Vereinbarung zur Auftragsverarbeitung

1. Parteien und Rollen

Auftragnehmer ist Sebastian Schoppersberger, Balanstraße 6, 81669 München, Deutschland, E-Mail info@mycoachcrm.de, handelnd unter der Produktbezeichnung MyCoachCRM.

Auftraggeber ist das Unternehmen, das MyCoachCRM für eigene geschäftliche Zwecke nutzt. Soweit der Auftraggeber personenbezogene Daten in MyCoachCRM einstellt und über deren Zwecke und Mittel entscheidet, ist er Verantwortlicher im Sinne der DSGVO. Der Auftragnehmer verarbeitet diese Daten ausschließlich als Auftragsverarbeiter nach dokumentierten Weisungen des Auftraggebers, soweit keine gesetzliche Verpflichtung eine abweichende Verarbeitung verlangt.

2. Gegenstand, Dauer, Art und Zweck der Verarbeitung

Gegenstand ist die Bereitstellung und der technische Betrieb von MyCoachCRM als CRM- und Betriebssoftware für Coaching- und Beratungsunternehmen. Die Verarbeitung erfolgt für die Dauer der jeweiligen Test- oder Vertragsnutzung sowie für den anschließenden Zeitraum, der für einen vereinbarten Export, die Rückgabe oder die datenschutzkonforme Löschung erforderlich ist.

Die Verarbeitung kann insbesondere Speicherung, Strukturierung, Anzeige, Änderung, Übermittlung innerhalb freigegebener Funktionen, Sicherung, Protokollierung, Export und Löschung umfassen. Zwecke sind insbesondere Lead- und Kontaktverwaltung, Sales-Pipeline, Kundenorganisation, Aufgaben und Termine, Coaching-Administration, Dokumentation sowie kaufmännische Prozesse, soweit die jeweilige Funktion freigeschaltet ist.

3. Kategorien betroffener Personen und Daten

Je nach Nutzung können insbesondere folgende Personengruppen betroffen sein:

• Interessenten, Leads und Geschäftskontakte des Auftraggebers,
• Kunden und Coaching-Kunden des Auftraggebers,
• Mitarbeiter, Coaches und sonstige Teammitglieder des Auftraggebers,
• Empfehlungs- und Kooperationspartner sowie sonstige geschäftliche Ansprechpartner.

Verarbeitet werden können insbesondere:

• Stamm- und Kontaktdaten,
• Unternehmens- und Zuordnungsdaten,
• CRM-, Pipeline-, Aufgaben- und Terminstatus,
• Kommunikations- und Aktivitätsmetadaten,
• vereinbarte Abrechnungs- und Zahlungsstatusdaten,
• sonstige vom Auftraggeber im zulässigen Funktionsumfang eingegebene Geschäftsdaten.

Im Pilotbetrieb sind besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten nach Art. 10 DSGVO nicht freigegeben. Die Einschränkungen der Testbedingungen gelten ergänzend.

4. Weisungen des Auftraggebers

Der Auftragnehmer verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers. Die Nutzung der vorgesehenen Produktfunktionen, Konfigurationen und Administrationsmöglichkeiten gilt als dokumentierte Weisung im Rahmen des vereinbarten Leistungsumfangs. Weitergehende Weisungen können in Textform übermittelt werden.

Hält der Auftragnehmer eine Weisung für datenschutzrechtswidrig, informiert er den Auftraggeber unverzüglich und darf die betroffene Ausführung bis zur Klärung aussetzen.

5. Pflichten des Auftragnehmers

Der Auftragnehmer verpflichtet sich insbesondere,

• personenbezogene Daten nur im vereinbarten Umfang und nach dokumentierten Weisungen zu verarbeiten,
• zur Vertraulichkeit verpflichtete oder gesetzlich zur Verschwiegenheit gebundene Personen einzusetzen,
• angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu unterhalten,
• den Auftraggeber bei Betroffenenrechten, Datenschutz-Folgenabschätzungen und Behördenanfragen angemessen zu unterstützen, soweit die Art der Verarbeitung dies ermöglicht,
• Verletzungen des Schutzes personenbezogener Daten, die den Auftragsbereich betreffen, unverzüglich nach Bekanntwerden an den Auftraggeber zu melden,
• nach Vertragsende personenbezogene Daten nach Wahl des Auftraggebers zurückzugeben oder zu löschen, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

6. Pflichten des Auftraggebers

Der Auftraggeber bleibt für die Rechtmäßigkeit der Verarbeitung, die Auswahl zulässiger Daten, die Erfüllung eigener Informationspflichten und die Wahrung der Rechte betroffener Personen verantwortlich. Er nutzt MyCoachCRM nur für Daten, deren Verarbeitung im jeweiligen Produkt- und Pilotstatus freigegeben ist.

7. Unterauftragsverarbeiter

Der Auftraggeber erteilt eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern, soweit diese für Betrieb, Hosting, Datenbank, Authentifizierung, E-Mail-Infrastruktur, Monitoring oder vergleichbare technische Leistungen erforderlich sind. Der Auftragnehmer hält die aktuelle Liste der eingesetzten Unterauftragsverarbeiter in Anlage 3 dieser Vereinbarung auf dem aktuellen Stand.

Über beabsichtigte wesentliche Änderungen durch Hinzunahme oder Austausch eines Unterauftragsverarbeiters wird der Auftraggeber vor dessen Einsatz informiert. Der Auftraggeber kann aus sachlich begründeten Datenschutzgründen widersprechen. Der Auftragnehmer stellt sicher, dass Unterauftragsverarbeiter mindestens gleichwertige Datenschutzpflichten für die jeweils übertragene Verarbeitung übernehmen.

8. Drittlandübermittlungen

Übermittlungen personenbezogener Daten in Staaten außerhalb des Europäischen Wirtschaftsraums erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien einschließlich der jeweils anwendbaren EU-Standardvertragsklauseln.

9. Kontroll- und Nachweisrechte

Der Auftragnehmer stellt dem Auftraggeber die zur Erfüllung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen in angemessenem Umfang zur Verfügung. Prüfungen sollen zunächst durch vorhandene Dokumentation, technische Nachweise oder Remote-Auskunft erfolgen. Soweit dies zur gesetzlichen Kontrolle erforderlich und verhältnismäßig ist, können weitergehende Prüfungen nach angemessener Vorankündigung vereinbart werden, ohne die Sicherheit anderer Kunden oder Geschäftsgeheimnisse zu beeinträchtigen.

10. Rangfolge und Laufzeit

Diese Vereinbarung wird Bestandteil der jeweiligen Test- oder Leistungsvereinbarung, sobald sie im vorgesehenen Registrierungs- oder Vertragsprozess ausdrücklich akzeptiert wird. Sie gilt für alle Auftragsverarbeitungen im Rahmen von MyCoachCRM, solange keine neuere Fassung wirksam vereinbart wurde. Bei Widersprüchen zu allgemeinen Vertragsbedingungen gehen die datenschutzrechtlichen Regelungen dieser Vereinbarung für die Auftragsverarbeitung vor.

Anlage 1 – Beschreibung der Verarbeitung

• Gegenstand: technischer Betrieb einer CRM- und Betriebssoftware.
• Zweck: Verwaltung und Organisation geschäftlicher CRM-, Sales-, Kunden-, Aufgaben-, Termin- und Abrechnungsprozesse.
• Dauer: Dauer der Nutzung zuzüglich technisch erforderlicher Export-/Löschphase.
• Verarbeitungsarten: Erheben durch Eingabe, Speichern, Ordnen, Anzeigen, Ändern, Übermitteln in freigegebenen Funktionen, Sichern, Exportieren und Löschen.
• Betroffene Personen und Daten: gemäß Ziffer 3.

Anlage 2 – Technische und organisatorische Maßnahmen (TOMs)

• Zugriffskontrolle: persönliche Benutzerkonten, rollen- und berechtigungsbasierte Zugriffe, Authentifizierung und Sperrmöglichkeiten.
• Mandantentrennung: logische Workspace-Trennung und datenbankseitige Zugriffsbeschränkungen einschließlich Row Level Security, soweit im jeweiligen Systemteil eingesetzt.
• Transport: verschlüsselte Übertragung über TLS bei Web- und API-Zugriffen.
• Speicherung: Nutzung von Infrastruktur mit angemessenen Schutzmaßnahmen für gespeicherte Daten und restriktivem administrativem Zugriff.
• Protokollierung: sicherheits- und funktionsbezogene Audit- bzw. Ereignisprotokolle für besonders relevante Verwaltungs- und Systemvorgänge.
• Änderungsmanagement: versionierter Quellcode, kontrollierte Migrationen und technische Prüfungen vor Freigaben.
• Verfügbarkeit: Sicherungs-, Wiederherstellungs- und Verfügbarkeitsmaßnahmen entsprechend der jeweils eingesetzten Produktionsinfrastruktur.
• Datenminimierung: Funktions- und Pilotbeschränkungen für nicht erforderliche oder besonders sensible Daten.
• Löschung: geregelte Lösch- und Exportprozesse nach Ende des Vertrags bzw. auf zulässige Weisung.
• Incident Response: technische Untersuchung, Eindämmung, Dokumentation und Benachrichtigung bei relevanten Datenschutz- oder Sicherheitsvorfällen.

Die konkrete technische Umsetzung kann sich im Zuge der Weiterentwicklung oder eines Infrastrukturwechsels ändern, sofern das Schutzniveau insgesamt nicht unangemessen abgesenkt wird.

Anlage 3 – Unterauftragsverarbeiter und aktueller Pilotstatus

Aktueller Freigabestatus des Pilotbetriebs: Die Verarbeitung personenbezogener Daten Dritter im Trial ist derzeit noch nicht freigegeben. Bis zur technischen und vertraglichen Freigabe der Zielinfrastruktur dürfen nur Demo-/synthetische Daten sowie eigene Unternehmensdaten ohne personenbezogene Daten Dritter verwendet werden.

Vor Freigabe echter Fremddaten wird diese Anlage mit den für die Auftragsverarbeitung tatsächlich eingesetzten Infrastruktur- und Unterauftragsverarbeitern aktualisiert. Ein Wechsel von Entwicklungs-, Hosting- oder Datenbankanbietern ändert den Haupttext dieser AVV nicht; maßgeblich ist die jeweils wirksam bekanntgemachte Fassung dieser Anlage.

Hinweis zur Einordnung

Die Struktur dieser Vereinbarung orientiert sich an den Pflichtinhalten des Art. 28 DSGVO und den von der Europäischen Kommission veröffentlichten Standardvertragsklauseln für Verantwortliche und Auftragsverarbeiter. Diese MyCoachCRM-Fassung ersetzt keine individuelle Rechtsberatung für besondere Verarbeitungssituationen des Auftraggebers.