Auftragsverarbeitungsvereinbarung (AVV)

01Parteien, Geltungsbereich und Rangfolge

1. Diese Auftragsverarbeitungsvereinbarung (die „AVV“) wird zwischen dem Kunden (dem „Verantwortlichen“) und [●] (dem „Auftragsverarbeiter“) geschlossen und ist Bestandteil der AGB (der „Hauptvertrag“). Sie gilt ab Abschluss des Hauptvertrags ohne gesonderte Unterschrift; ein unterzeichnetes Exemplar erhalten Sie auf Anfrage.
2. Sie gilt für personenbezogene Daten, die der Verantwortliche oder seine Nutzer im Dienst eingeben, hochladen oder anderweitig bereitstellen („Personenbezogene Daten des Verantwortlichen“).
3. Verarbeitet der Kunde diese Daten selbst im Auftrag seines eigenen Kunden (als Auftragsverarbeiter) und ist der Auftragsverarbeiter dessen Unterauftragsverarbeiter, stellt der Kunde sicher, dass seine Weisungen mit denen seines Verantwortlichen im Einklang stehen.
4. Bei Widersprüchen zu personenbezogenen Daten geht die AVV den AGB vor; Standardvertragsklauseln, soweit anwendbar, gehen beiden vor.

02Gegenstand, Art, Zweck und Dauer

Gegenstand ist die Verarbeitung der Personenbezogenen Daten des Verantwortlichen zur Erbringung des Dienstes: Hosting, Speicherung, Ordnung, Anzeige, Abruf, Übermittlung (E-Mail, SMS, Webhooks), Sicherung und Löschung von Daten sowie Support und Sicherheit. Die Verarbeitung dauert für die Laufzeit des Hauptvertrags und den Zeitraum, der zur Rückgabe oder Löschung der Daten erforderlich ist (Abschnitt 10). Einzelheiten: Anlage 1.

03Weisungen des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen sind der Hauptvertrag und diese AVV, die Nutzung der Funktionen des Dienstes durch den Verantwortlichen (Konfiguration, Dateneingabe, Automationen, Integrationen) und angemessene schriftliche Weisungen, die mit dem Dienst vereinbar sind.
2. Verpflichtet das Recht der EU oder eines Mitgliedstaats den Auftragsverarbeiter zu einer anderen Verarbeitung, teilt er dies dem Verantwortlichen vor der Verarbeitung mit, sofern das Recht diese Mitteilung nicht verbietet.
3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung seiner Ansicht nach gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 lit. h DSGVO).
4. Der Auftragsverarbeiter verarbeitet die Personenbezogenen Daten des Verantwortlichen nicht für eigene Zwecke, außer um: den Dienst zu erbringen, zu warten und zu sichern; Betriebsstatistiken ohne Inhalt der Daten des Verantwortlichen zu erstellen; und rechtliche Pflichten zu erfüllen.

04Vertraulichkeit und Personal

Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind (auch nach Ende der Tätigkeit), nur im für ihre Aufgaben nötigen Umfang Zugriff haben und im Datenschutz geschult sind.

05Sicherheit

Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen, dem Risiko angemessenen technischen und organisatorischen Maßnahmen ein (Art. 32 DSGVO). Er darf sie aktualisieren, sofern er das Gesamtschutzniveau nicht senkt.

06Unterauftragsverarbeiter

1. Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zur Nutzung der in Anlage 3 genannten Unterauftragsverarbeiter.
2. Beabsichtigte Hinzufügungen oder Ersetzungen eines Unterauftragsverarbeiters teilt der Auftragsverarbeiter dem Verantwortlichen mindestens 30 Tage im Voraus mit (per E-Mail an den Inhaber des Arbeitsbereichs oder durch Aktualisierung der Anlage 3). Der Verantwortliche kann innerhalb von 14 Tagen aus berechtigten datenschutzrechtlichen Gründen widersprechen.
3. Können die Parteien einen Widerspruch nicht ausräumen, kann der Verantwortliche den betroffenen Teil des Dienstes kündigen, und der Auftragsverarbeiter erstattet die Entgelte für den Zeitraum nach der Kündigung.
4. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern Pflichten auf, die den Pflichten dieser AVV mindestens gleichwertig sind, und haftet gegenüber dem Verantwortlichen für deren Erfüllung (Art. 28 Abs. 4 DSGVO).

07Unterstützung des Verantwortlichen

1. Anträge betroffener Personen: Der Auftragsverarbeiter leitet einen eingegangenen Antrag binnen 5 Werktagen an den Verantwortlichen weiter, ohne in der Sache zu antworten, und stellt Funktionen bereit, mit denen Anträge erfüllt werden können (Suche, Export, Bearbeiten, Löschen).
2. Folgenabschätzung und Konsultation: Auf Anfrage stellt er die für Datenschutz-Folgenabschätzungen und die vorherige Konsultation der Aufsichtsbehörde nötigen Informationen bereit (Art. 35–36 DSGVO).
3. Verletzungen: Er meldet dem Verantwortlichen eine Verletzung des Schutzes Personenbezogener Daten des Verantwortlichen unverzüglich, spätestens binnen 48 Stunden nach Kenntnis, mit den verfügbaren Angaben (Art der Verletzung, Kategorien und ungefähre Zahl der Personen und Datensätze, wahrscheinliche Folgen, ergriffene Maßnahmen) und wirkt bei der Aufklärung mit.
4. Die Unterstützung ist Teil des Dienstes und kostet nichts extra; erfordert sie unverhältnismäßigen Aufwand, vereinbaren die Parteien vorab eine angemessene Vergütung.

08Informationen und Audits

1. Der Auftragsverarbeiter stellt dem Verantwortlichen die Informationen bereit, die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlich sind.
2. Der Verantwortliche (oder ein zur Verschwiegenheit verpflichteter unabhängiger Prüfer) kann höchstens einmal in 12 Monaten (und nach einer Datenschutzverletzung) ein Audit durchführen, mit 30 Tagen Vorankündigung, während der Geschäftszeiten, ohne den Betrieb zu stören und ohne Zugang zu Daten anderer Kunden. Die Kosten des Audits trägt der Verantwortliche.
3. Der Auftragsverarbeiter kann diese Pflicht durch aktuelle unabhängige Berichte oder Zertifizierungen oder durch Ausfüllen eines Fragebogens erfüllen. Die Befugnisse der Aufsichtsbehörde bleiben unberührt.

09Übermittlungen in Drittländer

Der Auftragsverarbeiter strebt an, Daten im Europäischen Wirtschaftsraum zu verarbeiten; die Verarbeitungsorte jedes Unterauftragsverarbeiters nennt Anlage 3. Eine Übermittlung außerhalb des EWR erfolgt nur auf dokumentierte Weisung und mit den Garantien nach Kapitel V DSGVO (Angemessenheitsbeschluss, Standardvertragsklauseln oder eine andere gültige Grundlage).

10Rückgabe und Löschung

Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten 30 Tage lang mit den Funktionen des Dienstes exportieren. Danach löscht der Auftragsverarbeiter die Personenbezogenen Daten des Verantwortlichen unwiderruflich aus den Produktivsystemen; Backups werden in einem Zyklus von höchstens 35 Tagen überschrieben. Auf Anfrage bestätigt er die Löschung. Ausgenommen sind Daten, die der Auftragsverarbeiter nach dem Recht aufbewahren muss.

11Haftung

Die Haftung der Parteien richtet sich nach dem Hauptvertrag, unbeschadet der Rechte betroffener Personen nach Art. 82 DSGVO.

12Laufzeit und Schlussbestimmungen

Diese AVV gilt, solange der Auftragsverarbeiter Personenbezogene Daten des Verantwortlichen verarbeitet. Es gilt polnisches Recht, und Streitigkeiten entscheiden die Gerichte nach dem Hauptvertrag. Sie kann im Verfahren zur Änderung der AGB (Abschnitt 14 der AGB) oder schriftlich geändert werden.

Anlage 1 — Beschreibung der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen

• Zugriffskontrolle und Authentifizierung: Passwörter als Argon2id-Hashes; Mehr-Faktor-Authentifizierung (Authenticator-App, SMS-Code, Passkeys, Backup-Codes), erzwingbar für das gesamte Team; Sitzungsrichtlinie mit absoluter und Inaktivitätsgrenze, Warnungen bei Anmeldung von neuen Geräten, Fernwiderruf von Sitzungen, optionale IP-Allowlist; Nutzerrollen und -berechtigungen (Inhaber, Admin, Manager, Mitarbeiter, Betrachter).
• Verschlüsselung: Daten bei der Übertragung verschlüsselt (TLS); in der Datenbank gespeicherte Geheimnisse (API-Schlüssel, Postfachpasswörter, Webhook- und TOTP-Secrets) mit AES-256-GCM verschlüsselt, der Schlüssel liegt außerhalb der Datenbank.
• Datentrennung: Jeder Datensatz ist der Firmenkennung des Kunden zugeordnet, und der Zugriff wird serverseitig durchgesetzt.
• Protokollierung und Nachvollziehbarkeit: ein Änderungsprotokoll, das über die Oberfläche nicht bearbeitet oder gelöscht werden kann (wer, was, wann, IP-Adresse), und ein Anmeldeprotokoll; Wiederherstellung gelöschter Datensätze möglich (Soft Delete).
• Missbrauchsschutz: Rate Limiting; ausgehende Verbindungen (Webhooks, Postfächer) in private und interne Netze blockiert; API-Schlüssel nur als Hash gespeichert und einmal angezeigt.
• Kontinuität: regelmäßige Backups von Datenbank und Dateien; Trennung von Web-Oberfläche und Hintergrundprozessen.
• Organisation: Vertraulichkeitsverpflichtungen, Prinzip der minimalen Rechte, Verfahren für Vorfälle und Meldung von Verletzungen, Bewertung von Lieferanten, Löschverfahren.

Anlage 3 — Unterauftragsverarbeiter

Der Auftragsverarbeiter nutzt folgende Unterauftragsverarbeiter:

Dienste, die der Verantwortliche selbst an den Dienst anbindet — darunter sein eigenes Stripe-Konto (Buchungszahlungen), sein eigenes Postfach (IMAP/SMTP), HubSpot oder Pipedrive (Migration) und Webhook-Endpunkte — sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; der Verantwortliche ist für seine Verträge mit ihnen verantwortlich.