Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung der Plattform „LeadsSuite" und wird gemäß Art. 28 DSGVO als Anlage zum Nutzungsvertrag (AGB) geschlossen. Der AVV gilt mit der Annahme durch den Kunden und für die Dauer des zugrunde liegenden Nutzungsvertrages.

§ 1 Parteien, Rolle und Gegenstand

(1) Verantwortlicher ist der Kunde (die Organisation), der Empfänger- und Kontaktdaten in die Plattform einbringt und über deren Verarbeitung entscheidet.

(2) Auftragsverarbeiter ist Dominic Ferdinand Ahrer, Einzelunternehmen, Handelsname LeadsSuite, Altdorferstraße 3a, 4050 Traun, Österreich, UID ATU72487739, office@leadssuite.app.

(3) Gegenstand ist die Bereitstellung der LeadsSuite-Plattform zur Recherche und Anreicherung von B2B-Adressen sowie zum personalisierten Brief- und Akquiseversand (postalisch über einen Druckdienstleister oder im Selbstdruck) nebst ergänzenden Funktionen (Anrufprotokolle, transaktionale Benachrichtigungen, Zahlungsabwicklung). Der Auftragsverarbeiter verarbeitet die überlassenen personenbezogenen Daten ausschließlich zur Erfüllung dieses Vertrages und nicht für eigene Zwecke.

§ 2 Art, Umfang, Zweck und Dauer der Verarbeitung

(1) Art der Verarbeitung: Erheben, Speichern, Strukturieren, Anreichern, Übermitteln an die in Anlage 2 genannten Sub-Auftragsverarbeiter (Druck/Versand, Textbausteine, Zahlungs- und Mail-Dienstleister) sowie Löschen.

(2) Zweck: ausschließlich die in § 1 genannte Vertragserfüllung. Eine eigene Zweckbestimmung durch den Auftragsverarbeiter findet nicht statt.

(3) Dauer: für die Laufzeit des Nutzungsvertrages; die Löschung oder Rückgabe richtet sich nach § 7.

§ 3 Art der Daten und Kategorien betroffener Personen

(1) Kategorien betroffener Personen: Brief- und Akquiseempfänger (Leads), Nutzer und Operatoren der Kundenorganisation sowie – bei aktivierter Aufzeichnung – angerufene Personen.

(2) Art der personenbezogenen Daten: Identitäts- und Kontaktdaten (Name, Anrede, E-Mail, Telefon, Funktion), Anschriften, Unternehmensbezug (Firmenname, Website, Rechtsform, Registerdaten), aus öffentlichen Quellen abgeleitete Anreicherungsfelder (z. B. Anrede/Geschlecht, Seniorität, Unternehmensanalyse, Social-Media-Profile), Nutzer-Stammdaten sowie – soweit aktiviert – Anrufaufzeichnungen und Transkripte.

§ 4 Weisungsrecht, Vertraulichkeit, technische und organisatorische Maßnahmen

(1) Weisungsrecht. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO). Als Weisung gelten die im Rahmen der Plattformnutzung ausgelösten Verarbeitungsvorgänge (Recherche, Anreicherung, Versand) sowie gesonderte Weisungen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen.

(2) Vertraulichkeit. Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).

(3) Technische und organisatorische Maßnahmen (Art. 32 DSGVO). Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen Maßnahmen und hält diese während der Vertragslaufzeit dem Stand der Technik entsprechend aufrecht.

§ 5 Sub-Auftragsverarbeiter

(1) Der Verantwortliche erteilt eine allgemeine schriftliche Genehmigung zur Beauftragung der in Anlage 2 genannten Sub-Auftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO).

(2) Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen (Hinzufügung oder Ersetzung eines Sub-Auftragsverarbeiters) und räumt ihm das Recht ein, hiergegen innerhalb einer angemessenen Frist Widerspruch zu erheben. Widerspricht der Verantwortliche aus einem wichtigen datenschutzrechtlichen Grund, sind die Parteien um eine einvernehmliche Lösung bemüht; andernfalls besteht ein Sonderkündigungsrecht.

(3) Der Auftragsverarbeiter verpflichtet jeden Sub-Auftragsverarbeiter auf Datenschutzpflichten, die den vorliegenden entsprechen (Art. 28 Abs. 4 DSGVO).

§ 6 Unterstützung bei Betroffenenrechten und Meldepflichten

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des technisch Möglichen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO) sowie bei den Pflichten aus Art. 32–36 DSGVO (Datensicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

(2) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Verantwortlichen unverzüglich (Art. 33 Abs. 2 DSGVO).

(3) Anfragen betroffener Personen, die beim Auftragsverarbeiter eingehen, leitet dieser unverzüglich an den Verantwortlichen weiter; die Beantwortung obliegt dem Verantwortlichen.

§ 7 Löschung, Rückgabe und Nachweis

(1) Nach Beendigung des Nutzungsvertrages löscht der Auftragsverarbeiter die verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück (Art. 28 Abs. 3 lit. g DSGVO), soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Für abrechnungsrelevante Unterlagen gilt die gesetzliche Aufbewahrungsfrist (§ 132 BAO – sieben Jahre).

(2) Löscht der Verantwortliche einen einzelnen Kontakt innerhalb der Plattform, wird dieser unverzüglich aus der Anwendung entfernt und nicht mehr für Kontaktaufnahmen verwendet. Die personenbezogenen Daten dieses Kontakts werden nach 90 Tagen endgültig entfernt; die Frist dient der Verteidigung gegen mögliche Ansprüche und der Beantwortung nachträglicher Auskunftsersuchen (Art. 17 Abs. 3 lit. e DSGVO). Es verbleibt ein Vermerk ohne Personenbezug, damit derselbe Kontakt bei einem späteren Import nicht erneut angelegt wird.

(3) Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen in angemessenem Umfang (Art. 28 Abs. 3 lit. h DSGVO).

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter setzt insbesondere folgende Maßnahmen ein:

• Mandantentrennung auf Datenbankebene durch Row-Level Security (jede Organisation sieht ausschließlich ihre eigenen Daten).
• Verschlüsselung in der Übertragung (TLS/HTTPS) und im Ruhezustand; verschlüsselte Speicherung sensibler Zugangs- und Token-Daten.
• EU-Datenstandort der Datenbank und des Datei-Speichers.
• Rollenbasierte Zugriffskontrolle innerhalb der Plattform (Rechte nach Rolle in der Organisation).
• Authentifizierung über gehashte Passwörter bzw. OAuth; Schutz vor automatisierten Zugriffen (Captcha).
• Verfügbarkeit und Wiederherstellbarkeit durch regelmäßige Sicherungen der verwalteten Datenbank.
• Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.

Anlage 2 — Sub-Auftragsverarbeiter (Stand: 4. Juli 2026)

Der Verantwortliche genehmigt die Beauftragung der folgenden Sub-Auftragsverarbeiter:

Reine Referenz- und Geodaten (z. B. GeoNames) sind keine Auftragsverarbeitung, sondern einseitig bezogene offene Daten ohne Übermittlung personenbezogener Daten; sie sind im Impressum unter „Datenquellen" ausgewiesen.