§ 1 Gegenstand und Dauer
web.agentur verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Kunden, zum Zweck der vereinbarten Lead-Leistungen. Der Vertrag läuft für die Dauer des Hauptvertrags.
§ 2 Art, Umfang, Datenarten und Betroffene
- Art der Verarbeitung: Erhebung, Validierung, Speicherung, Übermittlung/Lieferung von B2B- und einwilligungsbasierten B2C-Leads.
- Datenarten: Firmenname, Ansprechpartner, geschäftliche E-Mail, Telefon, Adresse, Branche, öffentliche Firmensignale.
- Betroffene: Geschäftskontakte und (bei B2C) Verbraucher mit ausdrücklichem Opt-in.
§ 3 Weisungsrecht
Der Auftragsverarbeiter handelt ausschließlich nach dokumentierten Weisungen des Verantwortlichen. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich.
§ 4 Technische und organisatorische Maßnahmen (TOM)
- SSL/TLS-Verschlüsselung bei der Übertragung; Zugriff beschränkt durch rollenbasierte Authentifizierung (Admin/Kunde).
- Passwörter nur als gesalzene Hashes (PBKDF2) gespeichert; signierte Session-Tokens.
- Suppression-first: Opt-outs werden beim Ingest beachtet und aus allen Exporten/Lieferungen ausgeschlossen.
- Audit-Spuren für Lieferungen, Outreach und Opt-outs; regelmäßige Datenbank-Backups.
§ 5 Subunternehmer (weitere Auftragsverarbeiter)
Der Auftragsverarbeiter darf Subunternehmer (z. B. Hosting, E-Mail/SMTP, lizenzierte Datenanbieter) unter Verträgen mit gleichwertigen Datenschutzpflichten einsetzen. Über Änderungen wird der Verantwortliche informiert und kann aus berechtigtem Grund widersprechen.
§ 6 Betroffenenrechte
Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch), inkl. CCPA/CPRA Right-to-Know und Right-to-Delete.
§ 7 Löschung und Rückgabe
Nach Vertragsende löscht oder gibt der Auftragsverarbeiter alle personenbezogenen Daten nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht (z. B. steuerrechtlich) besteht.
§ 8 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen — einschließlich Inspektionen — mit angemessener Ankündigung.
§ 9 Meldung von Verletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich nach Kenntnis eine Verletzung des Schutzes personenbezogener Daten und unterstützt dessen Meldepflichten nach Art. 33/34 DSGVO.
Hinweis: Diese Vorlage ersetzt keine Rechtsberatung. Lassen Sie Ihren AVV vor Unterzeichnung anwaltlich prüfen.