Anlage 1: Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO

zwischen dem Kunden („Verantwortlicher") und der Bergstein Media Ltd, Arch. Makariou III 55, Flat 102, 7550 Kiti, Zypern („Auftragsverarbeiter") — Stand: August 2026

§ 1 Gegenstand und Dauer

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien aus dem Hauptvertrag über die Nutzung der Software „Hello Email" (AGB). Er ist Bestandteil des Hauptvertrags; bei Widersprüchen geht in datenschutzrechtlichen Fragen dieser Vertrag vor.

(2) Die Laufzeit entspricht der Laufzeit des Hauptvertrags.

§ 2 Gegenstand, Art und Zweck der Verarbeitung; Datenarten; Betroffene

(1) Gegenstand und Zweck: Erstellung, Personalisierung und Versand von E-Mail-Kampagnen und -Automationen für den Verantwortlichen einschließlich Empfängerverwaltung, Segmentierung, KI-gestützter Inhaltserstellung, Erfolgsmessung und Zustellbarkeitsanalyse.

(2) Datenarten: E-Mail-Adressen, Namen, Bestell- und Umsatzdaten, Produkt- und Warenkorbdaten, Interaktionsdaten (Öffnungen, Klicks, Bounces, Abmeldungen), Segment- und Profildaten, über Schnittstellen (insbesondere Shopify, Klaviyo) importierte Kundendaten.

(3) Kategorien betroffener Personen: Kunden, Interessenten und Newsletter-Empfänger des Verantwortlichen.

(4) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung; der Verantwortliche verpflichtet sich, solche Daten nicht in die Software einzubringen.

§ 3 Weisungsgebundenheit

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO). Die Nutzung der Software und ihrer Funktionen durch den Verantwortlichen gilt als Weisung.

(2) Ist der Auftragsverarbeiter der Ansicht, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt, informiert er den Verantwortlichen unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO).

§ 4 Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO).

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die in Anhang A beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt; der Auftragsverarbeiter darf sie weiterentwickeln, sofern das Schutzniveau insgesamt nicht unterschritten wird.

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt die allgemeine Genehmigung (Art. 28 Abs. 2 DSGVO) zum Einsatz der Unterauftragsverarbeiter, die in der jeweils aktuellen Liste in der Datenschutzerklärung unter hello-email.com aufgeführt sind.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vor der Aufnahme oder Ersetzung eines Unterauftragsverarbeiters in Textform (E-Mail an die Kontoadresse). Der Verantwortliche kann der Änderung binnen dieser Frist aus wichtigem datenschutzrechtlichen Grund widersprechen. Können sich die Parteien nicht einigen, ist jede Partei berechtigt, den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes zu kündigen.

(3) Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, wie sie in diesem Vertrag festgelegt sind (Art. 28 Abs. 4 DSGVO), und bleibt für dessen Pflichterfüllung gegenüber dem Verantwortlichen verantwortlich.

§ 7 Unterstützung des Verantwortlichen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO), insbesondere durch Export-, Berichtigungs-, Lösch- und Unterdrückungsfunktionen der Software (Art. 28 Abs. 3 lit. e DSGVO). Anträge Betroffener, die direkt beim Auftragsverarbeiter eingehen, leitet er unverzüglich an den Verantwortlichen weiter.

(2) Er unterstützt den Verantwortlichen ferner bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen (Art. 28 Abs. 3 lit. f DSGVO).

§ 8 Meldung von Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die die im Auftrag verarbeiteten Daten betrifft, unverzüglich nach Bekanntwerden und stellt die Informationen bereit, die der Verantwortliche zur Erfüllung seiner Pflichten aus Art. 33 und 34 DSGVO benötigt (Art der Verletzung, betroffene Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Abhilfemaßnahmen).

§ 9 Anonymisierte Daten; Produktverbesserung

(1) Der Auftragsverarbeiter ist berechtigt, im Rahmen des Auftrags verarbeitete Daten zu anonymisieren und die anonymisierten, aggregierten Daten – aus denen weder der Verantwortliche noch betroffene Personen identifizierbar sind – zur Verbesserung, Weiterentwicklung und statistischen Auswertung seiner Software und KI-Funktionen zu verwenden. Die Anonymisierung erfolgt so, dass eine Re-Identifizierung nach dem Stand der Technik ausgeschlossen ist.

(2) Eine Verwendung personenbezogener Daten des Verantwortlichen oder seiner Endkunden zum Training von KI-Modellen findet nicht statt.

§ 10 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind (Art. 28 Abs. 3 lit. h DSGVO), vorrangig durch aktuelle Dokumentationen, Auditberichte und Zertifizierungen.

(2) Soweit diese Nachweise im Einzelfall nicht ausreichen, kann der Verantwortliche höchstens einmal jährlich, nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs eine Überprüfung durchführen oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb stehenden Prüfer durchführen lassen. Die Kosten trägt der Verantwortliche.

§ 11 Löschung und Rückgabe nach Auftragsende

(1) Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen aus den Produktivsystemen, sofern der Verantwortliche nicht zuvor die Herausgabe (Export in einem gängigen Format) verlangt und soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).

(2) Zum Schutz vor Ransomware und Datenverlust unterhält der Auftragsverarbeiter unveränderliche Sicherungskopien (Object Lock), die technisch nicht vorzeitig gelöscht werden können und spätestens 12 Monate nach ihrer Erstellung automatisch gelöscht werden. Backup-Daten werden ausschließlich zur Wiederherstellung genutzt; im Wiederherstellungsfall werden zuvor gelöschte Daten unverzüglich erneut gelöscht.

§ 12 Übermittlungen in Drittländer

Verarbeitungen in Drittländern erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage des Angemessenheitsbeschlusses zum EU-U.S. Data Privacy Framework (Art. 45 DSGVO) oder der Standardvertragsklauseln der EU-Kommission (Art. 46 Abs. 2 lit. c DSGVO). Die jeweilige Transfergrundlage ist in der Unterauftragsverarbeiter-Liste ausgewiesen.

§ 13 Schlussbestimmungen

(1) Für dieses Vertragsverhältnis gelten Rechtswahl und Gerichtsstand des Hauptvertrags.

(2) Die Parteien führen jeweils die sie treffenden Verzeichnisse von Verarbeitungstätigkeiten nach Art. 30 DSGVO.

(3) Änderungen dieses Vertrags bedürfen der Textform.

Anhang A: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Verschlüsselung: Transportverschlüsselung (TLS) für sämtliche Datenübertragungen; Verschlüsselung gespeicherter Daten (at rest) auf Infrastrukturebene.
Zugangs- und Zugriffskontrolle: Zugriff auf Produktivsysteme nur für autorisierte Personen nach dem Need-to-know-Prinzip; Zwei-Faktor-Authentifizierung; personalisierte Accounts; rollenbasierte Berechtigungen.
Mandantentrennung: Logisch getrennte Datenbanken je Kunde (dedizierte Datenbank pro Shop) in Datenbank- und Analyseschicht.
Protokollierung: Zentrales Logging und Monitoring der Systeme und Verarbeitungsvorgänge; Fehler- und Sicherheitsüberwachung.
Verfügbarkeit und Belastbarkeit: Redundante Infrastruktur in EU-Rechenzentren (Deutschland, Litauen, Frankfurt, Irland); unveränderliche Backups (Object Lock) mit automatischer Löschung nach spätestens 12 Monaten; dokumentierte Wiederherstellungsverfahren.
Auftragskontrolle: Sorgfältige Auswahl von Unterauftragsverarbeitern; Verträge nach Art. 28 Abs. 4 DSGVO; regelmäßige Überprüfung.
Organisation: Vertraulichkeitsverpflichtung aller Mitarbeiter; Prinzip der Datenminimierung; regelmäßige Überprüfung und Weiterentwicklung der Maßnahmen.