TrackdolphinVertrag zur Auftragsverarbeitung
Stand: 3. September 2026
Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen (trackdolphin.com/docs/agb) und gilt zwischen dem Kunden als Verantwortlichem und der Trackdolphin Ltd, 70 Kennedy Ave., Papavassiliou Bldg, Office 201/202, 2nd Floor, 1076 Nicosia, Zypern, als Auftragsverarbeiter. Er kommt mit der Registrierung zustande; auf Wunsch stellen wir ihn als unterzeichnete Fassung zur Verfügung.
1. Gegenstand und Dauer
Trackdolphin nimmt Ereignisse aus den Shops und Websites des Kunden entgegen, speichert sie, dedupliziert sie, ordnet sie Besuchern und Personen zu und leitet sie an die vom Kunden verbundenen Werbeplattformen weiter. Die Verarbeitung dauert so lange wie der Nutzungsvertrag.
2. Art und Zweck der Verarbeitung, Datenarten, Betroffene
Zweck: Messung und Zuordnung von Conversions zu Werbekampagnen des Kunden.
Datenarten: Ereignisart, Zeitpunkt, Wert, Währung, Positionen; Seiten-URL und Referrer; Klick-Kennungen der Werbeplattformen (gclid, fbclid, ttclid, msclkid, epik u. a.); IP-Adresse und User-Agent; Einwilligungsstand; eine zufällige First-Party-Besucherkennung; pseudonymisierte Kundennummer; E-Mail-Adresse, Telefonnummer, Name und Anschrift ausschließlich als SHA-256-Hash.
Betroffene: Besucher und Kunden der Shops und Websites des Kunden.
3. Weisungen
Trackdolphin verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen erteilt der Kunde durch die Konfiguration im Dashboard, durch die Einbindung von Plugin, SDK oder API und durch das Verbinden von Werbeplattformen. Hält Trackdolphin eine Weisung für rechtswidrig, weist es den Kunden unverzüglich darauf hin.
4. Pflichten von Trackdolphin
- Trackdolphin verarbeitet Daten nur im Europäischen Wirtschaftsraum, außer der Kunde weist die Weitergabe an eine Werbeplattform mit Sitz außerhalb an; für diese Weitergabe ist der Kunde Verantwortlicher.
- Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
- Trackdolphin trifft die technischen und organisatorischen Maßnahmen nach Abschnitt 6.
- Trackdolphin unterstützt den Kunden bei der Beantwortung von Anfragen Betroffener und bei Datenschutz-Folgenabschätzungen, soweit es die Daten betrifft, die Trackdolphin verarbeitet.
- Trackdolphin meldet dem Kunden Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO.
- Nach Ende des Vertrags löscht Trackdolphin die Daten innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Der Kunde kann seine Daten vorher exportieren.
- Trackdolphin stellt dem Kunden die Informationen bereit, die zum Nachweis der Pflichten nach Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach angemessener Ankündigung, in der Regel durch Vorlage von Berichten und Dokumentation.
5. Unterauftragsverarbeiter
Der Kunde stimmt der Einschaltung folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Hetzner Online GmbH, Gunzenhausen | Server, Datenbanken, Collector | Nürnberg, Deutschland |
| Cloudflare, Inc., San Francisco | Auslieferung von Dashboard und Website, DNS, Schutz vor Angriffen | EU, gemäß Data Privacy Framework |
| Functional Software, Inc. (Sentry), San Francisco | Fehlermeldungen | Frankfurt, Deutschland |
Werbeplattformen, die der Kunde verbindet, sind keine Unterauftragsverarbeiter, sondern Empfänger, an die Trackdolphin auf Weisung des Kunden übermittelt.
Trackdolphin kündigt neue oder geänderte Unterauftragsverarbeiter mindestens 30 Tage vorher per E-Mail an. Der Kunde kann aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag zum Wirksamwerden der Änderung kündigen.
6. Technische und organisatorische Maßnahmen
- Zugang: Zugriff auf Produktionssysteme nur über persönliche Konten mit Zwei-Faktor-Authentifizierung und Hardware-Schlüsseln; Server nur über ein privates Netz erreichbar, öffentlich nur die Ports 80 und 443.
- Verschlüsselung: Transport ausschließlich über TLS. Zugangsdaten der Werbeplattformen mit AES-256-GCM verschlüsselt; Kontaktdaten Betroffener nur als SHA-256-Hash; Klartext wird vom Collector abgewiesen.
- Trennung: Daten jedes Kunden sind über Konto- und Shop-Kennungen logisch getrennt; jede Abfrage ist an das Konto gebunden.
- Protokollierung: Zugriffe und Änderungen an Verbindungen werden protokolliert; Zustellungen an Plattformen sind je Ereignis nachvollziehbar.
- Verfügbarkeit: Tägliche Sicherung der Datenbank mit 30 Tagen Aufbewahrung; Wächter, der Ausfälle der Messung meldet.
- Einwilligung: Der Einwilligungsstand wird mit jedem Ereignis gespeichert und bei der Weiterleitung ausgewertet.
- Organisation: Geheimnisse liegen in einem Secret-Manager, nicht im Quellcode; Deployments sind versioniert und nachvollziehbar.
7. Haftung
Für die Haftung gilt Abschnitt 9 der Allgemeinen Geschäftsbedingungen. Die Haftung nach Art. 82 DSGVO bleibt unberührt.
8. Schlussbestimmungen
Es gilt das Recht der Republik Zypern. Bei Widersprüchen zwischen diesem Vertrag und den Allgemeinen Geschäftsbedingungen geht dieser Vertrag vor, soweit es die Verarbeitung personenbezogener Daten betrifft.