Stand: Februar 2026
zwischen dem Kunden der Plattform myLandingpage.ai (nachfolgend „Auftraggeber“) und
Digital Mind Agency Ltd., Evagora Pallikaridi 38, 8010 Paphos, Zypern, Registrierungsnummer HE 428155 (nachfolgend „Auftragnehmer“)
Dieser Auftragsverarbeitungsvertrag (AVV) ergänzt die Allgemeinen Geschäftsbedingungen (AGB) und wird gemäß Art. 28 Abs. 3 DSGVO geschlossen.
1. Gegenstand und Dauer
1.1 Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers im Rahmen der Nutzung der SaaS-Plattform myLandingpage.ai gemäß Art. 28 DSGVO.
1.2 Dieser Vertrag beginnt mit der Registrierung des Auftraggebers auf der Plattform und endet mit der Beendigung des Hauptvertrags (AGB). Die Pflichten zur Vertraulichkeit und Löschung bestehen über das Vertragsende hinaus fort.
1.3 Der Gegenstand der Verarbeitung umfasst die Bereitstellung der Plattform zur Erstellung von Landingpages, Funnels und Webseiten einschließlich der damit verbundenen Datenverarbeitungen (Formulardaten, Besucheranalysen, E-Mail-Integrationen).
2. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst folgende Tätigkeiten:
- Speicherung und Bereitstellung von Inhalten des Auftraggebers (Landingpages, Medien, Texte)
- Verarbeitung von Formulareingaben der Besucher der Auftraggeber-Seiten
- Anbindung an E-Mail-Marketing-Dienste im Auftrag des Auftraggebers
- Webanalyse und Tracking-Pixel-Integration gemäß Konfiguration des Auftraggebers
- Zahlungsabwicklung über Drittanbieter (Stripe, Digistore24)
- Academy-/Kursplattform: Verwaltung von Nutzerzugängen, Fortschritts-Tracking, Zertifikaten
3. Art der personenbezogenen Daten
- Kontaktdaten (Name, E-Mail, Telefon, Adresse)
- Formulardaten (individuelle Eingabefelder der Auftraggeber-Seiten)
- Nutzungsdaten (IP-Adresse, Browser, Gerätetyp, Zugriffszeiten)
- Zahlungsdaten (soweit über die Plattform verarbeitet — Kreditkartendaten werden ausschließlich von Stripe/Digistore24 verarbeitet und nicht auf unseren Servern gespeichert)
- Kommunikationsdaten (E-Mail-Versand über Autoresponder-Integrationen)
- Lernfortschrittsdaten (bei Nutzung der Academy-Funktion)
4. Kategorien betroffener Personen
- Besucher der vom Auftraggeber erstellten Webseiten
- Kunden und Interessenten des Auftraggebers
- Mitarbeiter und Teammitglieder des Auftraggebers
- Kursteilnehmer (bei Nutzung der Academy-Funktion)
5. Pflichten des Auftragnehmers
5.1 Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist durch Unionsrecht oder das Recht der Republik Zypern zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
5.2 Der Auftragnehmer gewährleistet, dass die zur Verarbeitung befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.
5.3 Der Auftragnehmer trifft die gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anlage 1).
5.4 Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Pflichten gegenüber Betroffenen (Auskunft, Löschung, Berichtigung, Datenübertragbarkeit etc.) nach Art. 15–22 DSGVO.
5.5 Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO (Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
6. Unterauftragsverarbeiter
6.1 Der Auftraggeber stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu:
- Dawico Deutschland GmbH, Mittelstr. 9, 12529 Schönefeld, Deutschland – Hosting, Serverinfrastruktur, Backups (EU, ISO 27001-zertifizierte Rechenzentren)
- BunnyWay d.o.o. (Bunny.net), Dunajska cesta 165, 1000 Ljubljana, Slowenien – CDN und Video-Hosting (EU)
- Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Irland – Zahlungsabwicklung (EU; DPF-zertifiziert / SCC für US-Datenübermittlung)
- Digistore24 GmbH, St.-Godehard-Straße 32, 31139 Hildesheim, Deutschland – Zahlungsabwicklung (EU)
- Calendly LLC, 3423 Piedmont Rd NE, Atlanta, GA 30305, USA – Terminbuchung und Kalenderintegration (US; DPF-zertifiziert / SCC)
- eTERMIN GmbH, Leonrodstraße 68, 80636 München, Deutschland – Terminbuchung und Kalenderintegration (EU)
- Webinaris GmbH, Eichenstraße 16, 82061 Neuried, Deutschland – Automatisierte Webinar-Bereitstellung (EU)
- Zoom Video Communications Inc., 55 Almaden Blvd, Suite 600, San Jose, CA 95113, USA – Video-Konferenzen und Webinare (US; DPF-zertifiziert / SCC)
6.2 Nicht alle aufgeführten Unterauftragsverarbeiter werden in jeder Kundeninstanz eingesetzt. Welche Dienste aktiv sind, richtet sich nach der individuellen Konfiguration des Auftraggebers.
6.3 Der Auftragnehmer informiert den Auftraggeber per E-Mail über jede beabsichtigte Änderung der Unterauftragsverarbeiter mindestens 30 Tage im Voraus. Der Auftraggeber kann innerhalb von 14 Tagen nach Zugang der Mitteilung aus berechtigten datenschutzrechtlichen Gründen Einspruch erheben.
6.4 Im Fall eines berechtigten Einspruchs bemüht sich der Auftragnehmer um eine zumutbare Alternative. Ist keine Alternative möglich, kann der Auftraggeber den Hauptvertrag außerordentlich kündigen.
6.5 Der Auftragnehmer stellt sicher, dass mit allen Unterauftragsverarbeitern Verträge geschlossen sind, die den Anforderungen des Art. 28 Abs. 4 DSGVO entsprechen.
7. Rechte des Auftraggebers
7.1 Der Auftraggeber hat das Recht, die Einhaltung der in diesem Vertrag getroffenen Vereinbarungen zu überprüfen. Der Auftragnehmer stellt dem Auftraggeber hierfür alle erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen.
7.2 Inspektionen vor Ort sind nach angemessener Vorankündigung (mindestens 14 Werktage) und unter Wahrung der Vertraulichkeits- und Sicherheitsanforderungen des Auftragnehmers durchzuführen. Der Auftragnehmer kann verlangen, dass ein unabhängiger Dritter (z. B. Wirtschaftsprüfer) die Inspektion durchführt.
8. Datenschutzverletzungen
8.1 Der Auftragnehmer unterrichtet den Auftraggeber unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntnis, über jede Verletzung des Schutzes personenbezogener Daten.
8.2 Die Meldung umfasst mindestens: Art der Verletzung, betroffene Datenkategorien und ungefähre Anzahl betroffener Personen, wahrscheinliche Folgen, ergriffene und vorgeschlagene Abhilfemaßnahmen.
8.3 Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung seiner Meldepflichten gemäß Art. 33 und Art. 34 DSGVO.
9. Löschung und Rückgabe
9.1 Nach Beendigung des Vertrags löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern keine gesetzliche Aufbewahrungspflicht besteht. Vorhandene Kopien werden ebenfalls gelöscht.
9.2 Der Auftraggeber kann vor Vertragsende den Export seiner Daten über die Plattform veranlassen.
9.3 Die Löschung erfolgt spätestens 30 Tage nach Vertragsende und wird auf Verlangen schriftlich bestätigt.
10. Haftung
10.1 Die Haftung der Parteien richtet sich nach den Regelungen der AGB (§ 10) sowie nach Art. 82 DSGVO.
10.2 Der Auftragnehmer haftet dem Auftraggeber für Schäden, die durch eine nicht den Bestimmungen dieses AVV oder der DSGVO entsprechende Verarbeitung verursacht werden, soweit der Auftragnehmer seine speziell ihm auferlegten Pflichten nicht erfüllt hat oder Weisungen des Auftraggebers nicht beachtet hat.
10.3 Der innerbetriebliche Ausgleich zwischen Auftraggeber und Auftragnehmer entsprechend dem jeweiligen Verursachungsbeitrag bleibt vorbehalten.
11. Schlussbestimmungen
11.1 Es gilt das Recht der Republik Zypern, soweit nicht zwingende datenschutzrechtliche Vorschriften (insbesondere DSGVO) Vorrang haben.
11.2 Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform.
11.3 Sollte eine Bestimmung dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
11.4 Im Falle von Widersprüchen zwischen diesem AVV und den AGB hat in datenschutzrechtlichen Belangen dieser AVV Vorrang.
Anlage 1: Technische und organisatorische Maßnahmen (TOMs)
Die folgenden Maßnahmen werden durch den Auftragnehmer und seinen Hosting-Dienstleister Dawico Deutschland GmbH umgesetzt:
Zutrittskontrolle (physisch)
- Hosting in ISO 27001-zertifizierten Rechenzentren der Dawico Deutschland GmbH (Standort: Deutschland)
- Zutrittskontrollsysteme, Videoüberwachung, 24/7-Sicherheitsdienst im Rechenzentrum
- Protokollierung aller Zutritte
Zugangskontrolle (logisch)
- Individuelle Benutzerkennungen mit starken Passwortrichtlinien
- Zwei-Faktor-Authentifizierung (2FA) für alle Administratoren
- SSH-Key-basierter Zugang zu Servern (kein Passwort-Login)
- Automatische Sperrung nach fehlgeschlagenen Anmeldeversuchen
- VPN-Pflicht für Administrative Zugänge
Zugriffskontrolle
- Rollenbasiertes Berechtigungskonzept nach dem Prinzip der minimalen Berechtigung
- Protokollierung von Datenzugriffen und -änderungen
- Trennung von Entwicklungs-, Test- und Produktivumgebungen
Weitergabekontrolle / Verschlüsselung
- Verschlüsselte Datenübertragung (TLS 1.2+) für alle Verbindungen
- HSTS (HTTP Strict Transport Security) aktiviert
- Verschlüsselte Datenbanksicherungen
- Kein unverschlüsselter Versand personenbezogener Daten per E-Mail
Eingabekontrolle
- Protokollierung von Datenänderungen (Audit-Log)
- Versionierung von Konfigurationen über Versionskontrollsysteme
Verfügbarkeit und Belastbarkeit
- Tägliche automatisierte Backups (aufbewahrt für 30 Tage)
- Redundante Serverinfrastruktur bei Dawico
- DDoS-Schutz und Web Application Firewall (WAF)
- Monitoring und Alerting-Systeme (24/7)
- Disaster-Recovery-Konzept mit dokumentiertem Wiederanlaufverfahren
- Ziel-Verfügbarkeit: 99,5 % im Jahresmittel
Trennungsgebot
- Mandantentrennung: Jede Kundeninstanz läuft in einer eigenen WordPress-Installation mit eigener Datenbank
- Logische Trennung der Kundendaten auf Datenbankebene
Verfahren zur regelmäßigen Überprüfung
- Regelmäßige Sicherheitsaudits und Code-Reviews
- Automatisierte Schwachstellenscans
- Regelmäßige Updates und Patching aller Systemkomponenten
- Schulung der Mitarbeiter zu Datenschutz und IT-Sicherheit
- Überprüfung und Aktualisierung der TOMs mindestens jährlich
Last updated: February 2026
between the Customer of the platform myLandingpage.ai (hereinafter “Controller”) and
Digital Mind Agency Ltd., Evagora Pallikaridi 38, 8010 Paphos, Cyprus, Registration Number HE 428155 (hereinafter “Processor”)
This Data Processing Agreement (DPA) supplements the General Terms and Conditions (GTC) and is concluded pursuant to Art. 28(3) GDPR.
1. Subject Matter and Duration
1.1 The Processor processes personal data on behalf of the Controller within the scope of using the SaaS platform myLandingpage.ai pursuant to Art. 28 GDPR.
1.2 This agreement commences upon the Controller’s registration on the Platform and ends upon termination of the main agreement (GTC). The obligations of confidentiality and deletion survive termination.
1.3 The subject matter of processing includes the provision of the Platform for creating landing pages, funnels and websites, including related data processing (form data, visitor analytics, email integrations).
2. Type and Purpose of Processing
Processing includes the following activities:
- Storage and provision of Controller’s content (landing pages, media, text)
- Processing of form submissions by visitors of the Controller’s pages
- Integration with email marketing services on behalf of the Controller
- Web analytics and tracking pixel integration as configured by the Controller
- Payment processing through third-party providers (Stripe, Digistore24)
- Academy/course platform: Management of user access, progress tracking, certificates
3. Types of Personal Data
- Contact data (name, email, phone, address)
- Form data (individual input fields of the Controller’s pages)
- Usage data (IP address, browser, device type, access times)
- Payment data (insofar as processed via the Platform — credit card data is processed exclusively by Stripe/Digistore24 and not stored on our servers)
- Communication data (email dispatch via autoresponder integrations)
- Learning progress data (when using the Academy feature)
4. Categories of Data Subjects
- Visitors of websites created by the Controller
- Customers and prospects of the Controller
- Employees and team members of the Controller
- Course participants (when using the Academy feature)
5. Obligations of the Processor
5.1 The Processor shall process personal data solely based on documented instructions of the Controller, unless required by Union law or the law of the Republic of Cyprus. In such a case, the Processor shall inform the Controller of that legal requirement before processing, unless that law prohibits such notification.
5.2 The Processor ensures that persons authorised to process personal data have committed to confidentiality or are under an appropriate statutory obligation of confidentiality.
5.3 The Processor implements the technical and organisational measures required under Art. 32 GDPR (see Annex 1).
5.4 The Processor assists the Controller in fulfilling obligations towards data subjects (access, deletion, rectification, data portability, etc.) pursuant to Art. 15–22 GDPR.
5.5 The Processor assists the Controller, taking into account the nature of processing and the information available to the Processor, in ensuring compliance with obligations pursuant to Art. 32–36 GDPR (security, breach notification, data protection impact assessment, prior consultation).
6. Sub-processors
6.1 The Controller consents to the use of the following sub-processors:
- Dawico Deutschland GmbH, Mittelstr. 9, 12529 Schönefeld, Germany – Hosting, server infrastructure, backups (EU, ISO 27001-certified data centers)
- BunnyWay d.o.o. (Bunny.net), Dunajska cesta 165, 1000 Ljubljana, Slovenia – CDN and video hosting (EU)
- Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublin, Ireland – Payment processing (EU; DPF-certified / SCC for US data transfers)
- Digistore24 GmbH, St.-Godehard-Straße 32, 31139 Hildesheim, Germany – Payment processing (EU)
- Calendly LLC, 3423 Piedmont Rd NE, Atlanta, GA 30305, USA – Appointment scheduling and calendar integration (US; DPF-certified / SCC)
- eTERMIN GmbH, Leonrodstraße 68, 80636 Munich, Germany – Appointment scheduling and calendar integration (EU)
- Webinaris GmbH, Eichenstraße 16, 82061 Neuried, Germany – Automated webinar delivery (EU)
- Zoom Video Communications Inc., 55 Almaden Blvd, Suite 600, San Jose, CA 95113, USA – Video conferencing and webinars (US; DPF-certified / SCC)
6.2 Not all listed sub-processors are used in every customer instance. Which services are active depends on the individual configuration of the Controller.
6.3 The Processor shall inform the Controller by email of any intended change to sub-processors at least 30 days in advance. The Controller may object within 14 days of receipt of the notification on legitimate data protection grounds.
6.4 In the event of a legitimate objection, the Processor shall endeavour to provide a reasonable alternative. If no alternative is possible, the Controller may terminate the main agreement extraordinarily.
6.5 The Processor ensures that contracts are in place with all sub-processors that meet the requirements of Art. 28(4) GDPR.
7. Rights of the Controller
7.1 The Controller has the right to verify compliance with the agreements made in this contract. The Processor shall make available all information necessary and allow for and contribute to audits, including inspections.
7.2 On-site inspections shall be conducted with reasonable advance notice (at least 14 business days) and in compliance with the Processor’s confidentiality and security requirements. The Processor may require that an independent third party (e.g. auditor) conducts the inspection.
8. Data Breaches
8.1 The Processor shall notify the Controller without undue delay, and no later than 48 hours after becoming aware, of any personal data breach.
8.2 The notification shall include at minimum: nature of the breach, affected data categories and approximate number of affected persons, likely consequences, measures taken and proposed to remedy the breach.
8.3 The Processor shall assist the Controller in fulfilling notification obligations pursuant to Art. 33 and Art. 34 GDPR.
9. Deletion and Return
9.1 Upon termination of the contract, the Processor shall delete all personal data of the Controller, unless a statutory retention obligation exists. Existing copies shall also be deleted.
9.2 The Controller may initiate the export of their data via the Platform before contract termination.
9.3 Deletion shall be completed no later than 30 days after contract termination and confirmed in writing upon request.
10. Liability
10.1 The liability of the parties is governed by the provisions of the GTC (Section 10) and by Art. 82 GDPR.
10.2 The Processor shall be liable to the Controller for damages caused by processing that does not comply with the provisions of this DPA or the GDPR, insofar as the Processor has not complied with its specific obligations or has acted contrary to the Controller’s instructions.
10.3 The right to internal settlement between Controller and Processor in accordance with their respective share of responsibility is reserved.
11. Final Provisions
11.1 The laws of the Republic of Cyprus shall apply, unless mandatory data protection provisions (in particular the GDPR) take precedence.
11.2 Amendments and additions to this DPA require written form.
11.3 Should any provision of this DPA be invalid, the validity of the remaining provisions shall remain unaffected.
11.4 In the event of contradictions between this DPA and the GTC, this DPA shall take precedence in data protection matters.
Annex 1: Technical and Organisational Measures (TOMs)
The following measures are implemented by the Processor and its hosting provider Dawico Deutschland GmbH:
Physical Access Control
- Hosting in ISO 27001-certified data centers of Dawico Deutschland GmbH (location: Germany)
- Access control systems, video surveillance, 24/7 security service at the data center
- Logging of all physical access
Logical Access Control
- Individual user IDs with strong password policies
- Two-factor authentication (2FA) for all administrators
- SSH key-based server access (no password login)
- Automatic lockout after failed login attempts
- VPN requirement for administrative access
Authorisation Control
- Role-based authorisation concept following the principle of least privilege
- Logging of data access and modifications
- Separation of development, testing and production environments
Transfer Control / Encryption
- Encrypted data transmission (TLS 1.2+) for all connections
- HSTS (HTTP Strict Transport Security) enabled
- Encrypted database backups
- No unencrypted transmission of personal data by email
Input Control
- Logging of data changes (audit log)
- Version control for configurations via version control systems
Availability and Resilience
- Daily automated backups (retained for 30 days)
- Redundant server infrastructure at Dawico
- DDoS protection and Web Application Firewall (WAF)
- Monitoring and alerting systems (24/7)
- Disaster recovery plan with documented recovery procedures
- Target availability: 99.5% on an annual average
Separation Control
- Tenant separation: Each customer instance runs in its own WordPress installation with its own database
- Logical separation of customer data at the database level
Procedures for Regular Review
- Regular security audits and code reviews
- Automated vulnerability scanning
- Regular updates and patching of all system components
- Employee training on data protection and IT security
- Review and update of TOMs at least annually
