Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen zwischen dem Kunden („Verantwortlicher") und David Stadler / Prospct („Auftragsverarbeiter") gemäß Art. 28 DSGVO. Er gilt für alle Verarbeitungen personenbezogener Daten, die Prospct für den Kunden durchführt.

Hinweis: Diese Seite stellt die wesentlichen Inhalte des AVV in lesbarer Form dar. Eine unterzeichnungsfähige Fassung als PDF kann jederzeit unter hello@prospct.de angefordert werden.

§ 1 Gegenstand und Dauer

Gegenstand der Verarbeitung ist die Erbringung der SaaS-Leistungen gemäß AGB. Die Dauer entspricht der Vertragslaufzeit.

§ 2 Art und Zweck der Verarbeitung

• Speicherung und Anzeige von Lead- und Kampagnendaten
• Übermittlung an externe Dienste (Datenquelle, KI, Verifikation, CRM, Mailserver) gemäß Kundenkonfiguration
• Erstellung personalisierter E-Mail-Drafts

§ 3 Art der Daten und Kategorien Betroffener

• Kontaktdaten (Name, geschäftliche E-Mail, Position, Arbeitgeber)
• Firmendaten (Name, Website, Branche, ggf. Größe)
• Verifikations- und Verarbeitungsmetadaten

Kategorien betroffener Personen: Mitarbeiter und Ansprechpartner der Zielunternehmen des Kunden (B2B-Kontext).

§ 4 Technisch-organisatorische Maßnahmen (TOM)

• EU-Hosting der Anwendungsdatenbank (Supabase, Region Frankfurt)
• Verschlüsselung in Transit (TLS 1.2+) und At Rest
• Rollen- und rechtebasierter Zugriff (Row Level Security in Supabase)
• Authentifizierung mit Passwort; Session-Tokens revozierbar
• Backups durch Supabase, Wiederherstellbarkeit gewährleistet
• Trennung von Kundendaten je User-Account
• Protokollierung sicherheitsrelevanter Ereignisse

§ 5 Unterauftragsverarbeiter

Der Kunde stimmt der Einschaltung folgender Unterauftragsverarbeiter zu:

• Supabase Inc., USA — Hosting der Datenbank (Server in DE)
• Vercel Inc., USA — Hosting des Frontends (EU-Edge)
• Anthropic, PBC, USA — KI-Verarbeitung
• Sideguide Technologies Inc. (Firecrawl), USA — Website-Scraping
• Emailable Inc., USA — E-Mail-Verifikation

Datenübermittlung in die USA erfolgt auf Grundlage der EU-Standardvertragsklauseln (Modul 3). Bei Wechseln oder neuen Unterauftragsverarbeitern wird der Kunde mindestens 30 Tage vorab informiert und kann widersprechen.

§ 6 Rechte und Pflichten des Verantwortlichen

Der Kunde bleibt Verantwortlicher im Sinne der DSGVO. Er ist insbesondere für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich.

§ 7 Pflichten des Auftragsverarbeiters

• Verarbeitung nur nach dokumentierten Weisungen des Kunden
• Verpflichtung zur Vertraulichkeit aller mit der Verarbeitung beschäftigten Personen
• Umsetzung geeigneter TOM gemäß § 4
• Unterstützung des Kunden bei Betroffenenrechten und Meldepflichten
• Meldung von Datenschutzverletzungen unverzüglich, spätestens binnen 24 Stunden nach Kenntnis

§ 8 Löschung und Rückgabe

Nach Vertragsende werden alle vom Kunden eingebrachten und für ihn verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Auf Wunsch erhält der Kunde vorher einen Export im JSON- oder CSV-Format.

§ 9 Kontrollrechte

Der Kunde ist berechtigt, die Einhaltung dieses AVV durch geeignete Kontrollen zu überprüfen, in der Regel durch Einholung von Selbstauskünften oder anerkannten Zertifikaten. Vor-Ort-Prüfungen sind nach vorheriger Abstimmung möglich.

§ 10 Schlussbestimmungen

Es gilt das Recht der Bundesrepublik Deutschland. Bei Widersprüchen zwischen diesem AVV und der Datenschutzerklärung oder den AGB geht dieser AVV vor, soweit Datenschutzrecht betroffen ist.