Auftragsverarbeitungsvertrag (AVV)

Dies ist eine Übersetzung zur besseren Verständlichkeit. Verbindlich ist die englische Fassung.

Dieser Vertrag legt fest, wie Aphroa personenbezogene Daten in Ihrem Auftrag verarbeitet. Er gilt für Fair Lead Hub und für jede Leistung, bei der wir personenbezogene Daten auf Ihrer Website oder in Ihren Systemen sehen können. Sie sind der Verantwortliche und Aphroa ist Ihr Auftragsverarbeiter nach Artikel 28 DSGVO. Er ist Teil unserer Allgemeinen Geschäftsbedingungen und tritt in Kraft, wenn Sie bestellen oder eine Testphase beginnen.

1. Parteien und Geltungsbereich

• Verantwortlicher: das Unternehmen, das bestellt oder eine Testphase beginnt („Sie“).
• Auftragsverarbeiter: Sedeus, ein Einzelunternehmen, tätig unter der Marke Aphroa („wir“). Inhaber: Sercan Uslu. Anschrift und Kontaktdaten stehen im Impressum.
• Erfasste Leistungen: Fair Lead Hub sowie Website Fix & Speed, New Website, SEO & AI Visibility, Integrations & Automation und For Agencies, wenn Sie uns Zugang zu Systemen geben, die personenbezogene Daten enthalten.
• Personenbezogene Daten, die Sie uns in einem Anfrage- oder Bestellformular senden, verarbeiten wir als Verantwortlicher. Das ist in unserer Datenschutzerklärung beschrieben, nicht hier.

2. Gegenstand und Dauer

Gegenstand ist die in Abschnitt 3 beschriebene Verarbeitung. Der Vertrag läuft so lange, wie wir eine davon erfasste Leistung erbringen, zuzüglich der Zeit, die wir benötigen, um Daten nach Abschnitt 10 zurückzugeben oder zu löschen.

3. Art und Zweck der Verarbeitung

• Fair Lead Hub: Wir stellen die Web-App bereit, mit der Sie Visitenkarten scannen, die darauf enthaltenen Daten auslesen, die Kontakte speichern und exportieren sowie Willkommens- und Follow-up-E-Mails von Ihrer eigenen Adresse und Ihrem eigenen SMTP-Server vorbereiten und senden. Follow-up-E-Mails werden mit automatischen Werkzeugen personalisiert.
• Arbeit an Ihrer Website oder Ihren Systemen: Wir nutzen den Zugang, den Sie uns geben, um die vereinbarte Arbeit auszuführen. Wir können dort gespeicherte personenbezogene Daten sehen, zum Beispiel Formulareinträge, Bestellungen oder Benutzerkonten. Wir verwenden sie nur, um die Arbeit auszuführen.
• Wir verarbeiten Daten nur zu diesen Zwecken und nicht für eigene. Wir verkaufen sie nicht.

4. Datenarten und betroffene Personen

• Fair Lead Hub: Personen, deren Visitenkarten Sie scannen oder deren Angaben Sie eingeben; Ihre eigenen Mitarbeitenden, die die App nutzen. Daten: Name, Position, Unternehmen, E-Mail-Adresse, Telefonnummer, Website und der Inhalt der für sie vorbereiteten Follow-up-E-Mails sowie die Kontodaten Ihrer Nutzer.
• Arbeit an Ihren Systemen: Ihre Kunden, Websitebesucher, Nutzer und Mitarbeitenden, soweit ihre Daten auf den Systemen liegen, die wir erreichen können. Daten: Kontaktdaten, Kontodaten, Bestell- und Formulardaten, technische Daten.
• Bitte geben Sie uns keine besonderen Kategorien von Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen. Wenn Ihre Systeme solche Daten enthalten, teilen Sie uns das mit, bevor Sie uns Zugang geben.

5. Ihre Pflichten

• Sie sind für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich einer Rechtsgrundlage, der Information der betroffenen Personen und, wo nötig, deren Einwilligung für E-Mails.
• Sie erteilen uns Weisungen schriftlich (E-Mail genügt). Unsere Bedingungen, das Angebot und Ihre Nutzung des Dienstes sind zu Beginn Ihre vollständigen Weisungen.
• Sie teilen uns unverzüglich mit, wenn eine Weisung nicht rechtmäßig befolgt werden kann oder wenn die Daten falsch sind.

6. Unsere Pflichten

• Wir verarbeiten personenbezogene Daten nur auf Ihre dokumentierten Weisungen, auch bei Übermittlungen in andere Länder, es sei denn, das Gesetz verlangt etwas anderes. Wir teilen Ihnen mit, wenn wir der Ansicht sind, dass eine Weisung gegen Datenschutzrecht verstößt.
• Jeder, der für uns Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet.
• Wir ergreifen die Maßnahmen nach Abschnitt 7.
• Wir setzen Unterauftragsverarbeiter nur wie in Abschnitt 8 beschrieben ein.
• Wir unterstützen Sie, soweit möglich, bei der Beantwortung von Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit, Widerspruch). Schreibt uns eine solche Person direkt, leiten wir die Anfrage an Sie weiter.
• Wir unterstützen Sie bei Ihren Pflichten nach den Artikeln 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Folgenabschätzung, Konsultation) unter Berücksichtigung dessen, was uns bekannt ist.
• Wir informieren Sie unverzüglich, spätestens innerhalb von 24 Stunden, nachdem wir von einer Verletzung des Schutzes personenbezogener Daten erfahren haben, die Ihre Daten betrifft, und geben Ihnen die Informationen, die wir haben, damit Sie die Meldung vornehmen können.
• Wir geben Ihnen die Informationen, die nötig sind, um nachzuweisen, dass wir diesen Vertrag einhalten (Abschnitt 11).

7. Technische und organisatorische Maßnahmen

Diese Maßnahmen gelten für unsere Website, unsere Formulare und unsere Mailsysteme.

• Verschlüsselte Verbindungen: Unsere Website und unsere Formulare funktionieren ausschließlich über HTTPS. E-Mails werden von unserem eigenen Mailserver über verschlüsselte Verbindungen gesendet.
• Eingeschränkter Zugriff: Der Zugriff auf Ihre Daten ist auf die Personen beschränkt, die ihn für Ihren Auftrag benötigen. Wir bitten Sie, den Zugang über ein für den Auftrag angelegtes temporäres Konto zu geben. Wir nutzen den Zugang nur für den Auftrag und bitten Sie, ihn zu schließen, wenn der Auftrag endet.
• Datenminimierung: Wir speichern in unseren Lead- und Einwilligungsprotokollen keine IP-Adressen; wir speichern einen Hash, der sich täglich ändert. Wir fragen nur die Daten ab, die ein Auftrag braucht.
• Kurze Speicherdauer: Datensätze werden nach Ablauf ihrer Speicherfrist automatisch gelöscht: Leads nach 24 Monaten, E-Mails in der Warteschlange nach 30 Tagen, das Protokoll unseres Versand-Plug-ins nach 14 Tagen, Server-Logs nach 7 Tagen.
• Härtung unserer Website: Die Dateibearbeitung im Administrationsbereich ist deaktiviert, die XML-RPC-Schnittstelle ist deaktiviert, Listen von Benutzernamen werden nicht offengelegt, und Datenbankzugriffe nutzen vorbereitete Anweisungen (Prepared Statements).
• Missbrauchsschutz: Formulare haben ein verstecktes Feld, ein signiertes Zeit-Token, Cloudflare Turnstile und eine Begrenzung der Versuche.
• Eigener Mailserver: Wir senden unsere E-Mails nicht über einen Mailing-Dienst eines Drittanbieters.

8. Unterauftragsverarbeiter

Sie erteilen uns eine allgemeine Genehmigung, die in der Tabelle genannten Unterauftragsverarbeiter einzusetzen. Wir informieren Sie per E-Mail oder auf dieser Seite, bevor wir einen hinzufügen oder ersetzen. Sie können innerhalb von 30 Tagen aus einem berechtigten datenschutzrechtlichen Grund widersprechen. Wenn wir uns nicht einigen können, darf jede Seite die betroffene Leistung beenden.

9. Übermittlungen in andere Länder

Cloudflare, Inc. hat seinen Sitz in den Vereinigten Staaten. Für diese Übermittlung stützen wir uns auf das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist, und auf Standardvertragsklauseln.

Anthropic hat seinen Sitz in den Vereinigten Staaten. Daten von Fair Lead Hub, die zum Auslesen von Karten und zur Personalisierung von E-Mails an Anthropic gehen, werden nur mit geeigneten Garantien übermittelt.

Wir haben unseren Sitz in der Türkei, für die es keinen Angemessenheitsbeschluss der EU gibt, und greifen von dort auf Daten zu. Verlangen die Übermittlungsregeln Garantien für Ihre Daten, vereinbaren wir mit Ihnen geeignete, zum Beispiel die Standardvertragsklauseln der Europäischen Kommission. Schreiben Sie an legal@aphroa.com, und wir setzen sie um.

10. Löschung und Rückgabe

Wenn der Dienst endet, löschen wir Ihre personenbezogenen Daten oder geben sie Ihnen zurück, wie Sie wählen, innerhalb von 30 Tagen. Kontakte aus Fair Lead Hub geben wir als CSV-Datei zurück. Zugänge, die Sie uns gegeben haben, werden nicht mehr genutzt. Wir behalten Daten nur, wenn das Gesetz es verlangt, und dann nur für diesen Zweck.

11. Information und Prüfungen

Auf Anfrage geben wir Ihnen die Informationen, die nötig sind, um nachzuweisen, dass wir diesen Vertrag einhalten. Genügt das nicht, dürfen Sie unsere Verarbeitung nach angemessener Vorankündigung prüfen, während der Arbeitszeiten und ohne unsere anderen Kunden zu stören. Jede Seite trägt ihre eigenen Kosten. Prüfungen betreffen nur die Verarbeitung Ihrer Daten.

12. Haftung und weitere Bedingungen

Die Haftungsbedingungen unserer Allgemeinen Geschäftsbedingungen gelten für diesen Vertrag. Weichen dieser Vertrag und die Bedingungen bei personenbezogenen Daten voneinander ab, gilt dieser Vertrag.

13. Anwendbares Recht und Gerichtsstand

Dieser Vertrag unterliegt dem Recht der Republik Türkei. Zuständig sind die Gerichte und Vollstreckungsämter von Eskişehir, sofern zwingendes Recht nichts anderes vorsieht.

14. Kontakt

Fragen zu diesem Vertrag: legal@aphroa.com.