Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der SaaS-Web-App ApexLead-pro (CRM-System). Die Verarbeitung erfolgt ausschließlich auf Grundlage dieses Vertrags und der Weisungen des Verantwortlichen.

Die Dauer der Verarbeitung entspricht der Dauer der Nutzung der SaaS-Dienstleistung durch den Verantwortlichen.

Die Verarbeitung umfasst insbesondere:

• Speicherung und Verwaltung von CRM-Daten
• Nutzerverwaltung und Authentifizierung
• E-Mail-Benachrichtigungen
• Datei-Uploads und Dokumentenspeicherung
• System- und Sicherheitsprotokolle
• Zahlungsabwicklung über Stripe
• Technische Bereitstellung der Web-App
• Übernahme von Daten, die der Verantwortliche bereitstellt (Datei-Import, eingefügter Text, Schnittstelle mit Zugangsschlüsseln, verbundene Google-Tabellenblätter, optional Adressbücher verbundener Konten)
• Abruf von E-Mails, Kalendereinträgen und optional Adressbüchern aus vom Verantwortlichen verbundenen Microsoft- oder Google-Konten
• Geocoding von Geschäftsadressen und Routenberechnung für die Tourenplanung

Zweck der Verarbeitung ist die Nutzung des CRM-Systems durch den Verantwortlichen.

Verarbeitete Datenarten:

• Stammdaten (Name, E-Mail, Unternehmensdaten)
• CRM-Daten (Kontakte, Leads, Notizen, Dateien)
• Nutzungsdaten (Logins, Aktionen, Zeitstempel)
• Zahlungsdaten (über Stripe)
• Technische Daten (IP-Adresse, Browser, Logfiles)
• Datei-Uploads (über Cloudflare R2)
• Importierte Organisationen und Geschäftskontakte (aus Dateien, eingefügtem Text, Schnittstelle, verbundenen Quellen)
• E-Mail-, Kalender- und optional Adressbuchdaten verbundener Konten sowie deren verschlüsselte Zugriffstoken
• Geschäftsadressen und daraus berechnete Koordinaten

Betroffene Personen:

• Kunden des Verantwortlichen
• Mitarbeiter des Verantwortlichen
• Kontaktpersonen aus importierten Listen und verbundenen Adressbüchern
• Sonstige Kontaktpersonen, deren Daten im CRM gespeichert werden

Der Verantwortliche ist für die Rechtmäßigkeit der Datenverarbeitung verantwortlich. Er erteilt dem Auftragsverarbeiter Weisungen und informiert ihn unverzüglich über Fehler oder Unregelmäßigkeiten.

Der Auftragsverarbeiter verpflichtet sich:

• Daten ausschließlich auf Weisung des Verantwortlichen zu verarbeiten
• Alle Personen, die Zugang zu Daten haben, zur Vertraulichkeit zu verpflichten
• Geeignete technische und organisatorische Maßnahmen (TOM) umzusetzen
• Den Verantwortlichen bei der Erfüllung von Betroffenenrechten zu unterstützen
• Datenschutzverletzungen unverzüglich zu melden
• Daten nach Vertragsende zu löschen oder zurückzugeben

Der Auftragsverarbeiter gewährleistet ein angemessenes Schutzniveau durch:

• TLS-Verschlüsselung
• Passwort-Hashing
• Zugriffsbeschränkungen
• Rollenbasierte Berechtigungen
• Verschlüsselte Datenübertragung zu R2 und Neon
• Regelmäßige Backups
• Monitoring und Logging
• Schutz vor unbefugtem Zugriff

Eine detaillierte TOM-Liste kann auf Anfrage bereitgestellt werden.

Der Auftragsverarbeiter setzt folgende Unterauftragsverarbeiter ein:

• Vercel Inc. – Hosting der Web-App (Serverstandort: Frankfurt am Main, Deutschland – Vercel-Region „fra1“; Unternehmenssitz: USA)
• Neon Tech, Inc. – Datenbankhosting (Serverstandort: Frankfurt am Main, Deutschland – AWS-Region eu-central-1)
• Cloudflare, Inc. – Datei-Speicher (R2)
• IONOS SE – E-Mail-Versand
• Stripe Payments Europe, Ltd. – Zahlungsabwicklung
• HeiGIT gGmbH (Heidelberg, Deutschland): OpenRouteService, Geocoding von Geschäftsadressen und Routenberechnung für die Tourenplanung

Der Verantwortliche stimmt dem Einsatz dieser Unterauftragsverarbeiter zu. Änderungen werden rechtzeitig mitgeteilt.

Keine Unterauftragsverarbeiter im Sinne dieses Vertrags sind Dienste, die der Verantwortliche selbst nutzt und mit ApexLead-pro verbindet (insbesondere Microsoft 365 und Outlook, Google Workspace und Gmail, Google Tabellen sowie Automatisierungsdienste, die über die Schnittstelle Daten übermitteln). Der Abruf aus diesen Diensten erfolgt im Auftrag und mit Autorisierung des Verantwortlichen; es gelten die Verträge des Verantwortlichen mit diesen Anbietern.

Die eigentliche Verarbeitung der CRM-Daten — Hosting der Web-App über Vercel sowie Speicherung in der Datenbank über Neon — erfolgt physisch ausschließlich in Rechenzentren innerhalb der EU (Frankfurt am Main, Deutschland). Ein Drittlandtransfer der CRM-/Kundendaten findet insoweit nicht statt.

Andere Unterauftragsverarbeiter (z. B. Stripe, Cloudflare) können im Rahmen ihrer jeweiligen Teilleistung (z. B. Zahlungsabwicklung, Datei-Speicher) auch Daten außerhalb der EU verarbeiten. Die Übermittlung erfolgt in diesen Fällen ausschließlich auf Grundlage geeigneter Garantien, insbesondere Standardvertragsklauseln gemäß Art. 46 DSGVO bzw. des EU-US Data Privacy Framework.

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei:

• Auskunfts-, Lösch- und Berichtigungsanfragen
• Datenschutz-Folgenabschätzungen
• Meldungen von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen unverzüglich jede Verletzung des Schutzes personenbezogener Daten, einschließlich aller relevanten Informationen zur Bewertung und Abhilfe.

Nach Beendigung des Vertragsverhältnisses:

• Werden personenbezogene Daten gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen
• Kann der Verantwortliche eine Datenexport-Datei anfordern
• Werden Backups nach Ablauf der Backup-Fristen automatisch gelöscht

Bereits während der Vertragslaufzeit werden Rückgängig-Daten und Fehlerberichte des Datenimports automatisch nach 30 Tagen gelöscht. Löschanfragen zu einzelnen Datensätzen erfassen auch diese Kopien.

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung dieses Vertrags nachzuweisen. Audits können nach vorheriger Abstimmung durchgeführt werden.

Änderungen dieses Vertrags bedürfen der Schriftform.

Es gilt deutsches Recht.

Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.