Rechtliches

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag (Art. 28 DSGVO) zwischen dem Kunden nach § 1 der AGB (dem Verantwortlichen) und Daniele Latino, Elberfelder Str. 101, 42477 Radevormwald (dem Auftragsverarbeiter, »Paginto«). Er gilt für alle Daten, die der Kunde oder die Besucher seiner veröffentlichten Seiten in der Plattform hinterlegen, und läuft so lange wie der Nutzungsvertrag. Er wird mit der Registrierung geschlossen; für bestehende Konten mit der Annahme in den Einstellungen. Zeitpunkt und Fassung der Annahme werden am Konto gespeichert.

Speicherung, Anzeige, Auswertung und Zustellung im Rahmen der Plattform-Funktionen: Entgegennahme von Anfragen, Buchungen und Bestellungen über die veröffentlichten Seiten, Kontakt- und Vorgangsverwaltung (CRM), Terminverwaltung, Angebots- und Rechnungsstellung sowie der Versand von Benachrichtigungen und Bestätigungen.

Betroffen sind Interessenten, Kunden und Besucher der veröffentlichten Seiten des Kunden sowie seine Teammitglieder. Datenarten: Namen, Kontaktdaten (E-Mail, Telefon), Inhalte von Anfragen und Nachrichten, Termin-, Bestell- und Rechnungsdaten sowie kurzzeitig technische Daten (IP-Adresse zur Missbrauchsbremse). Besondere Kategorien (Art. 9 DSGVO) sind nicht vorgesehen; der Kunde stellt sicher, dass er solche Daten nicht über die Plattform erhebt.

Paginto verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Weisungen erteilt der Kunde in erster Linie über die Funktionen der Plattform selbst (Anlegen, Ändern, Exportieren, Löschen); darüber hinaus in Textform an hallo@paginto.com. Hält Paginto eine Weisung für rechtswidrig, sagt es das, bevor es sie ausführt (Art. 28 Abs. 3 Satz 3 DSGVO).

Personen, die bei Paginto Zugang zu Kundendaten haben, sind auf Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO). Zugriff zur Unterstützung erfolgt nur zeitlich begrenzt, sichtbar angezeigt und protokolliert (Anlage 1).

Es gelten die Maßnahmen der Anlage 1 (Art. 32 DSGVO). Paginto darf sie fortschreiben, solange das Schutzniveau nicht sinkt; die jeweils gültige Fassung steht auf dieser Seite.

Der Kunde genehmigt allgemein den Einsatz der in Anlage 2 genannten Subunternehmer (Art. 28 Abs. 2 DSGVO). Änderungen der Anlage werden auf dieser Seite mit neuer Fassung veröffentlicht; der Kunde kann ihnen widersprechen und den Vertrag nach § 10 der AGB beenden. Mit jedem Subunternehmer besteht ein Vertrag nach Art. 28 Abs. 4 DSGVO.

Der Kunde beantwortet Betroffenenanfragen selbst; die Plattform gibt ihm dafür die Werkzeuge: Er kann Kontakte und Vorgänge einsehen, berichtigen und löschen und eine vollständige Datenkopie herunterladen (Einstellungen → Konto). Darüber hinaus unterstützt Paginto auf Anfrage in angemessenem Umfang (Art. 28 Abs. 3 lit. e und f DSGVO).

Paginto meldet dem Kunden eine Verletzung des Schutzes seiner Daten (Art. 33 Abs. 2 DSGVO) unverzüglich an die im Konto hinterlegte E-Mail-Adresse — mit dem, was zu diesem Zeitpunkt bekannt ist: Art der Verletzung, betroffene Daten, ergriffene Maßnahmen.

Paginto stellt dem Kunden die zum Nachweis der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung — diese Seite samt Anlagen ist der erste Nachweis. Weitergehende Auskünfte auf Anfrage an hallo@paginto.com; Prüfungen vor Ort nur nach Vereinbarung und im erforderlichen Umfang.

Nach Ende des Nutzungsvertrags gilt § 10 der AGB: Auf Verlangen löscht Paginto die Daten und bestätigt die Löschung; die Datenkopie (Einstellungen → Konto) ist die Rückgabe. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

Für Kunden, deren Datenbearbeitung dem Schweizer Datenschutzgesetz unterliegt, gilt dieser Vertrag als Vereinbarung nach Art. 9 revDSG; Verweise auf die DSGVO gelten sinngemäß als Verweise auf das revDSG, soweit es anwendbar ist.

· Übertragung: ausschließlich verschlüsselt (TLS) — für die Plattform und jede veröffentlichte Kundenseite. · Zugänge: Passwörter werden mit einem absichtlich langsamen Verfahren (scrypt) abgeleitet und nie im Klartext gespeichert; Sitzungen laufen über signierte, für Skripte nicht lesbare Cookies (httpOnly), enden nach 30 Tagen und können serverseitig zurückgezogen werden. · Mandantentrennung: strukturell erzwungen — jeder Datenzugriff ist an die Organisation gebunden, keine Route greift direkt auf die Datenbank zu. · Nachvollziehbarkeit: jede ändernde Aktion im laufenden Betrieb schreibt einen Eintrag ins Prüfprotokoll. Ausgenommen ist die Unterstützungs-Sitzung (nächster Punkt): Was Paginto dabei tut, wird bewusst NICHT in deine Protokollspur geschrieben, damit dort keine fremden Einträge zwischen deinen stehen. · Missbrauchsschutz: kurzzeitige, IP-basierte Bremsen an Anmeldung, Registrierung und Formulareingängen. · Unterstützungszugriff: nur als sichtbar angezeigter Wechsel in das Konto (ein Streifen am oberen Rand), längstens eine Stunde, über einen eigenen signierten Cookie und ohne Schreibrecht an Team, Konto und Zugängen (Abschnitt 8 der Datenschutzerklärung). · Löschwege: Papierkorb mit Wiederherstellung und endgültige Löschung samt zugehöriger Dateien — beides als Selbstbedienung. Die Löschung des GESAMTEN Kontos erfolgt auf Verlangen an hallo@paginto.com und wird bestätigt (§ 11 dieses Vertrags, § 10 der AGB); eine Datenkopie lädst du vorher selbst herunter. · Speicherung und Sicherung: bei den Dienstleistern der Anlage 2; Verschlüsselung im Ruhezustand und Sicherungskopien nach deren Herstellerstandard. Die genauen Aufbewahrungsfristen der Sicherungen sind noch nicht dokumentiert — Auskunft auf Anfrage. · Organisatorisch: Zugriff auf die Verwaltung hat derzeit ausschließlich der Betreiber persönlich, von einem vollverschlüsselten Arbeitsgerät; künftiges Personal wird vor Zugriff auf Vertraulichkeit verpflichtet.

Kategorien der eingesetzten Subunternehmer (Namen und Verarbeitungsort nennen wir auf Anfrage an hallo@paginto.com): · Betrieb der Server und Auslieferung der Seiten · Betrieb der Datenbank · Speicherung hochgeladener Dateien (Bilder, Logos) · Versand der System-E-Mails · Ein Anbieter von KI-Sprachmodellen — nur wenn der Kunde eine Website erzeugen lässt; dann wird sein Briefing dorthin übermittelt. Dieser Anbieter verarbeitet in USA. Die Übermittlung stützt sich auf die Standardvertragsklauseln der EU-Kommission nach Art. 46 DSGVO; eine Kopie erhältst du auf Anfrage.