Vereinbarung zur Auftragsverarbeitung (DPA)

Vereinbarung zur Auftragsverarbeitung zwischen dem "Auftraggeber", "Verantwortlichen" oder "Kunden" und der Orbium Ventures UG (haftungsbeschränkt), nachfolgend "Auftragnehmer", "Auftragsverarbeiter", "Orbium" oder "ONE LOOP" genannt.

1. Präambel, Geltungsbereich und Definitionen

1.1 Diese Vereinbarung zur Auftragsverarbeitung ("DPA") regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit der Bereitstellung und Nutzung der Plattform "ONE LOOP" sowie der damit verbundenen digitalen Dienstleistungen, Integrationen, Automationen, Beratungs-, Support- und Implementierungsleistungen.

1.2 Diese DPA gilt für alle aktuellen und zukünftigen Aufträge, Angebote, Leistungsbeschreibungen, Abonnements, Projektvereinbarungen, Einzelverträge und sonstigen Vertragsbeziehungen zwischen den Parteien, soweit der Auftragsverarbeiter personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet.

1.3 Der Verantwortliche ist Verantwortlicher im Sinne von Art. 4 Nr. 7 DSGVO. Der Auftragsverarbeiter ist Auftragsverarbeiter im Sinne von Art. 4 Nr. 8 DSGVO, soweit er personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen verarbeitet.

1.4 Begriffe wie "personenbezogene Daten", "Verarbeitung", "betroffene Person", "Verantwortlicher", "Auftragsverarbeiter", "Unterauftragsverarbeiter", "Drittland" und "Verletzung des Schutzes personenbezogener Daten" haben die ihnen in der DSGVO zugewiesene Bedeutung.

1.5 Diese DPA gilt nicht für Verarbeitungstätigkeiten, bei denen der Auftragsverarbeiter personenbezogene Daten zu eigenen Zwecken als Verantwortlicher verarbeitet, insbesondere für Vertragsverwaltung, Buchhaltung, Rechnungsstellung, Zahlungsabwicklung, Forderungsmanagement, interne Sicherheit, Produktverbesserung im rechtlich zulässigen Umfang, Kommunikation mit den Ansprechpartnern des Verantwortlichen und die Erfüllung eigener rechtlicher Pflichten des Auftragsverarbeiters. Eine solche Verarbeitung richtet sich nach der Datenschutzerklärung des Auftragsverarbeiters, abrufbar unter https://one-loop.de/de/privacy, sofern keine andere URL mitgeteilt wird.

1.6 Wenn der Verantwortliche Drittplattformen, Werbenetzwerke, Social-Media-Plattformen, Zahlungsdienstleister, Messenger-Dienste, Telefonieanbieter, Kalenderanbieter oder andere externe Dienste über ONE LOOP verbindet, kann der jeweilige Dritte zusätzlich zu einer etwaigen Auftragsverarbeitung als eigenständiger Verantwortlicher oder, sofern einschlägig, als gemeinsam Verantwortlicher handeln. Der Verantwortliche ist dafür verantwortlich, die einschlägigen Verträge, Nutzungsbedingungen, Datenschutzhinweise und Einwilligungserfordernisse gegenüber betroffenen Personen zu prüfen und einzuhalten.

2. Gegenstand der Verarbeitung und Leistungsumfang

2.1 Gegenstand der Verarbeitung ist die Bereitstellung, Konfiguration, Wartung und Weiterentwicklung von ONE LOOP als Plattform für CRM, Lead Management, Marketing- und Vertriebsautomation, Omnichannel-Kommunikation, Terminbuchung, Funnel- und Website-Funktionen, KI-gestützte Automation, Reporting, Reputationsmanagement und Drittintegrationen.

2.2 Die Leistungen können insbesondere die folgenden Tätigkeiten umfassen:

a) Bereitstellung, Betrieb, Administration, Konfiguration, Wartung und technischer Support der ONE LOOP Plattform;

b) Einrichtung und Verwaltung von CRM-Systemen, Pipelines, Kontaktlisten, Segmenten, Tags, benutzerdefinierten Feldern, Aufgaben, Notizen, Kampagnen und Benutzerkonten;

c) Erstellung und Betrieb von Sales Funnels, Landingpages, Websites, Formularen, Umfragen, Buchungsseiten, Zahlungs- und Checkout-Integrationen;

d) Automation von Marketing-, Vertriebs-, Service- und Follow-up-Prozessen über Workflows, Trigger, Webhooks, API-Verbindungen und Drittintegrationen;

e) Kommunikation und Automation über E-Mail, SMS, WhatsApp, Telefonie, Social Media, Chat, Webformulare, Google Business Profile und vergleichbare Kanäle;

f) Nutzung KI-gestützter Funktionen, insbesondere Chatbots, Assistenten, Content-Generierung, Lead Scoring, Antwortvorschläge, automatisierte Nachrichten, Zusammenfassungen und Datenanreicherung;

g) Reputationsmanagement, Bewertungsanfragen, Verwaltung und Beantwortung von Bewertungen, Listings und lokalen Unternehmensprofilen;

h) Reporting, Analysen, Kampagnen-Tracking, Attributionsdaten, Performance-Dashboards und Auswertungen;

i) Projektmanagement, Onboarding, Datenmigration, Beratung, Implementierung, Tests, Qualitätssicherung und laufender Support;

j) Speicherung, Sicherung, Export, Löschung und Wiederherstellung von Daten im Rahmen der vereinbarten Leistungen.

2.3 Der konkrete Umfang der Verarbeitung ergibt sich aus dem jeweiligen Hauptvertrag, Angebot, der Leistungsbeschreibung, dem Bestellformular, Projektplan, den aktivierten Funktionen in ONE LOOP und den dokumentierten Weisungen des Verantwortlichen.

2.4 Diese DPA verpflichtet den Auftragsverarbeiter nicht zur Erbringung von Leistungen außerhalb des vereinbarten Hauptvertrags. Datenschutzbezogene Unterstützungsleistungen, die über den vereinbarten Leistungsumfang hinausgehen, können nach Zeit- und Materialaufwand berechnet werden, soweit dies rechtlich zulässig und nicht bereits in der Hauptleistung enthalten ist.

3. Dauer der Verarbeitung

3.1 Die Verarbeitung erfolgt für die Dauer des jeweiligen Hauptvertrags und, soweit erforderlich, darüber hinaus während gesetzlicher Aufbewahrungs-, Sicherungs- oder Nachweisfristen.

3.2 Nach Ende des Hauptvertrags werden personenbezogene Daten nach Maßgabe von Abschnitt 16 zurückgegeben oder gelöscht, soweit keine gesetzliche Pflicht oder anderweitige zulässige Rechtsgrundlage zur weiteren Speicherung besteht.

4. Art und Zweck der Verarbeitung

4.1 Art der Verarbeitung: Die Verarbeitung kann insbesondere das Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Verändern, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten personenbezogener Daten umfassen.

4.2 Zweck der Verarbeitung ist die Erbringung der vertraglich vereinbarten Leistungen für den Verantwortlichen, insbesondere die zentrale Verwaltung und Automation von Kundenkommunikation, Marketing-, Vertriebs- und Serviceprozessen, Lead-Bearbeitung, Terminbuchung, Kampagnendurchführung, Analysen, Support, Reputationsmanagement, KI-gestützter Unterstützung und technischer Systemintegrationen.

4.3 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen, es sei denn, der Auftragsverarbeiter ist nach Unionsrecht oder deutschem Recht zur Verarbeitung dieser Daten verpflichtet. In einem solchen Fall informiert der Auftragsverarbeiter den Verantwortlichen vor der Verarbeitung über diese rechtliche Anforderung, sofern das betreffende Recht eine solche Information nicht aus wichtigen Gründen des öffentlichen Interesses verbietet.

4.4 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nicht für eigene Werbe-, Profiling- oder Trainingszwecke, es sei denn, dies wurde mit dem Verantwortlichen ausdrücklich in Textform vereinbart und ist rechtlich zulässig.

4.5 Rechtlich erhebliche automatisierte Einzelentscheidungen im Sinne von Art. 22 DSGVO sind von dieser DPA nicht umfasst, es sei denn, sie wurden ausdrücklich vereinbart, vom Verantwortlichen rechtlich bewertet und durch geeignete Weisungen freigegeben.

5. Arten personenbezogener Daten

5.1 Je nach Nutzung der ONE LOOP Leistungen kann die Verarbeitung insbesondere die folgenden Kategorien personenbezogener Daten betreffen:

a) Stammdaten: Name, Vorname, Unternehmen, Position, Adresse, Standort, Kundennummer, Sprache, Zeitzone und vergleichbare Identifikationsdaten;

b) Kontaktdaten: E-Mail-Adresse, Telefonnummer, Mobilnummer, Messenger-Kennung, Social-Media-Profil, Kommunikationskanal, Opt-in- und Opt-out-Status;

c) Kommunikationsdaten: Inhalte von E-Mails, SMS, WhatsApp-Nachrichten, Chats, Formularnachrichten, Social-Media-Nachrichten, Gesprächsnotizen, Anrufprotokolle, Anrufmetadaten und, sofern aktiviert, Anrufaufzeichnungen oder Transkripte;

d) Vertrags-, Interessen- und Geschäftsprozessdaten: Produktinteressen, Vertragsstatus, Angebotsdaten, Bestellinformationen, Supportanfragen, Pipeline-Stufen, Lead-Status, Aufgaben, Notizen, Tags, Scoring, Termine und Kundenhistorie;

e) Marketing- und Kampagnendaten: Kampagnenattribution, UTM-Parameter, Lead-Quelle, Öffnungs-, Klick- und Interaktionsdaten, Bewertungsstatus, Feedback, Präferenzen und Segmentierungsdaten;

f) Nutzungs- und technische Daten: Benutzerkonten, Rollen, Berechtigungen, IP-Adressen, Login-Daten, Geräte- und Browserinformationen, Logdaten, Sicherheitsereignisse, API-Schlüssel, Webhook-Informationen und Systemprotokolle;

g) Website-, Formular- und Funnel-Daten: Formularinhalte, Buchungsdaten, Umfrageantworten, Landingpage-Interaktionen, Checkout-Daten und vergleichbare Informationen, die über digitale Touchpoints eingegeben oder erzeugt werden;

h) zahlungs- und abrechnungsbezogene Daten: Zahlungsstatus, Abonnementstatus, Transaktions-IDs, Rechnungsreferenzen, gekaufte Produkte, Metadaten zur Zahlungsmethode und Checkout-Informationen, soweit dies für die aktivierten Zahlungsfunktionen erforderlich ist;

i) Inhalts- und Mediendaten: Texte, Bilder, Dateien, Dokumente, Audiodaten, Transkripte, Vorlagen, generierte Inhalte, hochgeladene Materialien und Bewertungsinhalte;

j) besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO oder Daten über strafrechtliche Verurteilungen und Straftaten im Sinne von Art. 10 DSGVO nur dann und soweit solche Daten vom Verantwortlichen oder seinen Nutzern bereitgestellt, importiert, verbunden oder anderweitig verfügbar gemacht werden. Solche Daten sind nicht als Standardverarbeitung vorgesehen und können gesonderte Weisungen und zusätzliche Schutzmaßnahmen erfordern.

5.2 Der Verantwortliche bestimmt, welche personenbezogenen Daten in ONE LOOP hochgeladen, importiert, verbunden, erzeugt oder anderweitig verarbeitet werden. Der Auftragsverarbeiter ist nicht verpflichtet, die materielle Rechtmäßigkeit, Richtigkeit oder Erforderlichkeit der vom Verantwortlichen bereitgestellten personenbezogenen Daten zu prüfen, sofern dies nicht ausdrücklich vereinbart oder gesetzlich vorgeschrieben ist.

6. Kategorien betroffener Personen

6.1 Je nach Nutzung der Leistungen durch den Verantwortlichen können die folgenden Kategorien betroffener Personen betroffen sein:

a) Kunden, potenzielle Kunden, Leads, Interessenten und Website-Besucher des Verantwortlichen;

b) Ansprechpartner bei Geschäftspartnern, Lieferanten, Dienstleistern und Kooperationspartnern des Verantwortlichen;

c) Mitarbeiter, Auftragnehmer, Vertriebsmitarbeiter, Supportmitarbeiter und andere Nutzer oder Teammitglieder des Verantwortlichen;

d) Teilnehmer an Terminen, Veranstaltungen, Webinaren, Kursen, Communities, Umfragen oder Feedbackprozessen;

e) Bewertende Personen, Anrufer, Chat-Nutzer, Messenger-Nutzer, Social-Media-Nutzer und Personen, die über verbundene Kanäle mit dem Verantwortlichen kommunizieren;

f) sonstige Personen, deren personenbezogene Daten durch den Verantwortlichen über ONE LOOP oder verbundene Systeme verarbeitet werden.

7. Pflichten und Verantwortlichkeiten des Verantwortlichen

7.1 Der Verantwortliche bleibt verantwortlich für die Rechtmäßigkeit der Verarbeitung, die Auswahl des Auftragsverarbeiters, die Rechtsgrundlage der Verarbeitung, die Erfüllung von Transparenz- und Informationspflichten, die Bearbeitung von Betroffenenrechten, die Zulässigkeit von Marketingkommunikation sowie die Richtigkeit und Qualität der Daten.

7.2 Der Verantwortliche stellt sicher, dass alle dem Auftragsverarbeiter zur Verfügung gestellten personenbezogenen Daten im Rahmen dieser DPA und des Hauptvertrags rechtmäßig verarbeitet werden dürfen. Dazu gehört, soweit erforderlich, das Einholen wirksamer Einwilligungen, die Dokumentation von Opt-ins und Opt-outs, die Pflege von Sperrlisten und die Einhaltung einschlägiger Anforderungen an Direktmarketing, Telekommunikation, ePrivacy und unlauteren Wettbewerb.

7.3 Der Verantwortliche ist verantwortlich für die Konfiguration und Nutzung des ONE LOOP Kontos, einschließlich Rollen, Berechtigungen, verbundener Integrationen, importierter Daten, Workflows, Kampagnen, Automationen, KI-Funktionen, Kommunikationskanäle, Vorlagen und Nachrichten.

7.4 Der Verantwortliche erteilt dem Auftragsverarbeiter dokumentierte Weisungen und stellt sicher, dass diese Weisungen rechtmäßig, vollständig, klar und technisch umsetzbar sind. Der Verantwortliche benennt weisungsberechtigte Personen und informiert den Auftragsverarbeiter unverzüglich über Änderungen.

7.5 Der Verantwortliche hält Zugangsdaten, API-Schlüssel, Tokens und Administratorkonten vertraulich und setzt in seinem eigenen Verantwortungsbereich geeignete technische und organisatorische Maßnahmen ein, insbesondere sichere Passwörter, soweit verfügbar Multi-Faktor-Authentifizierung, Zugriff nach dem Least-Privilege-Prinzip, sorgfältige Benutzerverwaltung und sichere Endgeräte.

7.6 Der Verantwortliche informiert betroffene Personen, Kunden, Mitarbeiter und sonstige Dritte im gesetzlich erforderlichen Umfang über die Nutzung von ONE LOOP, verbundenen Integrationen, Kommunikationskanälen, KI-Funktionen und etwaige Übermittlungen an Drittanbieter und holt erforderliche Einwilligungen oder Berechtigungen ein.

7.7 Der Verantwortliche weist den Auftragsverarbeiter nicht an, rechtswidrige, übermäßige oder nicht erforderliche Daten zu verarbeiten. Der Verantwortliche sollte die Eingabe besonderer Kategorien personenbezogener Daten vermeiden, sofern dies nicht erforderlich, rechtlich zulässig und durch geeignete Weisungen und Schutzmaßnahmen abgedeckt ist.

8. Pflichten des Auftragsverarbeiters

8.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen und nur für die in dieser DPA, dem Hauptvertrag und der jeweiligen Leistungsbeschreibung beschriebenen Zwecke.

8.2 Der Auftragsverarbeiter stellt sicher, dass zur Verarbeitung personenbezogener Daten befugte Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Personen mit Zugang zu personenbezogenen Daten werden über die einschlägigen datenschutzrechtlichen Anforderungen informiert.

8.3 Der Auftragsverarbeiter setzt geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO um. Die Maßnahmen sind in Anhang 2 beschrieben und sollen ein dem Risiko angemessenes Schutzniveau gewährleisten.

8.4 Unter Berücksichtigung der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen, soweit möglich, bei der Erfüllung der Pflichten des Verantwortlichen zur Beantwortung von Anträgen auf Ausübung der Rechte betroffener Personen nach Kapitel III DSGVO, insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch.

8.5 Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der dem Auftragsverarbeiter zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere Sicherheit der Verarbeitung, Meldung von Verletzungen des Schutzes personenbezogener Daten, Benachrichtigung betroffener Personen, Datenschutz-Folgenabschätzungen und vorherige Konsultation.

8.6 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen die DSGVO oder andere Datenschutzvorschriften der Union oder der Mitgliedstaaten verstößt. Der Auftragsverarbeiter kann die Ausführung der betreffenden Weisung aussetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.

8.7 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die erforderlich sind, um die Einhaltung von Art. 28 DSGVO nachzuweisen, sofern dadurch keine Rechte Dritter, Geschäftsgeheimnisse, Sicherheitsinteressen oder Daten anderer Kunden beeinträchtigt werden.

8.8 Der Auftragsverarbeiter unterhält ein angemessenes Verfahren zur Überwachung, Bewertung und Weiterentwicklung seiner eigenen Datenschutz- und Sicherheitsmaßnahmen. Änderungen der Maßnahmen sind zulässig, sofern das vereinbarte Schutzniveau nicht wesentlich reduziert wird.

9. Weisungsmanagement

9.1 Die anfänglichen Weisungen des Verantwortlichen ergeben sich aus dieser DPA, dem Hauptvertrag, der Leistungsbeschreibung, den aktivierten Plattformfunktionen sowie den vom Verantwortlichen in ONE LOOP vorgenommenen Einstellungen, Konfigurationen und Eingaben.

9.2 Weitere Weisungen können in Textform, per E-Mail, über ein Support-Ticket, Projektmanagement-Tools, dokumentierte Plattform-Einstellungen oder andere vom Auftragsverarbeiter bereitgestellte Kommunikationskanäle erteilt werden.

9.3 Personen, die berechtigt sind, Weisungen im Namen des Verantwortlichen zu erteilen, sind die im Hauptvertrag benannten Ansprechpartner, Administratoren des Kundenkontos und die in Anhang 4 benannten Personen. Der Verantwortliche teilt dem Auftragsverarbeiter Änderungen der Berechtigungen unverzüglich mit.

9.4 Der Auftragsverarbeiter kann die Identität und Befugnis weisungserteilender Personen prüfen. Bei unklaren, widersprüchlichen oder sicherheitskritischen Weisungen kann der Auftragsverarbeiter eine Bestätigung durch eine berechtigte Person verlangen.

10. Technische und organisatorische Maßnahmen

10.1 Der Auftragsverarbeiter gewährleistet durch technische und organisatorische Maßnahmen ein dem Risiko angemessenes Schutzniveau. Diese Maßnahmen berücksichtigen insbesondere die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste sowie die Fähigkeit, den Zugang zu personenbezogenen Daten bei einem physischen oder technischen Zwischenfall zeitnah wiederherzustellen.

10.2 Die konkreten Maßnahmen sind in Anhang 2 beschrieben. Der Auftragsverarbeiter kann alternative oder weiterentwickelte Maßnahmen umsetzen, sofern diese ein gleichwertiges oder höheres Schutzniveau gewährleisten.

10.3 Der Verantwortliche erkennt an, dass die Sicherheit der Verarbeitung auch von den vom Verantwortlichen ausgewählten oder genutzten Einstellungen, Rollen, Berechtigungen, Integrationen, Importen, Exporten, Kommunikationskanälen, Benutzerkonten, Endgeräten und Weisungen abhängt.

11. Unterauftragsverarbeiter und Drittintegrationen

11.1 Der Verantwortliche erteilt dem Auftragsverarbeiter eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern, soweit dies für die Erbringung der ONE LOOP Leistungen, das Hosting, den Plattformbetrieb, Kommunikation, Automation, KI-Funktionen, Support, Zahlungsabwicklung, Sicherheit, Monitoring oder andere vereinbarte Leistungen erforderlich oder zweckmäßig ist.

11.2 Der Auftragsverarbeiter beauftragt Unterauftragsverarbeiter nur, wenn ein Vertrag oder ein anderes Rechtsinstrument besteht, das Datenschutzpflichten auferlegt, die den Pflichten aus dieser DPA im Wesentlichen gleichwertig sind, insbesondere im Hinblick auf Weisungen, Vertraulichkeit, Sicherheit, weitere Unterauftragsverarbeitung, Löschung, Unterstützungspflichten und Drittlandübermittlungen.

11.3 Die zum Zeitpunkt des Abschlusses dieser DPA genehmigten Unterauftragsverarbeiter und Drittintegrationen sind in Anhang 3 aufgeführt.

11.4 Der Auftragsverarbeiter informiert den Verantwortlichen in geeigneter Weise über beabsichtigte Änderungen hinsichtlich der Hinzufügung oder Ersetzung von Unterauftragsverarbeitern, zum Beispiel per E-Mail, Plattformhinweis oder Aktualisierung der Unterauftragsverarbeiterliste. Der Verantwortliche kann innerhalb von 14 Kalendertagen nach Benachrichtigung aus einem wichtigen datenschutzrechtlichen Grund widersprechen.

11.5 Wird ein berechtigter Widerspruch erhoben und kann die Leistung ohne den betreffenden Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand erbracht werden, kann jede Partei den betroffenen Teil der Leistungen oder den Hauptvertrag aus wichtigem Grund kündigen. Bereits entstandene Vergütungsansprüche bleiben unberührt.

11.6 Der Auftragsverarbeiter bleibt gegenüber dem Verantwortlichen für die Einhaltung der datenschutzrechtlichen Pflichten durch beauftragte Unterauftragsverarbeiter verantwortlich, sofern zwingendes Recht nichts anderes vorsieht.

11.7 Reine Nebenleistungen ohne direkten Zugriff auf personenbezogene Daten, die im Auftrag des Verantwortlichen verarbeitet werden, gelten nicht als Unterauftragsverarbeitung im Sinne dieser DPA, insbesondere Post-, Telekommunikations-, Bank-, Steuerberatungs-, Rechtsberatungs-, Versicherungs- oder allgemeine Infrastrukturdienstleistungen. Der Auftragsverarbeiter stellt dennoch ein angemessenes Schutzniveau für solche Nebenleistungen sicher.

12. Drittlandübermittlungen

12.1 Personenbezogene Daten können innerhalb der Europäischen Union, des Europäischen Wirtschaftsraums und in Drittländern verarbeitet werden, soweit dies für die Erbringung der Leistungen erforderlich ist oder sich aus der Nutzung von Unterauftragsverarbeitern, Plattformanbietern, Kommunikationsanbietern, KI-Anbietern, Zahlungsdienstleistern oder Drittintegrationen ergibt.

12.2 Übermittlungen in Drittländer oder an internationale Organisationen erfolgen nur, wenn die Anforderungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses der Europäischen Kommission, geeigneter Garantien nach Art. 46 DSGVO, Standardvertragsklauseln, verbindlicher interner Datenschutzvorschriften oder einer anderen zulässigen Rechtsgrundlage.

12.3 Bei Übermittlungen in die Vereinigten Staaten können sich der Auftragsverarbeiter oder der jeweilige Unterauftragsverarbeiter insbesondere auf eine Zertifizierung nach dem EU-U.S. Data Privacy Framework stützen, sofern der betreffende Empfänger zertifiziert ist, oder auf Standardvertragsklauseln und gegebenenfalls erforderliche zusätzliche Maßnahmen.

12.4 Der Verantwortliche genehmigt die für die beauftragten Unterauftragsverarbeiter und aktivierten Drittintegrationen erforderlichen Drittlandübermittlungen. Der Auftragsverarbeiter führt außerhalb dieses Rahmens keine Drittlandübermittlungen durch, es sei denn, es liegt eine entsprechende Weisung oder gesetzliche Verpflichtung vor.

13. Rechte betroffener Personen

13.1 Wenn sich eine betroffene Person direkt an den Auftragsverarbeiter wendet und erkennbar ist, dass sich die Anfrage auf Daten des Verantwortlichen bezieht, leitet der Auftragsverarbeiter die Anfrage unverzüglich an den Verantwortlichen weiter oder verweist die betroffene Person an den Verantwortlichen, sofern der Auftragsverarbeiter nicht gesetzlich verpflichtet ist, die Anfrage direkt zu bearbeiten.

13.2 Der Auftragsverarbeiter beantwortet Anfragen betroffener Personen nicht eigenständig inhaltlich, es sei denn, der Verantwortliche weist ihn dazu an oder dies ist gesetzlich vorgeschrieben.

13.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen, soweit möglich, bei der Umsetzung von Anträgen auf Auskunft, Berichtigung, Löschung, Einschränkung, Widerspruch und Datenübertragbarkeit. Entsteht dadurch erheblicher Aufwand und besteht keine gesetzliche Pflicht zur unentgeltlichen Unterstützung, kann der Auftragsverarbeiter die Unterstützung nach Zeit- und Materialaufwand berechnen.

14. Meldung und Behandlung von Verletzungen des Schutzes personenbezogener Daten

14.1 Der Auftragsverarbeiter benachrichtigt den Verantwortlichen unverzüglich, nachdem ihm eine Verletzung des Schutzes personenbezogener Daten bekannt geworden ist, die im Auftrag des Verantwortlichen verarbeitete personenbezogene Daten betrifft.

14.2 Die Benachrichtigung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, der betroffenen Daten- und Personenkategorien, der voraussichtlichen Folgen, der bereits ergriffenen oder vorgeschlagenen Maßnahmen, des Zeitpunkts der Feststellung und eine Kontaktstelle für weitere Rückfragen.

14.3 Unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen unterstützt der Auftragsverarbeiter den Verantwortlichen bei der Bewertung und Erfüllung etwaiger Melde- und Benachrichtigungspflichten gegenüber Aufsichtsbehörden und betroffenen Personen.

14.4 Der Auftragsverarbeiter kann geeignete Sofortmaßnahmen ergreifen, um eine Verletzung des Schutzes personenbezogener Daten einzudämmen, Schäden zu begrenzen, Systeme zu schützen oder rechtliche Pflichten zu erfüllen. Der Verantwortliche wird angemessen informiert.

15. Prüfungsrechte und Nachweise

15.1 Der Verantwortliche ist berechtigt, die Einhaltung der Pflichten aus dieser DPA zu überprüfen. Dies erfolgt vorrangig durch Prüfung geeigneter Nachweise, Dokumentationen, Sicherheitsbeschreibungen, Zertifizierungen, Auditberichte, Fragebögen oder anderer vom Auftragsverarbeiter bereitgestellter Informationen.

15.2 Vor-Ort-Audits oder technische Prüfungen sind nur nach vorheriger Abstimmung, mit angemessener Vorankündigung von mindestens 14 Kalendertagen, während der üblichen Geschäftszeiten und unter Wahrung von Vertraulichkeit, Sicherheitsanforderungen, Rechten Dritter, Geschäftsgeheimnissen und Daten anderer Kunden zulässig.

15.3 Audits dürfen den Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigen. Der Verantwortliche darf ein angemessenes Audit pro Kalenderjahr durchführen, sofern kein konkreter Anlass für ein zusätzliches Audit besteht.

15.4 Der Verantwortliche trägt seine eigenen Kosten des Audits. Verursacht das Audit erheblichen Aufwand beim Auftragsverarbeiter, kann der Auftragsverarbeiter diesen Aufwand nach vorheriger Ankündigung zu den vereinbarten Stundensätzen oder angemessenen marktüblichen Sätzen berechnen, soweit dies rechtlich zulässig ist.

16. Berichtigung, Löschung, Einschränkung und Rückgabe

16.1 Der Auftragsverarbeiter berichtigt, löscht oder schränkt die Verarbeitung personenbezogener Daten, die im Auftrag des Verantwortlichen verarbeitet werden, nur auf dokumentierte Weisung des Verantwortlichen ein, sofern der Auftragsverarbeiter nicht gesetzlich dazu verpflichtet ist.

16.2 Während der Vertragslaufzeit kann der Verantwortliche Daten innerhalb der verfügbaren Plattformfunktionen selbst exportieren, berichtigen, löschen oder einschränken, soweit dies technisch bereitgestellt wird.

16.3 Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag des Verantwortlichen verarbeiteten personenbezogenen Daten oder stellt sie, soweit technisch möglich und wirtschaftlich angemessen, in einem gängigen Format zur Verfügung. Der Verantwortliche teilt dem Auftragsverarbeiter die gewünschte Rückgabe oder Löschung rechtzeitig vor Vertragsende mit.

16.4 Gesetzliche Aufbewahrungspflichten, Dokumentationspflichten, handels- und steuerrechtliche Pflichten sowie berechtigte Dokumentationspflichten des Auftragsverarbeiters bleiben unberührt. Solche Daten werden für andere Zwecke gesperrt oder nur im rechtlich zulässigen Umfang weiterverarbeitet.

16.5 Backups werden innerhalb des regulären Backup-Zyklus überschrieben oder gelöscht. Eine gezielte Löschung einzelner Datensätze aus bereits bestehenden Backups ist nicht geschuldet, soweit dies technisch unmöglich oder unverhältnismäßig ist, sofern die Daten bei einer Wiederherstellung erneut gelöscht werden.

17. Vertraulichkeit und Geheimhaltung

17.1 Beide Parteien behandeln alle vertraulichen Informationen, Geschäftsgeheimnisse, Zugangsdaten, Kundendaten, technischen Informationen und personenbezogenen Daten, die sie im Zusammenhang mit dem Vertragsverhältnis erhalten, vertraulich.

17.2 Die Vertraulichkeitspflicht gilt nicht für Informationen, die öffentlich bekannt sind, ohne Pflichtverletzung öffentlich bekannt werden, rechtmäßig von Dritten erlangt wurden oder aufgrund gesetzlicher, behördlicher oder gerichtlicher Pflichten offengelegt werden müssen.

17.3 Die Vertraulichkeitspflichten bestehen auch nach Beendigung dieser DPA fort.

18. Haftung

18.1 Die Haftung der Parteien richtet sich nach den Bestimmungen des Hauptvertrags, sofern diese DPA keine zwingenden datenschutzrechtlichen Regelungen enthält.

18.2 Zwingende gesetzliche Haftung, insbesondere Ansprüche betroffener Personen nach Art. 82 DSGVO, bleibt unberührt.

18.3 Keine Partei haftet für Datenschutzverstöße, soweit diese durch unrichtige, unvollständige oder rechtswidrige Weisungen, fehlerhafte Einstellungen, fehlende Einwilligungen, unzureichende Informationen an betroffene Personen, rechtswidrige Datenimporte oder sonstige Pflichtverletzungen der jeweils anderen Partei verursacht wurden.

19. Änderungen dieser DPA

19.1 Änderungen und Ergänzungen dieser DPA bedürfen der Textform, sofern zwingendes Recht keine strengere Form verlangt. Dies gilt auch für eine Änderung dieses Textformerfordernisses.

19.2 Der Auftragsverarbeiter kann diese DPA, die TOMs und die Unterauftragsverarbeiterliste aktualisieren, wenn dies aufgrund geänderter rechtlicher Anforderungen, technischer Entwicklungen, geänderter Leistungen, neuer Funktionen oder Sicherheitsanforderungen erforderlich ist. Der Verantwortliche wird über wesentliche Änderungen informiert.

19.3 Widerspricht der Verantwortliche einer wesentlichen Änderung aus einem wichtigen datenschutzrechtlichen Grund, bemühen sich die Parteien um eine angemessene Lösung. Ist keine Lösung möglich und betrifft die Änderung einen wesentlichen Teil der Leistungen, kann jede Partei den betroffenen Teil der Leistungen aus wichtigem Grund kündigen.

20. Schlussbestimmungen

20.1 Diese DPA unterliegt deutschem Recht unter Ausschluss des Kollisionsrechts, sofern zwingende Bestimmungen der DSGVO oder des Unionsrechts nichts anderes vorsehen.

20.2 Soweit rechtlich zulässig, ist Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit dieser DPA der Sitz der Orbium Ventures UG (haftungsbeschränkt). Ist der Verantwortliche Verbraucher, gelten die gesetzlichen Gerichtsstände.

20.3 Sollte eine Bestimmung dieser DPA ganz oder teilweise unwirksam oder undurchsetzbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien ersetzen die unwirksame oder undurchsetzbare Bestimmung durch eine wirksame und durchsetzbare Bestimmung, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der ursprünglichen Bestimmung möglichst nahekommt.

20.4 Anhänge zu dieser DPA sind integraler Bestandteil des Vertrags. Bei Widersprüchen zwischen einem Anhang und dem Hauptteil dieser DPA geht der Hauptteil vor, sofern nicht ausdrücklich etwas anderes vorgesehen ist.

Anhang 1 - Beschreibung der Verarbeitung

A1.1 Plattform und Leistungen: ONE LOOP CRM, Marketing- und Vertriebsautomation, Omnichannel-Kommunikation, Lead Management, Terminbuchung, Funnel-/Website-Funktionen, Reputationsmanagement, KI-Funktionen, Reporting, Integrationen, Support und Projektleistungen.

A1.2 Zwecke: Erbringung der vertraglich vereinbarten Leistungen, Verwaltung und Automation von Kundenkommunikation, Lead-Bearbeitung, Vertriebsprozessen, Marketingkampagnen, Serviceprozessen, Buchungen, Feedback, Bewertungen, Reporting und KI-gestützter Unterstützung.

A1.3 Verarbeitungsvorgänge: Erhebung, Erfassung, Speicherung, Strukturierung, Verknüpfung, Segmentierung, Anzeige, Übermittlung, Synchronisierung, Auswertung, Automation, Generierung, Export, Löschung und Sicherung personenbezogener Daten.

A1.4 Arten von Daten: siehe Abschnitt 5 dieser DPA.

A1.5 Betroffene Personen: siehe Abschnitt 6 dieser DPA.

A1.6 Häufigkeit: fortlaufend während der Nutzung der Plattform, aktivierter Workflows, Integrationen, Kampagnen, Importe, Exporte, Supportfälle und Projektleistungen.

A1.7 Datenquellen: Eingaben durch den Verantwortlichen, Importe, Formulare, Websites, Landingpages, Kommunikationskanäle, APIs, Webhooks, Drittintegrationen, Nutzerhandlungen, Systemereignisse und vom Verantwortlichen verbundene Datenquellen.

A1.8 Speicherort: abhängig von den genutzten Funktionen und Unterauftragsverarbeitern innerhalb der EU/des EWR und in Drittländern auf Grundlage zulässiger Übermittlungsmechanismen gemäß Abschnitt 12.

Anhang 2 - Technische und organisatorische Maßnahmen

A2.1 Vertraulichkeit - Zutrittskontrolle: Der Auftragsverarbeiter nutzt Büro- und Arbeitsumgebungen, die durch geeignete Maßnahmen gegen unbefugten physischen Zutritt geschützt sind, wie verschlossene Räume, Zugangsbeschränkungen und Besucherregelungen, soweit dies im Verantwortungsbereich des Auftragsverarbeiters liegt.

A2.2 Vertraulichkeit - Zugangskontrolle: Der Zugang zu Systemen wird durch persönliche Benutzerkonten, starke Passwörter, rollenbasierte Berechtigungen und, soweit verfügbar, Multi-Faktor-Authentifizierung geschützt. Endgeräte werden durch Passcodes, automatische Sperrung, aktuelle Betriebssysteme, Viren-/Malware-Schutz, Firewall und Verschlüsselung geschützt.

A2.3 Vertraulichkeit - Zugriffskontrolle: Berechtigungen werden nach dem Need-to-know- und Least-Privilege-Prinzip vergeben. Administratorrechte werden auf das erforderliche Minimum beschränkt. Rollen und Berechtigungen werden dokumentiert und angepasst oder entzogen, wenn die Berechtigung endet.

A2.4 Vertraulichkeit - Mandantentrennung: Kundendaten werden logisch getrennt verarbeitet, insbesondere durch separate Kundenkonten, Unterkonten, Rollen, Berechtigungen und systembasierte Zugriffsbeschränkungen. Eine Vermischung von Kundendaten ist nicht vorgesehen.

A2.5 Integrität - Übertragungskontrolle: Datenübertragungen werden, soweit technisch möglich, mittels HTTPS/TLS, sicheren APIs, authentifizierten Webhooks oder vergleichbaren Schutzmechanismen verschlüsselt. Zugangsdaten, API-Schlüssel und Tokens werden vertraulich behandelt und nicht unverschlüsselt an unbefugte Dritte weitergegeben.

A2.6 Integrität - Eingabekontrolle: Systeme erfassen, soweit verfügbar, relevante Eingaben, Änderungen, Logins, Systemereignisse und administrative Tätigkeiten. Verantwortlichkeiten und Verarbeitungshistorien können abhängig von der Plattformfunktion nachvollziehbar sein.

A2.7 Verfügbarkeit und Belastbarkeit: Der Auftragsverarbeiter nutzt Plattform- und Hostinganbieter mit angemessenen Sicherheits-, Backup- und Verfügbarkeitsmaßnahmen. Für eigene Systeme implementiert der Auftragsverarbeiter angemessene Backup-, Wiederherstellungs-, Update- und Monitoringprozesse, soweit diese in seinem Verantwortungsbereich liegen.

A2.8 Wiederherstellungsfähigkeit: Im Fall eines technischen Zwischenfalls werden angemessene Maßnahmen ergriffen, um die Verfügbarkeit und den Zugang zu personenbezogenen Daten wiederherzustellen. Wiederherstellungszeiten können von den genutzten Plattform- und Hostinganbietern abhängen.

A2.9 Regelmäßige Überprüfung: Sicherheits- und Datenschutzmaßnahmen werden regelmäßig überprüft und bei Bedarf angepasst. Dies umfasst insbesondere Berechtigungsprüfungen, Updates, Anbieterprüfungen, Prüfung von Unterauftragsverarbeitern, Prozessanpassungen und Dokumentation wesentlicher Änderungen.

A2.10 Auftragskontrolle: Mit wesentlichen Unterauftragsverarbeitern werden Vereinbarungen zur Auftragsverarbeitung abgeschlossen, soweit sie personenbezogene Daten im Auftrag des Auftragsverarbeiters verarbeiten. Unterauftragsverarbeiter werden nach Eignung, Sicherheitsniveau und Relevanz für die Leistung ausgewählt.

A2.11 Datenminimierung und Speicherbegrenzung: Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur innerhalb des vereinbarten Zwecks und nach den Weisungen des Verantwortlichen. Der Verantwortliche kann Daten innerhalb der Plattformfunktionen löschen, exportieren oder einschränken. Daten werden nach Vertragsende gemäß Abschnitt 16 behandelt.

A2.12 KI- und Automationsfunktionen: KI-Funktionen werden nur innerhalb aktivierter Funktionen, Integrationen oder Weisungen genutzt. Kundendaten werden vom Auftragsverarbeiter nicht für eigenes Training von KI-Modellen verwendet, sofern nicht ausdrücklich etwas anderes vereinbart wurde. Ergebnisse von KI-Systemen müssen vor rechtlich relevanter Nutzung durch den Verantwortlichen geprüft werden.

A2.13 Organisation und Personal: Personen mit Zugang zu personenbezogenen Daten sind zur Vertraulichkeit verpflichtet und mit den relevanten Datenschutz- und Sicherheitsanforderungen vertraut gemacht. Onboarding und Offboarding berücksichtigen die Erteilung und den Entzug von Zugängen.

A2.14 Physische Datenträger und Papierdokumente: Soweit physische Datenträger oder Papierdokumente mit personenbezogenen Daten verwendet werden, werden diese sicher aufbewahrt und datenschutzkonform vernichtet, sobald sie nicht mehr benötigt werden.

Anhang 3 - Genehmigte Unterauftragsverarbeiter und Drittintegrationen

A3.1 Der Verantwortliche genehmigt die Nutzung der unten aufgeführten Anbieter, soweit sie für die vereinbarten Leistungen genutzt oder vom Verantwortlichen aktiviert werden.

A3.2 Nicht jeder Anbieter wird für jeden Kunden genutzt. Die konkrete Nutzung hängt von gebuchten Modulen, aktivierten Integrationen, verbundenen Konten, Kommunikationskanälen, Zahlungsfunktionen und Projektleistungen ab.

A3.3 Handelt ein Anbieter nicht als Unterauftragsverarbeiter, sondern als eigenständiger Verantwortlicher oder gemeinsam Verantwortlicher, dient dieser Anhang als Transparenzhinweis zur möglichen Drittintegration. Der Verantwortliche ist dafür verantwortlich, etwaig zusätzlich erforderliche Verträge mit solchen Anbietern zu prüfen und abzuschließen.

Genehmigte Anbieter:

Hosting-/Serveranbieter, z. B. Hostinger-Gruppe oder vergleichbarer Anbieter | Zweck: Hosting, Serverbetrieb, n8n, Webhooks, Automationen, technische Infrastruktur | Standort/Übermittlung: EU/EWR oder Drittland abhängig von der ausgewählten Region; SCCs/Angemessenheitsbeschluss, soweit erforderlich | Nutzung: wenn technische Infrastruktur oder Automation betrieben wird

Twilio Inc. / Twilio Ireland Ltd. oder vergleichbarer Kommunikationsanbieter | Zweck: SMS, Telefonie, WhatsApp, Nummernverwaltung, Messaging- und Voice-Funktionen | Standort/Übermittlung: EU/USA/andere Länder; SCCs/DPF, soweit erforderlich | Nutzung: optional, wenn SMS-, Telefonie- oder WhatsApp-Funktionen aktiviert sind

E-Mail-Versandanbieter, z. B. Mailgun, SMTP-Anbieter oder vergleichbare Anbieter | Zweck: E-Mail-Versand, Zustellbarkeit, transaktionale und Marketing-E-Mails | Standort/Übermittlung: EU/USA/andere Länder; SCCs/DPF, soweit erforderlich | Nutzung: optional abhängig von der E-Mail-Konfiguration

OpenAI Ireland Ltd. / OpenAI, L.L.C. oder vergleichbarer KI-Anbieter | Zweck: KI-gestützte Textgenerierung, Chatbots, Zusammenfassungen, Klassifizierung, Antwortvorschläge, Datenextraktion | Standort/Übermittlung: EU/USA/andere Länder; SCCs/DPF, soweit erforderlich | Nutzung: optional, wenn KI-Funktionen aktiviert sind

Stripe Payments Europe Ltd. / Stripe-Gruppe | Zweck: Checkout, Zahlungsstatus, Rechnungsstellung und Zahlungsabwicklung, Abonnementinformationen | Standort/Übermittlung: EU/USA/andere Länder; SCCs/DPF, soweit erforderlich | Nutzung: optional, wenn Zahlungsintegration aktiviert ist

Meta Platforms Ireland Ltd. / Meta Platforms, Inc. | Zweck: WhatsApp Business, Facebook, Instagram, Lead Ads, Messenger, Social-Media-Integrationen | Standort/Übermittlung: EU/USA/andere Länder; Meta kann als eigenständiger Verantwortlicher handeln | Nutzung: optional, wenn Meta-Kanäle verbunden sind

Google Ireland Ltd. / Google LLC | Zweck: Google Business Profile, Google Ads, Google Analytics, Google Calendar, OAuth, Maps, Bewertungen, reCAPTCHA | Standort/Übermittlung: EU/USA/andere Länder; Google kann als eigenständiger Verantwortlicher handeln | Nutzung: optional, wenn Google-Dienste verbunden sind

Make, Zapier, n8n oder vergleichbare Automationsanbieter | Zweck: Workflow-Automation, API-Verbindungen, Datenübertragungen zwischen Systemen | Standort/Übermittlung: EU/USA/andere Länder abhängig vom Anbieter; SCCs/DPF, soweit erforderlich | Nutzung: optional abhängig vom Projekt-Setup

Anbieter der ONE LOOP Plattform-Infrastruktur | Zweck: CRM, Automation, Kommunikation, Mandantenbereiche, Workflows, Reporting und Integrationen | Standort/Übermittlung: EU/EWR, USA oder andere vertraglich zulässige Standorte; Angemessenheitsbeschluss, DPF/SCCs oder gleichwertige Garantien, soweit erforderlich | Nutzung: Kerninfrastruktur der ONE LOOP Plattform

Buchhaltungs-, Rechnungsstellungs- und Support-Tools, z. B. Lexware, sevDesk, Helpdesk- oder Ticketing-Anbieter | Zweck: Rechnungsstellung, Support, Kundenkommunikation, Projektmanagement | Standort/Übermittlung: EU/EWR oder Drittland abhängig vom Anbieter | Nutzung: wenn für Vertrags- oder Supportbearbeitung erforderlich; teilweise eigenständige Verantwortlichkeit

Anhang 4 - Kontakte und Weisungsbefugnis

A4.1 Zusätzliche Administratoren des Kundenkontos gelten als weisungsberechtigt, sofern der Verantwortliche dem Auftragsverarbeiter nichts anderes mitteilt.

A4.2 Ansprechpartner des Auftragsverarbeiters für Datenschutz und Weisungen: Orbium Ventures UG (haftungsbeschränkt), hi@one-loop.de

A4.3 Änderungen von Ansprechpartnern oder weisungsberechtigten Personen müssen der jeweils anderen Partei unverzüglich in Textform mitgeteilt werden.