Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag wird geschlossen zwischen

Creative AI Solutions GmbH
Eichenweg 3, 74257 Untereisesheim
HRB 804265
vertreten durch Patrick Cantos Bravo

— nachfolgend „Auftragsverarbeiter" —

und

dem jeweiligen Kunden, der im Rahmen des elektronischen Registrierungs- bzw. Buchungsprozesses der SaaS-Plattform smarteagentur ein Kundenkonto bzw. eine Organisation anlegt oder einen Tarif bucht,

— nachfolgend „Verantwortlicher" —

— Auftragsverarbeiter und Verantwortlicher nachfolgend einzeln „Partei", gemeinsam „Parteien" —

Die Identität des Verantwortlichen ergibt sich aus den bei Registrierung, Onboarding und Buchung im Portal hinterlegten Unternehmens-, Kontakt- und Rechnungsdaten.

Der Verantwortliche beauftragt den Auftragsverarbeiter im Rahmen des zwischen den Parteien geschlossenen Nutzungsvertrags über die SaaS-Plattform smarteagentur, bestehend insbesondere aus der Registrierung bzw. Buchung im Portal, einem etwaigen kostenlosen Testzugang, den Allgemeinen Geschäftsbedingungen, dem gewählten Tarif, der jeweils einbezogenen Preis-/Leistungsübersicht sowie etwaigen individuellen Vereinbarungen, mit den dort genannten Leistungen (nachfolgend „Hauptvertrag").

Teil der Vertragsdurchführung ist die Verarbeitung personenbezogener Daten im Auftrag des Verantwortlichen. Insbesondere Art. 28 DSGVO stellt bestimmte Anforderungen an eine solche Auftragsverarbeitung. Zur Wahrung dieser Anforderungen schließen die Parteien den nachfolgenden Auftragsverarbeitungsvertrag (nachfolgend die „Vereinbarung"), dessen Erfüllung nicht gesondert vergütet wird, sofern dies nicht ausdrücklich vereinbart ist.

1. Verantwortlicher ist gem. Art. 4 Abs. 7 DSGVO die Stelle, die allein oder gemeinsam mit anderen Verantwortlichen über die Zwecke und Mittel der Verarbeitung von personenbezogenen Daten entscheidet.
2. Auftragsverarbeiter ist gem. Art. 4 Abs. 8 DSGVO eine natürliche oder juristische Person, Behörde, Einrichtung oder andere Stelle, die personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.
3. Personenbezogene Daten sind gem. Art. 4 Abs. 1 DSGVO alle Informationen, die sich auf eine identifizierte oder identifizierbare natürliche Person (im Folgenden „Betroffener") beziehen.
4. Besonders schutzbedürftige personenbezogene Daten sind Daten gem. Art. 9 DSGVO (u. a. Gesundheitsdaten, ethnische Herkunft, religiöse Überzeugungen, biometrische Daten) sowie Daten gem. Art. 10 DSGVO über strafrechtliche Verurteilungen.
5. Verarbeitung ist gem. Art. 4 Abs. 2 DSGVO jeder mit oder ohne Hilfe automatisierter Verfahren ausgeführte Vorgang im Zusammenhang mit personenbezogenen Daten (u. a. Erheben, Speichern, Verwenden, Offenlegen, Löschen).
6. Aufsichtsbehörde ist gem. Art. 4 Abs. 21 DSGVO eine von einem Mitgliedstaat gem. Art. 51 DSGVO eingerichtete unabhängige staatliche Stelle.

1. Leistungsgegenstand. Der Auftragsverarbeiter erbringt für den Verantwortlichen die im Hauptvertrag genannten Leistungen der SaaS-Plattform smarteagentur (u. a. Workspace und Kontaktverwaltung, KI-Mitarbeiter für Telefonie und Chat, WhatsApp-Business-Anbindung, Kalender- und Termininfrastruktur, Marketing- und Analytics-Funktionen). Dabei erhält der Auftragsverarbeiter Zugriff auf personenbezogene Daten, die er für den Verantwortlichen ausschließlich im Auftrag und nach Weisung des Verantwortlichen verarbeitet. Umfang und Zweck der Datenverarbeitung ergeben sich aus dem Hauptvertrag und den zugehörigen Leistungsbeschreibungen. Dem Verantwortlichen obliegt die Beurteilung der Zulässigkeit der Datenverarbeitung.
2. Vorrang der Vereinbarung. Zur Konkretisierung der beiderseitigen datenschutzrechtlichen Rechte und Pflichten schließen die Parteien die vorliegende Vereinbarung. Die Regelungen dieser Vereinbarung gehen im Zweifel den Regelungen des Hauptvertrags vor.
3. Anwendungsbereich. Die Bestimmungen dieses Vertrages finden Anwendung auf alle Tätigkeiten, die mit dem Hauptvertrag in Zusammenhang stehen und bei denen der Auftragsverarbeiter, seine Beschäftigten oder von ihm Beauftragte mit personenbezogenen Daten in Berührung kommen, die vom Verantwortlichen stammen oder für ihn erhoben wurden.
4. Laufzeit. Die Laufzeit dieses Vertrags richtet sich nach der Laufzeit des Hauptvertrages, sofern sich aus den nachfolgenden Bestimmungen keine weitergehenden Verpflichtungen oder Kündigungsrechte ergeben.

1. Weisungsbindung. Der Auftragsverarbeiter darf Daten nur im Rahmen des Hauptvertrags und gemäß den Weisungen des Verantwortlichen erheben, verarbeiten oder nutzen. Wird der Auftragsverarbeiter durch das Recht der Europäischen Union oder der Mitgliedstaaten, dem er unterliegt, zu weiteren Verarbeitungen verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit.
2. Einzelweisungen. Die Weisungen des Verantwortlichen werden anfänglich durch diesen Vertrag festgelegt und können danach in Textform durch Einzelweisung geändert, ergänzt oder ersetzt werden. Der Verantwortliche ist jederzeit zur Erteilung entsprechender Weisungen berechtigt; dies umfasst Weisungen zur Berichtigung, Löschung und Sperrung von Daten.
3. Dokumentation. Alle erteilten Weisungen sind vom Verantwortlichen zu dokumentieren. Weisungen, die über die hauptvertraglich vereinbarte Leistung hinausgehen, werden als Antrag auf Leistungsänderung behandelt.
4. Rechtswidrige Weisungen. Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung des Verantwortlichen gegen datenschutzrechtliche Bestimmungen verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis diese durch den Verantwortlichen bestätigt oder geändert wird. Offensichtlich rechtswidrige Weisungen darf der Auftragsverarbeiter ablehnen.

1. Datenkategorien. Im Rahmen der Durchführung des Hauptvertrags erhält der Auftragsverarbeiter Zugriff auf die in Anlage 1 näher spezifizierten personenbezogenen Daten.
2. Betroffenengruppen. Der Kreis der von der Datenverarbeitung Betroffenen ist in Anlage 2 dargestellt.
3. Drittlandübermittlungen. Eine Weitergabe personenbezogener Daten in ein Drittland außerhalb des EWR darf nur unter den Voraussetzungen der Art. 44 ff. DSGVO stattfinden. Die Kernverarbeitung der Plattform, insbesondere Gesprächsinhalte, Gesprächsaufzeichnungen, Transkripte, KI-Sprachverarbeitung und nachgelagerte Auswertung, erfolgt innerhalb der EU/des EWR. Insbesondere werden ElevenLabs ausschließlich über die EU-Region und die nachgelagerte Auswertung über Server in Frankfurt betrieben.

   Für die Bereitstellung und gesetzlich bzw. regulatorisch erforderliche Registrierung von Rufnummern kann Twilio die hierfür erforderlichen Unternehmens-, Kontakt- und Identifikationsdaten über seine globale Verwaltungsinfrastruktur verarbeiten; Gesprächsinhalte, Gesprächsaufzeichnungen und Transkripte sind hiervon nicht umfasst. Dabei kann eine Übermittlung an Twilio Inc. in den USA stattfinden. Diese Übermittlung erfolgt nach Maßgabe der Twilio-DPA auf Grundlage geeigneter Garantien, insbesondere EU-Standardvertragsklauseln und – soweit einschlägig – des EU-U.S. Data Privacy Framework.

   Optionale Kalender-Anbindungen an Cal.com, Calendly oder CalDAV-Anbieter außerhalb der EU werden nur dann Empfänger, wenn der Verantwortliche eine entsprechende Verbindung aktiv freischaltet; in diesem Fall greifen EU-Standardvertragsklauseln bzw. – soweit einschlägig – das EU-U.S. Data Privacy Framework.

1. Vertraulichkeit und Schutzpflichten. Der Auftragsverarbeiter ist verpflichtet, die gesetzlichen Bestimmungen über den Datenschutz zu beachten und die aus dem Bereich des Verantwortlichen erlangten Informationen nicht an Dritte weiterzugeben. Unterlagen und Daten sind gegen die Kenntnisnahme durch Unbefugte unter Berücksichtigung des Stands der Technik zu sichern.
2. Technische und organisatorische Maßnahmen. Der Auftragsverarbeiter hat die in Anlage 3 (Technische und organisatorische Maßnahmen — Plattform smarteagentur, Stand Juli 2026) genannten technischen und organisatorischen Maßnahmen zum angemessenen Schutz der Daten gemäß Art. 32 DSGVO getroffen, die der Verantwortliche als angemessen anerkennt. Änderungen der Sicherheitsmaßnahmen bleiben dem Auftragsverarbeiter vorbehalten, sofern das vertraglich vereinbarte Schutzniveau nicht unterschritten wird.
3. Personalverpflichtung. Den bei der Datenverarbeitung durch den Auftragsverarbeiter beschäftigten Personen ist es untersagt, personenbezogene Daten unbefugt zu erheben, zu verarbeiten oder zu nutzen. Der Auftragsverarbeiter verpflichtet alle mit der Vertragserfüllung betrauten Mitarbeiter auf Vertraulichkeit gemäß Art. 28 Abs. 3 lit. b DSGVO.
4. Datenschutzbeauftragter. Der Auftragsverarbeiter hat einen externen Datenschutzbeauftragten benannt: heyData GmbH, Schützenstraße 5, 10117 Berlin, datenschutz@heydata.eu, www.heydata.eu.
5. Abgrenzung der Kundenumgebung. Endgeräte, Betriebssysteme, Browser, lokale Netzwerke sowie vom Verantwortlichen oder seinen Nutzern eingesetzte Anwendungen, Browser-Erweiterungen, KI-Assistenten, Übersetzungs-, Aufzeichnungs- oder Automatisierungstools gehören zur technischen Umgebung des Verantwortlichen, soweit sie nicht vom Auftragsverarbeiter bereitgestellt oder kontrolliert werden. Sie sind nicht Bestandteil der Plattform und keine Unterauftragsverarbeiter des Auftragsverarbeiters. Der Verantwortliche ist für deren Auswahl, Freigabe, Konfiguration und rechtskonforme Nutzung verantwortlich.

1. Meldung von Sicherheitsvorfällen. Bei Störungen, Verdacht auf Datenschutzverletzungen oder Verletzungen vertraglicher Verpflichtungen des Auftragsverarbeiters, Verdacht auf sicherheitsrelevante Vorfälle oder anderen Unregelmäßigkeiten bei der Verarbeitung personenbezogener Daten wird der Auftragsverarbeiter den Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, informieren. Soweit zu diesem Zeitpunkt noch nicht alle Informationen vorliegen, erfolgt zunächst eine Erstmeldung; weitere Informationen werden ohne unangemessene Verzögerung nachgereicht. Dasselbe gilt für Prüfungen durch die Datenschutz-Aufsichtsbehörde, soweit Daten des Verantwortlichen betroffen sind oder betroffen sein können.
2. Sicherungs- und Minderungsmaßnahmen. Der Auftragsverarbeiter trifft unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen der Betroffenen, informiert hierüber den Verantwortlichen und ersucht um weitere Weisungen.
3. Auskünfte. Der Auftragsverarbeiter erteilt dem Verantwortlichen jederzeit Auskünfte, soweit dessen Daten von einer Verletzung nach Absatz 1 betroffen sind.
4. Änderungen der Sicherheitsmaßnahmen. Über wesentliche Änderungen der Sicherheitsmaßnahmen nach § 5 Abs. 2 hat der Auftragsverarbeiter den Verantwortlichen zu unterrichten.

1. Kontrollkonzept. Der Verantwortliche kann sich vor der Aufnahme der Datenverarbeitung und sodann jährlich von den technischen und organisatorischen Maßnahmen des Auftragsverarbeiters überzeugen. Kontrollen finden primär durch Bereitstellung von Zertifikaten (z. B. ISO 27001 oder SOC 2 der eingesetzten Sub-Dienstleister) oder die Beantwortung von Fragebögen statt. Eine physische Vor-Ort-Prüfung wird nur bei begründetem Verdacht auf Datenschutzverstöße oder auf behördliche Anordnung nach rechtzeitiger Abstimmung zu den üblichen Geschäftszeiten zugelassen.
2. Nachweise. Der Auftragsverarbeiter verpflichtet sich, dem Verantwortlichen auf Anforderung innerhalb einer angemessenen Frist alle Auskünfte und Nachweise zur Verfügung zu stellen, die zur Durchführung einer Kontrolle der TOM erforderlich sind.
3. Dokumentation des Kontrollergebnisses. Der Verantwortliche dokumentiert das Kontrollergebnis und teilt es dem Auftragsverarbeiter mit. Bei Fehlern oder Unregelmäßigkeiten hat er den Auftragsverarbeiter unverzüglich zu informieren.

1. Allgemeine Genehmigung. Die vertraglich vereinbarten Leistungen werden unter Einschaltung der in Anlage 4 genannten Dienstleister (Unterauftragsverarbeiter) durchgeführt. Der Verantwortliche erteilt dem Auftragsverarbeiter seine allgemeine Genehmigung im Sinne von Art. 28 Abs. 2 S. 1 DSGVO, im Rahmen seiner vertraglichen Verpflichtungen weitere Unterauftragsverarbeiter zu beauftragen oder bereits beauftragte zu ersetzen.
2. Änderungen. Der Auftragsverarbeiter wird den Verantwortlichen vor jeder beabsichtigten Änderung informieren. Der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund Einspruch erheben.
3. Einspruch. Der Einspruch ist innerhalb von zwei Wochen nach Erhalt der Information zu erheben. Wird kein Einspruch erhoben, gilt die Hinzuziehung oder Ersetzung als genehmigt. Liegt ein wichtiger Grund vor und ist eine einvernehmliche Lösung nicht möglich, steht dem Auftragsverarbeiter ein Sonderkündigungsrecht zum auf den Einspruch folgenden Monatsende zu.
4. Verpflichtung der Unterauftragsverarbeiter. Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter vertraglich auf ein gleichwertiges Datenschutzniveau (AVV, Standardvertragsklauseln bzw. DPF-Selbstzertifizierung, soweit anwendbar).
5. Nebenleistungen. Ein Unterauftragsverhältnis liegt nicht vor, wenn der Auftragsverarbeiter Dritte mit reinen Nebenleistungen beauftragt (Post-, Transport- und Versandleistungen, Reinigung, Telekommunikation ohne konkreten Bezug, Bewachung). Wartungs- und Prüfleistungen für IT-Systeme mit Zugriff auf verarbeitete Daten sind zustimmungspflichtige Unterauftragsverhältnisse.

1. Unterstützung des Verantwortlichen. Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von dessen Pflichten nach Art. 12–22 sowie Art. 32–36 DSGVO. Self-Service-Funktionen der Plattform (Auskunft, Berichtigung, Datenexport der wesentlichen Organisationsdaten in einem gängigen maschinenlesbaren Format, insbesondere CSV und JSON, Löschung mit 14-tägiger Karenzzeit) stehen dem Verantwortlichen unmittelbar zur Verfügung.
2. Unmittelbare Betroffenenanfragen. Macht ein Betroffener Rechte unmittelbar gegenüber dem Auftragsverarbeiter geltend, reagiert dieser nicht selbstständig, sondern verweist den Betroffenen an den Verantwortlichen und wartet dessen Weisungen ab.

1. Haftung gegenüber Betroffenen. Für Ansprüche betroffener Personen gelten die gesetzlichen Regelungen, insbesondere Art. 82 DSGVO. Im Innenverhältnis trägt der Verantwortliche die Verantwortung für die Rechtmäßigkeit der von ihm veranlassten Verarbeitung, soweit der Schaden nicht auf einem Verstoß des Auftragsverarbeiters gegen diese Vereinbarung, gegen unmittelbar für ihn geltende datenschutzrechtliche Pflichten oder gegen rechtmäßige Weisungen des Verantwortlichen beruht.
2. Unbeschränkte Haftung. Der Auftragsverarbeiter haftet für Schäden unbeschränkt, soweit die Schadensursache auf einer vorsätzlichen oder grob fahrlässigen Pflichtverletzung des Auftragsverarbeiters, seines gesetzlichen Vertreters oder Erfüllungsgehilfen beruht.
3. Haftungsbegrenzung. Für fahrlässiges Verhalten haftet der Auftragsverarbeiter nur bei Verletzung einer Pflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrages überhaupt erst ermöglicht und auf deren Einhaltung der Verantwortliche regelmäßig vertraut und vertrauen darf (Kardinalpflicht), jedoch beschränkt auf den vertragstypischen Durchschnittsschaden. Im Übrigen ist die Haftung des Auftragsverarbeiters — auch für seine Erfüllungs- und Verrichtungsgehilfen — ausgeschlossen. Ergänzend gelten die Haftungsbeschränkungen aus den AGB des Hauptvertrages. Die zwingende Haftung gegenüber betroffenen Personen gemäß Art. 82 DSGVO bleibt unberührt.
4. Ausnahmen. Die Haftungsbegrenzung gemäß Absatz 3 gilt nicht für Schadensersatzansprüche aus der Verletzung von Leben, Körper, Gesundheit oder aus der Übernahme einer Garantie.

1. Rückgabe, Export und Löschung. Nach Beendigung des Hauptvertrags, nach Beendigung eines Abonnements oder nach Ablauf eines kostenlosen Testzeitraums ohne Tarifbuchung stellt der Auftragsverarbeiter dem Verantwortlichen die wesentlichen Organisationsdaten für einen Zeitraum von 90 Tagen zum Abruf und Export in einem gängigen maschinenlesbaren Format, insbesondere CSV und JSON, zur Verfügung, soweit keine abweichende Weisung des Verantwortlichen vorliegt. Innerhalb dieses Zeitraums kann das Organisationskonto durch erneute Tarifbuchung reaktiviert werden. Nach Ablauf der 90 Tage wird der Auftragsverarbeiter die in der Plattform gespeicherten personenbezogenen Daten der Organisation löschen oder – auf Wunsch des Verantwortlichen – zurückgeben, sofern nicht nach Unionsrecht oder anderem anwendbaren nationalen Recht eine Speicherpflicht besteht.

   Beantragt der Verantwortliche bzw. der hierzu berechtigte Agenturinhaber ausdrücklich die Löschung der Organisation, wird der Löschantrag mit einer 14-tägigen Karenzzeit ausgeführt; die Bestätigung des Inhabers erfolgt über einen kryptografisch sicheren, per E-Mail zugestellten Token (Speicherung ausschließlich als SHA-256-Hash). Mit Vollzug der Löschung ist ein Export oder eine Reaktivierung nicht mehr möglich.

   Soweit personenbezogene Daten in technischen Datenbanksicherungen oder Point-in-Time-Recovery-Systemen enthalten sind, erfolgt deren Löschung bzw. Überschreibung im Rahmen der jeweiligen technischen Vorhaltefrist. Bis dahin werden diese Daten gesperrt bzw. nicht produktiv verarbeitet. Für im Objektspeicher abgelegte Dateien besteht derzeit kein zeitpunktgenauer Wiederherstellungspunkt; gelöschte Dateiobjekte können daher nach Vollzug der Löschung grundsätzlich nicht wiederhergestellt werden. Der Auftragsverarbeiter führt den dokumentierten Nachweis der ordnungsgemäßen Löschung auf Anfrage.

2. Kontrolle. Der Verantwortliche hat das Recht, die vollständige und vertragsgerechte Rückgabe oder Löschung der Daten in geeigneter Weise zu kontrollieren.
3. Fortgeltung der Vertraulichkeit. Der Auftragsverarbeiter ist verpflichtet, auch über das Ende des Hauptvertrags hinaus die ihm bekannt gewordenen Daten vertraulich zu behandeln. Diese Vereinbarung bleibt über das Ende des Hauptvertrags hinaus so lange gültig, wie der Auftragsverarbeiter über personenbezogene Daten verfügt, die ihm vom Verantwortlichen zugeleitet wurden oder die er für diesen erhoben hat.

1. Kosten. Soweit der Auftragsverarbeiter Unterstützungshandlungen nach dieser Vereinbarung nicht ausdrücklich kostenlos durchführt, kann er dem Verantwortlichen dafür eine angemessene Gebühr in Rechnung stellen, es sei denn, eigene Handlungen oder Unterlassungen des Auftragsverarbeiters haben diese Unterstützung unmittelbar erforderlich gemacht.
2. Änderungen. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform oder erfolgen im Rahmen eines elektronischen Zustimmungs- oder Änderungsprozesses innerhalb der Plattform. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Der Vorrang individueller Vertragsabreden bleibt unberührt.
3. Salvatorische Klausel. Sollten einzelne Bestimmungen dieser Vereinbarung ganz oder teilweise nicht rechtswirksam oder nicht durchführbar sein oder werden, wird die Gültigkeit der übrigen Bestimmungen nicht berührt.
4. Anwendbares Recht. Diese Vereinbarung unterliegt deutschem Recht.
5. Elektronischer Vertragsschluss. Gemäß Art. 28 Abs. 9 DSGVO wird diese Vereinbarung in elektronischer Form geschlossen. Der Vertragsschluss erfolgt, indem der Verantwortliche bzw. die für ihn handelnde Person im Rahmen des elektronischen Registrierungs-, Onboarding- oder Buchungsprozesses der SaaS-Plattform smarteagentur diese Vereinbarung über eine nicht vorausgewählte Pflicht-Checkbox akzeptiert. Die Vereinbarung ist vor Abgabe der Erklärung über einen anklickbaren Link abrufbar. Der Auftragsverarbeiter dokumentiert den Vertragsschluss einschließlich Version der Vereinbarung, Zeitpunkt der Annahme, Nutzerkonto, Organisation und hinterlegten Unternehmensdaten.
6. Vertretungsberechtigung. Die Person, die diese Vereinbarung im Rahmen des Registrierungs-, Onboarding- oder Buchungsprozesses für den Verantwortlichen akzeptiert, versichert, zur Abgabe dieser Erklärung für den Verantwortlichen berechtigt zu sein. Der Verantwortliche hat sicherzustellen, dass nur hierzu berechtigte Personen Registrierungen, Buchungen und datenschutzrechtlich relevante Vertragserklärungen vornehmen.

Art der Verarbeitung: Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Bereitstellen, Übermitteln, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten im Rahmen der Bereitstellung und Nutzung der SaaS-Plattform smarteagentur.

Zweck der Verarbeitung: Bereitstellung der SaaS-Plattform smarteagentur für den Verantwortlichen, insbesondere Workspace- und Kontaktverwaltung, KI-gestützte Telefonie und Chat-Kommunikation, WhatsApp-Business-Anbindung, Kalender- und Terminverwaltung, Marketing- und Lead-Funktionen, Support, Sicherheit, Abrechnung und technische Betriebsstabilität.

Im Rahmen der Nutzung der Plattform smarteagentur verarbeitet der Auftragsverarbeiter für den Verantwortlichen insbesondere die folgenden Kategorien personenbezogener Daten:

• Stammdaten der Nutzer des Verantwortlichen (Vor- und Nachname, geschäftliche E-Mail, Rolle, Agenturinhaber- bzw. Inhaberstatus, Organisationszugehörigkeit, Telefonnummer)
• Unternehmens-, Kontakt- und Identifikationsdaten für Rufnummernbereitstellung und Regulatory Bundle, insbesondere Firmenname, Anschrift, Ansprechpartner, Register-, Gewerbe-, Adress- oder sonstige Nachweisdokumente
• Kontakt-, Interessenten- und Kundendaten des Verantwortlichen (Name, Telefonnummer, E-Mail, Postanschrift, Firma, Notizen, Tags, Kategorien)
• Kommunikationsinhalte und Anruf-Historie im Workspace: Gesprächstranskripte, Gesprächszusammenfassungen, Anrufprotokolle und Anrufmetadaten, insbesondere Dauer, Zeitpunkt, beteiligte Rufnummern, Caller-ID und Ergebnis, sowie WhatsApp-Nachrichten einschließlich Text und Medien, Formular- und E-Mail-Inhalte
• Kalender- und Termindaten (Ereignisse, Teilnehmer, Termininhalte, Verfügbarkeiten)
• Vertrags- und Policendaten der Endkunden des Verantwortlichen (Versicherungsprodukte, Laufzeiten, Schadensfälle inkl. Schadensbeschreibung, Dokumente)
• Aufgaben-, Deal-, Pipeline- und Aktivitätsdaten des Verantwortlichen
• Marketing- und Lead-Daten (u. a. Antworten aus Lead-Ads-Formularen)
• Authentifizierungs- und Login-Metadaten (E-Mail, Login-Zeitpunkt, IP-Adresse, ggf. Status zusätzlicher Sicherheits- oder Authentifizierungsfaktoren, soweit solche Funktionen für das jeweilige Nutzerkonto bereitgestellt oder aktiviert sind)
• Support-Kommunikation sowie pseudonymisierte Fehler- und Nutzungstelemetrie
• Ggf. besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO (insbesondere Gesundheitsdaten), soweit diese durch den Verantwortlichen im Rahmen von Versicherungs-Schadensmeldungen erhoben werden

Von der Datenverarbeitung sind insbesondere folgende Personengruppen betroffen:

• Mitarbeitende, Geschäftsführung und Team-Mitglieder des Verantwortlichen (Nutzer der Plattform)
• Interessenten und Bestandskunden des Verantwortlichen (natürliche Personen)
• Ansprechpartner bei Firmenkunden des Verantwortlichen
• Anrufer und Kontaktpersonen, die mit den KI-Mitarbeitern telefonieren, chatten oder Formulare des Verantwortlichen ausfüllen
• Teilnehmer von Kalenderterminen des Verantwortlichen
• Von Versicherungsschäden betroffene Dritte, soweit deren Daten im Rahmen der Schadensdokumentation erfasst werden

Diese Anlage enthält eine Kurzübersicht der wesentlichen technischen und organisatorischen Maßnahmen. Maßgeblich ist das eigenständige Dokument „Technische und organisatorische Maßnahmen – SaaS-Plattform smarteagentur" in der dem Verantwortlichen bereitgestellten Fassung, das als Anlage zu diesem AVV einbezogen wird. Der Auftragsverarbeiter ist berechtigt, die TOMs fortzuentwickeln und anzupassen, sofern das vertraglich vereinbarte Schutzniveau insgesamt nicht unterschritten wird. Über wesentliche Änderungen informiert der Auftragsverarbeiter den Verantwortlichen nach Maßgabe dieses AVV.

A) Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutritt: Backend-, Datenbank-, Auth-, Edge-Functions- und Storage-Infrastruktur über Supabase auf AWS Frankfurt; Frontend-Auslieferung über Hostinger in der EU-Region Frankfurt; kein eigener Serverbetrieb.
• Zugang: Persönliche Nutzerkonten mit E-Mail-Verifikation, Passwort-Richtlinien inkl. Leak-Check, kurzlebige Access-Tokens mit rotierendem Refresh-Token sowie Rate-Limiting auf Login-/Registrierungs-/Reset-Endpunkten. Für plattformseitige Betreiber- und Administrationszugänge gelten zusätzliche Sicherheitsmaßnahmen, insbesondere Mehrfaktor-Authentifizierung. Für bestimmte sicherheitskritische Aktionen der Kunden können zusätzliche Bestätigungs- oder Re-Authentifizierungsverfahren vorgesehen werden.
• Zugriff: Rollenmodell admin, manager, berater, viewer sowie separat geführter Agenturinhaber- bzw. Inhaberstatus und plattformweit platform_admin; Rollenprüfung serverseitig via has_role() bzw. entsprechende Berechtigungsprüfung; Row-Level-Security auf jeder mandantenfähigen Tabelle; Support-Impersonation nur Read-Only mit Feld-Masking und Impersonations-Banner; privilegierte Aktionen mit Re-Authentifizierung.
• Trennung: Strikte Mandantentrennung über organization_id NOT NULL + Foreign Key + RLS; separate Supabase-Projekte für DEV / CHECK / STAGING / PROD / DEMO; keine Produktionsdaten in Nicht-Produktions-Umgebungen.
• Pseudonymisierung: Sentry-Telemetrie mit pseudonymen User-IDs und Organisations-Tags; keine Klartext-Namen in Fehlermeldungen; Support-Snapshots gemäß sensitiveFields.ts maskiert.

B) Integrität — Weitergabe-, Eingabe- und Webhook-Kontrolle

• Transport: TLS 1.2+ für alle Übertragungen; HSTS aktiv; http→https erzwungen.
• At-Rest: Anbieteräquivalente Verschlüsselung für Datenbank, technische Datensicherungen und Objektspeicher; externe OAuth-Refresh-Tokens feldverschlüsselt; Ausgabe nur über _safe-Views; kein select(*) auf Token-Tabellen für Client-Rollen.
• Audit: Sicherheitsrelevante Ereignisse wie Logins, Änderungen zusätzlicher Sicherheitsfaktoren, Rollenwechsel, Impersonation, Exporte, Löschanträge sowie Zahlungs- und Abrechnungsereignisse werden protokolliert. Aufbewahrung sicherheitsrelevanter Logs: 1 Jahr; Sentry-Telemetrie: 90 Tage.
• Idempotenz: Zahlungs- und Nutzungs-Events (Stripe, ElevenLabs, Meta) werden über externe Event-ID entdupliziert; Zähler atomar per DB-Funktion — Retries erzeugen keine Doppelbuchungen.

Webhook- und API-Authentifizierung (fail-closed) — Fehlt Signatur oder Secret, wird die Anfrage abgewiesen. Keine fail-open-Pfade, keine Header-Bypässe.

C) Verfügbarkeit und Belastbarkeit

• Datenbank: At-rest verschlüsselt; Point-in-Time-Recovery für die zurückliegenden 7 Tage.
• Objektspeicher: Hochgeladene Dateien werden redundant und at-rest-verschlüsselt gespeichert; kein zeitpunktgenauer Wiederherstellungspunkt für Dateiobjekte.
• Sicherungsstrategie: Die Sicherungsstrategie wird fortlaufend überprüft und weiterentwickelt.
• Betrieb und Monitoring: Multi-AZ-Betrieb bei AWS; kontinuierliches Monitoring via Sentry und Health-Checks.
• Disaster Recovery: Dokumentiertes Disaster-Recovery-Verfahren: RPO ≤ 24 h, RTO ≤ 8 h für die produktive Kernfunktion; DR-Playbooks regelmäßig getestet.
• Wartung und Belastbarkeit: Wartungs-Gate (MaintenanceGate) für geplante Updates; Rate-Limiting und Bot-Schutz auf öffentlichen Endpoints (Formulare, Terminbuchung, TTS-Vorschau).

D) Prüfverfahren und Governance

• CI-Gate: Blockierendes CI-Gate npm run verify (Lint, Typecheck, Test, Build) auf jedem Pull Request.
• Security-Scans: Automatisierte Dependency- und Security-Scans; kritische Findings blockieren den Deploy.
• Änderungsfreigabe: Sicherheitsrelevante Änderungen (Architektur, Zugriffskontrolle, Sub-Processor-Wechsel) erfordern dokumentierten Decision Brief und explizite Freigabe vor Umsetzung.
• TOM-Review: Periodische Review der TOM mindestens jährlich sowie ad hoc bei wesentlichen Änderungen.
• Personal: Verpflichtung des Personals auf Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO) und regelmäßige Schulung.

E) Löschverfahren und Betroffenenrechte

• Self-Service: Auskunft, Berichtigung, Löschung, Einschränkung und Datenportabilität stehen über die Plattform-Einstellungen im Self-Service zur Verfügung.
• Datenexport: Der Export umfasst die wesentlichen Organisationsdaten und erfolgt in einem gängigen maschinenlesbaren Format, insbesondere CSV und JSON.
• Export- und Reaktivierungsfenster: Nach Beendigung des Abonnements oder nach Ablauf eines kostenlosen Testzeitraums ohne Tarifbuchung bleiben Organisationsdaten für 90 Tage zum Abruf, Export und zur möglichen Reaktivierung verfügbar.
• Organisationslöschung: Ausdrückliche Löschanträge des Agenturinhabers werden mit 14-tägiger Widerrufsfrist ausgeführt. Mit Vollzug der Löschung ist ein Export oder eine Reaktivierung nicht mehr möglich.
• Technische Vorhaltefristen: Personenbezogene Daten in technischen Datenbanksicherungen oder Point-in-Time-Recovery-Systemen werden im Rahmen der jeweiligen technischen Vorhaltefrist gelöscht bzw. überschrieben und bis dahin nicht produktiv verarbeitet. Für im Objektspeicher abgelegte Dateien besteht derzeit kein zeitpunktgenauer Wiederherstellungspunkt.

Die folgende Liste ist inhaltlich kongruent zur Datenschutzerklärung Plattform und zum TOM-Dokument. Die Kernverarbeitung der Plattform erfolgt innerhalb der EU/des EWR. Optionale Integrationen mit Anbietern außerhalb der EU/des EWR werden nur dann Empfänger personenbezogener Daten, wenn der Verantwortliche die jeweilige Integration aktiv freischaltet. In diesen Fällen erfolgen Drittlandübermittlungen nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln und – soweit einschlägig – EU-US Data Privacy Framework; eine Transfer Impact Assessment liegt vor.

¹ Für die Bereitstellung und gesetzlich bzw. regulatorisch erforderliche Registrierung von Rufnummern kann Twilio die hierfür erforderlichen Unternehmens-, Kontakt- und Identifikationsdaten über seine globale Verwaltungsinfrastruktur verarbeiten; Gesprächsinhalte, Gesprächsaufzeichnungen und Transkripte sind hiervon nicht umfasst. Dabei kann eine Übermittlung an Twilio Inc. in den USA stattfinden. Die Übermittlung erfolgt nach Maßgabe der Twilio-DPA auf Grundlage geeigneter Garantien, insbesondere EU-Standardvertragsklauseln und – soweit einschlägig – des EU-U.S. Data Privacy Framework.

² Optionale Kalender-Anbindungen an Anbieter außerhalb der EU/des EWR werden nur dann Empfänger personenbezogener Daten, wenn der Verantwortliche die jeweilige Integration aktiv freischaltet. In diesen Fällen erfolgen Drittlandübermittlungen nur auf Grundlage geeigneter Garantien nach Art. 44 ff. DSGVO, insbesondere EU-Standardvertragsklauseln und – soweit einschlägig – des EU-U.S. Data Privacy Framework; eine Transfer Impact Assessment liegt vor.

AWS Frankfurt fungiert als Sub-Sub-Processor unter Supabase. Stripe Payments Europe Ltd. kann im Rahmen der Zahlungsabwicklung je nach Verarbeitungsvorgang sowohl als Auftragsverarbeiter als auch als eigenständig Verantwortlicher handeln. Soweit Stripe als eigenständig Verantwortlicher handelt, gelten ergänzend die Datenschutzinformationen und Vertragsbedingungen von Stripe. Interne Arbeitswerkzeuge der Creative AI Solutions GmbH, die keine Kundendaten der Plattform verarbeiten, sind nicht Sub-Processors dieses AVV.