Auftragsverarbeitungsvertrag (AVV)

Version 2026-08-07, Stand 7. August 2026; für jeden Kunden wirksam bei Abschluss nach Ziffer 2

Dieser Auftragsverarbeitungsvertrag („AVV“) ergänzt die Allgemeinen Geschäftsbedingungen (der „Hauptvertrag“) zwischen Benjamin Wagner, handelnd unter Customermates, An den Kasernen 25, 68167 Mannheim, Deutschland (der „Anbieter“ oder „Auftragsverarbeiter“), und dem Kunden (der „Kunde“ oder „Verantwortlicher“) und bildet einen integralen Bestandteil davon. Er regelt die Verarbeitung personenbezogener Daten, die der Anbieter im Auftrag des Kunden im Rahmen des Software-as-a-Service-Angebots durchführt, einschließlich der optionalen Funktion für verbundene Konten (E-Mail, Messaging und Vorgänge in sozialen Netzwerken sowie Kalender), nach Art. 28 DSGVO.

Diese Fassung tritt für einen Kunden erst in Kraft, wenn sie nach Ziffer 2 geschlossen wird. Allein die Veröffentlichung, Anzeige oder Abrufbarkeit dieses Dokuments schließt oder ändert keinen AVV für einen Bestandskunden.

1. Gegenstand, Rollen und Laufzeit

Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten, die der Anbieter im Auftrag und auf dokumentierte Weisung des Kunden bei der Erfüllung des Hauptvertrags durchführt.

Hinsichtlich der von diesem AVV erfassten personenbezogenen Daten, insbesondere der verbundenen Postfächer, Nachrichten, Kontakte und Kalender des Kunden sowie der Inhalte und Interaktionsdaten sozialer Netzwerke, Profile, Kontaktanfragen und Such- und Listendaten aus Sales Navigator, handelt der Kunde als Verantwortlicher und der Anbieter als Auftragsverarbeiter im Sinne von Art. 4 DSGVO. Die zugrunde liegenden Kommunikationsplattformen, die der Kunde verbindet (beispielsweise Google, Microsoft, LinkedIn, Meta/WhatsApp, Meta/Instagram und Telegram), handeln als eigenständige Verantwortliche für ihre eigenen Dienste.

Diese Zuordnung berührt nicht die Rolle des Anbieters als eigenständiger Verantwortlicher für seine eigenen Website-, Konto-, Abrechnungs-, Sicherheits- und Support-Daten, die in der Datenschutzerklärung des Anbieters beschrieben sind und nicht Gegenstand dieses AVV sind.

Dieser AVV tritt zusammen mit dem Hauptvertrag in Kraft und bleibt so lange in Kraft, wie der Anbieter personenbezogene Daten im Auftrag des Kunden verarbeitet, unabhängig von der Beendigung des Hauptvertrags, bis alle diese Daten gemäß Ziffer 11 gelöscht oder zurückgegeben wurden.

2. Zustandekommen und Vertragsparteien

Vertragsparteien dieses AVV sind der vorstehend genannte Anbieter und der Kunde, der durch die im Konto des Kunden hinterlegten Konto- und Unternehmensdaten bestimmt ist.

Dieser AVV wird in elektronischer Form im Sinne von Art. 28 Abs. 9 DSGVO geschlossen, indem ein berechtigter Systemadministrator den Hauptvertrag und diese bezeichnete AVV-Version während des Onboardings im Namen des Geschäftskunden annimmt. Eine spätere bezeichnete Fassung ändert diesen AVV nur, wenn ein berechtigter Systemadministrator sie nach der in Ziffer 10 des Hauptvertrags beschriebenen Mitteilung elektronisch über den Rechtsdokumente-Ablauf des verwalteten Dienstes annimmt. Die Fortschreibung der unter Unterauftragsverarbeiter geführten Liste nach Ziffer 9 stellt keine Änderung dieses AVV dar und unterliegt weiterhin dem gesonderten Mitteilungs- und Widerspruchsverfahren dieser Ziffer. Auf Anfrage stellt der Anbieter dem Kunden eine Kopie dieses AVV in Textform zur Verfügung.

Bestimmt der Kunde die Zwecke und Mittel der Verarbeitung nicht selbst, sondern stellt er den Dienst seinen eigenen Kunden auf Grundlage eines eigenen Vertrags zur Verfügung, beispielsweise als Wiederverkäufer oder Partner, so handelt der Kunde gegenüber diesen Kunden als Auftragsverarbeiter und der Anbieter als Unterauftragsverarbeiter. In diesem Fall ist jede Bezugnahme in diesem AVV auf den Kunden als Verantwortlichen als Bezugnahme auf den Kunden zu verstehen, der nach den dokumentierten Weisungen seines eigenen Kunden handelt. Der Kunde sichert zu, dass er berechtigt ist, diesen AVV zu schließen und die danach erteilten Weisungen zu erteilen, und dass der jeweilige Verantwortliche der Einschaltung des Anbieters als Unterauftragsverarbeiter zugestimmt hat. Der Kunde bleibt dem Anbieter gegenüber für sämtliche Pflichten aus diesem AVV verantwortlich.

Dieser AVV erfasst ausschließlich den vom Anbieter betriebenen verwalteten Dienst. Der Betrieb der Software auf einer Infrastruktur, die ein Self-Host-Betreiber eigenständig kontrolliert, bestellt den Anbieter für sich genommen nicht zum Auftragsverarbeiter; personenbezogene Kundendaten werden nicht allein deshalb an den Anbieter übermittelt, weil die Software installiert oder aktualisiert wird. Der unabhängige Betreiber bestimmt seine eigene Infrastruktur, seine Dienstleister sowie Zwecke und Mittel der Verarbeitung und ist für eigene Auftragsverarbeitungsverträge und Übermittlungsgarantien verantwortlich. Für Support, einen verwalteten Betrieb, Enterprise-Leistungen oder andere Tätigkeiten, durch die der Anbieter tatsächlich personenbezogene Daten erhält, ist die jeweils gesondert anwendbare Vereinbarung erforderlich.

3. Art und Zweck der Verarbeitung

Der Anbieter verarbeitet personenbezogene Daten ausschließlich zum Zweck der Erbringung der vertraglichen Leistungen nach dem Hauptvertrag. Die Verarbeitung umfasst:

• den CRM-Kerndienst: das Erstellen, Speichern, Anzeigen, Durchsuchen, Verknüpfen, Exportieren und Löschen der CRM-Datensätze des Kunden, insbesondere Kontakte, Organisationen, Deals, Leistungen, Aufgaben, Notizen und benutzerdefinierte Felder; die Verwaltung von Nutzern und Berechtigungen; die Aktivitäts- und Audit-Protokollierung; Produktbenachrichtigungen; sowie die Zustellung von Webhooks an die vom Kunden konfigurierten Endpunkte; und
• sofern aktiviert, die Funktion für verbundene Konten: das Verbinden der eigenen E-Mail-, Messaging-, sozialen Netzwerk- und Kalenderkonten des Kunden; das Abrufen, Versenden, Synchronisieren und Anzeigen von Nachrichten, Kontakten und Kalenderereignissen; das Abrufen und Anzeigen von Beiträgen in sozialen Netzwerken, Kommentaren, Reaktionen sowie Personen- und Unternehmensprofilen; das Auflisten, Versenden, Annehmen, Zurücknehmen oder Ablehnen von Kontaktanfragen; das Durchführen von Sales-Navigator-Suchen nach Leads und Unternehmen; das Anzeigen bestehender Lead- oder Account-Listen und das Hinzufügen von Einträgen zu diesen; sowie das Speichern einer Kopie synchronisierter Inhalte, soweit in der Datenschutzerklärung beschrieben.

Die Funktion für verbundene Konten wird durch den Transportdienstleister UNIPILE SAS bereitgestellt, der vorbehaltlich Ziffer 9 als Unterauftragsverarbeiter eingebunden wird. Die Authentifizierung erfolgt in einem von Unipile gehosteten Ablauf, in dem der Nutzer des Kunden die Zugangsdaten des betreffenden Kontoanbieters eingibt oder dessen OAuth-Ablauf durchläuft. Diese Zugangsdaten oder die OAuth-Autorisierung werden innerhalb dieses Ablaufs verarbeitet; der Anbieter erhält weder Passwörter der Kontoanbieter noch OAuth-Token und behält lediglich eine opake Konto-Kennung sowie nicht geheime Konto-Metadaten.

4. Kategorien betroffener Personen und personenbezogener Daten

Kategorien betroffener Personen. Die Verarbeitung betrifft die eigenen Nutzer des Kunden, alle natürlichen Personen, deren personenbezogene Daten der Kunde im CRM speichert, beispielsweise Kontakte, Leads, Interessenten, Kunden, Lieferanten, Partner und deren Beschäftigte, Korrespondenzpartner, mit denen der Kunde kommuniziert, sowie weitere Personen, die durch Vorgänge verbundener Konten zurückgegeben oder betroffen werden, darunter Beitrags- und Kommentarautoren, Reagierende, Personen mit abgerufenen Profilen, Parteien von Kontaktanfragen, Sales-Navigator-Leads und Unternehmensvertreter.

Kategorien personenbezogener Daten. Je nachdem, wie der Kunde den Dienst konfiguriert und nutzt, kann die Verarbeitung Folgendes umfassen:

• CRM-Datensatzdaten, einschließlich Namen, Kontaktdaten, Unternehmen und Funktion, Deal- und Aufgabendaten, Freitext-Notizen sowie vom Kunden definierte benutzerdefinierte Felder;
• Audit- und Aktivitätsprotokolle über die im Konto des Kunden vorgenommenen Handlungen;
• Inhalte aus dem Konto des Kunden, die dieser einer Support- oder Feedbackanfrage beifügt oder darin wiedergibt;
• Metadaten verbundener Konten (beispielsweise Kennung, Typ und Status des verbundenen Kontos);
• E-Mail-Inhalte einschließlich Betreff, Text, Absender- und Empfängeradressen sowie Anhänge;
• Chat- und Direktnachrichten-Inhalte über die verbundenen sozialen und Messaging-Kanäle;
• Profildaten von Kontakten und Teilnehmern einschließlich Name, Avatar, LinkedIn-Überschrift oder -Tätigkeit, Profil-URL sowie der als Kennung verwendeten E-Mail-Adresse, Telefonnummer oder des Handles;
• Beiträge in sozialen Netzwerken und Interaktionsdaten einschließlich Beitrags- oder Kommentartext, Autoren, Reagierenden, Zeitstempeln, Reaktionstypen und Zählern;
• Personen- und Unternehmensprofile sowie Beziehungsdaten einschließlich Anbieterkennungen, Namen, Profil-URLs und -Bildern, Beschreibungen, Beschäftigung, Standort, Branche, Netzwerkdistanz, Verbindungsstatus und Anfragetexten;
• Eingaben, Ergebnisse und Listendaten aus Sales Navigator einschließlich Such-URLs und -Filtern, Lead- und Unternehmensprofilen, Listennamen und -zugehörigkeit sowie Speicherstatus;
• Kalenderereignisse einschließlich der E-Mail-Adressen der Teilnehmer und des Zu-/Absagestatus;
• Nachrichten- und Konto-Metadaten; und
• die von den zugrunde liegenden Anbietern empfangenen rohen eingehenden Nutzdaten (Payloads).

Anhang-Binärdaten werden bei Bedarf gestreamt oder durchgereicht und vom Anbieter nicht gespeichert; gespeichert werden nur die Metadaten der Anhänge. Da Nachrichten-, Kontakt-, Kalender-, soziale, Beziehungs- und Suchinhalte durch den Kunden, seine Kommunikationspartner und die zugrunde liegenden Plattformen bestimmt werden, können sie weitere Kategorien personenbezogener Daten enthalten, einschließlich besonderer Kategorien personenbezogener Daten nach Art. 9 DSGVO, soweit der Kunde solche Inhalte bestimmt. Der Kunde ist als Verantwortlicher für die Rechtmäßigkeit der Inhalte und Vorgänge verantwortlich, die er über den Dienst veranlasst.

5. Weisungen des Verantwortlichen

Der Anbieter verarbeitet die von diesem AVV erfassten personenbezogenen Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation, es sei denn, er ist nach dem Unionsrecht oder dem Recht eines Mitgliedstaats, dem der Anbieter unterliegt, zu einer anderweitigen Verarbeitung verpflichtet; in diesem Fall teilt der Anbieter dem Kunden diese rechtliche Anforderung vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die dokumentierten Weisungen des Kunden ergeben sich aus diesem AVV, dem Hauptvertrag sowie der Nutzung und Konfiguration des Dienstes durch den Kunden (einschließlich der von ihm verbundenen Konten und der über das Produkt veranlassten Handlungen). Zusätzliche oder geänderte Weisungen bedürfen der Textform.

Der Anbieter informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere anwendbare Datenschutzvorschriften verstößt.

6. Pflichten und Rechte des Verantwortlichen

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung und der von ihm erteilten Weisungen verantwortlich. Insbesondere ist der Kunde dafür verantwortlich, dass für die personenbezogenen Daten, die er in den Dienst hochlädt, importiert oder einspeist, eine Rechtsgrundlage besteht, dass er seine Informationspflichten gegenüber den betroffenen Personen erfüllt und dass die von ihm über den Dienst verarbeiteten personenbezogenen Daten richtig sind.

Der Kunde ist berechtigt, dem Anbieter Weisungen zur Verarbeitung personenbezogener Daten in seinem Auftrag zu erteilen, Auskunft über diese Verarbeitung zu verlangen und die in diesem AVV geregelten Kontrollrechte auszuüben.

7. Vertraulichkeit

Der Anbieter stellt sicher, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen und dass sie die personenbezogenen Daten nur auf Weisung des Kunden verarbeiten.

8. Sicherheit der Verarbeitung (Art. 32 DSGVO)

Unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die Rechte und Freiheiten natürlicher Personen trifft der Anbieter geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, im Einklang mit Art. 32 DSGVO. Diese Maßnahmen umfassen insbesondere: die Verschlüsselung personenbezogener Daten bei der Übertragung mittels TLS sowie die Verschlüsselung der Produktivdatenbank und ihrer Sicherungen im Ruhezustand; rollenbasierte Zugriffskontrolle, personalisierte Benutzerkonten und Authentifizierung für sämtliche administrativen Zugriffe; die Trennung der Kundendaten nach Unternehmenskonto auf Datenebene; die Protokollierung und Überwachung von Zugriffen und sicherheitsrelevanten Ereignissen; Maßnahmen zur raschen Wiederherstellung der Verfügbarkeit personenbezogener Daten und des Zugangs zu ihnen nach einem physischen oder technischen Zwischenfall; sowie ein Verfahren zur regelmäßigen Überprüfung und Bewertung der Wirksamkeit dieser Maßnahmen.

9. Unterauftragsverarbeiter

Der Kunde erteilt dem Anbieter eine allgemeine schriftliche Genehmigung zur Einbindung von Unterauftragsverarbeitern. Der Anbieter führt unter Unterauftragsverarbeiter eine aktuelle Seite seiner Auftragsverarbeiter, Unterauftragsverarbeiter und weiteren Empfänger. Nur die dort ausdrücklich als im Auftrag des Kunden mit personenbezogenen Kundendaten befassten Einträge werden einschließlich ihrer Identität, ihres Zwecks und ihres Standorts als Unterauftragsverarbeiter durch Verweis Bestandteil dieses AVV.

Bevor ein Unterauftragsverarbeiter personenbezogene Daten im Auftrag des Kunden verarbeitet, schließt der Anbieter mit ihm einen schriftlichen Vertrag, der ihm nach Maßgabe von Art. 28 Abs. 2 und 4 DSGVO dieselben Datenschutzpflichten auferlegt, die in diesem AVV festgelegt sind. Die Offenlegung einer Vertragslücke ersetzt weder diesen schriftlichen Vertrag noch erlaubt sie die Verarbeitung. Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Anbieter gegenüber dem Kunden weiterhin vollumfänglich für die Erfüllung dieser Pflichten.

Für die Funktion für verbundene Konten setzt der Anbieter UNIPILE SAS (RCS Roanne 885265595, 168 rue de la Rotonde, 42153 Riorges, Frankreich) als Unterauftragsverarbeiter für E-Mail-, Messaging-, soziale Netzwerk- und Kalenderdaten sowie entsprechende Vorgänge ein. Dies umfasst das Abrufen von Beiträgen und Interaktionen, die Abfrage von Personen- und Unternehmensprofilen, die Verwaltung von Kontaktanfragen sowie vom Kunden veranlasste Sales-Navigator-Suchen und Listenvorgänge. Der unterzeichnete Lieferanten-AVV bezeichnet den Anbieter als Verantwortlichen und Unipile als Auftragsverarbeiter; bei der von diesem AVV geregelten nachgelagerten Verarbeitung ist der Kunde Verantwortlicher, der Anbieter Auftragsverarbeiter und Unipile übernimmt die hier beschriebene Lieferantenrolle. Der Anhang des Lieferanten-AVV nennt personenbezogene Stammdaten, Kontaktdaten, berufliche Daten, offengelegte oder in öffentlichen Verzeichnissen enthaltene Informationen und IP-Adressen; der tatsächliche Umfang umfasst außerdem die in Ziffer 4 aufgeführten Kategorien. Weitere Einzelheiten sind unter Unterauftragsverarbeiter aufgeführt.

Für die Speicherung der im Auftrag des Kunden verarbeiteten personenbezogenen Daten bindet der Anbieter Databricks, Inc. (Neon) (https://neon.com) als vertraglichen Unterauftragsverarbeiter ein, der die verwaltete PostgreSQL-Datenbank über Neon, LLC betreibt. Der Anbieter hat seine primäre Produktivdatenbank in der AWS-Region Frankfurt (eu-central-1) konfiguriert. Dies ist eine gewählte Produkteinstellung und keine vertraglich garantierte Datenresidenz; über einen Wechsel der Region informiert der Anbieter den Kunden nach dem in diesem Abschnitt geregelten Verfahren. Das Neon Platform Services Product Specific Schedule mit Stand 5. August 2026 ergänzt die vollständige aktuelle Unterauftragsverarbeiter-Liste von Databricks um Grafana Labs in den Vereinigten Staaten. Die Liste bezeichnet einige Cloud- und KI-Anbieter als kundenseitig ausgewählt; der Anbieter hat für seine Neon-Datenbank keinen KI-gestützten Databricks-Dienst ausgewählt. Databricks hat seinen Sitz in einem Drittland; der Übermittlungsmechanismus für beschränkte Übermittlungen an Databricks ist unter Unterauftragsverarbeiter angegeben.

Forward Email, LLC hostet und speichert das endgültige Betreiberpostfach des Anbieters und wird weder für die Funktion verbundener Konten noch für die gewöhnliche CRM-Verarbeitung eingesetzt. Fügt der Kunde von diesem AVV erfasste personenbezogene Kundendaten einer Support- oder Feedbackanfrage bei oder gibt er sie darin wieder und wird die Anfrage an dieses Postfach zugestellt, speichert und verarbeitet Forward Email diesen Ausschnitt als Unterauftragsverarbeiter. Bei gewöhnlicher Konto- und Geschäftskorrespondenz unterstützt der Dienst eine Verarbeitung, für die der Anbieter eigenständig Verantwortlicher ist und die nicht diesem AVV unterliegt. Der Standard-Auftragsverarbeitungsvertrag von Forward Email wird elektronisch über dessen Nutzungsbedingungen angenommen und bezieht für einschlägige Übermittlungen die EU-Standardvertragsklauseln ein; Einzelheiten sind unter Unterauftragsverarbeiter angegeben.

Entscheidet der Anbieter selbst über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, informiert er den Kunden, bevor dieser Unterauftragsverarbeiter personenbezogene Daten im Auftrag des Kunden verarbeitet, und räumt dem Kunden vor Beginn der Verarbeitung eine angemessene Gelegenheit zum Widerspruch ein. Kündigt ein bereits eingesetzter Lieferant eine beabsichtigte Hinzuziehung oder Ersetzung in seiner eigenen Lieferkette an, informiert der Anbieter den Kunden unverzüglich nach Erhalt dieser Mitteilung. Sieht die Mitteilung des Lieferanten eine Widerspruchsfrist vor, nennt der Anbieter dem Kunden in seiner Mitteilung die verbleibende Frist. Der Kunde kann der Änderung unverzüglich in Textform aus berechtigten datenschutzrechtlichen Gründen widersprechen. Widerspricht der Kunde und können die Parteien den Widerspruch nicht ausräumen, kann der Kunde den betroffenen Dienst nach Maßgabe des Hauptvertrags kündigen. Für Änderungen aus der Lieferkette verspricht der Anbieter keine feste Vorabfrist, die seine Lieferantenverträge nicht garantieren.

10. Unterstützung des Verantwortlichen

Unter Berücksichtigung der Art der Verarbeitung unterstützt der Anbieter den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Pflicht des Kunden zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Art. 12 bis 23 DSGVO. Richtet eine betroffene Person einen solchen Antrag unmittelbar an den Anbieter, leitet der Anbieter diesen unverzüglich an den Kunden weiter und beantwortet ihn nicht selbst, es sei denn, der Kunde weist ihn dazu an.

Der Anbieter unterstützt den Kunden ferner bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, unter Berücksichtigung der Art der Verarbeitung und der dem Anbieter zur Verfügung stehenden Informationen. Insbesondere benachrichtigt der Anbieter den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die die im Auftrag des Kunden verarbeiteten personenbezogenen Daten betrifft, und stellt die Informationen bereit, die der Kunde in angemessenem Umfang benötigt, um seinen eigenen Melde- und Benachrichtigungspflichten nach Art. 33 und 34 DSGVO nachzukommen.

11. Löschung oder Rückgabe von Daten

Trennt der Kunde ein verbundenes Konto, löscht der Anbieter die zu diesem Konto gespeicherten Threads, Nachrichten, Teilnehmer und Kalenderdaten aus seinen eigenen Systemen und fordert Unipile auf, das entsprechende Konto zu entfernen. Ein vertraglicher Anspruch des Anbieters gegen Unipile auf Löschung eines einzelnen Kontos besteht nicht; der Anbieter kann lediglich diese Aufforderung aussprechen. Wird ein verbundenes Konto stattdessen automatisch entfernt, insbesondere bei einer fehlgeschlagenen Zahlung, bei Ablauf einer Testphase oder nach längerer Inaktivität, werden die gespeicherten Daten in den Systemen des Anbieters derzeit nur deaktiviert und als gelöscht markiert; der Kunde kann ihre Löschung jederzeit verlangen. Rohe Eingangsdaten, die keinem verbundenen Konto zugeordnet werden konnten, können derzeit für Export oder Löschung keinem Kunden zugeordnet werden und werden ohne feste Frist zur Fehleranalyse aufbewahrt.

Der Anbieter hält die in seinen eigenen Systemen verfügbaren und dem Kunden zuzuordnenden personenbezogenen Daten nach Beendigung der mit der Verarbeitung verbundenen Leistungen 30 Tage lang vor, damit der Kunde in Textform zwischen Löschung und Rückgabe wählen kann. Wählt der Kunde die Löschung oder teilt er innerhalb dieser Frist keine Wahl mit, löscht der Anbieter die Daten unverzüglich nach der Wahl oder dem Ablauf der Frist aus seinen eigenen Systemen. Wählt der Kunde innerhalb dieser Frist die Rückgabe, gibt der Anbieter die Daten nach Maßgabe des Hauptvertrags zurück und löscht anschließend die verbleibenden Kopien in seinen eigenen Systemen. Eine nach dem Unionsrecht oder dem Recht eines Mitgliedstaats vorgeschriebene weitere Speicherung bleibt unberührt. Einschränkungen für Daten bei Unterauftragsverarbeitern und nicht zugeordnete rohe Eingangsdaten sind in dieser Ziffer und unter Unterauftragsverarbeiter angegeben.

Eine nach dieser Ziffer erforderliche Löschung wird in den aktiven Systemen des Anbieters unverzüglich und in seinen Sicherungskopien spätestens innerhalb von 90 Tagen nach Maßgabe von deren Ablauf abgeschlossen. Der Anbieter weist seine Unterauftragsverarbeiter an, die entsprechenden Daten zu löschen; die Löschung auf Ebene der Unterauftragsverarbeiter richtet sich nach den Bestimmungen des jeweiligen Vertrags mit diesem Unterauftragsverarbeiter.

12. Kontrollen und Nachweise

Der Anbieter stellt dem Kunden alle Informationen zur Verfügung, die in angemessenem Umfang erforderlich sind, um die Einhaltung der in Art. 28 DSGVO und diesem AVV festgelegten Pflichten nachzuweisen; er ermöglicht Überprüfungen, einschließlich Inspektionen, die vom Kunden oder einem anderen vom Kunden beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei.

Zur Erfüllung solcher Ersuchen kann der Anbieter in erster Linie einschlägige Unterlagen, Zusammenfassungen seiner technischen und organisatorischen Maßnahmen sowie verfügbare Prüfberichte oder Zertifizierungen Dritter (einschließlich derjenigen seiner Unterauftragsverarbeiter) bereitstellen. Vor-Ort-Inspektionen finden mit angemessener Vorankündigung, während der regulären Geschäftszeiten, ohne Störung des Betriebs des Anbieters und vorbehaltlich angemessener Vertraulichkeitsverpflichtungen statt.

13. Internationale Datenübermittlungen

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden vorrangig innerhalb der Europäischen Union. Bevor ein Unterauftragsverarbeiter diese Daten in einem Drittland verarbeitet, stellt der Anbieter sicher, dass ein anwendbarer Übermittlungsmechanismus nach Kapitel V DSGVO besteht, und benennt ihn unter Unterauftragsverarbeiter. Verschlüsselung, Datenminimierung und andere ergänzende technische Maßnahmen ersetzen keinen erforderlichen Übermittlungsmechanismus nach Kapitel V DSGVO.

Für die Funktion für verbundene Konten gibt Unipile an, dass die Daten verbundener Konten in der EU (Frankreich) gespeichert werden. Der Auftragsverarbeitungsvertrag von Unipile erlaubt gleichwohl Übermittlungen außerhalb der Europäischen Union, sofern Garantien nach Kapitel V DSGVO bestehen, und die Unterauftragsverarbeiter-Liste von Unipile nennt einen Zahlungsdienstleister in den USA sowie fünf Proxy-Anbieter ohne Angabe des Standorts. Der Lieferanten-AVV benennt für diese Anbieter keinen konkreten Übermittlungsmechanismus; für jede betroffene Übermittlung gilt daher die Anforderung des vorstehenden Absatzes, dass zuvor ein anwendbarer Mechanismus nach Kapitel V bestehen muss.

14. Haftung

Jede Partei haftet nach den gesetzlichen Bestimmungen, insbesondere nach Art. 82 DSGVO über die Verteilung der Haftung zwischen Verantwortlichem und Auftragsverarbeiter. Im Verhältnis zwischen den Parteien gelten die Haftungsregelungen des Hauptvertrags für diesen AVV. Die zwingende gesetzliche Haftung, insbesondere für Vorsatz und grobe Fahrlässigkeit, für die Verletzung des Lebens, des Körpers oder der Gesundheit sowie sonstige Haftung, die nach geltendem Recht nicht ausgeschlossen oder beschränkt werden kann, bleibt unberührt.

15. Rangfolge

Im Falle eines Widerspruchs zwischen diesem AVV und dem Hauptvertrag hinsichtlich der Verarbeitung personenbezogener Daten im Auftrag des Kunden geht dieser AVV vor. Im Falle eines Widerspruchs zwischen diesem AVV und zwingendem Datenschutzrecht geht dieses zwingende Recht vor.

Haben die Parteien individuell einen unterzeichneten Auftragsverarbeitungsvertrag geschlossen, so geht dieser für den betreffenden Kunden diesem AVV vor.

16. Schlussbestimmungen

Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Gerichtsstand ist der Sitz des Anbieters, soweit gesetzlich zulässig. Die elektronische Annahme nach Ziffer 2 wahrt für die bezeichnete AVV-Version die Textform; sonstige Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollte eine Bestimmung dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Dieser AVV liegt in deutscher und englischer Sprache vor. Maßgeblich ist die deutsche Fassung; die englische Fassung ist eine Übersetzung zu Informationszwecken.

Benjamin Wagner
An den Kasernen 25
68167 Mannheim
mail@customermates.com

Stand: 07.08.2026