die in den vom Verantwortlichen eingetragenen Bewertungen namentlich genannt werden
• Mitarbeiter / Vertretungsberechtigte des Verantwortlichen, sofern auf Team-Fotos abgebildet
• Externe Geschäftspartner des Verantwortlichen, sofern auf der Website namentlich genannt (z. B. Partner-Block)

I.6 Kategorien personenbezogener Daten

• Kontaktdaten der Endnutzer: Name, E-Mail, Telefonnummer (Eingabe im Kontaktformular)
• Inhalt von Anfragen: Freitext-Nachricht im Kontaktformular
• Bewertungs-Daten: vom Verantwortlichen eingetragener Bewertungstext, ggf. genannter Name, Sterne-Bewertung
• Bild- und Dokument-Daten: vom Verantwortlichen bereitgestellte Fotos (hochgeladen oder aus seiner bisherigen Website übernommen) mit möglichen Personenabbildungen (z. B. Team, Mitarbeiter) sowie hochgeladene Dokumente (z. B. Speisekarte, Katalog, Preisliste), die Namen, Abbildungen oder Kontaktdaten Dritter enthalten können
• Technische Daten: IP-Adresse, User-Agent, Referrer sowie von Cloudflare abgeleitete Standortdaten (Land, Region, Stadt, Postleitzahl, ungefähre Koordinaten) in den Protokollen des ausliefernden Workers (von Cloudflare längstens sieben Tage vorgehalten)
• Messdaten der Reichweitenmessung: Seitenaufruf, Referrer, Geräte-/Browserklasse sowie technische Performance-Werte (Ladezeiten) — cookielos erhoben, ohne Speicherung der IP-Adresse und ohne Wiedererkennung einzelner Besucher

I.7 Besondere Datenkategorien (Art. 9 DSGVO)

NICHT umfasst. Das Kontaktformular sieht kein Feld für besondere Datenkategorien vor; der Verantwortliche ist gehalten, bei reglementierten Berufen (insbesondere Heilberufe) keine Erhebung von Gesundheits- oder anderen besonderen Daten zu veranlassen. Verstöße des Verantwortlichen gegen dieses Verbot liegen außerhalb der Auftragsverarbeitung.

Anhang II — Technisch-organisatorische Maßnahmen (TOMs)

Die technisch-organisatorischen Maßnahmen des Auftragsverarbeiters umfassen insbesondere:

Vertraulichkeit:

• Zugangskontrolle (Supabase Auth, JWT-Session; Passwörter ausschließlich gesalzen und kryptografisch gehasht, niemals im Klartext)
• Pflicht-2FA für Admin-Accounts
• Row-Level-Security auf allen Daten-Tabellen
• TLS 1.3 In-Transit-Verschlüsselung
• AES-256 At-Rest-Verschlüsselung (Supabase + Cloudflare R2)

Integrität:

• URL-Escaping und Zod-Schema-Validation an allen Endpoints
• Audit-Logs in Supabase mit 12 Monaten Retention

Verfügbarkeit:

• Backups: Supabase Pro mit täglichen Backups (7 Tage Aufbewahrung) + eigener Daily-Backup-Mirror nach Cloudflare R2 (30 Tage rolling)
• Storage-Sync zu R2 mit 30 Tagen rolling
• DDoS-Schutz und WAF via Cloudflare
• Rate-Limits auf Anwendungsebene: Login und Website-Import je 5×/Minute pro IP; Neu-Generierung 3×/30 Tage; ressourcenintensive Generierung zusätzlich über ein Budget pro Auftrag begrenzt

Belastbarkeit + Wiederherstellbarkeit:

• Dokumentierter Disaster-Recovery-Plan
• RTO 4h
• RPO 24h (tägliche Backups)

Verfahren regelmäßiger Überprüfung:

• Quartalsweiser Self-Check
• Quartalsweise Backup-Restore-Tests
• Penetration-Test optional ab 100 Kunden

Auftragskontrolle:

• Keine Subprozessor-Beauftragung ohne dokumentierten Vertrag
• Öffentliche Subprozessor-Liste unter instantpage.at/subprozessoren
• DPAs mit allen Subprozessoren (siehe Anhang III)

Wesentliche Änderungen werden dem Verantwortlichen vor Inkrafttreten mitgeteilt.

Anhang III — Subprozessoren

III.1 Liste der eingesetzten Subprozessoren

Eine immer aktuelle Liste mit Sign-off-Datum ist unter instantpage.at/subprozessoren abrufbar. Die folgenden Anbieter sind im Auftragsverarbeitungs-Kontext eingesetzt:

• Cloudflare — DNS, CDN, Hosting (Workers + Pages), Protokollierung der Auslieferung (Workers Logs), Speicherung (R2), Custom Hostnames, Web Analytics, Auslesen der Import-Ziel-URL beim optionalen Onboarding-Import (Browser Run)
  Verarbeitungsort: USA-Mutterkonzern; Edge-Netz global. Datenhaltende Komponenten EU-gelockt: R2 mit Jurisdiction EU (Hard-Constraint).
  Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter aktiv zertifiziert)
• Supabase — Datenbank, Storage, Authentifizierung
  Verarbeitungsort: Frankfurt (EU)
  Drittland-Bezug: nein
• Stripe — Zahlungsabwicklung
  Verarbeitungsort: Irland (Vertragspartner Stripe Payments Europe, Ltd.); konzerninterne Weiterübermittlung an Stripe, LLC (USA)
  Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter aktiv zertifiziert)
• Anthropic — KI-Sprachmodell (Claude) für Text-Generierung und Import-Klassifizierung
  Verarbeitungsort: USA
  Drittland-Bezug: ja (Standardvertragsklauseln der EU-Kommission, Durchführungsbeschluss (EU) 2021/914; Anbieter nicht DPF-zertifiziert)
• Microsoft 365 — E-Mail-Postfächer (Exchange Online + Protection); weitere Workloads im Tenant nicht aktiv
  Verarbeitungsort: Tenant-Standort Österreich (Customer Data at Rest); zugesicherte Geografie EU/EFTA für operative Verarbeitungen
  Drittland-Bezug: nein (Verarbeitung innerhalb EU/EFTA)
• Resend — Versand unserer E-Mails: Konto- und Vertrags-Mails an Sie (Bestätigung der E-Mail-Adresse, Passwort-Zurücksetzen, E-Mail-Wechsel, Willkommen, Testphasen-Erinnerung) sowie Weiterleitung von Anfragen aus dem Kontaktformular Ihrer Website an Ihr Postfach
  Verarbeitungsort: USA mit EU-Servern
  Drittland-Bezug: ja (Standardvertragsklauseln der EU-Kommission; Anbieter zusätzlich im DPF-Verzeichnis eingetragen)
• Cloudflare Turnstile — Bot-Schutz auf Formularen (token-basiert, ohne Cookies)
  Verarbeitungsort: USA mit EU-Servern
  Drittland-Bezug: ja (EU-U.S. Data Privacy Framework; Anbieter aktiv zertifiziert)
• Hetzner — Weiterleitungs-Server für eigene Kunden-Domains: leitet Aufrufe der Domain ohne „www“ auf die www-Adresse weiter (nur bei gebuchter eigener Domain; verarbeitet dabei ausschließlich Verbindungsdaten, keine Inhalte)
  Verarbeitungsort: Deutschland/Finnland (EU)
  Drittland-Bezug: nein
• easyname.at — Domain-Registrierung
  Verarbeitungsort: Österreich
  Drittland-Bezug: nein

III.2 Genehmigung weiterer Subprozessoren

Der Verantwortliche erteilt mit Annahme dieses AVV die allgemeine Genehmigung zum Einsatz der in III.1 gelisteten Subprozessoren. Bei der Beauftragung neuer Subprozessoren wird der Verantwortliche mindestens 30 Tage vor Aktivierung per E-Mail informiert — an die im Plattform-Konto hinterlegte Adresse, bei Websites ohne Plattform-Konto an die Mitteilungsadresse nach § 3 Abs. 2.

Eine wesentliche Zweckerweiterung bei einem bereits gelisteten Subprozessor — eine neue Datenkategorie, ein neuer Verarbeitungsort oder eine neue Gruppe betroffener Personen — löst dieselbe Vorabinformation aus. Eine Erweiterung innerhalb einer bereits vereinbarten Kategorie löst sie nicht aus.

Der Verantwortliche kann der Beauftragung neuer Subprozessoren binnen 30 Tagen ab Mitteilung aus berechtigtem Grund (insbesondere bei datenschutzrechtlichen Bedenken) widersprechen. Im Falle eines berechtigten Widerspruchs hat der Auftragsverarbeiter folgende Optionen:

• a) Verzicht auf den neuen Subprozessor und Fortsetzung der Leistungserbringung mit bestehender Subprozessor-Struktur,
• b) Änderung der Leistungs-Architektur zur Wahrung der Datenschutz-Interessen,
• c) Soweit (a) und (b) wirtschaftlich nicht zumutbar sind: außerordentliches Kündigungsrecht des Verantwortlichen zum geplanten Inkrafttretens-Zeitpunkt des neuen Subprozessors.

III.3 Drittlands-Übermittlungen

Für Subprozessoren mit Sitz oder Datenverarbeitung in den USA stützt der Auftragsverarbeiter die Übermittlung auf folgende Garantien nach Art. 44 ff. DSGVO:

• Cloudflare (inkl. Turnstile) und Stripe: EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795); beide Anbieter sind im Verzeichnis des US-Handelsministeriums aktiv zertifiziert. Vertragspartner bei Stripe ist die Stripe Payments Europe, Ltd. (Irland); das DPF trägt deren konzerninterne Weiterübermittlung an Stripe, LLC (USA).
• Anthropic: Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 (Module 2 und 3), Bestandteil des Data Processing Addendum mit Anthropic. Anthropic ist nicht nach dem EU-U.S. Data Privacy Framework zertifiziert.
• Resend: Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914, Bestandteil des Data Processing Addendum mit Resend; Resend ist darüber hinaus im Verzeichnis des EU-U.S. Data Privacy Framework eingetragen.

Der Auftragsverarbeiter prüft quartalsweise den Verzeichnis-Status der DPF-gestützten Anbieter und den Fortbestand der vereinbarten Standardvertragsklauseln (letzte Prüfung: 5. September 2026).

Kopie der Garantien: Der amtliche Wortlaut der Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914 vom 4. Juni 2021) ist frei abrufbar bei EUR-Lex: eur-lex.europa.eu — CELEX:32021D0914. Die je Anbieter vereinbarte Fassung ist Bestandteil des dortigen Auftragsverarbeitungsvertrags und wird dem Verantwortlichen auf Anfrage an datenschutz@instantpage.at zur Verfügung gestellt (Art. 13 Abs. 1 lit. f DSGVO). Nicht zu verwechseln mit dem Hauptteil dieses Vertrags: Der besteht aus den Art.-28-Klauseln nach Durchführungsbeschluss (EU) 2021/915 (siehe § 1 Abs. 1 lit. b) — ein anderes Instrument, das am selben Tag ergangen ist.

Microsoft 365 ist trotz USA-Mutterkonzern KEIN US-Drittland-Subprozessor: Exchange Online + Exchange Online Protection haben den Tenant-Standort Österreich, Microsoft sichert für Customer Data at Rest die Geografie Österreich zu (im Administrationsbereich des Tenants überprüft am 8. September 2026). Zusätzliche operative Verarbeitungen (Anti-Spam-Routing, Support, Failover) können konzernintern innerhalb der zugesicherten EU/EFTA-Geografie stattfinden — eine USA-Übermittlung findet aktuell nicht statt. Weitere Microsoft-365-Workloads (Teams, OneDrive, SharePoint, Copilot, Viva) sind im Tenant nicht aktiviert. Bei Aktivierung weiterer Workloads wird der Verantwortliche gemäß § III.2 vorab informiert.

Bei Wegfall des Angemessenheitsbeschlusses (z. B. „Schrems-III”-Urteil) wird der Auftragsverarbeiter die bislang DPF-gestützten Übermittlungen (Cloudflare, Stripe) unverzüglich auf Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914 (Modul „Verantwortlicher-Verantwortlicher” bzw. „Verantwortlicher-Auftragsverarbeiter” je nach Konstellation) umstellen oder den Subprozessor wechseln. Die Übermittlungen an Anthropic und Resend stehen bereits auf Standardvertragsklauseln und sind von einem solchen Wegfall nicht unmittelbar betroffen.

Anhang IV — Datenkategorien-Liste

IV.1 Architektur-Hinweis: Pure-Forwarder-Prinzip für Form-Submissions

Die Anfragen aus dem Kontaktformular auf Kundenseiten werden als Pure Forwarder über Resend direkt an die vom Verantwortlichen hinterlegte Mailbox weitergeleitet. instantpage.at speichert die Inhalte dieser Anfragen NICHT in der eigenen Datenbank. Eine Erweiterung um eigene Speicherung (z. B. Portal-Inbox) erfolgt nur nach vorheriger AVV-Anpassung gemäß § 3 Abs. 3.

IV.2 Endnutzer-Daten (auf Kundenseiten)

IV.3 Kunden-Daten (Plattform-Konto auf instantpage.at)

Hinweis: Diese Verarbeitungen erfolgen NICHT im Auftrag, sondern für eigene Zwecke des Anbieters (Vertragsabwicklung). Sie sind hier zur Vollständigkeit aufgeführt und unterliegen der Datenschutzerklärung.

IV.4 Backup-Aufbewahrung