Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der SaaS-Web-App ApexLead-pro (CRM-System). Die Verarbeitung erfolgt ausschließlich auf Grundlage dieses Vertrags und der Weisungen des Verantwortlichen.

Die Dauer der Verarbeitung entspricht der Dauer der Nutzung der SaaS-Dienstleistung durch den Verantwortlichen.

Die Verarbeitung umfasst insbesondere:

• Speicherung und Verwaltung von CRM-Daten
• Nutzerverwaltung und Authentifizierung
• E-Mail-Benachrichtigungen
• Datei-Uploads und Dokumentenspeicherung
• System- und Sicherheitsprotokolle
• Zahlungsabwicklung über Stripe
• Technische Bereitstellung der Web-App
• Bereitstellung der mobilen Companion-App (Progressive Web App), Kopplung eines Smartphones des Verantwortlichen sowie Zustellung von Benachrichtigungen an dessen Endgeräte (Click-to-Dial und allgemeine App-Benachrichtigungen)
• Übernahme von Daten, die der Verantwortliche bereitstellt (Datei-Import, eingefügter Text, Schnittstelle mit Zugangsschlüsseln, verbundene Google-Tabellenblätter, optional Adressbücher verbundener Konten)
• Abruf von E-Mails, Kalendereinträgen und optional Adressbüchern aus vom Verantwortlichen verbundenen Microsoft- oder Google-Konten
• Geocoding von Geschäftsadressen und Routenberechnung für die Tourenplanung
• Anbindung eines vom Verantwortlichen gewählten SIP-/VoIP-Anbieters als Browser-Softphone, Protokollierung von Anrufen und Anruf-Sessions (Anrufmodus) sowie Abgleich eingehender Rufnummern mit den Daten des Verantwortlichen
• Betrieb einer öffentlichen Buchungsseite des Verantwortlichen (Terminbuchung): Entgegennahme der Angaben buchender Personen, Berechnung freier Zeiten, Geocoding der angegebenen Besuchsadresse und Fahrzeitberechnung, Versand der Bestätigungs- und Absage-Nachrichten sowie Anlage von Organisation, Ansprechpartner, Lead und Kalendereintrag im CRM des Verantwortlichen
• Versand von Termineinladungen, Änderungs- und Absagenachrichten samt Kalenderdatei an die vom Verantwortlichen benannten Eingeladenen sowie Entgegennahme deren Zusage
• Bereitstellung und Betrieb von Videogesprächen über Apex-Meet auf einem von uns betriebenen Konferenzserver: Vermittlung der Verbindung, Weiterleitung von Bild und Ton während des Gesprächs sowie Versand des Zugangs an Gastgeber und Eingeladene. Eine Aufzeichnung, Transkription oder inhaltliche Auswertung der Gespräche findet nicht statt

Zweck der Verarbeitung ist die Nutzung des CRM-Systems durch den Verantwortlichen.

Verarbeitete Datenarten:

• Stammdaten (Name, E-Mail, Unternehmensdaten)
• CRM-Daten (Kontakte, Leads, Notizen, Dateien)
• Nutzungsdaten (Logins, Aktionen, Zeitstempel)
• Zahlungsdaten (über Stripe)
• Technische Daten (IP-Adresse, Browser, Logfiles)
• Geräte- und Zustelldaten der Companion-App: Plattform, vom Nutzer vergebener Gerätename, Zeitpunkt der Kopplung und der letzten Aktivität sowie die vom Browser erzeugte Push-Adresse samt kryptografischer Schlüssel für die verschlüsselte Zustellung
• Datei-Uploads (Hetzner Object Storage, Falkenstein)
• Bilder, die Nutzer für ihre E-Mail-Signatur hinterlegen. Abweichend von den übrigen Datei-Uploads sind sie bestimmungsgemäß ohne Anmeldung über eine zufällig erzeugte, nicht erratbare Adresse abrufbar, damit die Empfänger der E-Mails sie sehen. Die Adresse ist für alle E-Mails und Empfänger dieselbe; Abrufe werden weder einzelnen E-Mails oder Empfängern zugeordnet noch ausgewertet
• Importierte Organisationen und Geschäftskontakte (aus Dateien, eingefügtem Text, Schnittstelle, verbundenen Quellen)
• E-Mail-, Kalender- und optional Adressbuchdaten verbundener Konten sowie deren verschlüsselte Zugriffstoken
• Geschäftsadressen und daraus berechnete Koordinaten
• Telefonie-Daten: verschlüsselte SIP-Zugangsdaten, Verbindungsdaten (Rufnummer, Zeitpunkt, Dauer, Ergebnis), Anruflisten, Gesprächsnotizen, Anrufsperren und Einwilligungsvermerke
• Terminbuchungs-Daten: Name, E-Mail-Adresse, optional Telefonnummer, Unternehmen, Website und Nachricht der buchenden Person, bei Vor-Ort-Terminen die angegebene Besuchsadresse und die daraus berechneten Koordinaten, gewählter Zeitpunkt und Terminart sowie Zeitpunkt der erteilten Einwilligung
• Termin- und Einladungsdaten: Name und E-Mail-Adresse der Eingeladenen, Titel, Beschreibung, Ort und Zeitraum des Termins, Zugang zum Online-Gespräch und Zeitpunkt einer Zusage
• Videokonferenz-Daten: selbst gewählter Anzeigename der Teilnehmenden, IP-Adresse, Zeitpunkt und Dauer der Teilnahme, technische Verbindungsdaten sowie Bild- und Tonübertragung im Durchlauf. Zum angelegten Gespräch zusätzlich der zufällig erzeugte Raumname, der Zugangsschlüssel des Gastgebers, eine optionale Bezeichnung, der geplante Zeitraum sowie Name und E-Mail-Adresse der eingeladenen Person
• Bei einem über IMAP/SMTP verbundenen Postfach zusätzlich die verschlüsselt gespeicherten Zugangsdaten dieses Postfachs

Betroffene Personen:

• Kunden des Verantwortlichen
• Mitarbeiter des Verantwortlichen
• Kontaktpersonen aus importierten Listen und verbundenen Adressbüchern
• Angerufene und anrufende Personen (Ansprechpartner des Verantwortlichen)
• Personen, die über eine Buchungsseite des Verantwortlichen einen Termin buchen
• Zu Terminen des Verantwortlichen eingeladene Personen
• Teilnehmende an Videogesprächen des Verantwortlichen über Apex-Meet
• Empfänger von E-Mails des Verantwortlichen, deren Mailprogramm ein Signaturbild lädt (technische Abrufdaten wie IP-Adresse und Zeitpunkt)
• Sonstige Kontaktpersonen, deren Daten im CRM gespeichert werden

Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Er erteilt dem Auftragsverarbeiter Weisungen und informiert ihn unverzüglich über Fehler oder Unregelmäßigkeiten.

Der Auftragsverarbeiter verpflichtet sich:

• Daten ausschließlich auf Weisung des Verantwortlichen zu verarbeiten
• Alle Personen, die Zugang zu Daten haben, zur Vertraulichkeit zu verpflichten
• Geeignete technische und organisatorische Maßnahmen (TOM) umzusetzen
• Den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen
• Datenschutzverletzungen unverzüglich zu melden
• Daten nach Vertragsende zu löschen oder zurückzugeben

Der Auftragsverarbeiter gewährleistet ein angemessenes Schutzniveau durch:

• TLS-Verschlüsselung
• Passwort-Hashing
• Optionaler zweiter Faktor für Nutzerkonten: zeitbasiertes Einmalkennwort (RFC 6238) oder Passkey (WebAuthn). Der Auftraggeber kann den zweiten Faktor für sämtliche Konten seines Mandanten verpflichtend schalten. Es ist hierfür kein Drittanbieter eingebunden, es erfolgt kein SMS-Versand und es wird keine Telefonnummer erhoben.
• Zugriffsbeschränkungen
• Rollenbasierte Berechtigungen
• Verschlüsselte Datenübertragung zum Dateispeicher und zur Datenbank
• Verschlüsselte Speicherung von Zugangsdaten verbundener Konten und Postfächer (AES-256)
• Verschlüsselte Übertragung von Videogesprächen (DTLS-SRTP, TLS), keine Aufzeichnung, Löschung der Serverprotokolle des Konferenzservers nach 48 Stunden, zufällig erzeugte Raumnamen ohne Personen- oder Anlassbezug
• Regelmäßige Backups
• Monitoring und Logging
• Schutz vor unbefugtem Zugriff

Eine detaillierte TOM-Liste kann auf Anfrage bereitgestellt werden.

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

• Vercel Inc. – Hosting der Web-App (Serverstandort: Frankfurt am Main, Deutschland – Vercel-Region „fra1“; Unternehmenssitz: USA)
• Neon Tech, Inc. – Datenbankhosting (Serverstandort: Frankfurt am Main, Deutschland – AWS-Region eu-central-1)
• IONOS SE – E-Mail-Versand
• Stripe Payments Europe, Ltd. – Zahlungsabwicklung
• Google LLC (USA): Firebase Cloud Messaging, technische Zustellung von Push-Benachrichtigungen an Android- und Chrome-Geräte; nur bei vom Nutzer aktivierter Benachrichtigung. Übermittelt werden ausschließlich Zustellmetadaten (Adresse, Zeitpunkt, verschlüsselte Nutzlast); die Inhalte sind durch die Web-Push-Verschlüsselung geschützt und für Google nicht lesbar
• Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA: Apple Push Notification Service, technische Zustellung von Push-Benachrichtigungen an iOS- und Safari-Geräte; im Übrigen wie vorstehend
• HeiGIT gGmbH (Heidelberg, Deutschland): OpenRouteService, Geocoding von Geschäftsadressen und Routenberechnung für die Tourenplanung sowie für die Terminbuchung (Besuchsadresse und Fahrzeit)
• Google LLC (USA): STUN-Server stun.l.google.com zur Verbindungsherstellung von WebRTC-Anrufen des Browser-Softphones; verarbeitet nur öffentliche IP-Adresse und Port des Nutzers; nur bei eingerichtetem Softphone und nur, solange der Verantwortliche keinen eigenen STUN-Server hinterlegt
• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland – zwei Teilleistungen, beide im Rechenzentrum Falkenstein/Vogtland, Deutschland:
  • Speicherung der vom Verantwortlichen hochgeladenen Dateien (Object Storage). Der Speicher ist privat; eine Auslieferung erfolgt ausschließlich über eine angemeldete Route des Auftragsverarbeiters.
  • Betrieb des Konferenzservers für Videogespräche über Apex-Meet.
  Hetzner stellt jeweils ausschließlich die Infrastruktur bereit; Konferenz- und Speichersoftware betreibt der Auftragsverarbeiter selbst, ein inhaltlicher Zugriff durch Hetzner findet nicht statt.

Der Verantwortliche stimmt dem Einsatz dieser Unterauftragsverarbeiter zu. Änderungen werden rechtzeitig mitgeteilt.

Davon zu unterscheiden sind Dienste, die der Verantwortliche selbst nutzt und mit ApexLead-pro verbindet. Sie sind keine Unterauftragsverarbeiter im Sinne dieses Vertrags. Das betrifft insbesondere:

• Microsoft 365 und Outlook einschließlich Microsoft Teams
• Google Workspace und Gmail einschließlich Google Meet
• Google Tabellen als verbundene Datenquelle
• Den Anbieter eines über IMAP/SMTP verbundenen Postfachs
• Automatisierungsdienste, die über die Schnittstelle Daten übermitteln (z. B. Zapier, Make, n8n)
• Den SIP-/VoIP-Anbieter des Browser-Softphones

Warum diese Unterscheidung: Ein Unterauftragsverarbeiter ist ein Dienstleister, den der Auftragsverarbeiter auswählt und beauftragt. Die oben genannten Dienste wählt und beauftragt dagegen der Verantwortliche selbst; er unterhält dort ein eigenes Vertragsverhältnis und erteilt ApexLead-pro lediglich die Berechtigung, in seinem Auftrag darauf zuzugreifen. ApexLead-pro kann diesen Anbietern weder Weisungen erteilen noch das Vertragsverhältnis beenden noch es prüfen.

Pflicht des Verantwortlichen: Verbindet der Verantwortliche einen solchen Dienst, ist er dafür verantwortlich, dass sein eigenes Verhältnis zu diesem Anbieter datenschutzrechtlich geregelt ist, insbesondere durch einen dort abgeschlossenen Auftragsverarbeitungsvertrag und, soweit erforderlich, geeignete Garantien für Übermittlungen in Drittländer. ApexLead-pro prüft das nicht und schuldet insoweit keine Verfügbarkeit oder Rechtmäßigkeit der Leistungen dieser Anbieter.

Die eigentliche Verarbeitung der CRM-Daten — Hosting der Web-App über Vercel sowie Speicherung in der Datenbank über Neon — erfolgt physisch ausschließlich in Rechenzentren innerhalb der EU (Frankfurt am Main, Deutschland). Auch die hochgeladenen Dateien und die Videogespräche über Apex-Meet liegen ausschließlich auf Servern in Deutschland (Falkenstein/Vogtland). Ein Drittlandtransfer der CRM-/Kundendaten findet insoweit nicht statt.

Andere Unterauftragsverarbeiter (z. B. Stripe) können im Rahmen ihrer jeweiligen Teilleistung (z. B. Zahlungsabwicklung) auch Daten außerhalb der EU verarbeiten. Die Übermittlung erfolgt in diesen Fällen ausschließlich auf Grundlage geeigneter Garantien, insbesondere Standardvertragsklauseln gemäß Art. 46 DSGVO bzw. des EU-US Data Privacy Framework.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei:

• Auskunfts-, Lösch- und Berichtigungsanfragen
• Datenschutz-Folgenabschätzungen
• Meldungen von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jede Verletzung des Schutzes personenbezogener Daten, einschließlich aller relevanten Informationen zur Bewertung und Abhilfe.

Nach Beendigung des Vertragsverhältnisses:

• Werden personenbezogene Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen
• Kann der Verantwortliche eine Datenexport-Datei anfordern
• Werden Backups nach Ablauf der Backup-Fristen automatisch gelöscht

Bereits während der Vertragslaufzeit werden Rückgängig-Daten und Fehlerberichte des Datenimports automatisch nach 30 Tagen gelöscht. Löschanfragen zu einzelnen Datensätzen erfassen auch diese Kopien sowie die Einträge des Anrufmodus (Anruflisten, Ergebnisse, Gesprächsnotizen) zu dem betroffenen Datensatz. Die Protokolle des Konferenzservers werden unabhängig davon nach 48 Stunden automatisch gelöscht; Inhalte von Videogesprächen entstehen dort gar nicht erst als Speicherbestand.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung dieses Vertrags nachzuweisen. Audits können nach vorheriger Abstimmung durchgeführt werden.

Änderungen dieses Vertrags bedürfen der Schriftform.

Es gilt deutsches Recht.

Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.