Auftragsverarbeitungsvertrag

Version 2026-08-13

Dieser Vertrag nach Art. 28 DSGVO ist Bestandteil der Nutzungsbedingungen und gilt zwischen dem Kunden (Verantwortlicher) und der SGS Virtual Marketer GmbH (Auftragsverarbeiter), Frankfurter Landstraße 50, 61352 Bad Homburg vor der Höhe.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde bei der Nutzung von Virtual Marketer CRM einstellt oder die der Dienst in seinem Auftrag abruft. Die Verarbeitung dauert an, solange der Nutzungsvertrag besteht.

2. Art, Zweck und Umfang

Wir verarbeiten die Daten ausschließlich, um den Dienst zu erbringen: Speichern, Ordnen, Durchsuchen, Auswerten und Anzeigen von CRM-Datensätzen, Abrufen und Versenden von Nachrichten über verbundene Konten sowie Sichern und Wiederherstellen der Daten.

Eine Nutzung für eigene Zwecke findet nicht statt. Insbesondere werden Kundendaten nicht zum Training von Modellen verwendet.

3. Kategorien betroffener Personen und Daten

Betroffene Personen: Beschäftigte und Nutzerinnen und Nutzer des Kunden, dessen Kunden, Interessenten und Ansprechpartner sowie Personen, die mit dem Kunden über ein verbundenes Konto korrespondieren.

Datenarten: Stammdaten, Kontaktdaten, Kommunikationsinhalte einschließlich Anhängen, Vertrags- und Vorgangsdaten, Termin- und Aufgabendaten, Nutzungs- und Protokolldaten.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Dienstes. Stellt der Kunde solche Daten dennoch ein, verarbeiten wir sie mit denselben Maßnahmen; die Zulässigkeit verantwortet der Kunde.

4. Weisungen

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden. Als Weisung gelten die Nutzung des Dienstes im Rahmen seiner Funktionen sowie die Einstellungen, die der Kunde vornimmt. Sind wir der Auffassung, dass eine Weisung gegen geltendes Recht verstößt, weisen wir darauf hin und dürfen die Ausführung aussetzen.

5. Vertraulichkeit

Alle zur Verarbeitung befugten Personen sind zur Vertraulichkeit verpflichtet. Der Zugriff ist auf die Personen beschränkt, die ihn zur Erbringung des Dienstes benötigen.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Transportverschlüsselung (TLS) für sämtliche Verbindungen; die Anwendung ist ausschließlich über HTTPS erreichbar.
• Zugangsdaten verbundener Postfächer und OAuth-Token werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel wird getrennt von der Datenbank aufbewahrt.
• Mandantentrennung wird nicht nur in der Anwendungslogik, sondern zusätzlich in der Datenbankschicht erzwungen: Abfragen ohne gültigen Mandantenkontext werden abgewiesen.
• Anmeldung ausschließlich über Single Sign-on mit verpflichtender Zwei-Faktor-Authentisierung; Passwörter werden im Dienst nicht gespeichert.
• Rollen- und rechtebasierte Zugriffskontrolle je Organisation.
• Änderungsprotokoll (Audit-Log) über verarbeitete Datensätze.
• Regelmäßige Datensicherung; Wiederherstellung wird geprüft.
• Betrieb in einem Rechenzentrum in Deutschland (siehe Unterauftragsverarbeiter).

7. Unterauftragsverarbeiter

Der Kunde stimmt dem Einsatz der unter Unterauftragsverarbeiter genannten Anbieter zu. Beabsichtigte Änderungen teilen wir 30 Tage im Voraus mit. Der Kunde kann innerhalb dieser Frist aus wichtigem Grund widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen.

Weitere Anbieter kommen nur hinzu, wenn der Kunde eine entsprechende Funktion selbst verbindet.

8. Unterstützung des Verantwortlichen

Wir unterstützen den Kunden bei der Beantwortung von Betroffenenanfragen, bei Datenschutz-Folgenabschätzungen und bei Meldepflichten. Anfragen betroffener Personen, die uns direkt erreichen, leiten wir an den Kunden weiter und beantworten sie nicht selbst.

Von einer Verletzung des Schutzes personenbezogener Daten unterrichten wir den Kunden unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

9. Nachweise und Kontrollen

Wir stellen dem Kunden die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglichen Überprüfungen. Vor-Ort-Kontrollen sind mit angemessener Vorankündigung, während der Geschäftszeiten und ohne Beeinträchtigung des Betriebs zulässig.

10. Löschung nach Vertragsende

Nach Ende des Vertrags löschen wir die Daten innerhalb von 30 Tagen, sofern der Kunde nicht vorher eine Herausgabe verlangt. Sicherungskopien werden im Rahmen des regulären Sicherungszyklus überschrieben, spätestens nach 90 Tagen. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

11. Drittlandübermittlung

Für den Grundbetrieb findet keine Übermittlung in ein Drittland statt. Verbindet der Kunde ein Konto bei einem Anbieter, der außerhalb der EU verarbeitet, erfolgt die Übermittlung auf Grundlage der Standardvertragsklauseln des jeweiligen Anbieters; die Entscheidung darüber trifft der Kunde mit dem Verbinden.