- Startseite
- Auftragsverarbeitung
Vertrag zur Auftragsverarbeitung
Nach Artikel 28 DSGVO, inklusive Übersicht der eingesetzten Unterauftragsverarbeiter. Diese Vorlage schließen wir mit jedem Kunden, für den wir personenbezogene Daten verarbeiten.
Präambel
Dieser Vertrag konkretisiert die Pflichten der Parteien zum Datenschutz, die sich aus der Verarbeitung personenbezogener Daten durch Leadnetic im Auftrag des Kunden ergeben. Er gilt für alle Tätigkeiten, bei denen Leadnetic mit personenbezogenen Daten des Kunden in Berührung kommt.
Verantwortlicher im Sinne der DSGVO ist der Kunde.
Auftragsverarbeiter ist Kilian Dull, handelnd unter
Leadnetic, Auf der Klinge 1, 96114 Hirschaid.
1. Gegenstand und Dauer
(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch Leadnetic bei der Erbringung der im Hauptvertrag vereinbarten Leistungen.
(2) Die Dauer entspricht der Laufzeit des Hauptvertrags. Eine Kündigung des Hauptvertrags beendet auch diesen Vertrag.
2. Art, Zweck und Umfang der Verarbeitung
Je nach beauftragter Leistung werden folgende Daten verarbeitet:
| Leistung | Betroffene Personen | Datenarten | Zweck |
|---|---|---|---|
| Website und Anfrage-System | Interessenten des Kunden | Name, Firma, Telefon, E-Mail, Anfrageinhalt | Erfassung, Weiterleitung und Nachverfolgung von Anfragen |
| Social Recruiting | Bewerber des Kunden | Name, Telefon, E-Mail, Antworten auf Stellenfragen, freiwillig hochgeladene Unterlagen | Entgegennahme, Vorsortierung und Weiterleitung von Bewerbungen |
| Terminbuchung | Interessenten und Bewerber | Name, E-Mail, Termin, Zeitzone | Vereinbarung und Erinnerung von Terminen |
| Onboarding-System | Mitarbeiter des Kunden | Name, Rolle, E-Mail, Lernfortschritt, Ergebnisse von Wissensabfragen | Bereitstellung und Nachverfolgung der Einarbeitung |
| Videoproduktion | Mitarbeiter des Kunden | Bild- und Tonaufnahmen | Erstellung von Werbe- und Schulungsmaterial |
| Automatisierung | Interessenten, Bewerber, Kunden des Kunden | Kontaktdaten, Vorgangsdaten, Statusinformationen | Automatisierte Weiterleitung, Nachverfolgung und Auswertung |
3. Pflichten von Leadnetic
Leadnetic verpflichtet sich:
- Daten ausschließlich im Rahmen der Weisungen des Kunden und zu den in Ziffer 2 genannten Zwecken zu verarbeiten;
- die eingesetzten Personen auf Vertraulichkeit zu verpflichten und in den Vorgaben des Datenschutzes zu unterweisen;
- angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen (siehe Ziffer 5);
- den Kunden unverzüglich zu informieren, wenn eine Weisung nach Auffassung von Leadnetic gegen Datenschutzrecht verstößt;
- den Kunden bei der Beantwortung von Anfragen betroffener Personen zu unterstützen und entsprechende Anfragen unverzüglich weiterzuleiten;
- den Kunden bei Datenschutz-Folgenabschätzungen und bei Meldungen an Aufsichtsbehörden zu unterstützen;
- eine Verletzung des Schutzes personenbezogener Daten unverzüglich, in der Regel innerhalb von 24 Stunden nach Kenntnis, an den Kunden zu melden;
- nach Beendigung des Auftrags alle Daten nach Wahl des Kunden zu löschen oder zurückzugeben, soweit keine gesetzliche Aufbewahrungspflicht besteht.
4. Pflichten des Kunden
Der Kunde ist verantwortlich für:
- die Rechtmäßigkeit der Verarbeitung und die Rechtsgrundlage;
- die Information der betroffenen Personen, insbesondere durch eigene Datenschutzhinweise auf seinen Seiten und in seinen Bewerbungsstrecken;
- die Festlegung der Kriterien, nach denen Anfragen und Bewerbungen vorsortiert werden;
- die Wahrung der Rechte betroffener Personen;
- die Führung eines eigenen Verzeichnisses von Verarbeitungstätigkeiten.
5. Technische und organisatorische Maßnahmen
Leadnetic setzt insbesondere folgende Maßnahmen um:
- Zugangskontrolle: Zugänge nur für Personen, die sie zur Aufgabenerfüllung benötigen. Zwei-Faktor-Authentisierung für alle Systeme, die personenbezogene Daten enthalten.
- Verschlüsselung: Übertragung ausschließlich über verschlüsselte Verbindungen (TLS). Verschlüsselung der Datenträger auf Arbeitsgeräten.
- Trennungskontrolle: Getrennte Ablage der Daten je Kunde. Keine Zusammenführung von Datenbeständen verschiedener Auftraggeber.
- Weitergabekontrolle: Datenübertragung ausschließlich an den jeweiligen Auftraggeber und an die in Ziffer 6 genannten Unterauftragsverarbeiter.
- Verfügbarkeitskontrolle: Regelmäßige Sicherung der Datenbestände. Hosting in Rechenzentren innerhalb der Europäischen Union.
- Löschkonzept: Festgelegte Fristen je Datenart, technisch umgesetzt, wo der jeweilige Dienst es unterstützt.
- Protokollierung: Nachvollziehbarkeit von Zugriffen und Änderungen in den eingesetzten Systemen.
6. Unterauftragsverarbeiter
(1) Der Kunde stimmt dem Einsatz der nachfolgend genannten Unterauftragsverarbeiter zu. Mit jedem besteht ein Vertrag, der die Pflichten dieses Vertrags weitergibt.
(2) Leadnetic teilt dem Kunden Änderungen mindestens 14 Tage vorab in Textform mit. Der Kunde kann innerhalb dieser Frist widersprechen. Bei berechtigtem Widerspruch, der die Leistungserbringung unmöglich macht, kann jede Seite den Hauptvertrag mit Wirkung zum Änderungszeitpunkt kündigen.
| Anbieter | Leistung | Ort der Verarbeitung | Grundlage bei Drittland |
|---|---|---|---|
| DeinServerHost GmbH | Hosting von Websites und Anwendungen | Deutschland | — |
| Formagrid Inc. (Airtable) | Datenbank für Anfragen und Bewerbungen | USA | Data Privacy Framework bzw. Standardvertragsklauseln |
| Make (Celonis SE) | Ablaufsteuerung und Weiterleitung | EU | — |
| n8n GmbH | Ablaufsteuerung, teils auf eigenem Server | Deutschland | — |
| Zapier Inc. | Anbindung einzelner Dienste | USA | Data Privacy Framework bzw. Standardvertragsklauseln |
| Cal.com Inc. | Terminbuchung | USA | Data Privacy Framework bzw. Standardvertragsklauseln |
| Google Ireland Limited | E-Mail, Kalender, Dateiablage, Anzeigen, Statistik | EU mit möglicher Verarbeitung in den USA | Data Privacy Framework |
| Meta Platforms Ireland Ltd. | Betrieb von Anzeigen, Formularanfragen aus Anzeigen | EU mit möglicher Verarbeitung in den USA | Data Privacy Framework |
| OpenAI Ireland Ltd. | Textentwürfe, Vorsortierung nach Kundenkriterien | EU mit möglicher Verarbeitung in den USA | Data Privacy Framework bzw. Standardvertragsklauseln |
7. Kontrollrechte des Kunden
(1) Der Kunde hat das Recht, sich von der Einhaltung dieses Vertrags zu überzeugen. Leadnetic stellt dazu auf Anforderung die erforderlichen Auskünfte und Nachweise bereit.
(2) Kontrollen erfolgen nach Ankündigung mit angemessener Frist und zu den üblichen Geschäftszeiten, ohne den Betriebsablauf unangemessen zu stören.
8. Weisungen
(1) Weisungen erteilt der Kunde in Textform, in Eilfällen mündlich mit anschließender Bestätigung.
(2) Weisungsberechtigte Personen benennen die Parteien im Hauptvertrag oder gesondert.
9. Haftung
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des Hauptvertrags.
10. Beendigung
Nach Beendigung löscht Leadnetic die im Auftrag verarbeiteten Daten oder gibt sie nach Wahl des Kunden zurück. Die Löschung wird auf Anforderung bestätigt. Gesetzliche Aufbewahrungspflichten bleiben unberührt.