Auftragsverarbeitungsvertrag (AVV)
VERSION MÄRZ 2024
Dieser Auftragsverarbeitungsvertrag und seine Anlagen A, B, C und D („AVV“) wird geschlossen zwischen:
NO PARADE (Refocusly)
Marvin Eckert
Ankerberg 5
76344 Eggenstein-Leopoldshafen
– nachfolgend „Auftragsverarbeiter“ genannt –
und
[Name des Kunden]
[Straße, Hausnummer]
[PLZ, Stadt]
– nachfolgend „Verantwortlicher“ genannt –
Präambel:
Dieser AVV regelt die datenschutzrechtlichen Verpflichtungen der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten des Verantwortlichen durch den Auftragsverarbeiter im Rahmen der Nutzung der Refocusly-Plattform.
## 1. Definitionen
a) DSGVO bezeichnet die Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung).
b) CCPA bezeichnet den California Civil Code Sec. 1798.100 et seq. in der geänderten Fassung (California Consumer Privacy Act 2018).
c) Personenbezogene Daten, Verarbeitung, Verantwortlicher, Auftragsverarbeiter und betroffene Person haben die ihnen in der DSGVO zugewiesene Bedeutung.
d) Kundendaten bezeichnet alle personenbezogenen Daten, die der Verantwortliche dem Auftragsverarbeiter zur Verarbeitung überlässt.
e) Datenschutzgesetze bezeichnet alle anwendbaren Gesetze zum Schutz personenbezogener Daten, einschließlich der DSGVO, des CCPA und anderer nationaler Datenschutzgesetze.
## 2. Gegenstand der Verarbeitung
2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Nutzung der Refocusly-Plattform.
2.2 Art und Zweck der Verarbeitung, Art der personenbezogenen Daten und Kategorien betroffener Personen sind in Anlage A festgelegt.
## 3. Pflichten und Rechte des Verantwortlichen
3.1 Der Verantwortliche ist für die Einhaltung der datenschutzrechtlichen Bestimmungen verantwortlich.
3.2 Der Verantwortliche hat das Recht, Weisungen über Art, Umfang und Verfahren der Datenverarbeitung zu erteilen.
3.3 Der Verantwortliche stellt sicher, dass alle erforderlichen Einwilligungen und Genehmigungen für die Datenverarbeitung vorliegen.
## 4. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
4.1 Personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten.
4.2 Die in Anlage B beschriebenen technischen und organisatorischen Maßnahmen umzusetzen.
4.3 Den Verantwortlichen bei der Erfüllung der Betroffenenrechte zu unterstützen.
4.4 Nach Abschluss der Verarbeitung alle personenbezogenen Daten nach Wahl des Verantwortlichen zu löschen oder zurückzugeben.
4.5 Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der DSGVO zur Verfügung zu stellen.
## 5. Unterauftragsverarbeitung
5.1 Der Verantwortliche erteilt seine allgemeine Genehmigung zur Einbindung von Unterauftragsverarbeitern.
5.2 Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern.
5.3 Die aktuell eingesetzten Unterauftragsverarbeiter sind:
a) HighLevel Inc.
– Adresse: 400 N. Saint Paul St. Suite 920, Dallas, Texas 75202, USA
– Zweck: Bereitstellung der technischen Plattform-Infrastruktur
b) Weitere technische Dienstleister:
– Google LLC/Google Cloud Services
– Amazon Web Services, Inc.
Die Details zu diesen Unterauftragsverarbeitern sind in Anlage C aufgeführt.
## 6. Internationale Datenübermittlungen
6.1 Für Datenübermittlungen in Drittländer werden die erforderlichen Garantien gemäß Kapitel V der DSGVO sichergestellt.
6.2 Es gelten die Standardvertragsklauseln der EU-Kommission für die Übermittlung personenbezogener Daten in Drittländer.
## 7. Datenschutzverletzungen
7.1 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Verletzungen des Schutzes personenbezogener Daten.
7.2 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Meldepflichten gegenüber Aufsichtsbehörden.
## 8. Vertragsdauer und Kündigung
8.1 Dieser AVV gilt für die Dauer der Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter.
8.2 Die Kündigung des Hauptvertrags zur Nutzung der Refocusly-Plattform beendet automatisch diesen AVV.
## 9. Schlussbestimmungen
9.1 Änderungen und Ergänzungen dieses AVV bedürfen der Schriftform.
9.2 Sollten einzelne Bestimmungen dieses AVV unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
9.3 Es gilt deutsches Recht.
[Ort, Datum]
_______________________
Unterschrift Verantwortlicher
_______________________
Unterschrift Auftragsverarbeiter
# Anlage A – Details der Datenverarbeitung
1. Zweck der Verarbeitung:
– Marketing-Automation
– Kundenkommunikation
– CRM-Funktionen
– E-Mail-Marketing
– Kampagnenmanagement
– Kundenanalyse
– Automatisierte Onboarding-Prozesse
2. Art der personenbezogenen Daten:
– Kontaktdaten (Name, E-Mail, Telefon, Anschrift)
– Kommunikationsverläufe
– Kundeninteraktionsdaten
– Marketing-bezogene Daten
– Analysedaten
– Tracking-Daten
– Terminvereinbarungen
3. Kategorien betroffener Personen:
– Kunden des Verantwortlichen
– Interessenten
– Newsletter-Abonnenten
– Website-Besucher
– Geschäftspartner
# Anlage B – Technische und organisatorische Maßnahmen
1. Verschlüsselung
– Verschlüsselung ruhender Daten (AES 256 CBC)
– TLS V1.2+ für Datenübertragungen
– SSL-Zertifikate für alle Verbindungen
2. Zugriffskontrolle
– Zwei-Faktor-Authentifizierung
– Rollenbasierte Zugriffsrechte
– Passwort-Richtlinien
– Session-Timeout
– Protokollierung aller Zugriffe
3. Verfügbarkeit
– Automatische Backups (5-Minuten-Intervalle)
– Georedundante Datenspeicherung
– 24/7 Systemüberwachung
– Disaster-Recovery-Plan
4. Datensicherheit
– Endpoint-Schutz für APIs
– Regelmäßige Sicherheitsaudits
– Incident-Response-Plan
– Automatische Sicherheitsupdates
5. Datentrennung
– Logische Mandantentrennung
– Getrennte Entwicklungs- und Produktionsumgebungen
– Berechtigungskonzept
# Anlage C – Unterauftragsverarbeiter
1. HighLevel Inc.
– Adresse: 400 N. Saint Paul St. Suite 920, Dallas, Texas 75202, USA
– Leistung: Bereitstellung der technischen Plattform-Infrastruktur
– Datenschutzstandard: EU-Standardvertragsklauseln
2. Google LLC/Google Cloud Services
– Adresse: 1600 Amphitheatre Parkway, Mountain View, California 94043, USA
– Leistung: Cloud-Infrastruktur
– Datenschutzstandard: EU-Standardvertragsklauseln
3. Amazon Web Services, Inc.
– Adresse: 410 Terry Avenue North, Seattle, WA 98109-5210, USA
– Leistung: Cloud-Infrastruktur
– Datenschutzstandard: EU-Standardvertragsklauseln
# Anlage D – Internationale Datenübermittlungen
1. Rechtliche Grundlagen:
– EU-Standardvertragsklauseln (Beschluss 2021/914)
– UK International Data Transfer Addendum
– Schweizer Standardvertragsklauseln
2. Zusätzliche Schutzmaßnahmen:
– Verschlüsselung aller Daten
– Zugriffskontrollen
– Regelmäßige Audits
– Dokumentierte Prozesse
– Incident-Response-Plan
3. Datenexporteur:
– Name: NO PARADE (Refocusly)
– Rolle: Verantwortlicher
– Kontakt: Ankerberg 5, 76344 Eggenstein-Leopoldshafen
4. Datenimporteure:
– HighLevel Inc. – Google LLC/Google Cloud Services – Amazon Web Services, In