nach Art. 28 DSGVO · Fassung 2026-09-28 · Stand: 28.09.2026
Dieser Vertrag gilt zwischen der Nutzerin bzw. dem Nutzer von PulsePilot, die bzw. der auf einem SmartLink oder einer Artist-Page Daten von Besuchern verarbeiten lässt („Verantwortlicher“), und dem Anbieter von PulsePilot („Auftragsverarbeiter“):
Timo Schneider c/o best4media Medienvertrieb Carlo Grande Rabenstr. 6 75173 Pforzheim E-Mail: admin@fadedmind.de
Er wird geschlossen, indem der Verantwortliche im Editor von PulsePilot die Zustimmung per Checkbox erklärt. Zeitpunkt und Fassung der Zustimmung werden gespeichert. Der Vertrag ergänzt die Nutzungsvereinbarung über PulsePilot; bei Widersprüchen in Fragen des Datenschutzes geht dieser Vertrag vor.
1. Gegenstand und Dauer
Der Auftragsverarbeiter stellt dem Verantwortlichen öffentliche Fan-Seiten bereit – SmartLinks (Adressen unter /s/…) und Artist-Pages (Adressen unter /artist/…) – und verarbeitet dabei personenbezogene Daten der Besucher im Auftrag des Verantwortlichen. Das umfasst je nach Einstellung des Verantwortlichen:
die Auslieferung der Seiten und eine Besuchs- und Klickstatistik,
die Erfassung von E-Mail-Adressen für die E-Mail-Liste des Verantwortlichen mit Double-Opt-in,
die Einbindung von Tracking-Pixeln (Meta, TikTok, Google Analytics) nach Einwilligung der Besucher sowie die serverseitige Übermittlung von Ereignissen an die Meta Conversions API,
auf Veranlassung des Verantwortlichen die Übermittlung gehashter E-Mail-Adressen an Meta (Custom Audience),
den Export und die Löschung dieser Daten durch den Verantwortlichen.
Der Vertrag gilt, solange der Auftragsverarbeiter solche Daten für den Verantwortlichen verarbeitet, längstens bis zum Ende der Nutzungsvereinbarung und der Löschung nach Ziffer 9.
2. Art der Daten und Kategorien Betroffener
Betroffen sind Besucherinnen und Besucher der Fan-Seiten sowie Abonnentinnen und Abonnenten der E-Mail-Liste.
Fan-E-Mail-Kontakte: E-Mail-Adresse, Quelle (SmartLink), Zeitpunkt der Anmeldung, der Bestätigung und ggf. der Abmeldung.
Einwilligungsnachweise: Wortlaut und Version der Einwilligung, Zeitpunkt, Hash der IP-Adresse, User-Agent.
Besuchs- und Klickdaten: Zeitpunkt, Browser/Betriebssystem, Sprache, verweisende Seite, Kampagnenparameter, gewählte Plattform; bei Klicks zusätzlich IP-Adresse, ungefährer Standort (Land, Region, Stadt) und Kennzeichen für Werbeklicks; pseudonyme Fan-Profile zur Zusammenführung von Klicks.
Pixel-/Conversion-Daten (nur nach Einwilligung der Besucher): Cookie-Kennungen (z. B. _fbp, _fbc), Klick-Kennungen, IP-Adresse und User-Agent zur Übermittlung an den vom Verantwortlichen gewählten Anbieter.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht verarbeitet.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet; dann teilt er dies vorher mit, sofern das Gesetz es nicht verbietet. Weisungen sind dieser Vertrag und die Einstellungen, die der Verantwortliche in PulsePilot vornimmt (z. B. E-Mail-Feld ein- oder ausschalten, Pixel-IDs eintragen, Kontakte exportieren oder löschen). Weitere Weisungen erteilt der Verantwortliche in Textform an die oben genannte E-Mail-Adresse. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er den Verantwortlichen unverzüglich darauf hin.
Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke, verkauft sie nicht und gibt sie nur im Rahmen dieses Vertrags weiter.
4. Pflichten des Auftragsverarbeiters
Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Ziffer 7) und hält sie aktuell.
Er unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte (Ziffer 8) sowie bei den Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).
Er meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, mit den Informationen, die der Verantwortliche für seine Meldung nach Art. 33 DSGVO benötigt.
Er stellt dem Verantwortlichen die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung; in der Regel genügt eine schriftliche Auskunft.
Die Daten werden in Deutschland gespeichert. Eine Übermittlung in Länder außerhalb der EU bzw. des EWR durch Unterauftragsverarbeiter erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
5. Pflichten des Verantwortlichen
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine eigene Datenschutzerklärung und ein Impressum für seine Fan-Seiten. Links dazu kann er in seinem Künstlerprofil hinterlegen; sie erscheinen in der Fußzeile der Fan-Seiten.
Er entscheidet, ob er Tracking-Pixel einsetzt. Die Einwilligung der Besucher holt PulsePilot über ein Banner ein; für die Konfiguration der Pixel und für Vereinbarungen mit den Pixel-Anbietern (z. B. die Vereinbarung über gemeinsame Verantwortlichkeit mit Meta) ist der Verantwortliche zuständig.
Er nutzt Kontakte der E-Mail-Liste nur im Rahmen der erteilten Einwilligung und nur, solange sie nicht widerrufen ist.
Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Rechenzentrumsbetrieb und Hosting aller Daten in Deutschland.
E-Mail-Dienstleister für den SMTP-Versand – Versand der Bestätigungsmails des Double-Opt-in.
Die Zahlungsabwicklung (Stripe) und der Videospeicher (Backblaze) kommen mit Fan-Daten nicht in Berührung und sind daher keine Unterauftragsverarbeiter im Sinne dieses Vertrags. Die Anbieter der Tracking-Pixel (Meta, TikTok, Google) sind keine Unterauftragsverarbeiter des Auftragsverarbeiters: Der Verantwortliche wählt sie selbst aus, und sie verarbeiten die Daten nach ihren eigenen Bedingungen.
Über beabsichtigte Änderungen der Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail oder in PulsePilot. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er die betroffenen Funktionen abschalten oder die Nutzungsvereinbarung kündigen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
Hosting in Rechenzentren der Hetzner Online GmbH in Deutschland mit deren Zutrittskontrollen; administrativer Zugang zu den Servern nur für den Betreiber.
Mandantentrennung: Jeder Datensatz ist einem Nutzerkonto zugeordnet; die Schnittstellen prüfen bei jedem Zugriff den Besitz. Öffentliche Seiten geben nur freigegebene Felder aus (keine Konto-, Kontakt- oder Zugangsdaten).
Rollen- und Rechtekonzept (Inhaber, Premium, Standard); interne Funktionen sind serverseitig auf den Inhaber beschränkt.
Passwörter werden nur als Hash gespeichert; Zwei-Faktor-Anmeldung ist möglich; wiederholte Fehlanmeldungen führen zu einer zeitweisen Sperre.
Integrität und Pseudonymisierung
Alle Verbindungen sind per TLS verschlüsselt.
IP-Adressen in Einwilligungsnachweisen werden nur als HMAC-SHA-256-Hash gespeichert; E-Mail-Adressen werden vor der Übermittlung an Meta mit SHA-256 gehasht.
Abmelde- und Bestätigungslinks sind signiert bzw. zufällig und nicht erratbar.
Double-Opt-in mit Protokollierung von Einwilligungstext, Version und Zeitpunkt; nur bestätigte und nicht abgemeldete Kontakte können exportiert oder an Meta übermittelt werden.
Tracking-Pixel und die Meta Conversions API werden erst nach Einwilligung der Besucher aktiv; ohne Einwilligung werden keine Marketing-Cookies gesetzt.
Mengenbegrenzung (Rate-Limits) auf öffentlichen Schnittstellen gegen Missbrauch.
Überprüfung
Regelmäßige Überprüfung der Maßnahmen, insbesondere bei Änderungen an der Plattform.
8. Rechte der Betroffenen und Unterstützung
Für Anfragen von Betroffenen ist der Verantwortliche zuständig. Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich weiter. Der Verantwortliche kann Kontakte in PulsePilot selbst einsehen, exportieren und löschen. Abmeldungen über den Link in den E-Mails werden automatisch umgesetzt.
9. Vertragsende, Löschung und Rückgabe
Vor Vertragsende kann der Verantwortliche seine Kontakte als CSV exportieren. Nach Ende der Nutzungsvereinbarung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden nach Ablauf ihrer Aufbewahrungsfrist von 14 Tagen überschrieben.
10. Schlussbestimmungen
Die Haftung richtet sich nach Art. 82 DSGVO. Änderungen dieses Vertrags werden mit einer neuen Fassungsnummer veröffentlicht; für das Neueinschalten von E-Mail-Erfassung oder Pixeln ist dann eine erneute Zustimmung nötig. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt deutsches Recht.
Weitere Informationen zur Verarbeitung durch PulsePilot finden Sie in der Datenschutzerklärung.