Auftrags- verarbeitungs-vertrag nach Art. 28 Abs. 3 DSGVO
Aktualisiert am 01.11.2023
1. Gegenstand und Dauer des Auftrags
1.1. Gegenstand des Auftrags
Der Gegenstand des Auftrags ergibt sich aus dem Bestellformular bzw. aus dem Vertrag der Parteien über die Durchführung folgender Dienstleistungen durch den Auftragnehmer: Bereitstellung der Doorboost Plattform und Online Marketing Dienstleistungen im Zusammenhang mit der Doorboost Plattform (nachfolgend Hauptvertrag). Soweit der Auftragnehmer dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO verarbeitet, gilt ergänzend dieser Auftragsverarbeitungsvertrag.
1.2. Dauer des Auftrags
Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet damit auch diese Vereinbarung, ohne dass es einer besonderen oder gesonderten Kündigung bedarf.
2. Konkretisierung des Auftragsinhalts
2.1. Umfang, Art und Zweck
Umfang, Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber ist die Analyse der durch den Auftraggeber bereitgestellten Daten zu bestehenden bzw. vergangenen Kunden, sowie der Erhebung von Informationen von potenziellen bzw. neuen Kunden durch das Erstellen, Platzieren und Optimieren von Online Marketingkampagnen in Plattformen, wie z.B. Facebook, Google und LinkedIn, sowie die Bereitstellung dieser Informationen für den Auftraggeber, sowie verbundene Unternehmen und Handelspartner.
2.2 Art der Daten
Gegenstand der Erhebung, Verarbeitung und / oder Nutzung personenbezogener Daten sind folgende Datenarten / -kategorien:
- Name und Kontaktdaten
- Produktinteresse
- IP-Adresse
- Timestamp
- Sonstige Daten, die dem Auftragnehmer vom Auftraggeber zur Verfügung gestellt werden
2.3 Kreis der Betroffenen
Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen umfasst:
- Webseitenbesucher
- Kunden / Registrierte User
- Potenzielle Neukunden auf Plattformen, wie Facebook, Instagram oder Google
- Geschäftskontakte
3. Weisungsbefugnis des Auftraggebers / Ort der Datenverarbeitung
3.1. Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich.
3.2. Der Umgang mit den Daten erfolgt im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers (vgl. Art. 28 Abs. 3 lit. a DSGVO). Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, dass er durch Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Entstehende Zusatzaufwände sind vom Auftraggeber zu vergüten. Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.
3.3. Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Der Auftragnehmer verwendet die Daten für keine anderen Zwecke. Hiervon ausgenommen sind das Erstellen von Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Verpflichtungen, sowie zur Einhaltung von Aufbewahrungspflichten erforderlich sind.
3.4. Der Auftragnehmer hat den Auftraggeber entsprechend Art. 28 Abs. 3 Uabs. 2 DSGVO zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
3.5. Die Verarbeitung der Auftraggeberdaten durch den Auftragnehmer findet in der Europäischen Union und in den Vereinigten Staaten von Amerika statt. Die Verarbeitung und / oder Verbringung an einen anderen Ort bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers. In diesem Fall ist der Auftragnehmer zudem verpflichtet, entsprechend den gesetzlich anwendbaren Vorgaben sowie gerichtlichen und behördlichen Auslegungen derselben für ein angemessenes Datenschutzniveau am Ort der Datenverarbeitung zu sorgen oder – nach Wahl des Auftraggebers – dem Auftraggeber die Möglichkeit einzuräumen, für ein angemessenen Datenschutzniveau zu sorgen.
4. Vertraulichkeit
Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung von personenbezogenen Daten befassten Mitarbeitern und anderen für den Auftragnehmer tätigen Personen untersagt ist, die personenbezogenen Daten außerhalb der Weisung zu verarbeiten.
5. Technisch-organisatorische Maßnahmen
5.1. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den Anforderungen des Datenschutzes gerecht wird. Er wird angemessene technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten des Auftraggebers treffen, die den Anforderungen des Art. 32 DSGVO genügen. Insbesondere sind die technischen und organisatorischen Maßnahmen dergestalt zu treffen, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Datenverarbeitung sichergestellt sind. Diese technischen und organisatorischen Maßnahmen sind in Anhang 1 dieser Vereinbarung beschrieben. Dem Auftraggeber sind diese technischen und organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die Risiken der zu verarbeitenden Daten ein angemessenes Schutzniveau bieten.
5.2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
6. Unterauftragsverhältnisse
6.1. Die Einschaltung und/oder Änderung von Unterauftragnehmern durch den Auftragnehmer ist grundsätzlich gestattet. Der Auftraggeber stimmt dem Einsatz von Unterauftragnehmern wie folgt zu:
6.1.1. Der Auftraggeber stimmt dem Einsatz der in Anhang 2 dieser Vereinbarung aufgeführten Unterauftragnehmer bereits jetzt zu
6.1.2. Der Auftraggeber stimmt dem Einsatz bzw. der Änderung weiterer Unterauftragnehmer zu, wenn der Auftragnehmer den Einsatz bzw. die Änderung vor Beginn der Datenverarbeitung schriftlich (E-Mail ausreichend) dem Auftraggeber mitteilt. Der Auftraggeber kann dem Einsatz eines neuen Unterauftragnehmers bzw. der Änderung widersprechen. Erfolgt kein Widerspruch innerhalb einer Frist von sieben Tagen nach Mitteilung, gilt die Zustimmung zum Einsatz oder zur Änderung als gegeben. Der Auftraggeber nimmt zur Kenntnis, dass in bestimmten Fällen die Leistung ohne den Einsatz eines bestimmten Unterauftragnehmers nicht mehr erbracht werden kann. In diesen Fällen ist jede Partei zur Kündigung ohne die Einhaltung einer Frist berechtigt. Liegt ein wichtiger datenschutzrechtlicher Grund für den Widerspruch vor und ist eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich, wird dem Auftraggeber ein Sonderkündigungsrecht eingeräumt.
6.2. Der Auftragnehmer hat die vertraglichen Vereinbarungen mit dem / den Unterauftragnehmer/n so zu gestalten, dass sie vergleichbare Datenschutzpflichten wie in diesem Auftrag vereinbart enthalten, unter Berücksichtigung der Art und des Umfangs der Datenverarbeitung im Rahmen des Unterauftrags. Die Verpflichtung des Unterauftragsverarbeiters muss schriftlich oder im elektronischen Format erfolgen.
6.3. Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.B. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern.
7. Betroffenenrechte
7.1. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffener Personen nach Kapitel III der DSGVO.
7.2. Der Auftragnehmer hat nur nach Weisung des Auftraggebers über die Daten, die im Auftrag verarbeitet werden, Auskunft zu geben, diese Daten zu berichtigen, zu löschen oder die Datenverarbeitung entsprechend einzuschränken. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Auskunft, Berichtigung oder Löschung seiner / ihrer Daten sowie hinsichtlich der Einschränkung der Datenverarbeitung wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
8. Mitwirkungspflichten des Auftragnehmers
8.1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherigen Konsultationen.
8.2. Im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO gilt Folgendes: Der Auftragnehmer ist verpflichtet, den Auftraggeber (i) über die Verletzung des Schutzes personenbezogener Daten unverzüglich zu informieren und (ii) bei einer solchen Verletzung erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder 34 DSGVO (Meldungen und Benachrichtigungen bei Verletzung des Schutzes personenbezogener Daten) für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gem. Ziffer 3 dieser Vereinbarung durchführen.
9. Sonstige Pflichten des Auftragnehmers
9.1. Soweit gesetzlich vorgeschrieben, bestellt der Auftragnehmer einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO, §§ 38, 6 BDSG neu ausüben kann. Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kontaktaufnahme auf Anfrage mitgeteilt.
9.2. Der Auftragnehmer wird den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Art. 58 DSGVO unterrichten. Dies gilt auch, soweit eine zuständige Behörde nach Art. 83 DSGVO beim Auftragnehmer ermittelt.
9.3. Der Auftragnehmer wir die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den Auftragnehmer im Hinblick auf die Vertragsausführung bzw. -erfüllung sicherstellen, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags.
10. Informations- und Überprüfungsrecht des Auftraggebers
10.1. Der Auftraggeber hat das Recht, die nach Art. 28 Abs. 3 h) DSGVO erforderlichen Informationen zum Nachweis der Einhaltung der vereinbarten Pflichten des Auftragnehmers anzufordern und Überprüfungen im Einvernehmen mit dem Auftragnehmer durchzuführen.
10.2. Die Parteien vereinbaren, dass der Auftragnehmer zum Nachweis der Einhaltung seiner Pflichten und Umsetzung der technischen und organisatorischen Maßnahmen berechtigt ist, dem Auftraggeber aussagekräftige Dokumentationen vorzulegen. Eine aussagekräftige Dokumentation kann durch z.B. die Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter), einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach ISO 27001) oder einer durch die zuständigen Aufsichtsbehörden genehmigten Zertifizierung erbracht werden.
10.3. Das Recht des Auftraggebers Vor-Ort-Kontrollen durchzuführen, wird hierdurch nicht beeinträchtigt. Der Auftraggeber wird jedoch abwägen, ob nach Vorlage von aussagekräftiger Dokumentation eine Vor-Ort-Kontrolle noch erforderlich ist, insbesondere unter Berücksichtigung der Aufrechterhaltung des ordnungsgemäßen Betriebs des Auftragnehmers.
10.4. Der Auftraggeber hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen.
11. Löschung von Daten und Rückgabe von Datenträgern
Nach Wahl und Aufforderung durch den Auftraggeber – spätestens mit Beendigung des Vertrags – hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.
12. Sonstiges
12.1. Änderungen, Nebenabreden und Ergänzungen dieses AV-Vertrages und seiner Anhänge bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieses AV-Vertrages handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Vorbehaltlich einer Verpflichtung zur Schriftform in diesem AV-Vertrag und im Hauptvertrag, erfolgt die Kommunikation zwischen dem Auftragnehmer und Auftraggeber im Rahmen dieses AV-Vertrages (insbesondere im Hinblick auf Weisungen und Informationserteilung) zumindest in Textform (z.B. E-Mail).
12.2. Dieser AV-Vertrag verpflichtet den Auftragnehmer nur insoweit, als dies zur Erfüllung der gesetzlichen Pflichten, insbesondere nach Art. 28 ff. DSGVO erforderlich ist und legt dem Auftragnehmer darüber hinaus keine weiteren Pflichten auf.
12.3. Es gilt das Recht der Bundesrepublik Deutschland.
13. Unterschrift Auftraggeber
Unternehmen:
Name:
Datum:
Unterschrift:
Anhang 1 zur Auftragsverarbeitungsvereinbarung
Technische und organisatorische Maßnahmen nach 1 Art. 32 DSGVO. Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um die laufende Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme und -dienste zu gewährleisten:
1. Vertraulichkeit
Der Auftragnehmer hat folgende technische und organisatorische Sicherheitsvorkehrungen getroffen, um insbesondere die Vertraulichkeit der Verarbeitungssysteme und -dienste zu gewährleisten:
Der Auftragnehmer verarbeitet alle Kundendaten an europäischen und / oder amerikanischen Serverstandorten, die von branchenführenden Cloud Service Providern betrieben werden, die hochentwickelte Maßnahmen zum Schutz vor unbefugtem Zugriff auf Datenverarbeitungsanlagen anbieten. Zu diesen Maßnahmen gehören:
- ein mehrschichtiges Sicherheitsmodell
- Rechenzentren werden überwacht;
- Zugriffsprotokolle und Aktivitätsaufzeichnungen werden geführt.
Der Auftragnehmer trifft geeignete Maßnahmen, um zu verhindern, dass seine Datenverarbeitungssysteme von Unbefugten benutzt werden. Dies wird erreicht durch:
- Identifikation und Passwort zum Zugreifen auf das User-Terminal erforderlich;
- Kunden können individuelle Benutzerkonten mit Berechtigungen definieren;
- Zugriffe auf Dateninhalte werden protokolliert.
Die Mitarbeiter des Auftragnehmers, die zur Nutzung seiner Datenverarbeitungssysteme berechtigt sind, können nur im Rahmen und in dem Umfang auf personenbezogene Daten zugreifen, der durch ihre jeweilige Zugriffsberechtigung (Berechtigung) abgedeckt ist. Insbesondere basieren die Zugriffsrechte und -ebenen auf der Funktion und Rolle der Mitarbeiter, wobei die Konzepte der geringsten Privilegien und des Wissensbedarfs verwendet werden, um die Zugriffsrechte an definierte Verantwortlichkeiten anzupassen. Dies wird erreicht durch:
- Mitarbeiterpolitik;
- wirksame und angemessene Disziplinarmaßnahmen gegen Personen, die unbefugt auf personenbezogene Daten zugreifen;
- beschränkter Zugriff auf personenbezogene Daten nur für autorisierte Personen.
2. Integrität
Der Auftragnehmer hat die folgende technische und organisatorische Sicherheit implementiert, um insbesondere die Integrität der Verarbeitungssysteme und -dienste zu gewährleisten:
Der Verarbeiter trifft geeignete Maßnahmen, um zu verhindern, dass personenbezogene Daten bei der Übermittlung oder beim Transport der Datenträger von Unbefugten gelesen, kopiert, verändert oder gelöscht werden. Dies wird erreicht durch:
- Vermeidung der Speicherung personenbezogener Daten auf nicht-passwortgeschützten tragbaren Speichermedien (z.B. USB-Sticks) für Transportzwecke.
Der Auftragnehmer greift auf keine Kundeninhalte zu, es sei denn, dies ist notwendig, um dem Kunden die von ihm ausgewählten Produkte und professionelle Dienstleistungen zur Verfügung zu stellen. Der Auftragnehmer greift nicht auf Kundeninhalte für andere Zwecke zu. Entsprechend weiß der Auftragnehmer nicht, welche Inhalte Kunden auf seinen Systemen speichern und kann nicht zwischen persönlichen Daten und anderen Inhalten unterscheiden, so dass der Auftragnehmer alle Kundeninhalte gleichbehandelt. Auf diese Weise profitieren alle Kundeninhalte von den gleichen Sicherheitsmaßnahmen des Auftragnehmers, unabhängig davon, ob diese Inhalte personenbezogene Daten enthalten oder nicht.
3. Verfügbarkeit
Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um insbesondere die Verfügbarkeit von Verarbeitungssystemen und -diensten zu gewährleisten:
Der Verarbeiter trifft geeignete Maßnahmen, um sicherzustellen, dass personenbezogene Daten vor unbeabsichtigter Zerstörung oder Verlust geschützt sind. Dies wird erreicht durch:
- Redundanz der Infrastruktur;
- Richtlinien zur lokalen (Arbeitsplatz) Speicherung personenbezogener Daten;
- Durchführung von Datensicherungen.
4. Belastbarkeit
Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um insbesondere die Ausfallsicherheit der Verarbeitungssysteme und -dienste zu gewährleisten:
- Der Auftragnehmer unterhält Richtlinien, um die mit der Umsetzung von Änderungen an seinen Diensten verbundenen Risiken zu bewerten und zu kontrollieren.
- Der Auftragnehmer führt ein Inventar aller IT-Assets, die für die Verarbeitungstätigkeiten verwendet werden. Der Auftragnehmer überwacht in diesem Zusammenhang den Zustand und die Verfügbarkeit der Verarbeitungsaktivitäten;
- Der Auftragnehmer erstellt regelmäßig Backups von Systemen, die personenbezogene Daten enthalten.
Genehmigte Unterauftragnehmer:
Amazon Web Services, Inc.
410 Terry Avenue North Seattle, WA 98109-5210, USA
Hosting
Calendly, LLC271
17th Street NW 10th Floor. Atlanta, Georgia, 30363, United States
Kalenderfunktion
cyclus.digital GmbH
Pflasteräckerstraße 12, 70186 Stuttgart, Deutschland
Content Management System
DATEV eG
90329 Nürnberg, Deutschland
Buchhaltung
Doorboost Inc.
137 Varick St, 2nd Floor New York, 10013, NY, USA
Kampagnensteuerung
Facebook Ireland Ltd.
4 Grand Canal Square Grand Canal Harbour Dublin 2, Ireland
Kampagnensteuerung
Google Inc. / Alphabet Inc.
1600 Amphitheatre Parkway, Mountain View, CA 94043, United States
Google Cloud (Hosting), G-Suite Apps (Kommunikation), Ads (Advertising Campaigns), Analytics (Reporting)
Jotform (hosted in EU)
111 Pine, St. Suite 1815, San Francisco, CA 94111 USA
Formular
LINEAR ORBIT, INC.
440 N Barranca Ave #4242 Covina, CA 91723, USA
Ticket Management
LinkedIn Ireland Unlimited
Company Wilton Place, Dublin 2, Irland
Kampagnensteuerung
Mailchimp LLC
675 Ponce de Leon Ave NE, Suite 5000, Atlanta, GA 30308 USA
Emailversand
monday.com Ltd.
6 Yitzhak Sadeh Street Tel Aviv, 6777506, Israel
Projektmanagement
Onepage GmbH
Neue Rothofstr. 13 -19, 60313 Frankfurt am Main, Deutschland
Content Management System
OpenAI OpCo, LLC
3180 18th Street, San Francisco, CA, United States
Chatbot
Pipedrive OÜ
Mustamäe tee 3a, 10615 Tallinn Estland
Kundenmanagement, Projektmanagement, Emailversand
Semrush
800 Boylston Street Suite 2475 Boston Massachusetts 02199, USA
Kampagnen Management und Kampagnen Auswertung
Sendgrid
1801 California Street, Suite 500, Denver, CO 80202, USA
Emailversand
Slack Technologies
Inc. 500 Howard Street San Francisco, CA 94105, United States
Kommunikation
Socialpilot
16192, Coastal Highway, Lewes, Delaware (United States) 19958, USA
Social Media Marketing
Stripe
185 Berry Street, Suite 550, San Francisco, CA 94107 United States
Zahlungsabwicklung, Rechnungsstellung
Webflow Inc.398
11th Street, Floor 2, San Francisco, CA 94103, USA
Content Management System
Zapier, Inc.
548 Market St. #62411, San Francisco, CA 94104-5401
Datenmanagement
1. Gegenstand und Dauer des Auftrags
1.1. Gegenstand des Auftrags
Der Gegenstand des Auftrags ergibt sich aus dem Bestellformular bzw. aus dem Vertrag der Parteien über die Durchführung folgender Dienstleistungen durch den Auftragnehmer: Bereitstellung der Doorboost Plattform und Online Marketing Dienstleistungen im Zusammenhang mit der Doorboost Plattform (nachfolgend Hauptvertrag). Soweit der Auftragnehmer dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO verarbeitet, gilt ergänzend dieser Auftragsverarbeitungsvertrag.
1.2. Dauer des Auftrags
Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet damit auch diese Vereinbarung, ohne dass es einer besonderen oder gesonderten Kündigung bedarf.
2. Konkretisierung des Auftragsinhalts
2.1. Umfang, Art und Zweck
Umfang, Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber ist die Analyse der durch den Auftraggeber bereitgestellten Daten zu bestehenden bzw. vergangenen Kunden, sowie der Erhebung von Informationen von potenziellen bzw. neuen Kunden durch das Erstellen, Platzieren und Optimieren von Online Marketingkampagnen in Plattformen, wie z.B. Facebook, Google und LinkedIn, sowie die Bereitstellung dieser Informationen für den Auftraggeber, sowie verbundene Unternehmen und Handelspartner.
2.2 Art der Daten
Gegenstand der Erhebung, Verarbeitung und / oder Nutzung personenbezogener Daten sind folgende Datenarten / -kategorien:
- Name und Kontaktdaten
- Produktinteresse
- IP-Adresse
- Timestamp
- Sonstige Daten, die dem Auftragnehmer vom Auftraggeber zur Verfügung gestellt werden
2.3 Kreis der Betroffenen
Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen umfasst:
- Webseitenbesucher
- Kunden / Registrierte User
- Potenzielle Neukunden auf Plattformen, wie Facebook, Instagram oder Google
- Geschäftskontakte
3. Weisungsbefugnis des Auftraggebers / Ort der Datenverarbeitung
3.1. Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich.
3.2. Der Umgang mit den Daten erfolgt im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers (vgl. Art. 28 Abs. 3 lit. a DSGVO). Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, dass er durch Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Entstehende Zusatzaufwände sind vom Auftraggeber zu vergüten. Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.
3.3. Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Der Auftragnehmer verwendet die Daten für keine anderen Zwecke. Hiervon ausgenommen sind das Erstellen von Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Verpflichtungen, sowie zur Einhaltung von Aufbewahrungspflichten erforderlich sind.
3.4. Der Auftragnehmer hat den Auftraggeber entsprechend Art. 28 Abs. 3 Uabs. 2 DSGVO zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
3.5. Die Verarbeitung der Auftraggeberdaten durch den Auftragnehmer findet in der Europäischen Union und in den Vereinigten Staaten von Amerika statt. Die Verarbeitung und / oder Verbringung an einen anderen Ort bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers. In diesem Fall ist der Auftragnehmer zudem verpflichtet, entsprechend den gesetzlich anwendbaren Vorgaben sowie gerichtlichen und behördlichen Auslegungen derselben für ein angemessenes Datenschutzniveau am Ort der Datenverarbeitung zu sorgen oder – nach Wahl des Auftraggebers – dem Auftraggeber die Möglichkeit einzuräumen, für ein angemessenen Datenschutzniveau zu sorgen.
4. Vertraulichkeit
Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung von personenbezogenen Daten befassten Mitarbeitern und anderen für den Auftragnehmer tätigen Personen untersagt ist, die personenbezogenen Daten außerhalb der Weisung zu verarbeiten.
5. Technisch-organisatorische Maßnahmen
5.1. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den Anforderungen des Datenschutzes gerecht wird. Er wird angemessene technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten des Auftraggebers treffen, die den Anforderungen des Art. 32 DSGVO genügen. Insbesondere sind die technischen und organisatorischen Maßnahmen dergestalt zu treffen, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Datenverarbeitung sichergestellt sind. Diese technischen und organisatorischen Maßnahmen sind in Anhang 1 dieser Vereinbarung beschrieben. Dem Auftraggeber sind diese technischen und organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die Risiken der zu verarbeitenden Daten ein angemessenes Schutzniveau bieten.
5.2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
6. Unterauftragsverhältnisse
6.1. Die Einschaltung und/oder Änderung von Unterauftragnehmern durch den Auftragnehmer ist grundsätzlich gestattet. Der Auftraggeber stimmt dem Einsatz von Unterauftragnehmern wie folgt zu:
6.1.1. Der Auftraggeber stimmt dem Einsatz der in Anhang 2 dieser Vereinbarung aufgeführten Unterauftragnehmer bereits jetzt zu
6.1.2. Der Auftraggeber stimmt dem Einsatz bzw. der Änderung weiterer Unterauftragnehmer zu, wenn der Auftragnehmer den Einsatz bzw. die Änderung vor Beginn der Datenverarbeitung schriftlich (E-Mail ausreichend) dem Auftraggeber mitteilt. Der Auftraggeber kann dem Einsatz eines neuen Unterauftragnehmers bzw. der Änderung widersprechen. Erfolgt kein Widerspruch innerhalb einer Frist von sieben Tagen nach Mitteilung, gilt die Zustimmung zum Einsatz oder zur Änderung als gegeben. Der Auftraggeber nimmt zur Kenntnis, dass in bestimmten Fällen die Leistung ohne den Einsatz eines bestimmten Unterauftragnehmers nicht mehr erbracht werden kann. In diesen Fällen ist jede Partei zur Kündigung ohne die Einhaltung einer Frist berechtigt. Liegt ein wichtiger datenschutzrechtlicher Grund für den Widerspruch vor und ist eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich, wird dem Auftraggeber ein Sonderkündigungsrecht eingeräumt.
6.2. Der Auftragnehmer hat die vertraglichen Vereinbarungen mit dem / den Unterauftragnehmer/n so zu gestalten, dass sie vergleichbare Datenschutzpflichten wie in diesem Auftrag vereinbart enthalten, unter Berücksichtigung der Art und des Umfangs der Datenverarbeitung im Rahmen des Unterauftrags. Die Verpflichtung des Unterauftragsverarbeiters muss schriftlich oder im elektronischen Format erfolgen.
6.3. Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.B. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern.
7. Betroffenenrechte
7.1. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffener Personen nach Kapitel III der DSGVO.
7.2. Der Auftragnehmer hat nur nach Weisung des Auftraggebers über die Daten, die im Auftrag verarbeitet werden, Auskunft zu geben, diese Daten zu berichtigen, zu löschen oder die Datenverarbeitung entsprechend einzuschränken. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Auskunft, Berichtigung oder Löschung seiner / ihrer Daten sowie hinsichtlich der Einschränkung der Datenverarbeitung wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
8. Mitwirkungspflichten des Auftragnehmers
8.1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherigen Konsultationen.
8.2. Im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO gilt Folgendes: Der Auftragnehmer ist verpflichtet, den Auftraggeber (i) über die Verletzung des Schutzes personenbezogener Daten unverzüglich zu informieren und (ii) bei einer solchen Verletzung erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder 34 DSGVO (Meldungen und Benachrichtigungen bei Verletzung des Schutzes personenbezogener Daten) für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gem. Ziffer 3 dieser Vereinbarung durchführen.
9. Sonstige Pflichten des Auftragnehmers
9.1. Soweit gesetzlich vorgeschrieben, bestellt der Auftragnehmer einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO, §§ 38, 6 BDSG neu ausüben kann. Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kontaktaufnahme auf Anfrage mitgeteilt.
9.2. Der Auftragnehmer wird den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Art. 58 DSGVO unterrichten. Dies gilt auch, soweit eine zuständige Behörde nach Art. 83 DSGVO beim Auftragnehmer ermittelt.
9.3. Der Auftragnehmer wir die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den Auftragnehmer im Hinblick auf die Vertragsausführung bzw. -erfüllung sicherstellen, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags.
10. Informations- und Überprüfungsrecht des Auftraggebers
10.1. Der Auftraggeber hat das Recht, die nach Art. 28 Abs. 3 h) DSGVO erforderlichen Informationen zum Nachweis der Einhaltung der vereinbarten Pflichten des Auftragnehmers anzufordern und Überprüfungen im Einvernehmen mit dem Auftragnehmer durchzuführen.
10.2. Die Parteien vereinbaren, dass der Auftragnehmer zum Nachweis der Einhaltung seiner Pflichten und Umsetzung der technischen und organisatorischen Maßnahmen berechtigt ist, dem Auftraggeber aussagekräftige Dokumentationen vorzulegen. Eine aussagekräftige Dokumentation kann durch z.B. die Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter), einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach ISO 27001) oder einer durch die zuständigen Aufsichtsbehörden genehmigten Zertifizierung erbracht werden.
10.3. Das Recht des Auftraggebers Vor-Ort-Kontrollen durchzuführen, wird hierdurch nicht beeinträchtigt. Der Auftraggeber wird jedoch abwägen, ob nach Vorlage von aussagekräftiger Dokumentation eine Vor-Ort-Kontrolle noch erforderlich ist, insbesondere unter Berücksichtigung der Aufrechterhaltung des ordnungsgemäßen Betriebs des Auftragnehmers.
10.4. Der Auftraggeber hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen.
11. Löschung von Daten und Rückgabe von Datenträgern
Nach Wahl und Aufforderung durch den Auftraggeber – spätestens mit Beendigung des Vertrags – hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.
12. Sonstiges
12.1. Änderungen, Nebenabreden und Ergänzungen dieses AV-Vertrages und seiner Anhänge bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieses AV-Vertrages handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Vorbehaltlich einer Verpflichtung zur Schriftform in diesem AV-Vertrag und im Hauptvertrag, erfolgt die Kommunikation zwischen dem Auftragnehmer und Auftraggeber im Rahmen dieses AV-Vertrages (insbesondere im Hinblick auf Weisungen und Informationserteilung) zumindest in Textform (z.B. E-Mail).
12.2. Dieser AV-Vertrag verpflichtet den Auftragnehmer nur insoweit, als dies zur Erfüllung der gesetzlichen Pflichten, insbesondere nach Art. 28 ff. DSGVO erforderlich ist und legt dem Auftragnehmer darüber hinaus keine weiteren Pflichten auf.
12.3. Es gilt das Recht der Bundesrepublik Deutschland.
13. Unterschrift Auftraggeber
Unternehmen:
Name:
Datum:
Unterschrift:
Anhang 1 zur Auftragsverarbeitungsvereinbarung
Technische und organisatorische Maßnahmen nach 1 Art. 32 DSGVO. Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um die laufende Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme und -dienste zu gewährleisten:
1. Vertraulichkeit
Der Auftragnehmer hat folgende technische und organisatorische Sicherheitsvorkehrungen getroffen, um insbesondere die Vertraulichkeit der Verarbeitungssysteme und -dienste zu gewährleisten:
Der Auftragnehmer verarbeitet alle Kundendaten an europäischen und / oder amerikanischen Serverstandorten, die von branchenführenden Cloud Service Providern betrieben werden, die hochentwickelte Maßnahmen zum Schutz vor unbefugtem Zugriff auf Datenverarbeitungsanlagen anbieten. Zu diesen Maßnahmen gehören:
- ein mehrschichtiges Sicherheitsmodell
- Rechenzentren werden überwacht;
- Zugriffsprotokolle und Aktivitätsaufzeichnungen werden geführt.
Der Auftragnehmer trifft geeignete Maßnahmen, um zu verhindern, dass seine Datenverarbeitungssysteme von Unbefugten benutzt werden. Dies wird erreicht durch:
- Identifikation und Passwort zum Zugreifen auf das User-Terminal erforderlich;
- Kunden können individuelle Benutzerkonten mit Berechtigungen definieren;
- Zugriffe auf Dateninhalte werden protokolliert.
Die Mitarbeiter des Auftragnehmers, die zur Nutzung seiner Datenverarbeitungssysteme berechtigt sind, können nur im Rahmen und in dem Umfang auf personenbezogene Daten zugreifen, der durch ihre jeweilige Zugriffsberechtigung (Berechtigung) abgedeckt ist. Insbesondere basieren die Zugriffsrechte und -ebenen auf der Funktion und Rolle der Mitarbeiter, wobei die Konzepte der geringsten Privilegien und des Wissensbedarfs verwendet werden, um die Zugriffsrechte an definierte Verantwortlichkeiten anzupassen. Dies wird erreicht durch:
- Mitarbeiterpolitik;
- wirksame und angemessene Disziplinarmaßnahmen gegen Personen, die unbefugt auf personenbezogene Daten zugreifen;
- beschränkter Zugriff auf personenbezogene Daten nur für autorisierte Personen.
2. Integrität
Der Auftragnehmer hat die folgende technische und organisatorische Sicherheit implementiert, um insbesondere die Integrität der Verarbeitungssysteme und -dienste zu gewährleisten:
Der Verarbeiter trifft geeignete Maßnahmen, um zu verhindern, dass personenbezogene Daten bei der Übermittlung oder beim Transport der Datenträger von Unbefugten gelesen, kopiert, verändert oder gelöscht werden. Dies wird erreicht durch:
- Vermeidung der Speicherung personenbezogener Daten auf nicht-passwortgeschützten tragbaren Speichermedien (z.B. USB-Sticks) für Transportzwecke.
Der Auftragnehmer greift auf keine Kundeninhalte zu, es sei denn, dies ist notwendig, um dem Kunden die von ihm ausgewählten Produkte und professionelle Dienstleistungen zur Verfügung zu stellen. Der Auftragnehmer greift nicht auf Kundeninhalte für andere Zwecke zu. Entsprechend weiß der Auftragnehmer nicht, welche Inhalte Kunden auf seinen Systemen speichern und kann nicht zwischen persönlichen Daten und anderen Inhalten unterscheiden, so dass der Auftragnehmer alle Kundeninhalte gleichbehandelt. Auf diese Weise profitieren alle Kundeninhalte von den gleichen Sicherheitsmaßnahmen des Auftragnehmers, unabhängig davon, ob diese Inhalte personenbezogene Daten enthalten oder nicht.
3. Verfügbarkeit
Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um insbesondere die Verfügbarkeit von Verarbeitungssystemen und -diensten zu gewährleisten:
Der Verarbeiter trifft geeignete Maßnahmen, um sicherzustellen, dass personenbezogene Daten vor unbeabsichtigter Zerstörung oder Verlust geschützt sind. Dies wird erreicht durch:
- Redundanz der Infrastruktur;
- Richtlinien zur lokalen (Arbeitsplatz) Speicherung personenbezogener Daten;
- Durchführung von Datensicherungen.
4. Belastbarkeit
Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um insbesondere die Ausfallsicherheit der Verarbeitungssysteme und -dienste zu gewährleisten:
- Der Auftragnehmer unterhält Richtlinien, um die mit der Umsetzung von Änderungen an seinen Diensten verbundenen Risiken zu bewerten und zu kontrollieren.
- Der Auftragnehmer führt ein Inventar aller IT-Assets, die für die Verarbeitungstätigkeiten verwendet werden. Der Auftragnehmer überwacht in diesem Zusammenhang den Zustand und die Verfügbarkeit der Verarbeitungsaktivitäten;
- Der Auftragnehmer erstellt regelmäßig Backups von Systemen, die personenbezogene Daten enthalten.
Genehmigte Unterauftragnehmer:
Amazon Web Services, Inc.
410 Terry Avenue North Seattle, WA 98109-5210, USA
Hosting
Calendly, LLC271
17th Street NW 10th Floor. Atlanta, Georgia, 30363, United States
Kalenderfunktion
cyclus.digital GmbH
Pflasteräckerstraße 12, 70186 Stuttgart, Deutschland
Content Management System
DATEV eG
90329 Nürnberg, Deutschland
Buchhaltung
Doorboost Inc.
137 Varick St, 2nd Floor New York, 10013, NY, USA
Kampagnensteuerung
Facebook Ireland Ltd.
4 Grand Canal Square Grand Canal Harbour Dublin 2, Ireland
Kampagnensteuerung
Google Inc. / Alphabet Inc.
1600 Amphitheatre Parkway, Mountain View, CA 94043, United States
Google Cloud (Hosting), G-Suite Apps (Kommunikation), Ads (Advertising Campaigns), Analytics (Reporting)
Jotform (hosted in EU)
111 Pine, St. Suite 1815, San Francisco, CA 94111 USA
Formular
LINEAR ORBIT, INC.
440 N Barranca Ave #4242 Covina, CA 91723, USA
Ticket Management
LinkedIn Ireland Unlimited
Company Wilton Place, Dublin 2, Irland
Kampagnensteuerung
Mailchimp LLC
675 Ponce de Leon Ave NE, Suite 5000, Atlanta, GA 30308 USA
Emailversand
monday.com Ltd.
6 Yitzhak Sadeh Street Tel Aviv, 6777506, Israel
Projektmanagement
Onepage GmbH
Neue Rothofstr. 13 -19, 60313 Frankfurt am Main, Deutschland
Content Management System
OpenAI OpCo, LLC
3180 18th Street, San Francisco, CA, United States
Chatbot
Pipedrive OÜ
Mustamäe tee 3a, 10615 Tallinn Estland
Kundenmanagement, Projektmanagement, Emailversand
Semrush
800 Boylston Street Suite 2475 Boston Massachusetts 02199, USA
Kampagnen Management und Kampagnen Auswertung
Sendgrid
1801 California Street, Suite 500, Denver, CO 80202, USA
Emailversand
Slack Technologies
Inc. 500 Howard Street San Francisco, CA 94105, United States
Kommunikation
Socialpilot
16192, Coastal Highway, Lewes, Delaware (United States) 19958, USA
Social Media Marketing
Stripe
185 Berry Street, Suite 550, San Francisco, CA 94107 United States
Zahlungsabwicklung, Rechnungsstellung
Webflow Inc.398
11th Street, Floor 2, San Francisco, CA 94103, USA
Content Management System
Zapier, Inc.
548 Market St. #62411, San Francisco, CA 94104-5401
Datenmanagement
1. Gegenstand und Dauer des Auftrags
1.1. Gegenstand des Auftrags
Der Gegenstand des Auftrags ergibt sich aus dem Bestellformular bzw. aus dem Vertrag der Parteien über die Durchführung folgender Dienstleistungen durch den Auftragnehmer: Bereitstellung der Doorboost Plattform und Online Marketing Dienstleistungen im Zusammenhang mit der Doorboost Plattform (nachfolgend Hauptvertrag). Soweit der Auftragnehmer dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO verarbeitet, gilt ergänzend dieser Auftragsverarbeitungsvertrag.
1.2. Dauer des Auftrags
Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet damit auch diese Vereinbarung, ohne dass es einer besonderen oder gesonderten Kündigung bedarf.
2. Konkretisierung des Auftragsinhalts
2.1. Umfang, Art und Zweck
Umfang, Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber ist die Analyse der durch den Auftraggeber bereitgestellten Daten zu bestehenden bzw. vergangenen Kunden, sowie der Erhebung von Informationen von potenziellen bzw. neuen Kunden durch das Erstellen, Platzieren und Optimieren von Online Marketingkampagnen in Plattformen, wie z.B. Facebook, Google und LinkedIn, sowie die Bereitstellung dieser Informationen für den Auftraggeber, sowie verbundene Unternehmen und Handelspartner.
2.2 Art der Daten
Gegenstand der Erhebung, Verarbeitung und / oder Nutzung personenbezogener Daten sind folgende Datenarten / -kategorien:
- Name und Kontaktdaten
- Produktinteresse
- IP-Adresse
- Timestamp
- Sonstige Daten, die dem Auftragnehmer vom Auftraggeber zur Verfügung gestellt werden
2.3 Kreis der Betroffenen
Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen umfasst:
- Webseitenbesucher
- Kunden / Registrierte User
- Potenzielle Neukunden auf Plattformen, wie Facebook, Instagram oder Google
- Geschäftskontakte
3. Weisungsbefugnis des Auftraggebers / Ort der Datenverarbeitung
3.1. Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich.
3.2. Der Umgang mit den Daten erfolgt im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers (vgl. Art. 28 Abs. 3 lit. a DSGVO). Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, dass er durch Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Entstehende Zusatzaufwände sind vom Auftraggeber zu vergüten. Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.
3.3. Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Der Auftragnehmer verwendet die Daten für keine anderen Zwecke. Hiervon ausgenommen sind das Erstellen von Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Verpflichtungen, sowie zur Einhaltung von Aufbewahrungspflichten erforderlich sind.
3.4. Der Auftragnehmer hat den Auftraggeber entsprechend Art. 28 Abs. 3 Uabs. 2 DSGVO zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
3.5. Die Verarbeitung der Auftraggeberdaten durch den Auftragnehmer findet in der Europäischen Union und in den Vereinigten Staaten von Amerika statt. Die Verarbeitung und / oder Verbringung an einen anderen Ort bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers. In diesem Fall ist der Auftragnehmer zudem verpflichtet, entsprechend den gesetzlich anwendbaren Vorgaben sowie gerichtlichen und behördlichen Auslegungen derselben für ein angemessenes Datenschutzniveau am Ort der Datenverarbeitung zu sorgen oder – nach Wahl des Auftraggebers – dem Auftraggeber die Möglichkeit einzuräumen, für ein angemessenen Datenschutzniveau zu sorgen.
4. Vertraulichkeit
Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung von personenbezogenen Daten befassten Mitarbeitern und anderen für den Auftragnehmer tätigen Personen untersagt ist, die personenbezogenen Daten außerhalb der Weisung zu verarbeiten.
5. Technisch-organisatorische Maßnahmen
5.1. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den Anforderungen des Datenschutzes gerecht wird. Er wird angemessene technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten des Auftraggebers treffen, die den Anforderungen des Art. 32 DSGVO genügen. Insbesondere sind die technischen und organisatorischen Maßnahmen dergestalt zu treffen, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Datenverarbeitung sichergestellt sind. Diese technischen und organisatorischen Maßnahmen sind in Anhang 1 dieser Vereinbarung beschrieben. Dem Auftraggeber sind diese technischen und organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die Risiken der zu verarbeitenden Daten ein angemessenes Schutzniveau bieten.
5.2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
6. Unterauftragsverhältnisse
6.1. Die Einschaltung und/oder Änderung von Unterauftragnehmern durch den Auftragnehmer ist grundsätzlich gestattet. Der Auftraggeber stimmt dem Einsatz von Unterauftragnehmern wie folgt zu:
6.1.1. Der Auftraggeber stimmt dem Einsatz der in Anhang 2 dieser Vereinbarung aufgeführten Unterauftragnehmer bereits jetzt zu
6.1.2. Der Auftraggeber stimmt dem Einsatz bzw. der Änderung weiterer Unterauftragnehmer zu, wenn der Auftragnehmer den Einsatz bzw. die Änderung vor Beginn der Datenverarbeitung schriftlich (E-Mail ausreichend) dem Auftraggeber mitteilt. Der Auftraggeber kann dem Einsatz eines neuen Unterauftragnehmers bzw. der Änderung widersprechen. Erfolgt kein Widerspruch innerhalb einer Frist von sieben Tagen nach Mitteilung, gilt die Zustimmung zum Einsatz oder zur Änderung als gegeben. Der Auftraggeber nimmt zur Kenntnis, dass in bestimmten Fällen die Leistung ohne den Einsatz eines bestimmten Unterauftragnehmers nicht mehr erbracht werden kann. In diesen Fällen ist jede Partei zur Kündigung ohne die Einhaltung einer Frist berechtigt. Liegt ein wichtiger datenschutzrechtlicher Grund für den Widerspruch vor und ist eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich, wird dem Auftraggeber ein Sonderkündigungsrecht eingeräumt.
6.2. Der Auftragnehmer hat die vertraglichen Vereinbarungen mit dem / den Unterauftragnehmer/n so zu gestalten, dass sie vergleichbare Datenschutzpflichten wie in diesem Auftrag vereinbart enthalten, unter Berücksichtigung der Art und des Umfangs der Datenverarbeitung im Rahmen des Unterauftrags. Die Verpflichtung des Unterauftragsverarbeiters muss schriftlich oder im elektronischen Format erfolgen.
6.3. Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.B. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern.
7. Betroffenenrechte
7.1. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffener Personen nach Kapitel III der DSGVO.
7.2. Der Auftragnehmer hat nur nach Weisung des Auftraggebers über die Daten, die im Auftrag verarbeitet werden, Auskunft zu geben, diese Daten zu berichtigen, zu löschen oder die Datenverarbeitung entsprechend einzuschränken. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Auskunft, Berichtigung oder Löschung seiner / ihrer Daten sowie hinsichtlich der Einschränkung der Datenverarbeitung wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
8. Mitwirkungspflichten des Auftragnehmers
8.1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherigen Konsultationen.
8.2. Im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO gilt Folgendes: Der Auftragnehmer ist verpflichtet, den Auftraggeber (i) über die Verletzung des Schutzes personenbezogener Daten unverzüglich zu informieren und (ii) bei einer solchen Verletzung erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder 34 DSGVO (Meldungen und Benachrichtigungen bei Verletzung des Schutzes personenbezogener Daten) für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gem. Ziffer 3 dieser Vereinbarung durchführen.
9. Sonstige Pflichten des Auftragnehmers
9.1. Soweit gesetzlich vorgeschrieben, bestellt der Auftragnehmer einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO, §§ 38, 6 BDSG neu ausüben kann. Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kontaktaufnahme auf Anfrage mitgeteilt.
9.2. Der Auftragnehmer wird den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Art. 58 DSGVO unterrichten. Dies gilt auch, soweit eine zuständige Behörde nach Art. 83 DSGVO beim Auftragnehmer ermittelt.
9.3. Der Auftragnehmer wir die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den Auftragnehmer im Hinblick auf die Vertragsausführung bzw. -erfüllung sicherstellen, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags.
10. Informations- und Überprüfungsrecht des Auftraggebers
10.1. Der Auftraggeber hat das Recht, die nach Art. 28 Abs. 3 h) DSGVO erforderlichen Informationen zum Nachweis der Einhaltung der vereinbarten Pflichten des Auftragnehmers anzufordern und Überprüfungen im Einvernehmen mit dem Auftragnehmer durchzuführen.
10.2. Die Parteien vereinbaren, dass der Auftragnehmer zum Nachweis der Einhaltung seiner Pflichten und Umsetzung der technischen und organisatorischen Maßnahmen berechtigt ist, dem Auftraggeber aussagekräftige Dokumentationen vorzulegen. Eine aussagekräftige Dokumentation kann durch z.B. die Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter), einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach ISO 27001) oder einer durch die zuständigen Aufsichtsbehörden genehmigten Zertifizierung erbracht werden.
10.3. Das Recht des Auftraggebers Vor-Ort-Kontrollen durchzuführen, wird hierdurch nicht beeinträchtigt. Der Auftraggeber wird jedoch abwägen, ob nach Vorlage von aussagekräftiger Dokumentation eine Vor-Ort-Kontrolle noch erforderlich ist, insbesondere unter Berücksichtigung der Aufrechterhaltung des ordnungsgemäßen Betriebs des Auftragnehmers.
10.4. Der Auftraggeber hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen.
11. Löschung von Daten und Rückgabe von Datenträgern
Nach Wahl und Aufforderung durch den Auftraggeber – spätestens mit Beendigung des Vertrags – hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.
12. Sonstiges
12.1. Änderungen, Nebenabreden und Ergänzungen dieses AV-Vertrages und seiner Anhänge bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieses AV-Vertrages handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Vorbehaltlich einer Verpflichtung zur Schriftform in diesem AV-Vertrag und im Hauptvertrag, erfolgt die Kommunikation zwischen dem Auftragnehmer und Auftraggeber im Rahmen dieses AV-Vertrages (insbesondere im Hinblick auf Weisungen und Informationserteilung) zumindest in Textform (z.B. E-Mail).
12.2. Dieser AV-Vertrag verpflichtet den Auftragnehmer nur insoweit, als dies zur Erfüllung der gesetzlichen Pflichten, insbesondere nach Art. 28 ff. DSGVO erforderlich ist und legt dem Auftragnehmer darüber hinaus keine weiteren Pflichten auf.
12.3. Es gilt das Recht der Bundesrepublik Deutschland.
13. Unterschrift Auftraggeber
Unternehmen:
Name:
Datum:
Unterschrift:
Anhang 1 zur Auftragsverarbeitungsvereinbarung
Technische und organisatorische Maßnahmen nach 1 Art. 32 DSGVO. Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um die laufende Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme und -dienste zu gewährleisten:
1. Vertraulichkeit
Der Auftragnehmer hat folgende technische und organisatorische Sicherheitsvorkehrungen getroffen, um insbesondere die Vertraulichkeit der Verarbeitungssysteme und -dienste zu gewährleisten:
Der Auftragnehmer verarbeitet alle Kundendaten an europäischen und / oder amerikanischen Serverstandorten, die von branchenführenden Cloud Service Providern betrieben werden, die hochentwickelte Maßnahmen zum Schutz vor unbefugtem Zugriff auf Datenverarbeitungsanlagen anbieten. Zu diesen Maßnahmen gehören:
- ein mehrschichtiges Sicherheitsmodell
- Rechenzentren werden überwacht;
- Zugriffsprotokolle und Aktivitätsaufzeichnungen werden geführt.
Der Auftragnehmer trifft geeignete Maßnahmen, um zu verhindern, dass seine Datenverarbeitungssysteme von Unbefugten benutzt werden. Dies wird erreicht durch:
- Identifikation und Passwort zum Zugreifen auf das User-Terminal erforderlich;
- Kunden können individuelle Benutzerkonten mit Berechtigungen definieren;
- Zugriffe auf Dateninhalte werden protokolliert.
Die Mitarbeiter des Auftragnehmers, die zur Nutzung seiner Datenverarbeitungssysteme berechtigt sind, können nur im Rahmen und in dem Umfang auf personenbezogene Daten zugreifen, der durch ihre jeweilige Zugriffsberechtigung (Berechtigung) abgedeckt ist. Insbesondere basieren die Zugriffsrechte und -ebenen auf der Funktion und Rolle der Mitarbeiter, wobei die Konzepte der geringsten Privilegien und des Wissensbedarfs verwendet werden, um die Zugriffsrechte an definierte Verantwortlichkeiten anzupassen. Dies wird erreicht durch:
- Mitarbeiterpolitik;
- wirksame und angemessene Disziplinarmaßnahmen gegen Personen, die unbefugt auf personenbezogene Daten zugreifen;
- beschränkter Zugriff auf personenbezogene Daten nur für autorisierte Personen.
2. Integrität
Der Auftragnehmer hat die folgende technische und organisatorische Sicherheit implementiert, um insbesondere die Integrität der Verarbeitungssysteme und -dienste zu gewährleisten:
Der Verarbeiter trifft geeignete Maßnahmen, um zu verhindern, dass personenbezogene Daten bei der Übermittlung oder beim Transport der Datenträger von Unbefugten gelesen, kopiert, verändert oder gelöscht werden. Dies wird erreicht durch:
- Vermeidung der Speicherung personenbezogener Daten auf nicht-passwortgeschützten tragbaren Speichermedien (z.B. USB-Sticks) für Transportzwecke.
Der Auftragnehmer greift auf keine Kundeninhalte zu, es sei denn, dies ist notwendig, um dem Kunden die von ihm ausgewählten Produkte und professionelle Dienstleistungen zur Verfügung zu stellen. Der Auftragnehmer greift nicht auf Kundeninhalte für andere Zwecke zu. Entsprechend weiß der Auftragnehmer nicht, welche Inhalte Kunden auf seinen Systemen speichern und kann nicht zwischen persönlichen Daten und anderen Inhalten unterscheiden, so dass der Auftragnehmer alle Kundeninhalte gleichbehandelt. Auf diese Weise profitieren alle Kundeninhalte von den gleichen Sicherheitsmaßnahmen des Auftragnehmers, unabhängig davon, ob diese Inhalte personenbezogene Daten enthalten oder nicht.
3. Verfügbarkeit
Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um insbesondere die Verfügbarkeit von Verarbeitungssystemen und -diensten zu gewährleisten:
Der Verarbeiter trifft geeignete Maßnahmen, um sicherzustellen, dass personenbezogene Daten vor unbeabsichtigter Zerstörung oder Verlust geschützt sind. Dies wird erreicht durch:
- Redundanz der Infrastruktur;
- Richtlinien zur lokalen (Arbeitsplatz) Speicherung personenbezogener Daten;
- Durchführung von Datensicherungen.
4. Belastbarkeit
Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um insbesondere die Ausfallsicherheit der Verarbeitungssysteme und -dienste zu gewährleisten:
- Der Auftragnehmer unterhält Richtlinien, um die mit der Umsetzung von Änderungen an seinen Diensten verbundenen Risiken zu bewerten und zu kontrollieren.
- Der Auftragnehmer führt ein Inventar aller IT-Assets, die für die Verarbeitungstätigkeiten verwendet werden. Der Auftragnehmer überwacht in diesem Zusammenhang den Zustand und die Verfügbarkeit der Verarbeitungsaktivitäten;
- Der Auftragnehmer erstellt regelmäßig Backups von Systemen, die personenbezogene Daten enthalten.
Genehmigte Unterauftragnehmer:
Amazon Web Services, Inc.
410 Terry Avenue North Seattle, WA 98109-5210, USA
Hosting
Calendly, LLC271
17th Street NW 10th Floor. Atlanta, Georgia, 30363, United States
Kalenderfunktion
cyclus.digital GmbH
Pflasteräckerstraße 12, 70186 Stuttgart, Deutschland
Content Management System
DATEV eG
90329 Nürnberg, Deutschland
Buchhaltung
Doorboost Inc.
137 Varick St, 2nd Floor New York, 10013, NY, USA
Kampagnensteuerung
Facebook Ireland Ltd.
4 Grand Canal Square Grand Canal Harbour Dublin 2, Ireland
Kampagnensteuerung
Google Inc. / Alphabet Inc.
1600 Amphitheatre Parkway, Mountain View, CA 94043, United States
Google Cloud (Hosting), G-Suite Apps (Kommunikation), Ads (Advertising Campaigns), Analytics (Reporting)
Jotform (hosted in EU)
111 Pine, St. Suite 1815, San Francisco, CA 94111 USA
Formular
LINEAR ORBIT, INC.
440 N Barranca Ave #4242 Covina, CA 91723, USA
Ticket Management
LinkedIn Ireland Unlimited
Company Wilton Place, Dublin 2, Irland
Kampagnensteuerung
Mailchimp LLC
675 Ponce de Leon Ave NE, Suite 5000, Atlanta, GA 30308 USA
Emailversand
monday.com Ltd.
6 Yitzhak Sadeh Street Tel Aviv, 6777506, Israel
Projektmanagement
Onepage GmbH
Neue Rothofstr. 13 -19, 60313 Frankfurt am Main, Deutschland
Content Management System
OpenAI OpCo, LLC
3180 18th Street, San Francisco, CA, United States
Chatbot
Pipedrive OÜ
Mustamäe tee 3a, 10615 Tallinn Estland
Kundenmanagement, Projektmanagement, Emailversand
Semrush
800 Boylston Street Suite 2475 Boston Massachusetts 02199, USA
Kampagnen Management und Kampagnen Auswertung
Sendgrid
1801 California Street, Suite 500, Denver, CO 80202, USA
Emailversand
Slack Technologies
Inc. 500 Howard Street San Francisco, CA 94105, United States
Kommunikation
Socialpilot
16192, Coastal Highway, Lewes, Delaware (United States) 19958, USA
Social Media Marketing
Stripe
185 Berry Street, Suite 550, San Francisco, CA 94107 United States
Zahlungsabwicklung, Rechnungsstellung
Webflow Inc.398
11th Street, Floor 2, San Francisco, CA 94103, USA
Content Management System
Zapier, Inc.
548 Market St. #62411, San Francisco, CA 94104-5401
Datenmanagement
1. Gegenstand und Dauer des Auftrags
1.1. Gegenstand des Auftrags
Der Gegenstand des Auftrags ergibt sich aus dem Bestellformular bzw. aus dem Vertrag der Parteien über die Durchführung folgender Dienstleistungen durch den Auftragnehmer: Bereitstellung der Doorboost Plattform und Online Marketing Dienstleistungen im Zusammenhang mit der Doorboost Plattform (nachfolgend Hauptvertrag). Soweit der Auftragnehmer dabei personenbezogene Daten für den Auftraggeber im Sinne von Art. 4 Nr. 2 und Art. 28 DSGVO verarbeitet, gilt ergänzend dieser Auftragsverarbeitungsvertrag.
1.2. Dauer des Auftrags
Die Dauer dieses Auftrags (Laufzeit) entspricht der Laufzeit des Hauptvertrags. Endet der Hauptvertrag, endet damit auch diese Vereinbarung, ohne dass es einer besonderen oder gesonderten Kündigung bedarf.
2. Konkretisierung des Auftragsinhalts
2.1. Umfang, Art und Zweck
Umfang, Art und Zweck der Verarbeitung personenbezogener Daten durch den Auftragnehmer für den Auftraggeber ist die Analyse der durch den Auftraggeber bereitgestellten Daten zu bestehenden bzw. vergangenen Kunden, sowie der Erhebung von Informationen von potenziellen bzw. neuen Kunden durch das Erstellen, Platzieren und Optimieren von Online Marketingkampagnen in Plattformen, wie z.B. Facebook, Google und LinkedIn, sowie die Bereitstellung dieser Informationen für den Auftraggeber, sowie verbundene Unternehmen und Handelspartner.
2.2 Art der Daten
Gegenstand der Erhebung, Verarbeitung und / oder Nutzung personenbezogener Daten sind folgende Datenarten / -kategorien:
- Name und Kontaktdaten
- Produktinteresse
- IP-Adresse
- Timestamp
- Sonstige Daten, die dem Auftragnehmer vom Auftraggeber zur Verfügung gestellt werden
2.3 Kreis der Betroffenen
Der Kreis der durch den Umgang mit ihren personenbezogenen Daten im Rahmen dieses Auftrags Betroffenen umfasst:
- Webseitenbesucher
- Kunden / Registrierte User
- Potenzielle Neukunden auf Plattformen, wie Facebook, Instagram oder Google
- Geschäftskontakte
3. Weisungsbefugnis des Auftraggebers / Ort der Datenverarbeitung
3.1. Für die Beurteilung der Zulässigkeit der Verarbeitung gemäß Art. 6 Abs. 1 DSGVO sowie für die Wahrung der Rechte der betroffenen Personen nach Art. 12 bis 22 DSGVO ist allein der Auftraggeber verantwortlich.
3.2. Der Umgang mit den Daten erfolgt im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Auftraggebers (vgl. Art. 28 Abs. 3 lit. a DSGVO). Der Auftraggeber behält sich im Rahmen der in dieser Vereinbarung getroffenen Auftragsbeschreibung ein Weisungsrecht über Art, Umfang und Verfahren der Datenverarbeitung vor, dass er durch Einzelweisungen konkretisieren kann. Änderungen des Verarbeitungsgegenstandes und Verfahrensänderungen sind gemeinsam abzustimmen und zu dokumentieren. Entstehende Zusatzaufwände sind vom Auftraggeber zu vergüten. Auskünfte an Dritte oder den Betroffenen darf der Auftragnehmer nur nach vorheriger schriftlicher Zustimmung durch den Auftraggeber erteilen.
3.3. Mündliche Weisungen wird der Auftraggeber unverzüglich schriftlich oder per E-Mail (in Textform) bestätigen. Der Auftragnehmer verwendet die Daten für keine anderen Zwecke. Hiervon ausgenommen sind das Erstellen von Sicherheitskopien, soweit sie zur Gewährleistung einer ordnungsgemäßen Datenverarbeitung erforderlich sind, sowie Daten, die im Hinblick auf die Einhaltung gesetzlicher Verpflichtungen, sowie zur Einhaltung von Aufbewahrungspflichten erforderlich sind.
3.4. Der Auftragnehmer hat den Auftraggeber entsprechend Art. 28 Abs. 3 Uabs. 2 DSGVO zu informieren, wenn er der Meinung ist, eine Weisung verstoße gegen datenschutzrechtliche Vorschriften. Der Auftragnehmer ist berechtigt, die Durchführung der entsprechenden Weisung so lange auszusetzen, bis sie durch den Verantwortlichen beim Auftraggeber bestätigt oder geändert wird.
3.5. Die Verarbeitung der Auftraggeberdaten durch den Auftragnehmer findet in der Europäischen Union und in den Vereinigten Staaten von Amerika statt. Die Verarbeitung und / oder Verbringung an einen anderen Ort bedarf der vorherigen schriftlichen Zustimmung des Auftraggebers. In diesem Fall ist der Auftragnehmer zudem verpflichtet, entsprechend den gesetzlich anwendbaren Vorgaben sowie gerichtlichen und behördlichen Auslegungen derselben für ein angemessenes Datenschutzniveau am Ort der Datenverarbeitung zu sorgen oder – nach Wahl des Auftraggebers – dem Auftraggeber die Möglichkeit einzuräumen, für ein angemessenen Datenschutzniveau zu sorgen.
4. Vertraulichkeit
Der Auftragnehmer gewährleistet, dass es den mit der Verarbeitung von personenbezogenen Daten befassten Mitarbeitern und anderen für den Auftragnehmer tätigen Personen untersagt ist, die personenbezogenen Daten außerhalb der Weisung zu verarbeiten.
5. Technisch-organisatorische Maßnahmen
5.1. Der Auftragnehmer wird in seinem Verantwortungsbereich die innerbetriebliche Organisation so gestalten, dass sie den Anforderungen des Datenschutzes gerecht wird. Er wird angemessene technische und organisatorische Maßnahmen zum Schutz der personenbezogenen Daten des Auftraggebers treffen, die den Anforderungen des Art. 32 DSGVO genügen. Insbesondere sind die technischen und organisatorischen Maßnahmen dergestalt zu treffen, dass die Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme und Dienste im Zusammenhang mit der Datenverarbeitung sichergestellt sind. Diese technischen und organisatorischen Maßnahmen sind in Anhang 1 dieser Vereinbarung beschrieben. Dem Auftraggeber sind diese technischen und organisatorischen Maßnahmen bekannt und er trägt die Verantwortung dafür, dass diese für die Risiken der zu verarbeitenden Daten ein angemessenes Schutzniveau bieten.
5.2. Die technischen und organisatorischen Maßnahmen unterliegen dem technischen Fortschritt und der Weiterentwicklung. Insoweit ist es dem Auftragnehmer gestattet, alternative adäquate Maßnahmen umzusetzen. Dabei darf das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten werden. Wesentliche Änderungen sind zu dokumentieren.
6. Unterauftragsverhältnisse
6.1. Die Einschaltung und/oder Änderung von Unterauftragnehmern durch den Auftragnehmer ist grundsätzlich gestattet. Der Auftraggeber stimmt dem Einsatz von Unterauftragnehmern wie folgt zu:
6.1.1. Der Auftraggeber stimmt dem Einsatz der in Anhang 2 dieser Vereinbarung aufgeführten Unterauftragnehmer bereits jetzt zu
6.1.2. Der Auftraggeber stimmt dem Einsatz bzw. der Änderung weiterer Unterauftragnehmer zu, wenn der Auftragnehmer den Einsatz bzw. die Änderung vor Beginn der Datenverarbeitung schriftlich (E-Mail ausreichend) dem Auftraggeber mitteilt. Der Auftraggeber kann dem Einsatz eines neuen Unterauftragnehmers bzw. der Änderung widersprechen. Erfolgt kein Widerspruch innerhalb einer Frist von sieben Tagen nach Mitteilung, gilt die Zustimmung zum Einsatz oder zur Änderung als gegeben. Der Auftraggeber nimmt zur Kenntnis, dass in bestimmten Fällen die Leistung ohne den Einsatz eines bestimmten Unterauftragnehmers nicht mehr erbracht werden kann. In diesen Fällen ist jede Partei zur Kündigung ohne die Einhaltung einer Frist berechtigt. Liegt ein wichtiger datenschutzrechtlicher Grund für den Widerspruch vor und ist eine einvernehmliche Lösungsfindung zwischen den Parteien nicht möglich, wird dem Auftraggeber ein Sonderkündigungsrecht eingeräumt.
6.2. Der Auftragnehmer hat die vertraglichen Vereinbarungen mit dem / den Unterauftragnehmer/n so zu gestalten, dass sie vergleichbare Datenschutzpflichten wie in diesem Auftrag vereinbart enthalten, unter Berücksichtigung der Art und des Umfangs der Datenverarbeitung im Rahmen des Unterauftrags. Die Verpflichtung des Unterauftragsverarbeiters muss schriftlich oder im elektronischen Format erfolgen.
6.3. Nicht als Unterauftragsverhältnisse im Sinne dieser Regelung sind solche Dienstleistungen zu verstehen, die der Auftragnehmer bei Dritten als Nebenleistung zur Unterstützung bei der Auftragsdurchführung in Anspruch nimmt. Dazu zählen z.B. Telekommunikationsleistungen, Wartung und Benutzerservice, Reinigungskräfte, Prüfer oder die Entsorgung von Datenträgern.
7. Betroffenenrechte
7.1. Der Auftragnehmer unterstützt den Auftraggeber im Rahmen seiner Möglichkeiten bei der Erfüllung der Anfragen und Ansprüche betroffener Personen nach Kapitel III der DSGVO.
7.2. Der Auftragnehmer hat nur nach Weisung des Auftraggebers über die Daten, die im Auftrag verarbeitet werden, Auskunft zu geben, diese Daten zu berichtigen, zu löschen oder die Datenverarbeitung entsprechend einzuschränken. Soweit ein Betroffener sich unmittelbar an den Auftragnehmer zwecks Auskunft, Berichtigung oder Löschung seiner / ihrer Daten sowie hinsichtlich der Einschränkung der Datenverarbeitung wenden sollte, wird der Auftragnehmer dieses Ersuchen unverzüglich an den Auftraggeber weiterleiten.
8. Mitwirkungspflichten des Auftragnehmers
8.1. Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der in Art. 32 bis 36 DSGVO genannten Pflichten zur Sicherheit personenbezogener Daten, Meldepflichten bei Datenpannen, Datenschutz-Folgeabschätzungen und vorherigen Konsultationen.
8.2. Im Hinblick auf eventuelle Melde- und Benachrichtigungspflichten des Auftraggebers nach Art. 33 und Art. 34 DSGVO gilt Folgendes: Der Auftragnehmer ist verpflichtet, den Auftraggeber (i) über die Verletzung des Schutzes personenbezogener Daten unverzüglich zu informieren und (ii) bei einer solchen Verletzung erforderlichenfalls bei seinen Pflichten nach Art. 33 und 34 DSGVO angemessen zu unterstützen (Art. 28 Abs. 3 Satz 2 lit. f DSGVO). Meldungen nach Art. 33 oder 34 DSGVO (Meldungen und Benachrichtigungen bei Verletzung des Schutzes personenbezogener Daten) für den Auftraggeber darf der Auftragnehmer nur nach vorheriger Weisung gem. Ziffer 3 dieser Vereinbarung durchführen.
9. Sonstige Pflichten des Auftragnehmers
9.1. Soweit gesetzlich vorgeschrieben, bestellt der Auftragnehmer einen Datenschutzbeauftragten, der seine Tätigkeit gemäß Art. 38 und 39 DSGVO, §§ 38, 6 BDSG neu ausüben kann. Dessen Kontaktdaten werden dem Auftraggeber zum Zweck der direkten Kontaktaufnahme auf Anfrage mitgeteilt.
9.2. Der Auftragnehmer wird den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde nach Art. 58 DSGVO unterrichten. Dies gilt auch, soweit eine zuständige Behörde nach Art. 83 DSGVO beim Auftragnehmer ermittelt.
9.3. Der Auftragnehmer wir die Durchführung der Auftragskontrolle mittels regelmäßiger Prüfungen durch den Auftragnehmer im Hinblick auf die Vertragsausführung bzw. -erfüllung sicherstellen, insbesondere Einhaltung und ggf. notwendige Anpassung von Regelungen und Maßnahmen zur Durchführung des Auftrags.
10. Informations- und Überprüfungsrecht des Auftraggebers
10.1. Der Auftraggeber hat das Recht, die nach Art. 28 Abs. 3 h) DSGVO erforderlichen Informationen zum Nachweis der Einhaltung der vereinbarten Pflichten des Auftragnehmers anzufordern und Überprüfungen im Einvernehmen mit dem Auftragnehmer durchzuführen.
10.2. Die Parteien vereinbaren, dass der Auftragnehmer zum Nachweis der Einhaltung seiner Pflichten und Umsetzung der technischen und organisatorischen Maßnahmen berechtigt ist, dem Auftraggeber aussagekräftige Dokumentationen vorzulegen. Eine aussagekräftige Dokumentation kann durch z.B. die Vorlage eines aktuellen Testats, von Berichten oder Berichtsauszügen unabhängiger Instanzen (z.B. Wirtschaftsprüfer, Revision, Datenschutzbeauftragter), einer geeigneten Zertifizierung durch IT-Sicherheits- oder Datenschutzaudit (z.B. nach ISO 27001) oder einer durch die zuständigen Aufsichtsbehörden genehmigten Zertifizierung erbracht werden.
10.3. Das Recht des Auftraggebers Vor-Ort-Kontrollen durchzuführen, wird hierdurch nicht beeinträchtigt. Der Auftraggeber wird jedoch abwägen, ob nach Vorlage von aussagekräftiger Dokumentation eine Vor-Ort-Kontrolle noch erforderlich ist, insbesondere unter Berücksichtigung der Aufrechterhaltung des ordnungsgemäßen Betriebs des Auftragnehmers.
10.4. Der Auftraggeber hat das Recht, sich durch Stichprobenkontrollen, die in der Regel rechtzeitig anzumelden sind, von der Einhaltung dieser Vereinbarung durch den Auftragnehmer in dessen Geschäftsbetrieb zu überzeugen. Der Auftragnehmer verpflichtet sich, dem Auftraggeber auf Anforderung die zur Wahrung seiner Verpflichtung zur Auftragskontrolle erforderlichen Auskünfte zu geben und die entsprechenden Nachweise verfügbar zu machen.
11. Löschung von Daten und Rückgabe von Datenträgern
Nach Wahl und Aufforderung durch den Auftraggeber – spätestens mit Beendigung des Vertrags – hat der Auftragnehmer sämtliche in seinen Besitz gelangte Unterlagen, erstellte Verarbeitungs- und Nutzungsergebnisse sowie Datenbestände, die im Zusammenhang mit dem Auftragsverhältnis stehen, dem Auftraggeber auszuhändigen oder nach vorheriger Zustimmung datenschutzgerecht zu vernichten. Gleiches gilt für Test- und Ausschussmaterial. Das Protokoll der Löschung ist auf Anforderung vorzulegen. Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Datenverarbeitung dienen, sind durch den Auftragnehmer entsprechend den jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufzubewahren. Er kann sie zu seiner Entlastung bei Vertragsende dem Auftraggeber übergeben.
12. Sonstiges
12.1. Änderungen, Nebenabreden und Ergänzungen dieses AV-Vertrages und seiner Anhänge bedürfen einer schriftlichen Vereinbarung und des ausdrücklichen Hinweises darauf, dass es sich um eine Änderung bzw. Ergänzung dieses AV-Vertrages handelt. Dies gilt auch für den Verzicht auf dieses Formerfordernis. Vorbehaltlich einer Verpflichtung zur Schriftform in diesem AV-Vertrag und im Hauptvertrag, erfolgt die Kommunikation zwischen dem Auftragnehmer und Auftraggeber im Rahmen dieses AV-Vertrages (insbesondere im Hinblick auf Weisungen und Informationserteilung) zumindest in Textform (z.B. E-Mail).
12.2. Dieser AV-Vertrag verpflichtet den Auftragnehmer nur insoweit, als dies zur Erfüllung der gesetzlichen Pflichten, insbesondere nach Art. 28 ff. DSGVO erforderlich ist und legt dem Auftragnehmer darüber hinaus keine weiteren Pflichten auf.
12.3. Es gilt das Recht der Bundesrepublik Deutschland.
13. Unterschrift Auftraggeber
Unternehmen:
Name:
Datum:
Unterschrift:
Anhang 1 zur Auftragsverarbeitungsvereinbarung
Technische und organisatorische Maßnahmen nach 1 Art. 32 DSGVO. Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um die laufende Vertraulichkeit, Integrität, Verfügbarkeit und Ausfallsicherheit der Verarbeitungssysteme und -dienste zu gewährleisten:
1. Vertraulichkeit
Der Auftragnehmer hat folgende technische und organisatorische Sicherheitsvorkehrungen getroffen, um insbesondere die Vertraulichkeit der Verarbeitungssysteme und -dienste zu gewährleisten:
Der Auftragnehmer verarbeitet alle Kundendaten an europäischen und / oder amerikanischen Serverstandorten, die von branchenführenden Cloud Service Providern betrieben werden, die hochentwickelte Maßnahmen zum Schutz vor unbefugtem Zugriff auf Datenverarbeitungsanlagen anbieten. Zu diesen Maßnahmen gehören:
- ein mehrschichtiges Sicherheitsmodell
- Rechenzentren werden überwacht;
- Zugriffsprotokolle und Aktivitätsaufzeichnungen werden geführt.
Der Auftragnehmer trifft geeignete Maßnahmen, um zu verhindern, dass seine Datenverarbeitungssysteme von Unbefugten benutzt werden. Dies wird erreicht durch:
- Identifikation und Passwort zum Zugreifen auf das User-Terminal erforderlich;
- Kunden können individuelle Benutzerkonten mit Berechtigungen definieren;
- Zugriffe auf Dateninhalte werden protokolliert.
Die Mitarbeiter des Auftragnehmers, die zur Nutzung seiner Datenverarbeitungssysteme berechtigt sind, können nur im Rahmen und in dem Umfang auf personenbezogene Daten zugreifen, der durch ihre jeweilige Zugriffsberechtigung (Berechtigung) abgedeckt ist. Insbesondere basieren die Zugriffsrechte und -ebenen auf der Funktion und Rolle der Mitarbeiter, wobei die Konzepte der geringsten Privilegien und des Wissensbedarfs verwendet werden, um die Zugriffsrechte an definierte Verantwortlichkeiten anzupassen. Dies wird erreicht durch:
- Mitarbeiterpolitik;
- wirksame und angemessene Disziplinarmaßnahmen gegen Personen, die unbefugt auf personenbezogene Daten zugreifen;
- beschränkter Zugriff auf personenbezogene Daten nur für autorisierte Personen.
2. Integrität
Der Auftragnehmer hat die folgende technische und organisatorische Sicherheit implementiert, um insbesondere die Integrität der Verarbeitungssysteme und -dienste zu gewährleisten:
Der Verarbeiter trifft geeignete Maßnahmen, um zu verhindern, dass personenbezogene Daten bei der Übermittlung oder beim Transport der Datenträger von Unbefugten gelesen, kopiert, verändert oder gelöscht werden. Dies wird erreicht durch:
- Vermeidung der Speicherung personenbezogener Daten auf nicht-passwortgeschützten tragbaren Speichermedien (z.B. USB-Sticks) für Transportzwecke.
Der Auftragnehmer greift auf keine Kundeninhalte zu, es sei denn, dies ist notwendig, um dem Kunden die von ihm ausgewählten Produkte und professionelle Dienstleistungen zur Verfügung zu stellen. Der Auftragnehmer greift nicht auf Kundeninhalte für andere Zwecke zu. Entsprechend weiß der Auftragnehmer nicht, welche Inhalte Kunden auf seinen Systemen speichern und kann nicht zwischen persönlichen Daten und anderen Inhalten unterscheiden, so dass der Auftragnehmer alle Kundeninhalte gleichbehandelt. Auf diese Weise profitieren alle Kundeninhalte von den gleichen Sicherheitsmaßnahmen des Auftragnehmers, unabhängig davon, ob diese Inhalte personenbezogene Daten enthalten oder nicht.
3. Verfügbarkeit
Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um insbesondere die Verfügbarkeit von Verarbeitungssystemen und -diensten zu gewährleisten:
Der Verarbeiter trifft geeignete Maßnahmen, um sicherzustellen, dass personenbezogene Daten vor unbeabsichtigter Zerstörung oder Verlust geschützt sind. Dies wird erreicht durch:
- Redundanz der Infrastruktur;
- Richtlinien zur lokalen (Arbeitsplatz) Speicherung personenbezogener Daten;
- Durchführung von Datensicherungen.
4. Belastbarkeit
Der Auftragnehmer hat die folgenden technischen und organisatorischen Sicherheitsmaßnahmen implementiert, um insbesondere die Ausfallsicherheit der Verarbeitungssysteme und -dienste zu gewährleisten:
- Der Auftragnehmer unterhält Richtlinien, um die mit der Umsetzung von Änderungen an seinen Diensten verbundenen Risiken zu bewerten und zu kontrollieren.
- Der Auftragnehmer führt ein Inventar aller IT-Assets, die für die Verarbeitungstätigkeiten verwendet werden. Der Auftragnehmer überwacht in diesem Zusammenhang den Zustand und die Verfügbarkeit der Verarbeitungsaktivitäten;
- Der Auftragnehmer erstellt regelmäßig Backups von Systemen, die personenbezogene Daten enthalten.
Genehmigte Unterauftragnehmer:
Amazon Web Services, Inc.
410 Terry Avenue North Seattle, WA 98109-5210, USA
Hosting
Calendly, LLC271
17th Street NW 10th Floor. Atlanta, Georgia, 30363, United States
Kalenderfunktion
cyclus.digital GmbH
Pflasteräckerstraße 12, 70186 Stuttgart, Deutschland
Content Management System
DATEV eG
90329 Nürnberg, Deutschland
Buchhaltung
Doorboost Inc.
137 Varick St, 2nd Floor New York, 10013, NY, USA
Kampagnensteuerung
Facebook Ireland Ltd.
4 Grand Canal Square Grand Canal Harbour Dublin 2, Ireland
Kampagnensteuerung
Google Inc. / Alphabet Inc.
1600 Amphitheatre Parkway, Mountain View, CA 94043, United States
Google Cloud (Hosting), G-Suite Apps (Kommunikation), Ads (Advertising Campaigns), Analytics (Reporting)
Jotform (hosted in EU)
111 Pine, St. Suite 1815, San Francisco, CA 94111 USA
Formular
LINEAR ORBIT, INC.
440 N Barranca Ave #4242 Covina, CA 91723, USA
Ticket Management
LinkedIn Ireland Unlimited
Company Wilton Place, Dublin 2, Irland
Kampagnensteuerung
Mailchimp LLC
675 Ponce de Leon Ave NE, Suite 5000, Atlanta, GA 30308 USA
Emailversand
monday.com Ltd.
6 Yitzhak Sadeh Street Tel Aviv, 6777506, Israel
Projektmanagement
Onepage GmbH
Neue Rothofstr. 13 -19, 60313 Frankfurt am Main, Deutschland
Content Management System
OpenAI OpCo, LLC
3180 18th Street, San Francisco, CA, United States
Chatbot
Pipedrive OÜ
Mustamäe tee 3a, 10615 Tallinn Estland
Kundenmanagement, Projektmanagement, Emailversand
Semrush
800 Boylston Street Suite 2475 Boston Massachusetts 02199, USA
Kampagnen Management und Kampagnen Auswertung
Sendgrid
1801 California Street, Suite 500, Denver, CO 80202, USA
Emailversand
Slack Technologies
Inc. 500 Howard Street San Francisco, CA 94105, United States
Kommunikation
Socialpilot
16192, Coastal Highway, Lewes, Delaware (United States) 19958, USA
Social Media Marketing
Stripe
185 Berry Street, Suite 550, San Francisco, CA 94107 United States
Zahlungsabwicklung, Rechnungsstellung
Webflow Inc.398
11th Street, Floor 2, San Francisco, CA 94103, USA
Content Management System
Zapier, Inc.
548 Market St. #62411, San Francisco, CA 94104-5401
Datenmanagement