Auftragsverarbeitungsvertrag (AVV)

Auftragsverarbeitungsvertrag (AVV)

(Data Processing Agreement – DPA)

1. Vertragsgegenstand

Dieser Auftragsverarbeitungsvertrag („AVV“) konkretisiert die Verpflichtungen der Parteien im Hinblick auf den Datenschutz gemäß Art. 28 DSGVO.
Er ist Bestandteil der Allgemeinen Geschäftsbedingungen (AGB) des Anbieters J Kurve Media, Sajjad Hussain, Bonner Straße 96, 40589 Düsseldorf („Auftragsverarbeiter“).
Der Kunde („Verantwortlicher“) nutzt die SaaS-Plattform „jkurvemedia“ zur Verarbeitung personenbezogener Daten.

2. Rollen der Parteien

Der Kunde ist Verantwortlicher im Sinne der DSGVO.

J Kurve Media ist Auftragsverarbeiter im Sinne der DSGVO.

Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen.

3. Art und Zweck der Verarbeitung

Zweck: Betrieb der SaaS-Plattform für Marketing-Automation, CRM, Funnels, Kommunikation (E-Mail, SMS, Telefonie, Chat).

Kategorien betroffener Personen: Endkunden des Verantwortlichen, Interessenten, Leads, Geschäftspartner.

Kategorien von Daten: Kontaktdaten (Name, Telefonnummer, E-Mail), Kommunikationsdaten, Buchungsdaten, Abrechnungsdaten.

4. Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

Daten ausschließlich auf dokumentierte Weisung zu verarbeiten.

Vertraulichkeit sicherzustellen (Art. 28 Abs. 3 DSGVO).

Geeignete technische und organisatorische Maßnahmen (TOMs) nach Art. 32 DSGVO umzusetzen, u. a.:

Verschlüsselung (TLS/HTTPS, Datenbankverschlüsselung)

Zugangskontrollen und Passwortschutz

Backups und Wiederherstellungskonzepte

Rollen- und Berechtigungskonzepte

Mitarbeiter zu Vertraulichkeit und Datenschutz zu verpflichten.

Subunternehmer nur unter Einhaltung von Art. 28 DSGVO einzusetzen.

5. Subunternehmer

Der Verantwortliche erteilt hiermit eine allgemeine Genehmigung zum Einsatz von Subunternehmern.
Aktuell eingesetzte Subunternehmer:

LeadConnector LLC (USA): Bereitstellung von SaaS-Infrastruktur (GoHighLevel White-Label)

Google LLC (USA): Cloud Hosting, Analytics

Meta Platforms, Inc. (USA): Meta Pixel, Kommunikationsintegration

Stripe Payments Europe Ltd. (Irland): Zahlungsabwicklung
Die jeweils aktuelle Liste wird in der Datenschutzerklärung gepflegt.

6. Rechte und Pflichten des Verantwortlichen

Der Verantwortliche bleibt für die Rechtmäßigkeit der Datenverarbeitung verantwortlich.

Er stellt sicher, dass die betroffenen Personen über die Verarbeitung informiert werden (Art. 13, 14 DSGVO).

Er kann Weisungen zur Datenverarbeitung jederzeit schriftlich oder elektronisch erteilen.

7. Unterstützungspflichten

Der Auftragsverarbeiter unterstützt den Verantwortlichen:

bei Anfragen von Betroffenen (Art. 15–22 DSGVO),

bei Datenschutz-Folgenabschätzungen (Art. 35 DSGVO),

bei der Meldung von Datenschutzverletzungen (Art. 33 DSGVO).

8. Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Vertragsverhältnisses.
Nach Vertragsende werden Daten nach den Vorgaben des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

9. Nachweispflichten

Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zur Verfügung, um die Einhaltung von Art. 28 DSGVO nachzuweisen, und ermöglicht Audits nach vorheriger Abstimmung.

10. Schlussbestimmungen

Es gilt deutsches Recht.

Gerichtsstand ist Düsseldorf.

Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit des übrigen Vertrags unberührt.