Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand, Art und Zweck

Der Auftragsverarbeiter stellt dem Verantwortlichen das heyklara CRM als Software (SaaS) bereit und erbringt Online-Marketing-Leistungen (insbesondere Werbekampagnen auf Facebook und Instagram, Anfrage-Seiten, automatische Antworten, KI-Assistenten, Berichte). Dabei verarbeitet er personenbezogene Daten im Auftrag des Verantwortlichen.

Zweck: Erfassung und Verwaltung von Anfragen, Kunden und Terminen des Verantwortlichen, Kommunikation mit diesen (E-Mail, SMS, WhatsApp, Telefon, Chat), Auswertung von Werbeergebnissen, Betrieb von KI-Assistenten im Namen des Verantwortlichen.

Art der Verarbeitung: Erheben, Speichern, Ordnen, Abfragen, Übermitteln, Auswerten, Löschen.

Kategorien betroffener Personen: Interessenten, Kunden, Ansprechpartner und Mitarbeiter des Verantwortlichen, Anrufer und Chat-Nutzer.

Kategorien von Daten:

• Kontaktdaten (Name, Telefon, E-Mail, Adresse, Firma)
• Anfragedaten (Antworten in Formularen, gewünschte Leistung, Zeitpunkt)
• Kommunikationsdaten (Nachrichten, E-Mails, Chatverläufe, Anrufprotokolle, bei Einwilligung Aufzeichnungen und Transkripte)
• Termin- und Vertragsdaten (Termine, Status, Angebote, Aufträge)
• Werbe- und Nutzungsdaten (Kampagne, Anzeige, Quelle, technische Kennungen, IP-Adresse, Einwilligungsnachweise)
• Bewertungen und Feedback

Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand. Der Verantwortliche stellt sicher, dass solche Daten nicht ohne gesonderte Vereinbarung verarbeitet werden.

§ 2 Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist gesetzlich zu einer Verarbeitung verpflichtet. Dann teilt er dies vorher mit, soweit das Gesetz es nicht verbietet.

Die Weisungen ergeben sich aus dem Hauptvertrag, der Leistungsbeschreibung und den Einstellungen, die der Verantwortliche in der Software vornimmt. Weitere Weisungen erteilt der Verantwortliche in Textform.

Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung aussetzen, bis sie bestätigt oder geändert wird.

§ 3 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Rechtsgrundlagen, Einwilligungen (z. B. für Werbung per SMS, WhatsApp, E-Mail und Telefon), Informationspflichten (eigene Datenschutzerklärung, Hinweis auf KI und Aufzeichnung) und die Wahrung der Betroffenenrechte.

Er führt das Verzeichnis von Verarbeitungstätigkeiten (Art. 30 Abs. 1 DSGVO).

§ 4 Pflichten des Auftragsverarbeiters

Vertraulichkeit: Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet (§ 6 DSG, Art. 28 Abs. 3 lit. b DSGVO).

Sicherheit: Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anhang 1). Er darf sie an den Stand der Technik anpassen, ohne das Schutzniveau zu unterschreiten.

Unterstützung: Er unterstützt den Verantwortlichen angemessen bei Betroffenenanfragen (Art. 12–22), bei der Sicherheit, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 32–36). Anfragen von Betroffenen, die direkt bei ihm eingehen, leitet er unverzüglich weiter.

Datenschutzverletzungen: Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis, mit den Informationen nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

Verzeichnis: Er führt ein Verzeichnis nach Art. 30 Abs. 2 DSGVO.

Zweckbindung: Er nutzt die Daten nicht für eigene Zwecke. Ausgenommen sind anonymisierte, nicht auf Personen oder den Verantwortlichen rückführbare Statistiken zur Verbesserung der Leistungen.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten stehen in Anhang 2 und gelten als genehmigt.

Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 30 Tage vorher in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Verantwortliche den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Schutzniveau und haftet für deren Einhaltung wie für eigenes Handeln.

Nebenleistungen wie Telekommunikation, Post oder Wartung von Hardware ohne Zugriff auf die Daten sind keine Unterauftragsverarbeitung.

§ 6 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt auf Anfrage die Informationen bereit, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind. Dies kann auch durch Zertifikate, Prüfberichte oder Unterlagen der Unterauftragsverarbeiter erfolgen.

Vor-Ort-Kontrollen sind nach Anmeldung mit mindestens 14 Tagen Vorlauf, während der Geschäftszeiten und ohne Störung des Betriebs möglich, höchstens einmal pro Jahr, außer bei konkretem Anlass. Der Auftragsverarbeiter kann einen angemessenen Kostenersatz verlangen, wenn die Kontrolle keinen Verstoß ergibt.

Kontrollen bei Cloud-Anbietern (z. B. Rechenzentren) erfolgen über deren Nachweise.

§ 7 Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Verantwortliche seine Daten 30 Tage lang exportieren bzw. einen Export anfordern. Danach löscht der Auftragsverarbeiter die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen werden im regulären Rhythmus des Plattform-Anbieters überschrieben.

Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung in Textform.

§ 8 Drittlandübermittlung

Einzelne Unterauftragsverarbeiter verarbeiten Daten in Drittländern, insbesondere in den USA (Anhang 2). Der Verantwortliche weist den Auftragsverarbeiter an, diese Übermittlungen vorzunehmen.

Sie erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage des Angemessenheitsbeschlusses zum EU-US Data Privacy Framework (für zertifizierte Empfänger) oder der EU-Standardvertragsklauseln mit ergänzenden Maßnahmen.

§ 9 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln der AGB (§ 12), soweit gesetzlich zulässig.

§ 10 Schlussbestimmungen

Bei Widersprüchen geht diese Vereinbarung in Datenschutzfragen den AGB vor.

Änderungen bedürfen der Textform.

Es gilt österreichisches Recht. Gerichtsstand wie in den AGB.