Nach Art. 28 DSGVO. Fassung vom 25.09.2026. Ergänzt unsere AGB.
Kurz gesagt: Die Daten in deinem System gehören dir, und wir verarbeiten sie nur nach deinen Vorgaben. Sie liegen auf einem Server in Deutschland. Welche Dienstleister beteiligt sind, steht unten. Einen neuen sagen wir dir vorher an. Geht etwas schief, melden wir uns sofort. Endet der Vertrag, bekommst du deine Daten und wir löschen sie bei uns.
Verantwortlicher ist der Kunde („du“). Auftragsverarbeiter ist die SH Trusted Services EOOD, Vladislav Varnenchik Blvd. 79, 9000 Warna, Bulgarien, Marke „Sales-Engine“ („wir“). Gegenstand ist die Verarbeitung personenbezogener Daten, die bei Bau, Betrieb und Betreuung deines Systems nach den AGB und deinem Angebot anfallen. Der AVV läuft so lange wie der Hauptvertrag und bis alle Daten zurückgegeben oder gelöscht sind.
Zweck und Art: Speichern, Abgleichen, Anzeigen und Übertragen von Daten in deinem System und zwischen deinen Werkzeugen (z. B. CRM, Warenwirtschaft, Mail, Messenger), Versand von Nachrichten in deinem Auftrag sowie Fehlersuche und Weiterentwicklung.
Datenarten: Kontakt- und Stammdaten (Name, Firma, Adresse, Telefon, E-Mail), Vertrags-, Auftrags- und Bestelldaten, Kommunikationsinhalte (Mails, Nachrichten, Notizen, Aufnahmen aus dem Hilfesystem), Nutzungs- und Protokolldaten der Anwender.
Betroffene: deine Kunden und Interessenten, deren Ansprechpartner, deine Mitarbeiter und Nutzer des Systems, Lieferanten und Geschäftspartner.
Besondere Kategorien nach Art. 9 DSGVO verarbeiten wir nur, wenn das gesondert vereinbart ist.
Wir verarbeiten die Daten nur auf deine dokumentierte Weisung. Die Weisungen ergeben sich aus dem Vertrag, dem Angebot und deinen Tickets. Einzelweisungen genügen in Textform. Halten wir eine Weisung für rechtswidrig, sagen wir dir das sofort. Eine Verarbeitung für eigene Zwecke findet nicht statt. Gesetzlich vorgeschriebene Verarbeitungen bleiben unberührt; über sie informieren wir dich, soweit das erlaubt ist.
Alle Personen, die bei uns Zugriff auf die Daten haben, sind zur Vertraulichkeit verpflichtet und kennen die Datenschutz-Regeln. Zugriff hat nur, wer ihn für die Arbeit an deinem System braucht.
Ort: Hosting in einem ISO-27001-zertifizierten Rechenzentrum der Hetzner Online GmbH in Nürnberg, Deutschland.
Zugang und Zugriff: Die Server-Verwaltung ist nur berechtigten Personen mit persönlichem Zugang möglich. Die Anmeldung am Kunden-System erfolgt mit persönlichem Zugang, Rechte werden nach Rollen vergeben (z. B. Entscheider und Mitarbeiter). Die Daten verschiedener Kunden sind technisch getrennt.
Übertragung: Alle Verbindungen sind nach dem Stand der Technik verschlüsselt (HTTPS/TLS). Zugangsdaten zu deinen Werkzeugen liegen nur auf dem Server bzw. in einem verschlüsselten Passwort-Tresor.
Nachvollziehbarkeit: Wichtige Aktionen (Freigaben, Buchungen, Änderungen durch uns) werden protokolliert.
Verfügbarkeit: Die Systeme werden überwacht; bei Störungen werden wir automatisch alarmiert. Updates spielen wir laufend ein.
Überprüfung: Wir überprüfen die Maßnahmen regelmäßig und passen sie dem Stand der Technik an. Dabei dürfen wir sie ändern, solange das Schutzniveau nicht sinkt.
Du erlaubst uns, die folgenden Unterauftragsverarbeiter einzusetzen:
Einen neuen oder anderen Unterauftragsverarbeiter kündigen wir dir mindestens 30 Tage vorher per Mail an. Du kannst aus wichtigem datenschutzrechtlichem Grund widersprechen. Können wir den Einsatz dann nicht vermeiden, darfst du den Vertrag außerordentlich kündigen. Jeden Unterauftragsverarbeiter verpflichten wir vertraglich auf dieselben Datenschutzpflichten wie uns selbst. Werkzeuge, die du selbst beauftragst (z. B. dein CRM), sind keine Unterauftragsverarbeiter von uns.
Wir unterstützen dich dabei, Anfragen Betroffener zu beantworten (Auskunft, Berichtigung, Löschung usw.). Anfragen, die bei uns landen, leiten wir an dich weiter. Außerdem unterstützen wir dich bei Datenschutz-Folgenabschätzungen und Meldungen an die Behörde, soweit sie unsere Verarbeitung betreffen. Hierfür fällt kein Aufpreis an, es sei denn, der Aufwand ist außergewöhnlich hoch.
Stellen wir eine Verletzung des Schutzes deiner Daten fest, informieren wir dich unverzüglich, spätestens innerhalb von 24 Stunden. Du erfährst dann, was passiert ist, welche Daten betroffen sind und was wir dagegen unternehmen. So kannst du deine Meldepflicht (72 Stunden) einhalten.
Endet der Vertrag, geben wir dir deine Daten auf Wunsch in einem gängigen Format heraus oder ziehen sie im Rahmen der Exit-Garantie auf einen Server deiner Wahl um. Danach, spätestens 60 Tage nach Vertragsende, löschen wir sie bei uns einschließlich der Kopien und bestätigen dir das in Textform. Daten, die wir gesetzlich aufbewahren müssen, sperren wir bis zum Ablauf der Frist.
Auf Anfrage weisen wir dir die Einhaltung dieses AVV nach, z. B. durch Auskünfte, Unterlagen oder Zertifikate unserer Dienstleister. Kontrollen vor Ort sind nach Anmeldung mit angemessener Frist und zu üblichen Geschäftszeiten möglich, ohne den Betrieb zu stören.
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die AGB. Bei Widersprüchen hat dieser AVV Vorrang, soweit es um den Datenschutz geht. Der AVV wird elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO); dein Klick mit Name, Zeitpunkt und Fassung ist der Nachweis.