Präambel

Der Auftragsverarbeiter ist offizieller Reseller- und Supportpartner der ActiveCampaign, LLC, 1 North Dearborn Street, Fifth Floor, Chicago, IL 60602, USA (nachstehend „ActiveCampaign“) und betreibt das Advertal Partner-Netzwerk. Im Rahmen dieses Modells verwaltet der Auftragsverarbeiter die Softwarelizenz des Verantwortlichen für die Plattform ActiveCampaign, rechnet diese gegenüber dem Verantwortlichen ab und erbringt deutschsprachige Support-, Beratungs- und Administrationsleistungen rund um die Nutzung der Plattform.

Der Auftragsverarbeiter stellt keine eigene Softwareplattform bereit und betreibt keine eigene technische Infrastruktur für die Plattform ActiveCampaign. Die technische Bereitstellung, das Hosting, die Speicherung der Daten sowie der Betrieb der Plattform erfolgen ausschließlich durch ActiveCampaign.

Zur Erbringung der im Hauptvertrag vereinbarten Leistungen erhält der Auftragsverarbeiter administrativen Zugriff auf den ActiveCampaign-Account des Verantwortlichen. Dabei kann er auf personenbezogene Daten zugreifen, für die der Verantwortliche Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist. Die Parteien gehen deshalb für den gesamten Umfang der vertragsgegenständlichen Verarbeitungen von einem Auftragsverarbeitungsverhältnis im Sinne des Art. 28 DSGVO aus und treffen die nachfolgenden Regelungen, um die Vorgaben von DSGVO und BDSG zu erfüllen.

Diese Rollenverteilung entspricht der vertraglichen Festlegung zwischen dem Auftragsverarbeiter und ActiveCampaign: Nach dem zwischen der Advertal GmbH und ActiveCampaign geschlossenen Partner Data Processing Addendum sind die Kunden des Auftragsverarbeiters Verantwortliche, der Auftragsverarbeiter ist Auftragsverarbeiter und ActiveCampaign ist ein von dem Auftragsverarbeiter eingeschalteter weiterer Auftragsverarbeiter (Unterauftragsverarbeiter).

Zustandekommen. Diese Vereinbarung ist Bestandteil des zwischen den Parteien geschlossenen Hauptvertrages und wird mit dessen Abschluss nach § 5 der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters einbezogen – insbesondere mit der Bestätigung eines Zahlungslinks oder der Aufnahme in das Advertal Partner-Netzwerk. Einer gesonderten Unterzeichnung bedarf es nicht; Art. 28 Abs. 9 DSGVO lässt die elektronische Form ausdrücklich zu. Auf Wunsch des Verantwortlichen fertigt der Auftragsverarbeiter zusätzlich ein unterzeichnetes Exemplar aus. Rückwirkende Geltung: Bestand zwischen den Parteien bereits vor dem Abschluss dieser Vereinbarung ein Auftragsverhältnis, in dessen Rahmen der Auftragsverarbeiter personenbezogene Daten des Verantwortlichen verarbeitet hat, gilt diese Vereinbarung auch für diese zurückliegenden Verarbeitungen ab deren Beginn. Die Parteien stellen damit klar, dass die gesamte bisherige Zusammenarbeit den Anforderungen des Art. 28 DSGVO unterliegt. Die jeweils gültige Fassung ist unter https://www.advertal.de/rechtliches abrufbar; Änderungen kündigt der Auftragsverarbeiter nach § 6 dieser Vereinbarung und § 16 der Allgemeinen Geschäftsbedingungen an.

§ 1 Gegenstand, Rangfolge und Dauer

(1) Gegenstand dieses Vertrages ist die Verarbeitung personenbezogener Daten (nachstehend „Daten“) durch den Auftragsverarbeiter im Auftrag und auf dokumentierte Weisung des Verantwortlichen, soweit diese Verarbeitung im Rahmen der Erbringung der Leistungen nach dem zwischen den Parteien geschlossenen Service-Level-Agreement nebst Anlagen (nachstehend „Hauptvertrag“) erfolgt.

(2) Dieser Vertrag geht hinsichtlich der vertragsgegenständlichen Verarbeitungen sämtlichen anderen Vereinbarungen der Parteien vor, einschließlich des Hauptvertrages und der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters. Im Widerspruchsfall sind allein die Regelungen dieses Vertrages maßgeblich.

(3) Dieser Vertrag beginnt mit seiner Unterzeichnung bzw. mit dem gemäß § 16 Abs. 2 dokumentierten elektronischen Abschluss und läuft für die Dauer des Hauptvertrages. Er endet automatisch mit Beendigung des Hauptvertrages, ohne dass es einer gesonderten Kündigung bedarf.

(4) Der Verantwortliche kann diesen Vertrag jederzeit mit einer Frist von einem Monat zum Monatsende kündigen. Eine Kündigung dieses Vertrages durch den Auftragsverarbeiter ist ausgeschlossen, solange der Hauptvertrag fortbesteht. Das Recht beider Parteien zur außerordentlichen Kündigung aus wichtigem Grund bleibt unberührt. Ein wichtiger Grund für den Verantwortlichen liegt insbesondere vor, wenn der Auftragsverarbeiter gegen wesentliche Pflichten dieses Vertrages verstößt und den Verstoß nicht innerhalb einer angemessenen Frist abstellt.

(5) Den Parteien ist bekannt, dass eine Auftragsverarbeitung ohne wirksame Vereinbarung nach Art. 28 DSGVO unzulässig ist. Endet dieser Vertrag, ohne dass der Hauptvertrag endet, stellt der Auftragsverarbeiter jede weitere Verarbeitung von Daten unverzüglich ein; der Verantwortliche wird in diesem Fall die Entkopplung seines ActiveCampaign-Accounts vom Advertal Partner-Netzwerk veranlassen.

(6) Alle Regelungen dieses Vertrages, die nach ihrem Sinn und Zweck dazu bestimmt sind, dessen Laufzeit zu überdauern, bleiben auch nach dessen Beendigung in Kraft; dies gilt insbesondere für die Vertraulichkeits-, Lösch- und Nachweispflichten.

§ 2 Beschreibung der Verarbeitung

2.1 Art und Zweck der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich zu den nachfolgenden Zwecken und nur, soweit dies zur Erfüllung des Hauptvertrages erforderlich ist:

Bereitstellung und Verwaltung der Softwarelizenz ActiveCampaign über das Advertal Reseller-Portal (Einrichtung, Zuordnung, Upgrades, Downgrades, Tarif- und Kontingentänderungen, Entkopplung, Kündigung);

Support-, Beratungs- und Administrationsleistungen innerhalb des ActiveCampaign-Accounts des Verantwortlichen, insbesondere Fehleranalyse und Fehlerbehebung, Unterstützung bei Automationen, Listen, Segmentierungen, Formularen, Kampagnen, Integrationen und vergleichbaren Funktionen;

Konfiguration, Prüfung und Optimierung von Einstellungen innerhalb des Accounts auf Weisung des Verantwortlichen;

Auswertung und Erläuterung von Kampagnen-, Zustell- und Nutzungsdaten innerhalb des Accounts auf Weisung des Verantwortlichen;

Speicherung, Verarbeitung und Hosting der im Account befindlichen Daten durch den in Anlage B genehmigten Unterauftragsverarbeiter ActiveCampaign.

Eine Verarbeitung der Daten zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zu eigenen Werbe-, Analyse- oder Trainingszwecken, findet nicht statt. Der Auftragsverarbeiter verkauft die Daten nicht und gibt sie nicht an Dritte weiter, soweit dies nicht in diesem Vertrag vorgesehen oder gesetzlich vorgeschrieben ist.

2.2 Kategorien personenbezogener Daten

Gegenstand der Verarbeitung sind diejenigen Datenkategorien, die der Verantwortliche in eigener Verantwortung in die Plattform ActiveCampaign einstellt oder dem Auftragsverarbeiter im Rahmen der Leistungserbringung zugänglich macht. Dies sind insbesondere:

Personenstammdaten (z. B. Anrede, Titel, Vor- und Nachname);

Kontaktdaten (z. B. geschäftliche E-Mail-Adresse, Telefon- und Mobilfunknummer, Anschrift);

Unternehmens- und Funktionsdaten (z. B. Arbeitgeber, Position, Berufs- und Funktionsbezeichnung);

Vertrags- und Interessendaten (z. B. angefragte oder bezogene Produkte und Leistungen);

Kommunikations- und Interaktionsdaten (z. B. Öffnungs- und Klickraten, besuchte Seiten, heruntergeladene Inhalte, Kommunikationsverlauf, Kampagnenzuordnung, Tags und Segmente);

technische Nutzungsdaten (z. B. IP-Adresse, Zeitstempel, Geräte- und Browserinformationen), soweit diese in der Plattform anfallen;

Einwilligungs- und Abmeldedaten (z. B. Opt-in-Nachweise, Double-Opt-in-Protokolle, Abmeldezeitpunkte).

2.3 Kategorien betroffener Personen

Kunden, Interessenten und Newsletter-Abonnenten des Verantwortlichen;

Ansprechpartner bei bestehenden und potenziellen Geschäftskunden, Lieferanten und Partnern des Verantwortlichen;

Teilnehmer an Webinaren, Veranstaltungen und Kampagnen des Verantwortlichen;

Beschäftigte des Verantwortlichen, soweit deren Daten in der Plattform verarbeitet werden (z. B. als Absender, Bearbeiter oder Nutzer);

Besucher der Websites und Landingpages des Verantwortlichen, soweit deren Daten in die Plattform überführt werden.

2.4 Ort der Verarbeitung

Der Auftragsverarbeiter erbringt seine eigenen Leistungen aus der Bundesrepublik Deutschland. Die Speicherung und Verarbeitung der im ActiveCampaign-Account befindlichen Daten erfolgt durch ActiveCampaign; Einzelheiten und die Regelungen zum Drittlandtransfer ergeben sich aus § 7 und Anlage B.

2.5 Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Hauptvertrages, im Übrigen bis zur vollständigen Erfüllung der Lösch- und Rückgabepflichten nach § 12.

§ 3 Weisungsrecht des Verantwortlichen

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Dies gilt auch für eine Übermittlung in ein Drittland oder an eine internationale Organisation, es sei denn, der Auftragsverarbeiter ist hierzu nach dem Recht der Union oder der Mitgliedstaaten verpflichtet, dem er unterliegt. In einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Die anfänglichen Weisungen des Verantwortlichen ergeben sich aus dem Hauptvertrag und diesem Vertrag. Sie können vom Verantwortlichen jederzeit in Textform oder in einem dokumentierten elektronischen Format geändert, ergänzt oder ersetzt werden (Einzelweisung). Mündlich erteilte Weisungen sind vom Verantwortlichen unverzüglich in Textform zu bestätigen; der Auftragsverarbeiter dokumentiert Datum, Uhrzeit, Inhalt und die weisungserteilende Person.

(3) Weisungsberechtigt sind die in Anlage C benannten Personen. Änderungen sind dem Auftragsverarbeiter unverzüglich in Textform mitzuteilen. Der Auftragsverarbeiter darf Weisungen von Personen, die nicht in Anlage C benannt sind, zurückweisen; im laufenden Supportbetrieb darf er jedoch auf die Weisungsbefugnis derjenigen Personen vertrauen, die der Verantwortliche als Nutzer mit administrativen Rechten in seinem ActiveCampaign-Account angelegt hat.

(4) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich. Er ist berechtigt, die Ausführung der Weisung bis zu deren Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

(5) Führt eine Weisung zu einer wesentlichen Änderung des Verarbeitungsumfangs, die über den Hauptvertrag hinausgeht, steht dem Auftragsverarbeiter ein Widerspruchsrecht zu. Besteht der Verantwortliche auf der Weisung, sind beide Parteien zur außerordentlichen Kündigung des Hauptvertrages und dieses Vertrages berechtigt.

§ 4 Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen dieses Vertrages und der Weisungen des Verantwortlichen und hält die für ihn geltenden datenschutzrechtlichen Bestimmungen, insbesondere DSGVO und BDSG, ein.

(2) Der Auftragsverarbeiter stellt sicher, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Verpflichtung besteht auch nach Beendigung der jeweiligen Tätigkeit fort. Der Auftragsverarbeiter unterweist die betreffenden Personen regelmäßig in den Anforderungen des Datenschutzes und der Informationssicherheit und dokumentiert dies.

(3) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO und stellt dem Verantwortlichen auf Anforderung die für dessen Verzeichnis nach Art. 30 Abs. 1 DSGVO erforderlichen Angaben zur Verfügung.

(4) Der Auftragsverarbeiter benennt dem Verantwortlichen einen Ansprechpartner für Datenschutzfragen (Anlage C). Einen Datenschutzbeauftragten benennt er, soweit dies gesetzlich erforderlich ist; die Benennung teilt er dem Verantwortlichen unaufgefordert mit.

(5) Der Auftragsverarbeiter fertigt keine Kopien oder Duplikate der Daten an, es sei denn, dies ist zur Erbringung der vertraglichen Leistungen erforderlich, gesetzlich vorgeschrieben oder vom Verantwortlichen angewiesen. Das Anfertigen von Datenexporten aus der Plattform ist nur zulässig, soweit dies zur Bearbeitung einer konkreten Support- oder Weisungsanfrage erforderlich ist; solche Exporte werden nach Erledigung unverzüglich gelöscht.

(6) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn Daten des Verantwortlichen bei ihm durch Pfändung, Beschlagnahme, Insolvenz- oder Vergleichsverfahren oder durch sonstige Ereignisse oder Maßnahmen Dritter gefährdet werden. Er weist alle Beteiligten darauf hin, dass die Hoheit und das Eigentum an den Daten ausschließlich beim Verantwortlichen liegen.

(7) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollen, Anordnungen oder Maßnahmen einer Aufsichtsbehörde, soweit diese die vertragsgegenständliche Verarbeitung betreffen.

(8) Erhält der Auftragsverarbeiter eine behördliche oder gerichtliche Anordnung zur Herausgabe von Daten des Verantwortlichen, informiert er den Verantwortlichen hierüber unverzüglich, soweit dies rechtlich zulässig ist, und wirkt an einer Anfechtung der Anordnung angemessen mit.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die erforderlich sind, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage A beschrieben und werden von den Parteien als angemessen vereinbart; der dort beschriebene Standard ist als Mindeststandard einzuhalten.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter überprüft sie regelmäßig, mindestens jährlich, und passt sie bei Bedarf an. Er ist berechtigt, alternative Maßnahmen umzusetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er und teilt sie dem Verantwortlichen unverzüglich in Textform mit.

(3) Der Auftragsverarbeiter weist die Umsetzung der Maßnahmen dem Verantwortlichen auf Anforderung nach, insbesondere durch aktualisierte Fassungen der Anlage A, durch Selbstauskünfte oder durch Vorlage der Prüfberichte und Zertifizierungen seiner Unterauftragsverarbeiter (z. B. des jeweils aktuellen SOC-2-Type-2-Berichts von ActiveCampaign, soweit dessen Weitergabe zulässig ist).

(4) Die technischen und organisatorischen Maßnahmen für die Speicherung und den Betrieb der Plattform werden von ActiveCampaign getroffen und verantwortet. Der Auftragsverarbeiter hat sich vom Bestehen angemessener Maßnahmen überzeugt und überwacht deren Fortbestand während der Vertragslaufzeit.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung im Sinne des Art. 28 Abs. 2 Satz 1 DSGVO, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) heranzuziehen. Die zum Zeitpunkt des Vertragsschlusses eingesetzten und ausdrücklich genehmigten Unterauftragsverarbeiter sind in Anlage B, Abschnitt B.1 abschließend aufgeführt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform. Der Verantwortliche kann der Änderung innerhalb von 30 Tagen ab Zugang der Information aus datenschutzrechtlichen Gründen widersprechen. Widerspricht der Verantwortliche nicht fristgerecht, gilt die Änderung als genehmigt.

(3) Im Falle eines begründeten Widerspruchs werden die Parteien eine einvernehmliche Lösung suchen. Kommt eine solche innerhalb von 30 Tagen nicht zustande und kann der Auftragsverarbeiter seine Leistungen ohne den betreffenden Unterauftragsverarbeiter nicht oder nicht in vereinbarter Qualität erbringen, sind beide Parteien berechtigt, den Hauptvertrag und diesen Vertrag mit Wirkung zum Zeitpunkt des geplanten Einsatzes des Unterauftragsverarbeiters außerordentlich zu kündigen. Weitergehende Ansprüche des Verantwortlichen wegen der Kündigung bestehen nicht.

(4) Der Auftragsverarbeiter wählt jeden Unterauftragsverarbeiter sorgfältig und insbesondere unter Berücksichtigung der von diesem getroffenen technischen und organisatorischen Maßnahmen aus und dokumentiert die Auswahlentscheidung.

(5) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den Pflichten dieses Vertrages im Wesentlichen entsprechen, insbesondere auf ein vergleichbares Schutzniveau nach Art. 32 DSGVO sowie auf entsprechende Kontroll- und Nachweisrechte. Auf Anforderung legt er dem Verantwortlichen die datenschutzrelevanten Teile der jeweiligen Vereinbarung vor, soweit dem keine Vertraulichkeitsverpflichtungen entgegenstehen; in diesem Fall erteilt er eine aussagekräftige schriftliche Auskunft.

(6) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für dessen Pflichtenerfüllung wie für eigenes Handeln (Art. 28 Abs. 4 Satz 2 DSGVO).

(7) Nicht als Unterauftragsverarbeitung im Sinne dieses Paragraphen gelten Nebenleistungen Dritter, die der Auftragsverarbeiter zur Unterstützung seiner Geschäftstätigkeit in Anspruch nimmt und bei denen ein Zugriff auf Daten des Verantwortlichen nicht Vertragszweck, sondern allenfalls nicht ausschließbarer Nebeneffekt ist (z. B. Telekommunikations-, Post- und Versanddienstleistungen, Reinigungs- und Wartungsdienste). Der Auftragsverarbeiter trifft auch insoweit angemessene vertragliche und tatsächliche Schutzmaßnahmen.

(8) Dienstleister, die der Auftragsverarbeiter im Rahmen seiner eigenen Verantwortlichkeit einsetzt, insbesondere zur Vertragsanbahnung, Terminvereinbarung, Rechnungsstellung und Zahlungsabwicklung, sind keine Unterauftragsverarbeiter im Sinne dieses Vertrages. Sie sind in Anlage B, Abschnitt B.2 informatorisch aufgeführt.

§ 7 Verarbeitung in Drittländern

(1) Die eigenen Verarbeitungen des Auftragsverarbeiters erfolgen innerhalb der Europäischen Union bzw. des Europäischen Wirtschaftsraums.

(2) Den Parteien ist bekannt, dass ActiveCampaign ein Unternehmen mit Sitz in den Vereinigten Staaten von Amerika ist und dass im Rahmen des Betriebs der Plattform sowie durch von ActiveCampaign eingesetzte Unterauftragsverarbeiter eine Verarbeitung personenbezogener Daten in den Vereinigten Staaten von Amerika stattfinden kann. ActiveCampaign betreibt Rechenzentrumsregionen in der Europäischen Union, in den Vereinigten Staaten und im asiatisch-pazifischen Raum und ordnet Accounts der jeweils nächstgelegenen Region zu; eine Verarbeitung aus den Vereinigten Staaten heraus, insbesondere zu Support-, Betriebs- und Weiterentwicklungszwecken, ist damit nicht ausgeschlossen.

(3) Für diese Übermittlung bestehen folgende Garantien im Sinne der Art. 44 ff. DSGVO:

ActiveCampaign ist nach dem EU-U.S. Data Privacy Framework sowie dessen UK Extension und dem Swiss-U.S. Data Privacy Framework zertifiziert; die Übermittlung kann auf den Angemessenheitsbeschluss der Europäischen Kommission vom 10. Juli 2023 gestützt werden;

ergänzend und unabhängig hiervon haben der Auftragsverarbeiter und ActiveCampaign die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 3 (Übermittlung von Auftragsverarbeiter an Auftragsverarbeiter), als Schedule 2 zum Partner Data Processing Addendum wirksam vereinbart. Der Auftragsverarbeiter ist dort Datenexporteur, ActiveCampaign Datenimporteur;

der Auftragsverarbeiter hält die Wirksamkeit dieser Garantien während der gesamten Vertragslaufzeit unter Beobachtung und informiert den Verantwortlichen unverzüglich, wenn eine der Garantien entfällt oder ihre Wirksamkeit in Frage steht.

(4) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anforderung die zum Nachweis erforderlichen Unterlagen zur Verfügung, insbesondere eine Kopie oder aussagekräftige Zusammenfassung des Partner Data Processing Addendum nebst Standardvertragsklauseln sowie die Angaben, die der Verantwortliche für eine eigene Übermittlungsfolgenabschätzung (Transfer Impact Assessment) benötigt. Soweit einer vollständigen Offenlegung Vertraulichkeitsverpflichtungen gegenüber ActiveCampaign entgegenstehen, erfolgt die Bereitstellung gegen Abschluss einer Vertraulichkeitsvereinbarung.

(5) Eine über Absatz 2 hinausgehende Übermittlung von Daten in ein Drittland bedarf der vorherigen Zustimmung des Verantwortlichen in Textform und ist nur zulässig, wenn die Voraussetzungen der Art. 44 bis 50 DSGVO nachweislich erfüllt sind.

(6) Besteht zwischen dem Verantwortlichen und ActiveCampaign zusätzlich ein unmittelbares Data Processing Agreement, gelten die dortigen Regelungen für die von dem Verantwortlichen selbst veranlassten Übermittlungen an ActiveCampaign vorrangig; die Regelungen dieses Vertrages bleiben für die vom Auftragsverarbeiter veranlassten Verarbeitungen unberührt.

§ 8 Unterstützungspflichten, Betroffenenrechte und Datenschutzverletzungen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Art. 12 bis 22 DSGVO. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, er ist hierzu gesetzlich verpflichtet oder vom Verantwortlichen angewiesen.

(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten, insbesondere bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen des Schutzes personenbezogener Daten sowie bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen. Meldungen nach Art. 33 oder 34 DSGVO nimmt der Auftragsverarbeiter nur nach vorheriger Weisung des Verantwortlichen vor.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung, über jede Verletzung des Schutzes personenbezogener Daten im Sinne des Art. 4 Nr. 12 DSGVO sowie über jeden begründeten Verdacht einer solchen Verletzung, die vertragsgegenständliche Daten betrifft. Die Mitteilung erfolgt an die in Anlage C benannte Kontaktadresse des Verantwortlichen und enthält, soweit verfügbar, die in Art. 33 Abs. 3 DSGVO genannten Angaben. Fehlende Angaben werden unverzüglich nachgereicht.

(4) Der Auftragsverarbeiter trifft unverzüglich die zur Sicherung der Daten und zur Minderung nachteiliger Folgen erforderlichen Maßnahmen und stimmt sich hierzu mit dem Verantwortlichen ab. Er dokumentiert Vorfälle und die ergriffenen Maßnahmen und stellt die Dokumentation dem Verantwortlichen auf Anforderung zur Verfügung.

(5) Eine Veröffentlichung oder Mitteilung gegenüber Dritten, die den Vorfall betrifft und in der der Verantwortliche benannt wird, erfolgt nur mit dessen vorheriger Zustimmung, soweit keine gesetzliche Pflicht besteht.

§ 9 Nachweis- und Kontrollrechte

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO und in diesem Vertrag niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen (Art. 28 Abs. 3 lit. h DSGVO).

(2) Der Nachweis kann erbracht werden durch aktuelle Selbstauskünfte, die Vorlage der Anlage A in ihrer jeweils gültigen Fassung, Testate oder Prüfberichte unabhängiger Stellen, geeignete Zertifizierungen oder die Prüfberichte der Unterauftragsverarbeiter. Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche eine Vor-Ort-Prüfung durchführen.

(3) Vor-Ort-Prüfungen sind mit einer Vorankündigung von mindestens 30 Tagen in Textform, während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebsablaufs durchzuführen; sie sind auf eine Prüfung pro Kalenderjahr beschränkt. Der Verantwortliche kann sich eines sachkundigen Dritten bedienen, der nicht in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen darf und zur Verschwiegenheit verpflichtet ist.

(4) Die Beschränkungen nach Absatz 3 gelten nicht, wenn ein konkreter Anlass besteht, insbesondere bei einer Verletzung des Schutzes personenbezogener Daten, bei einem begründeten Verdacht eines wesentlichen Vertragsverstoßes oder auf Anordnung einer Aufsichtsbehörde. In diesen Fällen ist eine anlassbezogene Prüfung auch kurzfristig und mehrfach zulässig.

(5) Der Verantwortliche behandelt alle im Rahmen der Prüfung erlangten Kenntnisse über Geschäftsgeheimnisse und Sicherheitsmaßnahmen des Auftragsverarbeiters vertraulich. Diese Verpflichtung besteht für drei Jahre nach Beendigung dieses Vertrages fort.

(6) Für die Unterstützung bei Vor-Ort-Prüfungen sowie für Unterstützungsleistungen nach § 8, die über den gesetzlich geschuldeten Umfang hinausgehen oder einen erheblichen Aufwand verursachen, kann der Auftragsverarbeiter eine angemessene Vergütung nach seinen jeweils gültigen Stundensätzen verlangen. Er weist auf die Vergütungspflicht vor Aufnahme der Tätigkeit hin.

§ 10 Pflichten und Verantwortlichkeit des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte der betroffenen Personen allein verantwortlich. Er stellt insbesondere sicher, dass für die Verarbeitung eine Rechtsgrundlage besteht, dass die erforderlichen Einwilligungen wirksam eingeholt und nachweisbar dokumentiert sind und dass die Informationspflichten nach Art. 13 und 14 DSGVO erfüllt werden. Dies gilt ausdrücklich auch für die Zulässigkeit von E-Mail- und sonstiger Direktwerbung nach § 7 UWG.

(2) Der Verantwortliche informiert die betroffenen Personen darüber, dass er Auftragsverarbeiter einsetzt, und darüber, dass personenbezogene Daten außerhalb der Europäischen Union verarbeitet werden können.

(3) Der Verantwortliche ist für die Auswahl, Vergabe und regelmäßige Überprüfung der Zugriffsrechte in seinem ActiveCampaign-Account verantwortlich und trägt die Verantwortung für die Sicherheit der ihm zugeordneten Zugangsdaten.

(4) Der Verantwortliche informiert den Auftragsverarbeiter unverzüglich und vollständig, wenn er Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.

(5) Der Verantwortliche behandelt die Anlagen A und B sowie sonstige Informationen über die Sicherheitsmaßnahmen des Auftragsverarbeiters vertraulich. Die Erfüllung eigener gesetzlicher Pflichten des Verantwortlichen, insbesondere nach Art. 13, 14 und 30 DSGVO sowie gegenüber Aufsichtsbehörden und betroffenen Personen, bleibt hiervon unberührt und stellt keinen Verstoß gegen die Vertraulichkeit dar.

§ 11 Besondere Kategorien personenbezogener Daten

(1) Gegenstand der Verarbeitung sind Kontakt-, Kommunikations- und Marketingdaten. Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO sowie Daten über strafrechtliche Verurteilungen und Straftaten im Sinne des Art. 10 DSGVO sind nicht Gegenstand dieses Vertrages.

(2) Der Verantwortliche stellt sicher, dass solche Daten nicht in die Plattform eingestellt und dem Auftragsverarbeiter nicht zugänglich gemacht werden. Gleiches gilt für Daten, die einem besonderen Berufsgeheimnis im Sinne des § 203 StGB unterliegen.

(3) Beabsichtigt der Verantwortliche gleichwohl die Verarbeitung solcher Daten, teilt er dies dem Auftragsverarbeiter vorab mit. Die Verarbeitung ist erst zulässig, nachdem die Parteien die erforderlichen ergänzenden Maßnahmen und Vereinbarungen in Textform getroffen haben; § 203 Abs. 4 StGB und § 62 BDSG bleiben unberührt.

(4) Verstößt der Verantwortliche gegen Absatz 2, stellt er den Auftragsverarbeiter von Ansprüchen Dritter und von Bußgeldern frei, die dem Auftragsverarbeiter hieraus entstehen, es sei denn, der Auftragsverarbeiter hat den Verstoß zu vertreten.

§ 12 Löschung und Rückgabe

(1) Während der Vertragslaufzeit berichtigt, löscht oder schränkt der Auftragsverarbeiter die Verarbeitung der Daten nur auf Weisung des Verantwortlichen ein.

(2) Nach Beendigung dieses Vertrages oder auf vorheriges Verlangen des Verantwortlichen löscht der Auftragsverarbeiter alle Daten, die er im Rahmen der Auftragsverarbeitung erhalten oder erstellt hat, oder gibt sie nach Wahl des Verantwortlichen zurück. Dies umfasst insbesondere Datenexporte, Support-Korrespondenz mit Personenbezug, Screenshots und sonstige Arbeitsergebnisse. Der Auftragsverarbeiter weist die Unterauftragsverarbeiter entsprechend an.

(3) Den Parteien ist bewusst, dass die im ActiveCampaign-Account befindlichen Daten dem Verantwortlichen zugeordnet bleiben. Endet die Verknüpfung des Accounts mit dem Advertal Partner-Netzwerk, verliert der Auftragsverarbeiter sämtliche administrativen Zugriffsrechte auf den Account; der Account wird unmittelbar wieder direkt durch ActiveCampaign geführt. Eine Löschung der im Account gespeicherten Daten ist dem Auftragsverarbeiter ab diesem Zeitpunkt weder möglich noch geschuldet; sie obliegt dem Verantwortlichen im Verhältnis zu ActiveCampaign. Der Auftragsverarbeiter unterstützt den Verantwortlichen auf Anforderung bei einem Datenexport vor der Entkopplung.

(4) Die Löschpflicht gilt nicht, soweit und solange der Auftragsverarbeiter gesetzlich zur Aufbewahrung verpflichtet ist. In diesem Fall archiviert er die betroffenen Daten, schränkt ihre Verarbeitung ein und löscht sie nach Ablauf der Aufbewahrungsfrist.

(5) Dokumentationen, die dem Nachweis der auftrags- und ordnungsgemäßen Verarbeitung dienen, darf der Auftragsverarbeiter entsprechend der jeweiligen Aufbewahrungsfristen über das Vertragsende hinaus aufbewahren.

(6) Ein Löschprotokoll ist dem Verantwortlichen auf Anforderung in Textform vorzulegen. Der Auftragsverarbeiter verzichtet auf die Geltendmachung eines Zurückbehaltungsrechts an den Daten des Verantwortlichen, gleich aus welchem Rechtsgrund.

§ 13 Haftung

(1) Die Parteien haften einander nach den gesetzlichen Bestimmungen. Haftungsbeschränkungen und Haftungsausschlüsse des Hauptvertrages und der Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters gelten für Ansprüche aus diesem Vertrag und wegen der Verletzung datenschutzrechtlicher Pflichten nicht.

(2) Art. 82 DSGVO bleibt unberührt. Im Innenverhältnis tragen die Parteien Schäden und Bußgelder nach dem Anteil ihres jeweiligen Verantwortungsbeitrages; Art. 82 Abs. 5 DSGVO bleibt unberührt.

(3) Der Auftragsverarbeiter haftet gegenüber dem Verantwortlichen für Unterauftragsverarbeiter wie für eigenes Handeln (§ 6 Abs. 6).

(4) Der Auftragsverarbeiter unterhält während der Vertragslaufzeit eine Betriebs- und Vermögensschadenhaftpflichtversicherung mit Deckung für Datenschutz- und Cyberrisiken. Auf Anforderung weist er den Bestand des Versicherungsschutzes nach.

§ 14 Vertraulichkeit

(1) Die Parteien behandeln alle im Rahmen dieses Vertragsverhältnisses erlangten Kenntnisse von Betriebs- und Geschäftsgeheimnissen und Datensicherheitsmaßnahmen der jeweils anderen Partei vertraulich und weisen ihre Beschäftigten auf die Regelungen des Gesetzes zum Schutz von Geschäftsgeheimnissen (GeschGehG) hin.

(2) Die Vertraulichkeitspflichten bestehen für drei Jahre nach Beendigung dieses Vertrages fort. Gesetzliche Offenbarungspflichten und -rechte bleiben unberührt. Eine gesondert geschlossene Geheimhaltungsvereinbarung geht diesem Paragraphen vor.

§ 15 Änderungen der Rechtslage

Ändern sich die in diesem Vertrag in Bezug genommenen gesetzlichen oder sonstigen Bestimmungen, treten die neuen Bestimmungen an ihre Stelle. Die Parteien verpflichten sich, diesen Vertrag in diesem Fall unverzüglich einvernehmlich anzupassen. Entfällt eine der in § 7 genannten Garantien für den Drittlandtransfer, werden die Parteien unverzüglich über geeignete Ersatzmaßnahmen entscheiden; kommt eine Einigung nicht zustande, ist jede Partei zur außerordentlichen Kündigung berechtigt.

§ 16 Schlussbestimmungen

(1) Dieser Vertrag nebst Anlagen A, B und C stellt die vollständige Vereinbarung der Parteien über die Auftragsverarbeitung dar und ersetzt alle vorherigen Absprachen hierzu. Mündliche Nebenabreden bestehen nicht.

(2) Änderungen und Ergänzungen dieses Vertrages bedürfen der Textform (§ 126b BGB). Dies gilt auch für die Abbedingung dieses Formerfordernisses. Die Parteien stellen klar, dass dieser Vertrag gemäß Art. 28 Abs. 9 DSGVO in einem elektronischen Format geschlossen und geändert werden kann; einer eigenhändigen oder qualifiziert elektronischen Signatur bedarf es nicht. Der Abschluss in elektronischer Form ist wirksam, wenn er unter Angabe der Vertragsversion, des Zeitpunkts und der handelnden Person dokumentiert und beiden Parteien in Textform bestätigt wird.

(3) Aktualisierungen der Anlagen A und B, die das vereinbarte Schutzniveau nicht unterschreiten, kann der Auftragsverarbeiter unter Beachtung des Verfahrens nach § 5 Abs. 2 und § 6 Abs. 2 vornehmen; sie werden ohne gesonderte Vertragsänderung Bestandteil dieses Vertrages.

(4) Sollte eine Bestimmung dieses Vertrages ganz oder teilweise unwirksam oder undurchführbar sein oder werden oder sich eine Lücke herausstellen, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Die Parteien verpflichten sich, anstelle der unwirksamen oder undurchführbaren Bestimmung oder zur Ausfüllung der Lücke eine angemessene Regelung zu vereinbaren, die dem am nächsten kommt, was die Parteien gewollt haben oder nach Sinn und Zweck dieses Vertrages gewollt hätten. § 139 BGB ist abbedungen.

(5) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des Kollisionsrechts.

(6) Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist ausschließlicher Gerichtsstand für alle Streitigkeiten aus und im Zusammenhang mit diesem Vertrag der Sitz des Auftragsverarbeiters. Der Auftragsverarbeiter ist berechtigt, auch am allgemeinen Gerichtsstand des Verantwortlichen zu klagen.

Anlage A – Technische und organisatorische Maßnahmen (TOM)

der Advertal GmbH · Stand: August 2026 · gültig für AVV-Version 2.0

Die Advertal GmbH trifft die nachfolgenden technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO. Sie berücksichtigen den Stand der Technik, die Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung und die unterschiedliche Eintrittswahrscheinlichkeit und Schwere der Risiken für die Rechte und Freiheiten natürlicher Personen.

Hinweis zur Abgrenzung: Die Advertal GmbH betreibt keine eigene Infrastruktur für die Plattform ActiveCampaign. Die Maßnahmen für Speicherung, Betrieb und Verfügbarkeit der Plattform werden von ActiveCampaign, LLC getroffen und sind in deren Sicherheitsdokumentation sowie im jeweils aktuellen SOC-2-Type-2-Bericht beschrieben. Die nachfolgenden Maßnahmen betreffen die Systeme, Endgeräte und Prozesse der Advertal GmbH.

A.1 Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

Zutrittskontrolle

Zugang zu Geschäftsräumen ausschließlich für autorisierte Personen; Schließsystem mit dokumentierter Schlüsselvergabe

Sichere Aufbewahrung von Endgeräten und Datenträgern außerhalb der Nutzungszeiten

Schutz mobiler Endgeräte durch Passwort oder biometrisches Verfahren

Automatische Bildschirmsperre bei Inaktivität (max. 5 Minuten)

Regelungen für mobiles Arbeiten und Home-Office (Sichtschutz, keine Nutzung fremder Netzwerke ohne VPN)

Zugangskontrolle

Individuelle, personenbezogene Benutzerkonten; keine Sammel- oder Gruppenkonten

Verbindliche Passwortrichtlinie (Mindestlänge, Komplexität, keine Mehrfachverwendung); Einsatz eines Passwortmanagers

Mehr-Faktor-Authentifizierung für alle zentralen Systeme, insbesondere Google Workspace, das Advertal Reseller-Portal und ActiveCampaign

Vollverschlüsselung der Festplatten aller Endgeräte (z. B. FileVault, BitLocker)

Aktuelle Betriebssystem- und Sicherheitsupdates; Endpoint-Schutz gegen Schadsoftware

Sofortige Sperrung nicht mehr benötigter Zugänge, spätestens am Tag des Ausscheidens einer Person

Zugriffskontrolle

Rollen- und aufgabenbasiertes Berechtigungskonzept nach dem Need-to-know-Prinzip

Zugriff auf Kundendaten ausschließlich im Rahmen von Support-, Beratungs- und Administrationsleistungen

Keine Nutzung personenbezogener Daten des Verantwortlichen zu eigenen Zwecken

Datenexporte nur anlassbezogen, Löschung unmittelbar nach Erledigung des Vorgangs

Mindestens halbjährliche Überprüfung und Dokumentation bestehender Zugriffsrechte

Trennungskontrolle

Mandantenbezogene Trennung innerhalb der eingesetzten Systeme; getrennte ActiveCampaign-Accounts je Kunde

Kundenspezifische Zugriffsbeschränkungen; Zugriff nur im Rahmen des jeweiligen Kundenverhältnisses

Trennung von Produktiv- und Testumgebungen

Pseudonymisierung und Verschlüsselung

Transportverschlüsselung (TLS 1.2 oder höher) für sämtliche Datenübertragungen

Verschlüsselung ruhender Daten auf Endgeräten und in den eingesetzten Cloud-Diensten

Verwendung anonymisierter oder pseudonymisierter Beispieldaten in Dokumentationen und Schulungen

A.2 Integrität (Art. 32 Abs. 1 lit. b DSGVO)

Weitergabekontrolle

Weitergabe personenbezogener Daten ausschließlich auf Weisung des Verantwortlichen oder auf gesetzlicher Grundlage

Versand sensibler Inhalte nur verschlüsselt oder über geschützte Freigabelinks mit Ablaufdatum

Keine Nutzung privater Endgeräte, privater E-Mail-Konten oder nicht freigegebener Cloud-Dienste

Dokumentierte Vergabe und Entziehung von Zugriffsrechten

Eingabekontrolle

Einsatz von Systemen mit Protokollierungsfunktion; Nachvollziehbarkeit von Änderungen über Benutzerkennungen

Dokumentation wesentlicher Support- und Administrationsmaßnahmen im Ticketverlauf

Aufbewahrung der Protokolle für einen angemessenen Zeitraum

A.3 Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

Nutzung professioneller Cloud-Dienste mit redundanter Auslegung

Regelmäßige Datensicherung durch die eingesetzten Plattformanbieter; Prüfung der Wiederherstellbarkeit

Aktueller Endpoint- und Malware-Schutz sowie zeitnahe Einspielung von Sicherheitsupdates

Definierte Vertretungsregelungen für den Support

Notfall- und Wiederanlaufkonzept für die Systeme der Advertal GmbH

A.4 Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO)

Datenschutz-Managementsystem mit Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO

Mindestens jährliche Überprüfung und Fortschreibung der technischen und organisatorischen Maßnahmen

Verpflichtung aller Beschäftigten auf Vertraulichkeit und das Datengeheimnis vor Aufnahme der Tätigkeit

Regelmäßige Schulung und Sensibilisierung zu Datenschutz und Informationssicherheit mit Nachweisdokumentation

Sorgfältige Auswahl, vertragliche Bindung und regelmäßige Überprüfung der Unterauftragsverarbeiter

Ansprechpartner für Datenschutz benannt; Benennung eines Datenschutzbeauftragten, soweit gesetzlich erforderlich

A.5 Auftragskontrolle

Schriftliche bzw. in Textform erteilte Weisungen; Dokumentation mündlicher Weisungen

Verbindliche Auftragsverarbeitungsverträge mit allen Unterauftragsverarbeitern

Kontrolle der Vertragserfüllung durch Unterauftragsverarbeiter, mindestens jährlich

Klar geregelter Prozess zur Beendigung des Auftrags einschließlich Rückgabe und Löschung

A.6 Verfahren bei Verletzungen des Schutzes personenbezogener Daten

Definierter interner Prozess zur Erkennung, Bewertung, Eskalation und Behandlung von Vorfällen

Meldung an den Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntniserlangung

Dokumentation aller Vorfälle einschließlich Auswirkungen und ergriffener Abhilfemaßnahmen

Nachbereitung und Ableitung von Verbesserungsmaßnahmen

Anlage B – Unterauftragsverarbeiter und Dienstleister

Stand: August 2026 · gültig für AVV-Version 2.0 · jeweils aktuelle Fassung abrufbar unter www.advertal.de/rechtliches

B.1 Genehmigte Unterauftragsverarbeiter

Die nachfolgend aufgeführten Unterauftragsverarbeiter werden vom Verantwortlichen mit Abschluss dieses Vertrages genehmigt (§ 6 Abs. 1).

Der Verantwortliche wird darauf hingewiesen, dass ActiveCampaign ihrerseits Unterauftragsverarbeiter einsetzt (u. a. Amazon Web Services, Cloudflare, Snowflake, Zendesk, Twilio, OpenAI, AWS Bedrock sowie eigene Konzerngesellschaften in Irland, Polen, Australien, Brasilien, Costa Rica und Mexiko). Die jeweils aktuelle Liste veröffentlicht ActiveCampaign unter www.activecampaign.com/legal/subprocessors.

B.2 Dienstleister im eigenen Verantwortungsbereich der Advertal GmbH

Die nachfolgenden Dienstleister setzt die Advertal GmbH zur Abwicklung der eigenen Geschäftsbeziehung mit dem Verantwortlichen ein. Insoweit ist die Advertal GmbH selbst Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO; es handelt sich nicht um Unterauftragsverarbeiter im Sinne dieses Vertrages. Die Aufführung erfolgt zur Information und Transparenz.

Anlage C – Ansprechpartner und weisungsberechtigte Personen

C.1 Weisungsberechtigte Personen des Verantwortlichen

Weisungen im Sinne des § 3 dieses Vertrages dürfen ausschließlich die nachfolgend benannten Personen erteilen:

C.2 Datenschutz-Ansprechpartner des Verantwortlichen

An diese Adresse erfolgen Meldungen nach § 8 Abs. 3 dieses Vertrages:

C.3 Ansprechpartner der Advertal GmbH

Änderungen der in dieser Anlage benannten Personen sind der jeweils anderen Partei unverzüglich in Textform mitzuteilen. Eine Aktualisierung dieser Anlage stellt keine Vertragsänderung dar.