Auftragsverarbeitungsvertrag (AVV)

Stand: 07.10.2026

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 Abs. 3 DSGVO

zwischen

dem Kunden laut Bestellung bzw. Freischaltung des Testzugangs – Verantwortlicher, nachfolgend „Kunde“ –

und

DealPilot UG (haftungsbeschränkt), Uhlenbruch 15b, 33098 Paderborn, Deutschland – Auftragsverarbeiter, nachfolgend „DealPilot“ –

1. Gegenstand und Dauer

1. Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch DealPilot im Auftrag des Kunden bei der Bereitstellung der Software DealPilot CRM als Software-as-a-Service (Hauptvertrag: Allgemeine Geschäftsbedingungen von DealPilot und ggf. individuelle Vereinbarungen). Er gilt auch für einen kostenlosen Testzugang.
2. Dieser Vertrag gilt für die Dauer des Hauptvertrags (einschließlich Testzugang) und darüber hinaus, solange DealPilot personenbezogene Daten des Kunden verarbeitet, insbesondere bis zur vollständigen Löschung nach Ziffer 12.
3. Für den Vertrieb als Dienstleistung (Modul B der AGB) gilt dieser Vertrag nur, wenn im jeweiligen Auftrag vereinbart ist, dass DealPilot als Auftragsverarbeiter tätig wird. [[ROLLE-VERTRIEBSDIENSTLEISTUNG]]
4. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes dem Hauptvertrag vor.

2. Art und Zweck der Verarbeitung

1. Art der Verarbeitung: Erheben (durch Eingabe oder Import des Kunden), Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln im Auftrag des Kunden (z. B. Versand von E-Mails, Angeboten, Rechnungen und Mahnungen an vom Kunden bestimmte Empfänger), Bereitstellen im Kundenportal, Sichern, Einschränken, Löschen.
2. Zweck: Bereitstellung, Betrieb, Wartung, Sicherung und Support der Software, damit der Kunde seine Vertriebs-, Angebots-, Rechnungs- und Provisionsprozesse abwickeln kann.
3. DealPilot verarbeitet die Daten ausschließlich in Mitgliedstaaten der EU bzw. des EWR, soweit nicht in Anlage 2 ausdrücklich anders angegeben.

3. Art der Daten und Kategorien betroffener Personen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde verpflichtet sich, solche Daten nicht in der Software zu speichern, sofern nicht gesondert vereinbart.

4. Weisungen

1. DealPilot verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, DealPilot ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet. In diesem Fall teilt DealPilot dem Kunden diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
2. Die Weisungen sind abschließend in diesem Vertrag und im Hauptvertrag festgelegt. Die Nutzung der Funktionen der Software durch den Kunden und seine Nutzer (z. B. Import, Löschung, Export, Versand) gilt als Weisung. Weitere Weisungen erteilt der Kunde in Textform an info@dealpilot-sales.de.
3. DealPilot informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen die DSGVO oder andere Datenschutzvorschriften verstößt. DealPilot darf die Ausführung bis zur Bestätigung oder Änderung durch den Kunden aussetzen.
4. Weisungen, die über den vertraglich vereinbarten Leistungsumfang hinausgehen, werden als Änderungsantrag behandelt und können gesondert vergütet werden.

5. Vertraulichkeit

DealPilot setzt bei der Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und die mit den einschlägigen Datenschutzbestimmungen vertraut gemacht wurden (Art. 28 Abs. 3 lit. b, Art. 29 DSGVO). Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.

6. Technische und organisatorische Maßnahmen

1. DealPilot trifft alle nach Art. 32 DSGVO erforderlichen Maßnahmen. Die bei Vertragsschluss geltenden Maßnahmen sind in Anlage 1 beschrieben.
2. Die Maßnahmen unterliegen dem technischen Fortschritt. DealPilot darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Sicherheitsniveau darf nicht unterschritten werden. Wesentliche Änderungen werden dokumentiert.

7. Unterauftragsverarbeiter

1. Der Kunde erteilt DealPilot die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.
2. DealPilot informiert den Kunden mindestens 30 Tage vorher in Textform (z. B. per E-Mail oder Hinweis in der Software) über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wirksamwerdens der Änderung kündigen.
3. DealPilot erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). DealPilot haftet gegenüber dem Kunden für die Einhaltung der Pflichten durch den Unterauftragsverarbeiter.
4. Keine Unterauftragsverarbeitung im Sinne dieser Ziffer sind Nebenleistungen, die DealPilot bei Dritten in Anspruch nimmt (z. B. Telekommunikation, reine Transportleistungen) ohne Zugriff auf Kundendaten.

8. Übermittlung in Drittländer

1. Eine Verarbeitung außerhalb von EU/EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-US Data Privacy Framework für zertifizierte Empfänger) oder von EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3 „Auftragsverarbeiter an Auftragsverarbeiter“) mit ggf. ergänzenden Maßnahmen.
2. Derzeit findet keine Übermittlung von Kundendaten in Drittländer statt. [[DRITTLAND-HOSTER: falls der Hoster ein US-Unternehmen ist, hier Grundlage und Anlage 2 ergänzen]]

9. Unterstützung bei Betroffenenrechten

1. DealPilot unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen nach Kapitel III DSGVO (Art. 12–23). Die Software stellt hierfür Funktionen zur Personensuche, zum Datenexport (Auskunft, Datenübertragbarkeit), zur Berichtigung, zur Anonymisierung bzw. Löschung sowie zur Erfassung von Widersprüchen (Sperrliste) bereit.
2. Wendet sich eine betroffene Person direkt an DealPilot, leitet DealPilot das Anliegen unverzüglich an den Kunden weiter und beantwortet es nicht selbst, sofern nicht vom Kunden angewiesen.

10. Unterstützung bei Pflichten nach Art. 32 bis 36 DSGVO

DealPilot unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten zur Sicherheit der Verarbeitung, zur Meldung von Datenschutzverletzungen, zur Benachrichtigung Betroffener, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation der Aufsichtsbehörde. Unterstützungsleistungen, die nicht auf einem Verstoß von DealPilot beruhen und über das Übliche hinausgehen, können nach Aufwand vergütet werden.

11. Meldung von Verletzungen des Schutzes personenbezogener Daten

1. DealPilot meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von [[MELDEFRIST, max. 48 Stunden]] nach Bekanntwerden, an die vom Kunden hinterlegte Admin-E-Mail-Adresse.
2. Die Meldung enthält, soweit verfügbar, die Informationen nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Informationen, die noch nicht vorliegen, werden unverzüglich nachgereicht.
3. DealPilot ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung Betroffener obliegen dem Kunden.

12. Löschung und Rückgabe nach Vertragsende

1. Nach Ende der Leistungserbringung kann der Kunde seine Daten 30 Tage lang über die Exportfunktion abrufen (Rückgabe). Danach löscht DealPilot alle personenbezogenen Daten des Kunden einschließlich vorhandener Kopien, soweit nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht.
2. Für Testzugänge gilt: Löschung 30 Tage nach Sperrung des Arbeitsbereichs, sofern kein Abonnement abgeschlossen wird.
3. Datensicherungen werden im Rahmen der regulären Rotation spätestens nach [[BACKUP-AUFBEWAHRUNG]] überschrieben. Bis dahin sind die Daten vor jeder weiteren Verarbeitung geschützt.
4. DealPilot bestätigt die Löschung auf Verlangen in Textform.

13. Nachweise und Kontrollen

1. DealPilot stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere die aktuelle Fassung der Anlagen 1 und 2 sowie vorhandene Zertifikate oder Prüfberichte (z. B. der Unterauftragsverarbeiter).
2. Der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von DealPilot ist, kann Überprüfungen einschließlich Inspektionen durchführen. Vor-Ort-Prüfungen sind mit angemessener Frist (in der Regel 30 Tage, bei konkretem Anlass kürzer) anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. Sie sind in der Regel auf einmal pro Kalenderjahr begrenzt, sofern kein konkreter Anlass besteht.
3. DealPilot kann für Prüfungen, die über die Bereitstellung von Unterlagen hinausgehen, eine angemessene Vergütung verlangen, es sei denn, die Prüfung deckt einen erheblichen Verstoß von DealPilot auf.
4. Der Prüfung durch Aufsichtsbehörden unterwirft sich DealPilot ohne Einschränkung im gesetzlichen Umfang.

14. Pflichten des Kunden

1. Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage, die Information der Betroffenen und die Einhaltung des Wettbewerbsrechts bei Werbeanrufen, allein verantwortlich.
2. Der Kunde informiert DealPilot unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

15. Haftung

Die Haftung der Parteien gegenüber betroffenen Personen richtet sich nach Art. 82 DSGVO. Im Innenverhältnis gelten die Haftungsregeln des Hauptvertrags (§ 15 AGB), soweit Art. 82 DSGVO nicht zwingend etwas anderes bestimmt.

16. Schlussbestimmungen

1. Änderungen dieses Vertrags bedürfen der Textform. Der Abschluss erfolgt elektronisch (Art. 28 Abs. 9 DSGVO).
2. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam.
3. Es gilt deutsches Recht. Gerichtsstand ist [[GERICHTSSTAND]], soweit gesetzlich zulässig.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand der Maßnahmen: 07.10.2026. Platzhalter sind vor Inbetriebnahme mit den tatsächlichen Angaben des Hosters zu füllen.

1. Vertraulichkeit

Zutrittskontrolle (physischer Zugang zu Rechenzentren)

• Betrieb der Server ausschließlich in Rechenzentren von [[HOSTER]] in [[SERVERSTANDORT]] (EU)
• Physische Sicherung des Rechenzentrums durch den Hoster: [[HOSTER-ZERTIFIZIERUNG, z. B. ISO/IEC 27001]], Zutrittskontrollsysteme, Videoüberwachung [[laut Angaben des Hosters]]
• Büroräume von DealPilot: [[BUERO-SICHERUNG, z. B. Schließsystem, Besucherregelung]]

Zugangskontrolle (Zugang zu Systemen)

• Persönliche Benutzerkonten, keine Sammelkonten
• Passwörter werden ausschließlich als bcrypt-Hash gespeichert; Mindestlänge 10 Zeichen mit Buchstaben und Ziffern
• Begrenzung von Anmeldeversuchen (Sperre nach wiederholten Fehlversuchen je Konto und je IP-Adresse), Schutz vor Ausspähen gültiger Benutzernamen
• Sitzungs-Cookie dp_session: httpOnly, SameSite=Lax, nur über HTTPS; Sitzungs-Token werden in der Datenbank nur als Hash (SHA-256) gespeichert; Ablauf nach 30 Tagen
• Deaktivierte Benutzer verlieren sofort den Zugang; ein Passwortwechsel beendet andere Sitzungen
• Administrativer Zugang von DealPilot zu Servern nur über verschlüsselte Verbindungen mit Schlüssel-Authentifizierung [[und Zwei-Faktor-Authentifizierung – prüfen]]

Zugriffskontrolle (Berechtigungen)

• Rollen- und Rechtekonzept (RBAC) mit den Rollen Admin, Setter, Closer, Kundenportal und frei definierbaren Rollen; serverseitige Prüfung bei jedem Seitenaufruf, jeder Aktion und jedem Export
• Setter sehen nur eigene Leads bzw. den Pool ihres Teams; Portal-Nutzer sehen nur die für sie freigegebenen Termine und Deals
• Zugriff von DealPilot-Mitarbeitern auf Kundendaten nur, soweit für Betrieb oder Support erforderlich (Need-to-know), [[Protokollierung von Support-Zugriffen – festlegen]]
• Prüfung hochgeladener Dateien auf Dateityp und Größe

Trennungskontrolle

• Jeder Kunden-Arbeitsbereich (einschließlich Testzugang) hat eine eigene, von anderen Kunden getrennte Datenbank
• Getrennte Test- und Produktivsysteme; keine Echtdaten in Testumgebungen

Pseudonymisierung

• Anonymisierungsfunktion für Leads und Kontakte (z. B. nach Ablauf von Löschfristen oder auf Löschantrag)

2. Integrität

Weitergabekontrolle

• Verschlüsselte Übertragung aller Verbindungen über HTTPS/TLS [[HSTS aktivieren]]
• E-Mail-Versand über [[MAILVERSAND-ANBIETER]] mit TLS-Transportverschlüsselung
• Exporte nur mit entsprechender Berechtigung; Exporte werden protokolliert

Eingabekontrolle

• Audit-Log für Änderungen an Leads, Status, Zuweisungen, Deals, Rechnungen, Rechten, Exporten und Datenschutzvorgängen (Benutzer, Aktion, Objekt, alter und neuer Wert, Zeitpunkt)

3. Verfügbarkeit und Belastbarkeit

• Datensicherung der Datenbanken und Dateiablage: [[BACKUP-INTERVALL, z. B. täglich]], Aufbewahrung [[BACKUP-AUFBEWAHRUNG]], Speicherung [[BACKUP-ORT, z. B. getrennter Standort innerhalb der EU]], [[Verschlüsselung der Backups – prüfen]]
• Regelmäßige Wiederherstellungstests: [[INTERVALL]]
• Gelöschte Leads und Kontakte werden zunächst ausgeblendet (Papierkorb) und sind innerhalb einer Frist wiederherstellbar
• Überwachung der Systeme und Benachrichtigung bei Ausfällen: [[MONITORING – festlegen]]
• Verschlüsselung der Datenträger beim Hoster: [[ENCRYPTION-AT-REST – prüfen]]

4. Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung

• Überprüfung dieser Maßnahmen mindestens [[INTERVALL, z. B. jährlich]] und bei wesentlichen Änderungen
• Zeitnahes Einspielen von Sicherheitsupdates für Software und Abhängigkeiten
• Datenschutzfreundliche Voreinstellungen: Löschfristen und Sperrliste (Telefon, E-Mail, Domain) in der Software konfigurierbar
• Prozess zur Meldung und Behandlung von Datenschutzverletzungen (Ziffer 11)

5. Organisatorische Maßnahmen

• Verpflichtung aller Mitarbeiter auf Vertraulichkeit und Datenschutz
• Schulung der Mitarbeiter [[INTERVALL]]
• Auftragskontrolle: Verträge nach Art. 28 DSGVO mit allen Unterauftragsverarbeitern (Anlage 2)
• Geregelter Prozess beim Ausscheiden von Mitarbeitern (Entzug aller Zugänge)

Anlage 2: Unterauftragsverarbeiter

Hinweis zu Stripe: Stripe (Stripe Payments Europe, Limited, Irland) wickelt nur die Zahlungen des Kunden an DealPilot ab. Dabei verarbeitet Stripe ausschließlich Zahlungs- und Rechnungsdaten des Kunden selbst, für die DealPilot Verantwortlicher ist (bzw. Stripe teilweise eigener Verantwortlicher). Stripe erhält keinen Zugriff auf die Daten, die der Kunde in der Software speichert, und ist daher kein Unterauftragsverarbeiter im Sinne dieses Vertrags. Sollte die Software künftig Zahlungen der Kunden des Kunden über Stripe abwickeln, wird diese Anlage nach Ziffer 7 angepasst.