Auftragsverarbeitungsvertrag (AVV)

Dieser AVV wird geschlossen zwischen:

• der SweetWater Holding UG (haftungsbeschränkt), Bunsenstraße 1, 22765 Hamburg, Deutschland — dem Auftragsverarbeiter ("Zauberflow", "wir"); und
• der Kundin bzw. dem Kunden, die/der in der jeweiligen Bestellung bzw. im Konto benannt ist — dem/der Verantwortlichen ("Sie").

Er ist Bestandteil der Allgemeinen Geschäftsbedingungen (der "Hauptvertrag") und unterliegt diesen. Bei Widersprüchen in datenschutzrechtlichen Fragen geht dieser AVV vor.

1. Begriffsbestimmungen

Die Begriffe "personenbezogene Daten", "Verarbeitung", "Verantwortlicher", "Auftragsverarbeiter", "Unterauftragsverarbeiter", "betroffene Person" und "Aufsichtsbehörde" haben die Bedeutung, die ihnen die DSGVO (Verordnung (EU) 2016/679) zuweist. "Kundendaten" bezeichnet personenbezogene Daten, die in den Workflows sowie deren Ein- und Ausgaben enthalten sind und die Zauberflow bei Ihrer Nutzung des Dienstes in Ihrem Auftrag verarbeitet.

2. Rollen und Anwendungsbereich

Sie sind Verantwortlicher (oder Auftragsverarbeiter, der für einen dritten Verantwortlichen handelt) hinsichtlich der Kundendaten; Zauberflow ist Auftragsverarbeiter. Zauberflow verarbeitet Kundendaten ausschließlich zur Erbringung des Dienstes und ausschließlich auf Ihre dokumentierten Weisungen hin, wie in diesem AVV und im Hauptvertrag festgelegt. Ihre Nutzung des Dienstes, dessen Konfiguration und Ihre API-Anweisungen stellen dokumentierte Weisungen dar. Zauberflow informiert Sie, wenn eine Weisung nach seiner Auffassung gegen die DSGVO verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

Nicht erfasst: Personenbezogene Daten, die Zauberflow als Verantwortlicher verarbeitet (Konto-, Authentifizierungs-, Abrechnungs- und Nutzungsdaten), unterliegen der Datenschutzerklärung, nicht diesem AVV.

3. Gegenstand, Dauer, Art und Zweck der Verarbeitung

• Gegenstand und Zweck: Verarbeitung von Kundendaten zur Erbringung des Zauberflow-Dienstes zur Workflow-Automatisierung.
• Art der Verarbeitung: Hosting, Speicherung, Ausführung von Workflows, Übermittlung an die von Ihnen verbundenen Drittdienste, Protokollierung und damit zusammenhängende Vorgänge.
• Dauer: für die Laufzeit des Hauptvertrages zuzüglich des Lösch- bzw. Rückgabezeitraums nach Ziffer 10.
• Art der Daten und Kategorien betroffener Personen: wie in Anlage A festgelegt (die Festlegung obliegt Ihnen, da sie davon abhängt, was Ihre Workflows verarbeiten).

4. Pflichten des Auftragsverarbeiters (Art. 28 Abs. 3 DSGVO)

Zauberflow verpflichtet sich,

1. Kundendaten ausschließlich auf dokumentierte Weisung hin zu verarbeiten, auch hinsichtlich Übermittlungen in Drittländer, es sei denn, das Unionsrecht oder das Recht eines Mitgliedstaats verpflichtet dazu (in diesem Fall erfolgt eine Mitteilung an Sie, sofern das Recht dies nicht verbietet);
2. sicherzustellen, dass die zur Verarbeitung der Kundendaten befugten Personen zur Vertraulichkeit verpflichtet sind;
3. geeignete technische und organisatorische Maßnahmen (TOM) nach Art. 32 DSGVO zu ergreifen, wie in Anlage B beschrieben;
4. die Bedingungen für die Inanspruchnahme von Unterauftragsverarbeitern nach Ziffer 5 einzuhalten;
5. Sie unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Erfüllung Ihrer Pflichten nach Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) zu unterstützen;
6. die Kundendaten nach Ihrer Wahl nach Beendigung der Leistungserbringung zu löschen oder zurückzugeben (Ziffer 10);
7. Ihnen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen sowie Überprüfungen zu ermöglichen und dazu beizutragen (Ziffer 8).

5. Unterauftragsverarbeiter (Art. 28 Abs. 2 und 4 DSGVO)

Sie erteilen Zauberflow eine allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Die aktuellen Unterauftragsverarbeiter sind unter Liste der Unterauftragsverarbeiter aufgeführt; diese Liste wird durch Verweis Bestandteil dieses AVV und benennt für jeden Unterauftragsverarbeiter Zweck, Verarbeitungsregion und Übermittlungsgarantie.

• Zauberflow erlegt jedem Unterauftragsverarbeiter gleichwertige
  Datenschutzverpflichtungen wie in diesem AVV auf (Art. 28 Abs. 4 DSGVO) und bleibt Ihnen gegenüber für dessen Leistungserbringung vollständig verantwortlich.
• Zauberflow informiert Sie mindestens 30 Tage im Voraus über die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters (durch Aktualisierung der Liste und Mitteilung an Ihre Konto-E-Mail-Adresse). Sie können innerhalb dieser Frist aus sachlichen datenschutzrechtlichen Gründen Widerspruch einlegen; können wir dem Widerspruch nicht in zumutbarer Weise Rechnung tragen, steht Ihnen als Rechtsbehelf die Kündigung des betroffenen Teils des Dienstes zu.

6. Datenübermittlung in Drittländer (Kapitel V DSGVO)

Kundendaten werden standardmäßig in Deutschland (EU) gehostet (siehe Datenschutzerklärung). Soweit ein Unterauftragsverarbeiter Daten außerhalb der EU/des EWR verarbeitet (insbesondere der US-Abrechnungsdienstleister), ist die Übermittlung durch eine geeignete Garantie nach Kapitel V DSGVO abgesichert — vorrangig durch die EU-Standardvertragsklauseln (SCC, Durchführungsbeschluss (EU) 2021/914), ergänzt um ein Transfer Impact Assessment, und/oder durch einen geltenden Angemessenheitsbeschluss nach Art. 45 DSGVO. Die SCC werden, soweit sie verwendet werden, durch Verweis einbezogen; auf Anfrage nennt Zauberflow das jeweils einschlägige Modul und die Einzelheiten. Entfällt eine Angemessenheitsgrundlage, gelten die SCC (nebst ergänzenden Maßnahmen) fort.

7. Verletzungen des Schutzes personenbezogener Daten (Art. 33 DSGVO)

Zauberflow benachrichtigt Sie unverzüglich, nachdem Zauberflow von einer Verletzung des Schutzes personenbezogener Daten Kenntnis erlangt hat, die Kundendaten betrifft, und stellt die vernünftigerweise verfügbaren Informationen bereit, damit Sie Ihren eigenen Meldepflichten nachkommen können, in der Regel innerhalb von 48 Stunden nach Kenntniserlangung. Zauberflow benachrichtigt Aufsichtsbehörden oder betroffene Personen nicht an Ihrer Stelle, sofern Sie dies nicht anweisen oder das Gesetz es verlangt.

8. Überprüfungen und Kontrollen (Art. 28 Abs. 3 lit. h DSGVO)

Zauberflow stellt die zum Nachweis der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen bzw. Inspektionen, die von Ihnen oder einem von Ihnen beauftragten Prüfer durchgeführt werden, nach angemessener Vorankündigung, höchstens einmal pro Jahr (zuzüglich jeder von einer Aufsichtsbehörde verlangten Prüfung), während der Geschäftszeiten, unter Wahrung der Vertraulichkeit und ohne unangemessene Störung des Betriebs. Zauberflow kann Prüfungsanfragen auch durch Vorlage vorhandener Berichte, Sicherheitsdokumentation oder der TOM (Anlage B) erfüllen, soweit diese das Auskunftsbegehren angemessen abdecken.

9. Unterstützung bei Betroffenenrechten

Zauberflow stellt Funktionen bereit, die Sie bei der Erfüllung von Anträgen betroffener Personen unterstützen, insbesondere einen Datenexport (unterstützt Auskunft und Datenübertragbarkeit) sowie eine Konto-/Datenlöschfunktion (unterstützt die Löschung). Soweit Sie einen Antrag mit diesen Werkzeugen nicht erfüllen können, leistet Zauberflow unter Berücksichtigung der Art der Verarbeitung angemessene Unterstützung.

10. Rückgabe oder Löschung (Art. 28 Abs. 3 lit. g DSGVO)

Nach Beendigung oder Ablauf der Leistungserbringung löscht Zauberflow die Kundendaten nach Ihrer Wahl oder gibt sie zurück und löscht vorhandene Kopien, sofern nicht das Unionsrecht oder das Recht eines Mitgliedstaats zur Speicherung verpflichtet. Die Löschung folgt den Aufbewahrungsfristen der Datenschutzerklärung; Backups werden im Rahmen ihres regulären Rotationszyklus überschrieben. Gesetzlich vorgeschriebene Unterlagen (z. B. Abrechnungs- und Steuerunterlagen) bewahrt Zauberflow als Verantwortlicher für die erforderliche Dauer auf.

11. Haftung

Die Haftung der Parteien nach diesem AVV richtet sich nach den Beschränkungen und Ausschlüssen des Hauptvertrages, soweit das anwendbare Datenschutzrecht dies zulässt. Keine Bestimmung dieses AVV beschränkt die Haftung einer Partei, soweit eine solche Beschränkung nach der DSGVO oder nach zwingendem Recht unzulässig ist (vgl. Art. 82 DSGVO).

12. Laufzeit und anwendbares Recht

Dieser AVV gilt, solange Zauberflow Kundendaten verarbeitet. Er unterliegt dem Recht der Bundesrepublik Deutschland sowie, soweit einschlägig, der DSGVO, im Einklang mit der Rechtswahlklausel des Hauptvertrages.

---

Anlage A — Einzelheiten der Verarbeitung

• Kategorien betroffener Personen: Endnutzende, Beschäftigte, Kontakte, Kundinnen und Kunden sowie Leads des Kunden — alle Personen, deren Daten in den vom Kunden konfigurierten Workflows vorkommen.
• Kategorien personenbezogener Daten: Stammdaten (z. B. Namen, E-Mail-Adressen, Telefonnummern), Kennungen und Metadaten sowie sämtliche weiteren Inhalts- und Datenfelder, die der Kunde über Zauberflow leitet. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) darf der Kunde über den Dienst nicht verarbeiten, sofern dies nicht gesondert vereinbart und auf eine tragfähige Rechtsgrundlage gestützt ist.
• Art und Zweck der Verarbeitung: automatisierte Ausführung von Workflows, Speicherung sowie Übermittlung an die vom Kunden konfigurierten Ziele nach Weisung des Kunden.
• Dauer: die Laufzeit des Hauptvertrages zuzüglich des Löschzeitraums nach Ziffer 10.

Anlage B — Technische und organisatorische Maßnahmen (TOM, Art. 32 DSGVO)

• Hosting und Verarbeitungsort: EU-Hosting in Deutschland (netcup GmbH, Rechenzentrum Nürnberg); ruhende Daten standardmäßig in der EU.
• Verschlüsselung: TLS bei der Übertragung; Verschlüsselung ruhender Verbindungs-Zugangsdaten und Geheimnisse; Geheimnisse werden über die Datenexport-Funktion niemals im Klartext ausgegeben.
• Zugriffskontrolle: rollenbasierte Zugriffsrechte; administrative Zugriffe nach dem Least-Privilege-Prinzip; Mandantentrennung, bei der sämtliche Daten anhand von Plattform- und Projektkennungen abgegrenzt werden.
• Authentifizierung: Passwort-Hashing; optionale föderierte Anmeldung (SSO über Google/Microsoft).
• Protokollierung und Überwachung: strukturierte Betriebs- und Sicherheitsprotokolle; Fehler- und Performance-Monitoring.
• Datensicherung und Belastbarkeit: tägliche verschlüsselte Datenbanksicherung (03:15 Uhr), Aufbewahrung der Sicherungen für 14 Tage, anschließend automatische Löschung; Wiederherstellung über ein dokumentiertes Restore-Skript, dessen Funktionsfähigkeit regelmäßig überprüft wird.
• Organisatorische Maßnahmen: Vertraulichkeitsverpflichtung der Mitarbeitenden; Auswahl und Prüfung von Unterauftragsverarbeitern nebst gleichwertiger vertraglicher Verpflichtung; Prozess zur Reaktion auf Datenschutzverletzungen.
• Werkzeuge für Betroffenenrechte: Self-Service-Export (Datenübertragbarkeit/Auskunft) und Löschfunktion (Löschung).