Vereinbarung über die Auftragsverarbeitung gemäß Art. 28 DSGVO

(1) ColdX verarbeitet die vom Auftraggeber bereitgestellten personenbezogenen Daten nach Maßgabe dieser Vereinbarung als Auftragsverarbeiter gemäß Art. 28 DSGVO.

(2) Gegenstand der Auftragsverarbeitung können insbesondere vom Auftraggeber

a) innerhalb der ColdX-Plattform hochgeladene Daten,

b) über eine API oder sonstige Schnittstelle übermittelte Daten,

c) importierte CRM- oder Lead-Daten,

d) übermittelte Kontaktlisten sowie

e) sonstige personenbezogene Daten sein, die ColdX ausdrücklich zur Durchführung eines Kundenprojekts erhält.

(3) Diese Vereinbarung gilt nicht für Verarbeitungen, bei denen ColdX selbst Verantwortlicher ist. Dies betrifft insbesondere – abhängig vom jeweiligen Verarbeitungsvorgang –

a) von ColdX selbst beschaffte oder recherchierte Leads,

b) Vertrags- und Accountverwaltung,

c) Abrechnung und Zahlungsverwaltung,

d) IT- und Plattformsicherheit,

e) Betrugs- und Missbrauchsprävention,

f) Compliance,

g) Erfüllung eigener gesetzlicher Verpflichtungen sowie

h) Geltendmachung, Ausübung und Verteidigung eigener Rechtsansprüche.

(4) Die datenschutzrechtliche Rollenverteilung richtet sich stets nach der tatsächlichen Verarbeitung. Diese Vereinbarung begründet keine Auftragsverarbeitung für Vorgänge, bei denen die gesetzlichen Voraussetzungen hierfür nicht vorliegen.

(1) Gegenstand der Auftragsverarbeitung ist die Verarbeitung der vom Auftraggeber bereitgestellten personenbezogenen Daten zur Durchführung der vom Auftraggeber beauftragten ColdX-Projekte.

(2) Die Verarbeitung kann insbesondere umfassen:

a) Entgegennahme und Import,

b) Speicherung,

c) Strukturierung und Zuordnung,

d) Bereitstellung innerhalb des jeweiligen Projekts,

e) Nutzung zur vereinbarten Kontaktaufnahme,

f) Qualifizierung von Leads,

g) Dokumentation von Kontaktversuchen und Gesprächen,

h) Terminierung,

i) Erfassung von Gesprächs- und Projektergebnissen,

j) Erstellung von Gesprächsnotizen,

k) Erstellung von Transkripten oder Zusammenfassungen, soweit rechtlich zulässig und vertraglich vorgesehen,

l) Übermittlung der Projektergebnisse an den Auftraggeber,

m) Berichtigung,

n) Einschränkung,

o) Export,

p) Rückgabe und

q) Löschung.

(3) Zweck der Verarbeitung ist die Durchführung der vom Auftraggeber vereinbarten Akquise-, Qualifizierungs-, Terminierungs-, Vertriebsunterstützungs- oder vergleichbaren Kommunikationsleistungen.

(4) Die Verarbeitung beginnt mit der erstmaligen Bereitstellung personenbezogener Daten durch den Auftraggeber und dauert grundsätzlich bis zur Beendigung des jeweiligen Projekts und anschließenden Löschung oder Rückgabe der Daten.

(1) Betroffene Personen können insbesondere sein:

a) Leads und Interessenten,

b) geschäftliche Ansprechpartner,

c) Ansprechpartner bei Kunden oder potenziellen Kunden des Auftraggebers,

d) Mitarbeiter von Unternehmen und Organisationen,

e) bestehende oder frühere Kunden des Auftraggebers sowie

f) Mitarbeiter und Nutzer des Auftraggebers.

(2) Verarbeitet werden können insbesondere:

a) Name,

b) geschäftliche Telefonnummer,

c) geschäftliche E-Mail-Adresse,

d) Unternehmen,

e) geschäftliche Anschrift,

f) berufliche Funktion oder Position,

g) Abteilung,

h) CRM- und Lead-Informationen,

i) projektbezogene Qualifikationsmerkmale,

j) Kommunikationshistorie,

k) Kontaktstatus,

l) Datum, Uhrzeit und Dauer von Kontaktversuchen,

m) Gesprächsergebnisse,

n) Termin- und Statusinformationen,

o) Gesprächsnotizen,

p) Transkripte und Zusammenfassungen, soweit zulässig, sowie

q) erforderliche technische Protokolldaten.

(3) Besondere Kategorien personenbezogener Daten gemäß Art. 9 DSGVO sowie Daten gemäß Art. 10 DSGVO sind nicht Bestandteil der regulären ColdX-Leistung.

(4) Solche Daten dürfen nur nach vorheriger ausdrücklicher Vereinbarung und Festlegung geeigneter Schutzmaßnahmen an ColdX übermittelt werden.

(1) Der Auftraggeber ist als Verantwortlicher insbesondere dafür verantwortlich, dass

a) die Daten rechtmäßig erhoben wurden,

b) die Daten an ColdX übermittelt werden dürfen,

c) die Verarbeitung für die vorgesehenen Projektzwecke zulässig ist,

d) erforderliche Informationspflichten erfüllt wurden,

e) gegebenenfalls erforderliche Einwilligungen vorliegen und

f) die gesetzlichen Voraussetzungen für die beabsichtigte Kontaktaufnahme erfüllt sind.

(2) ColdX verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers, soweit keine gesetzliche Verpflichtung zu einer abweichenden Verarbeitung besteht.

(3) Dokumentierte Weisungen ergeben sich insbesondere aus

a) dem Hauptvertrag,

b) den Projektbedingungen,

c) Einstellungen des Auftraggebers innerhalb der Plattform,

d) elektronisch übermittelten Anweisungen sowie

e) sonstigen dokumentierbaren Erklärungen autorisierter Personen.

(4) ColdX informiert den Auftraggeber unverzüglich, wenn ColdX der Auffassung ist, dass eine Weisung gegen die DSGVO oder sonstiges anwendbares Datenschutzrecht verstößt.

(5) ColdX kann die Ausführung einer offensichtlich rechtswidrigen Weisung bis zur Klärung aussetzen.

ColdX verpflichtet sich insbesondere,

(1) personenbezogene Daten nur im Rahmen dieser Vereinbarung und dokumentierter Weisungen zu verarbeiten;

(2) sicherzustellen, dass zur Verarbeitung befugte Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen;

(3) geeignete technische und organisatorische Maßnahmen gemäß Art. 32 DSGVO umzusetzen;

(4) Zugriffsmöglichkeiten nach dem Need-to-know- und Least-Privilege-Prinzip zu beschränken;

(5) personenbezogene Daten nicht für eigene Werbe-, Akquise- oder Lead-Datenbanken zu verwenden, soweit sie im Anwendungsbereich dieser AVV verarbeitet werden;

(6) Daten aus dem Anwendungsbereich dieser AVV nicht allein aufgrund dieser Vereinbarung zum Training eigener KI-Modelle zu verwenden;

(7) die Einhaltung der Pflichten aus Art. 28 DSGVO in angemessener Form nachweisen zu können.

(1) Die produktiven Datenbestände, die im Anwendungsbereich dieser Vereinbarung verarbeitet werden, werden ausschließlich auf Servern mit Standort in Deutschland gehostet und gespeichert.

(2) Dies umfasst insbesondere

a) Lead- und Kontaktdaten,

b) CRM-Daten,

c) projektbezogene Datenbanken,

d) Gesprächsdokumentationen,

e) Transkripte und Zusammenfassungen sowie

f) von ColdX kontrollierte Sicherungskopien.

(3) Eine dauerhafte Speicherung, Spiegelung oder Sicherung dieser Datenbestände auf Servern außerhalb Deutschlands erfolgt nicht.

(4) Die serverseitige Verarbeitung der in Abs. 1 genannten Daten erfolgt grundsätzlich auf der von ColdX hierfür vorgesehenen Infrastruktur in Deutschland.

(5) Der gesellschaftsrechtliche Sitz von ColdX in den Vereinigten Staaten ändert nichts an der vertraglich vereinbarten Datenresidenz der produktiven Datenbestände in Deutschland.

(6) Die Datenresidenz in Deutschland schließt nicht aus, dass datenschutzrechtlich zulässige und entsprechend abgesicherte Remote-Zugriffe durch autorisierte Personen in anderen Staaten erfolgen.

(7) Eine dauerhafte Änderung des vereinbarten Serverstandorts außerhalb Deutschlands bedarf vor ihrer Umsetzung einer vorherigen Information des Auftraggebers und der Erfüllung sämtlicher hierfür erforderlichen datenschutzrechtlichen Voraussetzungen.

(1) ColdX kann selbständige Agenten zur Durchführung der beauftragten Projekte einsetzen.

(2) Soweit ein Agent auf Daten zugreift, die ColdX ausschließlich im Auftrag des Kunden verarbeitet, wird der Agent datenschutzrechtlich entsprechend seiner tatsächlichen Funktion eingebunden.

(3) Soweit der Agent als weiterer Auftragsverarbeiter tätig wird, gelten die Regelungen über weitere Auftragsverarbeiter gemäß § 8.

(4) Agenten erhalten ausschließlich Zugriff auf diejenigen Daten, die für das ihnen zugeordnete Projekt erforderlich sind.

(5) Agenten dürfen die Daten insbesondere nicht

a) für eigene Zwecke verwenden,

b) für andere Projekte verwenden,

c) eigenständig exportieren,

d) dauerhaft auf eigenen Endgeräten speichern,

e) auf private Cloudspeicher übertragen,

f) an unbefugte Dritte übermitteln oder

g) nach Beendigung ihrer Berechtigung weiter nutzen.

(6) ColdX stellt soweit technisch umsetzbar sicher, dass Zugriffe innerhalb der ColdX-Plattform erfolgen und der reguläre Agentenzugriff keinen vollständigen Export der Kunden-Leadbestände ermöglicht.

(7) Agentenzugriffe werden nach Maßgabe des bestehenden Sicherheits- und Protokollierungskonzepts nachvollziehbar protokolliert.

(1) Der Auftraggeber erteilt ColdX eine allgemeine Genehmigung zum Einsatz weiterer Auftragsverarbeiter.

(2) Weitere Auftragsverarbeiter können insbesondere sein:

a) für das jeweilige Projekt eingesetzte selbständige Agenten,

b) Hosting- und Infrastrukturunternehmen,

c) Telefonieanbieter,

d) Kommunikations- und SMS-Dienstleister,

e) Sicherheitsdienstleister sowie

f) sonstige für die vereinbarte Leistung erforderliche technische Dienstleister.

(3) ColdX führt eine aktuelle Liste der weiteren Auftragsverarbeiter.

(4) Diese Liste enthält mindestens:

a) Name beziehungsweise Unternehmensbezeichnung,

b) Sitz beziehungsweise Verarbeitungsland und

c) Art der erbrachten Verarbeitungstätigkeit.

(5) Der Auftraggeber erhält die Liste elektronisch oder über die ColdX-Plattform zugänglich.

(6) ColdX informiert über die beabsichtigte Hinzuziehung oder Ersetzung eines weiteren Auftragsverarbeiters grundsätzlich mindestens 14 Kalendertage vor dessen erstmaligem Zugriff auf personenbezogene Daten des Auftraggebers.

(7) Der Auftraggeber kann innerhalb dieser Frist aus berechtigten datenschutzrechtlichen Gründen widersprechen.

(8) Ein bloßer Wechsel der konkreten Projektzuordnung zwischen bereits genehmigten und in der Unterauftragsverarbeiterliste aufgeführten Agenten stellt keine Hinzuziehung eines neuen weiteren Auftragsverarbeiters dar.

(9) ColdX verpflichtet weitere Auftragsverarbeiter vertraglich mindestens zu denjenigen Datenschutzpflichten, die für ihre jeweilige Verarbeitung nach Art. 28 Abs. 4 DSGVO erforderlich sind.

(10) ColdX bleibt dem Auftraggeber nach Maßgabe des anwendbaren Datenschutzrechts für die Erfüllung der Verpflichtungen weiterer Auftragsverarbeiter verantwortlich.

(1) Die ausschließliche Speicherung der Daten auf Servern in Deutschland lässt die Anforderungen des Kapitels V DSGVO unberührt, soweit personenbezogene Daten einem Empfänger in einem Drittland zugänglich gemacht werden.

(2) ColdX stellt sicher, dass ein Drittlandzugriff nur erfolgt, wenn die dafür erforderlichen Voraussetzungen erfüllt sind.

(3) Dies gilt insbesondere für

a) die Übermittlung personenbezogener Daten an ColdX als in den Vereinigten Staaten ansässige Vertragspartei, soweit Kapitel V DSGVO auf den betreffenden Vorgang Anwendung findet, sowie

b) Remote-Zugriffe von Agenten oder sonstigen weiteren Auftragsverarbeitern aus Staaten außerhalb des Europäischen Wirtschaftsraums.

(4) Soweit für den betreffenden Empfänger ein anwendbarer Angemessenheitsbeschluss besteht und dessen Voraussetzungen erfüllt sind, kann die Verarbeitung hierauf gestützt werden.

(5) Soweit kein anwendbarer Angemessenheitsbeschluss besteht, werden geeignete Garantien nach Art. 46 DSGVO eingesetzt.

(6) Hierzu werden insbesondere die jeweils einschlägigen Standardvertragsklauseln der Europäischen Kommission verwendet, soweit kein anderer zulässiger Transfermechanismus eingesetzt wird.

(7) Für Übermittlungen des Auftraggebers als Verantwortlichem an ColdX als Auftragsverarbeiter wird, soweit erforderlich, grundsätzlich Modul 2 – Verantwortlicher an Auftragsverarbeiter der Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 verwendet.

(8) Für eine Weiterübermittlung durch ColdX als Auftragsverarbeiter an einen weiteren Auftragsverarbeiter in einem Drittland wird, soweit erforderlich und einschlägig, grundsätzlich Modul 3 – Auftragsverarbeiter an Auftragsverarbeiter verwendet.

(9) ColdX nimmt erforderlichenfalls eine Bewertung des jeweiligen Drittlandtransfers vor und implementiert erforderliche ergänzende technische, organisatorische oder vertragliche Maßnahmen.

(10) Diese AVV ersetzt nicht die Standardvertragsklauseln oder andere nach Kapitel V DSGVO erforderliche Übermittlungsinstrumente.

(1) ColdX verpflichtet sich, mindestens die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen einzuhalten.

(2) ColdX darf die Maßnahmen an technische Entwicklungen anpassen, sofern das vereinbarte Schutzniveau hierdurch nicht abgesenkt wird.

(3) Wesentliche Änderungen werden angemessen dokumentiert.

(1) ColdX informiert den Auftraggeber unverzüglich, nachdem ColdX von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, soweit im Auftrag verarbeitete Daten betroffen sind.

(2) Die erste Mitteilung erfolgt nach Möglichkeit innerhalb von 24 Stunden nach hinreichend belastbarer Kenntnis.

(3) Die Mitteilung enthält, soweit verfügbar:

a) Art des Vorfalls,

b) betroffene Datenkategorien,

c) betroffene Personengruppen,

d) ungefähre Anzahl der betroffenen Personen und Datensätze,

e) wahrscheinliche Folgen,

f) bereits ergriffene oder geplante Maßnahmen sowie

g) einen Ansprechpartner.

(4) Noch nicht verfügbare Informationen werden ohne unangemessene Verzögerung nachgereicht.

(5) ColdX unterstützt den Auftraggeber im erforderlichen Umfang bei der Erfüllung seiner Pflichten gemäß Art. 33 und 34 DSGVO.

(1) ColdX unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung bei der Erfüllung von Betroffenenrechten.

(2) Dies betrifft insbesondere

a) Auskunft,

b) Berichtigung,

c) Löschung,

d) Einschränkung,

e) Datenübertragbarkeit sowie

f) Widerspruch,

soweit das jeweilige Recht einschlägig ist.

(3) Geht ein Antrag unmittelbar bei ColdX ein und betrifft dieser ausschließlich eine Auftragsverarbeitung des Auftraggebers, leitet ColdX den Antrag grundsätzlich unverzüglich an den Auftraggeber weiter.

(4) ColdX beantwortet ihn nicht eigenständig inhaltlich, sofern keine gesetzliche Verpflichtung oder entsprechende Weisung des Auftraggebers besteht.

ColdX unterstützt den Auftraggeber unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen im gesetzlich erforderlichen Umfang insbesondere bei

(1) ColdX stellt dem Auftraggeber die erforderlichen Informationen zum Nachweis der Einhaltung dieser AVV zur Verfügung.

(2) Der Nachweis erfolgt vorrangig durch

a) TOM-Dokumentationen,

b) Sicherheitsdokumentationen,

c) geeignete Zertifizierungen oder Testate,

d) Auditberichte,

e) Informationen über weitere Auftragsverarbeiter sowie

f) Informationen über Transfermechanismen.

(3) Reichen diese Unterlagen im konkreten Fall nicht aus, kann der Auftraggeber eine weitergehende Kontrolle verlangen.

(4) Vor-Ort-Kontrollen sind grundsätzlich mindestens 14 Kalendertage vorher anzukündigen, während üblicher Geschäftszeiten durchzuführen und auf den erforderlichen Umfang zu beschränken.

(5) Dies gilt nicht, soweit ein konkreter erheblicher Datenschutzvorfall oder eine verbindliche behördliche Anordnung eine kurzfristigere Prüfung erfordert.

(6) Rechte anderer Kunden, Geschäftsgeheimnisse und die Sicherheit der ColdX-Systeme sind angemessen zu schützen.

(7) Anlasslose Vor-Ort-Kontrollen sollen grundsätzlich nicht häufiger als einmal innerhalb von zwölf Monaten durchgeführt werden.

(1) Nach Beendigung der jeweiligen Auftragsverarbeitung löscht ColdX die ausschließlich im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie auf Weisung des Auftraggebers zurück.

(2) Die Löschung erfolgt grundsätzlich spätestens 30 Tage nach Beendigung des jeweiligen Projekts beziehungsweise der Auftragsverarbeitung, soweit keine zulässige abweichende Weisung oder gesetzliche Aufbewahrungspflicht besteht.

(3) Sicherungskopien werden im Rahmen der regulären Backup-Rotation gelöscht oder überschrieben und bis dahin nicht erneut für produktive Zwecke verwendet.

(4) Daten, die ColdX aufgrund einer eigenen gesetzlichen Verpflichtung speichern muss, werden für andere Zwecke gesperrt beziehungsweise in ihrer Verarbeitung entsprechend eingeschränkt.

(5) Gleiches gilt für Daten, die ColdX auf einer eigenständigen Rechtsgrundlage zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen verarbeiten darf. Eine solche Verarbeitung erfolgt nicht mehr im Auftrag des Kunden.

(6) ColdX bestätigt die Löschung auf begründete Anfrage in angemessener Form.

(1) Die Haftung der Parteien richtet sich nach den zwingenden datenschutzrechtlichen Vorschriften und ergänzend nach den wirksam vereinbarten Haftungsbestimmungen des Hauptvertrags.

(2) Keine Bestimmung dieser AVV beschränkt Rechte betroffener Personen oder Befugnisse zuständiger Datenschutzaufsichtsbehörden.

(3) Im Innenverhältnis trägt jede Partei Schäden und Aufwendungen entsprechend ihrem jeweiligen Verursachungs- und Verantwortungsbeitrag.

(1) Diese AVV tritt mit ihrer elektronischen oder anderweitig nachweisbaren Annahme in Kraft.

(2) Sie gilt für die gesamte Dauer, während der ColdX personenbezogene Daten des Auftraggebers als Auftragsverarbeiter verarbeitet.

(3) Sie endet nach Beendigung sämtlicher in ihrem Anwendungsbereich liegender Verarbeitungsvorgänge und ordnungsgemäßer Löschung oder Rückgabe der Daten.

(4) Vertraulichkeits-, Nachweis- und sonstige ihrem Zweck nach fortgeltende Pflichten bleiben unberührt.

(1) Bestandteil dieser AVV sind:

Anlage 1 – Beschreibung der Verarbeitung

Anlage 2 – Technische und organisatorische Maßnahmen

Anlage 3 – Weitere Auftragsverarbeiter und Drittlandtransfers

(2) Änderungen und Ergänzungen dieser AVV müssen dokumentierbar erfolgen. Elektronische Form ist ausreichend, soweit zwingendes Recht keine strengere Form verlangt.

(3) Individuelle datenschutzrechtliche Vereinbarungen haben Vorrang.

(4) Bei Widersprüchen zwischen dieser AVV und den Standardvertragsklauseln gehen die Standardvertragsklauseln hinsichtlich ihres Regelungsgegenstands vor.

(5) Bei Widersprüchen zwischen dieser AVV und dem Hauptvertrag geht diese AVV hinsichtlich der Auftragsverarbeitung personenbezogener Daten vor.

(6) Die tatsächliche datenschutzrechtliche Rollenverteilung kann durch diese Vereinbarung nicht abweichend von den gesetzlichen Voraussetzungen festgelegt werden.

Gegenstand: Kundenseitig bereitgestellte personenbezogene Lead-, CRM-, Kontakt- und Kommunikationsdaten.

Zweck: Durchführung der vom Auftraggeber beauftragten Akquise-, Qualifizierungs-, Terminierungs- und Vertriebsunterstützungsleistungen.

Art der Verarbeitung: Entgegennahme, Speicherung, Strukturierung, Zuordnung, Abruf, Nutzung zur Kontaktaufnahme, Gesprächsdokumentation, Qualifizierung, Terminierung, Statusverwaltung, rechtlich zulässige Transkription, Bereitstellung der Ergebnisse, Berichtigung, Einschränkung, Export und Löschung.

Betroffene Personen: Leads, Interessenten, geschäftliche Ansprechpartner, Kunden und potenzielle Kunden sowie gegebenenfalls Nutzer und Mitarbeiter des Auftraggebers.

Datenkategorien: Identitätsdaten, geschäftliche Kontaktdaten, Unternehmens- und Funktionsdaten, CRM-Daten, projektbezogene Merkmale, Kommunikationsdaten, Statusinformationen, Terminangaben, Gesprächsnotizen und – soweit zulässig – Transkripte.

Besondere Kategorien: Nicht regulär vorgesehen.

Dauer: Dauer des jeweiligen Projekts zuzüglich technisch und rechtlich erforderlicher Löschfristen.

Nicht erfasst: Von ColdX selbst beschaffte Leads und sonstige Verarbeitungen, bei denen ColdX selbst Verantwortlicher ist.

ColdX verpflichtet sich für Daten im Anwendungsbereich dieser AVV mindestens zu folgenden Maßnahmen:

Die aktuelle Unterauftragsverarbeiterliste wird innerhalb der ColdX-Plattform oder unter einer dem Auftraggeber dauerhaft zugänglichen elektronischen Fundstelle bereitgestellt. Die jeweils aktuelle Fassung ist unter coldx.io/subprozessoren abrufbar.

Sie enthält mindestens:

Soweit die Übermittlung vom Auftraggeber an die COLDX NETWORK LLC nicht auf einem anwendbaren Angemessenheitsbeschluss oder einem anderen zulässigen Transfermechanismus beruht, werden die Standardvertragsklauseln gemäß Durchführungsbeschluss (EU) 2021/914 mit Modul 2 – Verantwortlicher an Auftragsverarbeiter Bestandteil der Vertragsbeziehung.

Die hierfür erforderlichen Anlagen, Angaben zum Datenexporteur und Datenimporteur, die zuständige Aufsichtsbehörde, die konkreten technischen und organisatorischen Maßnahmen sowie die erforderlichen Auswahlentscheidungen werden vor Beginn der betreffenden Übermittlung vervollständigt.