Auftragsverarbeitungsvertrag

Was sich seit Fassung 1.2 geändert hat

• Anlage 1: Auch der Zähler gegen das Durchprobieren von Passwörtern führt die E-Mail-Adresse nur noch als Hashwert, nicht mehr im Klartext.
• Buchungskalender: Meldungen aus Calendly oder Cal.com, die der Auftraggeber selbst verbindet, und selbst eingetragene Termine (§ 2, § 3, § 4, § 8, Anlage 3).
• Sprachmodell: Es ordnet jetzt auch die Spalten beim Kundenimport zu und beantwortet Fragen im Hilfe-Chat. Eine eigene Zustimmung braucht nur das Ton-Profil aus Beispielnachrichten (§ 2, § 5, Anlage 2).
• Team-Auswertung: Inhaber und Verwaltung sehen Kennzahlen je Nutzer und können sie als Datei herunterladen (§ 2, § 3, Anlage 1).
• Weitere Datenarten: Passwort und Wiederherstellungscodes als Hashwert, Einladungen, Termine mit Kundinnen und Kunden, der Weiterempfehlungswert von 0 bis 10 mit Verbesserungswunsch sowie Dokumente wie die Erstinformation (§ 3).
• Genauer beschrieben: welche Texte die Software vor der Übertragung an das Sprachmodell prüft, wo die Ratenbegrenzung greift und was die Löschung einer Person entfernt (§ 3, § 9, Anlage 1).
• Genauer beschrieben: die Mandantentrennung samt der drei Systemtabellen ohne Zeilenregeln (Anlage 1).
• Technische Schutzmaßnahmen ergänzt: Umschreibungen einschließlich Tonprofil werden vor der Übertragung auf sensible Angaben geprüft; Importüberschriften gehen nur als geprüfte Feldbegriffe an das Sprachmodell; neue Fehlerprotokolle enthalten feste Diagnosecodes ohne SQLwerte (Anlage 1). Die Umstellung auf einen eigenen Datenbankbenutzer bleibt als offener Betriebsnachweis aufgeführt.
• Ton-Profil genauer beschrieben: Es liefert jetzt auch eine Stilbeschreibung, typische Formulierungen und drei vom Sprachmodell neu geschriebene kurze Stilproben, gespeichert im selben Datensatz. Bei den Beispielnachrichten dafür entfernt die Software einzelne Sätze mit Gesundheits-, Vertrags- oder Herkunftsangaben statt die ganze Nachricht zu verwerfen; was danach noch wie ein Name aussieht, ersetzt sie ebenfalls durch einen Platzhalter, statt die Nachricht zurückzuhalten. Gespeichert werden der Schreibstil samt bis zu acht kurzen wörtlichen Wendungen (je höchstens 60 Zeichen), Begrüßung und Grußformel, die Stilproben und eine Vorschau, nie die ganze Nachricht und nie der Name einer anderen Person daraus; der eigene Name des Auftraggebers kann als Unterschrift darin stehen. Beim Umschreiben nimmt die Software aus dem Profil nur die einzelne Angabe heraus, in der noch etwas wie ein Name steht (§ 3, Anlage 1).
• Löschung einer Person: Es bleibt ein Sperrvermerk aus verschlüsselten Prüfsummen von Rufnummer und E-Mail-Adresse, damit ein späterer Import oder eine Neuanlage die Person nicht wieder anlegt (§ 9).
• Anlage 1 berichtigt: Dateischlüssel und die Adressen der öffentlichen Seiten schreibt die Software nie in ihr eigenes Protokoll; als Teil der aufgerufenen Adresse stehen sie aber in den Zugriffsprotokollen des Hosters.

§ 1 Gegenstand und Dauer

Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten, die der Auftraggeber im Rahmen der Nutzung der Software Bestandsgold einstellt oder über sie erheben lässt. Bestandsgold ist eine Software für Empfehlungsmanagement: Sie führt den Kundenbestand des Auftraggebers, schlägt Anlässe für eine Ansprache vor, stellt Empfehlungs- und Bewertungsseiten bereit, versendet Nachrichten im Namen des Auftraggebers, verwaltet Termine und Belohnungen und wertet den Verlauf aus.

Der Auftragnehmer verarbeitet diese Daten ausschließlich im Auftrag des Auftraggebers. Verantwortlicher im Sinne der Datenschutz-Grundverordnung bleibt der Auftraggeber. Er entscheidet allein über Zweck und Mittel der Verarbeitung und über die Rechtsgrundlage jeder Ansprache.

Dieser Vertrag beginnt mit der Annahme durch den Auftraggeber in der Software und läuft so lange, wie der Nutzungsvertrag über Bestandsgold läuft. Er endet mit ihm. Die Pflichten aus § 6 und § 11 bestehen darüber hinaus fort.

Die Annahme wird in der Software festgehalten: gespeichert werden die angenommene Fassung, der vollständige angezeigte Text mit seinem SHA-256-Fingerabdruck, der Zeitpunkt und die annehmende Person mit ihrer damaligen Rolle und den damaligen Organisationsangaben. Neue Annahmen ergänzen die Historie; frühere Nachweise werden nicht überschrieben. Ältere reine Fassungs- und Zeitstempel bleiben erhalten, ohne nachträglich einen Akteur oder Vertragstext zu behaupten. Ändert der Auftragnehmer diesen Vertrag, erhält die neue Fassung eine neue Nummer und muss erneut angenommen werden; die zuvor angenommene Fassung bleibt bis dahin sichtbar.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung ist automatisiert und umfasst das Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung an die in Anlage 2 genannten Dienstleister, Einschränken, Löschen und Vernichten.

Zwecke sind allein die folgenden:

• Führen und Pflegen des Kundenbestands des Auftraggebers samt Einwilligungen je Kanal
• Vorschlagen passender Anlässe für eine Ansprache, auch nach einem eingetragenen Termin mit einer Kundin oder einem Kunden, und Erinnern an offene Vorgänge
• Bereitstellen persönlicher Empfehlungs-, Geschenk- und Bewertungsseiten, auch der Seiten hinter Beiträgen, die Kundinnen und Kunden in sozialen Netzwerken teilen
• Versenden von Nachrichten per E-Mail im Namen des Auftraggebers, Vorbereiten von Chatnachrichten, die der Auftraggeber oder sein Kunde selbst absendet, sowie Versand per SMS, sobald dieser Weg eingerichtet ist
• Entgegennehmen von Rückrufwünschen und Terminwünschen empfohlener Personen, auch als Meldung aus einem Buchungskalender, den der Auftraggeber selbst mit der Software verbindet (derzeit Calendly oder Cal.com), Erfassen von Terminen, die der Auftraggeber selbst einträgt, und Erinnern an Termine, die über die Seite der empfohlenen Person gebucht wurden
• Abwickeln und Belegen zugesagter Belohnungen
• Auswerten des Verlaufs für den Auftraggeber in seiner eigenen Organisation
• Auswerten der Tätigkeit der Nutzenden des Auftraggebers je Nutzer – freigegebene Anfragen, geöffnete und verschenkte Geschenke, gebuchte und geführte Gespräche, erfolgreiche Empfehlungen, gewonnene Kunden, Wert der Belohnungen und Bewertungen – für die Nutzenden mit der Rolle Inhaber oder Verwaltung, einschließlich Export als Datei
• Formulieren von Textvorschlägen, Zuordnen der Spalten beim Kundenimport und Beantworten von Fragen im Hilfe-Chat durch ein Sprachmodell, sofern der Dienst eingerichtet ist; Beispielnachrichten des Auftraggebers für sein Ton-Profil wertet das Sprachmodell nur aus, wenn der Auftraggeber dem ausdrücklich zustimmt

Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Insbesondere schreibt der Auftragnehmer die Kundinnen, Kunden und empfohlenen Personen des Auftraggebers nicht im eigenen Namen an und wertet ihre Daten nicht organisationsübergreifend aus. Für Betrieb und Abrechnung zählt er je Organisation, etwa die gebuchten Erstgespräche eines Kalendermonats; dabei entstehen nur Zahlen ohne Personenbezug.

Ort der Verarbeitung ist die Europäische Union, mit den in Anlage 2 einzeln benannten Ausnahmen. Die Datenbank steht seit dem 9. September 2026 bei Amazon Web Services in der Region eu-central-1 (Frankfurt am Main); der Unternehmenssitz des Datenbankanbieters liegt in den Vereinigten Staaten.

§ 3 Art der personenbezogenen Daten

Verarbeitet werden folgende Arten personenbezogener Daten:

• Stammdaten: Vorname, Nachname, Anrede und Anredeform, Geschlecht als Steuerung der Anrede, Rufnummer, E-Mail-Adresse, Telegram-Name, bevorzugter Kanal
• Beziehungsdaten: Beginn der Beziehung, Themen und Sparten, durchschnittliche Provision, Zufriedenheitswert, Notizen, Anlässe mit Datum
• Termine mit Kundinnen und Kunden: Beginn, Ende, Notiz
• Einwilligungsdaten: Kanal, Quelle, Zeitpunkt und Nachweis jeder erteilten Einwilligung sowie ihr Widerruf
• Kommunikationsdaten: Betreff und Text gesendeter Nachrichten, Kanal, Vorlage, Status, Zeitpunkte, Kennung beim Versanddienst, Fehlermeldungen; Textvorschläge für Beiträge in sozialen Netzwerken
• Inhalte, die Kundinnen und Kunden selbst aufnehmen: Sprachnachrichten, freie Texte, Schlagworte
• Inhalte, die die Nutzenden des Auftraggebers selbst einstellen: bis zu fünf Videos je Nutzer, Fotos und Dokumente wie die Erstinformation, die sie auf ihren Empfehlungs- und Geschenkseiten zeigen
• Bewertungsdaten: Weiterempfehlungswert von 0 bis 10 und die daraus abgeleitete Sternzahl, Schlagworte, Freitext, Textvorschlag für eine öffentliche Bewertung, Plattformen, deren Knopf die bewertende Person gedrückt hat, Zustimmung zur Veröffentlichung; bei einem Wert bis 7 Themen und Text eines Verbesserungswunsches
• Daten empfohlener Personen: Vorname, gegebenenfalls Nachname, Rufnummer, E-Mail-Adresse, Art und Zeitpunkt des Opt-ins, Bestätigungscode und dessen Bestätigung, Status, Notiz, Termine; bei Terminen aus einem verbundenen Buchungskalender zusätzlich Anbieter, Kennung der Buchung und Name der Terminart, bei selbst eingetragenen Terminen die Anmerkung des Auftraggebers und der Nachweis seiner Bestätigung
• Verbindungsdaten eines Buchungskalenders: Kennung, Anzeigename und Buchungsadresse des Kontos beim Anbieter, Kennung des Webhook-Abos, verschlüsselter Signaturschlüssel, Zeitpunkte von Verbindung, letzter Meldung und Trennung; Buchungen ohne Zuordnung nur mit Anbieter, Kennung, Zeiten und Terminart
• Belohnungs- und Abwicklungsdaten: Anlass, Art, Betrag, Status, Belege als PDF; bei einer Auszahlung über PayPal zusätzlich die E-Mail-Adresse der empfangenden Person
• Nutzungsdaten in pseudonymisierter Form: Hashwerte aus dem Netzanteil einer IP-Adresse für die Zählung geöffneter Seiten, Ereignisse ohne Klarnamen, Hashwerte der IP-Adresse im Nachweisprotokoll
• Zugangsdaten der Nutzenden des Auftraggebers: E-Mail-Adresse, Name, Rolle, Rufnummer, Zeitzone, Zeitpunkt der letzten Anmeldung, Hashwert des Passworts und Zeitpunkt seiner letzten Änderung, das Zeitfenster für ein neues Passwort nach „Passwort vergessen?“, Geheimnis des zweiten Faktors, Hashwerte der Wiederherstellungscodes, Einladungen mit E-Mail-Adresse, Name und Rolle
• Leistungskennzahlen je Nutzer, aus den Ereignisdaten berechnet

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand dieses Vertrags. Freitextfelder stehen dem Auftraggeber offen; er trägt dafür Sorge, dass er dort keine Gesundheitsdaten und keine anderen Daten nach Art. 9 DSGVO einträgt. Den eigenen Satz einer Bewertung und Fragen an den Hilfe-Chat prüft die Software vor der Übertragung an das Sprachmodell und hält sie zurück, wenn sie Gesundheitsangaben oder eine Vertrags-, Kunden- oder Kontonummer enthalten. Bei Beispielnachrichten für das Ton-Profil entfernt die Software stattdessen einzelne Sätze mit solchen Angaben und wertet den Rest der Nachricht aus; gespeichert werden dabei die Beschreibung des Schreibstils, typische Wörter, bis zu acht kurze typische Wendungen (je höchstens 60 Zeichen, wörtlich aus den Beispielen, ohne Namen und ohne heikle Angaben), Begrüßung, Grußformel und Unterschrift, drei vom Sprachmodell neu geschriebene kurze Stilproben mit Platzhaltern statt Namen und eine Vorschau einer Anfrage in diesem Stil, nie die Nachricht selbst.

§ 4 Kategorien betroffener Personen

Betroffen sind:

• Kundinnen und Kunden des Auftraggebers, deren Daten er in die Software einstellt
• Personen, die von diesen Kundinnen und Kunden empfohlen werden, ab dem Zeitpunkt, zu dem sie sich selbst melden
• Beschäftigte und Beauftragte des Auftraggebers, die die Software als Nutzende bedienen
• Personen, die über einen verbundenen Buchungskalender des Auftraggebers buchen, ohne über eine Empfehlung zu kommen – ohne Namen und nur bis zur Frist in Anlage 3

Wer eine geteilte Seite nur öffnet, ohne sich selbst zu melden, wird nicht als Person gespeichert.

§ 5 Weisungsrecht des Auftraggebers

Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, einschließlich der Übermittlung in ein Drittland.

Als Weisung gelten dieser Vertrag, der Nutzungsvertrag und jede Einstellung, die der Auftraggeber in der Software selbst vornimmt – insbesondere die Auswahl der Kanäle, die Freigabe einzelner Nachrichten, die Einwilligungen, die er hinterlegt, und die Zustimmung, eigene Beispielnachrichten für das Ton-Profil durch das Sprachmodell auswerten zu lassen.

Einzelweisungen darüber hinaus erteilt der Auftraggeber in Textform an die Kontaktadresse des Auftragnehmers. Der Auftragnehmer bestätigt sie in Textform. Mündliche Weisungen sind unverzüglich in Textform nachzuholen.

Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Auftraggeber unverzüglich darauf hin. Er ist berechtigt, die Ausführung auszusetzen, bis der Auftraggeber die Weisung bestätigt oder ändert.

§ 6 Vertraulichkeit

Der Auftragnehmer setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung ist nachweisbar und gilt über das Ende der Tätigkeit hinaus.

Der Auftragnehmer macht die eingesetzten Personen mit den für sie geltenden Datenschutzbestimmungen und der Weisungsgebundenheit vertraut.

Die Vertraulichkeitspflicht besteht auch nach Beendigung dieses Vertrags fort.

§ 7 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht.

Der Auftragnehmer darf die Maßnahmen weiterentwickeln. Das Schutzniveau darf dabei nicht unter das in Anlage 1 beschriebene sinken. Wesentliche Änderungen teilt er dem Auftraggeber mit.

Anlage 1 nennt auch die Lücken, die zum Stand dieser Fassung bestehen. Sie sind Teil der Beschreibung und nicht beschönigt.

§ 8 Unterauftragnehmer

Der Auftraggeber erteilt hiermit die allgemeine Genehmigung nach Art. 28 Abs. 2 Satz 2 DSGVO für die in Anlage 2 aufgeführten weiteren Auftragsverarbeiter.

Der Auftragnehmer schließt mit jedem dieser Unterauftragnehmer einen Vertrag, der ihm im Wesentlichen dieselben Pflichten auferlegt, die dieser Vertrag dem Auftragnehmer auferlegt. Er bleibt dem Auftraggeber gegenüber für die Erfüllung verantwortlich.

Nimmt der Auftragnehmer einen weiteren Unterauftragnehmer hinzu oder tauscht er einen aus, teilt er das dem Auftraggeber mindestens 30 Tage vorher in Textform mit. Der Auftraggeber kann innerhalb dieser Frist aus einem wichtigen, datenschutzrechtlichen Grund widersprechen. Widerspricht er, und lässt sich die Leistung ohne diesen Unterauftragnehmer nicht in gleicher Weise erbringen, darf jede Partei den Nutzungsvertrag zum Zeitpunkt der geplanten Umstellung kündigen.

Nicht als Unterauftragnehmer gelten Nebenleistungen wie Telekommunikation, Post- und Transportdienste sowie Wartung, bei denen der Zugriff auf personenbezogene Daten nicht Gegenstand der Leistung ist.

Buchungskalender, die der Auftraggeber selbst mit der Software verbindet (etwa Calendly oder Cal.com), sind keine Unterauftragnehmer des Auftragnehmers; der Auftraggeber nutzt sie im eigenen Namen. Der Auftragnehmer übermittelt ihnen keine Daten von Kundinnen, Kunden oder empfohlenen Personen.

Für Unterauftragnehmer außerhalb der Europäischen Union und des Europäischen Wirtschaftsraums stützt sich die Übermittlung auf einen Angemessenheitsbeschluss der Europäischen Kommission, soweit der Empfänger danach zertifiziert ist, und andernfalls auf die Standardvertragsklauseln nach Art. 46 Abs. 2 Buchstabe c DSGVO. Für die in Anlage 2 genannten Empfänger mit Sitz in den Vereinigten Staaten gelten die Standardvertragsklauseln nach Art. 46 Abs. 2 Buchstabe c DSGVO, soweit der Empfänger nicht unter einem Angemessenheitsbeschluss zertifiziert ist. Die abgeschlossenen Verträge stellt der Auftragnehmer dem Auftraggeber auf Anforderung in Textform zur Verfügung.

§ 9 Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten.

Die Software leistet das im Wesentlichen selbst: Unter „Einstellungen → Datenschutz“ kann der Auftraggeber zu jeder Person die gespeicherten Daten als Datei ausgeben, sie löschen und die Freigabe einer Bewertung zur Veröffentlichung widerrufen. Die Löschung einer Kundin oder eines Kunden entfernt Kontaktdaten, Einwilligungen, Anlässe, Termine, Bewertungen, Nachrichten, Aufgaben, Hinweise in der Benachrichtigungsglocke sowie Sprachnachricht, persönlichen Text und Schlagworte und anonymisiert den Datensatz. Bei einer empfohlenen Person entfallen Kontaktdaten, Nachrichten, Aufgaben, Hinweise und Notizen. Erhalten bleiben nur Zählungen ohne Klarnamen, die gesetzlich aufzubewahrenden Belege und ein Sperrvermerk: mit einem Geheimnis des Auftragnehmers verschlüsselte Prüfsummen von Rufnummer und E-Mail-Adresse, damit die Person nicht über einen späteren Import oder eine Neuanlage wieder in den Bestand gelangt. Der Sperrvermerk endet mit den übrigen Daten des Auftraggebers nach § 11.

Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, beantwortet er ihr Anliegen nicht selbst, sondern leitet es unverzüglich an den Auftraggeber weiter und weist die Person darauf hin, wer Verantwortlicher ist.

Der Auftragnehmer unterstützt den Auftraggeber ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei der Sicherheit der Verarbeitung, bei der Meldung von Verletzungen und bei einer Datenschutz-Folgenabschätzung, soweit die dafür nötigen Angaben nur ihm vorliegen.

§ 10 Verletzungen des Schutzes personenbezogener Daten

Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, die Daten aus diesem Auftrag betrifft, meldet er sie dem Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, in Textform.

Die Meldung enthält, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen und vorgeschlagenen Gegenmaßnahmen und eine Ansprechstelle für Rückfragen. Fehlende Angaben reicht der Auftragnehmer unverzüglich nach.

Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung betroffener Personen nach Art. 34 DSGVO nimmt der Auftraggeber vor. Der Auftragnehmer meldet nicht an dessen Stelle.

§ 11 Löschung und Rückgabe nach Beendigung

Nach Beendigung dieses Vertrags löscht der Auftragnehmer die im Auftrag verarbeiteten Daten oder gibt sie zurück – nach Wahl des Auftraggebers. Die Wahl teilt der Auftraggeber vor dem Ende in Textform mit; äußert er sich nicht, wird gelöscht.

Für die Rückgabe stellt die Software die Ausgabe der Daten in einem gängigen, maschinenlesbaren Format bereit; der Auftraggeber kann sie jederzeit selbst erzeugen.

Nach dem Ende des Vertrags löscht der Auftragnehmer die personenbezogenen Daten innerhalb von 30 Tagen, sofern der Auftraggeber nicht vorher die Rückgabe verlangt. Gesetzliche Aufbewahrungspflichten bleiben unberührt; die betroffenen Daten werden für die Dauer der Pflicht gesperrt und danach gelöscht.

Von der Löschung ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht. Das betrifft insbesondere die Belege über ausgezahlte Belohnungen, deren Frist anhand der tatsächlichen Belegart und anwendbaren Rechtsgrundlage bestimmt wird. Gewöhnliche Buchungsbelege werden grundsätzlich acht Jahre ab Kalenderjahresende aufbewahrt; nachgewiesene gesetzliche Sonderfälle können zehn Jahre oder eine begründete längere Sperre erfordern. Unklare Altbelege werden mit Verantwortlichkeit und Prüftermin gesondert geklärt. Diese Daten verarbeitet der Auftragnehmer nur noch zu diesem Zweck.

Während der Vertragslaufzeit gelten zusätzlich die automatischen Löschfristen aus Anlage 3.

§ 12 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Angaben zur Verfügung, die dieser zum Nachweis der Einhaltung dieses Vertrags braucht. Dazu gehören insbesondere die Beschreibung der technischen und organisatorischen Maßnahmen aus Anlage 1 und das Verzeichnis der Verarbeitungstätigkeiten, soweit es diesen Auftrag betrifft.

Der Auftraggeber ist berechtigt, die Einhaltung zu überprüfen oder durch einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer überprüfen zu lassen. Prüfungen vor Ort werden mit angemessenem Vorlauf angekündigt, finden zu den üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen stören.

Ehrlich anzumerken ist: Der Auftragnehmer verfügt zum Stand dieser Fassung über keine Zertifizierung nach Art. 42 DSGVO, keine Zertifizierung nach ISO/IEC 27001 und keinen Prüfbericht eines externen Prüfers. Ein Nachweis kann deshalb heute nur in der Beschreibung der Maßnahmen und in einer Prüfung durch den Auftraggeber bestehen.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

Im Verhältnis der Parteien zueinander gilt die Haftungsregelung des Nutzungsvertrags, also § 10 der Allgemeinen Geschäftsbedingungen. Art. 82 DSGVO bleibt davon unberührt: Gegenüber betroffenen Personen haften beide Parteien nach den dort genannten Maßstäben, und eine vertragliche Begrenzung wirkt insoweit nicht.

Eine Begrenzung der Haftung für Vorsatz und grobe Fahrlässigkeit sowie für Schäden aus der Verletzung von Leben, Körper und Gesundheit ist unwirksam und wird auch nicht vereinbart.

§ 14 Schlussbestimmungen

Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Das gilt auch für die Aufhebung dieser Formklausel.

Widersprechen sich dieser Vertrag und der Nutzungsvertrag in Fragen des Datenschutzes, geht dieser Vertrag vor.

Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts. Ausschließlicher Gerichtsstand für alle Streitigkeiten aus diesem Vertrag ist der Sitz des Auftragnehmers, sofern der Auftraggeber Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.

Die Anlagen 1 bis 3 sind Bestandteil dieses Vertrags.

Anlage 1 · Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen sind im Quelltext umgesetzt und dort nachprüfbar.

• Mandantentrennung: Jeder Datensatz mit Organisationsbezug trägt seine Organisation. Jede Abfrage läuft über einen von drei Zugängen, der die Organisation als Sitzungsvariable setzt, und auf den Tabellen mit Organisationsbezug sind Zeilenregeln der Datenbank hinterlegt (Row Level Security mit FORCE). Ausgenommen sind drei Systemtabellen: die Warteschlange der Hintergrundaufträge, die Anmeldelinks und die Zähler der Ratenbegrenzung.
• Anmeldung per Link oder Passwort: Der Anmeldelink gilt fünfzehn Minuten, wirkt genau einmal und ist an den anfragenden Browser gebunden. Gespeichert wird nur sein Hashwert mit Servergeheimnis. Passwörter speichert die Software nur als Hashwert (scrypt). Nach einem Passwortwechsel gelten alle anderen Sitzungen nicht mehr, und die Nutzerin oder der Nutzer erhält eine Bestätigung per E-Mail.
• Zweiter Faktor nach RFC 6238 auf Wunsch, mit zehn Wiederherstellungscodes, die nur als Hashwert gespeichert werden. Bis zur Bestätigung lebt die Sitzung nur fünfzehn Minuten statt dreißig Tagen.
• Sitzungs-Cookie: signiert, nur über HTTPS, nicht aus JavaScript lesbar, mit Host-Präfix. Für das Cookie, das den Anmeldelink an den Browser bindet, gelten HTTPS, Schutz vor JavaScript und Host-Präfix ebenso. Ohne HTTPS verweigert die Anwendung in Produktion den Start.
• Ratenbegrenzung an der Anmeldung und an den öffentlichen Formularen, die Termine buchen, Codes oder Nachrichten versenden, Dateien annehmen oder ein Sprachmodell aufrufen. IP-Adressen, Rufnummern und E-Mail-Adressen stehen in den Zählern nur als Hashwert mit einem Servergeheimnis, auch im Zähler gegen das Durchprobieren von Passwörtern. Ein Bot-Schutz von Cloudflare steht, sofern er eingerichtet ist, vor der Terminbuchung und dem Rückrufwunsch auf der geteilten Seite – nicht vor jedem öffentlichen Formular.
• Datensparsame Protokolle: IP-Adressen nur als Hashwert mit Servergeheimnis, für die Öffnungszählung nur der Netzanteil. Der Logger schwärzt Namen, E-Mail-Adressen, Rufnummern, Nachrichtentexte, Passwörter, Token und Geheimnisse. Dateischlüssel des Speichers schreibt die Software nie in ihr eigenes Protokoll. Als Teil der aufgerufenen Adresse stehen Dateischlüssel und die Adressen der Geschenk- und Bewertungsseiten aber in den Zugriffsprotokollen des Hosters.
• Pseudonymisierung vor der Übertragung an das Sprachmodell: Namen von Kundinnen, Kunden und empfohlenen Personen, E-Mail-Adressen, Rufnummern, IBAN und Links werden durch Platzhalter ersetzt. Den eigenen Satz einer Bewertung, Fragen an den Hilfe-Chat sowie vorbereitete Anfragen einschließlich Tonprofil und freier Vorgaben beim Umschreiben prüft die Software zusätzlich; sie gehen nicht hinaus, wenn sie Gesundheits-, Vertrags-, Kunden- oder Kontoangaben enthalten oder einen Namen, der sich nicht sicher ersetzen lässt. Aus dem Tonprofil nimmt die Software beim Umschreiben nur die einzelne Angabe heraus – Begrüßung, typische Formulierung oder Stilprobe –, in der noch etwas wie ein Name steht; die Stilbeschreibung selbst entsteht bereits aus pseudonymisierten Beispielen und wird dafür nicht erneut auf Namen geprüft. Bei Beispielnachrichten für das Ton-Profil gilt eine Ausnahme: Statt die ganze Nachricht zurückzuhalten, entfernt die Software nur die einzelnen Sätze mit solchen Angaben, und was danach noch wie ein Name aussieht, ersetzt sie ebenfalls durch einen Platzhalter, statt die Nachricht zurückzuhalten – gespeichert werden die daraus gewonnene Stilbeschreibung, typische Wörter und bis zu acht kurze Wendungen wörtlich aus den Beispielen (je höchstens 60 Zeichen), Begrüßung, Grußformel, drei neu geschriebene Stilproben und eine Vorschau, nie die ganze Nachricht und nie der Name einer anderen Person daraus; der eigene Name des Auftraggebers kann als Unterschrift darin stehen. Für die Zuordnung beim Kundenimport gehen ausschließlich Überschriften aus einer fest geprüften Liste von Feldbegriffen hinaus. Unbekannte Überschriften und alle Datenzeilen bleiben für die Zuordnung lokal. Mustererkennung für Freitext und Namen senkt das Risiko; sie garantiert keine vollständige Anonymisierung.
• Fehlerdiagnosen: Neue Fehlerprotokolle und fehlgeschlagene Hintergrundaufträge enthalten feste Fehlerkategorien und geprüfte technische Codes. Freie Fehlermeldungen, SQLparameter, Stacks und Providerantworten werden dort nicht als Fehlerdetails übernommen. Dies bereinigt keine bereits vorhandenen historischen Protokolle.
• Automatisches Aufräumen: Ein täglicher Job setzt die Fristen aus Anlage 3 je Organisation durch.
• Auskunft und Löschung als Selbstbedienung, aufgebaut aus einer festen Feldzuordnung, damit keine Spalte vergessen wird.
• Nachweisprotokoll: Schützenswerte Vorgänge stehen mit handelnder Person, Zeitpunkt und Hashwert der IP-Adresse im Protokoll. Jede Nutzerin und jeder Nutzer sieht die eigenen jüngsten Anmeldevorgänge aus den letzten 90 Tagen.
• Team-Auswertung: Die Kennzahlen je Nutzer sehen nur Nutzende mit der Rolle Inhaber oder Verwaltung. Jeder Export steht im Nachweisprotokoll. Daten von Kundinnen, Kunden und empfohlenen Personen enthält die Auswertung nicht.
• Verschlüsselte Übertragung durchgehend über HTTPS. Geheimnisvergleiche laufen in konstanter Zeit.
• Verschlüsselung ruhender Daten: durch den Datenbankanbieter. Eine zusätzliche Verschlüsselung einzelner Felder durch die Anwendung gibt es nicht.

Offen und deshalb hier genannt, statt verschwiegen:

• Wiederherstellbarkeit nach Art. 32 Abs. 1 Buchstabe c: Sicherungen liegen beim Datenbankanbieter. Wie weit sie zurückreichen, ist zum Stand dieser Fassung ungeprüft, und eine Wiederherstellung wurde noch nie geübt.
• Für gesendete Nachrichten gibt es bisher keine automatische Löschfrist. Siehe Anlage 3.
• Die Umstellung der Anwendung auf einen eigenen Datenbankbenutzer, für den die Zeilenregeln ausnahmslos gelten, ist vorbereitet und zum Stand dieser Fassung noch nicht abgeschlossen.

Anlage 2 · Unterauftragnehmer

Genehmigt sind die folgenden weiteren Auftragsverarbeiter. Ein Dienst, der in der Spalte „Aktiv, wenn“ eine Bedingung trägt, verarbeitet nur dann Daten, wenn sie erfüllt ist; ist sie es nicht, wird nichts dorthin übertragen.

Meta Platforms Ireland Limited ist kein Unterauftragnehmer: Wer eine Empfehlung über WhatsApp weitergibt, verschickt sie vom eigenen Gerät. Beim Öffnen des Links erfährt Meta die IP-Adresse dieses Geräts und den vorbereiteten Text.

Anlage 3 · Löschfristen

Diese Fristen setzt ein täglicher Job durch:

• Ereignisse für Auswertungen: 730 Tage
• Nachweisprotokoll: 730 Tage
• Öffnungen geteilter Seiten: 180 Tage
• Sprachnachrichten samt Datei: 365 Tage ab der Einwilligung
• Zähler der Ratenbegrenzung: 7 Tage
• Anmeldelinks: fünfzehn Minuten gültig, die Zeile 24 Stunden nach Ablauf entfernt
• Sitzung: 30 Tage, vor dem zweiten Faktor fünfzehn Minuten
• Verwaiste Dateien im Speicher: frühestens 24 Stunden nach dem Hochladen
• Abgebrochene Kundenimporte: 30 Tage
• Buchungen ohne Zuordnung aus einem verbundenen Buchungskalender: 30 Tage
• Belege über ausgezahlte Belohnungen: nach dokumentierter Einordnung und Jahresendfrist; gewöhnliche Buchungsbelege grundsätzlich acht Jahre, nachgewiesene Sonderfälle und Sperren gesondert

Ohne automatische Frist sind heute: gesendete Nachrichten, Aufgaben, Anfragen, Hintergrundaufträge, Bewertungen, Termine, Hinweise in der Benachrichtigungsglocke, die Videos, Fotos und Dokumente der Nutzenden des Auftraggebers sowie die Stammdaten der Kundinnen, Kunden und empfohlenen Personen. Sie verschwinden, wenn der Auftraggeber eine Person, ein Video, ein Foto oder ein Dokument löscht oder den Datensatz selbst entfernt, spätestens 30 Tage nach dem Ende des Vertrags. Für Videos, Fotos und Dokumente ist das bewusst so: Sie betreffen die Nutzenden des Auftraggebers selbst und sind sein Arbeitsmaterial, eine Frist würde sie ihm mitten im Betrieb wegnehmen. Feste Fristen je Tabelle sind für die übrigen Angaben noch nicht festgelegt; bis dahin gilt diese Gesamtfrist.