Auftragsverarbeitungsvertrag (AVV)

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 der Datenschutz-Grundverordnung (DSGVO) für die Nutzung der Software „Leadovi".

Parteien

Dieser Vertrag wird geschlossen zwischen dem Kunden, der Leadovi nutzt (nachfolgend „Verantwortlicher"), und Enrique Zinke (Einzelunternehmen), Keilerweg 20, 33689 Bielefeld (nachfolgend „Auftragsverarbeiter"). Der Verantwortliche stimmt diesem Vertrag bei der Registrierung durch ausdrückliche Bestätigung in elektronischer Form (Art. 28 Abs. 9 DSGVO) zu; der Zeitpunkt, die Fassung und die zustimmende Person werden zu Nachweiszwecken protokolliert.

§ 1 Gegenstand, Dauer und Rollenverteilung

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der Software Leadovi (Software-as-a-Service). (2) Die Laufzeit entspricht der Laufzeit des zugrunde liegenden Hauptvertrags (AGB). Dieser Vertrag wirkt jedoch über das Ende des Hauptvertrags hinaus fort, solange der Auftragsverarbeiter personenbezogene Daten aus dem Auftragsverhältnis verarbeitet oder speichert (einschließlich Sicherungskopien), längstens bis zum Abschluss der Löschung bzw. Rückgabe nach § 10. (3) Der Verantwortliche ist im Rahmen dieses Vertrags allein für die Beurteilung der Zulässigkeit der Verarbeitung (Art. 6, 9 DSGVO), für die Wahrung der Rechte der betroffenen Personen sowie für die Erfüllung der Informationspflichten (Art. 13, 14 DSGVO) verantwortlich. Ihm stehen die in diesem Vertrag geregelten Weisungs-, Kontroll- und Informationsrechte zu.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Zweck: Verwaltung von Bewerbern und Leads, Pipeline- und Recruiting-Prozesse, Kommunikation (E-Mail, SMS, WhatsApp), Automatisierungen, Terminplanung sowie Auswertungen und Berichte. (2) Art der Daten: insbesondere Stammdaten (Name, Anschrift), Kontaktdaten (E-Mail, Telefon), Bewerbungs- und Lead-Daten, Kommunikationsinhalte, Termin- und Statusdaten, hochgeladene Dokumente sowie Nutzungs- und Metadaten. (3) Kategorien betroffener Personen: Bewerber und Interessenten (Leads) des Verantwortlichen, dessen Ansprechpartner sowie Mitarbeiter/Nutzer des Verantwortlichen. (4) Besondere Kategorien (Art. 9 DSGVO): Die Verarbeitung besonderer Kategorien personenbezogener Daten ist nicht planmäßiger Gegenstand des Auftrags. Sie können jedoch in Bewerbungsunterlagen und Kommunikationsinhalten enthalten sein (z. B. Angaben zur Gesundheit oder Schwerbehinderteneigenschaft, Lichtbilder). Der Verantwortliche stellt sicher, dass für die Verarbeitung solcher Daten eine geeignete Rechtsgrundlage besteht; die Maßnahmen nach Anlage 1 tragen diesem Risiko Rechnung. (5) Ort der Verarbeitung: Die Verarbeitung erfolgt ausschließlich auf Servern innerhalb der Europäischen Union. Eine Übermittlung in Drittländer findet nur unter den Voraussetzungen des § 3 Abs. 1 und des § 6 statt.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Dies gilt auch für die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation. (2) Ist der Auftragsverarbeiter durch das Recht der Union oder eines Mitgliedstaats zu einer abweichenden Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet. (3) Die Nutzung der Software durch den Verantwortlichen (Einstellungen, Eingaben, ausgelöste Funktionen, das Verbinden von Drittdiensten) gilt als dokumentierte Weisung; sie wird systemseitig protokolliert. Darüber hinausgehende Einzelweisungen bedürfen der Textform und werden von beiden Parteien dokumentiert. (4) Weisungsberechtigt sind die vom Verantwortlichen eingerichteten Nutzer mit Administratorrechten; empfangsberechtigt ist die in § 12 Abs. 5 genannte Kontaktstelle des Auftragsverarbeiters. (5) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich und ist berechtigt, die Ausführung bis zur Bestätigung oder Änderung der Weisung auszusetzen. (6) Weisungen, die über den vereinbarten Leistungsumfang der Software hinausgehen, können als Änderungsverlangen behandelt werden; ein hierdurch entstehender, vom Auftragsverarbeiter nicht zu vertretender Mehraufwand ist angemessen zu vergüten.

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet und mit den datenschutzrechtlichen Vorgaben vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). (2) Diese Personen verarbeiten personenbezogene Daten ausschließlich auf Weisung, es sei denn, sie sind gesetzlich zur Verarbeitung verpflichtet. (3) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

(1) Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. (2) Die Maßnahmen dürfen dem Stand der Technik entsprechend fortentwickelt und angepasst werden, solange das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert; die jeweils aktuelle Fassung der Anlage 1 wird dem Verantwortlichen im Portal zugänglich gemacht.

§ 6 Unterauftragsverarbeiter und verbundene Drittdienste

(1) Der Verantwortliche genehmigt allgemein den Einsatz der in Anlage 2, Abschnitt A genannten Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). (2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzuziehung oder Austausch) mindestens vier Wochen vorab in Textform (E-Mail an die hinterlegte Adresse oder Mitteilung im Portal). Der Verantwortliche kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Kommt in diesem Fall keine einvernehmliche Lösung zustande, ist der Verantwortliche berechtigt, den Hauptvertrag und diesen Vertrag außerordentlich zum Zeitpunkt des beabsichtigten Einsatzes zu kündigen. (3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter im Wege eines Vertrags nach Art. 28 Abs. 4 DSGVO dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen. (4) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters (Art. 28 Abs. 4 Satz 2 DSGVO). (5) Erfolgt eine Verarbeitung durch Unterauftragsverarbeiter in einem Drittland, ist sie nur zulässig, wenn die Voraussetzungen des Kapitels V DSGVO erfüllt sind (§ 6 Abs. 6, Anlage 2). (6) Drittlandtransfers erfolgen auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (derzeit insbesondere das EU-US Data Privacy Framework, soweit der Empfänger dort zertifiziert ist) und ergänzend oder ersatzweise auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) nebst erforderlichenfalls ergänzender Maßnahmen. Entfällt eine Transfergrundlage (z. B. durch Ungültigerklärung des Angemessenheitsbeschlusses), stützt der Auftragsverarbeiter die Übermittlung auf die jeweils verbleibende geeignete Garantie oder setzt die Übermittlung aus. (7) Vom Verantwortlichen verbundene Drittdienste (Anlage 2, Abschnitt B – derzeit Meta und Google) sind keine Unterauftragsverarbeiter des Auftragsverarbeiters: Der Verantwortliche verbindet hierfür sein eigenes Konto beim jeweiligen Anbieter, mit dem er in einer eigenen Vertragsbeziehung steht; die Übermittlung an und der Abruf von Daten aus diesen Diensten durch die Software gilt als Weisung des Verantwortlichen (§ 3 Abs. 3). Der Verantwortliche ist dafür verantwortlich, mit dem jeweiligen Anbieter die erforderlichen datenschutzrechtlichen Vereinbarungen zu treffen (z. B. Auftragsverarbeitungs- oder Joint-Controller-Vereinbarungen).

§ 7 Unterstützung des Verantwortlichen und Betroffenenrechte

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) zu erfüllen – insbesondere durch die im Portal bereitgestellten Export-, Bearbeitungs- und Löschfunktionen. (2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er den Antrag unverzüglich an den Verantwortlichen weiter und beantwortet ihn nicht selbst, es sei denn, er ist hierzu gesetzlich verpflichtet. (3) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung und Benachrichtigung bei Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation). (4) Unterstützungsleistungen, die nicht durch die Funktionen der Software abgedeckt sind und deren Anlass der Auftragsverarbeiter nicht zu vertreten hat, kann er nach vorheriger Mitteilung angemessen vergütet verlangen; die Unterstützung darf nicht von der Vergütung abhängig gemacht werden.

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Auftrag verarbeitete Daten betrifft, unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Bekanntwerden, in Textform an die hinterlegte E-Mail-Adresse des Verantwortlichen. (2) Die Meldung enthält, soweit bereits verfügbar, mindestens: eine Beschreibung der Art der Verletzung (einschließlich, soweit möglich, der Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze), die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Abhilfemaßnahmen sowie eine Kontaktstelle für weitere Informationen (Art. 33 Abs. 3 DSGVO). Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht. (3) Die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und die Benachrichtigung betroffener Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen; der Auftragsverarbeiter unterstützt ihn hierbei nach § 7 Abs. 3. (4) Der Auftragsverarbeiter dokumentiert Verletzungen einschließlich der Umstände, Auswirkungen und Abhilfemaßnahmen. (5) Eine Meldung nach diesem Paragraphen stellt kein Anerkenntnis einer Pflichtverletzung oder Haftung dar.

§ 9 Nachweise, Kontrollrechte und Zusammenarbeit mit Aufsichtsbehörden

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO und diesem Vertrag erforderlich sind. Er führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO. (2) Der Nachweis kann insbesondere erbracht werden durch aktuelle Selbstauskünfte, Prüfberichte oder geeignete Zertifizierungen; genügen diese im Einzelfall nicht, ist der Verantwortliche berechtigt, Überprüfungen einschließlich Inspektionen vor Ort selbst oder durch einen zur Vertraulichkeit verpflichteten, nicht im Wettbewerb mit dem Auftragsverarbeiter stehenden Prüfer durchzuführen; der Auftragsverarbeiter ermöglicht diese Überprüfungen und trägt zu ihnen bei (Art. 28 Abs. 3 lit. h DSGVO). (3) Kontrollen erfolgen – außer bei konkretem, dokumentiertem Anlass (z. B. einer Datenschutzverletzung) – höchstens einmal je Kalenderjahr, mit einer Ankündigungsfrist von mindestens 14 Tagen, zu üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs. Jede Partei trägt die ihr entstehenden Kosten; bei mehr als einer anlasslosen Kontrolle je Kalenderjahr kann der Auftragsverarbeiter eine angemessene Aufwandsvergütung verlangen. (4) Der Auftragsverarbeiter unterrichtet den Verantwortlichen unverzüglich über Kontrollhandlungen und Anfragen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen und die Unterrichtung nicht gesetzlich untersagt ist, und wirkt an behördlichen Prüfungen im erforderlichen Umfang mit.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Der Verantwortliche kann seine Daten während der Vertragslaufzeit jederzeit über die Exportfunktionen in gängigen Formaten (u. a. CSV/JSON) abrufen; Kopien und Duplikate außerhalb des Auftrags werden nicht erstellt. (2) Nach Beendigung des Hauptvertrags werden die im Auftrag verarbeiteten personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben. Übt der Verantwortliche sein Wahlrecht nicht bis zum Vertragsende aus, kann er die Rückgabe (Export) noch bis 30 Tage nach Vertragsende verlangen; danach gilt die Löschung als gewählt. (3) Die Löschung aus den Produktivsystemen erfolgt spätestens 30 Tage nach Vertragsende bzw. nach Abschluss einer verlangten Rückgabe. Daten in Sicherungskopien werden durch die turnusmäßige Backup-Rotation spätestens 90 Tage nach Vertragsende gelöscht bzw. überschrieben; bis dahin werden sie nicht anderweitig verarbeitet und bleiben durch die Maßnahmen nach Anlage 1 geschützt. (4) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform. (5) Soweit gesetzliche Aufbewahrungspflichten einer Löschung entgegenstehen, wird die Verarbeitung der betroffenen Daten eingeschränkt; sie werden ausschließlich zu diesem Zweck gespeichert und nach Ablauf der jeweiligen Frist gelöscht. Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen (z. B. Weisungs- und Löschprotokolle), dürfen entsprechend gesetzlicher Fristen aufbewahrt werden.

§ 11 Haftung

(1) Gegenüber betroffenen Personen haften die Parteien nach Art. 82 DSGVO. Diese Haftung im Außenverhältnis kann durch diesen Vertrag nicht ausgeschlossen oder beschränkt werden. (2) Im Innenverhältnis haften die Parteien einander entsprechend ihrem jeweiligen Anteil an der Verantwortung für den Schaden (Art. 82 Abs. 5 DSGVO). Wird eine Partei von einer betroffenen Person über ihren Verantwortungsanteil hinaus in Anspruch genommen, stellt die andere Partei sie in Höhe des auf diese entfallenden Anteils frei. (3) Geldbußen (Art. 83 DSGVO) trägt jeweils die Partei, gegen die sie verhängt werden. (4) Im Übrigen gelten für Ansprüche der Parteien untereinander die Haftungsregelungen des Hauptvertrags (AGB), soweit gesetzlich zulässig; auf Ansprüche betroffener Personen finden sie keine Anwendung. (5) Der im Hauptvertrag geregelte Haftungsausschluss für Drittdienste lässt die Haftung des Auftragsverarbeiters für seine Unterauftragsverarbeiter nach § 6 Abs. 4 unberührt; er gilt jedoch für die vom Verantwortlichen verbundenen Drittdienste nach § 6 Abs. 7.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag (AGB) gehen hinsichtlich der Verarbeitung personenbezogener Daten die Regelungen dieses Vertrags vor. Etwaige zwischen den Parteien vereinbarte EU-Standardvertragsklauseln gehen im Konfliktfall diesem Vertrag vor. (2) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; § 6 Abs. 2 bleibt unberührt. (3) Es gilt das Recht der Bundesrepublik Deutschland. Erfüllungsort und – soweit gesetzlich zulässig – Gerichtsstand ist Bielefeld. (4) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Regelungen unberührt. (5) Kontaktstelle des Auftragsverarbeiters für Datenschutzfragen, Weisungen und Meldungen sind die im Impressum der Software genannten Kontaktdaten (Stichwort „Datenschutz").

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Zutritts- und Umgebungskontrolle: Betrieb in einem ISO-27001-zertifizierten Rechenzentrum in der Europäischen Union (IONOS); physischer Zutritt ausschließlich durch autorisiertes Personal des Rechenzentrumsbetreibers.

2. Zugangskontrolle (Systeme): Authentifizierung mit individuellen Zugangsdaten; Passwörter werden ausschließlich als Hash (bcrypt) gespeichert; sensible Zugangs-Token werden verschlüsselt abgelegt (AES-256-GCM); signierte, revozierbare Sitzungen; Schutz vor automatisiertem Missbrauch durch Ratenbegrenzung.

3. Zugriffs- und Trennungskontrolle: rollenbasierte Zugriffskontrolle (Need-to-know); strikte Mandantentrennung – jede Agentur sieht ausschließlich eigene Daten; Trennung von Test- und Produktivumgebung; keine Produktivdaten in Test- und Entwicklungsumgebungen.

4. Weitergabekontrolle: ausschließlich verschlüsselte Übertragung (HTTPS/TLS) zwischen Client, Anwendung und angebundenen Diensten.

5. Eingabekontrolle: Zugriffs- und Änderungsprotokolle (Audit-Logs), die nachvollziehbar machen, wer wann welche Daten eingegeben, geändert oder gelöscht hat.

6. Verfügbarkeits- und Wiederherstellungskontrolle: regelmäßige (mindestens tägliche) automatisierte Datensicherungen; dokumentiertes Wiederherstellungsverfahren für den Störungsfall.

7. Löschkonzept: Lösch- und Exportfunktionen im Produkt (Einzel- und Massenlöschung); definierte Löschfristen nach Vertragsende (§ 10) einschließlich Backup-Rotation.

8. Auftragskontrolle: sorgfältige Auswahl der Unterauftragsverarbeiter; Verträge nach Art. 28 Abs. 4 DSGVO; Verarbeitung nur auf dokumentierte Weisung (§ 3).

9. Verfahren zur regelmäßigen Überprüfung: regelmäßige Sicherheitsüberprüfungen des Codes; Fortentwicklung der Maßnahmen nach dem Stand der Technik (§ 5 Abs. 2).

Anlage 2 – Unterauftragsverarbeiter und verbundene Drittdienste

Abschnitt A – Unterauftragsverarbeiter (Art. 28 Abs. 2, 4 DSGVO)

Soweit im Einzelfall bei einem Unterauftragsverarbeiter ein Drittlandbezug entsteht, gelten die Garantien nach § 6 Abs. 6.

Abschnitt B – Vom Verantwortlichen verbundene Drittdienste (§ 6 Abs. 7)

Die folgenden Dienste werden nur aktiv, wenn der Verantwortliche sein eigenes Konto beim jeweiligen Anbieter mit der Software verbindet. Sie sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; die Übermittlung erfolgt auf Weisung des Verantwortlichen:

• Meta Platforms Ireland Ltd. (Dublin, Irland) – Abruf von Lead-Ads-Daten und Kommunikation über die WhatsApp Business Platform über das verbundene Meta-Konto des Verantwortlichen. Für die Datenerhebung über Lead Ads bestehen zwischen dem Verantwortlichen und Meta eigene Vereinbarungen (einschließlich einer etwaigen gemeinsamen Verantwortlichkeit nach Art. 26 DSGVO). Eine Übermittlung an Meta Platforms, Inc. (USA) ist möglich; Meta ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten EU-Standardvertragsklauseln.
• Google Ireland Ltd. (Dublin, Irland) – Kalender- und Meeting-Einladungen (Google Calendar/Meet) über das verbundene Google-Konto des Verantwortlichen. Eine Übermittlung an Google LLC (USA) ist möglich; Google ist unter dem EU-US Data Privacy Framework zertifiziert, ergänzend gelten EU-Standardvertragsklauseln.

Abschnitt C – Klarstellung zu Stripe

Die Zahlungsabwicklung des Abonnements durch Stripe Payments Europe, Ltd. betrifft ausschließlich Vertrags-, Rechnungs- und Kontaktdaten des Verantwortlichen selbst, die der Auftragsverarbeiter insoweit als eigener datenschutzrechtlich Verantwortlicher verarbeitet. Stripe ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags; Einzelheiten regelt die Datenschutzerklärung.

Fassung vom 17. August 2026. Hinweis: Dieser Vertrag wurde sorgfältig erstellt, ersetzt jedoch keine individuelle Rechtsberatung.