Auftragsverarbeitungsvertrag (AVV)

Diese Vereinbarung wird geschlossen zwischen dem Kunden der Elevate-Plattform als Verantwortlichem und Alper Ersoy – Get Elevate, Brassertstraße 31, 41836 Hückelhoven als Auftragsverarbeiter („Anbieter"). Sie wird mit Abschluss des Nutzungsvertrags (Registrierung bzw. Tarifbuchung) automatisch Vertragsbestandteil (Art. 28 Abs. 9 DSGVO — elektronisches Format).

Der Anbieter verarbeitet personenbezogene Daten, die über die vom Kunden erstellten Funnels erhoben werden, im Auftrag des Kunden: Speicherung, Anzeige (Inbox/CRM), Auswertung (Analytics), Weiterleitung an vom Kunden konfigurierte Empfänger (z. B. E-Mail-Benachrichtigung, Webhooks, CRM-Integrationen) sowie Löschung. Die Dauer entspricht der Laufzeit des Nutzungsvertrags.

Datenarten: Kontaktdaten (Name, E-Mail, Telefon), Formularantworten der Funnel-Besucher, technische Meta-Daten (Zeitpunkt, Gerätetyp, anonymisierte Nutzungsstatistik), optional hochgeladene Dateien.
Betroffene: Besucher und Interessenten der Funnels des Kunden (z. B. Bewerber, Anfragende).

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden; Weisungen erfolgen in der Regel über die Funktionen der Plattform (z. B. Konfiguration von Integrationen, Löschen von Leads/Funnels). Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich.

Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet. Der Anbieter trifft angemessene TOM nach Art. 32 DSGVO. Diese sind nach den folgenden Schutzzielen strukturiert und werden fortlaufend an den Stand der Technik angepasst:

• Vertraulichkeit (Zutritts-/Zugangs-/Zugriffskontrolle): gehostete Rechenzentren der Unterauftragnehmer mit physischer Zutrittssicherung; passwortgeschützte Konten, rollenbasierte Berechtigungen und Row-Level-Security (RLS) auf Datenbankebene; Beschränkung des Zugriffs auf Produktionssysteme auf einen minimalen Personenkreis.
• Integrität (Weitergabe-/Eingabekontrolle): Transportverschlüsselung (TLS) für sämtliche Verbindungen; Protokollierung sicherheitsrelevanter Aktionen (Audit-Log); Nachvollziehbarkeit von Änderungen an Leads und Funnels.
• Verfügbarkeit & Belastbarkeit: Verschlüsselung der Datenbank „at rest"; regelmäßige Backups und Wiederherstellbarkeit durch den Datenbank-Anbieter (Supabase); regelmäßige Sicherheitsupdates; Rate-Limiting gegen Überlastung/Missbrauch.
• Trennung & Zweckbindung: mandantengetrennte Datenhaltung je Workspace; getrennte Ausführungsumgebung für veröffentlichte Funnels (Origin-Isolation) gegenüber der Verwaltungsanwendung.
• Verfahren zur regelmäßigen Überprüfung: Sicherheits-Reviews bei Änderungen, Berücksichtigung des aktuellen Stands der Technik.

Der jeweils aktuelle Stand der TOM wird auf Anfrage in Textform bereitgestellt und ist als Anlage Bestandteil dieser Vereinbarung.

Der Kunde genehmigt allgemein den Einsatz folgender Subunternehmer; bei Übermittlungen in Drittländer bestehen EU-Standardvertragsklauseln bzw. eine Zertifizierung nach dem EU-US Data Privacy Framework:

• Vercel Inc. (USA) — Hosting/Auslieferung der Anwendung
• Supabase Inc. (EU-Region) — Datenbank & Authentifizierung
• Resend Inc. (USA) — transaktionaler E-Mail-Versand
• Upstash Inc. (USA) — Rate-Limiting (flüchtige technische Daten)
• Stripe Payments Europe Ltd. (Irland) — Zahlungsabwicklung (nur Kontodaten des Kunden)
• Google Ireland Ltd. / Google LLC — Gemini-API (nur bei Nutzung der KI-Funktionen; Eingabetexte)
• Functional Software Inc. („Sentry", USA) — Fehler-Monitoring (technische Fehlerdaten)

Der Anbieter verpflichtet seine Subunternehmer auf datenschutzrechtliche Verpflichtungen, die den hier vereinbarten entsprechen (Art. 28 Abs. 4 DSGVO). Über beabsichtigte Änderungen dieser Liste (Hinzuziehung oder Austausch) informiert der Anbieter den Kunden rechtzeitig, in der Regel mindestens zwei Wochen im Voraus, in Textform. Der Kunde kann der Änderung widersprechen. Kann eine einvernehmliche Lösung nicht gefunden werden, steht dem Kunden ein Sonderkündigungsrecht zum Zeitpunkt der Umstellung zu.

Der Anbieter unterstützt den Kunden im Rahmen des Zumutbaren bei Betroffenenanfragen (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung und bei Datenschutz-Folgenabschätzungen. Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntnis, mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen. Der Kunde kann sich die Einhaltung dieser Vereinbarung durch geeignete Nachweise (z. B. Beschreibungen der TOM, Zertifikate der Subunternehmer) belegen lassen; Vor-Ort-Kontrollen erfolgen nach angemessener Ankündigung zu üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs.

Für die Zulässigkeit der Verarbeitung und die Wahrung der Betroffenenrechte ist der Kunde als Verantwortlicher verantwortlich. Im Verhältnis der Parteien untereinander trägt jede Partei die Verantwortung für Schäden, die aus einem von ihr zu vertretenden Verstoß gegen die DSGVO oder diese Vereinbarung entstehen. Verarbeitet der Anbieter Daten unter Verstoß gegen weisungsgemäße Vorgaben oder außerhalb seiner Pflichten aus dieser Vereinbarung, haftet er im Innenverhältnis anteilig nach seinem Verursachungsbeitrag (Art. 82 DSGVO). Der Kunde stellt den Anbieter von Ansprüchen frei, die darauf beruhen, dass die vom Kunden veranlasste Verarbeitung ohne ausreichende Rechtsgrundlage erfolgte oder seine Weisungen gegen geltendes Recht verstießen. Haftungsbegrenzungen aus den AGB gelten ergänzend, soweit gesetzlich zulässig.

Während der Laufzeit kann der Kunde Leads und Funnels jederzeit selbst exportieren (CSV/JSON) und löschen; endgültig gelöschte Funnels werden einschließlich zugehöriger Leads entfernt (Papierkorb-Frist: 30 Tage). Nach Ende des Nutzungsvertrags werden die im Auftrag verarbeiteten Daten nach Wahl des Kunden zurückgegeben oder gelöscht, spätestens jedoch innerhalb von 90 Tagen nach Vertragsende gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Bestehen solche Pflichten, werden die betroffenen Daten gesperrt und nach Ablauf der Frist gelöscht. Die Löschung wird auf Anfrage in Textform bestätigt.