Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem (der "Kunde") und der DigitalToolsList Extended UG (haftungsbeschränkt), Paalende 26, 22149 Hamburg, Deutschland, als Auftragsverarbeiter (der "Anbieter", "wir").

Dieser Vertrag ("AVV") ergänzt die Allgemeinen Geschäftsbedingungen für die Nutzung von ScanToPitch (der "Hauptvertrag"). Er gilt, soweit der Kunde bei der Nutzung des Dienstes personenbezogene Daten speichert oder verwaltet, für die er selbst datenschutzrechtlich Verantwortlicher ist (insbesondere die in Ziffern 3 und 4 beschriebenen Lead-Daten).

1. Gegenstand und Dauer der Verarbeitung

Gegenstand der Verarbeitung ist die Bereitstellung der Software-as-a-Service-Anwendung ScanToPitch, in der der Kunde recherchierte Unternehmensdaten speichert, organisiert und bearbeitet (insbesondere in Listen, Wiedervorlagen und Erinnerungen sowie mit eigenen Notizen, manuellen Ergänzungen und Korrekturen).

Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrags. Sie endet mit der Löschung des Kundenkontos oder mit der vollständigen Löschung der betreffenden Daten durch den Kunden, je nachdem, welcher Zeitpunkt früher liegt.

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst die Speicherung, Ordnung, Anzeige, Veränderung, Auswertung, den Export sowie die Einschränkung und Löschung der Daten innerhalb der Anwendung.

Zweck der Verarbeitung ist die Recherche, Bewertung und Organisation potenzieller Geschäftskontakte durch den Kunden zur Vorbereitung einer eigenen Geschäftsanbahnung. Die Verantwortung für die Rechtmäßigkeit einer Kontaktaufnahme liegt allein beim Kunden (siehe Hauptvertrag).

3. Kategorien betroffener Personen

• Inhaberinnen und Inhaber der recherchierten Unternehmen,
• Beschäftigte und öffentlich genannte Ansprechpersonen dieser Unternehmen.

4. Kategorien personenbezogener Daten

• Geschäftliche Kontaktdaten: Name des Unternehmens, Namen öffentlich genannter Ansprechpersonen, geschäftliche E-Mail-Adressen und Telefonnummern, Anschrift, Website-Adresse,
• Vom Kunden erfasste Inhalte: eigene Notizen, manuelle Ergänzungen und Korrekturen, Zuordnungen zu Listen und Erinnerungen,
• Analyseergebnisse zur Website des jeweiligen Unternehmens (Messwerte, Bewertungen, Screenshots), soweit sie personenbeziehbar sind.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung und dürfen vom Kunden nicht in der Anwendung gespeichert werden.

5. Rollenverteilung

Für die in Ziffern 3 und 4 beschriebenen Daten, die der Kunde in seinem Konto speichert und verwaltet ("Lead-Daten"), ist der Kunde Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO; wir verarbeiten diese Daten als Auftragsverarbeiter nach Art. 28 DSGVO.

Unberührt bleiben Verarbeitungen, die wir zur Bereitstellung und zum Betrieb des Dienstes in eigener Verantwortung durchführen (insbesondere das Auffinden und die Analyse öffentlich zugänglicher Unternehmensdaten, Zwischenspeicherung, Missbrauchsprävention und Abrechnung); hierüber informieren unsere Datenschutzerklärung und die Betroffeneninformation.

6. Weisungen des Kunden

Wir verarbeiten die Lead-Daten ausschließlich auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, sofern nicht das Recht der Union oder eines Mitgliedstaats uns zu einer Verarbeitung verpflichtet; in einem solchen Fall teilen wir dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Die Nutzung der Funktionen der Anwendung durch den Kunden gilt als Weisung. Weitergehende Weisungen bedürfen der Textform. Sind wir der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informieren wir den Kunden unverzüglich; wir dürfen die Ausführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung aussetzen.

7. Vertraulichkeit

Wir gewähren nur solchen Personen Zugang zu den Lead-Daten, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

8. Sicherheit der Verarbeitung

Wir treffen alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses vereinbarten Maßnahmen sind in Anlage 1 beschrieben. Wir dürfen die Maßnahmen an die technische Entwicklung anpassen, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird.

9. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zur Einschaltung von Unterauftragsverarbeitern (Art. 28 Abs. 2 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus der Übersicht "Auftragsverarbeiter und Empfänger" in unserer Datenschutzerklärung; Anlage 2 verweist auf diese Liste.

Über beabsichtigte Änderungen (Hinzuziehung oder Ersetzung von Unterauftragsverarbeitern) informieren wir den Kunden vorab in Textform mit einer Frist von 30 Tagen. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine einvernehmliche Lösung zustande, kann jede Partei den Hauptvertrag zum Ende der laufenden Abrechnungsperiode kündigen.

Wir verpflichten Unterauftragsverarbeiter durch Vertrag auf im Wesentlichen dieselben Datenschutzpflichten, wie sie in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Für Übermittlungen in Drittländer gelten die Garantien nach Art. 44 ff. DSGVO; Einzelheiten je Dienstleister enthält die Datenschutzerklärung.

10. Unterstützung des Kunden

Wir unterstützen den Kunden mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Art. 12 bis 23 DSGVO zu beantworten, insbesondere durch die in der Anwendung verfügbaren Anzeige-, Berichtigungs-, Export- und Löschfunktionen. Bei uns eingehende Anträge betroffener Personen, die erkennbar die Lead-Daten des Kunden betreffen, leiten wir unverzüglich an den Kunden weiter.

Unter Berücksichtigung der Art der Verarbeitung und der uns zur Verfügung stehenden Informationen unterstützen wir den Kunden bei der Einhaltung seiner Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

11. Meldung von Verletzungen des Schutzes personenbezogener Daten

Wir melden dem Kunden jede Verletzung des Schutzes der Lead-Daten unverzüglich, nachdem sie uns bekannt geworden ist, und stellen ihm die Informationen nach Art. 33 Abs. 3 DSGVO zur Verfügung, soweit sie uns vorliegen.

12. Löschung und Rückgabe

Nach Abschluss der Erbringung der Verarbeitungsleistungen löschen wir die Lead-Daten oder geben sie zurück, nach Wahl des Kunden, und löschen vorhandene Kopien, sofern nicht eine gesetzliche Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Der Kunde kann seine Daten jederzeit selbst über die Exportfunktionen der Anwendung sichern (u. a. CSV, Excel, JSON) und über die Löschfunktionen entfernen; mit der Löschung des Kontos werden sämtliche Lead-Daten dauerhaft gelöscht. Soweit gesetzliche Aufbewahrungspflichten bestehen, wird die Verarbeitung stattdessen eingeschränkt.

13. Nachweise und Prüfungen

Wir stellen dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglichen und unterstützen Überprüfungen einschließlich Inspektionen, die vom Kunden oder einem von ihm beauftragten Prüfer durchgeführt werden.

Prüfungen erfolgen in der Regel zunächst durch die Bereitstellung geeigneter Nachweise (z. B. Dokumentationen, Zertifizierungen oder Prüfberichte).

14. Haftung und Schlussbestimmungen

Die Haftung der Parteien richtet sich nach den Regelungen des Hauptvertrags; Art. 82 DSGVO bleibt unberührt.

Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag geht in Bezug auf die Verarbeitung der Lead-Daten dieser AVV vor. Es gilt das Recht der Bundesrepublik Deutschland. Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Technische und organisatorische Maßnahmen (TOMs)

• Zugangs- und Zugriffskontrolle: mandantengetrennte Datenhaltung mit zeilenbasierten Zugriffsregeln (Row-Level-Security) auf allen Kundendaten-Tabellen; privilegierte Schlüssel ausschließlich serverseitig; passwortgeschützter, getrennt abgesicherter Administrationsbereich; Zugriff nur für autorisiertes Personal.
• Verschlüsselung: Transportverschlüsselung (TLS) für alle Verbindungen; Verschlüsselung gespeicherter Daten bei den Hosting-Anbietern; Ablage von Screenshots in einem nicht öffentlichen Speicherbereich.
• Verfügbarkeit und Belastbarkeit: tägliche Datensicherungen der Produktionsdatenbank, Wiederherstellungsverfahren, laufende Betriebs- und Erreichbarkeitsüberwachung, Schutzmechanismen gegen Überlast (Ratenbegrenzungen) und fehlgeschlagene Verarbeitungen (automatische Wiederholung, Zeitwächter).
• Datenhaltung in der EU: Datenbank, Authentifizierung und Speicher in einer EU-Region; Web-Hosting in der EU-Region Frankfurt; Scan-Server in einem Rechenzentrum in Deutschland.
• Löschkonzept: Kontolöschung mit kaskadierender Löschung aller Kundendaten; Datenexport für Kunden; automatische Bereinigung temporärer Dateien und Caches nach definierten Fristen.
• Regelmäßige Überprüfung: fortlaufende Weiterentwicklung und Prüfung der Maßnahmen im Rahmen des Entwicklungsprozesses; Dokumentation der Maßnahmen im internen Verzeichnis der Verarbeitungstätigkeiten.

Anlage 2: Unterauftragsverarbeiter

Die aktuelle Liste der eingesetzten Unterauftragsverarbeiter (Dienst, Anbieter, Zweck, Sitz, Drittland-Garantie) ist in der Übersicht "Auftragsverarbeiter und Empfänger" unserer Datenschutzerklärung enthalten und wird dort aktuell gehalten.