Parteien
Verantwortlicher: der im Hauptvertrag bezeichnete Unternehmenskunde
Auftragsverarbeiter:
Venezia Sales Solution, Einzelunternehmen
Inhaber Mario Venezia
Marktstraße 4, 75365 Calw
E-Mail: office@salesarenaapp.com
§ 1 Gegenstand, Umfang und Dauer
Gegenstand ist die weisungsgebundene Verarbeitung personenbezogener Daten bei Bereitstellung der Sales-Arena-Plattform, insbesondere für Nutzer- und Teamverwaltung, KI-gestützte Gesprächstrainings, Transkripte, Trainingshistorien, Feedback, Scores, Auswertungen, Support und technisch erforderliche Sicherungs- und Protokollierungsprozesse.
Umfang und Dauer richten sich nach Hauptvertrag, Tarif, aktivierten Funktionen und dokumentierten Weisungen. Der AVV endet mit Abschluss der Rückgabe oder Löschung auftragsverarbeiteter Daten.
§ 2 Weisungen
Der Auftragsverarbeiter verarbeitet Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, soweit keine unionsrechtliche oder mitgliedstaatliche Pflicht entgegensteht. Hauptvertrag, Plattformkonfiguration, Rollen, Lösch- und Exporteinstellungen sowie Supportanfragen gelten als dokumentierte Weisungen.
Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Umsetzung bis zur Klärung aussetzen.
§ 3 Pflichten des Verantwortlichen
Der Verantwortliche stellt Rechtsgrundlage, Informationspflichten, Datenminimierung, zulässige Trainingsinhalte, Berechtigungskonzept, Löschfristen sowie gegebenenfalls arbeitsrechtliche Mitbestimmung sicher. Er darf keine Daten verarbeiten lassen, die für den vereinbarten Trainingszweck nicht erforderlich oder nach Plattformbedingungen ausgeschlossen sind.
§ 4 Vertraulichkeit und Personal
Der Auftragsverarbeiter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet und hinsichtlich Datenschutz und Informationssicherheit angemessen unterwiesen sind. Zugriffe erfolgen nach dem Need-to-know-Prinzip.
§ 5 Sicherheit der Verarbeitung
Der Auftragsverarbeiter trifft angemessene technische und organisatorische Maßnahmen nach Art. 32 DSGVO. Maßgeblich sind Risiko, Stand der Technik, Implementierungskosten sowie Art, Umfang, Umstände und Zwecke der Verarbeitung. Die vereinbarten Maßnahmen sind in Anlage 2 beschrieben.
Maßnahmen dürfen weiterentwickelt werden, sofern das vereinbarte Schutzniveau nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.
§ 6 Unterauftragsverarbeiter
Der Verantwortliche erteilt eine allgemeine Genehmigung für die in Anlage 3 konkret aufgeführten Unterauftragsverarbeiter. Neue oder ersetzte Unterauftragsverarbeiter werden mindestens 30 Tage vor dem geplanten Einsatz in Textform oder über einen vertraglich vereinbarten Benachrichtigungskanal angekündigt. Der Verantwortliche kann aus nachweisbarem wichtigem datenschutzrechtlichem Grund widersprechen.
Der Auftragsverarbeiter verpflichtet Unterauftragsverarbeiter mindestens zu gleichwertigen Datenschutzpflichten. Unbenannte Datenbank-, Authentifizierungs-, Sprach- oder KI-Dienste sind durch diesen AVV nicht vorab pauschal genehmigt und dürfen erst nach Aufnahme in Anlage 3 und Erfüllung der gesetzlichen Voraussetzungen produktiv eingesetzt werden.
§ 7 Drittlandübermittlungen
Übermittlungen außerhalb des EWR erfolgen nur bei Einhaltung der Art. 44 ff. DSGVO, insbesondere auf Grundlage eines Angemessenheitsbeschlusses oder geeigneter Garantien wie den Standardvertragsklauseln der Europäischen Kommission. Soweit erforderlich, werden Transfer-Risiken bewertet und zusätzliche Maßnahmen getroffen.
§ 8 Betroffenenrechte
Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung von Art und Funktion der Verarbeitung angemessen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch und sonstigen Betroffenenrechten. Direkt eingehende Anfragen werden ohne eigene inhaltliche Beantwortung an den Verantwortlichen weitergeleitet, soweit nicht eine eigene Verantwortlichkeit besteht.
§ 9 Unterstützungspflichten
Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei Sicherheit, Meldung von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorheriger Konsultation nach Art. 32 bis 36 DSGVO. Aufwand außerhalb der geschuldeten Standardfunktionen kann nach vorheriger Vereinbarung vergütet werden, soweit der Anlass nicht im Verantwortungsbereich des Auftragsverarbeiters liegt.
§ 10 Datenschutzverletzungen
Verletzungen des Schutzes auftragsverarbeiteter personenbezogener Daten werden dem Verantwortlichen unverzüglich nach Bekanntwerden gemeldet. Die Meldung enthält, soweit verfügbar, Art des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht.
§ 11 Löschung und Rückgabe
Nach Ende der Leistung löscht oder gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle auftragsverarbeiteten personenbezogenen Daten zurück und löscht vorhandene Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht. Daten in Sicherungen werden gesperrt und im Rahmen dokumentierter Sicherungszyklen überschrieben. Gesetzlich aufzubewahrende Daten werden getrennt und nur für den gesetzlichen Zweck verarbeitet.
§ 12 Nachweise und Kontrollen
Der Auftragsverarbeiter stellt erforderliche Informationen zum Nachweis der Pflichten bereit. Kontrollen sollen vorrangig durch aktuelle Nachweise, Fragebögen, Zertifikate oder Berichte erfolgen. Vor-Ort-Prüfungen sind bei berechtigtem Anlass, angemessener Vorankündigung, während üblicher Geschäftszeiten und unter Wahrung von Vertraulichkeit und Rechten anderer Kunden zulässig.
§ 13 Verantwortungsabgrenzung
Verarbeitungen für eigene Vertragsverwaltung, Abrechnung, Sicherheit, Missbrauchsabwehr und gesetzliche Pflichten erfolgen in eigener Verantwortlichkeit des Anbieters und sind nicht Gegenstand dieses AVV. Ob eine konkrete Verarbeitung Auftragsverarbeitung darstellt, richtet sich nach tatsächlichen Zwecken und Entscheidungsmöglichkeiten.
Anlage 1 – Beschreibung der Verarbeitung
| Gegenstand | Bereitstellung einer mandantenfähigen KI-Trainingsplattform für Verkaufsgespräche. |
|---|---|
| Zwecke | Nutzer- und Teamverwaltung, Authentifizierung, Szenarien, Text-/Sprachtraining, Transkription, KI-Antworten, Feedback, Scores, Fortschritt, Auswertungen, Export, Support, Sicherheit und Sicherung. |
| Datenarten | Stammdaten; geschäftliche Kontaktdaten; Organisations-, Team-, Rollen- und Berechtigungsdaten; Konto- und Authentifizierungsdaten; Vertrags-/Tarifzuordnung; Text- und Spracheingaben; gegebenenfalls Audiodaten; Transkripte; KI-Antworten; Szenarien; Trainingshistorien; Scores; Feedback; Nutzungs-, Geräte-, Protokoll- und Supportdaten. |
| Betroffene | Beschäftigte, freie Mitarbeitende, Administratoren, Trainer, Führungskräfte und sonstige vom Verantwortlichen autorisierte Nutzer. Reale Kunden- oder Interessentendaten sind nicht als reguläre Trainingsdaten vorgesehen. |
| Besondere Daten | Besondere Kategorien nach Art. 9 DSGVO sowie Strafdaten nach Art. 10 DSGVO sind nicht zur Verarbeitung vorgesehen und dürfen nicht eingegeben werden, sofern keine ausdrückliche gesonderte Vereinbarung besteht. |
| Dauer | Laufzeit des Hauptvertrags zuzüglich vereinbarter Export-, Rückgabe-, Sicherungs- und Löschzeiträume. |
Anlage 2 – Technische und organisatorische Maßnahmen
- Zutritts- und physischer Schutz: Nutzung kontrollierter Rechenzentren der eingesetzten Hostinganbieter.
- Zugang: individuelle Konten, sichere Passwort-Hashes oder vertrauenswürdige Authentifizierung, Schutz administrativer Konten durch Mehrfaktor-Authentifizierung, Sperr- und Wiederherstellungsverfahren.
- Zugriff: rollenbasierte Rechte, geringstmögliche Privilegien, dokumentierte Administrationszugriffe, regelmäßige Rechteprüfung und unverzügliche Deaktivierung.
- Mandantentrennung: logische Trennung von Organisationen und Prüfung jeder Datenabfrage auf Mandanten- und Rollenberechtigung.
- Übertragung: Transportverschlüsselung nach aktuellem Stand der Technik; verschlüsselte administrative Verbindungen.
- Speicherung: Verschlüsselung ruhender Daten, soweit technisch und risikobezogen angemessen; keine Speicherung vollständiger Zahlungsdaten in der Plattformdatenbank.
- Eingabekontrolle: Protokollierung sicherheits- und administrativ relevanter Änderungen; nachvollziehbare Weisungs- und Supportprozesse.
- Verfügbarkeit: Datensicherungen, Wiederherstellungsverfahren, Monitoring, Fehler- und Sicherheitsmanagement sowie angemessene Notfallprozesse.
- Datenschutz durch Technikgestaltung: Datenminimierung, konfigurierbare Speicherfristen, Export- und Löschfunktionen, restriktive Voreinstellungen, keine verdeckte Beschäftigtenüberwachung.
- Entwicklung: Änderungsprüfung, sichere Konfiguration, Abhängigkeits- und Schwachstellenmanagement, Trennung von Entwicklungs- und Produktivumgebungen, keine unnötigen Echtdaten in Tests.
- Personal: Vertraulichkeitsverpflichtung, Datenschutz- und KI-Kompetenzschulung sowie geregelte On-/Offboarding-Prozesse.
- Incident Response: Verfahren zur Erkennung, Bewertung, Eindämmung, Dokumentation und Meldung von Sicherheitsvorfällen.
- Kontrolle: regelmäßige Überprüfung der Wirksamkeit und Anpassung an Risiko und Stand der Technik.
Anlage 3 – Aktuell genehmigte Unterauftragsverarbeiter
| Anbieter | Leistung | Ort / Transfergrundlage | Status |
|---|---|---|---|
| Netlify, Inc. | Hosting und Auslieferung der aktuellen Website | USA; DPF-Zertifizierung soweit anwendbar und/oder Standardvertragsklauseln | Aktuelle Website |
| Web3Creative / Web3Forms | Übermittlung von Early-Access- und Business-Formularen | Indien und mögliche Infrastruktur-Unterauftragnehmer; Standardvertragsklauseln und zusätzliche Prüfung | Aktuelle Websiteformulare |
Anlage 4 – Ansprechpartner und Weisungskanal
Weisungen, Datenschutzanfragen und Sicherheitsmeldungen sind an office@salesarenaapp.com zu richten. Abweichende Ansprechpartner des Verantwortlichen ergeben sich aus Hauptvertrag oder Kundenkonto.