Anlage 3: AVV (Auftragsverarbeitung)

(Anlage 3 zum deichbot Vertrag – Vereinbarung gemäß Art. 28 DSGVO)

Verantwortlicher (Auftraggeber): KUNDE DES HAUPTVERTRAGES

Auftragsverarbeiter (Auftragnehmer): FORMAT Promotion GmbH, Holstenstraße 103, 22767 Hamburg, vertreten durch Matthias van den Nieuwendijk (Geschäftsführer)

§ 1 Gegenstand und Dauer des Auftrags

Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Erfüllung der vertraglich vereinbarten Dienstleistung „deichbot Entscheiderkontakte". Gegenstand: Verarbeitung von Kontakt- und Kommunikationsdaten potenzieller Kunden des Verantwortlichen. Dauer: Vertragslaufzeit des Hauptvertrags.

§ 2 Art und Zweck der vorgesehenen Verarbeitung

Die Verarbeitung umfasst: Erheben (Recherchieren), Speichern, Verwenden (KI-Personalisierung), Versenden, Empfangen und Auswerten von Antworten, Protokollieren von Interaktionen, Löschen der Daten gemäß Vertrag.

Zweck: Direktwerbung im Auftrag des Verantwortlichen durch personalisierte E-Mail-Kontaktaufnahmen.

§ 3 Art der personenbezogenen Daten und Kategorien der betroffenen Personen

Datenkategorien:
- Kontaktdaten: Name, akademischer Titel, geschäftliche E-Mail-Adresse, ggf. Telefonnummer, Position/Funktion.
- Firmendaten: Name, Anschrift, Branche, Unternehmensgröße, Website, öffentlich verfügbare Informationen.
- Kommunikationsdaten: E-Mail-Inhalte, Versandzeitpunkte, Antwortinhalte.

Keine besonderen Kategorien nach Art. 9 DSGVO. Keine Daten von Kindern. Kein Öffnungs-/Klick-Tracking durch den Auftragsverarbeiter (optional via Leadinfo als Drittanbieter).

Betroffene Personen: Geschäftskontakte (Führungskräfte, Entscheider in Zielunternehmen). Ausschließlich personenbezogene Daten natürlicher Personen im beruflichen Kontext.

§ 4 Pflichten des Verantwortlichen (Auftraggebers)

Der Verantwortliche stellt Rechtsgrundlage sicher, dokumentiert Weisungen in Textform, bleibt „Herr der Daten" und führt das Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 DSGVO.

§ 5 Pflichten des Auftragnehmers (Auftragsverarbeiters)

  • Verarbeitung nur im Rahmen der Weisungen und vereinbarten Zwecke
  • Keine Nutzung für eigene Zwecke
  • Vertraulichkeitsverpflichtung aller Mitarbeiter
  • Technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO:
    • Zugriffskontrolle (individuelle Zugangsdaten, 2FA)
    • Datenträgerkontrolle (Verschlüsselung)
    • Weitergabekontrolle (TLS-Transport)
    • Eingabekontrolle (Protokollierung)
    • Auftragskontrolle (interne Richtlinien, Schulungen)
    • Verfügbarkeitskontrolle (Backups, Firewalls, Monitoring)
    • Trennungsgebot (mandantengetrennte Verarbeitung)
  • Meldung von Datenschutzverletzungen an den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme
  • Bereitstellung aller erforderlichen Informationen für Compliance-Nachweis

Subprozessor-Liste

Unterauftragsverarbeiter Anschrift / Sitz Zweck & Leistung Datenstandort
IONOS SE Elgendorfer Str. 57, 56410 Montabaur, DE Server-Hosting (Web- & Mail-Server), Datacenter-Betrieb Deutschland / EU
Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, DE Server-Hosting (u. a. für n8n Workflow-Automation, self-hosted) Deutschland / EU
n8n GmbH Berlin, DE Workflow-Automations-Engine (Community Edition, self-hosted bei Hetzner) Deutschland / EU
Twilio Inc. (SendGrid) 101 Spear Street, Suite 500, San Francisco, CA 94105, USA Transaktionaler E-Mail-Versand (Kampagnen-Mails) USA / EU-DPF
Anthropic PBC 548 Market St, PMB 90375, San Francisco, CA 94104, USA KI-gestützte Textgenerierung und Personalisierung USA / EU-DPF
OpenAI, Inc. 3180 18th Street, San Francisco, CA 94110, USA KI-gestützte Textgenerierung und Personalisierung USA / EU-DPF
Hunter Web Services, Inc. (Hunter.io) 16192 Coastal Highway, Lewes, Delaware, 19958, USA E-Mail-Recherche und Verifikation von Kontaktdaten USA / EU-DPF
Airtable, Inc. 799 Market St, 8th Floor, San Francisco, CA 94103, USA Tabellen- / Datenbank-Front-End USA / EU-DPF
Boost.space s.r.o. Karlovo nám. 290/16, 120 00 Praha 2, CZ Daten-Hub & Automationsplattform EU (CZ)
Celonis, Inc. – Make.com Karolinská 706/3, 186 00 Praha 8, CZ Workflow-Automation EU (CZ)
Close Inc. P.O. Box 445, Stony Brook, NY 11790, USA CRM-System (Vertriebskontakt-Verwaltung) USA / EU-DPF
Google Cloud EMEA Ltd. Gordon House, Barrow St, Dublin 4, IE E-Mail & Collaboration (Google Workspace) EU / USA
Missive App, Inc. 5605 Avenue de Gaspé #204, Montréal, QC H2T 2A4, CA Shared Inbox (Gmelius-Nachfolger) Kanada (Adequacy)
Dropbox Int. Unlimited Co. 10 Hanover Quay, Dublin 2, IE File-Hosting / Back-ups EU / USA
Notion Labs, Inc. 548 Market St #74567, San Francisco, CA 94104, USA Projekt- & Wissensmanagement USA / EU-DPF
Calendly LLC 271 17th St NW Ste 1000, Atlanta, GA 30363, USA Termin-Planung (hinter deichbot.com/termin) USA / EU-DPF
Lovable Labs AB Stockholm, SE KI-gestützte Entwicklungsplattform für Frontend-/App-Komponenten Schweden / EU

Datenübermittlung in die USA auf Basis des EU-US Data Privacy Framework (EU-DPF) bzw. Standardvertragsklauseln. Sofern Daten in die USA übertragen werden, erfolgt dies ebenfalls unter Einsatz des EU-DPF oder geeigneter SCC.

§ 6 Rechte der betroffenen Personen

Anfragen betroffener Personen werden an den Verantwortlichen weitergeleitet. Sofortige Sperrung bei Widerspruch gegen die Verarbeitung.

§ 7 Rückgabe und Löschung nach Auftragsende

Nach Vertragsende: Löschung oder Herausgabe (z. B. CSV/Excel-Export) nach Weisung des Verantwortlichen. Ausnahme: gesetzliche Aufbewahrungspflichten. Löschbestätigung auf Verlangen in Textform.

§ 8 Prüfungsrechte des Auftraggebers

Jährliches Audit oder bei konkretem Anlass mit 2 Wochen Ankündigungsfrist. Kosten trägt der Verantwortliche (Ausnahme: schwerwiegender, vom Auftragnehmer zu vertretender Verstoß).

Diese Anlage ist Bestandteil des zwischen den Parteien geschlossenen Dienstleistungsvertrages.