Auftragsverarbeitungsvertrag

Der Kunde ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO für die personenbezogenen Daten, die er, seine Nutzer, seine Partnerzugänge, seine Kontakte oder seine Funnels in Leadmode einbringen oder dort erzeugen. Die Anbieterin ist insoweit Auftragsverarbeiter im Sinne des Art. 4 Nr. 8 DSGVO.

Gegenstand dieses AVV ist die Verarbeitung der Kundendaten durch die Anbieterin zur Bereitstellung der Plattform Leadmode (Speicherung, Anzeige, Übermittlung, Auswertung und Löschung der Kundendaten auf Weisung des Kunden) einschließlich der in Ziffer 3 beschriebenen Funktionen.

Die Anbieterin stellt ausschließlich die technische Plattform bereit. Der Kunde entscheidet allein über Zwecke und Mittel der Verarbeitung seiner Kundendaten, insbesondere über Inhalte, Kontaktdaten, Einwilligungen, Aufnahmen, Werbeansprache, Einstellungen, Rechtsgrundlagen sowie die Einrichtung von Nutzern und Partnerzugängen.

Dieser AVV beginnt mit seiner Annahme nach Ziffer 14 und gilt für die Laufzeit des Hauptvertrags. Er endet mit der Beendigung des Hauptvertrags, jedoch nicht vor der vollständigen Rückgabe und Löschung der Kundendaten nach Ziffer 10; die Pflichten der Anbieterin aus diesem AVV bestehen bis dahin fort.

Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein Verstoß gegen wesentliche Pflichten dieses AVV berechtigt den Kunden nach Maßgabe von Ziffer 7.6 sowie der gesetzlichen Vorschriften zur Kündigung des Hauptvertrags.

Art und Zweck

Die Verarbeitung umfasst das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Einschränken, Löschen und Vernichten von Kundendaten, soweit dies zur Bereitstellung der Plattform erforderlich ist oder der Kunde es über die Funktionen der Plattform veranlasst. Zweck ist die Bereitstellung einer webbasierten Anwendung für Vertrieb, Kundenverwaltung und Zusammenarbeit. Dazu gehören insbesondere:

• Verwaltung von Kontakten, Ansprechpartnern, Projekten, Aufgaben, Terminen, Notizen, Dateien und Verläufen;
• Anbindung von Diensten Dritter, die der Kunde mit eigenen Zugangsdaten einrichtet, zum Beispiel für Telefonie, Aufnahmen, SMS, WhatsApp, Social-Media-Konten (Instagram, Facebook, LinkedIn, TikTok), Kampagnen-Mail, Postfächer, Kalender, Cloud-Speicher, Lead-Quellen sowie Zielsysteme für Leads und Bewerbungen;
• Lead-Beschaffung über Leadmode nach Anlage G Ziffer 5.7 der Allgemeinen Geschäftsbedingungen: Abruf von Unternehmensdaten bei einem Datenanbieter nach Vorgaben des Kunden (Branche, Ort, Filter, Umfang), Bestimmung der Rechtsform aus Name und Impressum, Abruf und Auswertung von Firmenwebsites mit einem Sprachmodell, Speicherung der Ergebnisse mit Quelle und Datum im Lead-Stamm der Organisation, Versand von Informations-Mails über das Postfach des Kunden, Betrieb der Widerspruchsseite im Auftrag des Kunden sowie Führung der Fristen, Informations- und Widerspruchsvermerke, Sperren und Prüfwerte;
• Speicherung, Wiedergabe, Transkription und Auswertung von Gesprächsaufnahmen und Diktaten sowie weitere KI-Funktionen (Assistent, Textüberarbeitung, Gesprächs- und Mailanalyse, Berichte, Belegerkennung) nach Maßgabe von Anlage H (KI-Funktionen und Gesprächsanalyse);
• Landeseiten, Funnels, Buchungsseiten und Karriereseiten des Kunden einschließlich der Entgegennahme von Formulareingaben und hochgeladener Dateien, der Bereitstellung von Cookie-Banner und Einwilligungsnachweis, des Ladens von Mess-, Tracking- und Marketingdiensten sowie eingebetteter Inhalte nach Einwilligung oder Klick des Besuchers und des serverseitigen Versands von Ereignissen an vom Kunden eingerichtete Dienste;
• Dokumentation von Zielen, Zusagen, Bestätigungen und Übergaben des Kunden mit Belegen (Projektziele);
• Zeitmessung, Einsatzplanung, Vergütungs- und Leistungsdaten sowie Personalunterlagen, soweit der Kunde diese Funktionen nutzt;
• Angebote, Aufträge, Rechnungen, Belege und Buchhaltung des Kunden;
• Bereitstellung von Partnerzugängen, Berichten, Schnittstellen (API, MCP, Webhooks) sowie Import und Export von Kundendaten;
• Verbindung mit anderen Organisationen der Plattform und Abgleich verbundener Projekte auf Weisung des Kunden nach Anlage L (Zusammenarbeit zwischen Organisationen) der Allgemeinen Geschäftsbedingungen;
• Sicherung und Wiederherstellung der Kundendaten.

Art der Daten

Gegenstand der Verarbeitung sind je nach Nutzung der Plattform durch den Kunden folgende Arten personenbezogener Daten:

• Stammdaten und Kontaktdaten (Name, Anrede, Firma, Funktion, Anschrift, Telefonnummern, E-Mail-Adressen, weitere Kanäle);
• Kommunikationsdaten und -inhalte (Notizen, Aufgaben, Termine, Chat-Nachrichten, SMS, E-Mails, Anrufprotokolle, Verbindungsdaten, Gesprächsaufnahmen und Transkripte);
• Sprach- und Audiodaten (Stimme der Gesprächsbeteiligten in Aufnahmen und Diktaten) sowie die daraus erzeugten Transkripte und KI-Auswertungen;
• Angaben aus Formularen, Funnels, Landeseiten und Bewerbungen (insbesondere Eingaben der Besucher, Quelle und Kampagnenkennzeichnung, Zeitpunkt, Lebenslauf und Anschreiben) sowie von Besuchern hochgeladene Dateien, Einwilligungsnachweise (Zeitpunkt, Wortlaut, gekürzte IP-Adresse, Kurzform der Browserkennung) und, soweit der Kunde den serverseitigen Weg zu Meta nutzt, Browserkennungen von Meta und gehashte Kontaktangaben;
• Lerninhalte der Akademie des Kunden (Videos, Bilder und Texte) und der Lernstand der Nutzer;
• Nachrichten über Messenger (WhatsApp) mit Rufnummer, Text, Vorlagenangaben und Zustellstatus sowie Dateien, Ordnernamen und Metadaten aus angebundenen Cloud-Speichern;
• Beiträge, Medien, Kommentare und Nachrichten aus verbundenen Social-Media-Konten (Instagram, Facebook, LinkedIn, TikTok) mit Kennung und angezeigtem Namen des Absenders beim Anbieter, Text und Zeitpunkt sowie Kennzahlen zu Beiträgen; Kommentare und Profilangaben von LinkedIn-Mitgliedern nur zur Anzeige und mit der von LinkedIn vorgegebenen kurzen Zwischenspeicherung;
• Nachweise zu Projektzielen (Quellenverweise, Verweise auf Nachrichten, Angabe, wer zugesagt hat);
• Angaben zu Unternehmen und deren Ansprechpartnern aus öffentlichen Unternehmensprofilen und Firmenwebsites, die die Anbieterin im Rahmen der Lead-Beschaffung über Leadmode auf Weisung des Kunden abruft oder aufbereitet (Firma, Rechtsform, Registerangaben, Anschrift, Zentrale, allgemeine E-Mail-Adresse, Leistungen, Größe, Beschreibung, Logo; Name, Rolle und dienstliche Kontaktdaten der Ansprechpartner), jeweils mit Quelle und Datum; Fristen, Informations- und Widerspruchsvermerke; Prüfwerte der Sperrliste und der Widerspruchslinks;
• Vertrags-, Abrechnungs- und Belegdaten (Angebote, Aufträge, Rechnungen, Zahlungen, Buchungs- und Bankdaten, soweit der Kunde sie in der Plattform führt);
• Beschäftigtendaten (Nutzerkennung, Name, Kontaktdaten, Rolle und Berechtigungen, zugewiesene Telefonnummern, Arbeits- und Anrufzeiten, Einsatzplanung, Abwesenheiten, Vergütungs- und Leistungsdaten, Daten aus Personalunterlagen wie Anschrift, Geburtsdatum, Steuer-Identifikationsnummer, Sozialversicherungsnummer und Bankverbindung);
• Nutzungs- und Protokolldaten, die bei der Nutzung der Plattform durch Nutzer und Partnerzugänge im Auftrag des Kunden entstehen (Audit-Einträge zu fachlichen Änderungen mit Akteur, Zeitpunkt und Objekt ohne Inhalte).

Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (zum Beispiel Gesundheitsdaten im Zusammenhang mit Abwesenheiten oder Angaben zur Religionszugehörigkeit für Lohnzwecke) verarbeitet die Anbieterin nur, soweit der Kunde sie in der Plattform erfasst. Ob und auf welcher Rechtsgrundlage der Kunde solche Daten erfasst, entscheidet allein der Kunde.

Kategorien Betroffener

Von der Verarbeitung betroffen sind je nach Nutzung durch den Kunden:

• Kontakte und Ansprechpartner des Kunden (Interessenten, Leads, Kunden, Lieferanten und deren Mitarbeiter);
• Gesprächspartner in Telefonaten, SMS, Messenger-Nachrichten und sonstiger Kommunikation, einschließlich ihrer Stimme in Aufnahmen;
• Besucher und Einsender von Funnels, Landeseiten, Buchungsseiten und Karriereseiten des Kunden;
• Bewerber des Kunden;
• Inhaber, Geschäftsführer und Ansprechpartner von Unternehmen, deren Daten die Anbieterin im Rahmen der Lead-Beschaffung über Leadmode auf Weisung des Kunden aus öffentlichen Quellen abruft oder aufbereitet, sowie Personen, die über die Widerspruchsseite widersprechen oder Auskunft verlangen;
• Mitarbeiter und sonstige Beschäftigte des Kunden, die als Nutzer in der Plattform geführt werden oder deren Daten der Kunde dort erfasst;
• Personen, die über einen Partnerzugang auf Inhalte des Kunden zugreifen;
• sonstige Personen, deren Daten der Kunde in die Plattform einbringt.

Ausschluss eigener Zwecke

Die Anbieterin verarbeitet Kundendaten ausschließlich zur Erbringung der vertraglichen Leistungen und auf Weisung des Kunden. Sie verwendet Kundendaten nicht zum Training eigener oder fremder KI-Modelle, verkauft sie nicht und nutzt sie nicht für eigene Zwecke, auch nicht für Produktverbesserung, Statistik oder Werbung, es sei denn, die Daten sind vollständig anonymisiert und die Anonymisierung selbst beruht auf einer Weisung des Kunden, oder der Kunde hat Tageszahlen für das weltweite Ranking nach Ziffer 4.8 freigegeben. Sie gestattet auch keinem Unterauftragnehmer, Kundendaten zum Training eigener oder fremder KI-Modelle zu verwenden.

Die Anbieterin verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Drittland oder an eine internationale Organisation, es sei denn, sie ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt sie dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Als dokumentierte Weisung gelten:

1. der Hauptvertrag und dieser AVV einschließlich seiner Anlagen;
2. die Nutzung und Konfiguration der Funktionen der Plattform durch den Kunden, seine Nutzer und seine Partnerzugänge, insbesondere Einstellungen der Organisation, Berechtigungen, Aufnahme-Voreinstellungen, Anbindungen von Diensten Dritter, Löschvorgänge, Importe und Exporte;
3. Einzelweisungen des Kunden in Textform (E-Mail genügt), die von einem Organisationsadministrator des Kunden an die in Ziffer 5.9 genannte Stelle der Anbieterin gerichtet werden.

Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Die Anbieterin ist berechtigt, die Befolgung einer Weisung bis zur Bestätigung auszusetzen.

Ist die Anbieterin der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt, informiert sie den Kunden unverzüglich. Sie ist berechtigt, die Ausführung der betreffenden Weisung auszusetzen, bis der Kunde sie bestätigt oder ändert. Eine Pflicht der Anbieterin zur umfassenden rechtlichen Prüfung der Weisungen des Kunden besteht nicht.

Weisungen, die über den vertraglich vereinbarten Funktionsumfang der Plattform hinausgehen oder einen nicht unerheblichen Mehraufwand verursachen, werden nur gegen angemessene Vergütung ausgeführt, soweit die Anbieterin nicht ohnehin zur Ausführung gesetzlich verpflichtet ist.

Nutzer und Partnerzugänge des Kunden handeln im Namen und auf Verantwortung des Kunden. Weisungen, die über die Plattform durch einen Nutzer oder Partnerzugang im Rahmen der ihm vom Kunden eingeräumten Berechtigungen erteilt werden, gelten als Weisungen des Kunden. Die Anbieterin hat keine Vertragsbeziehung zu Partnerzugängen und ist nicht verpflichtet, die Befugnis eines Nutzers oder Partnerzugangs zu prüfen, soweit er sich ordnungsgemäß in der Plattform authentifiziert hat.

Weitergabe an verbundene Organisationen

Verbindet der Kunde nach Anlage L der Allgemeinen Geschäftsbedingungen sein Projekt mit einer verbundenen Organisation, ist das eine Weisung des Kunden an die Anbieterin, die vom Kunden ausgewählten Daten des Projekts (Firma, Ansprechpartner, geschäftliche Kontaktdaten, Status, Anrufergebnisse, Termine und, soweit der Kunde es für das Projekt eingeschaltet hat, Gesprächsnotizen sowie Reservierungen und Sperrvermerke) an die verbundene Organisation zu übermitteln und deren Änderungen an den verbundenen Datensätzen in das Projekt des Kunden zu übernehmen. Umfang und Richtung der Übermittlung bestimmt der Kunde durch seine Einstellungen; die Anbieterin legt sie nicht selbst fest.

Die Anbieterin führt die Übermittlung nur aus, soweit sowohl der Kunde als auch die verbundene Organisation die Verbindung und das Projekt in der Plattform bestätigt haben. Sie protokolliert die Bestätigungen (Organisation, handelnde Person, Zeitpunkt, Umfang). Die Anbieterin ist nicht verpflichtet zu prüfen, ob zwischen dem Kunden und der verbundenen Organisation eine Vereinbarung über die Rollen und Rechtsgrundlagen besteht oder ob sie inhaltlich ausreicht.

Die Daten, die die verbundene Organisation erhält, sind ihre eigenen Kundendaten. Für diese ist die Anbieterin gegenüber der verbundenen Organisation nach deren eigenem Auftragsverarbeitungsvertrag Auftragsverarbeiterin; der Kunde hat darauf keine Weisungsbefugnis. Die Anbieterin verknüpft beide Bestände nur zum Zweck des Abgleichs; es entsteht kein gemeinsamer Datenbestand.

Weltweites Ranking

Gibt ein Administrator des Kunden in der Plattform die Teilnahme der Organisation am weltweiten Ranking frei, ist das eine Weisung des Kunden an die Anbieterin, folgende Daten an die Anbieterin als eigene Verantwortliche zu übermitteln: für Nutzer, die selbst ausdrücklich eingewilligt haben, die Kennung, Vorname und Anfangsbuchstabe des Nachnamens sowie je Kalendertag die Anzahl der Anwahlen, Entscheidergespräche und Termine; und, wenn der Administrator die Anzeige der Organisation eingeschaltet hat, den Namen der Organisation und je Kalendertag die Summen dieser Zahlen über alle Nutzer. Inhalte, Kontakte, Ansprechpartner und Gesprächsdaten werden nicht übermittelt.

Die Anbieterin verwendet die übermittelten Zahlen nur für das weltweite Ranking nach ihrer Datenschutzerklärung (Abschnitt 3.13). Schaltet der Kunde die Freigabe ab, widerruft ein Nutzer seine Einwilligung oder scheidet er aus der Organisation aus, endet die Übermittlung, und die Anbieterin löscht die übermittelten Zahlen unverzüglich. Die Anbieterin protokolliert Freigaben, Einwilligungen und Widerrufe mit Fassung und Zeitpunkt.

Anbindungen und Dienste Dritter als Weisung

Richtet der Kunde eine Anbindung zu einem Dienst Dritter ein, aktiviert er einen solchen Dienst auf seinen Seiten oder löst er eine Übergabe aus, ist das eine Weisung an die Anbieterin, die dafür erforderlichen Daten im Auftrag des Kunden an den Dienst zu übermitteln oder von ihm entgegenzunehmen. Das gilt insbesondere für Nachrichten und Antworten über WhatsApp, das Veröffentlichen von Beiträgen sowie das Lesen und Beantworten von Kommentaren und Nachrichten in verbundenen Social-Media-Konten, die Übergabe von Leads und Bewerbungen an Zielsysteme des Kunden, den Zugriff auf Cloud-Speicher des Kunden und den serverseitigen Versand von Ereignissen an Meta (Conversion API), und zwar nur, wenn der Kunde den Weg eingerichtet hat und, wo die Plattform es vorsieht, der Besucher dem Marketing zugestimmt hat.

Der Kunde ist Verantwortlicher für diese Übermittlungen. Er trägt allein die Verantwortung für die Rechtsgrundlage, Einwilligungen, Informationspflichten, Auswahl und Umfang der übermittelten Daten, die Zulässigkeit von Drittlandübermittlungen sowie für Verträge mit dem Anbieter des Dienstes, einschließlich Vereinbarungen zur Auftragsverarbeitung und zur gemeinsamen Verantwortlichkeit, soweit der Anbieter sie vorsieht. Die Anbieterin prüft nicht, ob die vom Kunden festgelegte Übermittlung rechtmäßig ist; sie weist den Kunden nach Ziffer 4.4 auf offensichtliche Verstöße hin. Sie ist für diese Dienste nicht Unterauftragnehmerin, sondern Auftragsverarbeiterin des Kunden, soweit sie Daten in dessen Auftrag überträgt.

Lead-Beschaffung über Leadmode als Weisung

Erteilt der Kunde in der Plattform einen Auftrag „Leads holen“ oder „Leads aufbereiten“ mit Branche, Region, Filtern, Zusatzdaten, Umfang und Geschwindigkeit, ist das die dokumentierte Weisung an die Anbieterin, die dort beschriebenen Daten bei ihrem Datenanbieter abzurufen, Firmenwebsites abzurufen und mit einem Sprachmodell auszuwerten und die Ergebnisse mit Quelle und Datum im Lead-Stamm der Organisation des Kunden abzulegen (Anlage G Ziffer 5.7 der Allgemeinen Geschäftsbedingungen). Ebenso sind Weisungen: der Versand der Informations-Mail aus dem Postfach des Kunden, der Betrieb der Widerspruchsseite mit den Angaben des Kunden als Verantwortlichem, die Sperre eines Datensatzes nach einem Widerspruch mit Eintrag eines Prüfwerts in die Sperrliste sowie die Ausblendung von Leads nach Ablauf der Informationsfrist. Die Anbieterin protokolliert zu jedem Auftrag Umfang, Zeitpunkt, handelnde Person und Ergebnis in Zahlen, ohne Inhalte.

Der Kunde ist ab dem Abruf Verantwortlicher für die abgerufenen und aufbereiteten Daten. Die Anbieterin prüft nicht, ob die Ansprache der abgerufenen Firmen und Personen zulässig ist; sie weist den Kunden nach Ziffer 4.4 auf offensichtliche Verstöße hin und darf die Ausführung aussetzen. Sie führt keinen eigenen Bestand, hält keinen Zwischenspeicher über Organisationen hinweg und gibt Ergebnisse einer Organisation nicht an andere Organisationen; Seitentexte der abgerufenen Websites werden nicht gespeichert.

Vertraulichkeit

Die Anbieterin gewährleistet, dass sich die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit der Person hinaus fort. Zugriff auf Kundendaten erhalten nur Personen, die ihn zur Erfüllung des Hauptvertrags benötigen.

Technische und organisatorische Maßnahmen

Die Anbieterin ergreift alle nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen ergeben sich aus der Anlage „Technische und organisatorische Maßnahmen“. Die Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Die Anbieterin darf Maßnahmen durch gleichwertige oder bessere ersetzen; das vereinbarte Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen dokumentiert die Anbieterin.

Unterstützung bei Betroffenenrechten

Die Anbieterin unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der Betroffenenrechte nach Kapitel III DSGVO nachzukommen. Dazu stellt die Plattform Funktionen zum Auffinden, Exportieren, Berichtigen, Sperren und Löschen von Daten bereit, die der Kunde selbst nutzt. Wendet sich ein Betroffener unmittelbar an die Anbieterin und lässt sich aus seinen Angaben erkennen, dass die Anfrage Kundendaten eines bestimmten Kunden betrifft, leitet die Anbieterin die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, es sei denn, sie ist dazu gesetzlich verpflichtet.

Meldung von Verletzungen des Schutzes personenbezogener Daten

Die Anbieterin meldet dem Kunden jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO, die Kundendaten betrifft, unverzüglich, nachdem sie ihr bekannt geworden ist, nach Möglichkeit innerhalb von 48 Stunden. Die Meldung erfolgt in Textform an die in der Plattform hinterlegte E-Mail-Adresse der Organisationsadministratoren des Kunden. Sie enthält, soweit bekannt, die Beschreibung der Art der Verletzung einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung und Abmilderung. Sind nicht alle Angaben sofort verfügbar, übermittelt die Anbieterin sie schrittweise. Die Anbieterin unterstützt den Kunden bei der Erfüllung seiner Pflichten nach Art. 33 und 34 DSGVO. Meldungen und Benachrichtigungen gegenüber Aufsichtsbehörden und Betroffenen obliegen dem Kunden; die Anbieterin nimmt sie nur nach vorheriger Abstimmung mit dem Kunden vor, soweit sie nicht gesetzlich dazu verpflichtet ist.

Unterstützung bei Datenschutz-Folgenabschätzung und Konsultation

Die Anbieterin unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihr zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und der vorherigen Konsultation der Aufsichtsbehörde. Sie stellt dem Kunden hierzu auf Anfrage die erforderlichen Beschreibungen der Funktionen, der Datenflüsse und der Maßnahmen zur Verfügung. Ob für Funktionen wie Gesprächsaufnahme, Mithören oder KI-Auswertung eine Datenschutz-Folgenabschätzung erforderlich ist, beurteilt der Kunde als Verantwortlicher.

Verzeichnis von Verarbeitungstätigkeiten

Die Anbieterin führt ein Verzeichnis aller Kategorien von im Auftrag des Kunden durchgeführten Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO und stellt es der Aufsichtsbehörde auf Anfrage zur Verfügung.

Verarbeitung nur im Rahmen des Auftrags

Die Anbieterin führt die Verarbeitung nur im Rahmen dieses AVV durch. Bestimmt sie unter Verstoß gegen diesen AVV Zwecke und Mittel der Verarbeitung selbst, gilt sie insoweit als Verantwortliche im Sinne des Art. 28 Abs. 10 DSGVO.

Informationspflicht bei Gefährdung und Behördenanfragen

Die Anbieterin informiert den Kunden unverzüglich, wenn Kundendaten bei ihr durch Pfändung, Beschlagnahme, ein Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden, und wenn eine Behörde oder ein Gericht Auskunft über Kundendaten verlangt, soweit ihr dies rechtlich nicht untersagt ist. Sie weist den Dritten darauf hin, dass der Kunde Verantwortlicher ist.

Ansprechpartner

Anlaufstelle der Anbieterin für alle Datenschutzanliegen im Zusammenhang mit diesem AVV, einschließlich Weisungen, Datenpannen und Betroffenenanfragen, ist datenschutz@leadmode.de. Der Kunde teilt der Anbieterin über die Plattform oder in Textform eine Ansprechperson für datenschutzrechtliche Angelegenheiten mit und hält diese Angabe aktuell; fehlt sie, gelten die Organisationsadministratoren als Ansprechpersonen.

Der Kunde ist als Verantwortlicher für die Beurteilung der Zulässigkeit der Verarbeitung, für die Wahrung der Rechte der Betroffenen und für die Rechtmäßigkeit seiner Weisungen verantwortlich. Er stellt sicher, dass für jede Verarbeitung, die er über die Plattform veranlasst, eine Rechtsgrundlage besteht.

Der Kunde ist insbesondere allein verantwortlich dafür, dass vor der Nutzung der jeweiligen Funktion

• die erforderlichen Einwilligungen und sonstigen Rechtsgrundlagen für Kontaktdaten, Werbeansprache, Kampagnen, Anrufe, SMS, WhatsApp-Nachrichten und E-Mails vorliegen und nachweisbar sind, wobei Nachrichten über Messenger erst nach der erforderlichen vorherigen Einwilligung und unter Beachtung der Bedingungen des Anbieters des Messengers versendet werden;
• für Mess-, Tracking- und Marketingdienste auf seinen Seiten die Einwilligung nach § 25 TDDDG und Art. 6 Abs. 1 lit. a DSGVO eingeholt und nachweisbar ist, der Cookie-Banner entsprechend eingestellt ist und die Datenschutzerklärung der Seite die Dienste, Empfänger und Drittlandübermittlungen vollständig nennt;
• für Dateien, die Besucher hochladen, sowie für Bewerbungen und Unterlagen die Rechtsgrundlage, die Informationspflichten und die Aufbewahrungs- und Löschfristen festgelegt sind;
• alle Gesprächspartner, Mitarbeiter, Bewerber, Partner und sonstigen Betroffenen die nach Art. 13 und 14 DSGVO erforderlichen Informationen erhalten haben;
• die Voraussetzungen für Gesprächsaufnahmen, das Mithören, Flüstern und Mitsprechen, die Transkription und KI-Auswertung von Gesprächen sowie für Zeitmessung, Einsatzplanung und Leistungsauswertung erfüllt sind, einschließlich der Information der Mitarbeiter und Gesprächspartner und einer gegebenenfalls erforderlichen Beteiligung eines Betriebsrats;
• Ansagen und Hinweise gegenüber Gesprächspartnern von ihm selbst gegeben werden; die Anbieterin spielt solche Ansagen nicht ein, soweit die Plattform dies nicht ausdrücklich als Funktion vorsieht;
• gesetzliche Aufbewahrungs- und Löschpflichten, insbesondere für Buchungsbelege, Bücher und Geschäftsbriefe, beachtet werden, auch bei Beendigung des Hauptvertrags und bei Löschung der Organisation.

Die Plattform stellt Werkzeuge bereit, zum Beispiel für die Abfrage von Einwilligungen, Sperrlisten, Abmeldelinks und Nachweise. Ob und wie der Kunde sie nutzt, entscheidet er selbst. Voreinstellungen der Plattform stellen keine rechtliche Bewertung dar und entbinden den Kunden nicht von seiner Verantwortung.

Der Kunde verwaltet Nutzer, Berechtigungen und Partnerzugänge in eigener Verantwortung. Er stellt sicher, dass Zugangsdaten vertraulich behandelt, nur berechtigten Personen zugänglich gemacht und bei Ausscheiden von Personen unverzüglich gesperrt oder entzogen werden, und dass seine Nutzer und Partnerzugänge die Plattform nur im Rahmen seiner Weisungen und der vereinbarten Bedingungen nutzen.

Der Kunde informiert die Anbieterin unverzüglich und vollständig, wenn er bei der Prüfung der Verarbeitungsergebnisse Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.

Der Kunde stellt die Anbieterin im gesetzlich zulässigen Umfang von Ansprüchen Dritter und von Bußgeldern frei, soweit diese darauf beruhen, dass der Kunde, seine Nutzer oder seine Partnerzugänge schuldhaft gegen datenschutzrechtliche Vorschriften oder gegen Pflichten aus diesem AVV verstoßen haben. Eine Umkehr der Beweislast ist damit nicht verbunden.

Zusammenarbeit mit verbundenen Organisationen

Bevor der Kunde eine Verbindung herstellt oder ein Projekt verbindet, regelt er mit der anderen Organisation selbst, wer welche Daten zu welchem Zweck verarbeitet, auf welche Rechtsgrundlage sich jede Seite stützt und wer die Betroffenen informiert; er bestätigt dies beim Verbinden in der Plattform. Die Rollen der Organisationen untereinander bestimmt die Anbieterin nicht; im Regelfall ist jede Organisation für ihre Kopie eigener Verantwortlicher. Der Kunde leitet Anträge Betroffener, die auch Daten bei der verbundenen Organisation betreffen, an diese weiter und beachtet Hinweise der verbundenen Organisation auf Löschungen, Berichtigungen und Sperren, die ihm die Plattform übermittelt. Ziffer 6.1 bis 6.3 gelten für die Daten, die der Kunde an die verbundene Organisation weitergibt, entsprechend.

Lead-Beschaffung über Leadmode

Nutzt der Kunde die Lead-Beschaffung über Leadmode, ist er als Verantwortlicher insbesondere dafür verantwortlich, dass er die Interessenabwägung nach Art. 6 Abs. 1 lit. f DSGVO vor dem ersten Auftrag dokumentiert hat; dass seine Datenschutzerklärung die Verarbeitung nennt; dass er jede betroffene Person innerhalb von 30 Tagen ab Aufbereitung, bei Firmen, die selbst eine Person sind, ab Abruf, spätestens beim ersten Kontakt nach Art. 14 DSGVO informiert, am Telefon oder mit der Informations-Mail aus seinem Postfach; dass die Angaben für die Widerspruchsseite (Verantwortlicher, Anschrift, Datenschutz-Adresse, Datenschutzerklärung, Impressum) vollständig und aktuell sind; dass er Widersprüche beachtet, gesperrte Datensätze nicht wieder anspricht und sie löscht, soweit keine Aufbewahrungspflicht besteht; und dass er Auskunftsverlangen, die ihn über die Widerspruchsseite erreichen, innerhalb der gesetzlichen Frist beantwortet. Die Plattform zeigt Frist und Stand je Person an und fasst die anstehenden Fristen für die Administratoren wöchentlich zusammen; sie versendet nichts an die betroffenen Personen von sich aus und erfüllt die Informationspflicht nicht für den Kunden.

Der Kunde erteilt der Anbieterin die allgemeine Genehmigung, zur Erbringung der vertraglichen Leistungen die in der Anlage „Unterauftragnehmer“ aufgeführten Unterauftragnehmer (Plattformdienstleister) im dort beschriebenen Umfang einzusetzen. Die Anlage „Unterauftragnehmer“ in ihrer bei Annahme dieses AVV geltenden Fassung ist Bestandteil dieses AVV.

Die Anbieterin schließt mit jedem Unterauftragnehmer einen Vertrag, der diesem dieselben Datenschutzpflichten auferlegt, die in diesem AVV festgelegt sind, insbesondere hinreichende Garantien dafür, dass die geeigneten technischen und organisatorischen Maßnahmen so durchgeführt werden, dass die Verarbeitung im Einklang mit der DSGVO erfolgt. Kommt ein Unterauftragnehmer seinen Datenschutzpflichten nicht nach, haftet die Anbieterin gegenüber dem Kunden für die Einhaltung der Pflichten dieses Unterauftragnehmers.

Die Anbieterin informiert den Kunden über jede beabsichtigte Änderung der Anlage „Unterauftragnehmer“, durch die ein Unterauftragnehmer hinzukommt oder ersetzt wird, mindestens vier Wochen vor dem Einsatz. Die Information erfolgt in Textform durch Mitteilung an die Organisationsadministratoren des Kunden und durch Veröffentlichung der geänderten Anlage. Die Information enthält Namen, Sitz, Leistung und Verarbeitungsort des neuen Unterauftragnehmers.

Der Kunde kann der Änderung innerhalb von vier Wochen nach Zugang der Information aus einem wichtigen datenschutzrechtlichen Grund in Textform widersprechen. Der Widerspruch ist zu begründen. Widerspricht der Kunde nicht fristgerecht, gilt die Änderung als genehmigt; die Anbieterin weist in der Information auf diese Folge hin.

Bei fristgerechtem Widerspruch bemühen sich die Parteien um eine einvernehmliche Lösung. Die Anbieterin kann dem Kunden eine zumutbare Alternative anbieten, zum Beispiel die Erbringung der Leistung ohne Einsatz des neuen Unterauftragnehmers oder die Beibehaltung des bisherigen Unterauftragnehmers für den Kunden, soweit dies technisch und wirtschaftlich zumutbar ist.

Ist eine einvernehmliche Lösung nicht innerhalb von vier Wochen nach Zugang des Widerspruchs möglich, kann der Kunde den Hauptvertrag außerordentlich mit Wirkung zum Zeitpunkt des geplanten Einsatzes des neuen Unterauftragnehmers kündigen; die Anbieterin darf den neuen Unterauftragnehmer für Daten des widersprechenden Kunden bis zum Wirksamwerden der Kündigung nicht einsetzen. Weitere Rechte des Kunden aus Gesetz bleiben unberührt.

Ist der Austausch eines Unterauftragnehmers zur Abwehr einer unmittelbaren Gefahr für die Sicherheit oder Verfügbarkeit der Plattform oder der Kundendaten oder wegen eines unvorhersehbaren Ausfalls des bisherigen Unterauftragnehmers unverzüglich erforderlich, darf die Anbieterin den Ersatz ohne Einhaltung der Frist einsetzen; sie informiert den Kunden unverzüglich nachträglich. Ziffer 7.4 bis 7.6 gelten dann entsprechend.

Keine Unterauftragsverhältnisse im Sinne dieser Ziffer sind Nebenleistungen, die die Anbieterin zur Ausübung ihrer Tätigkeit in Anspruch nimmt, ohne dass der Dienstleister auf Kundendaten zugreift, zum Beispiel Telekommunikationsleistungen, Post- und Transportdienste, Reinigungs- oder Prüfdienste und die Namensauflösung (DNS) der Domains der Plattform. Die Anbieterin verpflichtet auch diese Dienstleister, soweit rechtlich geboten, zur Wahrung der Vertraulichkeit.

Die Verarbeitung von KI-Anfragen über das eigene Sprachmodell der Anbieterin (Anlage „Unterauftragnehmer“, Ziffer 1.3) führt die Anbieterin selbst durch. Sie ist kein Unterauftragsverhältnis; die Pflichten dieses AVV und der Anlage „Technische und organisatorische Maßnahmen“ gelten dafür unmittelbar.

Für die Lead-Beschaffung über Leadmode setzt die Anbieterin als Unterauftragnehmer den in der Anlage „Unterauftragnehmer“ (Ziffer 1.1) genannten Anbieter des Sprachmodells für die Auswertung der Firmenwebsites und einen weiteren Server ihres Hosting-Anbieters für den Abruf der Websites und den Aufruf des Modells ein. Der Datenanbieter, bei dem die Anbieterin die Unternehmensprofile abruft, ist kein Unterauftragnehmer, weil er nur Suchbegriffe (Branche, Ort, Filter) und keine personenbezogenen Daten des Kunden erhält; er ist in der Anlage „Unterauftragnehmer“ (Abschnitt 2) und in Ziffer 12.5 als Datenquelle beschrieben.

Eine Übermittlung von Kundendaten in ein Land außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums (Drittland) oder an eine internationale Organisation erfolgt nur auf Grundlage dokumentierter Weisung des Kunden oder zur Erfüllung einer rechtlichen Verpflichtung der Anbieterin und nur, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind. Der Kunde erteilt die Weisung zur Übermittlung für die Unterauftragnehmer in der Anlage „Unterauftragnehmer“ in dem dort beschriebenen Umfang.

Die Anbieterin stützt eine Übermittlung ausschließlich auf

1. einen Angemessenheitsbeschluss der Europäischen Kommission nach Art. 45 DSGVO, einschließlich des Beschlusses zum EU-US Data Privacy Framework für Empfänger, die dort zertifiziert sind, oder
2. die von der Europäischen Kommission erlassenen Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, gegebenenfalls ergänzt um zusätzliche Maßnahmen.

Soweit die Übermittlung auf Standardvertragsklauseln gestützt wird, schließt die Anbieterin diese mit dem Unterauftragnehmer ab. Soweit nach Kapitel V DSGVO für die Wirksamkeit der Übermittlung erforderlich, dass der Kunde selbst Vertragspartei der Standardvertragsklauseln wird, gelten die Standardvertragsklauseln (Modul 2, Übermittlung von Verantwortlichen an Auftragsverarbeiter) zwischen dem Kunden und dem jeweiligen Unterauftragnehmer als vereinbart, und die Anbieterin ist vom Kunden bevollmächtigt, sie in seinem Namen abzuschließen. Die Anbieterin stellt dem Kunden auf Anfrage eine Kopie der abgeschlossenen Klauseln ohne Geschäftsgeheimnisse zur Verfügung.

Wo die Plattform eine Auswahl der Region ermöglicht, nutzt die Anbieterin Verarbeitungsregionen in der Europäischen Union, soweit dies in der Anlage „Unterauftragnehmer“ so angegeben ist.

Dienste Dritter, die der Kunde mit eigenen Zugangsdaten anbindet, sind nicht Gegenstand dieser Ziffer; Übermittlungen in Drittländer im Rahmen dieser Dienste liegen in der Verantwortung des Kunden (Ziffer 12.1). Das gilt auch für Dienste, die der Browser eines Besuchers auf Seiten des Kunden lädt, und für den serverseitigen Versand an einen vom Kunden eingerichteten Dienst nach Ziffer 4.9.

Bei der Lead-Beschaffung über Leadmode übermittelt die Anbieterin an den Datenanbieter mit Sitz in den Vereinigten Arabischen Emiraten ausschließlich Suchbegriffe (Branche, Ort, Filter) und keine personenbezogenen Daten des Kunden; eine Übermittlung von Kundendaten in ein Drittland findet insoweit nicht statt. Die Auswertung der Firmenwebsites mit dem Sprachmodell erfolgt bei einem Anbieter in der Europäischen Union (Region Paris), der Eingaben und Ausgaben nach der Verarbeitung nicht speichert; soweit dieser Anbieter Unterauftragnehmer in Drittländern einsetzt, gelten Ziffer 8.2 und 8.3.

Die Anbieterin stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der in diesem AVV und in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung. Der Nachweis kann durch die Beschreibung der technischen und organisatorischen Maßnahmen, Auskünfte zur Umsetzung, Prüfberichte und Zertifikate unabhängiger Stellen sowie die Nachweise der Unterauftragnehmer erbracht werden, soweit diese verfügbar sind.

Genügen die Nachweise nach Ziffer 9.1 dem Kunden im Einzelfall aus nachvollziehbaren, dokumentierten Gründen nicht, hat er das Recht, die Einhaltung dieses AVV bei der Anbieterin durch Überprüfungen, einschließlich Inspektionen, selbst oder durch einen von ihm beauftragten Prüfer durchzuführen oder durchführen zu lassen.

Die Überprüfung ist mindestens 30 Tage im Voraus in Textform unter Angabe von Umfang und Dauer anzukündigen, findet während der üblichen Geschäftszeiten statt, darf den Betrieb der Anbieterin und die Verarbeitung für andere Kunden nicht unverhältnismäßig beeinträchtigen und erfolgt grundsätzlich einmal je Kalenderjahr. Anlassbezogene Überprüfungen, insbesondere nach einer Verletzung des Schutzes personenbezogener Daten, einer behördlichen Anordnung oder begründeten Anhaltspunkten für einen Verstoß, sind auch außerhalb dieser Grenzen mit angemessener kürzerer Frist zulässig. Die Überprüfung kann nach Wahl der Anbieterin aus der Ferne erfolgen, soweit der Zweck dadurch erreicht wird.

Der Kunde darf nur Prüfer beauftragen, die zur Verschwiegenheit verpflichtet sind und nicht in einem Wettbewerbsverhältnis zur Anbieterin stehen. Die Überprüfung erstreckt sich nicht auf Daten, Systeme und Räume, die Daten anderer Kunden betreffen, und nicht auf Geschäftsgeheimnisse der Anbieterin, soweit diese für den Prüfzweck nicht erforderlich sind. Ergebnisse der Überprüfung sind vertraulich zu behandeln; der Kunde darf sie nur zur Erfüllung seiner Pflichten und zur Vorlage gegenüber Aufsichtsbehörden verwenden.

Der Kunde trägt die Kosten der Überprüfung einschließlich der Kosten seines Prüfers. Der Aufwand der Anbieterin für die Mitwirkung ist bis zu einem Umfang von einem Personentag je Überprüfung unentgeltlich; darüber hinausgehenden Aufwand kann die Anbieterin nach den zum Zeitpunkt der Überprüfung gültigen Sätzen angemessen vergüten lassen, es sei denn, die Überprüfung ergibt einen wesentlichen Verstoß der Anbieterin gegen diesen AVV.

Gegenüber Aufsichtsbehörden arbeitet die Anbieterin nach Art. 31 DSGVO mit und unterstützt den Kunden bei Anfragen und Prüfungen der Aufsichtsbehörde, die Kundendaten betreffen.

Nach Beendigung des Hauptvertrags oder auf Weisung des Kunden gibt die Anbieterin die Kundendaten nach Wahl des Kunden zurück und löscht danach die vorhandenen Kopien, es sei denn, nach dem Recht der Union oder der Mitgliedstaaten besteht eine Verpflichtung zur Speicherung der Daten. Rückgabe und Löschung richten sich nach Anlage I (Vertragsende und Datenexport), die Bestandteil des Hauptvertrags ist; die dort geregelten Fristen und Verfahren gelten als Weisung im Sinne dieses AVV.

Der Kunde kann während der Laufzeit und bei Vertragsende den Gesamtexport seiner Kundendaten über die Plattform kostenfrei abrufen. Einzelne Kundendaten, Kontakte, Aufnahmen, Dateien und Belege kann der Kunde jederzeit selbst über die Funktionen der Plattform löschen. Die Löschung einer gesamten Organisation führt der Kunde über die Plattform sofort und endgültig herbei; vor der Löschung weist die Plattform auf gesetzliche Aufbewahrungspflichten hin und verlangt eine Bestätigung des Kunden.

Gesprächsaufnahmen werden von der Plattform nach Ablauf einer festen Aufbewahrungsfrist automatisch gelöscht (derzeit vierzehn Tage für neue Aufnahmen; vor der Umstellung angelegte Aufnahmen behalten ihre kürzere Frist von sieben bzw. 30 Tagen). Bewerbungen werden von der Plattform sechs Monate nach der Absage automatisch gelöscht. Transkripte, Mailkopien, Notizen und sonstige Inhalte bleiben bis zur Löschung durch den Kunden oder bis zur Löschung der Organisation gespeichert; die Festlegung angemessener Aufbewahrungs- und Löschfristen für diese Inhalte obliegt dem Kunden.

Sicherungskopien (Backups) werden in einem festen Zyklus rotiert und mit Ablauf der Rotation überschrieben. Gelöschte Kundendaten können deshalb nach der Löschung noch bis zu zwölf Monate in Sicherungskopien verbleiben. In dieser Zeit sind sie nicht Teil des Produktivbetriebs; die Anbieterin greift auf Sicherungskopien nur zum Zweck der Wiederherstellung und der Integritätsprüfung zu und verarbeitet die darin enthaltenen Daten nicht für andere Zwecke. Wird eine Sicherung zurückgespielt, stellt die Anbieterin sicher, dass Daten, deren Löschung bereits erfolgt ist, unverzüglich erneut gelöscht werden. Vorgänge der Rotation gelten als Löschung im Sinne dieses AVV.

Bei der Löschung von Daten, die der Kunde als Beleg, Buchung oder Geschäftsbrief aufbewahren muss, bleibt der Kunde für die Erfüllung der gesetzlichen Aufbewahrungspflichten verantwortlich. Die Anbieterin ist ohne Weisung des Kunden nicht zur Archivierung verpflichtet. Der Kunde sichert die Daten, die er nach Gesetz aufbewahren muss, vor der Löschung der Organisation oder Beendigung des Hauptvertrags selbst, zum Beispiel durch den Gesamtexport.

Auf Verlangen bestätigt die Anbieterin dem Kunden die Löschung in Textform. Als Nachweis dienen Organisationskennung, Zeitpunkt und Auslöser der Löschung, die auch nach der Löschung der Organisation ohne Inhalte aufbewahrt werden. Die Anbieterin darf ferner Daten aufbewahren, die sie nach Gesetz zum Nachweis der ordnungsgemäßen Datenverarbeitung, zur Erfüllung gesetzlicher Aufbewahrungspflichten oder zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen benötigt, und zwar nur im dafür erforderlichen Umfang und für die erforderliche Dauer.

Beenden einer Verbindung

Beendet der Kunde eine Verbindung oder endet sie, stellt die Anbieterin den Abgleich sofort ein. Was bis dahin noch nicht zugestellt war, stellt sie nicht mehr zu. Die Kopie der verbundenen Organisation bleibt bei dieser; die Anbieterin ändert oder löscht sie nur auf Weisung der verbundenen Organisation und nie ungefragt auf Weisung des Kunden.

Der Kunde bestimmt beim Beenden, ob beide Seiten ihre Kopie behalten oder ob er die Löschung der von ihm eingebrachten Daten bei der verbundenen Organisation anfordert. Im zweiten Fall übermittelt die Anbieterin der verbundenen Organisation eine Löschaufforderung mit einer Frist von 30 Tagen; Gesprächsnotizen, die der Kunde übertragen hat, sind in der Löschaufforderung gesondert aufgeführt. Die verbundene Organisation bestätigt die Löschung selbst in der Plattform oder meldet, dass sie die Daten aus eigenem Grund behält; die Anbieterin führt die Löschung bei der verbundenen Organisation nicht selbst durch. Daten, die der Kunde selbst erzeugt hat, insbesondere eigene Anrufergebnisse, Notizen und Termine, bleiben bei ihm. Seine eigene Kopie löscht oder behält der Kunde nach Ziffer 10.1 bis 10.6 in eigener Verantwortung.

Auf Verlangen bestätigt die Anbieterin dem Kunden in Textform Zeitpunkt und Umfang des Abgleichs sowie der Löschaufforderung und ihrer Beantwortung, jeweils ohne Inhalte. Ziffer 10.6 gilt entsprechend.

Lead-Beschaffung über Leadmode

Löscht der Kunde einen Lead aus der Lead-Beschaffung, löscht die Plattform mit ihm die Ansprechpartner, Quellenvermerke, Fristen und Vermerke. Prüfwerte in der Sperrliste und Widerspruchsvermerke, die auf einem Widerspruch beruhen, bleiben auf Weisung des Kunden erhalten (Anlage G Ziffer 3.5 und 5.7.8 der Allgemeinen Geschäftsbedingungen), damit die Person bei einem späteren Abruf nicht erneut angelegt und angesprochen wird; sie enthalten keine Klartextdaten. Mit der Löschung der Organisation entfallen sie mit der Datenbank. Ergebnisse der Modellauswertung hält die Plattform nur bis zum Import in den Lead-Stamm; Seitentexte werden nicht gespeichert, und beim Server für den Abruf der Websites verbleiben keine Daten.

Gegenüber Betroffenen haften die Parteien nach Art. 82 DSGVO. Der Kunde haftet als Verantwortlicher für den Schaden, der durch eine nicht der DSGVO entsprechende Verarbeitung verursacht wird. Die Anbieterin haftet als Auftragsverarbeiter nur dann für den durch eine Verarbeitung verursachten Schaden, wenn sie ihren speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung der rechtmäßig erteilten Anweisungen des Kunden oder gegen diese Anweisungen gehandelt hat.

Im Innenverhältnis richtet sich die Haftung der Parteien füreinander einschließlich eines Ausgleichs nach Art. 82 Abs. 5 DSGVO nach den Haftungsregelungen des Hauptvertrags (Allgemeine Geschäftsbedingungen). Die Haftungsregelungen des Hauptvertrags gelten auch für Ansprüche aus diesem AVV; dieser AVV erweitert die Haftung der Anbieterin nicht. Zwingende gesetzliche Haftung, insbesondere gegenüber Betroffenen, bleibt unberührt.

Bußgelder, die gegen eine Partei verhängt werden, trägt diese Partei im Verhältnis der Parteien zueinander selbst; ein Ausgleich nach Art. 82 Abs. 5 DSGVO bleibt unberührt.

Dienste Dritter mit Zugangsdaten des Kunden

Dienste Dritter, die der Kunde mit eigenem Vertrag und eigenen Zugangsdaten an die Plattform anbindet (zum Beispiel Telefonie, SMS, WhatsApp, Social-Media-Konten, Kampagnen-Mail, Postfächer, Kalender, Cloud-Speicher, Lead-Quellen, Mess-, Tracking- und Marketingdienste, eingebettete Dienste, Zielsysteme für Leads und Bewerbungen sowie vom Kunden selbst eingerichtete KI- oder Transkriptionsdienste), sind nicht Gegenstand dieses AVV. Der Kunde beauftragt diese Dienste selbst und in eigener Verantwortung; Vertragsabschluss, Auftragsverarbeitungs- und Drittlandregelungen, Kosten und Datenschutz bei diesen Diensten liegen beim Kunden. Die Anbieterin ist insoweit nicht Unterauftragnehmer des Kunden und nicht Vertragspartei dieser Dienste. Die Anbieterin speichert die Zugangsdaten verschlüsselt und leitet Daten im Auftrag und auf Weisung des Kunden an den jeweiligen Dienst weiter oder von diesem entgegen. Die Anlage „Unterauftragnehmer“ führt diese Dienste zur Information des Kunden in einer gesonderten Tabelle auf.

Eigene Verantwortlichkeit der Anbieterin

Soweit die Anbieterin personenbezogene Daten zu eigenen Zwecken und in eigener Verantwortung verarbeitet, insbesondere für die Vertragsabwicklung, Abrechnung, Konto- und Zugangsverwaltung, Authentifizierung, Gewährleistung der Sicherheit und Missbrauchsabwehr, Erfüllung gesetzlicher Pflichten sowie für Support, ist sie Verantwortliche und nicht Auftragsverarbeiterin. Hierfür gelten ausschließlich die Datenschutzerklärung der Anbieterin und die gesetzlichen Vorschriften; diese Verarbeitung ist nicht Gegenstand dieses AVV. Zahlungsdienstleister sind für Zahlungsdaten eigene Verantwortliche. Kundeninhalte nutzt die Anbieterin für diese Zwecke nur, soweit dies zur Gewährleistung der Sicherheit der Plattform, zur Erfüllung gesetzlicher Pflichten oder zur Aufklärung konkreter Missbrauchsfälle erforderlich ist.

Partnerzugänge und Nutzer

Partnerzugänge und Nutzer greifen im Namen des Kunden auf Kundendaten zu. Sie sind keine Auftragsverarbeiter der Anbieterin und keine Dritten im Sinne dieses AVV, sondern Weisungsempfänger und Hilfspersonen des Kunden. Für den Umfang ihrer Berechtigungen und die Beachtung des Datenschutzes durch diese Personen ist der Kunde verantwortlich.

Verbundene Organisationen

Verbundene Organisationen sind weder Unterauftragnehmer noch Hilfspersonen oder Weisungsempfänger der Anbieterin oder des Kunden; Ziffer 4.6 und Ziffer 12.3 gelten für sie nicht. Jede verbundene Organisation ist Verantwortliche für die Daten, die sie erhält, und hat mit der Anbieterin einen eigenen Auftragsverarbeitungsvertrag. Wie der Kunde und die verbundene Organisation ihre Rollen und Rechtsgrundlagen untereinander regeln, ist nicht Gegenstand dieses AVV; die Anbieterin ist nicht Partei dieser Vereinbarung.

Datenquellen und Widerspruchsseite der Lead-Beschaffung

Der Datenanbieter, bei dem die Anbieterin für die Lead-Beschaffung über Leadmode Unternehmensprofile abruft, ist für seine eigene Erhebung und Bereitstellung eigener Verantwortlicher. Die Anbieterin übermittelt ihm keine Kundendaten, sondern nur Suchbegriffe; er ist weder Unterauftragnehmer noch Empfänger von Kundendaten. Die Betreiber der Firmenwebsites, die die Anbieterin auf Weisung des Kunden abruft, erhalten dabei die IP-Adresse und die Kennung des abrufenden Servers der Anbieterin; Kundendaten erhalten sie nicht.

Die Widerspruchsseite betreibt die Anbieterin im Auftrag des Kunden als Auftragsverarbeiterin, nicht in eigener Verantwortung; Verantwortlicher gegenüber den Betroffenen ist der Kunde, der dort mit seinen Angaben genannt ist. Die Ratenbegrenzung und Missbrauchsabwehr auf der Seite, für die die Anbieterin die IP-Adresse des Aufrufenden kurzzeitig verwendet, ist eigene Verarbeitung der Anbieterin nach Ziffer 12.2 und ihrer Datenschutzerklärung.

In Fragen des Datenschutzes gehen die Regelungen dieses AVV den Regelungen des Hauptvertrags einschließlich der Allgemeinen Geschäftsbedingungen und ihrer Anlagen vor, soweit sie sich widersprechen. Im Übrigen bleiben die Regelungen des Hauptvertrags unberührt.

Für diesen AVV gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Für Streitigkeiten aus oder im Zusammenhang mit diesem AVV gilt, soweit gesetzlich zulässig, der Gerichtsstand des Hauptvertrags; dieser ist der Sitz der Anbieterin.

Sollte eine Bestimmung dieses AVV ganz oder teilweise unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die wirksame Regelung, die dem Zweck der unwirksamen Bestimmung wirtschaftlich und rechtlich am nächsten kommt. Gesetzliche Vorgaben des Art. 28 DSGVO haben in jedem Fall Vorrang.

Die Anbieterin darf den Hauptvertrag samt diesem AVV nach Maßgabe der Allgemeinen Geschäftsbedingungen auf einen Rechtsnachfolger oder ein mit ihr verbundenes Unternehmen übertragen. In diesem Fall tritt der Erwerber als Auftragsverarbeiter in diesen AVV ein, sofern er die Anforderungen des Art. 28 DSGVO erfüllt.

Der AVV wird durch elektronische Annahme in der Plattform wirksam. Die Annahme erklärt eine für den Kunden vertretungsberechtigte Person (in der Regel ein Organisationsadministrator) durch Bestätigung des Vertragstexts in der Plattform. Sie bestätigt dabei, dass sie zur Abgabe der Erklärung für den Kunden befugt ist. Die Annahme erfüllt das Erfordernis der Textform (§ 126b BGB) und das nach Art. 28 Abs. 9 DSGVO erforderliche elektronische Format.

Die Plattform protokolliert die Annahme mit Fassung (Version) des Vertragstexts, Zeitpunkt und annehmender Person. Die Anbieterin stellt dem Kunden den angenommenen Vertragstext mit diesen Angaben als PDF per E-Mail bereit; der Vertragstext ist zudem in der Plattform abrufbar. Maßgeblich ist die Fassung, die zum protokollierten Zeitpunkt angenommen wurde. Das Protokoll gilt als Nachweis des Vertragsschlusses, soweit nicht der Kunde die Unrichtigkeit nachweist.

Änderungen dieses AVV, einschließlich der Anlagen mit Ausnahme der nach Ziffer 7 zu behandelnden Änderungen der Anlage „Unterauftragnehmer“, sind nur wirksam, wenn der Kunde sie in der Plattform annimmt. Die Anbieterin kündigt Änderungen mindestens vier Wochen vor ihrem beabsichtigten Wirksamwerden in Textform an. Änderungen der Anlage „Technische und organisatorische Maßnahmen“, die das Schutzniveau nicht unterschreiten, bedürfen nach Ziffer 5.2 keiner Annahme.

Nimmt der Kunde eine Änderung nicht an, die zur Erfüllung zwingender gesetzlicher oder behördlicher Anforderungen erforderlich ist, und wäre die Fortführung der Verarbeitung ohne die Änderung rechtlich nicht zulässig, kann jede Partei den Hauptvertrag zum Zeitpunkt des vorgesehenen Wirksamwerdens der Änderung außerordentlich kündigen. Bis dahin gilt die zuletzt angenommene Fassung fort.

Änderungen und Ergänzungen dieses AVV, die nicht über die Plattform erfolgen, bedürfen der Textform. Dies gilt auch für die Abänderung dieser Textformklausel.

Funktionen der Plattform, deren Verarbeitung erst in einer neueren Fassung dieses AVV beschrieben ist als in der vom Kunden zuletzt angenommenen (zum Beispiel die Lead-Beschaffung über Leadmode, Fassung vom 27. Oktober 2026 oder jünger), stehen dem Kunden bis zur Annahme dieser Fassung nicht zur Verfügung. Die Plattform weist bei der Funktion darauf hin und bietet die Annahme an. Bis zur Annahme gilt die zuletzt angenommene Fassung für die übrigen Verarbeitungen fort.