Auftragsverarbeitungsvereinbarung für Business Partner

abgeschlossen zwischen

Sales as a Service FlexKapG, FN 624400k
Bambergergasse 71, 1220 Wien, Österreich
Datenschutzkontakt: datenschutz@salesasaservice.at
(im Folgenden „Auftragnehmer“)

und

dem im zugehörigen Hauptvertrag bezeichneten Business Partner mit den dort angegebenen Unternehmens- und Registerdaten (im Folgenden „Business Partner“ oder „Auftraggeber“).

Auftragnehmer und Business Partner gemeinsam die „Parteien“, einzeln eine „Partei“.

Präambel

Diese Vereinbarung ergänzt den zwischen den Parteien bestehenden Kooperationsvertrag für Business Partner. Sales as a Service stellt die internetbasierte Plattform bereit und verarbeitet im Rahmen der nachstehend beschriebenen Plattformleistungen personenbezogene Daten im Auftrag des Auftraggebers. Soweit eine Partei Zwecke und wesentliche Mittel einer Verarbeitung selbst bestimmt, handelt sie hierfür als eigenständig Verantwortliche; diese Verarbeitung ist nicht Gegenstand dieser Auftragsverarbeitungsvereinbarung.

Die datenschutzrechtliche Rollenverteilung richtet sich nach der tatsächlichen Verarbeitung. Die Bezeichnung in dieser Vereinbarung ändert eine nach der DSGVO tatsächlich bestehende Verantwortlichkeit nicht.

1. Gegenstand und Umfang der Auftragsverarbeitung

Der BP Start umfasst die Verarbeitung der vom Auftraggeber eingebrachten personenbezogenen Daten in Produkt- und Listinginhalten, Bildern und Dokumenten sowie bei der angefragten KI Unterstützung für Produkttexte und Qualifikationsfragenkataloge. Dazu gehören Speicherung, Bearbeitung, angefragte Veröffentlichung, Rückgabe und Support im vereinbarten Umfang. Aktive SA Konten, Leads, Deals, Kundenangebote, Kundensignaturen, Provisionsabrechnung und Auszahlungen sind nicht Teil dieses Startumfangs; vor ihrer Aktivierung ab 2027 sind Umfang und Rollen erneut abzustimmen.

Der Auftraggeber erteilt seine dokumentierten Weisungen grundsätzlich durch den Hauptvertrag, diese Vereinbarung, die von ihm gewählten Plattformfunktionen und seine Eingaben in der SaaS-Plattform. Einzelweisungen können in Textform oder über hierfür vorgesehene Support- und Administrationsprozesse erteilt werden.

Nicht von dieser Auftragsverarbeitung umfasst sind insbesondere Verarbeitungen, die Sales as a Service zur Erfüllung eigener gesetzlicher Pflichten, zur Vertrags- und Benutzerverwaltung, IT-Sicherheit, Missbrauchs- und Betrugsprävention, Forderungsmanagement, steuerlichen oder handelsrechtlichen Dokumentation, Verteidigung von Rechtsansprüchen oder Produkt- und Compliance-Steuerung in eigener Verantwortlichkeit vornimmt.

2. Beschreibung der Verarbeitung

Gegenstand

Bereitstellung und Betrieb der Sales-as-a-Service-Plattform einschließlich der im Hauptvertrag und im Platform Scope beschriebenen Funktionen.

Art der Verarbeitung

Erheben, Erfassen, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Übermitteln, Bereitstellen, Abgleichen, Einschränken, Exportieren, Archivieren, Löschen und Vernichten.

Zweck

Produkt- und Listingverwaltung, angefragte Veröffentlichung, KI unterstützte Produkttexte, Qualifikationsfragenkataloge, Dokumente und Support im Auftrag des BP. Kein aktiver SA-/Deal-/Auszahlungsbetrieb im Startumfang.

Dauer

Für die Laufzeit des Hauptvertrags und die anschließende Rückgabe-/Löschphase; gesetzliche Aufbewahrung eigener Verantwortungsdaten bleibt unberührt.

Eingebrachte Ansprechpartnerangaben

Namen und geschäftliche Kontaktdaten in BP Inhalten und Uploads, soweit der BP sie für seinen Zweck einbringt; eigene Plattformkonten sind davon getrennt.

KI Eingaben und Ergebnisse

Produktkontext, Freitext, gespeicherte Interviewfragen/-antworten und Fragenkataloge; keine geplante Übermittlung strukturierter persönlicher Ansprechpartnerfelder.

Produkte und Listings

Produkt-/Leistungsbeschreibungen, Preise, Bilder, Dateien, Links und Bearbeitungsstände, soweit personenbezogen.

Dokumente und Rückgaben

Vom BP eingebrachte Dokumentinhalte und erforderliche Export-/Supportdaten; keine aktiven Deal- oder Abrechnungsdaten im Startumfang.

Technische Daten mit Auftragsbezug

Erforderliche Zuordnungen, Bearbeitungszeiten und Supportinformationen; eigene Sicherheits- und Kontozwecke sind gesondert abzugrenzen.

Business Partner

Vertretungsberechtigte, Beschäftigte, Administratoren und Ansprechpartner des Auftraggebers.

Interessenten und Endkunden

Dritte, deren personenbezogene Angaben der BP tatsächlich in Produkttexten, Dateien oder KI Freitext einbringt. Aktive Leads-/Dealprozesse sind im BP Start nicht enthalten.

SA Vormerkung außerhalb dieses AVV

Die SA Vormerkung und eigenes Marketing erfolgen in eigener Verantwortlichkeit von Sales as a Service; aktive SA Zusammenarbeit folgt später.

Sonstige Dritte

Dienstleister, Lieferanten oder sonstige Ansprechpartner, soweit ihre Daten vom Auftraggeber eingebracht werden.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht für die reguläre Nutzung der Plattform vorgesehen. Der Auftraggeber darf solche Daten nur verarbeiten lassen, wenn dies zuvor ausdrücklich vereinbart wurde und angemessene zusätzliche Schutzmaßnahmen bestehen.

3. Dauer

Diese Vereinbarung gilt ab Abschluss für die Dauer des zugrunde liegenden Hauptvertrags sowie darüber hinaus, solange der Auftragnehmer noch personenbezogene Daten im Auftrag verarbeitet. Gesetzliche Aufbewahrungs- und Nachweispflichten sowie gesonderte, eigenverantwortliche Verarbeitungen des Auftragnehmers bleiben unberührt.

4. Weisungen und Verantwortung des Auftraggebers

• Der Auftraggeber ist für die Rechtmäßigkeit der Übermittlung und Verarbeitung der von ihm eingebrachten personenbezogenen Daten, die Erfüllung der Informationspflichten und das Vorliegen einer geeigneten Rechtsgrundlage verantwortlich.

• Der Auftraggeber nutzt keine Freitext-, Upload- oder Kommunikationsfunktion zur Verarbeitung nicht erforderlicher besonderer Kategorien personenbezogener Daten.

• Der Auftraggeber informiert den Auftragnehmer unverzüglich über erkennbare Fehler, unzulässige Daten oder besondere Risiken.

• Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen, soweit dies erforderlich ist.

5. Pflichten des Auftragnehmers

• Verarbeitung personenbezogener Daten nur auf dokumentierte Weisung, soweit keine gesetzliche Verarbeitungspflicht besteht; in diesem Fall erfolgt vorab eine Information, soweit rechtlich zulässig.

• Verpflichtung aller zugriffsberechtigten Personen auf Vertraulichkeit.

• Umsetzung und laufende Überprüfung angemessener technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1.

• Unterstützung bei Betroffenenrechten, Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und Konsultationen nach Art. 32 bis 36 DSGVO, soweit die vom Auftragnehmer verarbeiteten Daten und verfügbaren Informationen betroffen sind.

• Führung der gesetzlich erforderlichen Verzeichnisse und Bereitstellung der für den Nachweis nach Art. 28 DSGVO erforderlichen Informationen.

• Keine Nutzung der Auftragsdaten für eigene Marketing- oder Vertriebszwecke.

6. Betroffenenrechte

Richtet eine betroffene Person ein Ersuchen unmittelbar an den Auftragnehmer und betrifft dieses Daten des Auftraggebers, leitet der Auftragnehmer das Ersuchen unverzüglich an den Auftraggeber weiter. Der Auftragnehmer unterstützt den Auftraggeber durch die technisch verfügbaren Zugriffs-, Export-, Berichtigungs-, Einschränkungs- und Löschfunktionen sowie, soweit erforderlich, durch den Supportprozess. Der Auftragnehmer beantwortet das Ersuchen nicht selbst, sofern er hierzu nicht angewiesen oder gesetzlich verpflichtet ist.

7. Datenschutzverletzungen

Der Auftragnehmer informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes personenbezogener Daten, die Auftragsdaten betrifft. Die Information enthält, soweit verfügbar, Art und Umfang der Verletzung, betroffene Daten und Personen, mögliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Der Auftraggeber bleibt für Meldungen nach Art. 33 und 34 DSGVO verantwortlich, soweit ihn diese Pflicht trifft. Kontakt: Michael Neuberger, MBA, datenschutz@salesasaservice.at; Vertretung: Nina Tomasch.

8. Technische und organisatorische Maßnahmen

Die Maßnahmen gemäß Anlage 1 berücksichtigen den Stand der Technik, Implementierungskosten, Art, Umfang, Umstände und Zwecke der Verarbeitung sowie Eintrittswahrscheinlichkeit und Schwere der Risiken. Der Auftragnehmer darf gleichwertige oder höhere Schutzmaßnahmen einsetzen, sofern das vereinbarte Sicherheitsniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

9. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine Genehmigung zur Beauftragung der in Anlage 2 genannten sowie weiterer Unterauftragsverarbeiter. Der Auftragnehmer informiert vor einer beabsichtigten Aufnahme oder Ersetzung; der Auftraggeber kann binnen 14 Kalendertagen aus berechtigten datenschutzrechtlichen Gründen widersprechen. Bei einem Widerspruch kann der Auftragnehmer einen geeigneten anderen Anbieter einsetzen oder eine andere angemessene Lösung anbieten. Kommt keine Lösung zustande, darf der Business Partner die betroffene Leistung beenden; daraus folgt kein automatisches Recht zur Beendigung des gesamten Hauptvertrags. Bei einem dringenden Sicherheitsvorfall oder einer rechtlichen Verpflichtung darf der Austausch, soweit gesetzlich zulässig, sofort erfolgen, auch auf einen bisher nicht genehmigten Unterauftragsverarbeiter. Die Information erfolgt unverzüglich danach; das Widerspruchsrecht bleibt bestehen. Bei berechtigtem Widerspruch kann der Auftragnehmer den Anbieter ersetzen oder eine andere angemessene Lösung anbieten; andernfalls darf der Business Partner die betroffene Leistung beenden. Die vorherige Information bleibt der Regelfall. Zwingende Genehmigungs-, Informations- und Widerspruchsrechte nach Art. 28 DSGVO bleiben unberührt.

Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu im Wesentlichen gleichwertigen Datenschutzpflichten. Der Auftragnehmer bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten des Unterauftragsverarbeiters verantwortlich.

10. Datenübermittlungen in Drittländer

Datenbank und privater Dateispeicher werden in Amsterdam, Niederlande, betrieben. Vercel Funktionen laufen in Frankfurt, Deutschland. Einzelne Anbieter und Unterauftragnehmer können Daten auch außerhalb des EWR verarbeiten; insbesondere wird für OpenAI keine ausschließlich europäische Verarbeitung zugesichert und Firecrawl wird gehostet in den USA betrieben. Drittlandübermittlungen setzen eine jeweils tragfähige Grundlage nach Kapitel V DSGVO einschließlich erforderlicher Prüfungen und ergänzender Maßnahmen voraus. Für Firecrawl sind Standardvertragsklauseln samt Anhängen vorgesehen; auf eine DPF Zertifizierung wird nicht abgestellt. Die anwendbaren Garantien werden auf Anfrage zugänglich gemacht.

11. Rückgabe, Löschung und Aufbewahrung

Nach Ende der Verarbeitung erfolgen nach Wahl des Auftraggebers Rückgabe oder Löschung. Gewöhnliche BP Betriebsdaten einschließlich gespeicherter KI Interviews werden nach Vertragsende zunächst zurückgegeben oder exportiert und anschließend innerhalb von 30 Tagen gelöscht, soweit keine einschlägige gesetzliche Aufbewahrung entgegensteht. Während der Nutzung werden entfallene Daten zweckbezogen bereinigt; konkrete Obergrenzen je KI Funktion werden im internen Löschkonzept festgelegt. Sicherungskopien sind bis zum Auslaufen des dokumentierten Zyklus vor produktiver Nutzung geschützt; nach Wiederherstellung werden fällige Löschungen erneut angewendet. Eigene Vertrags- und gesetzliche Nachweise des Auftragnehmers sind von Auftragsdaten zu trennen und unterliegen deren gesonderten Regeln.

12. Nachweise und Kontrollen

Der Auftragnehmer stellt alle zum Nachweis der Pflichten nach Art. 28 DSGVO erforderlichen Informationen bereit. Vorrangig dienen Prüfberichte, Zertifizierungen, Sicherheitsauskünfte oder standardisierte Fragebögen. Routinemäßige Vor-Ort-Prüfungen sind nach einer Vorankündigung von mindestens 30 Kalendertagen während der Geschäftszeiten auf einmal pro Kalenderjahr begrenzt. Die Begrenzung gilt nicht bei konkretem Anlass, insbesondere Datenschutzverletzungen, begründetem Verdacht eines Pflichtverstoßes, behördlicher Anforderung oder soweit weitere Kontrollen zur Erfüllung zwingender Pflichten nach Art. 28 DSGVO erforderlich sind. Prüfungen wahren Vertraulichkeit und Sicherheit und vermeiden unverhältnismäßige Beeinträchtigungen. Kosten außergewöhnlicher, nicht durch einen Pflichtverstoß veranlasster Prüfungen trägt der Auftraggeber, soweit gesetzlich zulässig.

13. Haftung

Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und den Haftungsregelungen des Hauptvertrags, soweit diese mit zwingendem Datenschutzrecht vereinbar sind. Jede Partei haftet für die ihr datenschutzrechtlich zugewiesenen Verantwortungsbereiche. Gesetzliche Rückgriffs- und Freistellungsansprüche bleiben unberührt.

14. Vorrang, Änderungen und Schlussbestimmungen

Bei Widersprüchen zu datenschutzrechtlichen Regelungen des Hauptvertrags geht diese Vereinbarung für die Auftragsverarbeitung vor. Im Übrigen bleibt der Hauptvertrag unberührt. Änderungen können in Schrift- oder elektronischer Form vereinbart werden. Zwingende gesetzliche Bestimmungen bleiben unberührt.

Es gilt die Rechtswahl und Gerichtsstandsvereinbarung des Hauptvertrags, soweit zwingendes Datenschutzrecht oder die Zuständigkeit einer Aufsichtsbehörde nicht entgegenstehen.

15. Unterschriften

Wien, am ____________________ ____________________, am ____________________

---

Sales as a Service FlexKapG Business Partner

Anlage 1 – Technische und organisatorische Maßnahmen

Geräteschutz

Der Kunde bestätigt Schutzvorgaben für Arbeitsgeräte. Physische Maßnahmen der Rechenzentren richten sich nach den tatsächlichen Anbieterunterlagen; keine eigene Besucherregelung zugesichert.

Authentifizierung

Rollenbezogene Zugänge und optionale Google Anmeldung. Zugehörige Zugangsdaten werden geschützt und bei Aufhebung der Verknüpfung oder Kontoschließung entfernt; erforderliche Vertragsnachweise bleiben davon getrennt.

Zugriff

Workspace- und rollenbezogene Zugriffskontrollen, beschränkte private Dateizugriffe. Zugriff auf Prüfergebnisse nur für berechtigte Administratoren.

Übertragung und Speicherung

Private Dateispeicherung und zeitlich begrenzte Dateizugriffe.

Nachvollziehbarkeit

Vertragsfassungen, annehmende Person, Zeitpunkt und Annahmebestätigung bleiben nachvollziehbar erhalten. BP Vertragsannahmen werden zusätzlich als eigenständiger Dateinachweis mit eindeutigem Bezug zur angenommenen Vertragsfassung im Belegspeicher abgelegt. Die authentifizierte BP Vertragsannahme erhebt keine zusätzlichen Signer-IP-/Gerätedaten. Kein umfassender Deal-Audit zugesichert.

Integrität

Aufbewahrungspflichtige Originale liegen im getrennten versionierten Belegspeicher ohne Löschrecht regulärer Anwendungszugänge. Korrekturen erzeugen neue Dokumente. Erforderliche Datenbanknachweise sind gegen unzulässige Löschung und Veränderung geschützt; Profiländerungen und Kontoschließungen ändern sie nicht. Vor endgültiger Löschung prüfen Berechtigte Fristen sowie offene Ansprüche und Verfahren.

Wiederherstellung

Datenbank und Dateien werden täglich gesichert, getrennt von Produktivdaten, mit sieben Tagen Wiederherstellungshistorie und ohne Löschrecht regulärer Anwendungszugänge. Aufbewahrte Originale und Dateinachweise bleiben unabhängig davon für ihre jeweilige Frist erhalten und werden weiter gesichert. Sicherungsfehler werden überwacht; die gemeinsame Wiederherstellung von Datenbank und Dateien wird dokumentiert geprüft. Fällige Löschungen werden nach Wiederherstellung erneut angewendet.

Trennung

Logische Trennung nach Workspace, Rolle und Benutzer; Auftragsdaten und eigene Nachweise werden nach Zweck und Löschregel getrennt behandelt.

KI und Datenminimierung

Gezielte Produktfelder statt vollständiger Benutzer-/Ansprechpartnerobjekte im KI Kontext; E-Mail-/Telefonfilter vor Übermittlung und vor Speicherung veröffentlichbarer Produkttexte; Hinweis am Eingabefeld. store=false ist gesetzt.

Organisation

Vertraulichkeitsverpflichtungen, Geräteschutz und Zugangsbeendigung vom Kunden bestätigt. Datenschutzanfragen und Vorfälle: Michael Neuberger, Vertretung Nina Tomasch.

Support-Login in Nutzerkonten

Zum Start erfolgt keine Anmeldung von Administratoren in Nutzerkonten. Technischer Support findet über berechtigte Infrastrukturzugriffe statt.

Anlage 2 – Genehmigte Unterauftragsverarbeiter

Die Liste erfasst Anbieter nur insoweit, als sie tatsächlich Auftragsdaten des BP verarbeiten. Eigene Konto-, Identitäts-, UID- und Marketingzwecke sind in Anlage 3 abgegrenzt. Rechtsverbindliche Anbietervereinbarungen und erforderliche Transfergarantien bleiben Voraussetzung der jeweiligen Verarbeitung; die Nennung in dieser Liste ersetzt sie nicht.

Klartext AI

Betrieb, Entwicklung und technischer Support durch Klartext AI im erforderlichen Umfang.

Scaleway

Datenbank und private Dateien: nl-ams, Amsterdam; transaktionale E-Mail: fr-par, Paris. Umfang richtet sich nach tatsächlichen Auftragsdaten.

Vercel über Klartext AI

Hosting im Klartext Pro-Team; Funktionen fra1, Frankfurt. Weitere Anbieter-/Supportverarbeitungen sind nicht auf diese Region begrenzt.

OpenAI

KI Verarbeitung über kundeneigenes API Konto; Standardkonfiguration ohne EU-only Zusage. Kein Training ohne Opt-in; store=false gesetzt.

Firecrawl

Websiteauswertung in den USA im Kundenkonto. Beschränkt auf die vom BP als eigene Unternehmenswebsite angegebene Domain und deren Unterseiten; keine externen Domains oder domainübergreifenden Weiterleitungen. Keine technische Eigentumsprüfung, keine Zero-Retention- oder DPF-Zusage. Unser Rohabzug wird nach der Beschreibungserstellung nicht weiter gespeichert.

Anlage 3 – Rollenabgrenzung

Vom BP eingebrachte Produkt-, Dokument- und KI Inhalte mit personenbezogenen Angaben

Auftragsverarbeitung, soweit der BP Zwecke und wesentliche Mittel bestimmt; keine Nutzung für eigene Werbung.

Plattformkonto einschließlich Google Anmeldung, BP Vertragsannahme, Identitäts-/UID Prüfung, IT Sicherheit, Missbrauchssperren, SA Vormerkung und eigenes Marketing

Grundsätzlich eigene Verantwortlichkeit von Sales as a Service. IDAnalyzer, EUROVALIDATE, Google und Microsoft 365 sind für diese Zwecke nicht automatisch Unterauftragsverarbeiter für BP Inhalte; tatsächliche Verarbeitung bleibt maßgeblich.

Gemeinsam festgelegte Marketplace-, Matching-, Ranking- oder übergreifende Vertriebszwecke

Vor Aktivierung ist zu prüfen, ob eine gemeinsame Verantwortlichkeit nach Art. 26 DSGVO besteht; gegebenenfalls ist eine gesonderte Vereinbarung abzuschließen.