1. Parteien und Gegenstand

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird geschlossen zwischen dem Kunden (Verantwortlicher, nachfolgend „Auftraggeber“) und Strattons Oakmont LLC, 1501 South Greeley Highway, Suite C, 82007 Cheyenne, Wyoming, United States of America (Auftragsverarbeiterin, nachfolgend „Auftragnehmerin“).

Ansprechpartnerin für die EU und die Schweiz nach Art. 27 DSGVO bzw. Art. 14 revDSG ist Grenzenlos Limited, 77 Camden Street Lower, Dublin 2, D02 XE80, Irland (mail@grenzenlos.ie).

Gegenstand ist die Verarbeitung personenbezogener Daten durch die Auftragnehmerin im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Dealmaker-CRM-Plattform als Software-as-a-Service. Der AVV konkretisiert den zugrunde liegenden Hauptvertrag (Nutzungsbedingungen) und geht diesem in Datenschutzfragen vor.

2. Art, Zweck und Dauer der Verarbeitung

Art der Verarbeitung: Erheben, Speichern, Organisieren, Auslesen, Verwenden, Übermitteln, Löschen und Vernichten personenbezogener Daten im Rahmen der vertraglich vereinbarten Funktionen (u. a. Kontakt- und Leadverwaltung, Termin- und Aufgabenverwaltung, Kommunikation per E-Mail und Telefonie, Auswertungen sowie KI-gestützte Assistenzfunktionen).

Zweck: Betrieb, Bereitstellung, Wartung und Support der Plattform ausschließlich nach Weisung des Auftraggebers.

Dauer: Der AVV läuft für die Dauer des Hauptvertrags. Er endet automatisch mit dessen Beendigung; die Pflichten zur Löschung bzw. Rückgabe (Ziffer 10) bestehen fort.

3. Kategorien betroffener Personen und Daten

• Betroffene Personen: Interessenten und Leads, Kundinnen und Kunden des Auftraggebers, Ansprechpersonen bei Geschäftspartnern, Beschäftigte und Nutzerinnen und Nutzer des Auftraggebers.
• Stammdaten: Name, Anrede, Funktion, Firmenzugehörigkeit, Anschrift.
• Kontaktdaten: E-Mail-Adressen, Telefonnummern, Messenger-Kennungen.
• Vertrags- und Vorgangsdaten: Angebote, Deals, Aufgaben, Termine, Notizen, Dokumente.
• Kommunikationsdaten: E-Mail-Inhalte, Telefonie-Metadaten sowie — nur bei ausdrücklicher Aktivierung — Gesprächsaufzeichnungen und Transkripte.
• Nutzungs- und Protokolldaten: Anmeldungen, IP-Adressen, Zeitstempel, Aktivitätsprotokolle.

4. Weisungsrecht des Auftraggebers

Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf Übermittlungen in Drittländer, sofern nicht eine Rechtsvorschrift der Union oder der Mitgliedstaaten sie dazu verpflichtet.

Einzelweisungen erfolgen in Textform an die in Ziffer 1 genannte Ansprechpartnerin. Die Konfiguration der Plattform durch berechtigte Nutzerinnen und Nutzer des Auftraggebers gilt als Weisung.

Die Auftragnehmerin informiert den Auftraggeber unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt. Sie darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

5. Vertraulichkeit und Personal

Die Auftragnehmerin setzt für die Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Der Zugriff wird nach dem Grundsatz der Erforderlichkeit („need to know“) vergeben, dokumentiert und regelmäßig überprüft. Beschäftigte werden regelmäßig zum Datenschutz und zur Datensicherheit geschult.

6. Technische und organisatorische Maßnahmen (Anlage 1)

Die Auftragnehmerin trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen und hält sie während der Vertragslaufzeit aufrecht. Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

• Verschlüsselung: TLS 1.2+ für sämtliche Übertragungen, Verschlüsselung der Daten im Ruhezustand.
• Zugangs- und Zugriffskontrolle: individuelle Konten, rollen- und berechtigungsbasierte Zugriffe, Mehr-Faktor-Authentisierung für administrative Zugänge.
• Mandantentrennung: logische Trennung der Kundeninstanzen auf Datenbankebene mittels zeilenbasierter Sicherheitsregeln (Row Level Security).
• Eingabekontrolle: revisionssichere Audit-Protokolle über sicherheits- und datenschutzrelevante Vorgänge.
• Verfügbarkeit: Monitoring und Alarmierung. Das Sicherungs- und Wiederherstellungskonzept inklusive Wiederherstellungstest wird derzeit verbindlich nachgewiesen; der aktuelle Stand ist im internen Audit-Verzeichnis dokumentiert.
• Belastbarkeit und Trennung: getrennte Umgebungen für Entwicklung, Test und Produktion.
• Löschkonzept: konfigurierbare Aufbewahrungsregeln je Datenkategorie in der Administrationsebene.
• Datenschutz durch Technikgestaltung: Voreinstellungen mit Datensparsamkeit, Souveränitätsmodus zur Beschränkung auf EU-Verarbeitung.

7. Unterauftragsverarbeiter (Anlage 2)

Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die jeweils aktuelle Übersicht ist im Subprozessor-Register der Plattform einsehbar und Bestandteil dieses AVV.

Die Auftragnehmerin verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem AVV entspricht, und bleibt gegenüber dem Auftraggeber verantwortlich.

8. Ankündigung von Änderungen bei Unterauftragsverarbeitern und Widerspruchsrecht

Die Auftragnehmerin kündigt jede beabsichtigte Änderung bei Unterauftragsverarbeitern — das Hinzufügen, das Ersetzen sowie eine wesentliche Änderung des Verarbeitungsorts oder des Transfermechanismus — mindestens 14 Kalendertage vor dem Wirksamwerden an. Bei einem unvorhersehbaren Ausfall oder einer sicherheitsrelevanten Dringlichkeit darf die Änderung ausnahmsweise sofort erfolgen; die Ankündigung wird dann unverzüglich nachgeholt und ausdrücklich als Eilfall gekennzeichnet.

Die Ankündigung erfolgt aktiv in Textform an die vom Auftraggeber hinterlegte Administrationsadresse und zusätzlich in der Anwendung im Subprozessor-Register mit Anbieter, Zweck, Verarbeitungsort, Transfermechanismus, Wirksamkeitsdatum und Ende der Widerspruchsfrist.

Der Auftraggeber kann der Änderung innerhalb der Ankündigungsfrist aus einem datenschutzrechtlich begründeten Anlass in Textform widersprechen. Der Widerspruch ist an die in Ziffer 1 genannte Ansprechpartnerin zu richten (E-Mail genügt); er kann ebenso über die Anwendung im Subprozessor-Register erklärt werden. Jeder Widerspruch wird mit Zeitpunkt, erklärender Person und Begründung protokolliert und dem Auftraggeber bestätigt.

Nach einem fristgerechten Widerspruch suchen die Parteien binnen 14 Tagen eine einvernehmliche Lösung, etwa eine alternative Verarbeitung, eine Beschränkung des Funktionsumfangs oder zusätzliche Garantien. Kommt keine Einigung zustande, steht dem Auftraggeber ein Sonderkündigungsrecht für die betroffene Leistung zum Wirksamkeitsdatum der Änderung zu; bereits im Voraus gezahlte Entgelte werden für den nicht genutzten Zeitraum anteilig erstattet.

Erfolgt kein Widerspruch innerhalb der Frist, gilt die Änderung als genehmigt. Das Recht des Auftraggebers, später aus wichtigem Grund zu widersprechen, bleibt unberührt.

9. Drittlandtransfers

Verarbeitungen finden vorrangig in Rechenzentren in Deutschland und der Schweiz statt. Soweit im Einzelfall eine Übermittlung in ein Drittland erforderlich ist, erfolgt diese nur auf Grundlage eines Angemessenheitsbeschlusses, der EU-Standardvertragsklauseln (Modul 2 bzw. 3) nebst Transfer-Folgenabschätzung oder einer anderen zulässigen Garantie nach Kapitel V DSGVO; für die Schweiz gelten die vom EDÖB anerkannten Fassungen.

Der Auftraggeber kann in der Administrationsebene den Souveränitätsmodus „EU-only“ aktivieren; in diesem Modus werden Verarbeitungen — insbesondere KI-Funktionen — auf Anbieter mit Verarbeitung in der EU beschränkt.

10. Unterstützungspflichten

• Unterstützung bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) durch geeignete technische Funktionen (Auskunft, Export, Berichtigung, Löschung, Einschränkung).
• Unterstützung bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO) durch Bereitstellung der erforderlichen Informationen.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Angaben.
• Führen eines Verzeichnisses aller Kategorien von Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).

11. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht die Auftragnehmerin die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Der Auftraggeber kann seine Daten während der Vertragslaufzeit und innerhalb von 30 Tagen nach Vertragsende jederzeit selbst exportieren. Danach erfolgt die Löschung aus den Produktivsystemen innerhalb von 30 Tagen und aus den Sicherungen im Rahmen der Rotationszyklen von längstens 90 Tagen.

12. Nachweise und Kontrollrechte

Die Auftragnehmerin stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung — vorrangig durch Selbstauskünfte, Beschreibungen der technischen und organisatorischen Maßnahmen sowie vorhandene Prüfberichte.

Darüber hinausgehende Überprüfungen vor Ort sind nach angemessener Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten, höchstens einmal jährlich und ohne Betriebsstörung zulässig; anlassbezogene Prüfungen bleiben unberührt. Prüferinnen und Prüfer dürfen keine Wettbewerber sein und sind zur Verschwiegenheit zu verpflichten.

13. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO sowie im Übrigen die Haftungsregelung des Hauptvertrags.

Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, für die Erfüllung der Informationspflichten gegenüber betroffenen Personen sowie für erforderliche Einwilligungen — insbesondere bei Gesprächsaufzeichnungen — verantwortlich.

Änderungen und Ergänzungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Dieser AVV wird digital abgeschlossen. Der Abschluss wird mit Fassung, Zeitstempel, Angaben zur zeichnenden Person sowie technischen Nachweisdaten protokolliert und bleibt für den Auftraggeber jederzeit einsehbar.