Vereinbarung zur Auftragsverarbeitung (Art. 28 DSGVO)

Gegenstand der Verarbeitung ist die Erbringung der Leistung „Leadscraper Autopilot" gemäß Hauptvertrag. Diese umfasst insbesondere:

Die im Einzelnen beauftragten Leistungsbausteine (Abs. 1 lit. a–f) ergeben sich aus dem Hauptvertrag bzw. der jeweiligen Leistungsbeschreibung.

Dauer: Diese Vereinbarung beginnt mit ihrer Unterzeichnung und endet mit der Beendigung des Hauptvertrags. Die Pflichten aus § 12 (Löschung und Rückgabe) sowie fortbestehende Vertraulichkeitspflichten überdauern das Vertragsende.

Eine ordentliche isolierte Kündigung dieser Vereinbarung ist ausgeschlossen; sie teilt das rechtliche Schicksal des Hauptvertrags. Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt; ein wichtiger Grund liegt für den Auftraggeber insbesondere vor, wenn der Auftragnehmer schwerwiegend oder nachhaltig gegen diese Vereinbarung verstößt.

Art der Verarbeitung: Erheben (aus öffentlich verfügbaren Quellen), Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegung durch Übermittlung (Versand von E-Mails und optional Briefen; Übergabe an den Auftraggeber), Abgleichen, Einschränken, Löschen und Vernichten personenbezogener Daten.

Zweck der Verarbeitung: Anbahnung geschäftlicher Kontakte zwischen dem Auftraggeber und Zielunternehmen (B2B-Geschäftsanbahnung / Direktakquise) im Rahmen und nach Maßgabe des Hauptvertrags.

Der Auftragnehmer erhebt personenbezogene Daten ausschließlich aus öffentlich verfügbaren Quellen (insbesondere Unternehmenswebsites, öffentliche Register, Presseveröffentlichungen). Für jeden erhobenen Datenpunkt wird die Herkunftsquelle dokumentiert und ist für den Auftraggeber einsehbar. Der Einsatz von Datenquellen, deren DSGVO-Konformität nicht sichergestellt ist (insbesondere zugekaufte Adressdatenbanken ohne nachvollziehbare Rechtsgrundlage), ist ausgeschlossen.

Die Verarbeitung findet ausschließlich in einem Mitgliedstaat der Europäischen Union oder in einem anderen Vertragsstaat des Abkommens über den Europäischen Wirtschaftsraum statt. Jede Verlagerung in ein Drittland bedarf der vorherigen dokumentierten Weisung oder Zustimmung des Auftraggebers und darf nur erfolgen, wenn die besonderen Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. ---

Identifikationsdaten: Name, Vorname, ggf. Titel;

geschäftliche Kontaktdaten: geschäftliche E-Mail-Adresse, geschäftliche Telefonnummer, geschäftliche Postanschrift (Unternehmensanschrift);

berufsbezogene Daten: Position/Funktion im Unternehmen, Abteilung, Zugehörigkeit zum Zielunternehmen;

öffentlich zugängliche Unternehmens- und Anlassdaten mit Personenbezug (z. B. in Presseveröffentlichungen, auf der Unternehmenswebsite oder in Registern genannte Funktionen, Zitate oder Anlässe wie Stellenausschreibungen, Expansion, Auszeichnungen), jeweils mit dokumentierter Quelle;

Kommunikationsdaten: Inhalte und Metadaten der im Rahmen der Kampagne geführten Korrespondenz (versendete Anschreiben, eingehende Antworten, optional Gesprächsnotizen aus telefonischer Vorqualifizierung).

geschäftliche Ansprechpartner der Zielunternehmen (Geschäftsführung, Inhaber, Fach- und Führungskräfte mit funktionsbezogenem Kontaktbezug) — ausschließlich im geschäftlichen Kontext (B2B);

Personen, die auf die Ansprache antworten (soweit abweichend von Ziff. 1, z. B. Assistenz, Vertretung);

soweit einschlägig: Mitarbeiter und Ansprechpartner des Auftraggebers, deren Daten zur Vertragsdurchführung verarbeitet werden (z. B. als Absender der Kampagnen-Postfächer).

Der Auftraggeber ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Er entscheidet über Zwecke und Mittel der Verarbeitung, insbesondere über die Zielgruppen-Kriterien, die Freigabe von Kampagnen und die Nutzung der übergebenen Kontakte. Der Auftraggeber ist für die Zulässigkeit der Verarbeitung — einschließlich der Rechtsgrundlage der werblichen Ansprache (insbesondere Art. 6 Abs. 1 lit. f DSGVO sowie die wettbewerbsrechtlichen Anforderungen des § 7 UWG) — verantwortlich.

Der Auftragnehmer verarbeitet personenbezogene Daten grundsätzlich als Auftragsverarbeiter im Sinne von Art. 4 Nr. 8, Art. 28 DSGVO, ausschließlich im Auftrag und nach dokumentierten Weisungen des Auftraggebers.

** ---

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

Der Hauptvertrag, diese Vereinbarung und die im Produkt vorgesehenen Freigabe-Mechanismen (insbesondere die Freigabe von Zielgruppen-Kriterien, Kampagnen und Nachrichtenvorlagen durch den Auftraggeber) gelten als dokumentierte Erst-Weisung. Weitere Weisungen erteilt der Auftraggeber in Textform (z. B. E-Mail oder über die Produkt-Oberfläche); mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

Weisungsberechtigte Personen des Auftraggebers und weisungsempfangsberechtigte Personen des Auftragnehmers werden im Hauptvertrag oder in Textform benannt. [Platzhalter: Benennung]

Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert er den Auftraggeber unverzüglich. Der Auftragnehmer ist berechtigt, die Durchführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung des jeweiligen Beschäftigungs- oder Auftragsverhältnisses fort.

Der Auftragnehmer setzt nur Personen ein, die mit den für sie relevanten Datenschutzbestimmungen vertraut gemacht wurden und regelmäßig sensibilisiert werden.

Der Auftragnehmer trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 2 beschrieben.

Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie weiterentwickeln und durch gleichwertige oder bessere Maßnahmen ersetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.

Der Auftragnehmer unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) (Art. 28 Abs. 3 lit. f DSGVO). ---

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung (Art. 28 Abs. 2 Satz 1 Alt. 2 DSGVO) zur Einschaltung der in Anlage 3 aufgeführten Unterauftragsverarbeiter.

Der Auftragnehmer informiert den Auftraggeber vorab in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann der Änderung innerhalb von [14] Tagen nach Zugang der Information aus wichtigem, datenschutzrechtlich begründetem Grund widersprechen. Erfolgt kein Widerspruch, gilt die Änderung als genehmigt.

Widerspricht der Auftraggeber berechtigt und ist dem Auftragnehmer die Leistungserbringung ohne den betreffenden Unterauftragsverarbeiter nicht zumutbar möglich, sind beide Parteien berechtigt, den betroffenen Leistungsteil bzw. den Hauptvertrag mit angemessener Frist zu kündigen.

Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags dieselben Datenschutzpflichten auf, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO), insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragnehmer gegenüber dem Auftraggeber für die Einhaltung der Pflichten des Unterauftragsverarbeiters.

Nicht als Unterauftragsverarbeitung gelten Nebenleistungen Dritter ohne zweckgerichteten Zugriff auf Auftragsdaten (z. B. Telekommunikations- Transportleistungen, Post-Universaldienst, Reinigungs- und Wachdienste, Wartung ohne Datenzugriff). ---

Der Auftragnehmer unterstützt den Auftraggeber nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, dessen Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte (Art. 12–23 DSGVO: insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).

Macht eine betroffene Person Rechte unmittelbar gegenüber dem Auftragnehmer geltend (z. B. durch Antwort auf ein Anschreiben), leitet der Auftragnehmer den Antrag unverzüglich an den Auftraggeber weiter. Der Auftragnehmer beantwortet solche Anträge nicht ohne Weisung des Auftraggebers inhaltlich selbst.

Werbewiderspruch / Opt-out: Erklärt eine betroffene Person gegenüber dem Auftragnehmer oder erkennbar im Rahmen der Kampagne einen Widerspruch gegen die werbliche Ansprache (Art. 21 Abs. 2 DSGVO), setzt der Auftragnehmer die weitere Ansprache dieser Person unverzüglich aus und nimmt die erforderlichen Daten in eine interne Sperrliste (Unterdrückungsliste) auf, deren Speicherung ausschließlich dem Zweck dient, die künftige Ansprache zu verhindern. Der Auftraggeber wird informiert.

Der Quellen-Nachweis je Datenpunkt (§ 2 Abs. 3) steht dem Auftraggeber zur Erfüllung von Auskunftsersuchen (Art. 15 Abs. 1 lit. g DSGVO) zur Verfügung.

---

Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft, unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO).

Die Meldung enthält, soweit bereits verfügbar, mindestens die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Anzahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Abhilfemaßnahmen sowie einen Ansprechpartner. Nicht sofort verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht.

Der Auftragnehmer unterstützt den Auftraggeber bei dessen Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörde (Art. 33 DSGVO) und betroffenen Personen (Art. 34 DSGVO). Die Meldung gegenüber der Aufsichtsbehörde und den betroffenen Personen obliegt dem Auftraggeber; der Auftragnehmer nimmt sie nicht ohne Weisung selbst vor.

Der Auftragnehmer dokumentiert Verletzungen einschließlich aller damit zusammenhängenden Fakten, Auswirkungen und Abhilfemaßnahmen.

Nach Abschluss der Erbringung der Verarbeitungsleistungen löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Auftragsdaten oder gibt sie in einem gängigen, strukturierten, maschinenlesbaren Format (z. B. CSV/JSON-Export) zurück und löscht vorhandene Kopien, sofern nicht nach Unionsrecht oder dem Recht der Mitgliedstaaten eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).

Trifft der Auftraggeber innerhalb von [30] Tagen nach Vertragsende keine Wahl, löscht der Auftragnehmer die Daten nach Ablauf dieser Frist.

Die Löschung erfolgt datenschutzgerecht, einschließlich der Daten in Backups im Rahmen der regulären Backup-Rotation (Anlage 2). Bis zur Überschreibung/Löschung im Backup-Zyklus werden die Daten nicht aktiv verarbeitet und sind gegen Wiederherstellung zu operativen Zwecken gesperrt.

Die Löschung bzw. Rückgabe wird dem Auftraggeber auf Verlangen schriftlich oder in Textform bestätigt.

Ausnahmen von der Löschpflicht — der Auftragnehmer darf über das Vertragsende hinaus aufbewahren: a) Daten, deren Aufbewahrung gesetzlich vorgeschrieben ist (z. B. handels- und steuerrechtliche Aufbewahrungspflichten), beschränkt auf den jeweiligen Zweck; b) die Sperrliste nach § 10 Abs. 3 im erforderlichen Minimalumfang. ---

Der Auftragnehmer stellt dem Auftraggeber alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen — einschließlich Inspektionen —, die vom Auftraggeber oder einem von ihm beauftragten Prüfer durchgeführt werden, und trägt zu ihnen bei (Art. 28 Abs. 3 lit. h DSGVO).

Nachweise können insbesondere erbracht werden durch: aktuelle Eigenerklärungen und TOM-Dokumentation, Prüfberichte unabhängiger Dritter oder geeignete Zertifizierungen. Der Auftraggeber wird vorrangig auf solche Nachweise zurückgreifen, bevor er eine Vor-Ort-Kontrolle verlangt.

Vor-Ort-Kontrollen erfolgen — außer bei konkretem Anlass (insbesondere nach einer Datenpanne oder behördlichen Anordnung) — nach angemessener Vorankündigung von mindestens [10] Werktagen, während der üblichen Geschäftszeiten, höchstens [einmal pro Kalenderjahr], ohne unverhältnismäßige Störung des Geschäftsbetriebs und unter Wahrung von Geschäftsgeheimnissen sowie des Schutzes der Daten anderer Kunden.

[Platzhalter: Kostenregelung für Audits — z. B. jede Partei trägt ihre eigenen Kosten; Aufwandsvergütung des Auftragnehmers bei mehr als einem Audit pro Jahr ohne Anlass.]

Erkenntnisse aus Kontrollen sind vertraulich zu behandeln und dürfen nur zur Prüfung der Einhaltung dieser Vereinbarung verwendet werden.

Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie die Auftragsverarbeitung betreffen.

Für die Haftung der Parteien im Zusammenhang mit dieser Vereinbarung gelten die Haftungsregelungen des Hauptvertrags, soweit nicht zwingende gesetzliche Regelungen — insbesondere Art. 82 DSGVO (Haftung und Recht auf Schadenersatz) — entgegenstehen.

Die Regelungen zur Haftung im Innenverhältnis (Ausgleich nach Art. 82 Abs. 5 DSGVO) und zu Geldbußen bleiben der Ausgestaltung im Hauptvertrag vorbehalten. ---

Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Dies gilt auch für die Änderung dieser Klausel.

Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt die gesetzliche Regelung.

Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist — soweit gesetzlich zulässig — Hamburg.

Einreden des Zurückbehaltungsrechts i. S. v. §§ 273, 320 BGB sind hinsichtlich der verarbeiteten Daten und der zugehörigen Datenträger ausgeschlossen.