Gegenstand
Dieser Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO gilt zwischen dem Kunden (Verantwortlicher), der das Surfaced-Analytics-Snippet einbindet, und der Surfaced GmbH, Europaplatz 5, 3100 St. Pölten (Auftragsverarbeiter). Er ergänzt die AGB und die Datenschutzerklärung.
Zweck und Art
Zweck: Messung und Auswertung von Website-Besuchen mit Bezug zu KI-Quellen, optional Lead-/Umsatz-Ereignisse und Firmen-Zuordnung (tarifabhängig), Darstellung im Dashboard und Exporte.
Art: Erhebung, Speicherung, Organisation, Auslesen, Verwendung, Löschung.
Daten und Betroffene
Technische Event-Daten (URL, Referrer, UTM, Zeitstempel, Gerätetyp), pseudonyme Besucher-ID (localStorage), IP kurzzeitig (Business: Firmen-Zuordnung ohne dauerhafte IP-Speicherung), freiwillig übermittelte E-Mails (E-Mail-Wall), optional Kauf-Metadaten.
Betroffene: Website-Besucher und Personen, die über die E-Mail-Wall Daten hinterlassen. Keine Verarbeitung besonderer Kategorien nach Art. 9 DSGVO.
Pflichten Surfaced
Verarbeitung nur auf dokumentierte Weisung (Produktfunktion/AGB); Vertraulichkeit; geeignete TOMs (TLS, Zugriffsbeschränkung, Auth); Unterstützung bei Betroffenenrechten und Meldungen; Löschung binnen 30 Tagen nach Vertragsende, soweit keine Aufbewahrungspflicht; Unterauftragsverarbeiter nur wie unten.
Pflichten Kunde
Der Kunde ist für die Rechtmäßigkeit der Erhebung auf seiner Website verantwortlich (Rechtsgrundlage, Information, Consent soweit nötig) und erteilt nur rechtmäßige Weisungen.
Unterauftragsverarbeiter
- Vercel Inc. — Hosting (USA, DPF/SCCs)
- Supabase Inc. — Datenbank und Auth
- Stripe Payments Europe Ltd. — Zahlung (Konto/Abo)
- MaxMind — GeoLite2-Datenbasis (Firmen-/Geo)
Änderungen werden mit angemessener Frist angekündigt; bei Widerspruch aus wichtigem datenschutzrechtlichem Grund kann der Kunde zum Wirksamkeitszeitpunkt kündigen.
TOMs (Kurz)
TLS-Übertragung, Least Privilege, Dashboard-Authentifizierung, verschlüsselte Passwort-Speicherung, sicherheitsrelevantes Logging, kundenseitige Trennung auf Anwendungsebene.
Schluss
Österreichisches Recht. Gerichtsstand — soweit zulässig — Sitz Surfaced GmbH. Akzeptanz erfolgt mit Kontoanlage/Checkout bzw. Einbindung des Snippets. Stand: Juli 2026.