Auftragsverarbeitungsvertrag

1. Vertragsparteien

2. Gegenstand und Dauer

Der Auftragsverarbeiter erbringt für den Verantwortlichen Dienstleistungen im Bereich SaaS-Software (Software-as-a-Service) zur Verwaltung von Netzwerk-Marketing-Aktivitäten. Die Verarbeitung personenbezogener Daten erfolgt dabei im Auftrag des Verantwortlichen.

Die Laufzeit dieses AVV entspricht der Laufzeit des Nutzungsverhältnisses. Er endet automatisch mit der Löschung des Nutzerkontos. Das gilt auch für die automatische Löschung nicht genutzter Konten ohne kostenpflichtigen Plan nach Ziffer 10 Absatz 2.

3. Art und Zweck der Verarbeitung

Folgende Verarbeitungstätigkeiten werden im Auftrag durchgeführt:

• Speicherung und Verwaltung von Kontakt- und Partnerdaten
• Durchführung von Onboarding-Journeys via Telegram
• Versand von Erinnerungen und Benachrichtigungen (Telegram, E-Mail)
• KI-gestützte Analyse von Gesprächsverläufen (auf explizite Nutzeranfrage)
• Speicherung von Notizen, Gesprächshistorien und Einschätzungen
• Erfassung von Events, Terminen und Follow-up-Aufgaben
• Entgegennahme und Speicherung von Kontaktanfragen, die Dritte über eine der öffentlichen Profilseiten, die Funnel-Seite oder die Landingpage des Verantwortlichen hinterlassen (Lead-Capture- bzw. Kontaktformular). Der Verantwortliche kann je nach gebuchtem Plan mehrere öffentliche Profilseiten unter eigenen Adressen betreiben; die Verarbeitung erfolgt für alle diese Seiten in derselben Weise und für denselben Verantwortlichen
• Anzeige der vom Verantwortlichen selbst formulierten Fragen im Umfrage-Modus seiner Funnel-Seite sowie Entgegennahme, Speicherung und Anzeige der von den Formular-Absendern hierauf gegebenen Antworten (als Momentaufnahme aus Fragetext und Antwort bei der jeweiligen Kontaktanfrage). Inhalt und Formulierung der Fragen bestimmt ausschließlich der Verantwortliche; der Auftragsverarbeiter prüft sie nicht inhaltlich vor (siehe Ziffer 13)
• Speicherung und Anzeige der vom Verantwortlichen selbst eingestellten Inhalte seiner öffentlichen Seiten – Profilseiten, Funnel-Seite und Landingpage (u.a. Angebots-/Leistungsbeschreibungen, Zahlen-/Statistikangaben, Bilder sowie Kundenstimmen/Testimonials samt Name, Rolle und optionalem Foto der genannten Person)
• Aggregierte, cookielose Reichweitenmessung der öffentlichen Seiten des Verantwortlichen (Aufrufe je Kalendertag und Quelle sowie – bei Profil- und Funnel-Seiten – die Zahl der eindeutigen Besucher). Für die Unterscheidung eindeutiger Besucher wird serverseitig eine kurzlebige, pseudonyme Prüfsumme aus IP-Adresse, Browser-Kennung und einem täglich wechselnden, nicht gespeicherten Zusatzwert gebildet; IP-Adresse und Browser-Kennung werden nicht gespeichert, die Prüfsumme wird spätestens nach 3 Tagen gelöscht. Dem Verantwortlichen werden ausschließlich Summenwerte angezeigt. Betreibt der Verantwortliche mehrere Fassungen einer Funnel-Seite (A/B-Test), erfolgt die Auswahl der angezeigten Fassung je Seitenaufruf zufällig, ohne Cookie und ohne Besucherkennung; die vorgenannten Summenwerte werden je Fassung geführt
• Nur bei gesondert freigeschaltetem Zusatzmodul „NetBaseChat“ und nur nach eigener Verbindung eines Kanals durch den Verantwortlichen: Empfang, Speicherung, Anzeige und Beantwortung von Nachrichten, die Dritte an den eigenen Telegram-Bot, das eigene Instagram-Business-Konto bzw. die eigene, über eine eigene Domain angebundene E-Mail-Adresse des Verantwortlichen senden, einschließlich mitgesendeter Anhänge; Führen eines nur anfügbaren Einwilligungsprotokolls (§ 7a UWG) sowie Umsetzung von Rücknahmen und Bearbeitungen des Gegenübers, soweit die Plattform sie meldet (siehe Ziffer 14)
• Nur im Zusatzmodul „NetBaseChat“: Übernahme eines Kommunikationspartners in die Kontaktverwaltung des Verantwortlichen als Interessent (Lead) – auf dessen Klick hin oder automatisiert als Schritt eines von ihm selbst zusammengestellten Ablaufs. Übernommen werden ausschließlich Anzeige-/Benutzername, der Kanal als Herkunftsangabe und die kanalbezogene Kontaktangabe (Instagram-Benutzername, E-Mail-Adresse bzw. Telegram-Benutzername als Vermerk); Nachrichteninhalte werden nicht übernommen. Der Auftragsverarbeiter versendet an eine so übernommene E-Mail-Adresse von sich aus keine Nachrichten (siehe Ziffer 14)
• Nur im Zusatzmodul „NetBaseChat“ und nur bei Telegram: Anzeige von Schaltflächen unter einer automatischen Nachricht sowie Entgegennahme und Speicherung ihrer Betätigung durch den Kommunikationspartner als eingehende Nachricht mit dem vom Verantwortlichen hinterlegten Stichwort
• Speicherung, Anzeige und Verwaltung einer Namensliste („Kontakt-Spiel“): Der Auftragsverarbeiter stellt einen Katalog allgemeiner Erinnerungsfragen bereit und speichert die Namen, die der Verantwortliche daraufhin aus seinem Gedächtnis einträgt, nebst der Kategorie der jeweiligen Frage; auf Klick des Verantwortlichen wird ein solcher Name in einen Interessenten-Eintrag (Lead) überführt. Welche Namen erfasst werden, bestimmt allein der Verantwortliche; der Auftragsverarbeiter prüft sie nicht und verwendet sie zu keinem anderen Zweck (siehe Ziffer 15)
• Auf ausdrückliche Anforderung des Verantwortlichen: KI-gestützte Textvorschläge zu den von ihm selbst verfassten Inhalten seiner öffentlichen Seiten (u.a. Umformulieren, Kürzen, Rechtschreibkorrektur, Übersetzen sowie Vorschläge für Fragen des Umfrage-Modus). Übermittelt wird dabei nur der vom Verantwortlichen eingegebene Text bzw. eine kurze Beschreibung seines Angebots (Unterauftragnehmer siehe Ziffer 8); Antworten von Formular-Absendern werden hierfür nicht übermittelt

Die Verarbeitung erfolgt ausschließlich zur Erbringung der vereinbarten Plattformleistungen. Eine Nutzung für eigene Zwecke des Auftragsverarbeiters – insbesondere für eigene Network-Marketing-Tätigkeiten – findet nicht statt.

4. Art der personenbezogenen Daten

• Name, Vorname
• Kontaktdaten (Telefon, E-Mail, Social-Media-Profile)
• Geburtsdatum (optional, für Geburtstags-Erinnerungen)
• Vom Verantwortlichen erfasste Gesprächsnotizen und Einschätzungen
• Kontakt-/Interaktionshistorie (Zeitpunkt und Art des Kontakts – z.B. Anruf, Treffen, Nachricht – sowie zugehörige Notizen)
• Onboarding-Status und Journey-Fortschritt
• Telegram Chat-ID (bei freiwilliger Bot-Verknüpfung)
• Vom Verantwortlichen veröffentlichte Kundenstimmen (Zitat, Name und Rolle der genannten Person) einschließlich eines optional beigefügten Fotos/Bildnisses
• Antworten von Formular-Absendern auf die vom Verantwortlichen frei formulierten Fragen des Umfrage-Funnels (Auswahlantworten und kurze Freitextangaben, gespeichert zusammen mit dem jeweiligen Fragetext). Der Inhalt dieser Datenkategorie wird allein durch die Fragestellung des Verantwortlichen bestimmt; für die Beschränkung auf das erforderliche Maß (Art. 5 Abs. 1 lit. c DSGVO) ist er verantwortlich
• Bei Nutzung des Zusatzmoduls „NetBaseChat“: Kennung des Kommunikationspartners beim jeweiligen Anbieter (Telegram-Chat-ID, die für das Konto des Verantwortlichen vergebene Instagram-Kennung bzw. – beim E-Mail-Kanal – dessen Absenderadresse), dort geführter Anzeigename und Benutzername, Inhalt der ausgetauschten Nachrichten einschließlich Anhängen (z.B. Bilder, Sprachnachrichten, Dokumente) und – bei E-Mail – des Betreffs, Zeitpunkt, Richtung und Zustellstatus je Nachricht, bei Telegram zusätzlich die Betätigung einer unter einer Nachricht angezeigten Schaltfläche (gespeichert als eingehende Nachricht mit dem hinterlegten Stichwort nebst der von Telegram vergebenen Klick-Kennung) sowie das Einwilligungsprotokoll (Zeitpunkt, Quelle, angezeigter Einwilligungstext, technischer Beleg). Welche Inhalte über diesen Kanal eingehen, bestimmt der jeweilige Absender; für die Beschränkung auf das erforderliche Maß und für den Umgang mit unaufgefordert übersandten Inhalten ist der Verantwortliche zuständig (siehe Ziffer 13)
• In der Namensliste: der Name einer Person aus dem persönlichen oder beruflichen Umfeld des Verantwortlichen (Freitext, höchstens 80 Zeichen) und die Kategorie der Erinnerungsfrage, aus der er stammt (z.B. „Familie“, „Schule“, „Arbeit“, „Dienstleister“), nebst Erfassungszeitpunkt und – nach einer Umwandlung – der Verknüpfung zum entstandenen Interessenten-Eintrag. Kontaktdaten, Notizen, Einschätzungen oder Bewertungen werden hierzu nicht erhoben; ein Notizfeld besteht bewusst nicht
• Kurzlebige, pseudonyme Besucher-Prüfsumme zur Zählung eindeutiger Besucher der öffentlichen Seiten (siehe Ziffer 3). Gespeichert wird ausschließlich die Prüfsumme – weder IP-Adresse noch Browser-Kennung; sie wird spätestens nach 3 Tagen gelöscht und ist für den Verantwortlichen zu keinem Zeitpunkt einsehbar

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sowie Daten über strafrechtliche Verurteilungen und Straftaten nach Art. 10 DSGVO sind vom Auftrag nicht umfasst; hierzu gilt die Weisungslage nach Ziffer 13.

5. Kategorien betroffener Personen

• Vertriebspartner des Verantwortlichen
• Kunden des Verantwortlichen
• Interessenten und Leads
• Besucher der öffentlichen Seiten des Verantwortlichen – sowohl solche, die ein Kontaktformular ausfüllen oder eine Umfrage beantworten, als auch solche, die die Seite lediglich aufrufen (Reichweitenmessung nach Ziffer 3)
• Kommunikationspartner des Verantwortlichen, die ihm über einen im Zusatzmodul „NetBaseChat“ verbundenen Kanal (Telegram, Instagram, E-Mail) eine Nachricht senden – auch soweit sie anschließend als Interessent (Lead) in die Kontaktverwaltung des Verantwortlichen übernommen werden
• Personen aus dem persönlichen und beruflichen Umfeld des Verantwortlichen, deren Namen er in seine Namensliste einträgt – ohne dass sie hiervon zunächst Kenntnis haben (siehe Ziffer 15)
• Bewerberinnen und Bewerber – nur soweit der Verantwortliche seine öffentliche Seite eigenständig für Bewerbungen einsetzt (siehe Ziffer 13)

6. Pflichten des Auftragsverarbeiters

7. Technische und organisatorische Maßnahmen (TOMs)

8. Unterauftragnehmer (Sub-Processor)

Der Auftragsverarbeiter setzt folgende Unterauftragnehmer ein, die ebenfalls personenbezogene Daten verarbeiten können:

Über wesentliche Änderungen bei Unterauftragnehmern wird der Verantwortliche durch einen Eintrag im Changelog informiert.

9. Rechte des Verantwortlichen

Der Verantwortliche hat das Recht, Audits, Inspektionen oder die Vorlage von Nachweisen zur Einhaltung dieses Vertrags zu verlangen. Entsprechende Anfragen sind schriftlich an kontakt@netbaseos.de zu richten. Der Auftragsverarbeiter stellt alle erforderlichen Informationen zur Verfügung.

10. Datenlöschung nach Vertragsende

Nach Kündigung oder Löschung des Kontos werden alle personenbezogenen Daten des Verantwortlichen und der von ihm eingetragenen Personen innerhalb von 30 Tagen unwiederbringlich gelöscht, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht oder die weitere Aufbewahrung zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich ist (Art. 17 Abs. 3 lit. e DSGVO).

Nicht genutzte Konten ohne kostenpflichtigen Plan. Meldet sich der Verantwortliche 24 Monate lang nicht an und besteht in dieser Zeit für sein Konto kein kostenpflichtiges Abonnement, löscht der Auftragsverarbeiter das Konto mit sämtlichen darin gespeicherten Daten – einschließlich der Daten der vom Verantwortlichen eingetragenen Personen – automatisch und endgültig; das Nutzungsverhältnis und damit dieser Vertrag enden hierdurch (Ziffer 2). Maßgeblich ist der Zeitpunkt der letzten Anmeldung, bei Konten ohne jede Anmeldung der Zeitpunkt der Registrierung. Der Auftragsverarbeiter kündigt die Löschung zweimal an – nach 22 Monaten ohne Anmeldung und erneut 14 Tage vor der Löschung, jeweils per E-Mail an die Kontoadresse und per Benachrichtigung in der Anwendung; eine einzige Anmeldung wendet die Löschung ab und setzt die Frist neu in Gang. Nicht erfasst sind Konten mit kostenpflichtigem Plan (auch bei über einen Enterprise-Partner bereitgestelltem Zugang), Konten mit einem beim Zahlungsdienstleister noch aktiven Abonnement sowie Konten mit offenem Provisionsanspruch aus dem Affiliate-Programm. Rechtsgrundlage und Zweck: Art. 5 Abs. 1 lit. e DSGVO – der Auftragsverarbeiter darf Daten Dritter nicht unbegrenzt in einem Konto vorhalten, das niemand mehr nutzt. Der Verantwortliche hat es in der Hand, seine Daten vorher zu exportieren oder das Konto durch eine Anmeldung zu erhalten. Absatz 1 (gesetzliche Aufbewahrungspflichten) bleibt unberührt.

11. Haftung

Der Verantwortliche trägt die Verantwortung dafür, dass er für die Verarbeitung der Daten der betroffenen Personen (Partner, Kunden, Leads sowie die in seiner Namensliste erfassten Personen) eine Rechtsgrundlage nach Art. 6 DSGVO hat – z.B. Einwilligung oder berechtigtes Interesse. Der Auftragsverarbeiter haftet nicht für eine fehlende Rechtsgrundlage auf Seiten des Verantwortlichen.

12. Nicht vom Auftrag umfasst: eigene Drittinhalte des Verantwortlichen (Marketing-Pixel, eingebettete Videos, externe Terminbuchung)

Aktiviert der Verantwortliche auf seiner Funnel-Seite optional externe Marketing- oder Conversion-Pixel (z.B. Meta, TikTok, Google Ads/Analytics), ist diese Verarbeitung nicht Gegenstand dieses Auftragsverarbeitungsvertrags. Der Auftragsverarbeiter stellt insoweit nur ein technisches Eingabefeld für die Pixel-IDs bereit und wird für diese Pixel nicht als Auftragsverarbeiter tätig.

Die durch die Pixel ausgelösten Daten fließen unmittelbar aus dem Browser des Seitenbesuchers an den jeweiligen Anbieter, ohne über die Plattform zu laufen. Für diese Verarbeitung ist allein der Verantwortliche (Funnel-Inhaber) datenschutzrechtlich verantwortlich – ggf. gemeinsam mit dem jeweiligen Anbieter (Art. 26 DSGVO). Er ist selbst verpflichtet, eine wirksame Rechtsgrundlage (regelmäßig Einwilligung, die die Plattform technisch über einen Consent-Banner einholt) sicherzustellen, die erforderlichen Informationen bereitzustellen und die Betroffenenrechte zu erfüllen. Der Auftragsverarbeiter haftet nicht für den vom Verantwortlichen veranlassten Einsatz solcher Pixel.

Dasselbe gilt für Inhalte Dritter, die der Verantwortliche selbst in seine öffentlichen Seiten einbindet – insbesondere eingebettete Videos (YouTube, Vimeo) und eine externe Terminbuchung (Calendly, Cal.com, TidyCal, SavvyCal, Koalendar, Zcal) auf der Danke-Seite seines Kontaktformulars oder in einem Termin-Baustein seiner Landingpage. Der Auftragsverarbeiter stellt hierfür lediglich ein Eingabefeld für die Adresse bereit und lädt den jeweiligen Anbieter erst nach aktivem Klick des Seitenbesuchers (Zwei-Klick-Lösung mit vorgeschaltetem Einwilligungshinweis, der den Anbieter benennt). Die dabei ausgelösten Daten – insbesondere die IP-Adresse des Besuchers sowie sämtliche Angaben, die der Besucher anschließend im Buchungsformular des Anbieters einträgt (Name, E-Mail-Adresse, Nachricht, gewählter Termin) – fließen unmittelbar aus dem Browser des Besuchers an den Anbieter, ohne über die Plattform zu laufen; der Auftragsverarbeiter empfängt und speichert sie nicht.

Setzt der Verantwortliche einen solchen Dienst als Werkzeug für seine eigenen Zwecke ein, ist er auch insoweit allein Verantwortlicher und verpflichtet, das Verhältnis zum Anbieter selbst datenschutzrechtlich zu regeln: Er muss – soweit der Anbieter die Daten in seinem Auftrag verarbeitet – selbst einen Auftragsverarbeitungsvertrag nach Art. 28 Abs. 3 DSGVO mit dem Anbieter schließen, eine etwaige Übermittlung in ein Drittland absichern (Art. 44 ff. DSGVO) und die Betroffenen informieren. Der Auftragsverarbeiter ist an diesem Vertragsverhältnis nicht beteiligt, schließt keinen Vertrag im Namen des Verantwortlichen, wird gegenüber diesen Anbietern weder als Verantwortlicher noch als Auftragsverarbeiter tätig und haftet nicht für deren Einsatz. Der von der Plattform erzeugte Datenschutzhinweis der jeweiligen öffentlichen Seite benennt den eingebundenen Anbieter und beschreibt den Ablauf; er ersetzt die Prüfung des Einzelfalls durch den Verantwortlichen nicht.

13. Frei definierte Eingabefelder und Fragen; besondere Kategorien personenbezogener Daten

Die Plattform stellt an mehreren Stellen Felder bereit, deren Inhalt allein der Verantwortliche bestimmt – insbesondere Freitext-Notizen zu Kontakten, das Namensfeld der Namensliste (Ziffer 15) sowie die im Umfrage-Modus der Funnel-Seite frei formulierbaren Fragen, Antwortoptionen und Freitext-Antwortfelder. Der Auftragsverarbeiter gibt weder Fragen noch Inhalte vor und nimmt keine inhaltliche Vorabprüfung vor; mitgelieferte Vorlagen sind unverbindliche Muster ohne rechtliche Prüfung des Einzelfalls. Welche Datenkategorien über diese Felder tatsächlich erhoben werden, entscheidet damit ausschließlich der Verantwortliche.

Der Verantwortliche weist den Auftragsverarbeiter an, ausschließlich Daten der in Ziffer 4 genannten Kategorien zu verarbeiten. Er verpflichtet sich, über diese Felder keine besonderen Kategorien personenbezogener Daten im Sinne des Art. 9 Abs. 1 DSGVO (Gesundheitsdaten, Daten zu rassischer oder ethnischer Herkunft, politischen Meinungen, religiösen oder weltanschaulichen Überzeugungen, Gewerkschaftszugehörigkeit, genetische und biometrische Daten, Daten zum Sexualleben oder zur sexuellen Orientierung) und keine Daten nach Art. 10 DSGVO zu erheben oder erheben zu lassen. Zulässig ist eine solche Erhebung nur, wenn der Verantwortliche zuvor selbst und nachweisbar die ausdrückliche Einwilligung der betroffenen Person eingeholt hat (Art. 9 Abs. 2 lit. a DSGVO) oder ein anderer Erlaubnistatbestand des Art. 9 Abs. 2 DSGVO greift, und er die erforderlichen zusätzlichen Informationen selbst bereitstellt. Die Plattform stellt für eine solche gesonderte Einwilligung keine technische Funktion bereit.

Setzt der Verantwortliche eine öffentliche Seite für Bewerbungen ein, ist er allein für die Einhaltung der insoweit geltenden Vorgaben verantwortlich – insbesondere für die Zulässigkeit der gestellten Fragen (u. a. §§ 1, 7 AGG, § 26 BDSG bei Beschäftigten), für die Rechtsgrundlage und für die fristgerechte Löschung nicht mehr benötigter Bewerberdaten.

Die vom Auftragsverarbeiter nach Ziffer 7 getroffenen technischen und organisatorischen Maßnahmen sind auf Kontakt- und Vertriebsdaten im vorstehend beschriebenen Umfang ausgelegt und beinhalten keine über den Stand der Ziffer 7 hinausgehenden Maßnahmen für besondere Kategorien personenbezogener Daten. Erhebt der Verantwortliche entgegen dieser Weisung dennoch solche Daten, trägt er hierfür die alleinige datenschutzrechtliche Verantwortung – einschließlich einer etwa erforderlichen Datenschutz-Folgenabschätzung (Art. 35 DSGVO) – und stellt den Auftragsverarbeiter von Ansprüchen Dritter und von Maßnahmen der Aufsichtsbehörden frei, soweit er den Verstoß zu vertreten hat. Der Auftragsverarbeiter ist berechtigt, die Ausführung einer Weisung abzulehnen und betroffene Inhalte zu sperren, wenn diese offensichtlich gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).

14. Zusatzmodul „NetBaseChat“: Nachrichten, Lead-Übernahme, Löschung und Grenzen der Plattformen

Verbindet der Verantwortliche im Zusatzmodul „NetBaseChat“ einen eigenen Kanal (eigener Telegram-Bot, eigenes Instagram-Business-Konto bzw. eine eigene, über eine eigene Domain angebundene E-Mail-Adresse), empfängt und speichert der Auftragsverarbeiter die dorthin gesendeten Nachrichten Dritter, um sie dem Verantwortlichen anzuzeigen und ihm das Antworten zu ermöglichen. Verantwortlicher für diese Inhalte ist allein der Nutzer; der Auftragsverarbeiter verarbeitet sie weisungsgebunden und nutzt sie nicht für eigene Zwecke. Nachrichteninhalte werden nicht an KI-Dienste übermittelt.

Übernahme in die Kontaktverwaltung (Lead). Der Verantwortliche kann einen Kommunikationspartner in seine eigene Kontaktverwaltung übernehmen – durch Klick im Posteingang oder automatisiert als Schritt eines von ihm selbst zusammengestellten Ablaufs. Der Auftragsverarbeiter legt dabei auf seine Weisung einen Interessenten-Eintrag an, der ausschließlich den Anzeige- bzw. Benutzernamen, den Kanal als Herkunftsangabe und die kanalbezogene Kontaktangabe enthält (Instagram-Benutzername, E-Mail-Adresse bzw. Telegram-Benutzername als Vermerk); Nachrichteninhalte werden nicht übernommen. Ob, wann und für welche Kontakte diese Übernahme erfolgt, bestimmt allein der Verantwortliche durch die Gestaltung seiner Abläufe; er hat dabei die Erforderlichkeit (Art. 5 Abs. 1 lit. c DSGVO) und seine Informationspflichten nach Art. 13 bzw. 14 DSGVO gegenüber der betroffenen Person selbst zu wahren. Der Auftragsverarbeiter nimmt hierbei keine Bewertung, Auswahl oder Profilbildung vor; eine automatisierte Entscheidung im Einzelfall im Sinne des Art. 22 DSGVO ist damit nicht verbunden. An eine so übernommene E-Mail-Adresse versendet der Auftragsverarbeiter von sich aus keine Nachrichten; jede Ansprache geht vom Verantwortlichen aus und ist von ihm zu verantworten (für Werbung insbesondere § 7 Abs. 2 UWG). Der Eintrag bleibt von den Aufbewahrungs-Obergrenzen dieser Ziffer unberührt und unterliegt der allgemeinen Löschungsregelung des Verantwortlichen.

Rücknahmen und Bearbeitungen. Meldet die Plattform, dass ein Kommunikationspartner eine Nachricht zurückgenommen hat (Instagram: „unsend“), löscht der Auftragsverarbeiter deren Inhalt – Text und Anhänge – unwiderruflich; erhalten bleibt lediglich ein inhaltsleerer Hinweis „Nachricht zurückgenommen“, damit der Gesprächsverlauf nicht unbemerkt lückenhaft wird. Meldet die Plattform eine nachträgliche Bearbeitung (Telegram), wird der gespeicherte Text durch die neue Fassung ersetzt und die Nachricht als bearbeitet gekennzeichnet; die vorherige Fassung wird überschrieben.

Grenzen der Plattformen (wichtig). Telegram meldet Rücknahmen nicht. Löscht ein Kommunikationspartner dort eine bereits zugestellte Nachricht, erhält weder der Bot des Verantwortlichen noch der Auftragsverarbeiter hierüber eine Mitteilung; die zuvor empfangene Kopie bleibt bestehen. Gleiches gilt für den E-Mail-Kanal: Eine zugestellte E-Mail lässt sich technisch nicht zurückrufen. Ebenso meldet keine der Plattformen das Archivieren eines Gesprächs. Der Auftragsverarbeiter kann eine solche Rücknahme technisch nicht erkennen und schuldet insoweit keine automatische Löschung. Der Verantwortliche wird hierüber zusätzlich in der Oberfläche des Moduls hingewiesen. Verlangt eine betroffene Person die Löschung ihrer Nachrichten, hat der Verantwortliche dies zu prüfen und die Löschung zu veranlassen; der Auftragsverarbeiter löscht einzelne Gespräche oder sämtliche Chat-Daten auf entsprechende Weisung unverzüglich (kontakt@netbaseos.de).

Speicherdauer. Die Speicherdauer der Gesprächsverläufe bestimmt der Verantwortliche; er kann einzelne Nachrichten, Gespräche und Kontakte jederzeit selbst löschen. Ergänzend erteilt er mit diesem AVV die dauerhafte Weisung, die folgenden Obergrenzen durchzusetzen (Art. 28 Abs. 3 lit. g DSGVO); der Auftragsverarbeiter setzt sie durch einen täglichen automatischen Lauf um, die Löschung erfolgt jeweils mit dem nächsten Lauf nach Fristablauf:

• Gespräche, in denen seit 24 Monaten keine Nachricht mehr ein- oder ausgegangen ist, werden mitsamt allen Nachrichten und Anhängen endgültig gelöscht.
• Kontakte, zu denen danach kein Gespräch mehr besteht, werden ebenfalls gelöscht. Kontakte, die der Verantwortliche als Interessent (Lead) oder Kunde in seine Kontaktverwaltung übernommen hat, bleiben dort unberührt bestehen – der zugehörige Gesprächsverlauf wird gleichwohl gelöscht.
• Das Einwilligungsprotokoll wird fünf Jahre nach Erfassung des jeweiligen Eintrags gelöscht. Ausgenommen sind erklärte Widersprüche gegen Werbung: Sie bleiben gespeichert, weil sie die Sperre gegen weitere automatische Nachrichten tragen (Art. 21 Abs. 3 DSGVO).
• Protokolle beendeter automatischer Abläufe werden nach 90 Tagen gelöscht; laufende Abläufe bleiben unberührt.

Diese Fristen sind Obergrenzen und keine zugesicherte Mindestspeicherdauer. Eine darüber hinausgehende Aufbewahrung schuldet der Auftragsverarbeiter nicht. Benötigt der Verantwortliche Inhalte länger – etwa zur Erfüllung eigener handels- oder steuerrechtlicher Aufbewahrungspflichten (§ 257 HGB, § 147 AO für Handels- und Geschäftsbriefe), zur Verteidigung von Rechtsansprüchen (Art. 17 Abs. 3 lit. e DSGVO) oder weil sich die Nachweisfrist des § 7a UWG mit jeder Verwendung der Einwilligung neu berechnet –, hat er sie rechtzeitig selbst zu sichern; für Einwilligungen steht ihm hierfür ein Export zur Verfügung. Unabhängig von den vorstehenden Fristen ist der Verantwortliche gehalten, nicht mehr erforderliche Verläufe im Rahmen seiner Pflicht zur Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) früher löschen zu lassen. Spätestens mit der Löschung seines Kontos werden sämtliche NetBaseChat-Daten (Kanäle, Zugangsdaten, Kontakte, Gespräche, Nachrichten, Ablauf-Protokolle und Einwilligungsprotokolle) vollständig gelöscht.

Verbindung lösen. Löst der Verantwortliche einen Kanal, werden die Zugangsdaten gelöscht und der Nachrichten-Empfang beim Anbieter abgemeldet. Die bis dahin empfangenen Kontakte, Gespräche und Verläufe sowie das Einwilligungsprotokoll bleiben erhalten – Letzteres bewusst, weil es dem Verantwortlichen als Nachweis nach § 7a UWG dient. Ein Löschen dieser Daten erfolgt auf gesonderte Weisung.

Werberechtliche Verantwortung. Der Verantwortliche stellt sicher, dass er Direktnachrichten nur im rechtlich zulässigen Rahmen versendet – insbesondere, dass er für Werbung die vorherige ausdrückliche Einwilligung des Empfängers besitzt (§ 7 Abs. 2 UWG), diese dokumentiert und fünf Jahre aufbewahrt (§ 7a UWG) und dass er die Nutzungs- und Plattformbedingungen des jeweiligen Anbieters einhält. Das Modul stellt hierfür ein nur anfügbares Einwilligungsprotokoll bereit; die inhaltliche Bewertung, die Aufbewahrung über das Bestehen seines Kontos hinaus sowie die Erfüllung der Betroffenenrechte obliegen dem Verantwortlichen. Der Auftragsverarbeiter haftet nicht für vom Verantwortlichen veranlasste Nachrichten.

15. Namensliste („Kontakt-Spiel“): Erhebung bei Dritten, Rechtsgrundlage und Speicherbegrenzung

Die Plattform stellt dem Verantwortlichen ein geführtes „Kontakt-Spiel“ mit allgemeinen Erinnerungsfragen bereit, zu denen er Namen von Personen aus seinem persönlichen und beruflichen Umfeld notieren kann. Welche Namen er erfasst, entscheidet allein der Verantwortliche; die Fragen sind unverbindliche Gedächtnisstützen ohne rechtliche Prüfung des Einzelfalls. Der Auftragsverarbeiter speichert ausschließlich die in Ziffer 4 genannten Angaben (Name und Kategorie), sieht die Namen nicht ein (Row-Level Security), wertet sie nicht aus, führt sie nicht mit anderen Daten zusammen, übermittelt sie nicht an Dritte und übergibt sie insbesondere nicht an die KI-Unterauftragnehmer nach Ziffer 8.

Rechtsgrundlage. Der Verantwortliche stellt sicher, dass er für die Erfassung dieser Namen eine Rechtsgrundlage nach Art. 6 DSGVO hat; in Betracht kommt regelmäßig sein berechtigtes Interesse an der Vorbereitung der eigenen geschäftlichen Kontaktaufnahme (Art. 6 Abs. 1 lit. f DSGVO). Die Abwägung im Einzelfall obliegt ihm. Ihm ist bekannt, dass die Ausnahme für persönliche oder familiäre Tätigkeiten (Art. 2 Abs. 2 lit. c DSGVO) nicht greift, soweit die Liste – wie hier vorgesehen – der Vorbereitung seiner Vertriebstätigkeit dient.

Informationspflicht bei Erhebung bei Dritten (Art. 14 DSGVO). Die Namen stammen nicht von den betroffenen Personen selbst; diese haben von der Erfassung zunächst keine Kenntnis. Die Pflicht, sie zu informieren, trifft ausschließlich den Verantwortlichen – der Auftragsverarbeiter verfügt über keinerlei Kontaktdaten dieser Personen und kann sie weder benachrichtigen noch die Pflicht für den Verantwortlichen erfüllen. Der Verantwortliche informiert die betroffene Person innerhalb der Fristen des Art. 14 Abs. 3 DSGVO – grundsätzlich binnen eines Monats (lit. a), spätestens jedoch bei der ersten Ansprache (lit. b) – und benennt dabei auch die Herkunft der Daten (Art. 14 Abs. 2 lit. f DSGVO). Ob im Einzelfall eine Ausnahme nach Art. 14 Abs. 5 DSGVO greift, beurteilt allein der Verantwortliche. Auf ein Auskunfts-, Berichtigungs-, Löschungs- oder Widerspruchsverlangen einer genannten Person antwortet der Verantwortliche selbst; der Auftragsverarbeiter unterstützt ihn dabei technisch (Ziffer 6).

Weisung zum Inhalt des Namensfeldes. Der Verantwortliche verpflichtet sich, in das Namensfeld ausschließlich den Namen bzw. eine schlichte Bezeichnung der Person einzutragen und es nicht für weitergehende Angaben zu nutzen – insbesondere nicht für Kontaktdaten, Einschätzungen oder Angaben, die besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO oder Daten nach Art. 10 DSGVO offenbaren würden. Im Übrigen gilt Ziffer 13 entsprechend.

Speicherbegrenzung. Über die Speicherdauer entscheidet im Grundsatz der Verantwortliche: Er kann jeden Eintrag jederzeit selbst löschen und ist gehalten, nicht mehr benötigte Namen im Rahmen seiner Pflicht zur Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO) zeitnah zu entfernen. Ergänzend setzt der Auftragsverarbeiter eine Höchstspeicherfrist durch, der der Verantwortliche mit Abschluss dieses Vertrags zustimmt: Ein offenerEintrag, der zwölf Monate nach seiner Erfassung weder in einen Interessenten-Eintrag umgewandelt noch gelöscht wurde, wird durch einen täglichen automatischen Lauf endgültig gelöscht. Ein gesonderter Hinweis vor Ablauf der Frist erfolgt nicht; das Alter jedes offenen Eintrags ist in der Anwendung jederzeit sichtbar. Die Frist ist eine Obergrenze und keine Mindestspeicherdauer und lässt die vorstehende eigene Pflicht des Verantwortlichen unberührt. Die Plattform unterstützt ihn im Übrigen bei der Entscheidung, ersetzt sie aber nicht: Einträge, die länger als 30 Tage unbearbeitet sind, werden ihm als liegengeblieben angezeigt, und je Konto sind höchstens 100 offene Namen möglich. Wandelt er einen Namen in einen Interessenten-Eintrag um, bleibt die Zeile der Namensliste allein zum Schutz vor Doppelerfassung bestehen; sie ist von der Zwölf-Monats-Frist nicht erfasst, weil für den daraus entstandenen Interessenten-Eintrag die Fristen der Kontaktverwaltung gelten. Mit der Löschung des Kontos wird die gesamte Namensliste – einschließlich der bereits umgewandelten Zeilen – vollständig gelöscht (Ziffer 10).