Auftragsverarbeitungsvertrag (AVV)

Präambel

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert die datenschutz­rechtlichen Verpflichtungen der Vertragsparteien aus dem zugrunde liegenden Hauptvertrag über die Nutzung der Leadgold-Plattform. Er gilt für alle Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter (Leadgold) für den Auftraggeber (Kunde) durchführt.

1. Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Erbringung der im Hauptvertrag beschriebenen Leistungen, insbesondere die Verarbeitung von Instagram-Direktnachrichten, Lead-Informationen, Sprachaufnahmen und damit verbundenen Metadaten. Die Dauer entspricht der Laufzeit des Hauptvertrages.

2. Art und Zweck der Verarbeitung

Bereitstellung einer SaaS-Anwendung zur automatisierten DM-Bearbeitung, Lead-Qualifizierung, Generierung KI-gestützter Antworten sowie Erstellung personalisierter Voice-Klone.

3. Art der Daten und Betroffenenkategorien

Verarbeitet werden insbesondere:

• Stammdaten und Profilinformationen des Kunden
• Nachrichteninhalte und Metadaten von Instagram-Followern
• Sprachaufnahmen des Kunden (Voice-Cloning)
• technische Nutzungsdaten (IP, User-Agent, Zeitstempel)

Betroffene Personen: Kunde und seine Mitarbeitenden, Instagram-Follower / Leads des Kunden.

4. Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Auftraggebers
• Verpflichtung aller mit der Datenverarbeitung befassten Personen auf Vertraulichkeit
• Umsetzung geeigneter technischer und organisatorischer Maßnahmen (Anlage 1)
• Unterstützung des Auftraggebers bei der Wahrnehmung von Betroffenenrechten
• Unverzügliche Meldung von Datenschutzverletzungen (max. 24 h)
• Löschung oder Rückgabe sämtlicher Daten nach Vertragsende

5. Pflichten des Auftraggebers

Der Auftraggeber ist im Sinne der DSGVO „Verantwortlicher" und beurteilt die Rechtmäßigkeit der Verarbeitung in eigener Verantwortung. Er erteilt Weisungen grundsätzlich in Textform.

6. Unterauftragsverarbeiter

Der Auftraggeber genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:

• Supabase, Inc. (Datenbank, Auth, Storage) – EU-Hosting
• Cloudflare, Inc. (Hosting, CDN, Sicherheit)
• ElevenLabs, Inc. (Voice-Cloning, USA) – Standardvertragsklauseln
• Meta Platforms Ireland Ltd. (Instagram Graph API)
• Stripe Payments Europe Ltd. (Zahlungsabwicklung)
• Google Ireland Ltd. (Gemini-API über Lovable AI Gateway)

Über die Hinzuziehung weiterer oder den Wechsel von Unterauftragsverarbeitern informiert der Auftragsverarbeiter mindestens 30 Tage vorab. Der Auftraggeber kann aus wichtigem Grund widersprechen.

7. Technische und organisatorische Maßnahmen (Anlage 1)

• Vertraulichkeit: Zutritts-, Zugangs- und Zugriffskontrolle (MFA, RBAC, RLS)
• Integrität: Eingabekontrolle, Transportverschlüsselung (TLS 1.2+), kryptographische Signaturen
• Verfügbarkeit: redundante Hosting-Architektur, automatisierte Backups, Monitoring 24/7
• Pseudonymisierung & Verschlüsselung: Verschlüsselung at-rest, Pseudonymisierung wo möglich
• Belastbarkeit: regelmäßige Wiederanlauf- und Wiederherstellungstests
• Auftragskontrolle: dokumentierte Weisungslage, Verträge mit Unterauftrag­nehmern
• Datenschutzmanagement: Verfahrensverzeichnis, DSFA bei Bedarf, Datenschutz-Schulungen

8. Kontrollrechte

Der Auftraggeber kann sich von der Einhaltung der getroffenen Maßnahmen überzeugen, in der Regel durch Auskünfte und Vorlage geeigneter Nachweise (z. B. aktueller Audit-Berichte oder Zertifizierungen). Vor-Ort-Audits sind nach vorheriger Abstimmung und unter Wahrung der Geheimhaltungspflichten möglich.

9. Haftung und Schlussbestimmungen

Es gilt Art. 82 DSGVO. Im Übrigen finden die Regelungen des Hauptvertrages Anwendung. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag haben die Regelungen dieses AVV Vorrang, soweit sie datenschutzrechtliche Aspekte betreffen.