Vertrag zur Auftragsverarbeitung (AVV)
Nach Art. 28 DSGVO. Diese Seite ist die Musterfassung zur Information. Sie ist für sich genommen kein geschlossener Vertrag, weil der Verantwortliche hier nicht benannt ist. Bei Beauftragung wird sie unverändert als Anlage zum Hauptvertrag übernommen, mit den Daten beider Parteien und einem Datum. Maßgeblich ist dann die Fassung, die dem Angebot beiliegt. Sie gilt, wenn Helbig eCom Solutions im Auftrag des Kunden personenbezogene Daten verarbeitet, etwa Leads im CRM. Fassung 2026-08-2 · Stand: August 2026.
1. Parteien
| Verantwortlicher (Auftraggeber) | Der Kunde (Coach/Unternehmen), der Helbig eCom Solutions beauftragt. |
|---|---|
| Auftragsverarbeiter | Internethandel Helbig, Inhaber Julian Helbig (Marke Helbig eCom Solutions), Im Delmegrund 8, 27243 Harpstedt · [email protected] · +49 1523 4796448 |
2. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen von Aufbau und Betrieb des Akquise-Systems (Website/Funnel, CRM, Follow-up, ggf. Werbeanzeigen). Die Dauer entspricht der Laufzeit des Hauptvertrags. Nach Beendigung werden die Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, soweit keine gesetzliche Aufbewahrungspflicht besteht. Löschung oder Rückgabe erfolgen innerhalb von 30 Tagen nach Beendigung, sofern nichts anderes vereinbart ist.
3. Art, Zweck und betroffene Personen (Anlage A)
- Art der Daten: Kontakt- und Stammdaten (Name, E-Mail, Telefon), Interaktions- und Nutzungsdaten, Termindaten, im Formular angegebene Angaben.
- Zweck: Leadgewinnung, Terminbuchung, automatisiertes Follow-up und Kommunikation im Auftrag des Verantwortlichen.
- Betroffene Personen: Interessenten, Leads und Kunden des Verantwortlichen.
- Besondere Kategorien nach Art. 9 DSGVO: Der Auftrag umfasst keine besonderen Kategorien personenbezogener Daten. Der Verantwortliche richtet seine Formulare und Abläufe so ein, dass solche Daten nicht erhoben werden. Sollen sie doch verarbeitet werden, etwa weil das Angebot des Verantwortlichen Gesundheitsbezüge hat, ist dies vorher in Textform zu vereinbaren und der Schutzbedarf gemeinsam festzulegen.
4. Pflichten des Auftragsverarbeiters
- Verarbeitung nur auf dokumentierte Weisung des Verantwortlichen. Weisungen ergehen in Textform an die in Ziffer 1 genannte Kontaktadresse; mündliche Weisungen werden unverzüglich in Textform bestätigt. Der Verantwortliche benennt die weisungsberechtigten Personen; ohne gesonderte Benennung gilt der im Hauptvertrag genannte Ansprechpartner.
- Ist der Auftragsverarbeiter nach Unionsrecht oder dem Recht eines Mitgliedstaats zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet (Art. 28 Abs. 3 lit. a DSGVO).
- Der Auftragsverarbeiter verarbeitet die Daten ausschließlich für den Verantwortlichen und zu keinem eigenen Zweck. Eine Nutzung für eigene Werbung oder für andere Kunden findet nicht statt. Zulässig bleiben ausschließlich zusammengefasste Auswertungen ohne Personenbezug zur Verbesserung der eigenen Leistungen.
- Vertraulichkeit: Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit.
- Technische und organisatorische Maßnahmen nach Art. 32 DSGVO (siehe Ziffer 7).
- Unterstützung des Verantwortlichen bei Betroffenenrechten, Meldepflichten (Art. 33/34) und Datenschutz-Folgenabschätzungen.
- Unverzügliche Information bei Verdacht auf eine Datenschutzverletzung, in der Regel innerhalb von 48 Stunden nach Bekanntwerden.
- Hinweis an den Verantwortlichen, wenn eine Weisung nach Auffassung des Auftragsverarbeiters gegen Datenschutzrecht verstößt (Art. 28 Abs. 3 Satz 3 DSGVO).
- Führung eines Verzeichnisses der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
- Löschung oder Rückgabe der Daten nach Auftragsende, einschließlich vorhandener Kopien, soweit keine gesetzliche Aufbewahrungspflicht besteht (Art. 28 Abs. 3 lit. g DSGVO).
5. Unterauftragsverarbeiter (Anlage B)
Der Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu. Weitere Unterauftragsverarbeiter werden mindestens 14 Tage vorher in Textform angekündigt. Widerspricht der Verantwortliche nicht innerhalb dieser Frist aus einem wichtigen datenschutzrechtlichen Grund, gilt die Zustimmung als erteilt. Jeder Unterauftragsverarbeiter wird vertraglich auf ein Schutzniveau verpflichtet, das dieser Vereinbarung entspricht (Art. 28 Abs. 4 DSGVO). Hält der Auftragsverarbeiter den Einsatz trotz begründeten Widerspruchs für erforderlich, kann der Verantwortliche den Hauptvertrag zum geplanten Wechseltermin außerordentlich kündigen.
| Dienst | Zweck | Ort/Grundlage |
|---|---|---|
| HighLevel Inc. (GoHighLevel) | CRM, Website-Hosting, Kalender, E-Mail- und SMS-Versand, Automatisierung | USA · EU-Standardvertragsklauseln / DPF |
| Meta Platforms Ireland Ltd. | Werbeanzeigen, Pixel/Conversions API (nach Consent, nur bei gebuchter Anzeigen-Ergänzung) | EU/USA · SCC / DPF |
| Google Ireland Ltd. | Reichweitenanalyse (nach Consent, sofern im Kundensystem eingerichtet) | EU/USA · SCC / DPF |
| Cloudflare, Inc. | Auslieferung der Website, Abwehr von Angriffen | USA · EU-Standardvertragsklauseln |
| Microsoft Corporation | Videogespräche (Teams), Nutzungsanalyse (Clarity) | USA · SCC / DPF |
| Loom, Inc. | Aufzeichnung und Bereitstellung von Analysevideos | USA · EU-Standardvertragsklauseln |
| Airtable Inc. | Verwaltung von Kontakt- und Interessentendaten | USA · EU-Standardvertragsklauseln |
6. Ort der Verarbeitung / Drittland
Die Verarbeitung erfolgt in der EU sowie bei den genannten Diensten in den USA auf Grundlage der EU-Standardvertragsklauseln bzw. eines Angemessenheitsbeschlusses (EU-US Data Privacy Framework). Eine Kopie der jeweiligen Garantien stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage zur Verfügung.
7. Technische und organisatorische Maßnahmen (Anlage C, Art. 32)
- Zugriffskontrolle über individuelle Konten, starke Passwörter, wo möglich Zwei-Faktor-Authentifizierung.
- Verschlüsselte Übertragung (TLS/HTTPS) und verschlüsselte Speicherung bei den eingesetzten Plattformen.
- Rollen- und Berechtigungskonzept, Datensparsamkeit, regelmäßige Prüfung der Zugriffe.
- Mandantentrennung: eigener Unter-Account je Verantwortlichem, keine Vermischung der Datenbestände verschiedener Auftraggeber.
- Pseudonymisierung, wo sie den Verarbeitungszweck nicht vereitelt.
- Verfügbarkeit und Belastbarkeit: Sicherungen der eingesetzten Plattformen, Wiederherstellbarkeit nach einem Zwischenfall.
- Protokollierung von Zugriffen und Änderungen in den eingesetzten Systemen, soweit die Plattformen dies bereitstellen.
- Regelmäßige Überprüfung und Bewertung der Wirksamkeit dieser Maßnahmen.
- Gerätesicherheit: Festplattenverschlüsselung, Bildschirmsperre, aktuelle Systemstände.
8. Rechte des Verantwortlichen, Kontrolle
Der Verantwortliche kann sich von der Einhaltung dieser Pflichten überzeugen, insbesondere durch Einholung von Auskünften und Nachweisen. Der Auftragsverarbeiter unterstützt dabei in angemessenem Umfang. Unterstützungsleistungen, die über das nach Art. 28 Abs. 3 DSGVO geschuldete Maß hinausgehen, vergütet der Verantwortliche nach Aufwand, soweit sie nicht auf einem Verstoß des Auftragsverarbeiters beruhen. Eine Kontrolle vor Ort ist nach Ankündigung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs möglich.
9. Haftung und Schlussbestimmungen
Es gelten die Haftungsregeln der DSGVO und des Hauptvertrags. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag gehen in Datenschutzfragen die Regelungen dieses AVV vor. Änderungen und Ergänzungen dieser Vereinbarung bedürfen der Textform. Ist eine Bestimmung unwirksam, bleibt die übrige Vereinbarung wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung. Es gilt deutsches Recht, für den Gerichtsstand gilt die Regelung des Hauptvertrags.