Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag regelt die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem und der NEOCLARITY GROUP LTD, Archiepiskopou Makariou III 59, Mouyias Tower, 3rd floor, Office 301, 6017 Larnaka, Republik Zypern, Reg.-Nr. HE 496886 (nachfolgend „Anbieter“), als Auftragsverarbeiter.

Er ist Bestandteil des Vertrags über die Nutzung von Neo CLARITY (Dienstleistungsvertrag, Abonnement oder Allgemeine Geschäftsbedingungen, nachfolgend „Hauptvertrag“) und wird mit dessen Abschluss wirksam, ohne dass es einer gesonderten Unterschrift bedarf. Der Abschluss in elektronischer Form genügt (Art. 28 Abs. 9 DSGVO).

Der Anbieter stellt dem Kunden die Software Neo CLARITY bereit, mit der der Kunde Daten aus Werbung, Funnel, Terminbuchung, CRM und Verkaufsgesprächen zusammenführt, auswertet und von KI-Funktionen analysieren lässt. Dabei verarbeitet der Anbieter personenbezogene Daten, für die der Kunde verantwortlich ist.

Der Vertrag läuft so lange wie der Hauptvertrag. Pflichten nach § 11 (Löschung und Rückgabe) und die Vertraulichkeit gelten darüber hinaus fort.

Art und Zweck: Speichern, Importieren aus den vom Kunden verbundenen Quellen, Zusammenführen, Auswerten und Darstellen von Vertriebs-, Marketing- und Teamdaten; Umwandlung von Gesprächsaufnahmen in Text; Bewertung von Leads und Gesprächen durch KI; Versand von Berichten und Benachrichtigungen; auf Weisung des Kunden Übermittlung an die von ihm verbundenen Dienste (siehe § 6 Abs. 5).

Kategorien betroffener Personen:

• Interessenten und Leads des Kunden,
• Kunden und Käufer des Kunden,
• Mitarbeiter, freie Mitarbeiter und Vertriebspartner des Kunden (z. B. Setter, Closer, Teammitglieder mit Zugang),
• weitere Teilnehmer aufgezeichneter Gespräche,
• Besucher der Websites und Funnels des Kunden.

Kategorien personenbezogener Daten:

• Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer,
• Angaben aus Formularen und Fragebögen sowie aus Terminbuchungen,
• Herkunfts- und Kampagnendaten: Kampagnen-Parameter, Klick-IDs, Browser-Kennung, gekürzte und pseudonymisierte Besuchsdaten,
• Vertriebsdaten: Termine, Gesprächsergebnisse, Abschlüsse, Beträge, Raten, Zahlungsstatus,
• Gesprächsaufnahmen, Transkripte und daraus erstellte Zusammenfassungen,
• KI-Auswertungen: Einschätzung der Lead-Qualität, Bewertung von Verkaufsgesprächen,
• Leistungsdaten von Teammitgliedern: zugeordnete Termine und Abschlüsse, Provisionen, Gesprächsbewertungen,
• Nutzungs- und Protokolldaten der Teammitglieder.

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Gestaltet der Kunde Fragebögen oder Gespräche so, dass solche Daten anfallen (etwa Angaben zur Gesundheit), stellt er die dafür nötige Rechtsgrundlage sicher und teilt dies dem Anbieter vorab mit.

Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

Die Weisungen ergeben sich aus dem Hauptvertrag, diesem Vertrag und den Einstellungen, die der Kunde in Neo CLARITY vornimmt (etwa das Verbinden oder Trennen einer Quelle, das Einschalten einer Funktion, das Löschen von Daten). Weitere Weisungen erteilt der Kunde in Textform an support@neoclarity.io.

Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin und darf ihre Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

Der Anbieter setzt für die Verarbeitung nur Personen ein, die auf Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Sie verarbeiten die Daten nur auf Weisung, soweit dies zur Erbringung der Leistung, für Support auf Anfrage des Kunden oder zur Behebung von Störungen nötig ist.

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den technischen Fortschritt anpassen, solange das Schutzniveau nicht sinkt. Wesentliche Änderungen dokumentiert er und teilt sie dem Kunden auf Anfrage mit.

(1) Der Kunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten sind in Anlage 2 unter Unterauftragsverarbeiter aufgeführt und gelten als genehmigt.

(2) Über jede beabsichtigte Hinzuziehung oder Ersetzung informiert der Anbieter den Kunden mindestens 30 Tage im Voraus per E-Mail an die Adresse des Workspace-Inhabers. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels außerordentlich kündigen; bereits gezahlte Entgelte für die Zeit danach erstattet der Anbieter anteilig.

(3) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags gleichwertig sind, und wählt ihn unter Berücksichtigung seiner Sicherheitsmaßnahmen aus.

(4) Kommt ein Unterauftragsverarbeiter seinen Pflichten nicht nach, haftet der Anbieter gegenüber dem Kunden für dessen Verhalten wie für eigenes.

(5) Keine Unterauftragsverarbeitung ist die Übermittlung an Dienste, die der Kunde selbst mit seinem eigenen Konto verbindet (etwa Close, Typeform, Calendly, Meta, Google, Telegram, Fathom) oder die er über den MCP-Zugang an ein eigenes KI-Programm anbindet. Diese Übermittlungen erfolgen auf Weisung des Kunden; für sein Vertragsverhältnis mit diesen Anbietern ist der Kunde selbst verantwortlich. Eine Übersicht steht ebenfalls in Anlage 2.

Die Daten des Kunden werden in der EU gespeichert (Frankfurt am Main). Einzelne Unterauftragsverarbeiter verarbeiten Daten in den USA oder können von dort darauf zugreifen. Der Anbieter stellt sicher, dass dafür die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch die EU-Standardvertragsklauseln und, soweit der Anbieter zertifiziert ist, das EU-US Data Privacy Framework. Die jeweilige Grundlage nennt Anlage 2.

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen dabei, Anfragen betroffener Personen nach Art. 12 bis 22 DSGVO zu beantworten. Viele Anfragen kann der Kunde selbst in Neo CLARITY erledigen (Leads einsehen, berichtigen, exportieren, löschen). Wendet sich eine betroffene Person direkt an den Anbieter, leitet dieser die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, solange der Kunde nichts anderes anweist.

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, an die E-Mail-Adresse des Workspace-Inhabers. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben reicht er nach, sobald sie vorliegen. Er ergreift unverzüglich die Maßnahmen, die zur Eindämmung und Behebung nötig sind, und unterstützt den Kunden bei dessen Melde- und Benachrichtigungspflichten.

Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm vorliegenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde. Unterstützung, die über das Bereitstellen vorhandener Unterlagen hinausgeht und nicht auf einem Verstoß des Anbieters beruht, kann er nach Aufwand vergüten lassen.

Nach Ende des Hauptvertrags kann der Kunde seine Daten noch 30 Tage lang exportieren oder ihre Herausgabe in einem gängigen Format (z. B. CSV) per E-Mail an support@neoclarity.io verlangen. Danach löscht der Anbieter alle personenbezogenen Daten des Kunden innerhalb weiterer 30 Tage, sofern nicht eine gesetzliche Pflicht zur Aufbewahrung besteht. Daten in Sicherungskopien werden im regulären Rotationszyklus überschrieben.

Der Kunde kann einzelne Daten, Verbindungen oder den gesamten Workspace auch während der Laufzeit jederzeit selbst löschen. Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

Der Anbieter stellt dem Kunden die Informationen zur Verfügung, die zum Nachweis der Einhaltung von Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer. Vor Ort sind sie nach Anmeldung mit einer Frist von vier Wochen, während der üblichen Geschäftszeiten und ohne Störung des Betriebs möglich, höchstens einmal im Kalenderjahr, außer bei konkretem Anlass. Vorrangig genügt ein Nachweis durch Unterlagen, Selbstauskünfte und Zertifikate der Unterauftragsverarbeiter. Seinen eigenen Aufwand für eine Prüfung trägt jede Partei selbst.

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, die er in Auftrag gibt. Insbesondere stellt er sicher, dass

• für jede Verarbeitung eine Rechtsgrundlage besteht und er die betroffenen Personen nach Art. 13 und 14 DSGVO informiert, einschließlich des Einsatzes von KI-Auswertungen,
• vor jeder Aufzeichnung eines Gesprächs alle Teilnehmer informiert sind und eingewilligt haben. Das unbefugte Aufzeichnen des nichtöffentlich gesprochenen Wortes ist strafbar (§ 201 StGB); der Anbieter verarbeitet Aufnahmen nur unter der Voraussetzung, dass diese Einwilligung vorliegt,
• er für die Rückmeldung von Lead-Stufen an Werbeplattformen (Conversions API) die nötigen Einwilligungen und Informationen eingeholt hat,
• er bei der Auswertung der Leistung seiner Teammitglieder die Vorgaben des Beschäftigtendatenschutzes beachtet und, falls ein Betriebsrat besteht, dessen Mitbestimmungsrechte (z. B. § 87 Abs. 1 Nr. 6 BetrVG) wahrt,
• die von ihm verbundenen Konten und Gruppen (etwa Telegram-Gruppen für Berichte) nur Personen zugänglich sind, die die Inhalte sehen dürfen.

Stellt der Kunde Fehler oder Unregelmäßigkeiten bei der Verarbeitung fest, informiert er den Anbieter unverzüglich.

Der Anbieter und seine Unterauftragsverarbeiter nutzen die Daten des Kunden nicht zum Training allgemeiner KI-Modelle. Lead-Bewertungen und Gesprächsauswertungen sind Empfehlungen an den Kunden; Neo CLARITY trifft keine Entscheidungen mit rechtlicher Wirkung gegenüber betroffenen Personen im Sinne von Art. 22 DSGVO. Ob und wie der Kunde solche Empfehlungen verwendet, entscheidet er selbst.

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrags. Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag in Fragen des Datenschutzes vor.

Änderungen bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Es gilt das Recht, das für den Hauptvertrag vereinbart ist. Die deutsche Fassung ist maßgeblich.

Vertraulichkeit — Zutritt und Zugang. Neo CLARITY betreibt keine eigenen Server. Datenbank und Anwendung laufen in Rechenzentren der Unterauftragsverarbeiter in der EU (Frankfurt am Main), die nach anerkannten Standards (u. a. ISO 27001, SOC 2) zertifiziert sind und dort den physischen Zutritt kontrollieren. Nutzer melden sich mit E-Mail und Passwort (als kryptografischer Hash gespeichert) oder über Google an; Sitzungen laufen über signierte, kurzlebige Tokens mit automatischer Erneuerung. Zugänge zur Infrastruktur haben nur wenige, namentlich bestimmte Personen.

Vertraulichkeit — Zugriff. Jeder Datensatz gehört genau einem Workspace. Die Datenbank erzwingt diese Trennung selbst (Row-Level-Security, für jede Tabelle erzwungen, Standard: kein Zugriff). Innerhalb eines Workspace steuert ein Rollen- und Rechtekonzept (Inhaber, Admin, Operator, Betrachter sowie eigene Rollen), wer was sieht; Geldwerte lassen sich gesondert ausblenden. Zugriffe des Anbieter-Supports auf einen Workspace sind zeitlich begrenzt und werden protokolliert.

Vertraulichkeit — Trennung. Produktion, Entwicklung und Tests nutzen getrennte Datenbanken. Entwicklungsumgebungen erhalten keine Kundendaten; ausgenommen sind ausschließlich Testdaten aus eigenen Workspaces des Anbieters.

Pseudonymisierung und Verschlüsselung. Alle Verbindungen sind per TLS verschlüsselt (HSTS). Zugangsdaten zu verbundenen Diensten werden zusätzlich mit AES-256-GCM verschlüsselt gespeichert. Daten an Werbeplattformen gehen nur gehasht (SHA-256). Besuche auf den Funnel-Seiten des Kunden zählt der Tracker standardmäßig ohne Cookies: Die IP-Adresse wird gekürzt, mit einem täglich wechselnden Schlüssel unkenntlich gemacht und nicht gespeichert; die Zwischenwerte werden nach 48 Stunden gelöscht.

Integrität — Weitergabe und Eingabe. Schnittstellen von außen (Webhooks, zeitgesteuerte Abläufe) prüfen Signaturen bzw. geheime Schlüssel. Verwaltungsaktionen des Anbieters werden in einem nicht veränderbaren Protokoll festgehalten. Änderungen an Daten im Workspace sind über Zeitstempel und Herkunftskennzeichen nachvollziehbar.

Verfügbarkeit und Belastbarkeit. Die Datenbank wird täglich gesichert. Fehler und Ausfälle werden automatisch erfasst (Fehler-Monitoring, Überwachung der zeitgesteuerten Abläufe). Neue Versionen gehen nur nach automatischen Prüfungen (Typprüfung, Tests, Datenbank-Regeln) live und lassen sich kurzfristig zurückrollen.

Datenminimierung. Gesprächsaufnahmen werden beim Transkriptions-Dienst nicht gespeichert oder unmittelbar nach der Umwandlung gelöscht. Fehlermeldungen enthalten standardmäßig keine Nutzerkennungen; serverseitig werden sie vor dem Versand zusätzlich von personenbezogenen Inhalten bereinigt. KI-Anbieter erhalten nur die Inhalte, die die jeweilige Aufgabe benötigt.

Überprüfung und Organisation. Änderungen am System durchlaufen eine Prüfung vor der Freigabe; die Wirksamkeit der Maßnahmen wird regelmäßig überprüft. Unterauftragsverarbeiter werden vertraglich nach Art. 28 DSGVO verpflichtet. Anfragen und Vorfälle laufen über support@neoclarity.io.

Die aktuelle Liste der Unterauftragsverarbeiter und der Dienste, die der Kunde selbst verbindet, steht unter Unterauftragsverarbeiter. Sie ist Bestandteil dieses Vertrags.