Der Power-Dialer
nach Art. 28 der Datenschutz-Grundverordnung (DSGVO)
zwischen dem Kunden (Verantwortlicher, nachfolgend „Auftraggeber“)
und der FL-ITSERVICE – IT Systemhaus Lehmann / Nienhaus GbR, Hochstr. 17, 41334 Nettetal (Auftragsverarbeiter, nachfolgend „Auftragnehmer“).
(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Rahmen der Bereitstellung des Rufon Dialers nach den Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag“).
(2) Dieser Vertrag gilt für die Dauer des Hauptvertrags einschließlich einer Testphase und darüber hinaus, solange der Auftragnehmer personenbezogene Daten des Auftraggebers verarbeitet.
(1) Zweck: Bereitstellung einer Software zur Organisation, Durchführung und Auswertung der telefonischen Kundengewinnung und des Vertriebs des Auftraggebers, insbesondere um Kontaktlisten zu verwalten, Telefonate der Reihe nach zu organisieren, Gesprächsergebnisse, Wiedervorlagen und Termine festzuhalten, den Vertriebsstand der Kontakte zu verfolgen (Pipeline), die Tätigkeit der Nutzer auszuwerten (Abs. 5), Widersprüche gegen Anrufe zu sperren, Anfragen Betroffener zu beantworten und die Nutzer des Auftraggebers zu verwalten. Art der Verarbeitung: Erheben (durch Hochladen und Eingabe des Auftraggebers und seiner Nutzer), Speichern, Anzeigen, Auswerten, Übermitteln an die Telefonanlage des Auftraggebers, Versenden der E-Mails des Dienstes, Sichern, Löschen.
| Kategorie Betroffener | Datenarten |
|---|---|
| Kontakte des Auftraggebers (angerufene Personen) | Kontakt- und Vertriebsdaten: Name, Firma, Rufnummern, Anschrift und weitere Angaben aus den hochgeladenen oder eingegebenen Listen; Zeitpunkt und Dauer von Anrufen; Notizen, Status, Ergebnisse, Wiedervorlagen, Termine, Beträge und deren Verlauf — insbesondere Gesprächsergebnis und Vertriebsstand in der Pipeline (Phase, Betrag, Grund bei Verlust, Notiz, Verlauf) |
| Personen auf der Sperrliste | Rufnummer, Grund und Zeitpunkt des Widerspruchs |
| Nutzer des Auftraggebers (Beschäftigte) | Stamm- und Zugangsdaten: Name, E-Mail-Adresse, Rolle, Durchwahl, Passwort (nur als Hash), Einstellungen der Zwei-Faktor-Anmeldung und der Anwendung; Nutzungs-, Leistungs- und Aktivitätsdaten im Dienst (z. B. Anrufe, Termine, Abschlüsse, Zuständigkeiten), insbesondere Tätigkeitskennzahlen (Anzahl Anrufe und Termine, Punkte), Abschlüsse (gewonnen/verloren, Betrag) und in der Pipeline, wer für einen Kontakt zuständig ist und wer ihn wann in eine andere Phase verschoben hat; Inhalte, die Nutzer anlegen (etwa Gesprächsleitfäden); Protokolle: Anmeldungen (E-Mail-Adresse, IP-Adresse, Browserkennung, Zeitpunkt), Zustimmungen zu Vertragsbedingungen (Fassung, Prüfsumme, Zeitpunkt, IP-Adresse) sowie Änderungen an Nutzern, Einstellungen und der Sperrliste und Suchen im Auskunftswerkzeug (wer, was, wann); Rückmeldungen, die Nutzer im Dienst an den Auftragnehmer senden (Name, E-Mail-Adresse, Text, Seite, Browserkennung) |
| Empfänger von E-Mails des Dienstes (Nutzer, die ihr Passwort zurücksetzen oder als neue Nutzer eingeladen werden; Administratoren, die einen Hinweis erhalten, dass der Auftragnehmer einen Nutzer ihrer Firma eingeladen hat) | E-Mail-Adresse und Vorname des Empfängers; einmaliger Link mit begrenzter Gültigkeit (nicht im Hinweis an Administratoren); im Hinweis außerdem E-Mail-Adresse und Rolle des eingeladenen Nutzers und der Name der Firma; Zustellprotokoll |
(2) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Auftraggeber lädt solche Daten nicht in den Dienst.
(3) Gesprächsinhalte werden nicht aufgezeichnet, nicht abgeschrieben und nicht ausgewertet.
(4) Ort der Verarbeitung ist die Bundesrepublik Deutschland. Übermittlungen in Drittländer finden nur nach Ziff. 7 und Anlage 2 statt.
(5) Der Dienst wertet die Tätigkeit der Nutzer auch je Person aus, derzeit im Wettbewerb (Bestenliste und direkter Vergleich mit Punkten, Terminen und Anrufen je Nutzer, sichtbar für alle Nutzer des Auftraggebers) und in der Pipeline, wenn die Auswertung je Mitarbeiter eingeschaltet ist (für Administratoren je Nutzer offene Karten, offener Wert, Gewinne, Verluste und Gewinnquote der letzten 30 Tage). Administratoren des Auftraggebers können die Auswertung je Mitarbeiter in den Einstellungen ein- und ausschalten; voreingestellt ist sie aus. Ausgeschaltet zeigt die Pipeline abgeschlossene Karten anderer Nutzer ohne Namen, auch im Verlauf; der Zuständige einer offenen Karte und die Zahlen der ganzen Firma bleiben sichtbar, und die Zuordnung bleibt gespeichert. Für den Wettbewerb können Administratoren in den Einstellungen „Namen in der Bestenliste zeigen“ ein- und ausschalten; voreingestellt ist es an. Ausgeschaltet sieht jeder Nutzer in der Bestenliste seine eigene Zeile wie bisher, alle anderen Nutzer nur mit ihrem Platz und ihren Zahlen (Punkte, Termine, Anrufe), ohne Namen und ohne E-Mail-Adresse, und der direkte Vergleich ist aus; erfasst und gezählt wird weiter dasselbe. In kleinen Firmen lassen sich Platz und Zahlen trotzdem einer Person zuordnen: der Schalter nimmt die Namen, die Auswertung je Person bleibt. Jedes Umschalten beider Einstellungen wird mit Zeitpunkt und Person protokolliert. Eine neue Auswertung je Person kündigt der Auftragnehmer vor ihrer Einführung in Textform an; sie ist voreingestellt aus, und Administratoren können sie ein- und ausschalten.
(6) Neue Funktionen. Ergänzt oder ändert der Auftragnehmer den Dienst um Funktionen, die Daten der in Abs. 1 genannten Arten zu den dort genannten Zwecken verarbeiten, gilt dafür dieser Vertrag, ohne dass er geändert werden muss; der Auftragnehmer teilt solche Funktionen in Textform oder im Dienst mit. Einer Änderung dieses Vertrags nach Ziff. 12 Abs. 2 bedarf es dagegen, wenn eine Art personenbezogener Daten verarbeitet werden soll, die Abs. 1 nicht nennt (etwa Gesprächsaufnahmen oder Standortdaten), oder ein Zweck hinzukommt, den Abs. 1 nicht nennt (etwa eine Auswertung von Gesprächen durch künstliche Intelligenz); Abs. 2 und 3 bleiben davon unberührt. Für das Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters gilt Ziff. 6 Abs. 2.
(1) Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Der Hauptvertrag und die Bedienung des Dienstes durch den Auftraggeber sind solche Weisungen. Weitere Weisungen erteilt der Auftraggeber in Textform.
(2) Ist der Auftragnehmer nach dem Recht der Union oder eines Mitgliedstaats zu einer anderen Verarbeitung verpflichtet, teilt er dies dem Auftraggeber vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
(3) Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt Zugriff nur, soweit er für die Erbringung des Dienstes erforderlich ist.
(1) Der Auftragnehmer trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen.
(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragnehmer darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Schutzniveau darf dabei nicht unterschritten werden. Wesentliche Änderungen teilt er dem Auftraggeber mit.
(1) Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter.
(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters in Textform. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich kündigen.
(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und haftet gegenüber dem Auftraggeber für deren Einhaltung.
Eine Verarbeitung außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums findet nur statt, soweit sie in Anlage 2 angegeben ist und die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss (etwa das EU-US Data Privacy Framework) oder Standardvertragsklauseln der Europäischen Kommission.
(1) Betroffenenrechte. Der Dienst enthält ein Werkzeug, mit dem Administratoren des Auftraggebers die zu einer Rufnummer gespeicherten Kontaktdaten über alle Listen des Auftraggebers hinweg finden, auskunftsfähig zusammenstellen und löschen können; jede Suche wird protokolliert. Darüber hinaus unterstützt der Auftragnehmer den Auftraggeber auf Anforderung bei der Beantwortung von Anträgen Betroffener. Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter.
(2) Verletzungen des Schutzes. Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 24 Stunden, nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; fehlende Angaben werden nachgereicht.
(3) Der Auftragnehmer unterstützt den Auftraggeber zudem bei den Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldung, Benachrichtigung, Datenschutz-Folgenabschätzung, vorherige Konsultation) im Rahmen der ihm vorliegenden Informationen.
(1) Während der Laufzeit löscht der Dienst Kontakte und Gesprächsergebnisse automatisch nach Ablauf der vom Administrator des Auftraggebers eingestellten Aufbewahrungsfrist (Voreinstellung zwölf Monate, gerechnet ab dem letzten Anruf bzw. bei nie angerufenen Kontakten ab dem Hochladen der Liste). Mit einem Kontakt werden auch seine Termine und seine Karten in der Pipeline gelöscht; eine aus der Pipeline entfernte Karte bleibt bis dahin gespeichert. Einträge der Sperrliste sind ausgenommen, weil sie gerade dazu dienen, dass die Person nicht erneut angerufen wird; einzelne Einträge löscht der Auftragnehmer auf Weisung des Auftraggebers. Anmeldeprotokolle werden nach 90 Tagen gelöscht.
(2) Nach Ende des Hauptvertrags gibt der Auftragnehmer die Daten nach Wahl des Auftraggebers zurück (§ 11 Abs. 2 der Allgemeinen Geschäftsbedingungen) und löscht sie spätestens 30 Tage nach Vertragsende, sofern keine gesetzliche Pflicht zur Speicherung besteht.
(3) Daten in Sicherungskopien werden nicht einzeln gelöscht; sie sind verschlüsselt, nur für die Wiederherstellung bestimmt und werden spätestens sechs Monate nach ihrer Erstellung gelöscht. Wird eine Sicherung vorher wiederhergestellt, stellt der Auftragnehmer sicher, dass inzwischen gelöschte Daten nicht erneut genutzt werden.
(4) Die Löschung wird auf Anforderung in Textform bestätigt.
(1) Der Auftragnehmer stellt dem Auftraggeber auf Anforderung die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind.
(2) Der Auftraggeber oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer kann die Einhaltung nach vorheriger Ankündigung mit angemessener Frist während der üblichen Geschäftszeiten und ohne vermeidbare Störung des Betriebs überprüfen. Der Auftragnehmer kann den Nachweis alternativ durch geeignete aktuelle Unterlagen erbringen, soweit dies für den Auftraggeber ausreicht. Prüfungen, die über eine im Kalenderjahr hinausgehen, darf der Auftragnehmer nach Aufwand berechnen, es sei denn, ein konkreter Anlass rechtfertigt sie.
Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht entgegensteht.
(1) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor.
(2) Änderungen dieses Vertrags richten sich nach § 12 der Allgemeinen Geschäftsbedingungen; Änderungen der Anlagen 1 und 2 nach Ziff. 5 Abs. 2 und Ziff. 6 Abs. 2 dieses Vertrags.
(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt. An ihre Stelle tritt eine Regelung, die den Anforderungen des Art. 28 DSGVO entspricht.