Auftragsverarbeitungsvertrag (AVV) für Nutzer der Marketing Mavens App

gemäß Art. 28 Datenschutz-Grundverordnung (DSGVO)

zwischen

dem Auftraggeber (Verantwortlicher) — jeder Nutzer der „Marketing Mavens App“, identifiziert durch die im App-Konto hinterlegten Angaben (Name, Unternehmen, E-Mail-Adresse)

und

Marketing Mavens Stephanie Weyer

— nachfolgend „Auftragnehmer“ —

Dieser Auftragsverarbeitungsvertrag gilt automatisch und wird durch elektronische Zustimmung (Checkbox „Ich stimme dem Auftragsverarbeitungsvertrag zu“ im Kunden-Portal der Marketing Mavens App) abgeschlossen. Zeitpunkt, Name und E-Mail-Adresse der Zustimmung werden von Marketing Mavens elektronisch dokumentiert und auf Anfrage nachgewiesen.

§ 1 Gegenstand und Dauer der Verarbeitung

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus der Bereitstellung und dem Betrieb der „Marketing Mavens App“ ergeben. Die App umfasst mehrere Module, die der Auftraggeber eigenständig nutzt, insbesondere: CRM- und Kontaktverwaltung, Kalender- und Terminverwaltung, Content- und Medienablage (u. a. Dokumente, Bilder, Social-Media-Entwürfe), Tracking und Reporting (u. a. Website- und Funnel-Auswertung), Kommunikationsübersicht sowie einen KI-gestützten Assistenten.

Die Verarbeitung erfolgt für die Dauer des App-Zugangs (Abonnement bzw. Testphase) des Auftraggebers. Mit Beendigung des App-Zugangs (Kündigung oder Sperrung des Abonnements) endet auch dieser AVV, unbeschadet der in § 5 (Vertraulichkeit) und § 8 (Löschung bzw. Rückgabe der Daten) geregelten nachvertraglichen Pflichten.

§ 2 Art, Zweck und Umfang der Verarbeitung, Kategorien betroffener Personen

Art der personenbezogenen Daten:

Namen und berufliche bzw. private Kontaktdaten (z. B. von Interessenten, Leads, Kunden des Auftraggebers)
Vom Auftraggeber selbst in der App hinterlegte Notizen, Kontaktverläufe und Pipeline-Status
Terminhistorie, einschließlich über eine vom Auftraggeber verbundene Kalenderquelle (z. B. iCal/ICS-Feed) synchronisierter Termine
Vom Auftraggeber selbst hochgeladene oder erstellte Inhalte (z. B. Dokumente, Bilder, Screenshots von Nachrichtenverläufen, Social-Media-Entwürfe), soweit diese personenbezogene Daten Dritter enthalten
Im Rahmen der Tracking- und Reporting-Funktionen erfasste Daten (z. B. Website-Besucher- und Funnel-Daten), soweit diese personenbezogene Daten enthalten
Von der App KI-gestützt verarbeitete Daten aus den vorgenannten Kategorien (z. B. Zusammenfassungen, Auswertungen, Vorschläge des KI-Assistenten)

Kategorien betroffener Personen: Interessenten und Kunden des Auftraggebers — sowohl private Endkunden (B2C) als auch Unternehmen bzw. deren Ansprechpartner (B2B) — sowie ggf. Website-Besucher des Auftraggebers, soweit im Rahmen des Trackings erfasst.

Zweck der Verarbeitung: Bereitstellung der „Marketing Mavens App“ mit sämtlichen ihrer Module (siehe § 1) zur eigenständigen Nutzung durch den Auftraggeber, einschließlich der zugehörigen Speicherung, Anzeige, Auswertung und KI-gestützten Verarbeitung. Der Auftragnehmer wird dabei nicht selbst inhaltlich für den Auftraggeber tätig (keine Ansprache, keine Recherche, keine Zielgruppenauswahl durch den Auftragnehmer) — dies unterscheidet die App-Nutzung von einer beauftragten Marketing-/Vertriebsdienstleistung.

§ 3 Weisungsgebundenheit und Zweckbindung

Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem der Auftragnehmer unterliegt, zu einer anderen Verarbeitung verpflichtet; in einem solchen Fall teilt der Auftragnehmer dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

Die Nutzungsbedingungen der App sowie dieser AVV gelten als initiale dokumentierte Weisung. Weitere Weisungen erteilt der Auftraggeber durch die Konfiguration und Nutzung der App selbst sowie in Textform (auch per E-Mail).

Hält der Auftragnehmer eine Weisung für datenschutzrechtlich unzulässig, informiert er den Auftraggeber unverzüglich und ist berechtigt, die Ausführung der betreffenden Weisung bis zu deren Bestätigung oder Änderung durch den Auftraggeber auszusetzen.

Der Auftragnehmer verarbeitet die Daten des Auftraggebers ausschließlich zur Erfüllung dieses Vertrags. Eine Nutzung zu eigenen Zwecken, insbesondere zum Training, zur Verbesserung oder zur Evaluierung von KI-Modellen, ist ausgeschlossen. Der Auftragnehmer stellt dies auch bei allen eingesetzten Unterauftragsverarbeitern sicher.

§ 4 Klarstellung zur App

Mit der „App“ ist die von Marketing Mavens bereitgestellte Software „Marketing Mavens App“ mit allen ihren Modulen gemeint (siehe § 1), die der Auftraggeber eigenständig zur Verwaltung eigener Kontakte, Leads, Termine, Inhalte und Auswertungen nutzt. Der Auftraggeber trägt die entsprechenden Daten selbst in die App ein, lädt eigene Inhalte hoch bzw. verbindet eigene Kalender- oder Tracking-Quellen.

Der Auftragnehmer greift nicht inhaltlich auf diese Daten zu, außer soweit dies zur Bereitstellung, Wartung, technischen Fehlerbehebung oder zum Support der App erforderlich ist.

§ 5 Vertraulichkeit

Der Auftragnehmer stellt sicher, dass alle zur Verarbeitung der personenbezogenen Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Diese Verpflichtung besteht auch nach Beendigung der Tätigkeit für den Auftragnehmer fort.

§ 6 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer trifft geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere:

Zugriffsverwaltung: Passwort-Manager (Google Chrome, Apple Passwords), individuelle Zugänge
Zwei-Faktor-Authentifizierung (z. B. über Google Authenticator) verpflichtend für alle Systeme, die Daten des Auftraggebers verarbeiten
Verschlüsselte Speicherung sensibler Daten innerhalb der eingesetzten Anwendung (App-seitige Verschlüsselung)
Verschlüsselte Kommunikation und sichere Dateiübertragung
Zugriffsbeschränkung auf das für die jeweilige Leistungserbringung erforderliche Minimum (Need-to-know-Prinzip)
Keine dauerhafte Speicherung personenbezogener Daten auf ungesicherten oder privaten Systemen
Regelmäßige Datensicherung (Backup) der eingesetzten Systeme, die Daten des Auftraggebers tragen, sowie ein dokumentiertes Verfahren zur Wiederherstellung nach einem Zwischenfall
Maßnahmen zur Sicherstellung der Verfügbarkeit der Systeme (insbesondere Redundanz und Überwachung der zentralen Hosting-Infrastruktur)
Regelmäßige Überprüfung und Aktualisierung der eingesetzten Systeme und Zugänge
Vertraulichkeitsverpflichtung aller beteiligten Mitarbeiter und Erfüllungsgehilfen gemäß § 5

Der Auftragnehmer ist berechtigt, die TOMs im Rahmen des technischen Fortschritts anzupassen, sofern das vereinbarte Schutzniveau dabei nicht unterschritten wird.

Der Auftragnehmer setzt gemäß Art. 32 Abs. 1 lit. d) DSGVO ein Verfahren zur regelmäßigen Überprüfung der Wirksamkeit der getroffenen technischen und organisatorischen Maßnahmen ein und passt diese bei Bedarf an aktuelle Risiken an.

§ 7 Einsatz von Unterauftragsverarbeitern

Der Auftraggeber erteilt dem Auftragnehmer die allgemeine Genehmigung zum Einsatz der nachfolgend genannten Unterauftragsverarbeiter:

Base44 – App-Hosting, Datenbank und Betrieb der eingesetzten CRM-/Verwaltungssoftware, einschließlich der Ablage des unterzeichneten AVV und der zugehörigen Vertragsdaten. Ein Data Processing Agreement mit Standardvertragsklauseln gemäß Art. 46 DSGVO besteht tatsächlich und ist einsehbar unter: https://base44.com/dpa
Anthropic (Claude) – KI-gestützte Auswertungs- und Assistenzfunktionen innerhalb der eingesetzten Software. Ein Data Processing Addendum mit Standardvertragsklauseln gemäß Art. 46 DSGVO besteht tatsächlich, automatisch Teil der Commercial Terms of Service, einsehbar unter: https://privacy.claude.com/en/articles/7996862-how-do-i-view-and-sign-your-data-processing-addendum-dpa
Google (Gmail / Google Kalender / Google Sheets / Google Drive) – E-Mail-, Termin- und Dokumentenverwaltung, sofern im Rahmen der Nutzung eingebunden (z. B. Kalendersynchronisierung). Ein Data Processing Amendment mit Standardvertragsklauseln gemäß Art. 46 DSGVO besteht tatsächlich und ist im Google-Workspace-Administrationskonto des Auftragnehmers aktiviert, einsehbar unter: https://workspace.google.com/terms/dpa_terms/
Dripify – LinkedIn-Automatisierung, soweit im Rahmen der App-Funktionen eingebunden. Standardvertragsklauseln bzw. geeignete Garantien gemäß Art. 46 DSGVO werden vorausgesetzt (kein öffentlich dediziertes Data Processing Agreement auffindbar; wird auf Anfrage bei Dripify direkt eingeholt).
LinkedIn Sales Navigator – Vertriebs- und Recherchetool, soweit im Rahmen der App-Funktionen eingebunden. Ein Data Processing Agreement mit Standardvertragsklauseln gemäß Art. 46 DSGVO besteht tatsächlich und ist einsehbar unter: https://legal.linkedin.com/dpa
Meta Platforms Ireland Ltd. (Instagram, WhatsApp, Facebook) – soweit im Rahmen der App-Funktionen (z. B. Content-Planung für Instagram) eingebunden. Standardvertragsklauseln gemäß Art. 46 DSGVO werden vorausgesetzt; Metas Data Processing Terms sind einsehbar unter: https://www.facebook.com/legal/terms/dataprocessing
Notion Labs, Inc. – interne Dokumentation und Projektorganisation, sofern hierbei personenbezogene Daten des Auftraggebers verarbeitet werden. Ein Data Processing Addendum mit EU- und UK-Standardvertragsklauseln besteht tatsächlich und ist einsehbar unter: https://www.notion.com/help/gdpr-at-notion
Weitere Tools nach vorheriger Mitteilung an den Auftraggeber

Soweit vorstehend für einen Unterauftragsverarbeiter angegeben, dass Standardvertragsklauseln „vorausgesetzt“ werden, holt der Auftragnehmer auf begründete Anfrage des Auftraggebers eine Bestätigung bzw. Kopie der jeweiligen Klauseln bei dem betreffenden Unterauftragsverarbeiter ein und legt diese dem Auftraggeber vor.

Der Auftragnehmer steht dem Auftraggeber gegenüber für die Einhaltung der datenschutzrechtlichen Pflichten der eingesetzten Unterauftragsverarbeiter im gesetzlich vorgesehenen Umfang nach Art. 28 Abs. 4 DSGVO ein.

Der Auftragnehmer informiert den Auftraggeber rechtzeitig vor der Beauftragung neuer oder dem Ersatz bestehender Unterauftragsverarbeiter und gibt ihm Gelegenheit, innerhalb von 14 Tagen nach Mitteilung Einwände zu erheben. Erfolgt kein Einwand innerhalb dieser Frist, gilt die Genehmigung als erteilt.

Erhebt der Auftraggeber innerhalb der Frist aus wichtigem datenschutzrechtlichem Grund Einwände gegen einen neuen oder ersetzenden Unterauftragsverarbeiter und lässt sich keine einvernehmliche Lösung finden, steht dem Auftraggeber hinsichtlich des betroffenen Verarbeitungsvorgangs ein Sonderkündigungsrecht zu.

Der Auftragnehmer verpflichtet die eingesetzten Unterauftragsverarbeiter im Wege einer Vereinbarung zu denselben datenschutzrechtlichen Pflichten, wie sie in diesem AVV festgelegt sind, soweit dies für den jeweiligen Verarbeitungsvorgang erforderlich ist.

§ 8 Unterstützungspflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich, den Auftraggeber im Rahmen des Zumutbaren zu unterstützen bei:

der Erfüllung von Betroffenenrechten (Auskunft, Berichtigung, Löschung, Einschränkung der Verarbeitung, Datenübertragbarkeit, Widerspruch)
der Erstellung von Datenschutz-Folgenabschätzungen gemäß Art. 35 DSGVO, sofern die Art der Verarbeitung dies erfordert
der Konsultation der Aufsichtsbehörde gemäß Art. 36 DSGVO, sofern erforderlich

Der Auftragnehmer meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnisnahme, unter Angabe der ihm bekannten Informationen gemäß Art. 33 Abs. 3 DSGVO.

Nach Beendigung der App-Nutzung löscht der Auftragnehmer nach Wahl des Auftraggebers alle personenbezogenen Daten oder gibt sie zurück und löscht bestehende Kopien einschließlich der bei Unterauftragsverarbeitern gespeicherten Kopien, soweit nicht eine gesetzliche Verpflichtung zur weiteren Speicherung besteht. Dies erfolgt innerhalb von 30 Tagen nach Vertragsende. Auf Verlangen des Auftraggebers bestätigt der Auftragnehmer die erfolgte Löschung schriftlich.

Der Auftragnehmer benennt dem Auftraggeber einen Ansprechpartner für im Rahmen dieses Vertrags anfallende Datenschutzfragen:

Ansprechpartnerin Auftragnehmer: Stephanie Weyer, hellu@marketing-mavens.de

Als Ansprechpartner des Auftraggebers gilt die im App-Konto hinterlegte Kontaktperson.

§ 9 Anfragen betroffener Personen an den Auftragnehmer

Wendet sich eine betroffene Person mit einem Auskunfts-, Berichtigungs-, Löschungs- oder sonstigen Anliegen gemäß Kapitel III DSGVO direkt an den Auftragnehmer, verweist dieser die betroffene Person an den Auftraggeber, sofern eine Zuordnung zum Auftraggeber anhand der Angaben der betroffenen Person möglich ist, und leitet die Anfrage unverzüglich an den Auftraggeber weiter.

Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren und auf Weisung bei der Beantwortung. Der Auftragnehmer haftet nicht, wenn das Ersuchen der betroffenen Person vom Auftraggeber nicht, nicht richtig oder nicht fristgerecht beantwortet wird.

§ 10 Pflichten des Auftraggebers

Der Auftraggeber stellt sicher, dass:

die Verarbeitung der personenbezogenen Daten auf einer Rechtsgrundlage gemäß Art. 6 DSGVO beruht
betroffene Personen, soweit erforderlich, über die Weitergabe an den Auftragnehmer als Dienstleister informiert wurden
er dem Auftragnehmer ausschließlich klare und rechtmäßige Weisungen erteilt

Der Auftraggeber informiert den Auftragnehmer unverzüglich und vollständig, wenn er in den Arbeitsergebnissen Fehler oder Unregelmäßigkeiten bezüglich datenschutzrechtlicher Bestimmungen feststellt.

§ 11 Nachweis- und Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber auf begründete Anfrage die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlichen Informationen zur Verfügung, in der Regel durch Übersendung einschlägiger Dokumentation (z. B. Selbstauskunft zu den TOMs).

Kontrollen erfolgen grundsätzlich in digitaler/remote Form, etwa durch Beantwortung eines Fragebogens zu den TOMs, Vorlage von Nachweisen oder einen gemeinsamen Videotermin, in dem der Auftragnehmer die getroffenen Maßnahmen darlegt. Eine physische Vor-Ort-Kontrolle findet nur statt, wenn dies zwischen den Parteien im Einzelfall gesondert vereinbart wird, und ist auf höchstens einmal jährlich sowie Fälle mit konkretem Anlass (z. B. nach einer gemeldeten Datenschutzverletzung) beschränkt. Sie ist mit einem Vorlauf von mindestens 10 Werktagen anzukündigen und findet während der üblichen Geschäftszeiten statt. Die Kosten einer Kontrolle trägt der Auftraggeber, es sei denn, sie deckt einen Verstoß des Auftragnehmers gegen diesen Vertrag auf.

§ 12 Verhalten bei Gefährdung der Daten durch Dritte

Werden Daten des Auftraggebers beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder sonstige Maßnahmen Dritter gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich darüber und weist die jeweils Verantwortlichen darauf hin, dass Hoheit und Eigentum an den Daten ausschließlich beim Auftraggeber als Verantwortlichem im Sinne der DSGVO liegen.

§ 13 Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO sowie den Regelungen der zugrundeliegenden App-Nutzungsbedingungen.

§ 14 Laufzeit und Beendigung

Dieser AVV ist an die Laufzeit des App-Zugangs (Abonnement) gekoppelt und endet automatisch mit dessen Beendigung. Die Pflichten zur Löschung bzw. Rückgabe der Daten (§ 8) sowie zur Vertraulichkeit (§ 5) gelten über das Vertragsende hinaus fort.

§ 15 Schlussbestimmungen

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Es gilt deutsches Recht.