Regensbot

Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag regelt, wie die Ibram & Dawwa GmbH personenbezogene Daten im Auftrag ihrer Kunden verarbeitet, wenn diese Regensbot nutzen. Er erfüllt die Anforderungen von Art. 28 der Datenschutz-Grundverordnung (DSGVO). Stand: 28. Oktober 2026 (Fassung 2026-10-28).

§ 1 Vertragsparteien und Vertragsschluss

Verantwortlicher („Kunde“)
Das Unternehmen, das Regensbot nach den Allgemeinen Geschäftsbedingungen (AGB) der Ibram & Dawwa GmbH nutzt.
Auftragsverarbeiter („Anbieter“)
Ibram & Dawwa GmbH
Johanna-Kinkel-Straße 1+2
93049 Regensburg
Deutschland
Vertreten durch den Geschäftsführer Ibrahim Anjro. Amtsgericht Regensburg, HRB 21570.

(1) Der Kunde schließt diesen Vertrag, indem er die AGB von Regensbot annimmt. Eine gesonderte Unterschrift ist nicht nötig. Der Vertrag ist Bestandteil der AGB. Er wird in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Der Anbieter speichert, welche Fassung der AGB angenommen wurde, und den Zeitpunkt (§ 3 Abs. 2 AGB).

(2) Der Vertrag gilt für alle personenbezogenen Daten, die der Anbieter für den Kunden in Regensbot verarbeitet.

(3) Der Anbieter muss keinen Datenschutzbeauftragten benennen und hat keinen benannt, weil bei ihm weniger als 20 Personen ständig personenbezogene Daten verarbeiten. Ansprechpartner für Datenschutzfragen ist der Geschäftsführer Ibrahim Anjro, E-Mail info@ibramdawwa-gmbh.de, Telefon +49 1575 1702770.

(4) Verarbeitet der Kunde die Daten seinerseits im Auftrag eines Dritten (etwa als Agentur), gilt dieser Vertrag als Vertrag mit einem weiteren Auftragsverarbeiter nach Art. 28 Abs. 4 DSGVO. Der Kunde gibt Weisungen seines Auftraggebers über die in § 4 genannten Wege weiter und stellt sicher, dass sein Auftraggeber den Einsatz des Anbieters und der Unterauftragsverarbeiter in Anlage 2 genehmigt hat. Rechte des Auftraggebers aus Art. 28 Abs. 3 lit. h DSGVO übt der Kunde für diesen aus.

§ 2 Gegenstand und Dauer

(1) Der Anbieter stellt Regensbot bereit. Regensbot ist eine Software zur technischen Prüfung und Überwachung von Websites, unter anderem für Suchmaschinen, KI-Crawler, Google Search Console und Google Merchant Center. Dabei verarbeitet der Anbieter personenbezogene Daten im Auftrag des Kunden. Der Kunde ist Verantwortlicher für die Seiten, die er abrufen lässt, und für die Daten, die er verbindet oder hochlädt (Google-Dienste, Server-Logs, Dateien). § 3 beschreibt die Verarbeitungen im Einzelnen.

(2) Nicht Gegenstand dieses Vertrags sind Daten, für die der Anbieter selbst verantwortlich ist. Dazu gehören die Benutzerkonten mit Anmeldedaten und dem Nachweis der Annahme der AGB, Sitzungen, Sicherheitsprotokolle, Rechnungs- und Zahlungsdaten, die Zugriffsprotokolle der Server, die Zugangsschlüssel der Google-Verbindung mit Kontonummer und E-Mail-Adresse der verbindenden Person, Versandeinträge von E-Mails sowie der Betrieb des Crawlers (Sperrliste von Domains, Beachtung von robots.txt, Abrufgrenzen über alle Kunden). Für diese Daten gilt die Datenschutzerklärung.

(3) Der Vertrag gilt, solange der Kunde Regensbot nutzt. Er endet, wenn das letzte Mitglied der Organisation des Kunden sein Konto löscht oder die Nutzung von Regensbot insgesamt endet (zum Beispiel durch Kündigung nach den AGB). Seine Pflichten gelten fort, bis alle Daten nach § 12 gelöscht oder zurückgegeben sind.

§ 3 Art, Zweck und Umfang der Verarbeitung

(1) Art der Verarbeitung: Abrufen, Erheben, Speichern, Auswerten, Zusammenfassen, Anzeigen, Übermitteln an den Kunden und Löschen. Die Verarbeitung läuft automatisiert.

(2) Zweck: Der Anbieter verarbeitet die Daten nur, um die Funktionen von Regensbot zu erbringen, die der Kunde nutzt. Er verwendet die Daten nicht für eigene Zwecke.

(3) Ort: Der Anbieter verarbeitet die Daten auf einem virtuellen Server in Frankfurt am Main, Deutschland. Ausnahmen stehen in Anlage 2.

(4) Für die einzelnen Funktionen gilt Folgendes. Manche Funktionen laufen nur, wenn der Kunde sie einschaltet oder einen Dienst verbindet. Die Speicherfristen hängen teils vom Tarif ab: 7 Tage (Free), 90 Tage (Pro) oder 365 Tage (Agency). Daten ohne eigene Frist, zum Beispiel Crawl-Daten, Log-Summen, Checklisten und Ergebnisse der KI-Prüfung, löscht Regensbot spätestens 30 Tage nach der Löschung der Website, der Organisation oder des Kontos, zu dem sie gehören. Mit der Organisation löscht Regensbot alle ihre Daten (§ 12).

3.1 Prüfungen einzelner Seiten und Website-Crawls

Regensbot ruft Seiten ab, die der Kunde prüfen lässt, und wertet sie aus. Bei einem Crawl liest Regensbot mehrere Seiten einer Website. Wie viele, hängt vom Tarif ab und davon, ob der Kunde die Website verifiziert hat. Wie der Crawler robots.txt beachtet, regelt § 12 AGB.

Datenarten
Adressen (URLs) der Seiten, HTTP-Status und Weiterleitungen, Seitentitel, Meta-Beschreibungen, Sprachangaben, eine Auswahl von Linktexten, Angaben aus strukturierten Daten (zum Beispiel Name, Web-Adresse und Bild von Autorinnen und Autoren), Prüfergebnisse mit kurzen Textauszügen. In gespeicherten Textauszügen macht Regensbot E-Mail-Adressen, Telefonnummern und Zugangsdaten unkenntlich, in gespeicherten Adressen von Einzelprüfungen die Werte von Parametern, die nach Zugangsdaten oder E-Mail-Adressen aussehen. Den vollständigen Inhalt der Seiten speichert Regensbot bei Prüfungen und Crawls nicht.
Betroffene Personen
Personen, die auf den geprüften Seiten genannt sind, zum Beispiel Autorinnen und Autoren, Beschäftigte und Kontaktpersonen des Kunden.
Speicherdauer
Prüfergebnisse je nach Tarif zum Zeitpunkt der Prüfung 7, 90 oder 365 Tage, längstens bis 30 Tage nach der Löschung der Website oder der Organisation. Crawl-Daten, bis die Website oder die Organisation gelöscht wird; endgültig gelöscht 30 Tage danach. Hintergrundaufträge enthalten Seitenadressen: Ihr Ergebnis wird nach 30 Tagen geleert, der Eintrag 90 Tage nach Abschluss gelöscht; wird die Website endgültig gelöscht, leert Regensbot ihre abgeschlossenen Aufträge schon dabei.

3.2 Darstellung von Seiten im Browser (Rendering)

Regensbot kann Seiten in einem Browser darstellen, um Fehler zu finden, die erst dabei sichtbar werden. Diese Funktion läuft auf einem eigenen Server. Sie ist derzeit nicht in Betrieb. Vor dem Start gilt § 8 Abs. 6.

Datenarten
Die dargestellte Seite (HTML), Bildschirmfotos sowie die Konsolen- und Anfrageprotokolle des Browsers. Sie können alle Daten enthalten, die auf der Seite sichtbar sind.
Betroffene Personen
Wie in 3.1.
Speicherdauer
Bei Seiten mit Fehler, Warnung oder ausstehender Bestätigung 30 Tage. Bei Seiten ohne Befund löscht Regensbot die Dateien sofort. Nie ausgewertete Dateien nach 2 Tagen. Die Einträge zu den einzelnen Darstellungen (Adresse, Ergebnis) nach der Frist des jeweils aktuellen Tarifs: 7, 90 oder 365 Tage.

3.3 Server-Logdaten der Websites des Kunden

Der Kunde kann Regensbot Zugriffsprotokolle (Logdaten) seiner Webserver übermitteln. Regensbot wertet aus, wie Suchmaschinen- und KI-Crawler die Website besuchen, und misst Antwortzeiten.

Standardweg ist das Kommandozeilenwerkzeug von Regensbot. Es filtert die Logdaten schon auf dem Rechner des Kunden. Es sendet nur Zeilen von Crawlern, deren IP-Adresse in der veröffentlichten Adressliste des Crawler-Betreibers steht. Zeilen von Besuchern fasst es vorher zu Antwortzeit-Statistiken zusammen. Einzelne Besucherzeilen sendet es nicht.

Vollständige Logzeilen (Rohdaten) kann der Kunde nur senden oder abrufen lassen, wenn der Anbieter diese Wege freigeschaltet hat und der Kunde sie einrichtet (HTTP-Übermittlung, Cloudflare Logpush, Amazon S3 oder Cloudflare R2). Diese Wege sind derzeit ausgeschaltet.

Datenarten
Standardweg: IP-Adresse, User-Agent, Zeitpunkt, aufgerufene Adresse, Status und Datenmenge von Crawler-Zugriffen; Antwortzeit-Statistiken ohne Bezug zu einzelnen Besuchern. Bei Rohdaten zusätzlich: IP-Adressen, User-Agents, aufgerufene Adressen, Referrer und Zeitpunkte der Besucher der Website.
Betroffene Personen
Besucherinnen und Besucher der Websites des Kunden; Betreiber von Crawlern.
Speicherdauer
Rohdaten löscht Regensbot nach der Auswertung, spätestens 24 Stunden nach Eingang. Sie gelangen nicht in Datensicherungen. Dauerhaft speichert Regensbot nur Tageswerte (Anzahl, Datenmenge und Antwortzeiten je Host, Seitentyp, Crawler und Status), das erste Auftreten neuer Adressen und Log-Warnungen. Diese Werte bleiben, bis der Kunde die Website oder die Organisation löscht, und werden 30 Tage danach endgültig gelöscht. IP-Adressen und User-Agents von Besuchern speichert Regensbot nicht dauerhaft. Um zu prüfen, ob eine Adresse wirklich zu einem Crawler gehört, fragt Regensbot das DNS ab. Das Ergebnis speichert Regensbot bei bestätigten Crawlern 7 Tage. Nicht bestätigte Adressen speichert es nur als kryptografischen Prüfwert (HMAC), für 24 Stunden.

3.4 Daten aus Google-Diensten des Kunden

Der Kunde kann sein Google-Konto mit Regensbot verbinden: Google Search Console und wahlweise Google Merchant Center und Google BigQuery. Regensbot liest dann mit der Berechtigung des Kunden Daten aus diesen Diensten. Regensbot liest nur; es ändert dort nichts. Für das Merchant Center erlaubt die Berechtigung, die Google vergibt, auch Änderungen; Regensbot nutzt sie nur zum Lesen. Die Nutzung und Übertragung von Informationen, die Regensbot über Google-APIs erhält, an andere Anwendungen entspricht der Google API Services User Data Policy einschließlich der Anforderungen zur eingeschränkten Nutzung (Limited Use). Daten aus Google-APIs verwendet der Anbieter nicht, um KI-Modelle zu entwickeln, zu verbessern oder zu trainieren, und gibt sie dafür nicht weiter.

Datenarten
Search-Console-Properties, Ergebnisse der URL-Prüfung, Leistungsdaten mit Suchanfragen, Seite und Land, Produktbeispiele und Produktprobleme aus dem Merchant Center, zusammengefasste Werte aus BigQuery (zum Beispiel Summen von Klicks). BigQuery-Abfragen laufen im Google-Projekt des Kunden.
Betroffene Personen
Nutzerinnen und Nutzer der Google-Suche, soweit Suchanfragen einen Personenbezug haben; Personen, die in Produktdaten oder auf geprüften Seiten genannt sind.
Speicherdauer
Leistungsdaten mit Suchanfragen 24 Stunden, höchstens 7 Tage. Merchant-Center-Daten 30 Tage. Ergebnisse der URL-Prüfung, bis der Kunde die Verbindung trennt, längstens bis 30 Tage nach der Löschung der Website oder der Organisation. Die Liste der Properties, bis der Kunde die Verbindung trennt, längstens bis 30 Tage nach der Löschung der Organisation.

3.5 Hochgeladene Nachweise

Der Kunde kann Dateien als Nachweise hochladen.

Datenarten
Bildschirmfotos aus Search Console und Merchant Center, Exporte aus Search Console (CSV, XLSX), Weiterleitungslisten, URL-Listen, Prüfregister (Adresse, Sprache, prüfende Person, Prüfdatum), Freigaberegister (wer generierte Inhalte wann freigegeben hat), Originalbilder mit Metadaten, Ergebnisse von CI-Läufen, PDF-Dateien und sonstige Dateien. Dazu Dateiname, Dateityp, Größe, Zeitpunkt und hochladende Person. Den Inhalt der Dateien bestimmt der Kunde.
Betroffene Personen
Beschäftigte und Beauftragte des Kunden, zum Beispiel prüfende und freigebende Personen; Personen, die in den Dateien genannt oder abgebildet sind.
Speicherdauer
Je nach Tarif zum Zeitpunkt des Hochladens 7, 90 oder 365 Tage ab dem Hochladen, längstens bis 30 Tage nach der Löschung der Website, zu der die Datei gehört, oder der Organisation. Der Kunde kann einzelne Dateien vorher selbst löschen.

3.6 Checklisten, Abläufe und Releases

Datenarten
Status von Anforderungen, Bestätigungen mit bestätigender Person und freiem Notiztext, Änderungsverlauf mit Kennung der handelnden Person, Vorfälle (zum Beispiel Entfernungen, Übungen, Umzüge), URL-Listen, Überwachungen und Release-Einträge (Commit, Umgebung, Zeitpunkt, Prüfergebnis). Von GitHub-Webhooks speichert Regensbot nur Kennung, Ereignistyp und einen Prüfwert, nicht den Inhalt.
Betroffene Personen
Nutzerinnen und Nutzer des Kunden in Regensbot; Personen, die in Notiztexten genannt sind.
Speicherdauer
Checklisten, Verlauf, Vorfälle und URL-Listen, bis der Kunde die Website oder die Organisation löscht; endgültig gelöscht 30 Tage danach. Release-Einträge 365 Tage. GitHub-Webhook-Einträge 30 Tage.

3.7 Benachrichtigungen per E-Mail

Regensbot sendet den Nutzerinnen und Nutzern des Kunden Benachrichtigungen, zum Beispiel zu Log-Warnungen, Darstellungsfehlern, möglicherweise eingeschleusten Seiten oder Links und abgeschlossenen Aufträgen. Diese E-Mails können kurze Auszüge aus den Websites des Kunden enthalten. Der Versand läuft über den E-Mail-Dienst in Anlage 2. Den Inhalt einer E-Mail speichert Regensbot bis zum Versand verschlüsselt und löscht ihn beim Versand. Konnte eine E-Mail nicht versendet werden, löscht Regensbot ihren verschlüsselten Inhalt 90 Tage nach der Erstellung. Für den Versandeintrag (Empfängeradresse, Art der Nachricht, Zeitpunkt) ist der Anbieter selbst verantwortlich (§ 2 Abs. 2).

Betroffene Personen
Empfängerinnen und Empfänger beim Kunden; Personen, die in den Auszügen genannt sind.

3.8 KI-Prüfung (optional)

Regensbot bietet eine optionale KI-Prüfung von Inhalten an. Sie ist derzeit für Regensbot ausgeschaltet. Sie läuft nur, wenn der Anbieter sie freischaltet und der Kunde sie für eine Website, die er verifiziert hat, einschaltet. Für jede Website ist sie ausgeschaltet, bis der Kunde sie einschaltet. Das Einschalten ist eine Weisung des Kunden nach § 4. Der Free-Tarif enthält keine KI-Prüfungen.

Datenarten
Textauszüge der geprüften Seiten, strukturierte Angaben (zum Beispiel Überschriften und Alternativtexte), Bilder von Seiten und vom Kunden hochgeladene Bildschirmfotos. Regensbot speichert das Ergebnis mit wörtlichen Zitaten und einer Begründung, aber nicht mehr Seitentext als diese Zitate, und, wenn eine Person beim Kunden ein Ergebnis bestätigt oder verwirft, diese Entscheidung mit der Person.
Betroffene Personen
Wie in 3.1 und 3.5.
Empfänger
Anthropic (Anlage 2), nur solange die KI-Prüfung eingeschaltet ist. Anthropic verwendet die Daten nach seinen kommerziellen Bedingungen nicht zum Training seiner Modelle.
Speicherdauer
Ergebnisse mit Zitaten und Begründung und die Entscheidungen dazu, bis die Website oder die Organisation gelöscht wird; endgültig gelöscht 30 Tage danach. Ein Zähleintrag ohne Zitate, Begründung und Entscheidungen bleibt für das Monatskontingent bis zur Löschung der Organisation.

3.9 Tätigkeit der Nutzer des Kunden

Jede Person, die für den Kunden in Regensbot arbeitet, hat ein eigenes Konto. Für das Konto selbst ist der Anbieter verantwortlich (§ 2 Abs. 2). Die Tätigkeit dieser Personen in der Organisation des Kunden verarbeitet der Anbieter dagegen im Auftrag des Kunden. Inhaber und Administratoren der Organisation sehen diese Angaben.

Datenarten
Kennung und Name der Person, Rolle in der Organisation, Art und Zeitpunkt der Tätigkeit (zum Beispiel wer eine Prüfung gestartet, eine Anforderung bestätigt oder eine Datei hochgeladen hat), verwendeter API-Schlüssel oder verbundener KI-Assistent.
Betroffene Personen
Beschäftigte und Beauftragte des Kunden.
Speicherdauer
Wie die Daten, zu denen die Tätigkeit gehört (3.1 bis 3.8).

§ 4 Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Das gilt auch für Übermittlungen in ein Drittland. Ausnahme: Das Recht der EU oder Deutschlands verpflichtet den Anbieter zu einer Verarbeitung. Dann teilt er dies dem Kunden vorher mit, wenn das Gesetz dies nicht verbietet.

(2) Weisungen sind dieser Vertrag, die AGB und die Einstellungen, die der Kunde in Regensbot vornimmt. Beispiele: eine Prüfung oder einen Crawl starten, eine Logquelle einrichten, ein Google-Konto verbinden, die KI-Prüfung für eine Website einschalten, Daten löschen.

(3) Weitere Weisungen erteilt der Kunde in Textform, zum Beispiel per E-Mail an info@ibramdawwa-gmbh.de. Weisungen erteilen dürfen die Inhaber und Administratoren der Organisation des Kunden.

(4) Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit. Er darf die Ausführung aussetzen, bis der Kunde die Weisung bestätigt oder ändert.

(5) Weisungen, die über den vereinbarten Leistungsumfang von Regensbot hinausgehen, behandelt der Anbieter als Wunsch nach einer Leistungsänderung.

§ 5 Pflichten des Kunden

(1) Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Er braucht für jede Verarbeitung eine Rechtsgrundlage. Das gilt besonders für Logdaten der Besucher seiner Websites und für hochgeladene Dateien.

(2) Der Kunde gibt nur Adressen (URLs) von Websites ein, die ihm gehören oder die er mit Erlaubnis des Inhabers betreut. Außerdem darf er einzelne, öffentlich zugängliche Seiten prüfen lassen, die er rechtmäßig prüfen lassen darf. Crawls lässt er nur für Websites laufen, die ihm gehören oder die er mit Erlaubnis des Inhabers betreut. Crawls über die Grenze für nicht verifizierte Websites hinaus setzen voraus, dass der Kunde die Website verifiziert. Es gilt § 11 Abs. 1 und 2 AGB.

(3) Der Kunde informiert die betroffenen Personen nach Art. 13 und 14 DSGVO, zum Beispiel die Besucher seiner Websites in seiner Datenschutzerklärung.

(4) Regensbot ist nicht für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) bestimmt. Der Kunde lädt solche Daten nicht hoch und übermittelt sie nicht.

(5) Der Kunde hält seine Zugangsdaten, API-Schlüssel und Upload-Links geheim. Er entfernt Personen aus seiner Organisation, die keinen Zugang mehr haben sollen.

(6) Der Kunde bewahrt Kopien der Ergebnisse, die er braucht, selbst auf (§ 17 Abs. 1 AGB).

(7) Der Kunde informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung bemerkt.

§ 6 Vertraulichkeit

(1) Der Anbieter setzt nur Personen und Dienstleister ein, die schriftlich oder in Textform zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(2) Zugriff auf den Server und die Datenbank hat nur der Geschäftsführer des Anbieters. Er greift auf Daten des Kunden nur zu, soweit es für den Betrieb, die Fehlerbehebung oder eine Anfrage des Kunden nötig ist.

(3) Die Pflicht zur Vertraulichkeit gilt auch nach dem Ende dieses Vertrags.

§ 7 Sicherheit der Verarbeitung

(1) Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Anlage 1 beschreibt sie.

(2) Der Anbieter darf die Maßnahmen an den Stand der Technik anpassen. Das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentiert er und passt Anlage 1 an.

§ 8 Unterauftragsverarbeiter

(1) Der Kunde erteilt dem Anbieter eine allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die Unterauftragsverarbeiter in Anlage 2 genehmigt der Kunde mit Abschluss dieses Vertrags.

(2) Will der Anbieter einen Unterauftragsverarbeiter hinzufügen oder ersetzen, informiert er den Kunden mindestens 30 Tage vorher in Textform, in der Regel per E-Mail an die Inhaber der Organisation des Kunden, und auf dieser Seite.

(3) Der Kunde kann der Änderung innerhalb dieser 30 Tage aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen und nennt den Grund. Finden die Parteien keine Lösung, kann der Kunde den Vertrag über Regensbot außerordentlich zu dem Zeitpunkt kündigen, zu dem die Änderung wirksam wird. Für im Voraus gezahlte Entgelte gilt § 7 Abs. 6 AGB.

(4) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag. Dazu gehören hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Der Anbieter haftet dem Kunden für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter.

(5) Keine Unterauftragsverarbeiter sind Dienste, die der Kunde selbst auswählt und mit Regensbot verbindet. Dazu gehören sein Google-Konto (Search Console, Merchant Center, BigQuery), Cloudflare, Amazon S3, Cloudflare R2, GitHub und sein KI-Assistent (zum Beispiel Claude oder ChatGPT). Für diese Dienste gelten die Verträge des Kunden mit dem jeweiligen Anbieter. Kein Unterauftragsverarbeiter ist auch Stripe: Stripe verarbeitet Zahlungsdaten als eigenständig Verantwortlicher und erhält keine Daten aus diesem Vertrag.

(6) Den Anbieter des Servers für die Darstellung von Seiten (3.2) benennt der Anbieter nach Absatz 2, bevor er die Funktion in Betrieb nimmt.

§ 9 Verarbeitung außerhalb der EU

(1) Der Anbieter verarbeitet die Daten in der Europäischen Union. Eine Übermittlung in ein Land außerhalb der EU oder des Europäischen Wirtschaftsraums findet nur statt, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Bei Unternehmen in den USA sind das der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, soweit das Unternehmen danach zertifiziert ist, und EU-Standardvertragsklauseln.

(2) Anlage 2 nennt, wo eine solche Übermittlung vorkommen kann.

§ 10 Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen, damit er die Rechte betroffener Personen erfüllen kann (Art. 12 bis 23 DSGVO). Viele Daten kann der Kunde in Regensbot selbst einsehen und löschen, zum Beispiel eine Website oder einzelne Nachweisdateien. Die ganze Organisation löscht Regensbot, wenn ihr letztes Mitglied sein Konto löscht; auf Anfrage in Textform löscht der Anbieter sie auch so.

(2) Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter. Er beantwortet sie nicht selbst, außer der Kunde weist ihn dazu an.

(3) Der Anbieter unterstützt den Kunden bei den Pflichten aus Art. 32 bis 36 DSGVO: Sicherheit der Verarbeitung, Meldung von Verletzungen an die Aufsichtsbehörde, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzung und vorherige Konsultation der Aufsichtsbehörde. Dabei berücksichtigt er die Art der Verarbeitung und die Informationen, die ihm vorliegen.

(4) Der Anbieter informiert den Kunden unverzüglich über Kontrollen und Maßnahmen einer Aufsichtsbehörde, soweit sie die Daten des Kunden betreffen.

(5) Für Unterstützung, die über die Funktionen von Regensbot hinausgeht und nicht auf einem Verstoß des Anbieters beruht, kann der Anbieter eine angemessene Vergütung verlangen. Er kündigt sie vorher an.

§ 11 Meldung von Datenschutzverletzungen

(1) Der Anbieter meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten des Kunden unverzüglich, nachdem er davon erfahren hat.

(2) Die Meldung geht per E-Mail an die Inhaber der betroffenen Organisation. Sie enthält, soweit bekannt:

Fehlende Angaben liefert der Anbieter nach, sobald er sie hat.

(3) Der Anbieter ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mindern.

(4) Die Meldung an die Aufsichtsbehörde und die Benachrichtigung betroffener Personen sind Sache des Kunden. Der Anbieter unterstützt ihn dabei.

(5) Kontaktstelle für Datenschutzverletzungen und Sicherheitsfragen ist info@ibramdawwa-gmbh.de, Telefon +49 1575 1702770. Bemerkt der Kunde eine Verletzung, meldet er sie dort.

§ 12 Löschung und Rückgabe

(1) Während der Laufzeit löscht Regensbot Daten automatisch nach den Fristen in § 3.

(2) Löscht der Kunde eine Website oder löscht das letzte Mitglied seiner Organisation sein Konto, markiert Regensbot die Daten zunächst als gelöscht. Der Kunde kann sie dann nicht mehr nutzen. 30 Tage später löscht Regensbot sie endgültig, auch die Prüfergebnisse und Nachweisdateien der Website. Übrig bleiben nur Zähleinträge ohne Adressen und Inhalte für die Kontingente des Tarifs.

(3) Wechselt der Kunde in einen Tarif mit kürzerer Speicherdauer, zeigt Regensbot ältere Prüfergebnisse nicht mehr an und löscht sie mit Ablauf der Frist, die bei ihrer Entstehung galt; Nachweisdateien behalten die beim Hochladen festgelegte Frist; Einträge zu Darstellungen löscht Regensbot nach der Frist des neuen Tarifs. Eine Beschränkung wegen Zahlungsverzugs (§ 8 Abs. 2 AGB) ist kein Tarifwechsel.

(4) Bis zum Vertragsende kann der Kunde Nachweisdateien selbst herunterladen und Prüfergebnisse über die Programmierschnittstelle (API) oder MCP abrufen.

(5) Nach dem Vertragsende löscht der Anbieter alle Daten, die er im Auftrag des Kunden verarbeitet, spätestens innerhalb von 30 Tagen. Kopien in Datensicherungen verfallen innerhalb von 14 weiteren Tagen. Bis dahin nutzt der Anbieter sie nur, um nach einem Ausfall den Betrieb wiederherzustellen. Bis zur endgültigen Löschung kann der Kunde in Textform verlangen, dass der Anbieter ihm die noch vorhandenen Daten in einem gängigen, maschinenlesbaren Format herausgibt.

(6) Gesetzliche Pflichten des Anbieters, Daten aufzubewahren, bleiben unberührt. Auf Anfrage bestätigt der Anbieter die Löschung in Textform.

§ 13 Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden auf Anfrage alle Informationen zur Verfügung, die nötig sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen.

(2) Der Kunde darf Kontrollen (Inspektionen) selbst durchführen oder durch einen Prüfer durchführen lassen. Der Prüfer muss zur Verschwiegenheit verpflichtet sein und darf kein Wettbewerber des Anbieters sein.

(3) Der Kunde kündigt eine Kontrolle mit angemessener Frist an, in der Regel mindestens 14 Tage vorher. Bei einem konkreten Anlass, etwa einer Datenschutzverletzung, genügt eine kürzere Frist. Kontrollen finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen stören. Daten anderer Kunden bleiben geschützt.

(4) Der Anbieter kann den Nachweis zunächst durch Unterlagen und Auskünfte erbringen, zum Beispiel durch diesen Vertrag mit Anlage 1. Kontrollen in Rechenzentren richten sich nach den Bedingungen der Hosting-Anbieter.

(5) Jede Partei trägt ihre eigenen Kosten der Kontrolle.

§ 14 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO.

(2) Gegenüber betroffenen Personen haftet der Anbieter nur, wenn er seine Pflichten als Auftragsverarbeiter aus der DSGVO verletzt oder gegen rechtmäßige Weisungen des Kunden gehandelt hat (Art. 82 Abs. 2 Satz 2 DSGVO).

(3) Hat eine Partei einer betroffenen Person vollen Schadenersatz gezahlt, kann sie von der anderen Partei den Teil zurückverlangen, der deren Verantwortung entspricht (Art. 82 Abs. 5 DSGVO).

(4) Im Verhältnis zwischen Kunde und Anbieter gelten die Haftungsregeln in § 15 AGB. Sie schränken die Haftung gegenüber betroffenen Personen nach Art. 82 DSGVO nicht ein.

§ 15 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und den AGB oder anderen Vereinbarungen der Parteien geht dieser Vertrag in allen Fragen des Datenschutzes vor.

(2) Für Änderungen dieses Vertrags gilt § 18 der AGB. Für Anlage 1 gilt § 7 Abs. 2, für Anlage 2 gilt § 8. Änderungen, die das Schutzniveau senken, sind ausgeschlossen.

(3) Ist eine Bestimmung dieses Vertrags unwirksam, bleiben die übrigen Bestimmungen wirksam.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Für den Gerichtsstand gelten die AGB.

(5) Verbindlich ist die deutsche Fassung. Die englische Fassung ist eine Übersetzung.

Anlage 1: Technische und organisatorische Maßnahmen

Diese Anlage beschreibt die Maßnahmen nach Art. 32 DSGVO, wie sie bei Regensbot tatsächlich umgesetzt sind. Stand: 28. Oktober 2026.

1. Organisation

2. Vertraulichkeit

Zutritt. Regensbot läuft auf einem gemieteten virtuellen Server bei Hostinger in Frankfurt am Main. Der Anbieter betreibt keine eigenen Serverräume. Den Zutritt zum Rechenzentrum regelt der Hosting-Anbieter.

Zugang zu Systemen.

Zugriff auf Daten.

Verschlüsselung und Pseudonymisierung.

3. Integrität

Weitergabe.

Eingabekontrolle.

4. Verfügbarkeit und Belastbarkeit

5. Wiederherstellbarkeit

6. Datenschutz durch Voreinstellungen

Anlage 2: Unterauftragsverarbeiter

Stand: 28. Oktober 2026.

Unterauftragsverarbeiter Sitz und Ort der Verarbeitung Leistung Garantien
Hostinger International Ltd. 61 Lordou Vironos Street, 6023 Larnaca, Zypern. Server in Frankfurt am Main, Deutschland (Produktion und Testumgebung). Betrieb des Servers mit Datenbank, Dateien, Protokollen und Datensicherungen Vertrag nach Art. 28 DSGVO; Verarbeitung in der EU. Datenschutzerklärung
Google Ireland Limited Gordon House, Barrow Street, Dublin 4, Irland. Google kann weitere Unterauftragsverarbeiter einsetzen, auch die Google LLC in den USA. Versand der E-Mails von Regensbot (Google Workspace, SMTP-Relay) Vertrag nach Art. 28 DSGVO (Cloud Data Processing Addendum); für Übermittlungen an die Google LLC: Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO), ergänzend EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO). Datenschutzerklärung
Anthropic PBC 548 Market Street, PMB 90375, San Francisco, CA 94104, USA KI-Prüfung von Inhalten (3.8), nur wenn sie eingeschaltet ist; derzeit ausgeschaltet Vertrag nach Art. 28 DSGVO (Data Processing Addendum von Anthropic); EU-Standardvertragsklauseln, Modul 3 (Auftragsverarbeiter an Unterauftragsverarbeiter), Durchführungsbeschluss (EU) 2021/914; zusätzlich der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, soweit Anthropic danach zertifiziert ist. Datenschutzerklärung

Hinweise: