Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO — Anlage 1 zu den Allgemeinen Geschäftsbedingungen von Soglee
Version 1.8 · Stand 27.08.2026

Vertragsparteien

Verantwortlicher (nachfolgend „Auftraggeber"):
Die im Kundenkonto hinterlegten Angaben des Kunden — Firmierung, Rechtsform, vertretungsberechtigte Person und Anschrift. Diese Angaben werden zum Zeitpunkt des Vertragsschlusses gespeichert und sind Bestandteil dieses Vertrags. Der Auftraggeber kann sein individualisiertes Vertragsexemplar jederzeit unter „Konto → Rechtliches" abrufen.

Auftragsverarbeiter (nachfolgend „Auftragnehmer"):
Tobias Eisele, Oleanderhof 7, 24944 Flensburg, Deutschland
Datenschutzkontakt: kontakt@soglee.de

Vorbemerkung zur Form

Dieser Vertrag wird gemäß Art. 28 Abs. 9 DSGVO in elektronischer Form geschlossen. Der Auftraggeber schließt ihn ab, indem er im Registrierungsprozess die entsprechende Bestätigung erteilt. Der Auftragnehmer protokolliert Zeitpunkt, Dokumentversion und Prüfsumme des Vertragstextes und stellt dem Auftraggeber ein Exemplar per E-Mail sowie dauerhaft im Kundenkonto zur Verfügung. Eine eigenhändige Unterschrift ist nicht erforderlich.

§ 1 Gegenstand, Dauer, Weisungsgebundenheit

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers im Rahmen der Nutzung der Anwendung Soglee.

(2) Die Dauer entspricht der Laufzeit des zugrundeliegenden Nutzungsvertrags. Der Vertrag endet automatisch mit dessen Beendigung; die Regelungen zu Löschung und Rückgabe (§ 10) gelten fort.

(3) Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Auftraggebers. Als dokumentierte Weisung gelten:
a) dieser Vertrag einschließlich seiner Anlagen,
b) die Einstellungen und Konfigurationen, die der Auftraggeber in der Anwendung selbst vornimmt,
c) Einzelweisungen in Textform an kontakt@soglee.de.

(4) Der Auftragnehmer informiert den Auftraggeber unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung bis zur Klärung auszusetzen.

(5) Eine Verarbeitung außerhalb der Weisung ist nur zulässig, soweit der Auftragnehmer hierzu nach Unionsrecht oder dem Recht eines Mitgliedstaats verpflichtet ist. In diesem Fall teilt er dem Auftraggeber die rechtliche Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

§ 2 Art, Zweck und Umfang der Verarbeitung

Die Einzelheiten ergeben sich aus Anlage 1.

§ 3 Pflichten des Auftraggebers

(1) Der Auftraggeber ist im Verhältnis der Parteien allein Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Er beurteilt die Zulässigkeit der Verarbeitung und wahrt die Rechte der betroffenen Personen.

(2) Der Auftraggeber stellt insbesondere sicher, dass
a) für jede Verarbeitung eine Rechtsgrundlage besteht,
b) die betroffenen Personen nach Art. 12 ff. DSGVO informiert wurden,
c) für werbliche Ansprachen die erforderlichen Einwilligungen nach § 7 UWG vorliegen und dokumentiert sind,
d) er eine eigene, öffentlich erreichbare Datenschutzerklärung vorhält.

(3) Besondere Kategorien personenbezogener Daten. Der Auftraggeber erhebt über die Anwendung keine Daten im Sinne des Art. 9 DSGVO. Er richtet insbesondere keine Formulare, Vorlagen oder automatisierten Nachrichten ein, die solche Angaben abfragen. Der Auftragnehmer stellt für solche Daten keine strukturierten Eingabefelder und keine Auswertungsfunktionen bereit. Macht eine betroffene Person von sich aus entsprechende Angaben im Rahmen einer freien Konversation, werden diese wie sonstige Konversationsinhalte behandelt, nicht gesondert ausgewertet und unterliegen denselben Löschfristen.

(4) Der Auftraggeber teilt dem Auftragnehmer unverzüglich mit, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(5) Weisungen erteilt der Auftraggeber durch seine im Kundenkonto benannten Ansprechpersonen.

§ 4 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen des Auftrags und der Weisungen.

(2) Er verpflichtet alle zur Verarbeitung befugten Personen zur Vertraulichkeit und stellt sicher, dass diese über die einschlägigen datenschutzrechtlichen Anforderungen unterrichtet sind.

(3) Er ergreift die erforderlichen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Die zum Zeitpunkt des Vertragsschlusses getroffenen Maßnahmen ergeben sich aus Anlage 2. Der Auftragnehmer darf diese Maßnahmen weiterentwickeln, solange das vereinbarte Schutzniveau nicht unterschritten wird.

(4) Er unterstützt den Auftraggeber nach Maßgabe von § 6 und § 7.

(5) Ein Datenschutzbeauftragter ist nicht bestellt. Datenschutzanfragen richten Sie an kontakt@soglee.de.

(6) Die Verarbeitung findet ausschließlich in Mitgliedstaaten der Europäischen Union oder des Europäischen Wirtschaftsraums statt — mit Ausnahme der in Anlage 3 ausdrücklich benannten Fälle.

(7) Der Auftragnehmer verwendet die im Auftrag verarbeiteten Daten nicht zum Training von KI-Modellen und übermittelt sie nicht zu diesem Zweck an Dritte.

(8) Behördliche Auskunftsersuchen. Erhält der Auftragnehmer von einer Behörde, einem Gericht oder einer Strafverfolgungsbehörde ein Ersuchen auf Herausgabe von im Auftrag verarbeiteten Daten, informiert er den Auftraggeber unverzüglich, sofern ihm dies rechtlich nicht untersagt ist. Er gibt keine Daten heraus, bevor er die Rechtmäßigkeit des Ersuchens geprüft hat, und beschränkt eine etwaige Herausgabe auf das rechtlich zwingend Erforderliche. Ersuchen von Behörden aus Drittstaaten ohne ein völkerrechtlich anerkanntes Rechtshilfeverfahren wird der Auftragnehmer nicht nachkommen.

§ 5 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt hiermit die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern nach Art. 28 Abs. 2 Satz 2 DSGVO.

(2) Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt. Die jeweils aktuelle Fassung ist unter soglee.de/unterauftragsverarbeiter abrufbar.

(3) Der Auftragnehmer informiert den Auftraggeber über beabsichtigte Änderungen mindestens 30 Tage vor deren Wirksamwerden in Textform.

(4) Der Auftraggeber kann innerhalb von 14 Tagen aus einem sachlichen, datenschutzbezogenen Grund widersprechen. Kann keine Einigung erzielt werden, steht beiden Parteien ein Sonderkündigungsrecht zum Zeitpunkt des Wirksamwerdens der Änderung zu.

(5) Der Auftragnehmer verpflichtet Unterauftragsverarbeiter auf Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen, und prüft vor Beauftragung deren Eignung.

(6) Nicht als Unterauftragsverarbeitung gelten Nebenleistungen wie Telekommunikationsdienste, Postdienste, Wartung von Endgeräten sowie die Tätigkeit von Steuerberatern und Rechtsanwälten.

§ 6 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Betroffenenrechte nach Art. 12 bis 23 DSGVO. Er stellt hierfür Funktionen in der Anwendung bereit, insbesondere zum Export, zur Bearbeitung und zur Löschung einzelner Datensätze.

(2) Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet dieser die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst.

(3) Der Auftragnehmer berichtigt, löscht oder schränkt die Verarbeitung nur nach Weisung des Auftraggebers ein.

§ 7 Unterstützung und Meldung von Verletzungen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Einhaltung der Art. 32 bis 36 DSGVO, insbesondere bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörde.

(2) Erlangt der Auftragnehmer Kenntnis von einer Verletzung des Schutzes personenbezogener Daten, meldet er dies dem Auftraggeber unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnisnahme, in Textform an die im Kundenkonto hinterlegte Kontaktadresse.

(3) Die Meldung enthält, soweit bekannt: Art der Verletzung, betroffene Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze, wahrscheinliche Folgen sowie ergriffene und vorgeschlagene Maßnahmen. Fehlende Angaben werden unverzüglich nachgereicht.

(4) Meldungen an die Aufsichtsbehörde und Benachrichtigungen der betroffenen Personen obliegen dem Auftraggeber.

§ 8 Nachweise und Kontrollrechte

(1) Der Auftragnehmer stellt dem Auftraggeber gemäß Art. 28 Abs. 3 lit. h DSGVO alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind. Dies geschieht insbesondere durch Vorlage aktueller Dokumentation, der Anlage 2 sowie vorhandener Zertifikate oder Prüfberichte seiner Unterauftragsverarbeiter. Die Auskunft erfolgt innerhalb von 14 Tagen nach Anfrage in Textform.

(2) Der Auftraggeber kann sich nach vorheriger Anmeldung mit einer Frist von vier Wochen während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs von der Einhaltung überzeugen. Kontrollen erfolgen in der Regel höchstens einmal jährlich, es sei denn, es besteht ein konkreter Anlass.

(3) Der Auftraggeber kann die Kontrolle durch einen zur Verschwiegenheit verpflichteten Dritten durchführen lassen, sofern dieser nicht in einem Wettbewerbsverhältnis zum Auftragnehmer steht.

(4) Für den Aufwand einer Vor-Ort-Kontrolle kann der Auftragnehmer eine angemessene Vergütung verlangen, sofern kein Anlass zur Beanstandung bestand.

§ 9 Haftung

Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen des zugrundeliegenden Nutzungsvertrags, soweit dies nach Art. 82 DSGVO zulässig ist.

§ 10 Rückgabe, Archivierung und Löschung nach Vertragsende

(1) Wahlrecht des Auftraggebers. Nach Beendigung des Vertrags entscheidet der Auftraggeber gemäß Art. 28 Abs. 3 lit. g DSGVO, ob die im Auftrag verarbeiteten personenbezogenen Daten gelöscht oder an ihn zurückgegeben werden. Er kann dieses Wahlrecht jederzeit ausüben.

(2) Vorab erteilte Weisung. Übt der Auftraggeber sein Wahlrecht nicht ausdrücklich aus, weist er den Auftragnehmer bereits mit Abschluss dieses Vertrags an, wie folgt zu verfahren:

a) Tag 1 bis 30 nach Vertragsende — Exportfenster. Der Auftragnehmer hält die Daten unverändert vor und stellt sie dem Auftraggeber in einem gängigen, maschinenlesbaren Format (CSV oder JSON) zum Abruf bereit. Der Export umfasst mindestens Kontaktdaten, Konversationsverläufe, Statusangaben, Herkunftsangaben und die dokumentierten Einwilligungen.

b) Tag 31 bis 90 nach Vertragsende — Archivfenster. Der Auftragnehmer verwahrt die Daten in einem gesonderten, gegen Zugriff geschützten Bestand. Die Verarbeitung ist in diesem Zeitraum auf die reine Speicherung beschränkt. Eine Auswertung, Nutzung, Übermittlung, Anreicherung oder Verwendung zu eigenen Zwecken des Auftragnehmers findet nicht statt. Zugriff besteht ausschließlich zum Zweck einer Wiederherstellung auf Verlangen des Auftraggebers.

c) Tag 90 nach Vertragsende — Löschung. Der Auftragnehmer löscht die Daten endgültig, soweit keine gesetzliche Aufbewahrungspflicht besteht. Er weist den Auftraggeber spätestens sieben Tage zuvor in Textform auf den bevorstehenden Löschtermin hin und bestätigt die Löschung auf Anfrage in Textform.

(3) Zweck der Aufbewahrung nach Absatz 2. Die Archivierung dient allein dem Interesse des Auftraggebers, seinen Datenbestand bei einer Wiederaufnahme des Vertragsverhältnisses oder bei einem verspäteten Export nicht zu verlieren. Sie begründet kein eigenes Interesse und kein Nutzungsrecht des Auftragnehmers.

(4) Vorrang abweichender Weisung. Der Auftraggeber kann jederzeit die sofortige Löschung oder die Herausgabe auf einem anderen Weg verlangen. Der Auftragnehmer führt eine Löschungsweisung binnen 14 Tagen aus. Eine erteilte Weisung nach Absatz 2 tritt hinter einer ausdrücklichen Einzelweisung zurück.

(5) Betroffenenrechte während der Archivierung. Verlangt eine betroffene Person während des Archivfensters die Löschung ihrer Daten, informiert der Auftragnehmer den Auftraggeber unverzüglich. Ist der Auftraggeber nicht innerhalb von 14 Tagen erreichbar, führt der Auftragnehmer die Löschung selbst aus, um die Rechte der betroffenen Person zu wahren, und dokumentiert dies.

(6) Fortlaufende Löschfristen. Unabhängig von den Absätzen 1 bis 5 löscht der Auftragnehmer Daten von Interessenten und Endkunden 24 Monate nach dem letzten Kontakt, sofern der Auftraggeber keine kürzere Frist festlegt. Diese Frist läuft auch während des Archivfensters weiter.

(7) Datensicherungen. Daten in Sicherungskopien werden nicht gezielt einzeln gelöscht, sondern laufen mit dem Sicherungszyklus von 14 Tagen aus. Während dieser Zeit bleibt der Zugriff auf Sicherungen auf Wiederherstellungsfälle beschränkt.

§ 11 Schlussbestimmungen

(1) Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen die Regelungen dieses Vertrags in datenschutzrechtlichen Fragen vor.

(2) Änderungen bedürfen der Textform.

(3) Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen unberührt.

(4) Es gilt deutsches Recht.

Anlage 1 — Gegenstand und Einzelheiten der Verarbeitung

Gegenstand: Bereitstellung einer Anwendung zur Erfassung, Verwaltung und Nachverfolgung von Anfragen sowie zur Kommunikation mit Endkunden über Messenger-Dienste.

Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Übermitteln, Einschränken, Löschen.

Zweck: Lead- und Kundenverwaltung, Kommunikation, Terminanbahnung und Auswertung für den Betrieb des Auftraggebers.

Kategorien betroffener Personen:

• Interessenten und Endkunden des Auftraggebers
• Mitarbeitende des Auftraggebers, die die Anwendung nutzen

Kategorien personenbezogener Daten:

• Kontaktdaten: Name, Telefonnummer, E-Mail-Adresse; bei Termin-Karten mit Anfahrtsangabe zusätzlich die Anschrift des Termins
• Kommunikationsdaten: Nachrichteninhalte, empfangene Mediendateien (Sprachnachrichten, Bilder, Videos, Dokumente), Zeitstempel, Zustellstatus, Kanal (WhatsApp, Lead-Formulare sowie E-Mail über das vom Auftraggeber angebundene eigene Postfach)
• Herkunftsdaten: Anzeigen-, Kampagnen- oder Formularkennung; Angabe zur Werbe-Einwilligung; vom Auftraggeber eingebrachte Bestandskontakte (Import)
• Statusdaten: Bearbeitungsstand, Notizen, Terminangaben, ggf. Auftragswert, ggf. Zufriedenheits-Rückmeldung
• Nutzungsdaten der Mitarbeitenden, soweit im Auftrag verarbeitet: Push-Abos angemeldeter Geräte, vorgenommene Änderungen an Vorgängen. (Anmeldedaten und Sicherheitsdaten der Nutzerkonten verarbeitet der Auftragnehmer als eigene Verarbeitung; siehe dessen Datenschutzerklärung.)

Besondere Kategorien nach Art. 9 DSGVO: nicht Gegenstand des Auftrags. Zur Behandlung unaufgeforderter Angaben siehe § 3 Abs. 3 dieses Vertrags.

Automatisierte Nachrichten als dokumentierte Weisung: Die Anwendung versendet nach Konfiguration des Auftraggebers automatisierte Nachrichten (Begrüßungs-, Qualifizierungs-, Erinnerungs-, Nachfass- sowie einmalige Zufriedenheits-Nachrichten). Umfang, Inhalt und Zeitpunkte bestimmt der Auftraggeber über die Einstellungen der Anwendung; die jeweils aktive Konfiguration gilt als dokumentierte Weisung im Sinne des § 4 dieses Vertrags. Eine technische Sperre verhindert automatisierte Werbenachrichten an Personen, für die ein Widerspruch („STOP"), eine verneinte Einwilligungs-Antwort oder eine bei der Übernahme von Bestandskontakten fehlende Einwilligung dokumentiert ist.

KI-gestützte Antwortvorschläge: Auf ausdrücklichen Anstoß eines Mitarbeiters des Auftraggebers werden Auszüge des jeweiligen Gesprächsverlaufs (ohne Telefonnummer) samt Vorname der betroffenen Person und einem optionalen Hinweis des Mitarbeiters an den in Anlage 3 genannten KI-Dienstleister übermittelt, um Antwortvorschläge zu erzeugen. Die Nutzung ist freiwillig; ohne Anstoß findet keine Übermittlung von Auftragsdaten an den KI-Dienstleister statt. Übermittelt der Auftraggeber im Support freiwillig Bildschirmfotos mit Endkundendaten, gilt dies als Weisung zur Verarbeitung im Auftrag.

Conversions-Meldungen: Auf Grundlage der vom Auftraggeber hinterlegten Einrichtung meldet die Anwendung Werbeerfolge (z. B. eine zustande gekommene Anfrage oder Buchung, ggf. samt Wert) an Meta — Kontaktdaten dabei ausschließlich als SHA-256-Prüfsumme.

Ort der Verarbeitung: Rechenzentren der Hetzner Online GmbH in Deutschland, ergänzt um die in Anlage 3 genannten Dienste.

Anlage 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 27.08.2026

1. Vertraulichkeit

Zutrittskontrolle
Die Verarbeitung erfolgt in Rechenzentren der Hetzner Online GmbH in Deutschland. Diese sind nach ISO/IEC 27001 zertifiziert und verfügen über Zutrittskontrollsysteme, Videoüberwachung und Alarmanlagen. Der Auftragnehmer selbst hat keinen physischen Zugang zu den Systemen.

Zugangskontrolle

• Zugang zur Anwendung ausschließlich über individuelle Benutzerkonten mit Passwort
• Passwörter werden ausschließlich als kryptografischer Hash gespeichert (scrypt mit Salt)
• Mindestlänge von zwölf Zeichen
• Serveradministration ausschließlich über SSH mit Schlüsselauthentifizierung; Anmeldung mit Passwort ist deaktiviert
• Der Kreis der Personen mit Serverzugang ist namentlich dokumentiert und auf das erforderliche Minimum beschränkt; ausscheidende Personen werden unverzüglich entfernt

Zugriffskontrolle

• Rollen- und Berechtigungskonzept innerhalb der Anwendung
• Strikte Mandantentrennung: Jeder Datensatz ist einem Mandanten zugeordnet; sämtliche Datenbankabfragen sind zwingend auf den Mandanten des angemeldeten Nutzers eingeschränkt
• Zugriff auf Produktivdaten durch den Auftragnehmer nur, soweit für Support und Fehlerbehebung erforderlich

Verschlüsselung

• Verschlüsselung bei der Übertragung durchgehend über TLS 1.2 oder höher
• Passwörter der Nutzerkonten werden ausschließlich als kryptografischer Hash gespeichert; hinterlegte Zugangs-Token und Postfach-Zugangsdaten werden verschlüsselt verwahrt (AES-256-GCM)
• Datensicherungen werden komprimiert im zugriffsgeschützten Rechenzentrum abgelegt; ihr Schutz erfolgt über dieselbe Zutritts-, Zugangs- und Zugriffskontrolle wie bei der Datenbank
• Die Datenbank selbst liegt auf einem Speichermedium innerhalb eines nach ISO/IEC 27001 zertifizierten Rechenzentrums in Deutschland; der Schutz erfolgt über Zutritts-, Zugangs- und Zugriffskontrolle.

Trennungskontrolle
Logische Trennung der Mandanten in der Datenbank. Trennung von Produktiv- und Testumgebung. In Testumgebungen werden keine Echtdaten verwendet.

2. Integrität

Weitergabekontrolle

• Verschlüsselte Übertragung ausschließlich über TLS 1.2 oder höher, erzwungen durch HSTS
• Kein Versand personenbezogener Daten über unverschlüsselte Kanäle
• Datenübermittlung an Meta und Stripe ausschließlich über verschlüsselte API-Verbindungen

Eingabekontrolle

• Speicherung des Zeitpunkts der letzten Anmeldung je Nutzerkonto; kurzzeitige Zählung fehlgeschlagener Anmeldeversuche zur Abwehr automatisierter Angriffe
• Änderungen an Vorgängen werden nachvollziehbar am jeweiligen Datensatz vermerkt (z. B. Statuswechsel, Notizen mit Zeitstempel)
• Zustimmungen zu Vertragsdokumenten werden unveränderlich mit Zeitstempel, Dokumentversion und Prüfsumme protokolliert
• Server-Logfiles werden nach 7 Tagen automatisch gelöscht

3. Verfügbarkeit und Belastbarkeit

• Tägliche automatisierte Sicherung der Datenbank (konsistent erstellt, komprimiert), Aufbewahrung 14 Tage — für die schnelle Wiederherstellung einzelner Stände
• Zusätzlich regelmäßige Server-Backups über die Hetzner Online GmbH, die getrennt vom Produktivsystem in deren Infrastruktur (Rechenzentrum Deutschland) vorgehalten werden
• Der Zugriff auf Sicherungen ist auf den Systembetrieb beschränkt; der Schutz erfolgt — wie bei der Datenbank selbst — über Zutritts-, Zugangs- und Zugriffskontrolle im nach ISO/IEC 27001 zertifizierten Rechenzentrum in Deutschland
• Prozessüberwachung mit automatischem Neustart
• Redundante Stromversorgung, Klimatisierung und Netzanbindung im Rechenzentrum
• Regelmäßiges Einspielen von Sicherheitsupdates für Betriebssystem und Anwendungsabhängigkeiten

4. Verfahren zur Überprüfung und Bewertung

• Datenschutz-Management: Verzeichnis von Verarbeitungstätigkeiten vorhanden; alle Mitarbeitenden sind auf Vertraulichkeit verpflichtet; jährliche Überprüfung dieser Maßnahmen
• Incident-Response: definierter Prozess zur Erkennung, Bewertung und Meldung von Datenschutzverletzungen innerhalb von 24 Stunden
• Auftragskontrolle: Abschluss von Auftragsverarbeitungsverträgen mit allen Unterauftragsverarbeitern; Prüfung ihrer Nachweise vor Beauftragung
• Datenschutz durch Technikgestaltung und Voreinstellungen (Art. 25 DSGVO): Datenminimierung bei der Erfassung; automatisierte Löschroutinen mit definierten Fristen; restriktive Standardberechtigungen für neu angelegte Nutzer; keine Eingabefelder für Daten besonderer Kategorien

Anlage 3 — Unterauftragsverarbeiter

Stand: 27.08.2026 · Aktuelle Fassung: soglee.de/unterauftragsverarbeiter

Unterauftragsverarbeiter für die im Auftrag verarbeiteten Daten (Interessenten und Endkunden des Auftraggebers sowie Mitarbeitende, soweit Anlage 1 sie erfasst):

Dienstleister für die eigene Verarbeitung des Auftragnehmers (Vertrags- und Abrechnungsdaten des Auftraggebers; keine Endkundendaten, daher keine Unterauftragsverarbeiter im Sinne des § 5):

Der E-Mail-Anbieter des vom Auftraggeber selbst angebundenen Postfachs (z. B. dessen Gmail- oder GMX-Konto) ist Dienstleister des Auftraggebers, nicht des Auftragnehmers.

Hinweis zu Meta: Meta handelt für die Übermittlung und Zustellung der Nachrichten auf Grundlage der WhatsApp Business Data Processing Terms als weiterer Auftragsverarbeiter und ist insoweit Unterauftragsverarbeiter im Sinne des § 5 dieses Vertrags. Für davon abgegrenzte eigene Zwecke — insbesondere Sicherheit, Missbrauchsabwehr und Bereitstellung des Dienstes insgesamt — ist Meta eigenständig verantwortlich. Diese Verarbeitung liegt außerhalb des Weisungsrechts des Auftraggebers und außerhalb des Einflussbereichs des Auftragnehmers. Grundlage sind die WhatsApp Business Terms, die WhatsApp Business Data Processing Terms und das Business Data Transfer Addendum.