Auftragsverarbeitungsvertrag

Stand: 22. August 2026 · Fassung 1.1

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem und der Bösch & Kuzma GmbH als Auftragsverarbeiterin. Er wird mit der Bestellung des Werkzeugs geschlossen und ist Bestandteil des Hauptvertrags.

Vertragspartner

Auftragsverarbeiterin
Bösch & Kuzma GmbH
Faulenstraße 67
28195 Bremen
Amtsgericht Bremen, HRB 38755 HB
niklas@keystate.de

Verantwortlicher ist der Kunde mit den Angaben, die er im Bestellvorgang gemacht hat. Sie stehen in seiner Rechnung und in seinem Konto.

§ 1 Gegenstand

Die Auftragsverarbeiterin stellt dem Verantwortlichen ein Werkzeug zur Verfügung, mit dem dieser Newsletter an seine Kontakte versendet, deren Reaktionen auswertet und daraus Rückruflisten erzeugt. Dabei verarbeitet sie personenbezogene Daten ausschließlich im Auftrag und nach Weisung des Verantwortlichen.

Verantwortlich für die Rechtmäßigkeit der Verarbeitung, insbesondere für das Vorliegen einer Rechtsgrundlage für den Versand an die eingespielten Kontakte, bleibt der Verantwortliche.

§ 2 Weisungen

(1) Die Nutzung der Funktionen des Werkzeugs gilt als Weisung. Wer eine Aussendung startet, einen Kontakt anlegt oder eine Auswertung abruft, weist damit die Verarbeitung an.

(2) Darüber hinausgehende Weisungen erfolgen in Textform an die oben genannte Adresse.

(3) Hält die Auftragsverarbeiterin eine Weisung für rechtswidrig, teilt sie dies mit und darf die Ausführung aussetzen.

§ 3 Art, Umfang und Zweck der Verarbeitung

Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln, Löschen.

Zweck: Versand von Newslettern im Namen des Verantwortlichen, Messung der Reaktionen, Erzeugung von Rückruflisten und Suchprofil-Abgleich.

Kategorien betroffener Personen: Empfänger der Newsletter des Verantwortlichen — Interessenten, Bestandskunden, Eigentümer.

Kategorien personenbezogener Daten:

Stammdaten: Name, Anrede, E-Mail-Adresse, Telefonnummer, Anschrift
Suchprofil: Objektart, Preisrahmen, Zimmerzahl, Fläche, Region
Einwilligungsnachweis: Zeitpunkt, Weg, IP-Adresse, Bestätigung, Widerruf
Verhaltensdaten: Öffnungen, Klicks, angesehene Objekte, Zeitpunkte
Zustellungsdaten: Rückläufer, Beschwerden, Abmeldungen

§ 4 Dauer

Der Vertrag läuft so lange, wie der Hauptvertrag läuft. Er endet mit ihm, ohne dass es einer eigenen Kündigung bedarf.

§ 5 Technische und organisatorische Maßnahmen

Die Auftragsverarbeiterin trifft die in Anlage 2 beschriebenen Maßnahmen nach Art. 32 DSGVO und hält sie während der Vertragslaufzeit aufrecht. Änderungen sind zulässig, solange das Schutzniveau nicht sinkt.

§ 6 Vertraulichkeit

Zur Verarbeitung eingesetzte Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht. Die Verpflichtung besteht über das Ende ihrer Tätigkeit hinaus fort.

§ 7 Unterauftragnehmer

(1) Der Verantwortliche stimmt dem Einsatz der in Anlage 3 genannten Unterauftragnehmer zu.

(2) Weitere Unterauftragnehmer werden mindestens vier Wochen vorher in Textform angekündigt. Der Verantwortliche kann innerhalb dieser Frist widersprechen; bei berechtigtem Widerspruch darf er den Hauptvertrag zum Zeitpunkt der Umstellung außerordentlich kündigen.

(3) Die Auftragsverarbeiterin verpflichtet jeden Unterauftragnehmer auf dieselben Pflichten, die sie selbst treffen.

§ 8 Unterstützung des Verantwortlichen

(1) Wendet sich eine betroffene Person direkt an die Auftragsverarbeiterin, leitet sie die Anfrage unverzüglich weiter und beantwortet sie nicht selbst.

(2) Die Auftragsverarbeiterin unterstützt bei Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Auskunft und Export sind im Werkzeug angelegt; darüber hinausgehende Unterstützung nach Aufwand.

(3) Eine Verletzung des Schutzes personenbezogener Daten meldet sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis — mit Art des Vorfalls, betroffenen Datenkategorien, ungefährer Zahl der Betroffenen und getroffenen Maßnahmen.

§ 9 Löschung und Rückgabe

(1) Der Verantwortliche kann seine Daten jederzeit im Werkzeug exportieren.

(2) Nach Ende des Vertrags werden die Daten auf Wahl des Verantwortlichen zurückgegeben oder gelöscht.

(3) Ohne Wahl innerhalb von 30 Tagen nach Vertragsende werden sie gelöscht.

(4) Ausgenommen von der Löschung ist die Sperrliste — die Adressen derer, die dem Empfang widersprochen haben. Sie bleibt unbefristet erhalten. Grund: Wer sie löscht, kann denselben Menschen nach einem Wiedereinspielen erneut anschreiben, und genau das verbietet der Widerspruch. Die Sperrliste enthält nur die Adresse und den Zeitpunkt, keine weiteren Daten.

(5) Ebenfalls ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht.

§ 10 Nachweise und Kontrolle

(1) Die Auftragsverarbeiterin weist die Einhaltung ihrer Pflichten auf Anfrage in Textform nach.

(2) Der Verantwortliche darf Kontrollen durchführen. Vor-Ort-Kontrollen werden mit angemessener Frist angekündigt, finden zu üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen stören.

§ 11 Haftung

Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.

§ 12 Schlussbestimmungen

(1) Änderungen bedürfen der Textform.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag vor, soweit es um die Verarbeitung personenbezogener Daten geht.

(3) Ist eine Bestimmung unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1 — Verarbeitungstätigkeiten

Maßgeblich sind die Angaben in § 3. Die einzelnen Tätigkeiten mit Rechtsgrundlage, Speicherfrist und Empfängern führt das Verarbeitungsverzeichnis der Auftragsverarbeiterin; es wird auf Anfrage in Textform übermittelt.

Anlage 2 — Technische und organisatorische Maßnahmen

1 · Zugangs- und Zugriffskontrolle

Passwörter als PBKDF2-HMAC-SHA256 mit 200.000 Durchläufen und 16-Byte-Salz — Klartext wird nie gespeichert
Bremse gegen Erraten: fünf Fehlversuche je fünfzehn Minuten
Die Antwortzeit verrät nicht, ob ein Zugang existiert
Sitzungen als signierte Cookies mit Secure, HttpOnly und SameSite; der Zustand liegt auf dem Server und ist damit widerrufbar
Zwei-Faktor-Anmeldung für die Verwaltungsoberfläche der Auftragsverarbeiterin
Mandantentrennung über eine Kennung in jeder Tabelle mit Kundendaten — fremde Bestände sind nicht sichtbar, nicht nur ausgeblendet

2 · Weitergabekontrolle

Übertragung ausschließlich über TLS
Eingehende Rückmeldungen des Versanddienstes werden signaturgeprüft
Sicherungen werden vor der Übertragung verschlüsselt

3 · Eingabe- und Verfügbarkeitskontrolle

Handlungsprotokoll: wer wann was geändert hat
Tägliche Sicherung, Aufbewahrung außer Haus
Gescheiterter Versand bleibt nicht stumm — Protokoll und Alarm

4 · Trennung und Zweckbindung

Getrennte Datenbanken für Werkzeug und Verwaltung
Betreiberkonten und Kundenkonten liegen in getrennten Anmeldungen
Keine Nutzung von Kundendaten zu eigenen Zwecken

Anlage 3 — Unterauftragnehmer

Empfänger	Leistung	Ort	Grundlage
dataforest GmbH, Kriftel	Server und Rechenzentrum	Deutschland	AVV
Amazon Web Services EMEA SARL	E-Mail-Versand, Region Frankfurt	EU	AVV, EU-Standardvertragsklauseln
Cloudflare	Bildspeicher und Auslieferung	EU	AVV, EU-Standardvertragsklauseln
OpenAI Ireland Ltd.	Auslesen der Exposé-PDFs, Texterstellung	EU, Verarbeitung in den USA nicht ausgeschlossen	AVV, EU-Standardvertragsklauseln

Auf Wunsch des Verantwortlichen kommen hinzu, sobald er die jeweilige Verbindung selbst einrichtet:

Empfänger	Leistung	Ort	Grundlage
Propstack GmbH	Übertragung in das CRM des Verantwortlichen	EU	Vertrag zwischen Verantwortlichem und Anbieter
onOffice GmbH	Übertragung in das CRM des Verantwortlichen	EU	Vertrag zwischen Verantwortlichem und Anbieter
Meta Platforms Ireland Ltd.	Veröffentlichung von Beiträgen im Profikonto des Verantwortlichen	Drittland	Vertrag zwischen Verantwortlichem und Anbieter

Bei OpenAI ist eine Verarbeitung in den USA nicht ausgeschlossen. Grundlage sind die EU-Standardvertragsklauseln. Eine Verwendung der übermittelten Inhalte zum Training der Modelle findet nach den Geschäftsbedingungen für API-Kunden nicht statt.

Zustandekommen

Dieser Vertrag wird durch das Setzen des entsprechenden Häkchens im Bestellvorgang geschlossen. Protokolliert werden Zeitpunkt, IP-Adresse und die Fassungsnummer dieses Dokuments. Der Verantwortliche kann den Nachweis jederzeit über niklas@keystate.de anfordern.

Fassung 1.1 · Stand 22. August 2026