Vertrag zur Auftragsverarbeitung (AVV)

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Auftragnehmer: Giorgio Bassil, handelnd unter Lead Push, Hannoversche Str. 88, 37077 Göttingen (nachfolgend „Anbieter").

(2) Auftraggeber: Der registrierte Kunde (nachfolgend „Agentur"), der das CRM-System des Anbieters zur Verwaltung vermittelter Leads nutzt.

(3) Gegenstand: Der Anbieter stellt der Agentur über die Plattform lead-push.de ein CRM-System zur Verfügung, in dem personenbezogene Daten von Interessenten (Leads) gespeichert, angezeigt und verwaltet werden. Der Anbieter verarbeitet diese Daten im Auftrag und nach dokumentierter Weisung der Agentur.

(4) Dauer: Dieser Vertrag gilt ab Aktivierung des CRM-Systems durch die Agentur und endet mit der endgültigen Löschung des Nutzerkontos oder der dauerhaften Sperrung des CRM-Zugangs.

§ 2 Art und Zweck der Verarbeitung

(1) Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Anzeige von Lead-Daten im CRM-System
• Zuordnung von Leads zu Pipeline-Stufen (Kanban-Board)
• Protokollierung von Kontaktaktivitäten (Anrufe, E-Mails, WhatsApp, Meetings, Notizen)
• Verwaltung von Aufgaben und Erinnerungen zu einzelnen Leads
• Optionale Weiterleitung von Lead-Daten an Drittsysteme über eine Webhook-URL

(2) Zweck: Bereitstellung einer technischen Infrastruktur zur Verwaltung und Bearbeitung von Kundenanfragen im Rahmen der geschäftlichen Tätigkeit der Agentur.

§ 3 Art der personenbezogenen Daten

Im Rahmen der Auftragsverarbeitung werden folgende Datenkategorien verarbeitet:

• Vor- und Nachname des Interessenten
• E-Mail-Adresse
• Telefonnummer
• Branche / Projektbeschreibung
• Freitextnotizen und Tags (durch die Agentur ergänzt)
• Kontaktprotokolle mit Zeitstempel
• Aufgaben und Fälligkeitsdaten

§ 4 Kreis der betroffenen Personen

Betroffene Personen sind natürliche Personen, die über Werbekampagnen des Anbieters ihr Interesse an einer Dienstleistung bekundet und ihre Kontaktdaten freiwillig übermittelt haben (Leads).

§ 5 Pflichten des Auftragnehmers (Anbieter)

(1) Der Anbieter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Agentur, es sei denn, eine Verarbeitung ist nach geltendem EU- oder mitgliedstaatlichem Recht erforderlich.

(2) Der Anbieter gewährleistet, dass sich die mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet haben oder einer gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Anbieter ergreift die gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zum Schutz der Daten (siehe § 8).

(4) Der Anbieter unterstützt die Agentur bei der Erfüllung der Betroffenenrechte (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit) sowie bei der Meldepflicht von Datenschutzverletzungen.

(5) Nach Beendigung der Auftragsverarbeitung werden die personenbezogenen Daten nach Wahl der Agentur gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht besteht.

§ 6 Pflichten des Auftraggebers (Agentur)

(1) Die Agentur ist im Rahmen dieses Vertrags Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO und trägt die Verantwortung für die Rechtmäßigkeit der Datenverarbeitung.

(2) Die Agentur verpflichtet sich, die erhaltenen Lead-Daten ausschließlich für den vereinbarten Geschäftszweck zu verwenden und die Betroffenenrechte der Leads zu wahren.

(3) Die Agentur ist allein verantwortlich für die datenschutzkonforme Nutzung der Webhook-Funktion und die Verarbeitung der Daten in Drittsystemen.

§ 7 Unterauftragsverarbeiter

(1) Der Anbieter bedient sich folgender Unterauftragsverarbeiter:

(2) Der Anbieter informiert die Agentur über jede beabsichtigte Änderung bei Unterauftragsverarbeitern. Die Agentur kann innerhalb von 14 Tagen aus sachlichen Gründen widersprechen.

§ 8 Technische und organisatorische Maßnahmen (TOM)

Der Anbieter hat folgende Maßnahmen gemäß Art. 32 DSGVO implementiert:

§ 9 Kontrollrechte des Auftraggebers

(1) Die Agentur hat das Recht, die Einhaltung dieses Vertrags und der technischen und organisatorischen Maßnahmen zu überprüfen – durch Einholen von Auskünften oder durch Inspektionen nach vorheriger Abstimmung.

(2) Der Anbieter stellt der Agentur alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung.

§ 10 Meldepflichten bei Datenschutzverletzungen

(1) Der Anbieter informiert die Agentur unverzüglich, sobald er eine Verletzung des Schutzes personenbezogener Daten feststellt (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält mindestens: Art der Verletzung, betroffene Datenkategorien und Personen, voraussichtliche Folgen sowie ergriffene Maßnahmen.

§ 11 Laufzeit und Beendigung

(1) Dieser Vertrag tritt mit der Aktivierung des CRM-Systems in Kraft und ist untrennbar mit der Nutzung der Plattform verbunden.

(2) Bei Beendigung der Geschäftsbeziehung (Kontolöschung, CRM-Sperrung) werden alle im CRM gespeicherten Lead-Daten innerhalb von 90 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

(3) Die Agentur kann vor der Löschung eine Kopie der Daten im maschinenlesbaren Format anfordern.

§ 12 Schlussbestimmungen

(1) Dieser Vertrag ergänzt die Allgemeinen Geschäftsbedingungen und die Datenschutzerklärung des Anbieters.

(2) Änderungen dieses Vertrags bedürfen der Textform.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Göttingen.

(4) Sollten einzelne Bestimmungen dieses Vertrags unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.