sales-engine.com

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO

Stand: 04.10.2026 · Fassung 1.1 (gegenüber 1.0 neu: Verlauf der WhatsApp-Dialoge mit Endkunden, § 9 Abs. 3 und Anlage 1; am 04.10.2026 klarstellend ergänzt: trit.io als Beispiel eines vom Kunden angebundenen Dienstes, § 5 Abs. 6 und Anlage 1) · Anlage zu den AGB der sales.engine GmbH

Parteien:

• Der Kunde („Verantwortlicher“).
• Die sales.engine GmbH, Hohenlindener Str. 1, 81677 München („Auftragsverarbeiter“).

Dieser Vertrag gilt für jeden Vertrag über die Dienste nach den AGB („Hauptvertrag“). Er wird mit dem Hauptvertrag geschlossen, ohne dass es einer gesonderten Unterschrift bedarf. Auf Wunsch stellt der Auftragsverarbeiter eine unterzeichnete Fassung bereit.

§ 1 Gegenstand, Dauer, Art und Zweck

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die Dienste nach dem Hauptvertrag zu erbringen. Einzelheiten zu Art und Zweck der Verarbeitung, Art der Daten und Kategorien betroffener Personen enthält Anlage 1.

(2) Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, bis alle Daten nach § 9 zurückgegeben oder gelöscht sind. Eine isolierte ordentliche Kündigung dieses Vertrags ist ausgeschlossen. Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt.

(3) Die Verarbeitung findet in der Europäischen Union statt. Ausnahmen sind die in Anlage 3 genannten Unterauftragsverarbeiter unter den dort genannten Garantien.

§ 2 Weisungen

(1) Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch bei Übermittlungen in Drittländer. Ausgenommen sind Fälle, in denen ihn das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; dann teilt er dem Verantwortlichen diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Weisungen sind:

• die Regelungen des Hauptvertrags und dieses Vertrags;
• die Einstellungen und Handlungen des Verantwortlichen und seiner Nutzer in der Anwendung, z. B. das Hochladen eines Dokuments, das Auslösen einer Aktion, das Einschalten der Gesprächsaufzeichnung oder das Löschen eines Kontakts.

Weitere Weisungen erteilt der Verantwortliche in Textform an support@sales-engine.com.

(3) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO). Er darf die Ausführung aussetzen, bis der Verantwortliche sie bestätigt oder ändert.

§ 3 Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Diese Personen erhalten nur auf die Daten Zugriff, die sie für ihre Aufgabe brauchen. Unterliegt der Verantwortliche einer Pflicht nach § 203 StGB, verpflichtet der Auftragsverarbeiter die eingesetzten Personen zur Verschwiegenheit unter Belehrung über die strafrechtlichen Folgen.

§ 4 Sicherheit der Verarbeitung

(1) Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind (Art. 28 Abs. 3 lit. c DSGVO).

(2) Die Maßnahmen dürfen an den technischen Fortschritt angepasst werden. Das Schutzniveau darf dabei nicht sinken. Wesentliche Änderungen dokumentiert der Auftragsverarbeiter.

§ 5 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die bei Vertragsschluss eingesetzten nennt Anlage 3; sie gelten als genehmigt.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vorher in Textform, wenn er einen Unterauftragsverarbeiter hinzuziehen oder ersetzen will. Er nennt dabei Firma, Anschrift und Leistung.

• Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund innerhalb von zwei Wochen nach der Information in Textform widersprechen.
• Können sich die Parteien nicht einigen, kann der Verantwortliche den Hauptvertrag zum Zeitpunkt der Änderung kündigen.
• In dringenden Fällen, insbesondere bei Ausfall oder Sicherheitsproblemen eines bisherigen Dienstleisters, darf die Frist kürzer sein. Das Widerspruchs- und Kündigungsrecht bleibt bestehen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Er haftet für dessen Pflichterfüllung wie für eigenes Handeln.

(4) Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere:

• aufgrund eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework für zertifizierte Empfänger) oder
• auf Grundlage der Standardvertragsklauseln der EU-Kommission oder
• auf Grundlage genehmigter verbindlicher interner Datenschutzvorschriften (Binding Corporate Rules, Art. 47 DSGVO).

(5) Keine Unterauftragsverarbeitung sind Nebenleistungen, die der Auftragsverarbeiter oder seine Unterauftragsverarbeiter in Anspruch nehmen und die sich nicht unmittelbar auf die Erbringung der Hauptleistung beziehen. Beispiele sind allgemeine Telekommunikationsdienste für den eigenen Betrieb, Post- und Transportdienste, Reinigung und Bewachung. Auch dafür trifft der Auftragsverarbeiter angemessene vertragliche Vereinbarungen zum Schutz der Daten.

(6) Ebenfalls keine Unterauftragsverarbeitung sind Dienste, die der Verantwortliche selbst mit eigenem Vertrag anbindet und auf seine Weisung nutzt. Dazu gehören insbesondere sein Google-Konto (Kalender, Kontakte), sipgate, Placetel, Zapier, sein Konto bei trit.io (3H Solutions AG, München) und eigene Schnittstellen. Der Auftragsverarbeiter übermittelt Daten dorthin nur auf Weisung des Verantwortlichen; an trit.io nur je Vorgang auf Klick eines Nutzers. Für diese Dienste ist der Verantwortliche selbst zuständig. Er stellt sicher, dass ein verbundenes Konto ihm zuzurechnen ist oder für die Übermittlung an den Inhaber des Kontos eine Rechtsgrundlage besteht.

§ 6 Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, Anträge betroffener Personen nach Kapitel III DSGVO zu beantworten (Art. 28 Abs. 3 lit. e DSGVO).

Der Verantwortliche kann diese Rechte weitgehend selbst in der Anwendung umsetzen:

• Auskunft und Datenübertragbarkeit: Ansicht und Export als Excel oder CSV;
• Berichtigung: Bearbeiten;
• Löschung: Löschen von Dokumenten, Notizen und Einträgen im Netzwerk eines Kontakts; endgültiges Löschen entfernter Kontakte durch Kontoinhaber oder Konto-Admins (dabei bleiben Deals, Gespräche und Abrechnungsdaten ohne Namen und Inhalte für Umsatz- und Nutzungsauswertungen erhalten, Verträge unverändert);
• Einschränkung: Entfernen (Deaktivieren). Ein entfernter Kontakt erscheint nicht mehr in der Kontaktliste und löst keine Nachrichten oder Hinweise mehr aus, bleibt aber gespeichert, z. B. für gesetzliche Aufbewahrungsfristen des Verantwortlichen, bis er zurückgeholt oder endgültig gelöscht wird.

(2) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst. Endkunden, die per WhatsApp mit Selly schreiben, erhalten auf Nachfrage den Hinweis, sich an den Verantwortlichen zu wenden.

§ 7 Weitere Unterstützungspflichten, Datenschutzverletzungen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm verfügbaren Informationen bei den Pflichten aus Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO). Das umfasst Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung und vorherige Konsultation.

(2) Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist (Art. 33 Abs. 2 DSGVO). Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Fehlende Angaben reicht er nach, sobald sie vorliegen.

(3) Für Unterstützungsleistungen, die über die Bereitstellung der Funktionen der Anwendung und über gesetzlich geschuldete Mitwirkung hinausgehen, kann der Auftragsverarbeiter eine angemessene Vergütung nach Aufwand verlangen, wenn er sie vorher ankündigt. Das gilt nicht, wenn der Anlass auf einem Verstoß des Auftragsverarbeiters beruht.

§ 7a Zusammenarbeit mit der Aufsichtsbehörde

Die Parteien arbeiten auf Anfrage mit der zuständigen Datenschutz-Aufsichtsbehörde bei der Erfüllung ihrer Aufgaben zusammen. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen der Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.

§ 8 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei (Art. 28 Abs. 3 lit. h DSGVO).

(2) Als Nachweis kann der Auftragsverarbeiter nach seiner Wahl vorlegen:

• diese Unterlagen und Selbstauskünfte;
• die Einhaltung genehmigter Verhaltensregeln nach Art. 40 DSGVO;
• eine Zertifizierung nach Art. 42 DSGVO;
• aktuelle Testate oder Berichte unabhängiger Stellen (z. B. Wirtschaftsprüfer, Datenschutzauditoren, Prüfung nach ISO 27001), auch solche der Unterauftragsverarbeiter.

Diese Nachweise genügen, soweit sie dem Verantwortlichen ermöglichen, sich in angemessener Weise von der Einhaltung der Maßnahmen zu überzeugen.

(3) Für Überprüfungen vor Ort gilt:

• Sie sind mindestens drei Wochen vorher in Textform anzukündigen.
• Sie finden während der üblichen Geschäftszeiten statt, ohne vermeidbare Störung des Betriebs.
• Sie sind höchstens einmal im Kalenderjahr zulässig, es sei denn, es bestehen konkrete Anhaltspunkte für einen Verstoß.
• Ein beauftragter Prüfer muss zur Verschwiegenheit verpflichtet sein und darf in keinem Wettbewerbsverhältnis zum Auftragsverarbeiter oder zu dessen Unterauftragsverarbeitern stehen. Die Verpflichtung legt der Verantwortliche auf Verlangen vor.

(4) Die Kosten der Überprüfung einschließlich des Prüfers trägt der Verantwortliche. Ergibt die Prüfung einen wesentlichen Verstoß des Auftragsverarbeiters, trägt der Auftragsverarbeiter seine eigenen Kosten und die angemessenen Kosten des Verantwortlichen.

§ 9 Rückgabe und Löschung

(1) Nach Ende des Hauptvertrags hält der Auftragsverarbeiter die Daten 30 Tage, nach dem Ende einer Testphase 90 Tage, im Nur-Lesen-Modus zum Herunterladen bereit und weist spätestens 14 Tage vor der Löschung darauf hin. Auf Verlangen des Verantwortlichen stellt er innerhalb von 14 Tagen eine vollständige Kopie aller Kundendaten einschließlich Dateien in einem gängigen maschinenlesbaren Format bereit oder löscht die Daten sofort. Danach löscht er sie innerhalb weiterer 30 Tage (Art. 28 Abs. 3 lit. g DSGVO). Ausgenommen sind Daten, für die eine Pflicht zur Speicherung nach Unions- oder mitgliedstaatlichem Recht besteht.

Daten in Datensicherungen werden mit deren regulärem Umlauf gelöscht, in einem Zyklus von 14 Tagen. Bis dahin bleiben sie gegen unbefugten Zugriff geschützt und werden nicht wiederhergestellt, außer zur Wiederherstellung des Betriebs. Der Verantwortliche ist dafür verantwortlich, seine Daten rechtzeitig vor der Löschung herunterzuladen.

(2) Auf Verlangen bestätigt der Auftragsverarbeiter die Löschung in Textform.

(3) Unabhängig vom Vertragsende gilt:

• Kurzlebige Arbeitsdaten löscht der Auftragsverarbeiter nach der Verarbeitung. Dazu gehören hochgeladene Dateien für das Auslesen, Sprachaufnahmen für Diktate, der Stand laufender WhatsApp-Dialoge (48 Stunden nach der letzten Nachricht) und Gesprächsaufnahmen beim Telekommunikationsdienstleister.
• WhatsApp-Dialoge mit Endkunden: Der Verlauf eines Dialogs zu einer Anfrage wird gespeichert, damit berechtigte Nutzer des Verantwortlichen ihn lesen können. Er umfasst die Nachrichten des Endkunden und von Selly; Dokumente erscheinen nur als Hinweis, Sprachnachrichten als Verschriftlichung. Der Verlauf wird 90 Tage nach der letzten Nachricht gelöscht, beim endgültigen Löschen des Kontakts sofort. Beendet der Endkunde den Dialog („Stopp“), bleibt der bisherige Verlauf bis dahin erhalten. Die erfassten Angaben, Dokumente und die Abschlussnotiz bleiben im Konto.
• Auslesen und Diktat: Das Ergebnis wird im Konto gespeichert, auf Wunsch des Nutzers auch die Originaldatei.
• Gesprächsaufzeichnung: Aufnahme, Protokoll und Zusammenfassung werden im Konto gespeichert.
• Einträge im Netzwerk eines Kontakts: Streicht der Nutzer einen Eintrag, wird er sofort gelöscht. Wird ein Eintrag mit einem Kontakt verknüpft, wird er ausgeblendet und nach 30 Tagen gelöscht.
• Endgültiges Löschen eines Kontakts (§ 6 Abs. 1) wirkt sofort und lässt sich nicht rückgängig machen. In Datensicherungen gilt Abs. 1 Unterabsatz 2. Ob gesetzliche Aufbewahrungspflichten entgegenstehen, prüft der Verantwortliche vor dem Löschen.

§ 10 Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Das umfasst insbesondere Rechtsgrundlage, Information nach Art. 13, 14 DSGVO und Einwilligungen, z. B. für Gesprächsaufzeichnungen und die Ansprache per WhatsApp.

(2) Er informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(3) Der Verantwortliche stellt sicher, dass für besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) und Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) eine Rechtsgrundlage besteht. Er übergibt solche Daten nur, soweit sie für seinen Geschäftszweck erforderlich sind.

§ 11 Haftung, Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

(1a) Werden die Daten beim Auftragsverarbeiter durch Maßnahmen Dritter gefährdet, informiert der Auftragsverarbeiter den Verantwortlichen unverzüglich. Beispiele sind Pfändung, Beschlagnahme oder ein Insolvenzverfahren. Er weist den Dritten darauf hin, dass die Verfügungsbefugnis über die Daten ausschließlich beim Verantwortlichen liegt.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

(3) Ändern sich gesetzliche Anforderungen, passen die Parteien diesen Vertrag entsprechend an. § 13 der AGB gilt entsprechend.

(4) Es gilt deutsches Recht. Gerichtsstand ist München, soweit § 14 Abs. 2 der AGB dies zulässt.

Anlage 1 – Gegenstand der Verarbeitung

Art und Zweck der Verarbeitung:

• Bereitstellung einer Software zur Kunden- und Vertriebsverwaltung: Speichern, Anzeigen, Suchen, Ändern, Löschen, Exportieren.
• Assistenzfunktionen „Selly“:
• Auslesen von Dokumenten, Bildschirmfotos und Sprachaufnahmen;
• Umsetzen von Diktaten und Texteingaben in Aktionen;
• Zusammenfassungen und Nachrichtenentwürfe;
• im Auftrag des Verantwortlichen geführte WhatsApp-Dialoge mit Endkunden zur Erfassung von Angaben, einschließlich Speicherung des Verlaufs zur Einsicht durch die Nutzer (90 Tage nach der letzten Nachricht);
• Erinnerungen und Hinweise an Nutzer;
• Erfassen von Personen aus dem Umfeld von Kontakten (Netzwerk), ohne für sie einen eigenen Kontakt anzulegen; Abgleich neu angelegter Kontakte mit diesen Einträgen innerhalb des Kontos (automatisch bei gleicher E-Mail-Adresse oder Handynummer, bei gleichem Namen nach Rückfrage beim Nutzer) und Verknüpfung;
• Strom- und Gasvergleich über Verivox und, nur nach ausdrücklicher Bestätigung des Endkunden, Übermittlung des Wechselauftrags an Verivox zur Weitergabe an den neuen Energieanbieter;
• nur auf Klick eines Nutzers je Vorgang: Übermittlung einer Kreditanfrage (Angaben und Dokumente des Kontakts) an ein vom Verantwortlichen verbundenes Konto bei trit.io (§ 5 Abs. 6).
• Ausgehende Telefonie mit Protokollierung (Zeitpunkt, Dauer, Rufnummern, Ergebnis). Auf Einstellung des Verantwortlichen zusätzlich Aufzeichnung, Verschriftlichung und Zusammenfassung.
• Technischer Betrieb: Datensicherung, Fehleranalyse und Herkunftsnachweis (welche Änderung wann aus welcher Quelle).

Kategorien betroffener Personen:

• Nutzer des Verantwortlichen: Mitarbeiter, freie Vermittler.
• Kunden, Interessenten und Endkunden des Verantwortlichen.
• Personen aus dem privaten und geschäftlichen Umfeld dieser Personen, z. B. Angehörige, Ehe- und Lebenspartner, Mitantragsteller, Bürgen, Arbeitgeber und Kollegen, Berater der Kunden (z. B. Steuerberater), Empfehlungs- und Tippgeber sowie Teilnehmer an Terminen.
• Ansprechpartner von Geschäftspartnern des Verantwortlichen.
• Gesprächspartner in Telefonaten und WhatsApp-Dialogen.

Arten personenbezogener Daten:

• Stammdaten und Kontaktdaten: Name, Anschrift, Telefonnummern, E-Mail, Geburtsdatum, Familienstand, Profilbild (vom Nutzer hochgeladen oder aus seinen Google-Kontakten übernommen; keine Gesichtserkennung oder sonstige biometrische Auswertung).
• Beziehungsangaben: Art der Beziehung zu einem Kontakt (z. B. Geschwister, Kollege, Tippgeber), ein kurzer Zusatz zur Beziehung und Verknüpfungen zwischen Kontakten.
• Finanz- und Vertragsdaten, wie sie für Kredit- und Finanzierungsanfragen üblich sind:
• Einkommen, Ausgaben, Beschäftigung, Arbeitgeber;
• Bankverbindung (IBAN), bestehende Verbindlichkeiten;
• Angaben zu Immobilien und Fahrzeugen, gewünschte Kreditsumme und Laufzeit.
• Identitäts- und Dokumentdaten aus hochgeladenen Unterlagen, z. B. Ausweis, Gehaltsabrechnung, Kontoauszug, Steuerbescheid.
• Energiedaten: Postleitzahl, Verbrauch, bisheriger Anbieter, Abschlag, Zähler- und Kundennummer, gewählter Tarif, Vertragsbestätigung.
• Kommunikationsinhalte: Notizen, Gesprächseinträge, WhatsApp-Nachrichten einschließlich Sprachnachrichten, Fotos und Dokumenten.
• Telefonie:
• Verbindungsdaten (Rufnummern, Zeitpunkt, Dauer);
• bei eingeschalteter Aufzeichnung Sprachaufnahme, Protokoll und Zusammenfassung.
• Nutzungs- und Protokolldaten der Nutzer: Anmeldungen, Aktionen, Herkunftsnachweis.
• Besondere Kategorien (Art. 9 DSGVO), soweit sie in Unterlagen enthalten sind, insbesondere Religionszugehörigkeit (Kirchensteuermerkmal auf Gehaltsabrechnungen und Steuerbescheiden) sowie im Einzelfall Gesundheitsangaben. Aus Beziehungsangaben (z. B. Ehe- oder Lebenspartner) können sich mittelbar Angaben über die sexuelle Orientierung ergeben.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Die Server gehören der VISION Information Technologies GmbH und werden vom Anbieter gemietet; sie stehen in einem gesicherten Rechenzentrum der SpaceNet AG in München (Serverhousing). Das Rechenzentrum ist nach ISO 27001 zertifiziert. Zutritt nur für berechtigtes Personal. Die TOM der SpaceNet AG sind auf Anfrage erhältlich.
• Zugangskontrolle:
• Hardware-Firewall und virtuelle Netzwerke; möglichst wenige Administratoren; Richtlinie für sichere Passwörter; automatische Bildschirmsperre an Arbeitsplätzen.
• Die Anmeldung erfolgt personenbezogen mit Passwort und zeitlich begrenzten Zugangstoken.
• Der administrative Serverzugang läuft nur über ein VPN.
• Nicht mehr benötigte Zugänge werden gesperrt.
• Zugriffskontrolle:
• Rollen- und Rechtekonzept je Konto (Kontoinhaber, Konto-Admin, Datensicht „alle Daten“ bzw. „nur eigene“).
• Jede Lese- und Schreiboperation wird serverseitig gegen die Rechte des angemeldeten Nutzers geprüft.
• Konten sind logisch voneinander getrennt.
• Die Browser-Erweiterung und WhatsApp-Funktionen unterliegen denselben Rechten.
• Trennungskontrolle: Logische Mandantentrennung: Jeder Datensatz ist einem Konto zugeordnet; jede Abfrage wird serverseitig auf dieses Konto und die Rechte des Nutzers beschränkt. Selly-eigene Daten sind über die bestätigte Identität des Nutzers gebunden. Test- und Entwicklungssysteme arbeiten nicht mit Produktivdaten, sondern mit Testdaten.
• Pseudonymisierung und Verschlüsselung: Gespeicherte Kundendaten und Datensicherungen werden nicht pseudonymisiert oder verschlüsselt. Ihr Schutz beruht auf Zutritts-, Zugangs- und Zugriffskontrolle. Auswertungen für den Betrieb verwenden keine Inhalte von Kontakten, nur Zählwerte je Konto.

2. Integrität

• Weitergabekontrolle:
• Verbindungen über öffentliche Netze (Web-App, Browser-Erweiterung, Schnittstellen, Unterauftragsverarbeiter) sind per HTTPS/TLS verschlüsselt.
• System-E-Mails werden über einen eigenen Mailserver im selben Rechenzentrum versendet, per TLS, soweit der empfangende Mailserver dies unterstützt.
• Eingehende WhatsApp- und Telefonie-Rückmeldungen werden per Signatur auf Echtheit geprüft.
• Daten gehen an Unterauftragsverarbeiter nur über verschlüsselte Verbindungen und nur im nötigen Umfang.
• Eingabekontrolle:
• Der Herkunftsnachweis protokolliert Änderungen durch Selly mit Zeitpunkt, Quelle und Nutzer.
• Änderungen sind in der Anwendung nachvollziehbar und teils rückgängig zu machen.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Datensicherung auf einen getrennten Server im selben Rechenzentrum; Sicherungen werden 14 Tage aufbewahrt und danach gelöscht.
• Überwachung der Dienste (Health-Check). Vor jedem Update wird eine Sicherung der Anwendung angelegt.
• Der Schutz gegen Missbrauch umfasst Kontingente, Rufnummernsperren und die Prüfung doppelter Nachrichten.

4. Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests der Rechteprüfung (Datensicht je Profil, fremde Daten nicht erreichbar).
• Überprüfung dieser Maßnahmen mindestens jährlich und bei wesentlichen Änderungen.
• Die Mitarbeiter sind auf Vertraulichkeit verpflichtet und im Datenschutz unterwiesen.
• Ein Datenschutzbeauftragter ist derzeit nicht bestellt, da die Voraussetzungen des Art. 37 DSGVO und des § 38 BDSG nach Einschätzung des Auftragsverarbeiters nicht vorliegen. Ansprechpartner für Datenschutz: info@sales-engine.com.

Anlage 3 – Unterauftragsverarbeiter

Hinweis: Stripe (Zahlungsabwicklung) verarbeitet nur Vertrags- und Zahlungsdaten des Kunden selbst. Der Anbieter ist dafür Verantwortlicher; Stripe ist kein Unterauftragsverarbeiter für Kundendaten.

Hinweis: Die Verivox GmbH (Max-Jarecki-Straße 21, 69115 Heidelberg) und der vom Endkunden gewählte Energieanbieter sind keine Unterauftragsverarbeiter. Sie erhalten Daten nur auf Weisung des Verantwortlichen und Auftrag des Endkunden als Empfänger und verarbeiten sie als eigene Verantwortliche zur Durchführung des Energieliefervertrags. Wird die Partnerkennung der sales.engine GmbH verwendet, verarbeitet diese Angaben zu vermittelten Verträgen, die sie von Verivox erhält, als eigener Verantwortlicher nur zur Provisionsabrechnung und für gesetzliche Aufbewahrungspflichten.

AGB · Auftragsverarbeitungsvertrag · Datenschutz · Datenschutz Selly