Vertrag zur Auftragsverarbeitung (AVV)

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") konkretisiert die datenschutzrechtlichen Pflichten der Vertragsparteien, die sich aus der Nutzung des LeadVance-Chat-Widgets auf der Website des Kunden ergeben, und gilt ergänzend zu den Allgemeinen Geschäftsbedingungen zwischen Louis Redeker, handelnd unter „LeadVance", Schmachtenbergstraße 28, 45219 Essen (nachfolgend „Auftragsverarbeiter") und dem jeweiligen LeadVance-Kunden (nachfolgend „Verantwortlicher").

1. Gegenstand und Dauer

1.1 Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten von Besuchern der Website des Verantwortlichen im Rahmen der Nutzung des LeadVance-Chat-Widgets („Auftrag"). Die Einzelheiten der Verarbeitung ergeben sich aus Ziffer 2.

1.2 Die Dauer dieses AVV entspricht der Laufzeit des zwischen den Parteien bestehenden Hauptvertrags über die Bereitstellung der LeadVance-Software. Er endet automatisch mit dessen Beendigung, unbeschadet der Regelungen zu Löschung und Rückgabe in Ziffer 9.

2. Art und Zweck, Art der Daten, Kreis der Betroffenen

2.1 Zweck der Verarbeitung ist die automatisierte Beantwortung von Anfragen, die Besucher der Website des Verantwortlichen über das eingebundene Chat-Widget stellen, sowie die Erfassung und Weiterleitung daraus entstehender Leads (z. B. Reservierungs-, Rückruf- oder Terminanfragen) an den Verantwortlichen.

2.2 Art der verarbeiteten Daten: Inhalt der Chat-Nachrichten der Website-Besucher; sofern vom Besucher freiwillig im Chat angegeben, Name, Telefonnummer und/oder E-Mail-Adresse; eine pro Sitzung zufällig erzeugte technische Sitzungskennung. Es werden durch das Widget keine Cookies gesetzt; die Sitzungskennung wird ausschließlich im Session Storage des Browsers des Besuchers abgelegt und verfällt mit dem Schließen des Browser-Tabs.

2.3 Kreis der Betroffenen: Besucherinnen und Besucher der Website des Verantwortlichen, die das Chat-Widget aktiv nutzen.

2.4 Eine Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht Gegenstand dieses Auftrags. Sollten Website-Besucher gleichwohl unaufgefordert solche Daten im Chat mitteilen, verarbeitet der Auftragsverarbeiter diese ausschließlich zur Weiterleitung der Anfrage an den Verantwortlichen und trifft keine automatisierten Einzelfallentscheidungen im Sinne von Art. 22 DSGVO.

3. Weisungsgebundenheit

3.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, soweit er nicht durch das Recht der Europäischen Union oder der Mitgliedstaaten zu einer anderen Verarbeitung verpflichtet ist.

3.2 Die im Hauptvertrag sowie in diesem AVV beschriebene Konfiguration und Nutzung des Chat-Widgets gilt als dokumentierte Weisung. Weitergehende Weisungen kann der Verantwortliche formlos per E-Mail an die o.g. Adresse erteilen; der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen Datenschutzrecht verstößt.

4. Vertraulichkeit

Der Auftragsverarbeiter gewährleistet, dass die mit der Verarbeitung der Daten des Verantwortlichen betrauten Personen zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass diese Pflicht auch nach Beendigung der jeweiligen Tätigkeit fortbesteht.

5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Der Auftragsverarbeiter trifft insbesondere folgende Maßnahmen zum Schutz der Daten:

• Verschlüsselte Übertragung sämtlicher Daten zwischen Chat-Widget, Server und Datenbank ausschließlich über TLS/HTTPS.
• Zugriffsbeschränkung auf Kunden- und Chat-Daten über personengebundene, durch Zugangs-Token gesicherte Admin- und Kunden-Zugänge.
• Domain-basierte Zugriffsbeschränkung des Widgets: das Widget beantwortet Anfragen grundsätzlich nur, wenn diese von der im Kunden-Dashboard hinterlegten Website-Adresse des Verantwortlichen stammen.
• Kein dauerhaftes, sitzungs- oder gerätübergreifendes Tracking von Website-Besuchern durch das Widget.
• Regelmäßige Aktualisierung der eingesetzten Software-Abhängigkeiten sowie Hosting der Anwendung bei einem Infrastruktur-Anbieter mit Serverstandort innerhalb der EU.

Der Auftragsverarbeiter ist berechtigt, diese Maßnahmen anzupassen, solange das ursprüngliche Schutzniveau dabei nicht unterschritten wird.

6. Unterauftragsverhältnisse

6.1 Der Verantwortliche stimmt dem Einsatz der folgenden Subunternehmer (weitere Auftragsverarbeiter) durch den Auftragsverarbeiter zu:

• Anthropic Ireland Limited, Dublin, Irland (Datenübermittlung ggf. an Anthropic PBC, USA) — zur automatisierten Erstellung der Chat-Antworten. Für die Übermittlung in die USA beruft sich Anthropic auf EU-Standardvertragsklauseln.
• Supabase, Inc., USA (Datenbank-Infrastruktur betrieben innerhalb der EU/Schweden) — zur Speicherung der Chat-Verläufe und erfassten Leads.
• Plus Five Five, Inc. (Resend), San Francisco, USA (dem EU-US Data Privacy Framework angeschlossen) — zur Weiterleitung erfasster Leads per Transaktions-E-Mail an den Verantwortlichen.

6.2 Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung in Bezug auf die Hinzuziehung oder Ersetzung weiterer Subunternehmer, sodass der Verantwortliche Gelegenheit hat, gegen diese Änderung Einspruch zu erheben. Mit jedem eingesetzten Subunternehmer wird ein Vertrag geschlossen, der diesem Auftragsverarbeiter entsprechende Pflichten auferlegt.

7. Unterstützung des Verantwortlichen

Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung von dessen Pflichten zur Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei der Einhaltung der in Art. 32–36 DSGVO genannten Pflichten, insbesondere durch unverzügliche Weiterleitung entsprechender Anfragen an den Verantwortlichen.

8. Meldung von Datenschutzverletzungen

Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, die Daten aus diesem Auftrag betrifft, unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung, und unterstützt den Verantwortlichen bei der Erfüllung von dessen Melde- und Benachrichtigungspflichten nach Art. 33, 34 DSGVO.

9. Löschung und Rückgabe von Daten

Nach Beendigung des Hauptvertrags löscht der Auftragsverarbeiter sämtliche im Rahmen dieses Auftrags verarbeiteten personenbezogenen Daten, sofern keine gesetzliche Pflicht zur weiteren Speicherung besteht. Auf Anfrage des Verantwortlichen stellt der Auftragsverarbeiter die noch vorhandenen Daten vor der Löschung in einem gängigen, strukturierten Format zur Verfügung.

10. Kontrollrechte des Verantwortlichen

Der Verantwortliche ist berechtigt, sich in angemessenem Umfang von der Einhaltung der in diesem AVV vereinbarten Pflichten zu überzeugen. Der Auftragsverarbeiter stellt hierzu auf Anfrage die zur Kontrolle erforderlichen Informationen zur Verfügung; Kosten für Vor-Ort-Kontrollen trägt der Verantwortliche, sofern diese über eine einmalige, unentgeltliche Kontrolle pro Vertragsjahr hinausgehen.

11. Haftung

Für die Haftung gelten die gesetzlichen Bestimmungen, insbesondere Art. 82 DSGVO, sowie ergänzend die Haftungsregelungen der zwischen den Parteien geltenden AGB.

12. Schlussbestimmungen

12.1 Es gilt deutsches Recht. Gerichtsstand ist, soweit gesetzlich zulässig, der Geschäftssitz des Auftragsverarbeiters.

12.2 Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen hiervon unberührt.

12.3 Mit Abschluss des Hauptvertrags bzw. mit Bestätigung im Kunden-Dashboard erkennt der Verantwortliche die Geltung dieses AVV in Textform (Art. 28 Abs. 9 DSGVO) an.

Dieser AVV wurde vollständig eigenständig formuliert (Stand: September 2026) und ist, anders als die Ziffern 1–12 unserer AGB und weite Teile unserer Datenschutzerklärung, nicht Bestandteil einer anwaltlichen Prüfung durch die IT-Recht Kanzlei München.