Auftragsverarbeitungsvertrag (AV-Vertrag)
gemäß Art. 28 DSGVO

1. Vertragsgegenstand

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung von Optin Pilot. Das System umfasst:

• Erfassung, Speicherung, Verwaltung und Weiterleitung von Leads
• Betrieb eines Empfehlungsprogramms mit Belohnungsstufen
• Marktplatz für digitale Inhalte (Freebies, Belohnungs-Templates)
• Vendor-Bereich zur Bereitstellung von Belohnungs-Templates
• Import und Nutzung von Drittanbieter-Templates

2. Art und Zweck der Verarbeitung

Die Verarbeitung umfasst folgende Tätigkeiten:

• Speicherung und Verwaltung von personenbezogenen Kontaktdaten
• Technische Bereitstellung einer Lead-Datenbank
• Verarbeitung von Empfehlungs-IDs zur Verfolgung von Lead-Ketten
• Automatisierte Versandprozesse für Benachrichtigungs-E-Mails
• Bereitstellung des Marktplatzes und Speicherung von Transaktionsdaten
• Verwaltung von Vendor-Profilen und Template-Metadaten
• Übermittlung von Daten zwischen Nutzern im Rahmen des Marktplatzes

Zweck: Unterstützung des Verantwortlichen im digitalen Marketing, in der Lead-Generierung und beim Betrieb von Empfehlungsprogrammen.

3. Art der Daten

Verarbeitet werden insbesondere:

3.1 Lead- und Kundendaten

• E-Mail-Adressen
• Name (Vor- und Nachname)
• Zeitstempel der Registrierung
• Zuordnung zu Empfehlungsquellen (Referral-IDs)
• Interaktions- und Nutzungsdaten
• IP-Adressen (zur Einwilligungsdokumentation)

3.2 Vendor- und Marktplatz-Daten

• Vendor-Profildaten (Name, Website, Beschreibung)
• Template-Metadaten (Titel, Beschreibungen, Kategorien)
• Marktplatz-Transaktionsdaten (Käufe, Imports)
• Externe URLs in Templates (Download-Links, Redirect-URLs)

4. Kategorien betroffener Personen

• Website-Besucher des Verantwortlichen
• Interessenten und Leads
• Kunden des Verantwortlichen
• Empfehlungsgeber (Teilnehmer am Empfehlungsprogramm)
• Vendors (Anbieter von Belohnungs-Templates)
• Marktplatz-Käufer und -Nutzer
• Empfänger von Belohnungen

5. Datenübermittlung zwischen Nutzern

5.1 Marktplatz und Vendor-Bereich

Im Rahmen des Marktplatzes und des Vendor-Bereichs werden bestimmte Daten zwischen Nutzern übermittelt:

• Vendor-Daten: Name, Website und Beschreibung des Vendors werden anderen Nutzern angezeigt
• Template-Daten: Beim Import werden Template-Inhalte an den importierenden Nutzer übermittelt
• Externe URLs: In Templates enthaltene Download- oder Redirect-URLs werden weitergegeben

5.2 Verantwortlichkeiten

5.3 Externe URLs und Drittanbieter

Belohnungs-Templates können externe URLs enthalten, die auf Dienste außerhalb der Plattform verweisen. Der Auftragsverarbeiter hat keine Kontrolle über diese externen Dienste und ist nicht für deren Datenschutzpraktiken verantwortlich.

6. Pflichten des Verantwortlichen (Kunden)

Der Verantwortliche bestätigt und verpflichtet sich:

1. Der Erwerb und die Nutzung personenbezogener Daten erfolgt rechtmäßig.
2. Eine gültige Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO für E-Mail-Marketing liegt vor.
3. Die Anforderungen des UWG (Anti-Spam-Gesetz) werden eingehalten.
4. Ein gültiges Impressum und eine Datenschutzerklärung werden bereitgestellt.
5. Die Daten werden ausschließlich für den vorgesehenen Zweck genutzt.
6. Als Vendor: Bereitgestellte Inhalte verletzen keine Rechte Dritter.
7. Externe URLs in eigenen Templates sind datenschutzkonform.

7. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• Daten ausschließlich im Rahmen dieses Vertrages und nach Weisung zu verarbeiten
• Daten nicht an unberechtigte Dritte weiterzugeben
• Angemessene technische und organisatorische Maßnahmen (TOMs) umzusetzen
• Zugriffe auf Daten nur befugten und zur Verschwiegenheit verpflichteten Personen zu ermöglichen
• Den Verantwortlichen bei der Erfüllung von Betroffenenanfragen zu unterstützen (siehe §12)
• Datenpannen unverzüglich zu melden (siehe §11)

8. Einsatz von Unterauftragsverarbeitern

Zur technischen Bereitstellung werden folgende Unterauftragsverarbeiter eingesetzt:

Der Auftragsverarbeiter ist berechtigt, weitere Unterauftragsverarbeiter einzusetzen. Der Verantwortliche wird über Änderungen informiert und kann innerhalb von 14 Tagen Einspruch erheben.

9. Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter gewährleistet folgende Maßnahmen gemäß Art. 32 DSGVO:

9.1 Vertraulichkeit

• Passwort- und Zugriffsschutz mit Rollensystem
• Verschlüsselte Speicherung von Passwörtern
• Zugriffsbeschränkung nach Need-to-know-Prinzip

9.2 Integrität

• SSL-/TLS-Verschlüsselung für Datenübertragung
• System- und Zugriff-Logging
• Regelmäßige Sicherheitsupdates

9.3 Verfügbarkeit

• Automatisierte Backups innerhalb der EU
• Redundante Serverinfrastruktur
• Disaster-Recovery-Maßnahmen

9.4 Belastbarkeit

• DDoS-Schutz
• Monitoring und Alerting
• Skalierbare Infrastruktur

10. Kontrollrechte des Verantwortlichen

Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrages zu überprüfen:

• Durch schriftliche Auskunftsersuchen, die innerhalb von 14 Tagen beantwortet werden
• Durch Einsichtnahme in relevante Dokumentationen (TOMs, Unterauftragsverarbeiter-Verträge)
• Durch Vor-Ort-Prüfungen nach vorheriger Abstimmung (mindestens 14 Tage Vorlauf) und auf eigene Kosten

11. Meldung von Datenpannen

Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 48 Stunden, über jede Verletzung des Schutzes personenbezogener Daten informieren.

Die Meldung umfasst mindestens:

• Beschreibung der Art der Verletzung
• Kategorien und ungefähre Anzahl betroffener Personen
• Wahrscheinliche Folgen der Verletzung
• Ergriffene oder vorgeschlagene Maßnahmen

12. Unterstützung bei Betroffenenrechten

Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anfragen betroffener Personen nach Art. 15-22 DSGVO:

• Auskunftsrecht (Art. 15): Bereitstellung der gespeicherten Daten
• Berichtigungsrecht (Art. 16): Korrektur unrichtiger Daten
• Löschungsrecht (Art. 17): Löschung auf Anfrage
• Einschränkung (Art. 18): Sperrung von Daten
• Datenübertragbarkeit (Art. 20): Export in maschinenlesbarem Format

Der Auftragsverarbeiter wird Anfragen, die direkt bei ihm eingehen, unverzüglich an den Verantwortlichen weiterleiten.

13. Löschung und Rückgabe von Daten

Nach Vertragsende:

• Werden alle verarbeiteten Daten innerhalb von 30 Tagen gelöscht
• Auf Wunsch werden die Daten vor der Löschung in einem gängigen Format zurückgegeben
• Die Löschung wird auf Anfrage schriftlich bestätigt

Ausnahme: Gesetzliche Aufbewahrungspflichten bleiben unberührt. In diesem Fall werden die Daten gesperrt und nach Ablauf der Frist gelöscht.

14. Haftung

Der Auftragsverarbeiter haftet ausschließlich bei vorsätzlichem oder grob fahrlässigem Verhalten.

Ausgeschlossen ist die Haftung für:

• Entgangene Gewinne oder mittelbare Schäden
• Inhalte von Vendors oder Marktplatz-Anbietern
• Externe URLs und Drittanbieter-Dienste in Templates
• Rechtsverstöße durch den Verantwortlichen

15. Laufzeit und Kündigung

Dieser Vertrag tritt mit dem Zeitpunkt der Registrierung in Kraft und gilt solange die Nutzung von Optin Pilot besteht.

Eine gesonderte Unterschrift ist nicht erforderlich. Die Zustimmung erfolgt elektronisch über die Registrierungsseite und wird mit Zeitstempel, IP-Adresse und Vertragsversion dokumentiert.

Der Vertrag endet automatisch mit Beendigung des Hauptvertrages (Nutzungsvertrag / AGB).

16. Schlussbestimmungen

• Änderungen und Ergänzungen dieses Vertrages bedürfen der Schriftform.
• Es gilt deutsches Recht.
• Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
• Gerichtsstand ist – soweit zulässig – der Sitz des Auftragsverarbeiters.