Stand: 11.08.2026
Auftraggeber / Verantwortlicher (nachfolgend „Verantwortlicher" oder „Kunde")
_[Firma / Name des Kunden]_
_[Straße, Hausnummer]_
_[PLZ, Ort]_
vertreten durch: _[Name der/des Vertretungsberechtigten]_
E-Mail: _[E-Mail des Kunden]_
– ausschließlich handelnd als Unternehmer i. S. d. § 14 BGB (Gewerbekunde, kein Verbraucher) –
und
Auftragnehmer / Auftragsverarbeiter (nachfolgend „Auftragsverarbeiter" oder „RevScaling")
RevScaling Agency GbR
Waltjenstr. 96
28237 Bremen
vertreten durch die Gesellschafter Lion Grone und Samuel Obodoefuna
E-Mail: info@revscaling.de
Telefon: 0157 542 558 76
Steuernummer: 60 173 00359
USt-IdNr.: DE464041375
– Verantwortlicher und Auftragsverarbeiter nachfolgend gemeinsam die „Parteien" –
Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen einer Digitalagentur. Dies umfasst die einmalige Einrichtung/Erstellung einer Website (werkvertragliche Komponente) sowie die laufende Bereitstellung, das Hosting, die Wartung, den Support und den Betrieb der Website und der damit verbundenen Dienste als Dauerleistung (miet-/dienstvertragliche Komponente). Grundlage der Zusammenarbeit ist das vom Verantwortlichen angenommene Angebot des Auftragsverarbeiters nebst den Allgemeinen Geschäftsbedingungen der RevScaling Agency GbR in der im Angebot benannten Fassung (nachfolgend gemeinsam „Hauptvertrag"). Umfang und Ausgestaltung der Leistungen ergeben sich abschließend aus dem individuellen Angebot.
Je nach den im Hauptvertrag vereinbarten Leistungen können folgende Verarbeitungskontexte betroffen sein:
Im Rahmen dieser Leistungen verarbeitet der Auftragsverarbeiter personenbezogene Daten, für die der Verantwortliche die datenschutzrechtliche Verantwortung trägt, ausschließlich weisungsgebunden im Auftrag des Verantwortlichen.
Diese Vereinbarung konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit der Verarbeitung personenbezogener Daten und wird geschlossen, um den Anforderungen der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO") und des Bundesdatenschutzgesetzes („BDSG") zu genügen. Sie ist Bestandteil des Hauptvertrags. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen die Regelungen dieser Vereinbarung in Bezug auf den Datenschutz vor. Diese Vereinbarung wird in Schriftform oder in einem elektronischen Format i. S. d. Art. 28 Abs. 9 DSGVO geschlossen.
Modularer Charakter. Diese Vereinbarung ist bewusst modular ausgestaltet, damit jeder Kunde nur das erhält, was ihn tatsächlich betrifft. Es gelten jeweils nur diejenigen Verarbeitungskontexte, Datenarten und Unterauftragsverarbeiter, die für die im Hauptvertrag des jeweiligen Kunden tatsächlich beauftragten Leistungen einschlägig sind. Insbesondere gelten die Regelungen und Unterauftragsverarbeiter zum KI-Telefon-Rezeptionisten (§ 6a, Anlage 2 Abschnitt D), zum Website-Chat-Assistenten (Anlage 2 Abschnitt C.3) sowie zum Backend/Buchungssystem (Anlage 2 Abschnitt C.1, C.2) nur, sofern der Verantwortliche die betreffende Leistung beauftragt hat. Für einen Kunden mit reiner Website ohne Backend, Versanddienst, Chat-Assistent und KI-Telefonie gelten die entsprechenden Module nicht, und die zugehörigen Unterauftragsverarbeiter sind nicht Teil seiner Anlage 2.
(1) Gegenstand. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Verantwortlichen im Zusammenhang mit den im Hauptvertrag vereinbarten Leistungen (Bereitstellung/Betrieb der Website, Kontakt- und Anfrageformulare, Backend/Buchungssystem, transaktionaler E-Mail-Versand sowie – soweit beauftragt – der KI-Telefon-Rezeptionist). Die Einzelheiten der zu erbringenden Leistung ergeben sich aus dem Hauptvertrag und dem zugrunde liegenden Angebot.
(2) Art und Zweck der Verarbeitung. Die Verarbeitung umfasst – je nach beauftragter Leistung – insbesondere:
Zweck der Verarbeitung ist ausschließlich die Erbringung der im Hauptvertrag vereinbarten Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters findet nicht statt. Zur Reichweite dieses Verbots bei den eingesetzten Sprach-, KI- und Telefonieanbietern (No-Training/Zero-Data-Retention) gilt ergänzend § 6a Abs. 3.
(3) Dauer. Die Verarbeitung ist auf die Laufzeit des Hauptvertrags befristet. Bei laufender Bereitstellung (Dauerleistung) läuft diese Vereinbarung für deren gesamte Dauer. Umfasst der Auftrag ausnahmsweise nur die einmalige Website-Einrichtung ohne laufende Bereitstellung, endet die auftragsgebundene Verarbeitung mit Abnahme/Übergabe. Wird die Website nach Abnahme bzw. Übergabe ohne gesonderte Vergütung weiter auf der Infrastruktur des Auftragsverarbeiters bereitgestellt (§ 4 Abs. 2 der AGB), gilt diese Vereinbarung für die Dauer dieser Bereitstellung fort und endet erst mit deren Beendigung; § 10 dieser Vereinbarung gilt sodann entsprechend. Bei der laufenden Bereitstellung (Dauerleistung) läuft diese Vereinbarung für deren Dauer. Diese Vereinbarung ist an die Laufzeit des Hauptvertrags gekoppelt und endet automatisch mit dessen Beendigung, ohne dass es einer gesonderten Kündigung dieser Vereinbarung bedarf. Die Mindestlaufzeit sowie die Kündigungsfristen und -modalitäten richten sich ausschließlich nach dem Hauptvertrag/den AGB und dem individuellen Angebot.
(1) Art der personenbezogenen Daten. Gegenstand der Verarbeitung sind – je nach beauftragter Leistung – insbesondere folgende Arten personenbezogener Daten:
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO). Eine gezielte Verarbeitung besonderer Kategorien personenbezogener Daten sowie von Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) ist nicht Zweck des Auftrags und findet nicht bewusst statt. Bei frei gesprochenen Telefonaten mit dem KI-Telefon-Rezeptionisten kann jedoch nicht ausgeschlossen werden, dass Anrufende von sich aus solche Daten offenbaren (z. B. Gesundheits- oder Allergieangaben). Der Auftragsverarbeiter verarbeitet diese nicht zu eigenen Zwecken, wertet sie nicht gezielt aus und richtet die Verarbeitung datensparsam aus. Der Verantwortliche stellt die Rechtsgrundlage sicher und prüft die Erforderlichkeit einer Datenschutz-Folgenabschätzung (Art. 35 DSGVO). Eine über die bloße technische Verarbeitung hinausgehende, gezielte Verarbeitung von Daten nach Art. 9 DSGVO bedarf einer gesonderten schriftlichen Vereinbarung und geeigneter zusätzlicher Schutzmaßnahmen.
(2) Kategorien betroffener Personen.
(1) Der Auftragsverarbeiter verarbeitet die personenbezogenen Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach den dokumentierten Weisungen des Verantwortlichen – auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland oder eine internationale Organisation –, es sei denn, er ist nach dem Recht der Union oder der Mitgliedstaaten, dem er unterliegt, zur Verarbeitung verpflichtet. In diesem Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO). Die in Anlage 2 dokumentierte Einschaltung von Unterauftragsverarbeitern mit Sitz bzw. Verarbeitung in einem Drittland – insbesondere der in Anlage 2 mit einem Verarbeitungsort außerhalb des EWR bezeichneten Unterauftragsverarbeiter – gilt als vom Verantwortlichen erteilte dokumentierte Weisung zur entsprechenden Drittlandübermittlung; die Voraussetzungen der Art. 44 ff. DSGVO sind nach Maßgabe von § 7 Abs. 4 einzuhalten.
(2) Weisungen werden grundsätzlich in Textform (z. B. per E-Mail) erteilt und dokumentiert. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Der Hauptvertrag und diese Vereinbarung stellen die ursprüngliche, dokumentierte Weisung dar.
(3) Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, hat er den Verantwortlichen unverzüglich darauf hinzuweisen (Art. 28 Abs. 3 Satz 3 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung so lange auszusetzen, bis sie vom Verantwortlichen bestätigt oder geändert wird.
(4) Weisungsberechtigt auf Seiten des Verantwortlichen und Ansprechpartner auf Seiten des Auftragsverarbeiters sind die im Hauptvertrag genannten bzw. die von den Parteien in Textform benannten Personen. Ansprechpartner beim Auftragsverarbeiter ist: info@revscaling.de.
(1) Der Verantwortliche ist im Rahmen dieser Vereinbarung für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich (Art. 4 Nr. 7, Art. 24 DSGVO). Die Parteien sind sich einig, dass der Kunde Verantwortlicher und RevScaling Auftragsverarbeiter i. S. d. Art. 4 Nr. 7 und 8 DSGVO ist.
(2) Der Verantwortliche ist insbesondere verantwortlich für das Vorliegen einer Rechtsgrundlage der Verarbeitung, die Erfüllung der Informationspflichten (Art. 13, 14 DSGVO, insbesondere Datenschutzerklärung und Impressum der Website sowie – beim KI-Telefon-Rezeptionisten – der gegenüber Anrufenden zu erteilenden Informationen, siehe § 6a), die Einholung ggf. erforderlicher Einwilligungen (z. B. für Cookies/Tracking oder für die Aufzeichnung von Telefonaten) sowie für die Richtigkeit der von ihm bereitgestellten bzw. über die beauftragten Dienste erhobenen Daten.
(3) Der Auftragsverarbeiter stellt die technische Infrastruktur bereit; die inhaltliche und rechtliche Ausgestaltung (Datenschutzerklärung, Cookie-Banner, Einwilligungsmanagement, KI-Ansage/Aufzeichnungshinweis) obliegt dem Verantwortlichen, soweit im Hauptvertrag nichts Abweichendes vereinbart ist.
(4) Geheimnisträger (§ 203 StGB). Unterliegt der Verantwortliche einer besonderen berufs- oder strafrechtlichen Geheimhaltungspflicht (§ 203 StGB), insbesondere als Angehöriger der Heilberufe (Ärzte, Zahnärzte, Psychotherapeuten, Apotheker), als Rechtsanwalt, Steuerberater, Wirtschaftsprüfer, Notar oder als sonstiger Geheimnisträger, so ist dies ohne Weiteres regelbar, bedarf aber einer bewussten Ausgestaltung. Der Auftragsverarbeiter ist in diesem Fall mitwirkende Person i. S. d. § 203 Abs. 3 StGB. Der Verantwortliche hat sicherzustellen, dass die Einschaltung des Auftragsverarbeiters und der von ihm eingesetzten Unterauftragsverarbeiter berufsrechtlich zulässig ist; der Auftragsverarbeiter und die eingesetzten Personen sind – soweit erforderlich – gesondert zur Geheimhaltung nach § 203 Abs. 4 StGB zu verpflichten (siehe § 5 Abs. 5). Beim Einsatz des KI-Telefon-Rezeptionisten für Geheimnisträger wird die Verarbeitung auf Termin-, Rückruf- und allgemeine Organisationsdaten beschränkt; die Entgegennahme, Speicherung oder Weiterverarbeitung von dem Berufsgeheimnis unterfallenden Inhalten (z. B. Gesundheits-, Mandats- oder Behandlungsinformationen) über den KI-Rezeptionisten ist nur nach gesonderter schriftlicher Vereinbarung und nach vorheriger Datenschutz-Folgenabschätzung des Verantwortlichen zulässig. Der Auftragsverarbeiter unterstützt Geheimnisträger dabei, den Gesprächsleitfaden des KI-Rezeptionisten entsprechend datensparsam zu gestalten.
(1) Der Auftragsverarbeiter verpflichtet sich, bei der Verarbeitung die Vertraulichkeit zu wahren.
(2) Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, Art. 29, Art. 32 Abs. 4 DSGVO). Die Gesellschafter der RevScaling Agency GbR unterliegen der Vertraulichkeitspflicht kraft dieser Vereinbarung; eingesetzte Beschäftigte oder Beauftragte werden vor Aufnahme der Tätigkeit auf das Datengeheimnis verpflichtet.
(3) Die Vertraulichkeitsverpflichtung besteht auch nach Beendigung dieser Vereinbarung fort.
(4) Der Auftragsverarbeiter führt ein Verzeichnis aller Kategorien von im Auftrag des Verantwortlichen durchgeführten Verarbeitungstätigkeiten gemäß Art. 30 Abs. 2 DSGVO und stellt es dem Verantwortlichen sowie auf Anforderung der Aufsichtsbehörde zur Verfügung.
(5) Soweit der Verantwortliche einer Geheimhaltungspflicht nach § 203 StGB unterliegt (§ 4 Abs. 4), verpflichtet der Auftragsverarbeiter die von ihm mit der Auftragsdurchführung befassten Personen auf Verlangen des Verantwortlichen gesondert zur Geheimhaltung nach § 203 Abs. 4 StGB und weist dies auf Anforderung nach.
(1) Der Auftragsverarbeiter trifft unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie der unterschiedlichen Eintrittswahrscheinlichkeit und Schwere des Risikos für die Rechte und Freiheiten natürlicher Personen die erforderlichen technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten (Art. 32 DSGVO). Dies umfasst, soweit angemessen, die Pseudonymisierung und Verschlüsselung, die Fähigkeit zur Sicherstellung von Vertraulichkeit, Integrität, Verfügbarkeit und Belastbarkeit der Systeme sowie die rasche Wiederherstellbarkeit der Daten nach einem Zwischenfall.
(2) Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen sind in Anlage 1 (eigenständiges TOM-Dokument, siehe dort) beschrieben. Sie werden dem technischen und organisatorischen Fortschritt angepasst. Der Auftragsverarbeiter darf die Maßnahmen fortschreiben und einzelne durch gleichwertige ersetzen, sofern das vereinbarte Schutzniveau nicht unterschritten wird.
(3) Der Auftragsverarbeiter berücksichtigt bei der Ausgestaltung der Verarbeitung die Grundsätze des Datenschutzes durch Technikgestaltung und durch datenschutzfreundliche Voreinstellungen (Art. 25 DSGVO).
(4) Wechsel von Infrastruktur und Anbietern. Der Auftragsverarbeiter ist berechtigt, die zur Leistungserbringung eingesetzte Hosting-, Infrastruktur-, Cloud- und sonstige Drittanbieter-Umgebung weiterzuentwickeln und einzelne Anbieter oder Komponenten durch andere geeignete Anbieter oder Komponenten zu ersetzen, sofern hierdurch keine wesentliche Verschlechterung der geschuldeten Leistung und des vereinbarten Schutzniveaus eintritt. Betrifft ein solcher Wechsel einen Unterauftragsverarbeiter, gilt zusätzlich das Verfahren nach § 7 (vorherige Information mit Widerspruchsrecht) sowie bei Drittlandbezug § 7 Abs. 4.
_Dieser Paragraph gilt nur, sofern der Verantwortliche die Leistung „KI-Telefon-Rezeptionist" beauftragt hat._
(1) Transparenz / KI-Kennzeichnung (Art. 50 VO (EU) 2024/1689). Der Auftragsverarbeiter richtet den KI-Telefon-Rezeptionisten technisch so ein, dass Anrufende zu Beginn des Gesprächs darüber informiert werden können, dass sie mit einem KI-System kommunizieren (Art. 50 der Verordnung (EU) 2024/1689 – KI-VO/AI Act). Für die inhaltliche Ausgestaltung, die Aktivierung und die Rechtmäßigkeit dieser Ansage sowie der zugehörigen Datenschutzinformationen ist der Verantwortliche als Betreiber („Deployer" i. S. d. KI-VO) verantwortlich. Der Auftragsverarbeiter tritt insoweit als technischer Bereitsteller der KI-gestützten Funktion auf.
(2) Aufzeichnung. Eine Aufzeichnung von Telefonaten erfolgt nur, soweit im Hauptvertrag ausdrücklich vereinbart. In diesem Fall obliegt dem Verantwortlichen die Einholung der erforderlichen Einwilligung bzw. die Erteilung der erforderlichen Hinweisansage; zu beachten sind insbesondere § 201 StGB (Vertraulichkeit des gesprochenen Wortes), das TDDDG sowie die datenschutzrechtlichen Anforderungen. Ohne ausdrückliche Vereinbarung und ohne die erforderliche Rechtsgrundlage findet keine dauerhafte Aufzeichnung des Rohaudios statt.
(3) Keine Nutzung zu Trainingszwecken (No-Training / Zero-Data-Retention). Der Auftragsverarbeiter stellt durch entsprechende Vertrags- und Konfigurationswahl bei den eingesetzten Sprach-, KI- und Telefonieanbietern sicher, dass die im Auftrag verarbeiteten personenbezogenen Daten ausschließlich zur Leistungserbringung verwendet und nicht zu eigenen Zwecken der Anbieter, insbesondere nicht zum Training oder zur Verbesserung deren KI-Modelle, genutzt werden. Der Auftragsverarbeiter setzt hierzu die geschäftlichen bzw. API-Tarife der Anbieter mit No-Training-/Zero- bzw. Kurz-Retention-Zusage ein, soweit diese vom jeweiligen Anbieter angeboten werden.
(4) Löschung. Sprachaufzeichnungen, Transkripte und übergebene Kontext-/Prompt-Daten werden nach Erfüllung des Verarbeitungszwecks, spätestens nach Ablauf der im Hauptvertrag vereinbarten Frist, gelöscht; § 10 gilt entsprechend.
(5) Geheimnisträger. Für Verantwortliche, die einer Geheimhaltungspflicht nach § 203 StGB unterliegen, gilt zusätzlich § 4 Abs. 4 (Beschränkung auf Termin-/Rückrufdaten, gesonderte Verpflichtung, DSFA).
(1) Allgemeine Genehmigung. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen (Art. 28 Abs. 2 Satz 1 DSGVO). Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter ergeben sich aus Anlage 2; es gelten jeweils nur die für die tatsächlich beauftragten Leistungen einschlägigen Einträge (modularer Charakter, siehe Präambel und Anlage 2 Abschnitt A). Diese werden hiermit genehmigt.
(2) Änderungen / Widerspruchsrecht. Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder die Ersetzung von Unterauftragsverarbeitern in Textform (z. B. per E-Mail) mit einer angemessenen Vorlauffrist von in der Regel 14 Tagen. Der Verantwortliche kann einer Änderung aus wichtigem, datenschutzrechtlich begründetem Grund innerhalb dieser Frist in Textform widersprechen (Art. 28 Abs. 2 Satz 2 DSGVO). Widerspricht der Verantwortliche nicht fristgerecht, gilt die Änderung als genehmigt; auf diese Rechtsfolge weist der Auftragsverarbeiter in der Änderungsmitteilung ausdrücklich hin. Im Fall eines berechtigten Widerspruchs ist der Auftragsverarbeiter berechtigt, entweder eine gleichwertige alternative Lösung anzubieten oder – falls dies mit zumutbarem Aufwand nicht möglich ist – den betroffenen Leistungsteil bzw. den Hauptvertrag mit angemessener Frist zu kündigen. Dieses Verfahren gilt auch, soweit ein Anbieterwechsel nach § 6 Abs. 4 bzw. nach den AGB (Leistungs-/Ersetzungsvorbehalt) einen Unterauftragsverarbeiter betrifft.
(3) Pflichten gegenüber Unterauftragsverarbeitern. Der Auftragsverarbeiter verpflichtet den Unterauftragsverarbeiter im Wege eines Vertrages oder eines anderen Rechtsinstruments zu denselben Datenschutzpflichten, wie sie in dieser Vereinbarung festgelegt sind, insbesondere zu hinreichenden Garantien für geeignete technische und organisatorische Maßnahmen (Art. 28 Abs. 4 DSGVO). Kommt der Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Unterauftragsverarbeiters.
(4) Drittlandübermittlung. Erfolgt eine Verarbeitung durch einen Unterauftragsverarbeiter in einem Drittland (außerhalb des EWR), stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die Übermittlung erfolgt vorrangig auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DSGVO) – insbesondere, soweit der jeweilige Empfänger unter dem EU-U.S. Data Privacy Framework wirksam zertifiziert ist (Durchführungsbeschluss (EU) 2023/1795) – oder andernfalls auf Grundlage der EU-Standardvertragsklauseln (Durchführungsbeschluss (EU) 2021/914, Modul 3). Bei Übermittlung auf Grundlage der Standardvertragsklauseln führt der Auftragsverarbeiter eine Prüfung der Rechtslage im Empfängerland durch (Transfer Impact Assessment) und trifft erforderlichenfalls zusätzliche technische und organisatorische Schutzmaßnahmen. Die eingesetzten Drittland-Dienstleister und die jeweilige Rechtsgrundlage der Übermittlung sind in Anlage 2 benannt. Der Auftragsverarbeiter überwacht den Fortbestand der jeweiligen Übermittlungsgrundlage (insbesondere des DPF-Angemessenheitsbeschlusses) und ergreift bei dessen Wegfall unverzüglich ergänzende oder ersetzende Maßnahmen.
(5) Klarstellung – keine Unterauftragsverarbeitung. Nicht als Unterauftragsverarbeitung im Sinne dieser Regelung gelten Nebenleistungen, die der Auftragsverarbeiter bei Dritten als Nebenleistung in Anspruch nimmt (z. B. Telekommunikations- oder Reinigungsleistungen). Ebenfalls nicht Unterauftragsverarbeiter des Auftragsverarbeiters sind Dienste, die dieser für eigene Zwecke nutzt und die keine Endnutzer-/Kundendaten des Verantwortlichen weisungsgebunden verarbeiten (z. B. Bank-/Zahlungsdienstleister, Passwortmanager), sowie der E-Mail-Postfach-Hoster des Verantwortlichen, an den Formularnachrichten zugestellt werden (dieser ist Auftragsverarbeiter des Verantwortlichen, nicht des Auftragsverarbeiters). Insoweit trifft der Auftragsverarbeiter jedoch angemessene Maßnahmen zur Wahrung des Datenschutzes.
(1) Betroffenenrechte. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Möglichen mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen betroffener Personen auf Wahrnehmung ihrer Rechte nach Kapitel III der DSGVO (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch) nachzukommen (Art. 28 Abs. 3 lit. e DSGVO).
(2) Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst, sofern er nicht ausdrücklich vom Verantwortlichen dazu angewiesen wurde.
(3) Weitere Unterstützungspflichten. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten gemäß Art. 32 bis 36 DSGVO, insbesondere bei:
(4) Vergütung. Die Unterstützungsleistungen nach diesem Paragraphen sind, soweit sie über die gesetzlich geschuldeten Grundpflichten hinausgehen und einen nicht unerheblichen Aufwand verursachen, vom Verantwortlichen nach dem im Hauptvertrag vereinbarten bzw. mangels Vereinbarung nach dem in § 8 Abs. 4 der AGB genannten Stundensatz gesondert zu vergüten. Meldungen und Unterstützung im Zusammenhang mit vom Auftragsverarbeiter zu vertretenden Datenschutzverletzungen sind unentgeltlich.
(1) Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich, in der Regel innerhalb von 24 Stunden nach Bekanntwerden, in Textform (Art. 28 Abs. 3 lit. f, Art. 33 Abs. 2 DSGVO). Die Meldung erfolgt so rechtzeitig, dass der Verantwortliche seine eigene Meldefrist gegenüber der Aufsichtsbehörde (72 Stunden, Art. 33 Abs. 1 DSGVO) einhalten kann.
(2) Die Meldung enthält, soweit verfügbar, mindestens:
(3) Die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und ggf. die Benachrichtigung der betroffenen Personen (Art. 34 DSGVO) obliegen dem Verantwortlichen. Der Auftragsverarbeiter unterstützt ihn hierbei nach § 8.
(1) Nach Abschluss der Verarbeitungstätigkeiten löscht der Auftragsverarbeiter nach Wahl des Verantwortlichen sämtliche personenbezogenen Daten oder gibt sie an den Verantwortlichen zurück und löscht vorhandene Kopien, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO).
(2) Der Verantwortliche teilt seine Wahl (Löschung oder Rückgabe) spätestens bei Beendigung des Vertragsverhältnisses in Textform mit. Trifft der Verantwortliche keine Wahl, erfolgt nach Ablauf einer angemessenen Frist von 30 Tagen die Löschung. Die Herausgabe der Inhalte, Daten und der für den Verantwortlichen erstellten Website-Dateien zur eigenen Weiterverwendung (in einem gängigen Format) richtet sich nach dem Hauptvertrag; datenschutzrechtlich bleibt es bei der Rückgabe-/Löschpflicht nach diesem Paragraphen.
(3) Die Löschung umfasst ausdrücklich auch die im Rahmen des KI-Telefon-Rezeptionisten verarbeiteten Sprachaufzeichnungen, Transkripte, Anruf-/Verbindungsdaten und an das Sprachmodell übergebenen Kontextdaten sowie die im Buchungssystem gespeicherten Buchungs-/Termindaten. Der Auftragsverarbeiter veranlasst die entsprechende Löschung auch bei den eingesetzten Unterauftragsverarbeitern (insbesondere Telefonie-, Sprach-KI- und LLM-Anbietern) nach Maßgabe der dort geltenden, vertraglich abgesicherten Kurz-/Zero-Retention.
(4) Backups und Protokolldaten, die aus technischen Gründen noch vorhanden sind, werden im Rahmen der regulären Lösch- und Aufbewahrungszyklen des Auftragsverarbeiters bzw. der eingesetzten Unterauftragsverarbeiter gelöscht.
(5) Domains, die dem Verantwortlichen gehören bzw. auf ihn registriert sind, verbleiben bei ihm; auf Wunsch unterstützt der Auftragsverarbeiter bei einem Transfer der Domain zu einem anderen Anbieter.
(6) Die Dokumentation, die dem Nachweis der ordnungsgemäßen Datenverarbeitung dient, wird durch den Auftragsverarbeiter entsprechend den jeweiligen gesetzlichen Aufbewahrungsfristen auch über das Vertragsende hinaus aufbewahrt.
(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfügung und ermöglicht Überprüfungen – einschließlich Inspektionen –, die vom Verantwortlichen oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt zu diesen bei (Art. 28 Abs. 3 lit. h DSGVO).
(2) Der Nachweis kann nach Wahl des Auftragsverarbeiters auch durch die Vorlage geeigneter Zertifizierungen, aktueller Prüfberichte oder Berichte unabhängiger Instanzen (z. B. der eingesetzten Unterauftragsverarbeiter) sowie durch die Beschreibung der getroffenen technischen und organisatorischen Maßnahmen (Anlage 1) erbracht werden.
(3) Reichen die vorgelegten Nachweise nicht aus, kann der Verantwortliche nach vorheriger Anmeldung mit angemessener Vorlauffrist (in der Regel 14 Tage) und während der üblichen Geschäftszeiten Kontrollen durchführen. Die Kontrollen sind so durchzuführen, dass der Geschäftsbetrieb des Auftragsverarbeiters nicht unverhältnismäßig beeinträchtigt wird und die Geheimhaltungspflichten gegenüber Dritten gewahrt bleiben. Der mit einer Kontrolle verbundene angemessene Aufwand des Auftragsverarbeiters ist vom Verantwortlichen zu vergüten, sofern die Kontrolle keinen vom Auftragsverarbeiter zu vertretenden Verstoß aufdeckt.
(4) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Aufsichtsbehörde Kontrollmaßnahmen gegenüber dem Auftragsverarbeiter ergreift, die die im Auftrag verarbeiteten Daten des Verantwortlichen betreffen können.
(1) Für die Haftung der Parteien untereinander gelten die Regelungen des Hauptvertrags, soweit in dieser Vereinbarung nichts Abweichendes bestimmt ist.
(2) Im Außenverhältnis gegenüber betroffenen Personen richtet sich die Haftung nach Art. 82 DSGVO. Danach haftet ein Auftragsverarbeiter für den durch eine Verarbeitung verursachten Schaden nur, wenn er seinen speziell den Auftragsverarbeitern auferlegten Pflichten aus der DSGVO nicht nachgekommen ist oder unter Nichtbeachtung bzw. entgegen den rechtmäßig erteilten Weisungen des Verantwortlichen gehandelt hat.
(3) Im Innenverhältnis stellen sich die Parteien wechselseitig von Ansprüchen Dritter, Bußgeldern und Sanktionen frei, soweit diese auf einer von der jeweils anderen Partei zu vertretenden Pflichtverletzung beruhen und dem Verschuldensanteil entsprechen (Art. 82 Abs. 5 DSGVO). Zahlt eine Partei eine Entschädigung, ein Bußgeld oder eine Sanktion vollständig, so kann sie von der anderen Partei den Anteil zurückfordern, der deren Verantwortungsbeitrag entspricht.
(4) Etwaige im Hauptvertrag vereinbarte Haftungsbeschränkungen und -höchstbeträge gelten im Verhältnis der Parteien auch für Ansprüche aus dieser Vereinbarung, soweit dies gesetzlich zulässig ist. Die Haftung für Vorsatz und grobe Fahrlässigkeit sowie für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit bleibt unberührt. Ansprüche betroffener Personen aus Art. 82 DSGVO im Außenverhältnis werden durch diese Beschränkungen nicht berührt.
(1) Änderungen und Ergänzungen dieser Vereinbarung einschließlich ihrer Anlagen bedürfen der Textform. Dies gilt auch für die Aufhebung dieses Textformerfordernisses.
(2) Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam oder undurchführbar sein oder werden, so wird dadurch die Wirksamkeit der übrigen Bestimmungen nicht berührt. Die Parteien verpflichten sich, die unwirksame Bestimmung durch eine wirksame zu ersetzen, die dem wirtschaftlichen und datenschutzrechtlichen Zweck der unwirksamen Bestimmung am nächsten kommt.
(3) Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen in datenschutzrechtlichen Fragen die Regelungen dieser Vereinbarung vor.
(4) Es gilt das Recht der Bundesrepublik Deutschland unter Ausschluss des UN-Kaufrechts (CISG). Ist der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen oder hat er keinen allgemeinen inländischen Gerichtsstand, ist Gerichtsstand der Sitz des Auftragsverarbeiters (Bremen). Der Auftragsverarbeiter bleibt berechtigt, am allgemeinen Gerichtsstand des Verantwortlichen zu klagen.
Verantwortlicher im Sinne dieser Vereinbarung ist der im Angebot der RevScaling Agency GbR als Auftraggeber bezeichnete Kunde mit den dort genannten Angaben (Firma, Anschrift, Ansprechpartner, E-Mail); diese Angaben sind Bestandteil dieser Vereinbarung. Auftragsverarbeiter ist die RevScaling Agency GbR, Waltjenstr. 96, 28237 Bremen, vertreten durch die Gesellschafter Lion Grone und Samuel Obodoefuna, info@revscaling.de.
Diese Vereinbarung wird mit der Auftragserteilung des Verantwortlichen auf Grundlage des Angebots geschlossen, in dem sie mit Fassungsdatum benannt ist. Sie ist damit in elektronischem Format im Sinne des Art. 28 Abs. 9 DSGVO geschlossen; einer gesonderten Unterschrift bedarf es nicht. Auf Wunsch stellen wir Ihnen ein ausgefülltes und unterzeichnetes Exemplar zur Verfügung.
--- | --- |
| Ort, Datum: ______________________ | Ort, Datum: ______________________ |
| ____________________________________ | ____________________________________ |
| Name: _____________________________ | Samuel Obodoefuna / Lion Grone |
| Funktion: __________________________ | Gesellschafter |
Die technischen und organisatorischen Maßnahmen des Auftragsverarbeiters gemäß Art. 32 DSGVO sind im eigenständigen Dokument „Technische und organisatorische Maßnahmen (TOM) der RevScaling Agency GbR" (Stand 11.08.2026) beschrieben, das als Anlage 1 einen integralen Bestandteil dieser Vereinbarung bildet. Es ist in der jeweils aktuellen Fassung unter revscaling.de/tom abrufbar und wird dem Verantwortlichen auf Anfrage in Textform zur Verfügung gestellt. Maßgeblich ist die im Angebot benannte Fassung.
Das TOM-Dokument beschreibt insbesondere die Maßnahmen zur Vertraulichkeit (Zutritts-, Zugangs-, Zugriffs-, Weitergabe- und Trennungskontrolle), zur Integrität (Eingabe- und Übertragungskontrolle), zur Verfügbarkeit und Belastbarkeit (Backups, Wiederherstellbarkeit, Redundanz) sowie die Verfahren zur regelmäßigen Überprüfung, Bewertung und Evaluierung (Art. 32 Abs. 1 lit. d DSGVO). Es enthält zudem – soweit der KI-Telefon-Rezeptionist beauftragt ist – die Maßnahmen für Audio-/Sprachdaten, Transkripte und LLM-Kontextdaten (Zugriffsbeschränkung, vertragliche Zero-/Kurz-Retention und No-Training-Konfiguration bei den eingesetzten Anbietern, definierte Löschroutinen).
_Verweis: siehe separates Dokument „TOM – RevScaling Agency GbR", Stand 11.08.2026._
Stand: 11.08.2026
Diese Anlage 2 ist modular aufgebaut. Für jeden Kunden gelten ausschließlich die Unterauftragsverarbeiter, deren zugrunde liegende Leistung im Hauptvertrag beauftragt wurde. Die Zuordnung erfolgt nach dem gebuchten Produkt:
| Produkt des Kunden | Anzuwendende Abschnitte / Unterauftragsverarbeiter |
|---|---|
Nur Website (statisch), Formular via mailto | Abschnitt B (Vercel); ggf. Cloudflare (nur bei aktivem Proxy, Abschnitt E); Registrar/DNS-Hinweis (Abschnitt F). Kein Supabase/Resend/Twilio/ElevenLabs/LLM |
| Website mit Versanddienst / Buchungssystem | zusätzlich Supabase (Abschnitt C.1) und/oder Resend (Abschnitt C.2); ggf. Cloudflare (Proxy); Registrar/DNS |
| Website mit KI-Chat-Assistent | zusätzlich Abschnitt C.3 (LLM-Anbieter des Chats) |
| KI-Telefon-Rezeptionist (zusätzlich beauftragt) | zusätzlich Twilio (D.1), ElevenLabs (D.2) und die tatsächlich eingesetzte LLM-Engine OpenAI oder Anthropic (D.3) |
Faustregel. Ein Kunde ohne KI-Funktion darf niemals Twilio/ElevenLabs/OpenAI/Anthropic in seiner Anlage 2 stehen haben. Sobald ein KI-Chat-Assistent (C.3) oder ein KI-Telefon-Rezeptionist (D) beauftragt ist, gehört der tatsächlich eingesetzte LLM-Anbieter zwingend hinein. Nur der je Kunde tatsächlich genutzte Dienstleister gehört in dessen individuelle Anlage 2.
Nicht als Unterauftragsverarbeiter der Kundendaten geführt (Klarstellung). Bank-/Zahlungsdienstleister (z. B. Qonto) und Passwortmanager (eigene Zwecke des Auftragsverarbeiters); der E-Mail-Postfach-Hoster des Verantwortlichen (Auftragsverarbeiter des Kunden). Meta wird nicht eingesetzt.
Laufende Überwachung der Übermittlungsgrundlagen. Der Auftragsverarbeiter prüft vor Vertragsschluss und danach laufend für jeden Unterauftragsverarbeiter mit Verarbeitung außerhalb des EWR den Bestand der Übermittlungsgrundlage (Angemessenheitsbeschluss bzw. Standardvertragsklauseln nebst Transfer Impact Assessment) sowie das Vorliegen eines aktuellen Auftragsverarbeitungsvertrags und dokumentiert das Ergebnis. Entfällt eine Übermittlungsgrundlage, ergreift er unverzüglich ergänzende oder ersetzende Maßnahmen und informiert den Verantwortlichen.
| Angabe | Beschreibung |
|---|---|
| Name | Vercel Inc. |
| Anschrift | 340 S Lemon Ave #4133, Walnut, CA 91789, USA |
| Leistung | Hosting der Website, Bereitstellung/Auslieferung der Inhalte, Content-Delivery-Network (CDN), Serverless Functions, Server-Logfiles |
| Verarbeitete Daten | IP-Adressen, Zugriffs-/Server-Logdaten, Website-Inhalte, Formular-/Buchungsdaten (technische Verarbeitung/Übertragung) |
| Ort der Verarbeitung | USA (Drittland) sowie ggf. EU/EWR-Regionen des CDN |
| Grundlage der Drittlandübermittlung | Vorrangig EU-Standardvertragsklauseln (SCC, Modul 3) gem. Durchführungsbeschluss (EU) 2021/914 nebst Transfer Impact Assessment und ergänzenden Schutzmaßnahmen; soweit Vercel Inc. unter dem EU-U.S. Data Privacy Framework wirksam zertifiziert ist, zusätzlich Angemessenheitsbeschluss (EU) 2023/1795. Zu verifizieren: DPF-Status Vercel Inc., aktuelles Vercel-DPA inkl. SCC. |
| Angabe | Beschreibung |
|---|---|
| Name | Supabase Inc. |
| Anschrift | 970 Toa Payoh North #07-04, Singapur 318992; US-Sitz: San Francisco, CA, USA |
| Leistung | Bereitstellung von Datenbank/Backend für Buchungs-/Anfragesysteme (Speicherung, Verwaltung, Authentifizierung) |
| Verarbeitete Daten | Name, E-Mail-Adresse, Telefonnummer, Anschrift, Termin-/Buchungsdaten, ggf. Login-/Kontodaten der Endnutzer |
| Ort der Verarbeitung | Wählbare Region; für dieses Vertragsverhältnis EU/EWR (Region Frankfurt); US-Konzernzugriff (Support) möglich |
| Grundlage der Drittlandübermittlung | Verarbeitung vorrangig in der EU-Region (Frankfurt). Soweit ein US-Konzernzugriff (z. B. Support) erfolgt: EU-Standardvertragsklauseln (Modul 3) gem. Durchführungsbeschluss (EU) 2021/914 nebst Transfer Impact Assessment und ergänzenden Schutzmaßnahmen; soweit Supabase Inc. wirksam DPF-zertifiziert ist, zusätzlich Angemessenheitsbeschluss (EU) 2023/1795. Zu verifizieren: gewählte EU-Region, DPF-Status, Supabase-DPA inkl. SCC, Sub-Prozessoren (u. a. AWS). |
| Angabe | Beschreibung |
|---|---|
| Name | Resend, Inc. |
| Anschrift | Sitz in den Vereinigten Staaten von Amerika; die vollständige Anschrift teilt der Auftragsverarbeiter auf Anfrage mit. |
| Leistung | Zustellung/Weiterleitung der über Kontakt-/Anfrage-/Buchungsformulare ausgelösten E-Mails |
| Verarbeitete Daten | Name, E-Mail-Adresse, Telefonnummer, Formular-/Nachrichteninhalte |
| Ort der Verarbeitung | USA (Drittland) |
| Grundlage der Drittlandübermittlung | Vorrangig EU-Standardvertragsklauseln (Modul 3) gem. Durchführungsbeschluss (EU) 2021/914 nebst Transfer Impact Assessment; soweit wirksam DPF-zertifiziert, zusätzlich Angemessenheitsbeschluss (EU) 2023/1795. Zu verifizieren: DPF-Status, Resend-DPA inkl. SCC, Log-/Aufbewahrungsdauer. |
| Angabe | Beschreibung |
|---|---|
| Name | Anthropic PBC |
| Anschrift | 548 Market Street, PMB 90375, San Francisco, CA 94104, USA |
| Leistung | Verarbeitung der vom Website-Besucher im Chat eingegebenen Nachrichten und des übergebenen Seiten-Kontexts zur Erzeugung der Chat-Antwort (LLM-Inferenz) |
| Verarbeitete Daten | Chat-Eingaben des Besuchers (Freitext, können personenbezogene Daten enthalten), an das Modell übergebene Kontext-/Prompt-Daten |
| Ort der Verarbeitung | USA (Drittland) |
| Grundlage der Drittlandübermittlung | EU-Standardvertragsklauseln (Modul 3) gem. Durchführungsbeschluss (EU) 2021/914 nebst Transfer Impact Assessment und ergänzenden Schutzmaßnahmen. Soweit der Empfänger zum Zeitpunkt der Übermittlung wirksam unter dem EU-U.S. Data Privacy Framework zertifiziert ist, stützt sich die Übermittlung zusätzlich auf den Angemessenheitsbeschluss (EU) 2023/1795. Den jeweils aktuellen Zertifizierungsstatus dokumentiert der Auftragsverarbeiter und teilt ihn auf Anfrage mit. Das Anthropic-DPA schließt eine Nutzung der Daten zu Trainingszwecken aus und sieht eine begrenzte Aufbewahrung vor. |
Ein Chat-Assistent verarbeitet ausschließlich die vom Besucher freiwillig eingegebenen Inhalte. Der Verantwortliche weist in seiner Datenschutzerklärung auf den Einsatz und auf den Modellanbieter hin und fordert Besucher auf, keine besonders sensiblen Daten in den Chat einzugeben. Ist ein Chat-Assistent für den jeweiligen Kunden nicht beauftragt, ist dieser Abschnitt nicht Bestandteil von dessen Anlage 2.
Resend wird nicht generell, sondern nur bei Bedarf und nach Absprache mit dem Kunden eingesetzt – etwa wenn über Kontakt-, Anfrage- oder Buchungsformulare ausgelöste Nachrichten serverseitig per E-Mail zugestellt werden. Ist ein solcher Versanddienst für den jeweiligen Kunden nicht beauftragt, ist Resend nicht Bestandteil von dessen Anlage 2.
| Angabe | Beschreibung |
|---|---|
| Name | Twilio Inc. |
| Anschrift | 101 Spear Street, San Francisco, CA 94105, USA |
| Leistung | Telefonie-Infrastruktur (Anrufannahme, Vermittlung, Rufnummern, Audio-Transport, Verbindungsdaten) für den KI-Telefon-Rezeptionisten |
| Verarbeitete Daten | Rufnummer des Anrufers, Anruf-Metadaten (Zeitpunkt, Dauer, Verlauf), ggf. Audio-Stream/Aufzeichnung |
| Ort der Verarbeitung | USA (Drittland) |
| Grundlage der Drittlandübermittlung | Vorrangig Angemessenheitsbeschluss (EU) 2023/1795 (DPF), soweit Twilio Inc. wirksam zertifiziert ist; andernfalls EU-Standardvertragsklauseln (Modul 3) nebst Transfer Impact Assessment. Zu verifizieren: DPF-Status, Twilio-DPA inkl. SCC, ob Call-Recording aktiviert ist (dann erhöhte Anforderungen, § 6a Abs. 2). |
| Angabe | Beschreibung |
|---|---|
| Name | ElevenLabs Inc. |
| Anschrift | Sitz in den Vereinigten Staaten von Amerika; die vollständige Anschrift teilt der Auftragsverarbeiter auf Anfrage mit. |
| Leistung | Sprachsynthese und Spracherkennung (Text-to-Speech / Speech-to-Text) des KI-Rezeptionisten |
| Verarbeitete Daten | Sprachaufnahmen/Audio des Anrufers (können beliebige personenbezogene Inhalte enthalten), Transkripte |
| Ort der Verarbeitung | USA (Drittland) |
| Grundlage der Drittlandübermittlung | Vorrangig EU-Standardvertragsklauseln (Modul 3) nebst Transfer Impact Assessment und ergänzenden Schutzmaßnahmen; soweit wirksam DPF-zertifiziert, zusätzlich Angemessenheitsbeschluss (EU) 2023/1795. Zu verifizieren: DPF-Status, ElevenLabs-DPA inkl. SCC, Vereinbarung „keine Nutzung zu Trainingszwecken" und Kurz-/Zero-Retention der Audiodaten (§ 6a Abs. 3, 4). |
| Angabe | Beschreibung |
|---|---|
| Name | OpenAI, L.L.C. oder Anthropic PBC. In der individuellen Anlage 2 des Verantwortlichen wird ausschließlich die für ihn tatsächlich eingesetzte Gesellschaft geführt. |
| Anschrift | OpenAI, L.L.C.: 1455 3rd Street, San Francisco, CA 94158, USA · Anthropic PBC: 548 Market Street, PMB 90375, San Francisco, CA 94104, USA |
| Leistung | Verarbeitung der Gesprächsinhalte zur Generierung der Antworten des KI-Rezeptionisten (LLM-Inferenz) |
| Verarbeitete Daten | Gesprächsinhalte/Eingaben des Anrufers (Freitext, können personenbezogene Daten enthalten) |
| Ort der Verarbeitung | USA (Drittland) |
| Grundlage der Drittlandübermittlung | EU-Standardvertragsklauseln (Modul 3) gem. Durchführungsbeschluss (EU) 2021/914 nebst Transfer Impact Assessment und ergänzenden Schutzmaßnahmen; Soweit der Empfänger wirksam unter dem EU-U.S. Data Privacy Framework zertifiziert ist, zusätzlich Angemessenheitsbeschluss (EU) 2023/1795; den aktuellen Status dokumentiert der Auftragsverarbeiter. Zu verifizieren: einschlägiges API-/Business-DPA inkl. SCC, kein Training mit den Daten, Zero-/Kurz-Retention, aktueller DPF-Status (§ 6a Abs. 3, 4). |
| Angabe | Beschreibung |
|---|---|
| Name | Cloudflare, Inc. |
| Anschrift | 101 Townsend Street, San Francisco, CA 94107, USA |
| Leistung | Reverse-Proxy/CDN/Sicherheits-Layer vor der Website (nur bei aktiviertem Proxy); andernfalls reine DNS-Auflösung |
| Verarbeitete Daten | Bei aktivem Proxy: IP-Adressen, Request-/Traffic-Metadaten, ggf. Sicherheits-/WAF-Logs; bei DNS-only: DNS-Anfragedaten |
| Ort der Verarbeitung | USA / globales Anycast-Netz (Drittland) |
| Grundlage der Drittlandübermittlung | Vorrangig Angemessenheitsbeschluss (EU) 2023/1795 (DPF), soweit Cloudflare Inc. wirksam zertifiziert ist; andernfalls EU-Standardvertragsklauseln (Modul 3) nebst Transfer Impact Assessment. Zu verifizieren: ob Proxy aktiv, DPF-Status, Cloudflare-DPA inkl. SCC. |
Klarstellung. Wird Cloudflare ausschließlich zur autoritativen DNS-Auflösung ohne aktivierten Proxy eingesetzt, findet insoweit keine Auftragsverarbeitung von Kundendaten i. S. d. Art. 28 DSGVO statt; der Eintrag ist dann nicht Bestandteil der Anlage 2 des betreffenden Kunden.
Ist die Domain auf den Kunden (Verantwortlichen) registriert und gehört diesem, so verarbeitet der Registrar die Domaininhaber-/WHOIS-Daten i. d. R. in eigener Verantwortlichkeit aufgrund gesetzlicher/vertraglicher Pflichten gegenüber der Registry (ICANN/DENIC) und nicht als Auftragsverarbeitung des Auftragsverarbeiters. Der Auftragsverarbeiter übernimmt lediglich die technische DNS-Verwaltung. Die datenschutzrechtliche Einordnung ist im Einzelfall zu prüfen; soweit ausnahmsweise eine Auftragsverarbeitung vorliegt, ist der konkrete Registrar (Name, Anschrift, Ort, Drittlandgrundlage) hier nachzutragen.
Enthält ein Buchungssystem eine Online-Zahlungsfunktion, ist der Zahlungsdienstleister (z. B. Stripe) gesondert einzuordnen: Für Zahlungs-/Kartendaten ist er im Regelfall eigenständig Verantwortlicher (PCI-DSS), teils gemeinsam Verantwortlicher – nicht reiner Auftragsverarbeiter. Nur soweit er reine Buchungs-/Kundenstammdaten weisungsgebunden verarbeitet, liegt Auftragsverarbeitung vor. Vor Einsatz ist die Rolle einzelfallbezogen zu bestimmen und der Eintrag mit korrekter Rollenbezeichnung zu führen. Derzeit nicht Standardbestandteil.
_Weitere Unterauftragsverarbeiter werden nach dem Verfahren gemäß § 7 dieser Vereinbarung ergänzt. Der jeweils aktuelle Stand dieser Anlage 2 wird dem Verantwortlichen auf Anfrage zur Verfügung gestellt._