Auftragsverarbeitung (Team-Modul).
Anlage zu den AGB für Storyline Akquise. Sie wird mit der Buchung des Team-Moduls Vertragsbestandteil.
zwischen dem Kunden (Verantwortlicher, nachfolgend „Kunde“)
und Tamara Henschke, Einzelunternehmen unter der Bezeichnung „Storyline Design“, Türnenstrasse 22, 78647 Trossingen (Auftragsverarbeiter, nachfolgend „Anbieter“)
1. Gegenstand und Dauer
(1) Der Anbieter betreibt für das Team-Modul einen Server, über den die Programme der Team-Mitglieder ihre Daten abgleichen. Dabei verarbeitet er personenbezogene Daten im Auftrag des Kunden.
(2) Die Vereinbarung gilt, solange der Kunde das Team-Modul nutzt, und darüber hinaus, bis die Daten nach Ziffer 8 gelöscht sind.
2. Art, Zweck und Umfang der Verarbeitung
(1) Zweck ist ausschließlich, die Leads und gemeinsamen Einstellungen eines Teams zwischen den Programmen seiner Mitglieder zu speichern und abzugleichen sowie die Nachrichten des Team-Chats zwischen den Mitgliedern zu übermitteln.
(2) Arten der Verarbeitung: Speichern, Übermitteln an die Programme der Team-Mitglieder, Überschreiben bei Änderungen, Löschen.
(3) Arten personenbezogener Daten:
- Daten zu Betrieben und deren Ansprechpartnern, die der Kunde im Programm anlegt: Name, Funktion, Telefonnummer, E-Mail-Adresse, Anschrift, Website, Social-Media-Profile,
- Notizen, Gesprächsergebnisse, Wiedervorlagen und der Verlauf eines Leads, gegebenenfalls mit Ergebnissen von Prüfungen und Texten des Vertriebs-Co-Piloten,
- Anzeigenamen der Team-Mitglieder und die Angabe, wer welche Änderung vorgenommen hat,
- der Team-Code und die gemeinsamen Einstellungen (etwa Pipeline-Spalten),
- Nachrichten im Team-Chat: Text, Anzeigename des Absenders und Zeitpunkt.
(4) Kategorien betroffener Personen: Ansprechpartner und Inhaber der Betriebe, die der Kunde als Leads führt; Mitglieder des Teams des Kunden.
(5) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht vorgesehen. Der Kunde legt solche Daten nicht in Notizen ab.
3. Weisungen
(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Die Weisungen ergeben sich aus dieser Vereinbarung und aus der Nutzung der Funktionen des Programms (Anlegen, Ändern, Löschen von Leads, Verlassen eines Teams). Weitere Weisungen erteilt der Kunde in Textform.
(2) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin.
4. Pflichten des Anbieters
(1) Der Anbieter verarbeitet die Daten nicht für eigene Zwecke und gibt sie nicht an Dritte weiter, außer an die Unterauftragsverarbeiter nach Ziffer 6.
(2) Personen, die beim Anbieter Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet.
(3) Der Anbieter trifft die technischen und organisatorischen Maßnahmen der Anlage.
(4) Der Anbieter unterstützt den Kunden im Rahmen des Zumutbaren bei der Erfüllung der Rechte betroffener Personen (Art. 12 bis 22 DSGVO) und bei seinen Pflichten nach Art. 32 bis 36 DSGVO. Die meisten Anfragen kann der Kunde selbst erfüllen, weil er Leads im Programm ändern und löschen kann.
(5) Der Anbieter meldet dem Kunden eine Verletzung des Schutzes der Daten unverzüglich, nachdem sie ihm bekannt geworden ist, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.
(6) Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen nach vorheriger Abstimmung zu üblichen Geschäftszeiten. Dafür kann er eine angemessene Vergütung verlangen, soweit der Aufwand über eine Auskunft in Textform hinausgeht.
5. Pflichten des Kunden
Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Erhebung der Daten, die Information der betroffenen Personen und die Zulässigkeit seiner Kontaktaufnahme. Er informiert den Anbieter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten feststellt.
6. Unterauftragsverarbeiter
(1) Der Kunde stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:
| Unternehmen | Leistung | Ort der Verarbeitung |
|---|---|---|
| Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA | Betrieb des Servers und der Datenbank (Cloudflare Pages Functions, Cloudflare D1) | Speicherort der Datenbank laut Cloudflare Westeuropa. Übermittlungen in die USA sind möglich; Cloudflare ist nach dem EU-U.S. Data Privacy Framework zertifiziert, zusätzlich gelten EU-Standardvertragsklauseln. |
(2) Der Anbieter informiert den Kunden mindestens vier Wochen vorher in Textform, wenn er einen Unterauftragsverarbeiter hinzuziehen oder ersetzen will. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann er das Team-Modul zum Zeitpunkt der Änderung kündigen.
(3) Der Anbieter verpflichtet Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das dieser Vereinbarung entspricht.
7. Ort der Verarbeitung
Eine Verarbeitung außerhalb der EU und des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.
8. Löschung und Rückgabe
(1) Verlässt das letzte Mitglied ein Team, löscht der Anbieter die Daten des Teams sofort. Endet das Team-Modul des Kunden, ohne dass das Team verlassen wurde, löscht der Anbieter die Daten spätestens 30 Tage danach.
(2) Nachrichten im Team-Chat löscht der Anbieter automatisch 30 Tage nach dem Senden. Gelöschte Leads liegen sieben Tage mit ihren Daten im gemeinsamen Papierkorb des Teams, damit jedes Mitglied sie zurückholen kann. Danach löscht der Anbieter die Lead-Daten und behält nur die Kennung des Leads, damit die Löschung auch Geräte erreicht, die länger nicht verbunden waren.
(3) Eine Rückgabe der Daten ist nicht nötig, weil jedes Mitglied eine vollständige Kopie der Team-Daten in seinem Programm hat und diese jederzeit exportieren kann.
(4) Sicherungskopien beim Unterauftragsverarbeiter werden nach dessen Fristen überschrieben (Wiederherstellungspunkte der Datenbank, höchstens 30 Tage).
9. Haftung
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.
Anlage: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
Vertraulichkeit
- Übertragung ausschließlich verschlüsselt über HTTPS (TLS).
- Zugriff auf die Daten eines Teams nur mit einem gültigen, zeitlich begrenzten Ticket einer Lizenz, die Mitglied dieses Teams ist. Ein Beitritt ist nur mit dem Team-Code möglich.
- Anmeldung im Programm mit E-Mail-Adresse und Passwort; Passwörter werden nur als Hash mit Salt gespeichert.
- Zugriff auf die Datenbank nur über persönliche, passwortgeschützte Zugänge der Inhaberin und der von ihr befugten, zur Vertraulichkeit verpflichteten Personen (derzeit Tamara Henschke und Eugen Knecht); keine Weitergabe von Zugangsdaten.
- Keine Auswertung der Team-Daten und Chat-Nachrichten für eigene Zwecke.
- Chat-Nachrichten sind nur für Mitglieder desselben Teams abrufbar; je Lizenz höchstens 30 Nachrichten pro Minute.
Integrität
- Jede Änderung wird mit Zeitstempel und dem Anzeigenamen des ändernden Mitglieds gespeichert.
- Gelöschte Leads kommen für sieben Tage in den gemeinsamen Papierkorb aller Mitglieder und verschwinden danach auf allen Geräten; auf dem Server bleibt nur die Kennung.
Verfügbarkeit und Belastbarkeit
- Betrieb auf der Infrastruktur von Cloudflare mit deren Redundanz und Wiederherstellungsfunktionen für die Datenbank.
- Jedes Programm hält eine vollständige Kopie der Team-Daten lokal vor und legt tägliche Sicherungen an.
Verfahren zur regelmäßigen Überprüfung
- Überprüfung der Maßnahmen bei jeder wesentlichen Änderung des Team-Moduls, mindestens einmal jährlich.