Auftragsverarbeitungs-Vertrag (AVV)
Vereinbarung gemäß Art. 28 DSGVO zwischen dir (Verantwortlicher) und dem Anbieter (Auftragsverarbeiter) über die Verarbeitung der von dir eingebrachten Daten Dritter.
Präambel
Soweit du als Nutzer im Networking Agent Daten Dritter (insbesondere deiner Kontakte) verarbeitest, bist du für diese Verarbeitung Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der Anbieter handelt insoweit ausschließlich auf deine Weisung als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Mit der Zustimmung zu diesem AVV werden die nachfolgenden Regelungen Vertragsbestandteil.
§ 1 Gegenstand, Dauer und Beendigung
(1) Gegenstand der Auftragsverarbeitung ist die Bereitstellung des Networking Agent und die im Rahmen seiner bestimmungsgemäßen Nutzung entstehende Verarbeitung personenbezogener Daten Dritter.
(2) Die Auftragsverarbeitung beginnt mit der Registrierung und endet automatisch mit der Beendigung des Nutzungsvertrags. Eine gesonderte Kündigung des AVV ist nicht erforderlich; sie ist nur dann denkbar, wenn der Hauptvertrag (AGB) fortgeführt würde — was in der Beta-Phase nicht vorgesehen ist.
§ 2 Art, Umfang und Zweck der Verarbeitung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten Dritter ausschließlich zu folgenden Zwecken:
- Speicherung und Strukturierung der vom Verantwortlichen eingebrachten Kontaktdaten;
- automatisierte Erinnerung des Verantwortlichen an Kontaktanlässe;
- KI-gestützte Analyse eingehender Update-E-Mails und Zuordnung zu existierenden Kontakten;
- KI-gestützte Erstellung von Entwurfsvorschlägen für Kontaktreaktivierungs-Mails;
- Bereitstellung von Such-, Filter- und Exportfunktionen.
Eigene Zwecke des Auftragsverarbeiters über die Bereitstellung des Dienstes hinaus bestehen nicht. Insbesondere werden die verarbeiteten Daten nicht zum Training fremder Modelle, zu Werbezwecken oder zur Profilbildung verwendet.
§ 3 Art der personenbezogenen Daten und Kreis der Betroffenen
(1) Datenarten: Stammdaten (Name, E-Mail-Adresse, ggf. Telefonnummer, Anschrift), Interaktionsdaten (Datum, Typ, Notizen), freie Notizfelder, Inhalte eingehender Update-E-Mails einschließlich Header.
(2) Kreis der Betroffenen: Geschäftliche und private Kontakte des Verantwortlichen, deren Daten der Verantwortliche im Dienst hinterlegt oder die ihm Update-Mails an die Schnittstelle networking@deinerfolg.ai senden.
§ 4 Weisungsbefugnisse des Verantwortlichen
(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Die Weisungen ergeben sich aus diesem AVV, den AGB und der Datenschutzerklärung sowie aus den im laufenden Betrieb durch den Verantwortlichen vorgenommenen Konfigurationen und Eingaben in den Dienst.
(2) Einzelweisungen können formlos per E-Mail an mail@alexanderjunge.de erteilt werden und sind vom Auftragsverarbeiter zu dokumentieren.
(3) Sollte der Auftragsverarbeiter der Auffassung sein, dass eine Weisung gegen Datenschutzvorschriften verstößt, hat er den Verantwortlichen unverzüglich zu informieren.
§ 5 Subprozessoren
(1) Der Verantwortliche stimmt dem Einsatz folgender Subprozessoren zu:
| Subprozessor | Sitz / Verarbeitungsort | Leistung |
|---|---|---|
| Hostinger International Ltd. | Limassol, Zypern; Rechenzentrum Paris, Frankreich | Hosting des Application- und Datenbank-Containers |
| Microsoft Ireland Operations Limited | Dublin, Irland; Verarbeitung innerhalb der EU | Azure OpenAI Service: KI-Analyse und Entwurfsvorschläge |
| Strato AG | Berlin, Deutschland | Versand und Empfang von E-Mails über SMTP/IMAP |
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Kalendertage im Voraus über jeden geplanten Wechsel oder die Hinzunahme weiterer Subprozessoren (Mitteilung per E-Mail). Der Verantwortliche kann innerhalb von 14 Kalendertagen aus wichtigem datenschutzrechtlichen Grund widersprechen; im Falle eines berechtigten Widerspruchs steht beiden Seiten ein Sonderkündigungsrecht zu.
(3) Mit allen Subprozessoren bestehen schriftliche Auftragsverarbeitungs-Verträge im Sinne von Art. 28 DSGVO mit gleichwertigen Schutzstandards.
§ 6 Drittland-Übermittlungen
Eine Übermittlung personenbezogener Daten in Drittländer außerhalb des EWR findet nicht statt. Sämtliche Verarbeitungen erfolgen innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.
§ 7 Technische und organisatorische Maßnahmen (TOM)
Der Auftragsverarbeiter trifft die nachfolgend genannten Maßnahmen zur Sicherstellung eines dem Risiko angemessenen Schutzniveaus gemäß Art. 32 DSGVO:
7.1 Vertraulichkeit
- Zutrittskontrolle zum Rechenzentrum: ausschließlich durch zertifiziertes Personal des Hostinger-Rechenzentrums in Paris (ISO 27001-zertifiziert).
- Zugangskontrolle: passwortloses Magic-Link-Verfahren; kurzlebige Tokens; HttpOnly/SameSite=Lax/Secure-Session-Cookies.
- Zugriffskontrolle: anwendungsseitige Berechtigung pro Tenant; jeder Nutzer sieht ausschließlich Daten seines eigenen Tenants; Datenbank-Konten ohne Superuser-Rechte.
- Pseudonymisierung, soweit anwendbar: interne IDs sind UUIDs ohne Personenbezug; Log-Korrelations-IDs sind nicht personenbezogen.
7.2 Integrität
- Weitergabekontrolle: Transportverschlüsselung durchgängig per TLS (HTTPS) zwischen Client, Anwendung und Subprozessoren.
- Eingabekontrolle: alle Schreibvorgänge laufen über vorbereitete SQL-Statements; Audit-Spuren über Server-Logs (14 Tage Aufbewahrung).
7.3 Verfügbarkeit und Belastbarkeit
- Tägliche, verschlüsselte Backups der Datenbank am Standort Paris; Aufbewahrung mindestens 7 Tage rolling.
- Health-Checks auf Anwendungs- und Datenbank-Ebene; automatische Container-Neustarts bei Ausfall.
- Trennbarkeit: strikte Mandantentrennung über
tenant_idin allen geschäftlichen Tabellen.
7.4 Verfahren zur regelmäßigen Überprüfung
- Sicherheitsrelevante Abhängigkeiten werden regelmäßig auf bekannte Schwachstellen geprüft und zeitnah aktualisiert.
- Datenschutzrelevante Änderungen am Funktionsumfang werden vor Inbetriebnahme einer Datenschutz-Folgenabschätzung unterzogen, soweit erforderlich.
§ 8 Unterstützungspflichten des Auftragsverarbeiters
(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten gemäß Art. 12 ff. DSGVO. Anfragen Betroffener leitet er unverzüglich an den Verantwortlichen weiter.
(2) Bei einer Verletzung des Schutzes personenbezogener Daten benachrichtigt der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 72 Stunden nach Kenntniserlangung. Die Benachrichtigung enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Informationen.
(3) Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Anforderung bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO) und bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 36 DSGVO).
§ 9 Vertraulichkeit
Der Auftragsverarbeiter sichert zu, dass die zur Verarbeitung eingesetzten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der Tätigkeit fort.
§ 10 Kontroll- und Nachweispflichten
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage sämtliche Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses AVV erforderlich sind.
(2) Der Verantwortliche ist berechtigt, einmal jährlich nach vorheriger Anmeldung mit einer Frist von mindestens 14 Kalendertagen die Einhaltung der TOM beim Auftragsverarbeiter in zumutbarer Form zu überprüfen oder durch einen unabhängigen Dritten überprüfen zu lassen. Anlasslose Inspektionen sind ausgeschlossen.
§ 11 Rückgabe und Löschung nach Vertragsende
Nach Beendigung des Auftrags löscht oder gibt der Auftragsverarbeiter — nach Wahl des Verantwortlichen — alle personenbezogenen Daten zurück und löscht vorhandene Kopien, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Logdaten ohne Personenbezug bleiben davon unberührt.
§ 12 Haftung und Schlussbestimmungen
(1) Für die Haftung gelten die Regelungen des Hauptvertrags (AGB) entsprechend, soweit sich aus diesem AVV oder zwingenden gesetzlichen Vorschriften (insbesondere Art. 82 DSGVO) nichts anderes ergibt.
(2) Bei Widersprüchen zwischen den Bestimmungen dieses AVV und der AGB gehen die Bestimmungen dieses AVV vor, soweit es um datenschutzrechtliche Regelungen geht.
(3) Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien werden eine unwirksame Bestimmung durch eine wirksame Regelung ersetzen, die dem wirtschaftlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
(4) Es gilt deutsches Recht. Gerichtsstand ist München, soweit gesetzlich zulässig.