Auftragsverarbeitungsvertrag (AVV)

1. Gegenstand und Dauer

Gegenstand der Auftragsverarbeitung ist der Betrieb der Softwareplattform CRMax, im Rahmen derer der Auftragnehmer personenbezogene Daten, die der Auftraggeber in die Plattform einpflegt (insbesondere Lead-Kontaktdaten), im Auftrag und nach Weisung des Auftraggebers verarbeitet.

Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags (AGB). Bei Beendigung des Hauptvertrags endet auch dieser AVV.

2. Art, Zweck und Umfang der Verarbeitung

Art der Verarbeitung: Speicherung, Strukturierung, Abfrage, Übermittlung (an SMTP-Server des Auftraggebers), Löschung sowie - sofern der Auftraggeber das Tracking für eine Kampagne aktiviert hat - die Erhebung und Auswertung von Öffnungs- und Klickereignissen der Empfänger der versendeten E-Mails.

Das Tracking ist je Kampagne einzeln zu aktivieren und standardmäßig deaktiviert. Erfasst werden dabei ausschließlich die Tatsache und der Zeitpunkt der Öffnung bzw. des Klicks, deren Anzahl, die aufgerufene Zieladresse und die Zuordnung zur versendeten E-Mail; IP-Adresse und Browserkennung (User-Agent) der Empfänger werden nicht gespeichert.

Zweck: Bereitstellung der CRM- und E-Mail-Automatisierungsfunktionen gemäß dem geschlossenen Hauptvertrag.

Kategorien betroffener Personen: Kontaktpersonen (Leads), die der Auftraggeber in CRMax importiert, in der Regel Mitarbeiter oder Vertreter von Unternehmen (B2B-Kontext).

Kategorien personenbezogener Daten: Name, E-Mail-Adresse, Unternehmen, Position, Telefonnummer, weitere vom Auftraggeber importierte Felder, Inhalte und Metadaten der versendeten E-Mails sowie bei aktiviertem Tracking Öffnungs- und Klickereignisse.

3. Weisungsgebundenheit

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Die Nutzung der Plattform durch den Auftraggeber gilt als dokumentierte Weisung. Die Weisungen können sich auch auf die Übermittlung personenbezogener Daten an ein Drittland beziehen, sofern eine solche Übermittlung im Rahmen des Dienstes vorgesehen ist. Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt.

Der Auftraggeber ist für die Zulässigkeit der Verarbeitung der von ihm eingestellten personenbezogenen Daten sowie für die Rechtmäßigkeit seiner Weisungen allein verantwortlich. Er sichert zu, über eine tragfähige Rechtsgrundlage für die Verarbeitung und den Versand zu verfügen. Der Auftraggeber stellt den Auftragnehmer von sämtlichen Ansprüchen Dritter, behördlichen Maßnahmen und Bußgeldern einschließlich angemessener Rechtsverteidigungskosten frei, die darauf beruhen, dass die eingestellten Daten oder die erteilten Weisungen gegen geltendes Recht verstoßen.

4. Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

5. Technisch-organisatorische Maßnahmen (TOMs)

Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dies umfasst insbesondere:

• Verschlüsselung: Datenübertragung ausschließlich über TLS/HTTPS (mind. TLS 1.2). SMTP-Zugangsdaten verschlüsselt mit AES-256-GCM.
• Authentifizierung: Anmeldung ausschließlich per E-Mail-Magic-Link; es werden keine Passwörter gespeichert. Sitzungs-Token sind serverseitig signiert.
• Zugriffskontrolle: Mandantentrennung auf Datenbankebene; jeder Kunde hat Zugriff ausschließlich auf eigene Daten. Keine gemeinsamen Datenpools zwischen Kunden.
• Verfügbarkeit: Automatisierte Datenbankbackups (nächtlich); AES-256-GCM-verschlüsselt gespeichert bei Backblaze B2 (30-Tage-Aufbewahrung).
• Integrität: Transaktionsisolation in der Datenbank (LibSQL/SQLite).
• Pseudonymisierung und Minimierung: Keine Verarbeitung über den zur Diensterbringung notwendigen Umfang hinaus.

6. Einsatz von Sub-Auftragsverarbeitern

Der Auftraggeber erteilt dem Auftragnehmer eine allgemeine Genehmigung zum Einsatz der folgenden Sub-Auftragsverarbeiter. Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen in Bezug auf hinzukommende oder ersetzende Sub-Auftragsverarbeiter und gibt ihm dadurch die Möglichkeit, Einwände zu erheben. Erhebt der Auftraggeber aus berechtigten datenschutzrechtlichen Gründen Einwände und lässt sich keine einvernehmliche Lösung finden, ist jede Partei berechtigt, den von der Änderung betroffenen Dienst mit angemessener Frist zu kündigen.

• Oracle Corporation (Oracle Cloud Infrastructure), EU (Frankfurt) - Anwendungshosting sowie Betrieb der selbst gehosteten SQLite-Datenbank auf demselben Server. Zweck: Betrieb der Webanwendung und Speicherung aller Kundendaten. Ein separater Datenbank-Auftragsverarbeiter wird nicht eingesetzt.
• Cloudflare, Inc., USA/EU - CDN, DDoS-Schutz und Objektspeicher (Cloudflare R2). Zweck: Netzwerkinfrastruktur sowie Speicherung der vom Auftraggeber hochgeladenen Dokumente (signierte Verträge, Rechnungen, Media-Kit-Dateien). Übermittlungsgarantie: EU-Standardvertragsklauseln / EU-US Data Privacy Framework.
• Backblaze, Inc. (Backblaze B2), EU (Amsterdam) - verschlüsselter Objektspeicher für die nächtlichen Datenbankbackups. Zweck: Ausfallsicherung. Die Backups sind vor dem Hochladen mit AES-256-GCM verschlüsselt; der Sub-Auftragsverarbeiter hat keinen Zugriff auf den Schlüssel. Übermittlungsgarantie: SCC vorhanden.
• Zoho Corporation B.V. (Zoho Mail), EU (Amsterdam) - SMTP-Relay für Anmelde-E-Mails (Magic-Link-Login) und systeminterne Benachrichtigungen. Zweck: Versand von System- und Authentifizierungs-E-Mails. Übermittlungsgarantie: SCC vorhanden.
• Brevo (Sendinblue SAS), Frankreich - Transaktionale E-Mails (systeminterne Benachrichtigungen). Zweck: Versand von Systemnachrichten.
• Stripe, Inc., USA/EU - Zahlungsabwicklung (bei kostenpflichtigen Tarifen). Zweck: Abrechnung und Rechnungsstellung.

Der Auftragnehmer schließt mit allen Sub-Auftragsverarbeitern AVV-Vereinbarungen entsprechend den Anforderungen des Art. 28 Abs. 4 DSGVO ab.

7. Unterstützung bei der Wahrnehmung von Betroffenenrechten

Der Auftragnehmer unterstützt den Auftraggeber soweit möglich durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte gemäß Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu beantworten.

8. Unterstützung bei der Erfüllung von Art. 32–36 DSGVO

Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten (Datensicherheit, Datenschutz-Folgenabschätzung, Meldepflichten) unter Berücksichtigung der Art der Verarbeitung und der dem Auftragnehmer zur Verfügung stehenden Informationen.

9. Löschung und Rückgabe von Daten

Nach Ende der Erbringung der Verarbeitungsleistungen sind alle personenbezogenen Daten nach Wahl des Auftraggebers zu löschen oder zurückzugeben und vorhandene Kopien zu vernichten, sofern nicht eine Verpflichtung zur Speicherung der personenbezogenen Daten nach dem Unionsrecht oder dem Recht der Mitgliedstaaten besteht.

Standardmäßig erfolgt die Löschung aller Kundendaten innerhalb von 30 Tagen nach Vertragsende, sofern der Auftraggeber nicht zuvor einen Datenexport angefordert hat.

10. Nachweis der Einhaltung und Prüfrechte

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen - einschließlich Inspektionen - durch den Auftraggeber oder einen vom Auftraggeber beauftragten Prüfer. Inspektionen sind mit einer Vorlauffrist von mindestens 14 Tagen schriftlich anzukündigen und auf das notwendige Maß zu beschränken.

11. Mitteilungspflichten bei Datenpannen

Der Auftragnehmer benachrichtigt den Auftraggeber unverzüglich, spätestens innerhalb von 72 Stunden, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die zur Gefährdung der Rechte und Freiheiten natürlicher Personen führen kann.