Vereinbarung zur Auftragsverarbeitung (AVV)

nach Art. 28 DSGVO

Stand: 27.07.2026

Auftragnehmerin (Auftragsverarbeiterin):
Tanja Schwarz
Crta. de la Base 15
28850 Torrejón de Ardoz (Madrid, Spanien)
Umsatzsteuer-Identifikationsnummer: ESX5793702W
E-Mail: [email protected]

1. Gegenstand und Dauer

1.1 Die Auftragnehmerin erbringt für den Auftraggeber Dienstleistungen im Bereich Online-Marketing, Automatisierung und Erstellung von Webseiten (Hauptvertrag). Im Rahmen dieser Leistungen verarbeitet die Auftragnehmerin personenbezogene Daten im Auftrag und nach Weisung des Auftraggebers.

1.2 Diese Vereinbarung konkretisiert die datenschutzrechtlichen Pflichten der Parteien und ist Bestandteil des Hauptvertrages.

1.3 Die Laufzeit dieser Vereinbarung entspricht der Laufzeit des Hauptvertrages. Sie endet automatisch mit dessen Beendigung.

2. Art und Zweck der Verarbeitung

Die Verarbeitung personenbezogener Daten erfolgt ausschließlich zur Erbringung der vereinbarten Leistungen. Dazu gehören je nach Auftragsumfang insbesondere:

Einrichtung, Konfiguration und Betreuung von Webseiten, Landingpages und Formularen
Einrichtung und Pflege von CRM-Systemen und Kontaktdatenbanken
Einrichtung von Terminbuchungssystemen und Kalendern
Aufbau und Versand von Newslettern sowie automatisierten E-Mail-Strecken
Einrichtung von Automatisierungen, Workflows und Chat- oder Sprachassistenten
Auswertung von Kampagnen- und Nutzungsstatistiken
Support, Fehlerbehebung und technische Wartung

Eine Verarbeitung zu eigenen Zwecken der Auftragnehmerin findet nicht statt.

3. Kategorien betroffener Personen

Kunden, Interessenten und Newsletter-Empfänger des Auftraggebers
Beschäftigte und Mitarbeitende des Auftraggebers, soweit deren Daten im System verarbeitet werden
Besucher der Webseiten und Nutzer der Formulare des Auftraggebers

4. Kategorien personenbezogener Daten

Stammdaten: Name, Anschrift, E-Mail-Adresse, Telefonnummer, Unternehmen
Kommunikationsdaten: E-Mails, Chatnachrichten, Formulareingaben, Notizen
Termindaten: Buchungen, Terminstatus, Kalendereinträge
Marketingdaten: Öffnungs- und Klickraten, Kampagnenreaktionen, Tags und Segmente
Nutzungs- und Metadaten: IP-Adressen, Zeitstempel, Geräte- und Browserdaten
Vertrags- und Zahlungsdaten, soweit im Auftrag verarbeitet

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Sollte der Auftraggeber solche Daten in die Systeme einbringen, informiert er die Auftragnehmerin vorab, damit zusätzliche Schutzmaßnahmen vereinbart werden können.

5. Weisungsrecht des Auftraggebers

5.1 Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, es sei denn, sie ist nach anwendbarem Recht zur Verarbeitung verpflichtet.

5.2 Weisungen können in Textform erteilt werden, insbesondere per E-Mail. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

5.3 Die Auftragnehmerin informiert den Auftraggeber unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Sie ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis der Auftraggeber sie bestätigt oder ändert.

6. Pflichten der Auftragnehmerin

6.1 Die Auftragnehmerin verpflichtet alle zur Verarbeitung eingesetzten Personen schriftlich auf Vertraulichkeit oder stellt sicher, dass diese einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.2 Sie ergreift die nach Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen (siehe Anhang 1).

6.3 Sie unterstützt den Auftraggeber im Rahmen ihrer Möglichkeiten bei der Erfüllung von Betroffenenrechten nach Art. 12 bis 23 DSGVO. Wendet sich eine betroffene Person direkt an die Auftragnehmerin, leitet diese das Anliegen unverzüglich an den Auftraggeber weiter und beantwortet es nicht selbst.

6.4 Sie unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen, der Meldung von Datenschutzverletzungen sowie bei Anfragen von Aufsichtsbehörden.

6.5 Sie stellt dem Auftraggeber auf Anfrage die zum Nachweis der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung.

7. Meldung von Datenschutzverletzungen

Die Auftragnehmerin informiert den Auftraggeber unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten. Die Meldung enthält, soweit verfügbar:

eine Beschreibung der Art der Verletzung, der betroffenen Datenkategorien und der ungefähren Zahl betroffener Personen und Datensätze
Kontaktdaten für Rückfragen
eine Beschreibung der wahrscheinlichen Folgen
eine Beschreibung der ergriffenen oder vorgeschlagenen Gegenmaßnahmen

8. Unterauftragsverarbeiter

8.1 Der Auftraggeber stimmt dem Einsatz der in Anhang 2 aufgeführten Unterauftragsverarbeiter zu.

8.2 Die Auftragnehmerin wählt Unterauftragsverarbeiter sorgfältig aus und verpflichtet sie vertraglich auf Datenschutzpflichten, die denen dieser Vereinbarung entsprechen.

8.3 Ein Wechsel oder die Hinzunahme eines Unterauftragsverarbeiters wird dem Auftraggeber vorab in Textform mitgeteilt. Der Auftraggeber kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen. Widerspricht er, sind beide Parteien berechtigt, den betroffenen Leistungsteil zu kündigen.

8.4 Nebenleistungen wie Telekommunikations-, Reinigungs- oder Wartungsleistungen gelten nicht als Unterauftragsverarbeitung.

9. Verarbeitung in Drittländern

Eine Verarbeitung außerhalb der EU beziehungsweise des EWR findet nur statt, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder der EU-Standardvertragsklauseln (SCC) samt erforderlicher ergänzender Maßnahmen. Die betroffenen Unterauftragsverarbeiter sind in Anhang 2 gekennzeichnet.

10. Kontrollrechte des Auftraggebers

10.1 Der Auftraggeber hat das Recht, die Einhaltung dieser Vereinbarung zu überprüfen. Die Überprüfung erfolgt vorrangig durch Einholung von Auskünften, Selbstauskünften oder vorhandenen Zertifizierungen und Prüfberichten.

10.2 Vor-Ort-Kontrollen sind nach rechtzeitiger Ankündigung, zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich. Sie erfolgen auf Kosten des Auftraggebers.

11. Pflichten des Auftraggebers

11.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Erfüllung der Informationspflichten gegenüber den betroffenen Personen verantwortlich.

11.2 Er stellt sicher, dass für alle in das System eingebrachten Daten eine gültige Rechtsgrundlage besteht, insbesondere die erforderlichen Einwilligungen für Marketingkommunikation vorliegen.

11.3 Er informiert die Auftragnehmerin unverzüglich, wenn ihm Fehler oder Unregelmäßigkeiten bei der Verarbeitung auffallen.

12. Löschung und Rückgabe nach Vertragsende

12.1 Nach Beendigung des Hauptvertrages löscht die Auftragnehmerin alle im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

12.2 Der Auftraggeber teilt seine Wahl innerhalb von 30 Tagen nach Vertragsende mit. Erfolgt keine Mitteilung, werden die Daten gelöscht.

12.3 Zugänge und Berechtigungen zu Systemen des Auftraggebers werden nach Vertragsende unverzüglich zurückgegeben oder entzogen.

12.4 Dokumentationen, die dem Nachweis der ordnungsgemäßen Verarbeitung dienen, dürfen entsprechend den gesetzlichen Aufbewahrungsfristen weiter aufbewahrt werden.

13. Haftung

Es gelten die Haftungsregelungen des Hauptvertrages sowie Art. 82 DSGVO.

14. Schlussbestimmungen

14.1 Änderungen und Ergänzungen dieser Vereinbarung bedürfen mindestens der Textform. Das gilt auch für die Aufhebung dieser Formklausel.

14.2 Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die unwirksame Bestimmung wird durch eine Regelung ersetzt, die dem wirtschaftlichen Zweck am nächsten kommt.

14.3 Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung vor, soweit es um die Verarbeitung personenbezogener Daten geht.

Anhang 1: Technische und organisatorische Maßnahmen (TOM)

Vertraulichkeit

Zugang zu Systemen ausschließlich über persönliche, passwortgeschützte Zugänge
Einsatz eines Passwortmanagers, keine Weitergabe von Zugangsdaten per unverschlüsselter E-Mail
Zwei-Faktor-Authentifizierung für alle Systeme, die Kundendaten enthalten
Arbeitsgeräte sind verschlüsselt, passwortgeschützt und werden bei Verlassen des Arbeitsplatzes gesperrt
Zugriff auf Kundensysteme nur im tatsächlich erforderlichen Umfang und nur für die Dauer des Auftrags
Arbeit erfolgt in einer nicht öffentlich einsehbaren Arbeitsumgebung

Integrität

Datenübertragung ausschließlich verschlüsselt (HTTPS/TLS)
Protokollierung von Änderungen innerhalb der eingesetzten Plattformen
Trennung der Daten verschiedener Auftraggeber durch getrennte Accounts beziehungsweise Sub-Accounts

Verfügbarkeit und Belastbarkeit

Regelmäßige Backups durch die eingesetzten Plattformanbieter
Aktuelle Betriebssysteme, Software und Sicherheitsupdates
Einsatz von Virenschutz und Firewall auf allen Arbeitsgeräten

Organisation

Verpflichtung aller eingesetzten Personen auf Vertraulichkeit
Sorgfältige Auswahl von Dienstleistern und Abschluss entsprechender Auftragsverarbeitungsverträge
Lösch- und Aufbewahrungskonzept entsprechend den gesetzlichen Fristen
Weitgehend papierlose Arbeitsweise, Unterlagen in Papierform werden datenschutzgerecht vernichtet

Die Maßnahmen unterliegen dem technischen Fortschritt. Die Auftragnehmerin darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird.

Anhang 2: Unterauftragsverarbeiter

Die Auftragnehmerin setzt für die Erbringung der Leistungen die folgenden Unterauftragsverarbeiter ein:

Anbieter	Leistung	Sitz	Grundlage bei Drittlandbezug
Inexdu GmbH (BusinessBoost One)	Betrieb der Plattform: Webseiten, CRM, Terminbuchung, E-Mail-Versand, Automatisierung, KI-Assistenten	Österreich	–
ALL-INKL.COM, Neue Medien Münnich	Domain- und DNS-Verwaltung	Deutschland	–

Weitere Unterauftragsverarbeiter der Plattform

Die Inexdu GmbH setzt ihrerseits weitere Unterauftragsverarbeiter ein, um den Betrieb der Plattform BusinessBoost One sicherzustellen. Dazu gehören unter anderem HighLevel Inc. (Plattformbetrieb, USA), Amazon Web Services (Hosting, Luxemburg), Mailgun Technologies, Inc. (E-Mail-Versand, USA), Twilio Ireland Limited einschließlich SendGrid (SMS- und E-Mail-Versand, Irland), Stripe, Inc. (Zahlungsdienstleistungen, USA), Meta Platforms Ireland Limited (Werbe- und Reichweitenmessung, Irland) sowie Google Ireland Limited (Webanalyse, Irland).

Soweit dabei eine Verarbeitung außerhalb der EU beziehungsweise des EWR stattfindet, erfolgt diese auf Grundlage der EU-Standardvertragsklauseln (SCC) gemäß Ziffer 9 dieser Vereinbarung.

Die jeweils aktuelle und vollständige Liste dieser Unterauftragsverarbeiter einschließlich Anschriften, Zwecken und Datenschutzhinweisen ist abrufbar unter: https://businessboost.one/bbo-avv

Der Auftraggeber stimmt dem Einsatz dieser Unterauftragsverarbeiter zu. Änderungen werden dem Auftraggeber nach Ziffer 8.3 dieser Vereinbarung mitgeteilt.

Ein aktueller Stand der Unterauftragsverarbeiter wird dem Auftraggeber auf Anfrage zur Verfügung gestellt.