Auftragsverarbeitungsvertrag (AVV)

Diese Vereinbarung wird geschlossen zwischen dem Kunden der Alery-Plattform als Verantwortlichem und Alper Ersoy – Alery, Brassertstraße 31, 41836 Hückelhoven als Auftragsverarbeiter („Anbieter"). Sie wird mit Abschluss des Nutzungsvertrags (Registrierung bzw. Tarifbuchung) Vertragsbestandteil (Art. 28 Abs. 9 DSGVO — elektronisches Format). Sie gilt für alle personenbezogenen Daten, die der Anbieter im Rahmen des Nutzungsvertrags im Auftrag des Kunden verarbeitet.

Der Anbieter verarbeitet personenbezogene Daten, die über die vom Kunden erstellten Funnels erhoben werden, ausschließlich im Auftrag des Kunden und zur Erbringung der Plattformleistungen:

• Entgegennahme, Speicherung und Anzeige der Eingaben (Inbox/CRM), Export und Löschung;
• pseudonymisierte Nutzungsstatistik je Funnel (Aufrufe, Schritte, Abschlüsse) und — nur wenn der Kunde „Teil-Eingaben erfassen" einschaltet — die Erfassung von Eingaben noch nicht abgeschlossener Funnels;
• Weiterleitung an vom Kunden konfigurierte Empfänger (z. B. E-Mail-Benachrichtigung, Webhooks, CRM-Integrationen);
• Versand von E-Mails im Namen des Kunden an Personen, die über seine Funnels Daten übermitteln (Eingangsbestätigung, Nachfass-Mails), einschließlich Verwaltung von Versandstatus und Abmeldungen (§ 7);
• Adress-Vervollständigung, sofern der Funnel ein Adressfeld mit Vervollständigung enthält.

Der Anbieter verarbeitet diese Daten nicht für eigene Zwecke. Insbesondere betreibt er auf den veröffentlichten Funnels keine Reichweitenmessung für sich selbst; die Reichweitenmessung des Anbieters (Vercel Web Analytics) ist auf dessen eigene Website und Anwendung beschränkt und auf Funnel-Seiten technisch gesperrt. Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags zuzüglich der Löschfrist nach § 9.

Datenarten: Kontaktdaten (z. B. Name, E-Mail, Telefon, Anschrift), Formularantworten und Einwilligungsangaben der Funnel-Besucher, optional hochgeladene Dateien; für den E-Mail-Versand Empfängeradresse, Versandzeitpunkte, Zustell- und Abmeldestatus; technische Daten der Übermittlung (z. B. Zeitpunkt, Gerätetyp, Kampagnenparameter der aufgerufenen Adresse); pseudonymisierte Nutzungsdaten (eine zufällige Sitzungskennung je Funnel-Aufruf, die im Browser des Besuchers nur nach dessen Einwilligung im Einwilligungsbanner dieses Funnels gespeichert wird, sowie die angesehenen Schritte); IP-Adressen werden zur Auslieferung und zur Missbrauchsabwehr verarbeitet; für die Ratenbegrenzung liegen sie nur kurzzeitig im Arbeitsspeicher des Servers und in einem externen Speicher (falls aktiviert) nur als gesalzener Hashwert.
Betroffene: Besucher und Interessenten der Funnels des Kunden (z. B. Anfragende, Bewerber) sowie Empfänger der im Auftrag versandten E-Mails.

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden (Art. 28 Abs. 3 lit. a DSGVO) — auch hinsichtlich der Übermittlung in ein Drittland —, es sei denn, er ist durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Kunden die rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet. Weisungen erfolgen in der Regel über die Funktionen der Plattform (z. B. Konfiguration von Integrationen und E-Mails, Löschen von Leads/Funnels) sowie in Textform. Mit der Genehmigung der Unterauftragsverarbeiter nach § 6 weist der Kunde die dort beschriebenen Übermittlungen an. Hält der Anbieter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO).

Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet oder unterliegen einer angemessenen gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO). Der Anbieter trifft angemessene TOM nach Art. 32 DSGVO. Die folgende Beschreibung ist die Anlage „TOM" zu diesem Vertrag; sie wird an den Stand der Technik angepasst, ohne das Schutzniveau zu senken:

• Vertraulichkeit (Zutritts-/Zugangs-/Zugriffskontrolle): Rechenzentren der Unterauftragsverarbeiter mit physischer Zutrittssicherung; passwortgeschützte Konten, rollenbasierte Berechtigungen und Row-Level-Security (RLS) auf Datenbankebene; Beschränkung des Zugriffs auf Produktionssysteme auf einen minimalen Personenkreis.
• Integrität (Weitergabe-/Eingabekontrolle): Transportverschlüsselung (TLS) für sämtliche Verbindungen; Protokollierung sicherheitsrelevanter Aktionen im Audit-Log (Veröffentlichen und endgültiges Löschen von Funnels, eigene Domains, API-Schlüssel, Abo- und Zahlungsereignisse); Änderungen und Löschungen einzelner Leads werden nicht protokolliert.
• Verfügbarkeit & Belastbarkeit: Verschlüsselung der Datenbank „at rest" durch den Datenbankanbieter; Datensicherungen im Umfang des beim Datenbankanbieter gebuchten Tarifs (Art und Aufbewahrungsdauer teilt der Anbieter auf Anfrage mit); regelmäßige Sicherheitsupdates; Ratenbegrenzung gegen Überlastung und Missbrauch.
• Trennung & Zweckbindung: mandantengetrennte Datenhaltung je Workspace; getrennte Ausführungsumgebung für veröffentlichte Funnels (eigener Funnel-Host) gegenüber der Verwaltungsanwendung; keine Reichweitenmessung des Anbieters auf Funnel-Seiten.
• Datensparsamkeit: Sitzungskennungen im Browser der Besucher nur nach Einwilligung in den jeweiligen Funnel (die Entscheidung gilt je Funnel, nicht für alle Funnels unter derselben Adresse, und ist über „Einwilligung ändern“ widerrufbar); IP-Adressen für die Ratenbegrenzung nur kurzzeitig im Arbeitsspeicher des Servers und — falls ein externer Speicher (Upstash) genutzt wird — dort nur als gesalzener Hashwert mit Ablaufzeit, nicht in der Datenbank; Schlüssel externer Dienste werden nicht an Besucher ausgeliefert.
• Verfahren zur regelmäßigen Überprüfung: Sicherheits-Reviews bei Änderungen, automatisierte Prüfungen im Entwicklungsprozess, Berücksichtigung des aktuellen Stands der Technik.

Der Kunde genehmigt den Einsatz der folgenden Unterauftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Der Anbieter ist verpflichtet, ihnen durch Vertrag dieselben Datenschutzpflichten aufzuerlegen, die in dieser Vereinbarung festgelegt sind (Art. 28 Abs. 4 DSGVO); dafür nutzt er in der Regel deren Standard-Auftragsverarbeitungsbedingungen (Data Processing Addendum). Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter dem Kunden für dessen Einhaltung.

Eingesetzt:

• Vercel Inc. (USA) — Hosting und Auslieferung der Anwendung und der Funnels; Serverfunktionen in der Region Frankfurt am Main, Auslieferung über das weltweite Netz von Vercel.
• Supabase Inc. (USA) — Datenbank, Authentifizierung und Datenspeicherung; die Datenbank wird in einer EU-Region betrieben, Zugriffe von Supabase aus den USA (z. B. für Betrieb und Support) sind möglich.
• Resend Inc. (USA) — Versand der E-Mails (Lead-Benachrichtigung, Eingangsbestätigung, Nachfass-Mails).
• Komoot GmbH („Photon", photon.komoot.io, Deutschland) — Adress-Vervollständigung im Adressfeld eines Funnels. Übermittelt wird ausschließlich der vom Besucher getippte Suchtext; die Anfrage läuft über den Server des Anbieters, die IP-Adresse des Besuchers wird nicht übermittelt.

Nur bei Aktivierung durch den Anbieter (der Anbieter informiert vor der Aktivierung nach dem Verfahren unten):

• Upstash Inc. (USA) — verteilte Ratenbegrenzung; verarbeitet nur gesalzene Hashwerte von Kennungen (z. B. IP-Adresse), keine Klartextdaten.
• Functional Software Inc. („Sentry", USA) — Fehlerüberwachung; Fehlermeldungen können im Einzelfall Ausschnitte der gerade verarbeiteten Daten enthalten.

Drittlandübermittlung: Bei Unterauftragsverarbeitern mit Sitz in den USA ist eine Übermittlung in die USA möglich. Vorgesehene Grundlage ist der Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework, soweit der jeweilige Unterauftragsverarbeiter danach zertifiziert ist, andernfalls EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) aus dessen Auftragsverarbeitungsbedingungen. Den Stand der Vertragsabschlüsse und die jeweilige Übermittlungsgrundlage weist der Anbieter dem Kunden auf Anfrage nach.

Keine Unterauftragsverarbeiter im Sinne dieser Vereinbarung sind: Stripe (Zahlungsabwicklung) — verarbeitet nur die Vertrags- und Zahlungsdaten des Kunden selbst, keine Daten seiner Funnel-Besucher; Google (Gemini-API) — nur, wenn KI-Funktionen freigeschaltet sind, und nur für Texte, die Nutzer des Kunden im Editor oder Assistenten eingeben (dort dürfen keine personenbezogenen Daten Dritter eingegeben werden); sowie technische Bezugsquellen, die ausschließlich der Anbieter selbst abruft: Schriftarten liefert der Anbieter über einen eigenen Proxy aus, QR-Codes erzeugt er selbst — vom Endgerät des Besuchers wird dafür keine Verbindung zu Dritten aufgebaut.

Nicht in dieser Liste stehen Empfänger, die der Kunde selbst einrichtet — etwa CRM- und Newsletter-Dienste (Brevo, HubSpot, ActiveCampaign), Messaging- und Automatisierungsdienste (Slack, Telegram, Discord, Zapier/Make), eigene Webhook-Ziele, Tracking-Pixel sowie eingebettete Inhalte (Videos, Karten, Kalender). Der Anbieter übermittelt Daten an diese Dienste ausschließlich auf Weisung des Kunden und im Rahmen der von ihm hinterlegten Zugangsdaten; verantwortlich für die Rechtsgrundlage und für einen etwaigen eigenen Auftragsverarbeitungsvertrag mit diesen Diensten ist der Kunde.

Änderungen: Über beabsichtigte Änderungen dieser Liste (Hinzuziehung, Austausch oder Aktivierung) informiert der Anbieter den Kunden rechtzeitig, in der Regel mindestens zwei Wochen im Voraus, in Textform. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann eine einvernehmliche Lösung nicht gefunden werden, steht dem Kunden ein Sonderkündigungsrecht zum Zeitpunkt der Umstellung zu.

E-Mails an Betroffene (Eingangsbestätigung, Nachfass-Mails) versendet der Anbieter nur, wenn und wie der Kunde sie in der Plattform eingerichtet hat. Sie werden im Namen des Kunden versandt und tragen beim Versand über Alery als Absendernamen den vom Kunden hinterlegten Namen mit dem Zusatz „über Alery"; Antworten gehen an die vom Kunden hinterlegte Adresse. Verbindet der Kunde ein eigenes Brevo-Konto, wird die Eingangsbestätigung über dieses Konto versendet; Nachfass-Mails und Bestätigungscodes versendet stets Alery. Für die Rechtsgrundlage jedes Versands — insbesondere eine für werbliche Nachfass-Mails erforderliche Einwilligung der Empfänger (Art. 6 Abs. 1 lit. a DSGVO, § 7 UWG) und deren Nachweis — ist der Kunde verantwortlich. Der Anbieter fügt jeder Nachfass-Mail einen Abmeldelink bei und vermerkt eine Abmeldung am Datensatz der Anfrage. Eine Abmeldung beendet die Nachfass-Mails zu der Anfrage, aus der die E-Mail stammt. Eine Sperre der Adresse für künftige Anfragen oder andere Funnels führt die Plattform nicht; stellt dieselbe Person eine neue Anfrage, beginnt eine neue Nachfass-Serie.

Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO; Art. 28 Abs. 3 lit. e DSGVO) — insbesondere über die Export- und Löschfunktionen der Plattform — und leitet Anfragen, die unmittelbar bei ihm eingehen, unverzüglich an den Kunden weiter. Er unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation; Art. 28 Abs. 3 lit. f DSGVO).

Verletzungen des Schutzes personenbezogener Daten meldet der Anbieter dem Kunden unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO), mit den nach Art. 33 Abs. 3 DSGVO verfügbaren Informationen; Informationen, die noch nicht vorliegen, reicht er unverzüglich nach.

Der Anbieter stellt dem Kunden alle erforderlichen Informationen zum Nachweis der Einhaltung dieser Vereinbarung zur Verfügung — insbesondere diese TOM-Beschreibung, den Stand der Verträge mit Unterauftragsverarbeitern und deren Zertifikate, soweit vorhanden — und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer (Art. 28 Abs. 3 lit. h DSGVO). Vor-Ort-Kontrollen erfolgen nach angemessener Ankündigung zu üblichen Geschäftszeiten und ohne unverhältnismäßige Störung des Betriebsablaufs.

Während der Laufzeit kann der Kunde Leads und Funnels jederzeit selbst exportieren (CSV/JSON) und löschen. Einzeln gelöschte Leads werden sofort endgültig entfernt; zugleich verlieren die Teil-Eingaben, die im selben Funnel unter derselben E-Mail-Adresse erfasst wurden, E-Mail-Adresse und Antworten — übrig bleibt nur, an welchem Schritt abgebrochen wurde. Teil-Eingaben von Besuchern, die keine Anfrage abgeschickt haben, lassen sich in der Plattform nicht einzeln löschen; der Anbieter entfernt sie auf Weisung des Kunden von Hand. Gelöschte Funnels liegen 30 Tage im Papierkorb und werden danach automatisch endgültig gelöscht, einschließlich zugehöriger Leads, Nutzungsdaten und E-Mail-Warteschlangen.

Nach Ende des Nutzungsvertrags (AGB § 10) löscht der Anbieter die im Auftrag verarbeiteten Daten in der Datenbank der Plattform innerhalb von 30 Tagen (Art. 28 Abs. 3 lit. g DSGVO); bis zum Vertragsende kann der Kunde sie über die Exportfunktionen zurückerhalten. Die Löschung erfolgt derzeit als manueller Vorgang des Anbieters und wird auf Anfrage in Textform bestätigt. Die Löschung erfasst die Datenbank der Plattform. Kopien in Protokollen von Dienstleistern — E-Mail-Versandprotokolle, Server- und Hosting-Protokolle sowie, falls aktiviert, Fehlerberichte — werden dabei nicht einzeln gelöscht, sondern mit Ablauf der dort geltenden Aufbewahrungsfristen entfernt; auf Anfrage nennt der Anbieter die aktuellen Fristen. Soweit Datensicherungen des Datenbankanbieters bestehen, werden gelöschte Daten dort erst mit deren turnusmäßigem Ablauf entfernt. Eine Pflicht zur weiteren Speicherung nach Unionsrecht oder deutschem Recht bleibt unberührt.

Für die Zulässigkeit der Verarbeitung und die Wahrung der Betroffenenrechte ist der Kunde als Verantwortlicher verantwortlich. Im Verhältnis der Parteien untereinander trägt jede Partei die Verantwortung für Schäden, die aus einem von ihr zu vertretenden Verstoß gegen die DSGVO oder diese Vereinbarung entstehen. Verarbeitet der Anbieter Daten unter Verstoß gegen weisungsgemäße Vorgaben oder außerhalb seiner Pflichten aus dieser Vereinbarung, haftet er im Innenverhältnis anteilig nach seinem Verursachungsbeitrag (Art. 82 DSGVO). Der Kunde stellt den Anbieter von Ansprüchen frei, die darauf beruhen, dass die vom Kunden veranlasste Verarbeitung — einschließlich des E-Mail-Versands — ohne ausreichende Rechtsgrundlage erfolgte oder seine Weisungen gegen geltendes Recht verstießen. Haftungsbegrenzungen aus den AGB gelten ergänzend, soweit gesetzlich zulässig.