Auftragsverarbeitungsvertrag

§ 1 Gegenstand und Dauer

1. Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem zwischen dem Auftraggeber und der NOSA Partners GbR geschlossenen Dienstleistungsvertrag zur Leadgenerierung („Hauptvertrag“). Er wird durch Verweis im Hauptvertrag dessen Bestandteil.
2. Die Laufzeit dieses Vertrages richtet sich nach der Laufzeit des Hauptvertrages. Er gilt darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet.

§ 2 Art, Zweck und Umfang der Verarbeitung

1. Zweck: Erfassung, Speicherung, Zuordnung und Übermittlung von Interessentenanfragen („Leads“) an den Verantwortlichen sowie die Auswertung des Kampagnen- und Vertriebserfolgs im Rahmen des Hauptvertrages.
2. Art der Verarbeitung: Erheben, Speichern, Ordnen, Übermitteln, Auswerten und Löschen.
3. Datenarten: Kontaktdaten (Vorname, Nachname, Telefonnummer, E-Mail-Adresse), Unternehmensangaben, Angaben aus Formularen und Qualifizierungsfragen, Einwilligungsnachweise, Lead-Status, Angaben zu Geschäftsabschlüssen sowie technische Tracking-Daten.
4. Kategorien betroffener Personen: Interessenten und Endkunden des Verantwortlichen sowie dessen Ansprechpartner.
5. Die Verarbeitung erfolgt grundsätzlich in der Europäischen Union bzw. dem Europäischen Wirtschaftsraum. Soweit Unterauftragsverarbeiter gemäß Anlage 2 Daten in Drittländern verarbeiten, erfolgt dies nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen des Hauptvertrages und nach dokumentierten Weisungen des Verantwortlichen. Weisungen erfolgen in Textform.
2. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Verantwortlichen unverzüglich.

§ 4 Pflichten des Auftragsverarbeiters

1. Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an.
3. Er unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Beantwortung von Anfragen betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten nach Art. 32–36 DSGVO.
4. Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
5. Er stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind. Überprüfungen erfolgen nach rechtzeitiger Ankündigung während der Geschäftszeiten und ohne Störung des Betriebsablaufs.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche stimmt dem Einsatz der in Anlage 2 als Unterauftragsverarbeiter aufgeführten Dienste zu, soweit sie für seinen Auftrag eingesetzt werden. Weitere Plattformen sind dort zur Transparenz genannt; ihre datenschutzrechtliche Rolle richtet sich nach dem konkreten Einsatz und den jeweiligen Plattformbedingungen.
2. Über die beabsichtigte Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter informiert der Auftragsverarbeiter den Verantwortlichen vorab in Textform. Der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen.
3. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau.

§ 6 Rechte und Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, soweit sie auf seinen Weisungen beruht, sowie für die Verarbeitung der Lead-Daten in seinen eigenen Systemen.
2. Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 7 Löschung und Rückgabe

Nach Ende des Hauptvertrages gibt der Auftragsverarbeiter die Daten nach Wahl des Verantwortlichen zurück oder löscht sie, sofern keine gesetzliche Pflicht zur Speicherung besteht. Daten, die zum Nachweis von Einwilligungen oder zur Abrechnung von Provisionsansprüchen nach dem Hauptvertrag erforderlich sind, dürfen bis zum Ablauf der jeweiligen Fristen gespeichert werden.

§ 8 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrages.
2. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages in Bezug auf den Datenschutz vor.
3. Änderungen bedürfen der Textform. Es gilt deutsches Recht. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Zugangs- und Zugriffskontrolle: Zugriff auf Systeme nur für berechtigte Personen, personalisierte Benutzerkonten, Zwei-Faktor-Authentifizierung, sofern vom Dienst angeboten
• Passwortrichtlinie: starke, individuelle Passwörter und Passwortmanager
• Weitergabekontrolle: verschlüsselte Übertragung (TLS/HTTPS)
• Eingabekontrolle: Nachvollziehbarkeit von Änderungen über die Protokollfunktionen der eingesetzten Systeme
• Verfügbarkeit: Nutzung etablierter Cloud-Anbieter mit eigener Datensicherung
• Datenminimierung: Erhebung nur der für die Leadgenerierung erforderlichen Daten
• Trennung: Lead-Daten verschiedener Auftraggeber werden getrennt verarbeitet
• Regelmäßige Überprüfung der Maßnahmen und Löschung nicht mehr benötigter Daten

Anlage 2 – Dienstleister und Plattformen

Je nach vereinbarter Leistung und freigeschalteten Funktionen werden nur die jeweils erforderlichen Dienste eingesetzt. Die Nennung in dieser Anlage bedeutet nicht, dass jeder Dienst bei jedem Auftraggeber Zugriff auf personenbezogene Daten erhält.

Unterauftragsverarbeiter, soweit die Dienste für den jeweiligen Auftrag durch NOSA eingesetzt werden:

• Google Ireland Ltd., Dublin (Google Sheets und Google Drive, soweit ein Lead- oder Pipeline-Abgleich eingerichtet ist)
• HighLevel Inc., Dallas, USA (CRM und Kontaktverwaltung, soweit im Kundenprojekt eingesetzt)
• Perspective Software GmbH, Berlin (Funnel, Landingpages und Formulare, soweit vereinbart)
• Make (Automatisierung der Datenübertragung, soweit für das Kundenprojekt eingerichtet)
• Vercel Inc., USA (Hosting und technische Bereitstellung des NOSA-Portals)
• Supabase Pte. Ltd., Singapur (Datenbank, Authentifizierung und Dateispeicherung des NOSA-Portals)
• Plus Five Five, Inc. / Resend, USA (Versand von Einladungen, Passwort-E-Mails und aktivierten Lead-Benachrichtigungen aus dem NOSA-Portal)

Weitere Plattform, die der Auftraggeber für Werbung und Lead-Erfassung nutzen kann:

• Meta Platforms Ireland Ltd., Dublin (Werbeanzeigen und Instant-Formulare; das Werbebudget wird gemäß Hauptvertrag vom Auftraggeber direkt an Meta gezahlt)