Auftragsverarbeitungsvertrag

§ 1 Parteien

Durch Aktivierung der Checkbox „Ich akzeptiere den AVV" im Onboarding-Formular kommt dieser Vertrag verbindlich zustande. Datum und Uhrzeit der Zustimmung werden protokolliert.

§ 2 Gegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Verantwortlichen die nachfolgend beschriebenen Dienstleistungen, im Rahmen derer personenbezogene Daten verarbeitet werden:

• Entgegennahme und Weiterleitung von Kontaktanfragen (Leads) über das bereitgestellte Webformular
• Speicherung der Anfragen im CRM-System (EspoCRM) auf dem Server des Auftragsverarbeiters
• KI-gestützte Analyse der Anfrage (Zusammenfassung, Kategorie, Dringlichkeit)
• Erstellung und Versand von Angeboten als PDF per E-Mail an den Kunden
• Automatisierte Erinnerungsfunktion bei offenen Leads

Die Laufzeit entspricht der Nutzungsdauer des LeadSystems. Der Vertrag endet mit Kündigung des Nutzungsverhältnisses.

§ 3 Art und Zweck der Verarbeitung

Verarbeitete Datenkategorien

• Name, E-Mail-Adresse, Telefonnummer der Endkunden (Interessenten)
• Anschrift / Standort (sofern im Formular angegeben)
• Freitext-Beschreibung des Anliegens
• Zeitstempel der Kontaktaufnahme

Betroffene Personen

Endkunden (Interessenten) des Auftraggebers, die das Webformular ausfüllen.

Zweck

Verwaltung und Bearbeitung eingehender Kundenanfragen im Auftrag des Verantwortlichen.

§ 4 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten
• Zur Vertraulichkeit der verarbeiteten Daten (alle verarbeitenden Personen sind zur Vertraulichkeit verpflichtet)
• Alle erforderlichen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO zu ergreifen
• Den Verantwortlichen unverzüglich zu informieren, wenn eine erteilte Weisung gegen DSGVO oder nationales Datenschutzrecht verstößt
• Den Verantwortlichen bei der Erfüllung von Betroffenenrechten (Auskunft, Löschung, Berichtigung) zu unterstützen
• Nach Beendigung des Auftrags alle Daten zu löschen oder zurückzugeben
• Alle für die Kontrolle nach Art. 28 Abs. 3 lit. h DSGVO erforderlichen Informationen bereitzustellen

§ 5 Technische und organisatorische Maßnahmen (TOMs)

• Hosting: Hetzner Cloud, Rechenzentrum Deutschland (Falkenstein), ISO 27001 zertifiziert
• Transportverschlüsselung: HTTPS/TLS 1.2+ für alle Verbindungen
• Zugriffskontrolle: Passwortgeschützter CRM-Zugang, SSH-Key-Authentifizierung am Server
• E-Mail-Versand: Resend (EU-konform), SPF/DKIM konfiguriert
• Datentrennung: Jeder Betrieb erhält einen isolierten Bereich (slug-basiert)
• Backups: Regelmäßige Datensicherung auf Serverebene
• Subauftragsverarbeiter: Hetzner Cloud GmbH, Resend Inc. (Datenverarbeitungsverträge vorhanden)

§ 6 Unterauftragsverarbeiter

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

• Hetzner Cloud GmbH (Industriestr. 25, 91710 Gunzenhausen) — Serverhosting, Rechenzentrum Falkenstein/DE
• Resend Inc. — E-Mail-Zustelldienst (EU-Datenschutzkonforme Nutzung)
• OpenAI Ireland Ltd. — KI-Analyse (gpt-4o-mini), Verarbeitung ausschließlich im Rahmen des Zero Data Retention Agreements

Der Auftraggeber erteilt hiermit seine generelle Genehmigung für den Einsatz dieser Unterauftragsverarbeiter. Änderungen werden mindestens 14 Tage im Voraus per E-Mail mitgeteilt.

§ 7 Rechte des Verantwortlichen

• Weisungsrecht bezüglich der Datenverarbeitung
• Recht auf Kontrolle und Auditierung (mit angemessener Voranmeldung)
• Recht auf sofortige Löschung aller Daten bei Vertragsende
• Informationsrecht bei Datenpannen (unverzügliche Meldung innerhalb von 72h)

§ 8 Haftung

Die Haftungsregelungen richten sich nach Art. 82 DSGVO. Jede Partei haftet für Schäden, die durch eine ihr zurechenbare Verletzung dieses Vertrags oder der DSGVO entstehen.

§ 9 Schlussbestimmungen

Es gilt deutsches Recht. Gerichtsstand ist Sinsheim, Baden-Württemberg.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Änderungen dieses Vertrags bedürfen der Textform. Der Auftraggeber wird über wesentliche Änderungen per E-Mail informiert und hat das Recht, den Vertrag innerhalb von 14 Tagen zu kündigen.