Auftragsverarbeitervereinbarung (AVV)

1. Gegenstand und Laufzeit

1.1 Diese Auftragsverarbeitervereinbarung („AVV") regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der getProspects-SaaS-Plattform, wie in den Nutzungsbedingungen näher beschrieben.

1.2 Die AVV wird für die Dauer des Vertragsverhältnisses zwischen dem Verantwortlichen und dem Auftragsverarbeiter geschlossen und endet automatisch mit Beendigung des Hauptvertrags.

1.3 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch geltendes Schweizer oder EU-Recht dazu verpflichtet ist. In einem solchen Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern dies nicht gesetzlich untersagt ist.

2. Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet im Auftrag des Verantwortlichen folgende Kategorien personenbezogener Daten:

• Kontaktdaten von Leads und Geschäftskontakten (Name, E-Mail-Adresse, Unternehmen, Position, Telefonnummer)
• Kommunikationsdaten (gesendete E-Mails, Öffnungsraten, Klickverhalten, Antwortstatus)
• Unternehmensdaten (Branche, Unternehmensgröße, Website-URL, LinkedIn-Profil)
• Interaktionsdaten (Videoaufrufe, Link-Klicks, Antworten, Besuche der Sales-Page)
• Vom Nutzer bereitgestellte Inhalte (Textvorlagen, Prompts, hochgeladene Dateien)

Zweck der Verarbeitung: Bereitstellung der getProspects-SaaS-Plattform für Lead-Recherche, E-Mail- und Outreach-Automatisierung, KI-gestützte Personalisierung, Videogenerierung und Kampagnen-Tracking.

Die Kategorien betroffener Personen sind: Leads, Geschäftskontakte und Kunden des Verantwortlichen.

3. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a EU-DSGVO; Art. 9 Abs. 2 Schweizer DSG)
• sicherzustellen, dass zur Verarbeitung personenbezogener Daten befugte Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen
• geeignete technische und organisatorische Maßnahmen (TOM) gemäß Art. 32 EU-DSGVO und Art. 8 Schweizer DSG zu implementieren, wie in Anhang 1 zu dieser AVV dargelegt
• ohne vorherige spezifische oder allgemeine schriftliche Genehmigung des Verantwortlichen keinen weiteren Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen; bei allgemeiner Genehmigung muss der Auftragsverarbeiter den Verantwortlichen über beabsichtigte Änderungen informieren und ihm Gelegenheit zur Einwände-Erhebung geben
• den Verantwortlichen bei der Erfüllung seiner Pflichten im Zusammenhang mit Betroffenenrechten, Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzungen und Konsultationen mit Aufsichtsbehörden zu unterstützen
• nach Wahl des Verantwortlichen alle personenbezogenen Daten nach Beendigung der Dienstleistungserbringung zu löschen oder an den Verantwortlichen zurückzugeben, sofern nicht geltendes Recht eine Speicherung der Daten verlangt
• dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zur Nachweisführung der Einhaltung der in dieser AVV festgelegten Pflichten erforderlich sind, sowie Prüfungen und Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten Prüfer zu ermöglichen und dazu beizutragen

4. Technische und organisatorische Maßnahmen (TOM)

Der Auftragsverarbeiter unterhält folgende Maßnahmen zum Schutz personenbezogener Daten:

• Verschlüsselung: Alle Daten während der Übertragung werden mit TLS 1.2 oder höher (HTTPS) verschlüsselt. Ruhende Daten werden mit AES-256 oder gleichwertig verschlüsselt.
• Zugriffskontrolle: Rollenbasierte Zugriffsrechte, Prinzip der minimalen Rechtevergabe, Multi-Faktor-Authentifizierung für administrativen Zugang.
• Verfügbarkeit: Regelmäßige automatisierte Backups, redundante Infrastruktur, Disaster-Recovery-Verfahren.
• Integrität: Protokollierung von Systemzugriffen und Änderungen; Integritätsprüfungen für kritische Datenoperationen.
• Pseudonymisierung: Personenbezogene Daten werden pseudonymisiert, soweit technisch machbar und angemessen.
• Physische Sicherheit: Daten werden auf Servern in Deutschland (Hetzner Online GmbH) gehostet, die physisch gemäß ISO-27001-Standards gesichert sind.
• Incident-Management: Definierte Verfahren zur Erkennung, Meldung und Verwaltung von Datenpannen.
• Lieferantenmanagement: Unterauftragsverarbeiter sind vertraglich verpflichtet, gleichwertige Datenschutzstandards einzuhalten.

5. Unterauftragsverarbeiter

Der Verantwortliche erteilt eine allgemeine Genehmigung für den Einsatz der folgenden Unterauftragsverarbeiter. Der Auftragsverarbeiter informiert den Verantwortlichen vorab über beabsichtigte Änderungen (Hinzufügung oder Austausch) und gibt dem Verantwortlichen Gelegenheit zur Einwände-Erhebung.

Unterauftragsverarbeiter	Zweck	Sitz	Übermittlungsgrundlage
Hetzner Online GmbH	Server-Hosting	Deutschland (EWR)	Innerhalb EWR
OpenAI LLC	KI-Textgenerierung und Transkription	USA	Standardvertragsklauseln (Art. 46 Abs. 2 lit. c EU-DSGVO; Art. 16 Schweizer DSG)
Microsoft Azure (Microsoft Corporation)	Cloud-Infrastruktur und Dienste	USA	Standardvertragsklauseln; EU-US-Datenschutzrahmen
Stripe Inc.	Zahlungsabwicklung	USA	Standardvertragsklauseln; PCI-DSS-konform
Nylas Inc.	E-Mail-API und Kalenderintegration	USA	Standardvertragsklauseln
DropContact SAS	Lead-Datenanreicherung	Frankreich (EWR)	Innerhalb EWR

6. Internationale Datentransfers

6.1 Werden personenbezogene Daten in Länder außerhalb der Schweiz oder des EWR übermittelt, die kein angemessenes Datenschutzniveau bieten, erfolgen solche Übermittlungen auf Grundlage der EU-Standardvertragsklauseln (SCC) gemäß Art. 46 Abs. 2 lit. c EU-DSGVO und der entsprechenden vom EDÖB nach Art. 16 Schweizer DSG genehmigten Schweizer SCC oder auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission oder des Schweizerischen Bundesrats.

6.2 Der Auftragsverarbeiter führt ein aktuelles Verzeichnis internationaler Datentransfers und stellt dem Verantwortlichen auf Anfrage relevante Transferdokumentation zur Verfügung.

7. Meldung von Datenpannen

7.1 Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich, in jedem Fall jedoch innerhalb von 72 Stunden nach Bekanntwerden, jede Verletzung des Schutzes personenbezogener Daten, die die Daten des Verantwortlichen betrifft.

7.2 Die Meldung enthält mindestens: eine Beschreibung der Art der Verletzung; die Kategorien und die ungefähre Anzahl betroffener Personen und Datensätze; den Namen und die Kontaktdaten des Datenschutzansprechpartners; eine Beschreibung der wahrscheinlichen Folgen; sowie eine Beschreibung der ergriffenen oder vorgeschlagenen Maßnahmen zur Behebung der Verletzung.

7.3 Der Verantwortliche bleibt für die Meldung an die zuständige Aufsichtsbehörde (EDÖB und/oder zuständige EU-Datenschutzbehörde) und betroffene Personen verantwortlich, soweit gesetzlich vorgeschrieben.

8. Rechte betroffener Personen

8.1 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung seiner Pflichten zur Beantwortung von Anfragen betroffener Personen, die ihre Rechte nach dem Schweizer DSG und der EU-DSGVO ausüben (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch).

8.2 Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter.

9. Beendigung und Rückgabe / Löschung von Daten

9.1 Nach Beendigung dieser AVV (und des zugrundeliegenden Hauptvertrags) gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle personenbezogenen Daten in einem gängigen maschinenlesbaren Format an den Verantwortlichen zurück oder löscht sie sicher innerhalb von 30 Tagen, sofern geltendes Recht keine weitere Speicherung verlangt.

9.2 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage eine schriftliche Löschbestätigung zur Verfügung.

9.3 Backup-Kopien werden innerhalb der regulären Backup-Zyklen überschrieben.

10. Prüfungsrechte

10.1 Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zur Nachweisführung der Einhaltung dieser AVV erforderlich sind, einschließlich der in Abschnitt 4 beschriebenen TOM.

10.2 Der Auftragsverarbeiter ermöglicht und unterstützt Prüfungen, einschließlich Inspektionen, durch den Verantwortlichen oder einen von ihm beauftragten Prüfer, sofern der Verantwortliche eine angemessene Vorankündigung (mindestens 14 Kalendertage) macht, die Prüfung den Geschäftsbetrieb des Auftragsverarbeiters nicht unangemessen beeinträchtigt und der Prüfer einer angemessenen Vertraulichkeitsverpflichtung unterliegt. Prüfungskosten trägt der Verantwortliche, sofern die Prüfung keine wesentliche Pflichtverletzung des Auftragsverarbeiters aufdeckt.

11. Anwendbares Recht und Gerichtsstand

11.1 Diese AVV unterliegt dem materiellen Schweizer Recht, insbesondere dem Schweizer Bundesgesetz über den Datenschutz (DSG / nDSG; SR 235.1) und dem Schweizer Obligationenrecht (OR; SR 220).

11.2 Soweit der Verantwortliche in der EU/dem EWR ansässig ist und personenbezogene Daten von EU/EWR-Einwohnern verarbeitet, finden die Bestimmungen der EU-DSGVO parallel Anwendung.

11.3 Ausschließlicher Gerichtsstand für Streitigkeiten aus dieser AVV ist Chur, Kanton Graubünden, Schweiz.

12. Kontakt

Letzte Aktualisierung: Oktober 2025 — © 2025 Shift AI AG – getProspects.io