1. Parteien und Gegenstand

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV“) wird geschlossen zwischen dem Kunden (Verantwortlicher, nachfolgend „Auftraggeber“) und Strattons Oakmont LLC, 1501 South Greeley Highway, Suite C, 82007 Cheyenne, Wyoming, United States of America (Auftragsverarbeiterin, nachfolgend „Auftragnehmerin“).

Ansprechpartnerin für die EU und die Schweiz nach Art. 27 DSGVO bzw. Art. 14 revDSG ist Grenzenlos Limited, 77 Camden Street Lower, Dublin 2, D02 XE80, Irland (mail@grenzenlos.ie).

Gegenstand ist die Verarbeitung personenbezogener Daten durch die Auftragnehmerin im Auftrag des Auftraggebers im Rahmen der Bereitstellung der Dealmaker-CRM-Plattform als Software-as-a-Service. Der AVV konkretisiert den zugrunde liegenden Hauptvertrag (Nutzungsbedingungen) und geht diesem in Datenschutzfragen vor.

2. Art, Zweck und Dauer der Verarbeitung

Art der Verarbeitung: Erheben, Speichern, Organisieren, Auslesen, Verwenden, Übermitteln, Löschen und Vernichten personenbezogener Daten im Rahmen der vertraglich vereinbarten Funktionen (u. a. Kontakt- und Leadverwaltung, Termin- und Aufgabenverwaltung, Kommunikation per E-Mail und Telefonie, Auswertungen sowie KI-gestützte Assistenzfunktionen).

Zweck: Betrieb, Bereitstellung, Wartung und Support der Plattform ausschließlich nach Weisung des Auftraggebers.

Dauer: Der AVV läuft für die Dauer des Hauptvertrags. Er endet automatisch mit dessen Beendigung; die Pflichten zur Löschung bzw. Rückgabe (Ziffer 10) bestehen fort.

3. Kategorien betroffener Personen und Daten

• Betroffene Personen: Interessenten und Leads, Kundinnen und Kunden des Auftraggebers, Ansprechpersonen bei Geschäftspartnern, Beschäftigte und Nutzerinnen und Nutzer des Auftraggebers.
• Stammdaten: Name, Anrede, Funktion, Firmenzugehörigkeit, Anschrift.
• Kontaktdaten: E-Mail-Adressen, Telefonnummern, Messenger-Kennungen.
• Vertrags- und Vorgangsdaten: Angebote, Deals, Aufgaben, Termine, Notizen, Dokumente.
• Kommunikationsdaten: E-Mail-Inhalte, Telefonie-Metadaten sowie — nur bei ausdrücklicher Aktivierung — Gesprächsaufzeichnungen und Transkripte.
• Nutzungs- und Protokolldaten: Anmeldungen, IP-Adressen, Zeitstempel, Aktivitätsprotokolle.

4. Weisungsrecht des Auftraggebers

Die Auftragnehmerin verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich in Bezug auf Übermittlungen in Drittländer, sofern nicht eine Rechtsvorschrift der Union oder der Mitgliedstaaten sie dazu verpflichtet.

Einzelweisungen erfolgen in Textform an die in Ziffer 1 genannte Ansprechpartnerin. Die Konfiguration der Plattform durch berechtigte Nutzerinnen und Nutzer des Auftraggebers gilt als Weisung.

Die Auftragnehmerin informiert den Auftraggeber unverzüglich, wenn sie der Auffassung ist, dass eine Weisung gegen geltendes Datenschutzrecht verstößt. Sie darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

5. Vertraulichkeit und Personal

Die Auftragnehmerin setzt für die Verarbeitung ausschließlich Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

Der Zugriff wird nach dem Grundsatz der Erforderlichkeit („need to know“) vergeben, dokumentiert und regelmäßig überprüft. Beschäftigte werden regelmäßig zum Datenschutz und zur Datensicherheit geschult.

6. Technische und organisatorische Maßnahmen (Anlage 1)

Die Auftragnehmerin trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen und hält sie während der Vertragslaufzeit aufrecht. Maßnahmen dürfen weiterentwickelt werden, sofern das Schutzniveau nicht unterschritten wird.

• Verschlüsselung: TLS 1.2+ für sämtliche Übertragungen, Verschlüsselung der Daten im Ruhezustand, verschlüsselte Backups.
• Zugangs- und Zugriffskontrolle: individuelle Konten, rollen- und berechtigungsbasierte Zugriffe, Mehr-Faktor-Authentisierung für administrative Zugänge.
• Mandantentrennung: logische Trennung der Kundeninstanzen auf Datenbankebene mittels zeilenbasierter Sicherheitsregeln (Row Level Security).
• Eingabekontrolle: revisionssichere Audit-Protokolle über sicherheits- und datenschutzrelevante Vorgänge.
• Verfügbarkeit: regelmäßige Sicherungen, Wiederherstellungstests, Monitoring und Alarmierung.
• Belastbarkeit und Trennung: getrennte Umgebungen für Entwicklung, Test und Produktion.
• Löschkonzept: konfigurierbare Aufbewahrungsregeln je Datenkategorie in der Administrationsebene.
• Datenschutz durch Technikgestaltung: Voreinstellungen mit Datensparsamkeit, Souveränitätsmodus zur Beschränkung auf EU-Verarbeitung.

7. Unterauftragsverarbeiter (Anlage 2)

Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die jeweils aktuelle Übersicht ist im Subprozessor-Register der Plattform einsehbar und Bestandteil dieses AVV.

Die Auftragnehmerin informiert den Auftraggeber über beabsichtigte Änderungen (Hinzufügen oder Ersetzen) mit einer Frist von 30 Tagen. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kann keine einvernehmliche Lösung gefunden werden, steht dem Auftraggeber ein Sonderkündigungsrecht für die betroffene Leistung zu.

Die Auftragnehmerin verpflichtet Unterauftragsverarbeiter auf ein Schutzniveau, das diesem AVV entspricht, und bleibt gegenüber dem Auftraggeber verantwortlich.

8. Drittlandtransfers

Verarbeitungen finden vorrangig in Rechenzentren in Deutschland und der Schweiz statt. Soweit im Einzelfall eine Übermittlung in ein Drittland erforderlich ist, erfolgt diese nur auf Grundlage eines Angemessenheitsbeschlusses, der EU-Standardvertragsklauseln (Modul 2 bzw. 3) nebst Transfer-Folgenabschätzung oder einer anderen zulässigen Garantie nach Kapitel V DSGVO; für die Schweiz gelten die vom EDÖB anerkannten Fassungen.

Der Auftraggeber kann in der Administrationsebene den Souveränitätsmodus „EU-only“ aktivieren; in diesem Modus werden Verarbeitungen — insbesondere KI-Funktionen — auf Anbieter mit Verarbeitung in der EU beschränkt.

9. Unterstützungspflichten

• Unterstützung bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) durch geeignete technische Funktionen (Auskunft, Export, Berichtigung, Löschung, Einschränkung).
• Unterstützung bei Datenschutz-Folgenabschätzungen und vorheriger Konsultation (Art. 35, 36 DSGVO) durch Bereitstellung der erforderlichen Informationen.
• Meldung von Verletzungen des Schutzes personenbezogener Daten an den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Angaben.
• Führen eines Verzeichnisses aller Kategorien von Verarbeitungstätigkeiten im Auftrag (Art. 30 Abs. 2 DSGVO).

10. Löschung und Rückgabe

Nach Beendigung des Hauptvertrags löscht die Auftragnehmerin die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Auftraggebers zurück, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht.

Der Auftraggeber kann seine Daten während der Vertragslaufzeit und innerhalb von 30 Tagen nach Vertragsende jederzeit selbst exportieren. Danach erfolgt die Löschung aus den Produktivsystemen innerhalb von 30 Tagen und aus den Sicherungen im Rahmen der Rotationszyklen von längstens 90 Tagen.

11. Nachweise und Kontrollrechte

Die Auftragnehmerin stellt dem Auftraggeber auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung — vorrangig durch Selbstauskünfte, Beschreibungen der technischen und organisatorischen Maßnahmen sowie vorhandene Prüfberichte.

Darüber hinausgehende Überprüfungen vor Ort sind nach angemessener Vorankündigung von mindestens 14 Tagen, während der üblichen Geschäftszeiten, höchstens einmal jährlich und ohne Betriebsstörung zulässig; anlassbezogene Prüfungen bleiben unberührt. Prüferinnen und Prüfer dürfen keine Wettbewerber sein und sind zur Verschwiegenheit zu verpflichten.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO sowie im Übrigen die Haftungsregelung des Hauptvertrags.

Der Auftraggeber ist als Verantwortlicher für die Rechtmäßigkeit der Verarbeitung, für die Erfüllung der Informationspflichten gegenüber betroffenen Personen sowie für erforderliche Einwilligungen — insbesondere bei Gesprächsaufzeichnungen — verantwortlich.

Änderungen und Ergänzungen bedürfen der Textform. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Dieser AVV wird digital abgeschlossen. Der Abschluss wird mit Fassung, Zeitstempel, Angaben zur zeichnenden Person sowie technischen Nachweisdaten protokolliert und bleibt für den Auftraggeber jederzeit einsehbar.