Warum es einen AVV gibt und was er regelt
Deine Empfänger sind deine Daten, Keystate verarbeitet sie in deinem Auftrag. Wo der Vertrag liegt, wie er zustande kommt und was in seinen Anlagen steht.
Du lädst Kontaktdaten in Keystate, und Keystate verschickt in deinem Namen Mails an diese Menschen. Damit verarbeitet Keystate personenbezogene Daten für dich, und Art. 28 Abs. 3 DSGVO verlangt dafür einen Vertrag. Ohne ihn ist die Verarbeitung nicht nur für Keystate ein Problem, sondern für dein Büro: Du bist der Verantwortliche.
Der Vertrag steht als vollständiges Dokument auf keystate.de/avv. Er wird nicht unterschrieben, sondern per Häkchen geschlossen, und das ist zulässig: Art. 28 Abs. 9 DSGVO verlangt Textform, und die ist elektronisch erfüllbar.
Wie er zustande kommt
Das Häkchen steht an zwei Stellen, und an beiden nennt es den AVV ausdrücklich beim Namen und verlinkt ihn:
- Beim Start der Testphase. Auch ohne Geld: Du lädst dort Kontaktdaten hoch, wir verarbeiten sie in deinem Auftrag, und Art. 28 Abs. 3 DSGVO fragt nicht danach, ob eine Rechnung dazu gehört.
- Im Bestellvorgang auf keystate.de. Zusammen mit AGB und der Kenntnis der Datenschutzerklärung.
Protokolliert werden dabei Zeitpunkt, IP-Adresse und die Fassungsnummer des Dokuments. Ohne die Fassungsnummer wäre der Nachweis wertlos, weil niemand mehr sagen könnte, welchem Text du zugestimmt hast. Den Nachweis kannst du jederzeit bei uns anfordern.
Was der Vertrag regelt
| Punkt | Regelung |
|---|---|
| Rollen | Du bist Verantwortlicher, Keystate ist Auftragsverarbeiterin. |
| Weisung | Die Nutzung der Funktionen gilt als Weisung. Wer eine Aussendung startet, weist damit die Verarbeitung an. |
| Rechtsgrundlage | Für die Rechtmäßigkeit des Versands an deine Kontakte bleibst du verantwortlich. |
| Neue Unterauftragnehmer | Mindestens vier Wochen vorher in Textform angekündigt, mit Widerspruchsrecht. |
| Datenpanne | Meldung an dich unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis. |
| Anfragen von Betroffenen | Wendet sich ein Empfänger direkt an Keystate, leiten wir weiter und antworten nicht selbst. |
| Nach Vertragsende | Rückgabe oder Löschung nach deiner Wahl, ohne Wahl innerhalb von 30 Tagen Löschung. |
| Laufzeit | So lange wie der Hauptvertrag, ohne eigene Kündigung. |
Anlage 2: die technischen Maßnahmen
Sie steht mit im Dokument und nicht als eigene Datei, weil ein Vertrag mit Anlagen woanders beim Nachweis unvollständig ist. Die tragenden Punkte:
- Passwörter als PBKDF2-HMAC-SHA256 mit 200.000 Durchläufen und 16-Byte-Salz. Klartext wird nie gespeichert.
- Bremse gegen Erraten: fünf Fehlversuche je fünfzehn Minuten.
- Sitzungen als signierte Cookies mit
Secure,HttpOnlyundSameSite. - Mandantentrennung über eine Kennung in jeder Tabelle mit Kundendaten. Fremde Bestände sind nicht sichtbar, nicht nur ausgeblendet.
- Übertragung ausschließlich über TLS, Sicherungen vor der Übertragung verschlüsselt.
- Handlungsprotokoll: wer wann was geändert hat.
- Keine Nutzung von Kundendaten zu eigenen Zwecken.
Anlage 3: wer außer Keystate etwas sieht
| Empfänger | Leistung | Ort |
|---|---|---|
| dataforest GmbH, Kriftel | Server und Rechenzentrum | Deutschland |
| Amazon Web Services EMEA SARL | E-Mail-Versand, Region Frankfurt | EU |
| Cloudflare | Bildspeicher und Auslieferung | EU |
| OpenAI Ireland Ltd. | Auslesen der Exposé-PDFs, Texterstellung | EU, Verarbeitung in den USA nicht ausgeschlossen |
Bei OpenAI sind die EU-Standardvertragsklauseln die Grundlage. Eine Verwendung der übermittelten Inhalte zum Training der Modelle findet nach den Geschäftsbedingungen für API-Kunden nicht statt.
Dazu kommen drei, sobald du die Verbindung selbst einrichtest: Propstack GmbH und onOffice GmbH für die Übertragung in dein CRM sowie Meta Platforms Ireland Ltd. für die Veröffentlichung in deinem Instagram-Profikonto. Vertragspartner dieser drei ist dein Büro, nicht Keystate. Richtest du sie nicht ein, geht dorthin nichts.
Die eine Ausnahme von der Löschung
Nach Vertragsende wird alles gelöscht, mit einer Ausnahme: die Sperrliste, also die Adressen derer, die dem Empfang widersprochen haben. Sie bleibt unbefristet erhalten und enthält nur die Adresse, den Grund und den Zeitpunkt. Der Grund ist einfach: Wer sie löscht, kann denselben Menschen nach einem Wiedereinspielen erneut anschreiben, und genau das verbietet der Widerspruch.
Ebenfalls ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht.
Weiter: Welche Fristen gelten, Was Keystate speichert, Was in den Fuß muss.