Vertrag zur Auftragsverarbeitung

§ 1 Gegenstand und Dauer

(1) Der Auftragnehmer betreibt für den Auftraggeber die Software Saleswind (Übersichten, Ziele, Aufgaben und Berichte auf Grundlage der JTL-Wawi des Auftraggebers). Dabei verarbeitet er personenbezogene Daten im Auftrag.

(2) Der Vertrag läuft so lange wie die Nutzung von Saleswind durch den Auftraggeber und endet mit ihr.

§ 2 Art, Zweck und Umfang der Verarbeitung

(1) Die Daten der Warenwirtschaft verarbeitet der Auftragnehmer grundsätzlich nur im Durchlauf:

• Live-Abfragen: Ein Agent beim Auftraggeber liest die Datenbank mit Leserechten. Die Ergebnisse gehen Ende-zu-Ende verschlüsselt an den Browser des Nutzers. Der Auftragnehmer kann sie nicht lesen und speichert sie nicht; er protokolliert nur, wer welche Abfrage wann ausgeführt hat.
• Ziele: Täglich ermittelt der Server je Ziel eine Kennzahl und speichert nur diese Zahl je Tag.
• Berichte per Mail: Der Server berechnet den Inhalt im Arbeitsspeicher und versendet ihn per E-Mail. Der Inhalt wird nicht gespeichert; die Ende-zu-Ende-Verschlüsselung gilt für diesen Weg nicht.
• KI-Auswertung (nur wenn der Auftraggeber sie einschaltet): Zusammengefasste Kennzahlen einer Analyse gehen an einen KI-Anbieter (Anlage 2), ohne Namen oder Kontaktdaten. Nichts davon wird gespeichert.

(2) Gespeichert werden außerdem die Inhalte, die Nutzer anlegen: Abfragetexte, Ansichten, Ziele, Aufgaben (Freitext), Berichte samt Empfängeradressen und dem Stand ihrer Bestätigung, Mail-Design und Zugangsdaten eines eigenen Mailservers (Passwort verschlüsselt).

(3) Arten der Daten: Stamm- und Kontaktdaten (Name, Firma, Ort, E-Mail, Telefon), Vertrags- und Belegdaten (Aufträge, Rechnungen, Umsätze), aus der Warenwirtschaft jeweils nur soweit eine Abfrage sie liest; Freitext in Aufgaben; E-Mail-Adressen von Berichtsempfängern. Bankverbindungen der Kunden sowie Passwörter und Zugangsschlüssel der Warenwirtschaft sperrt der Agent für den Lesezugriff.

(4) Betroffene: Kunden, Ansprechpartner, Lieferanten und Beschäftigte des Auftraggebers, soweit sie in der Warenwirtschaft erfasst sind; Empfänger von Berichten; in Aufgaben genannte Personen.

(5) Die Daten der Nutzer selbst (Konto, Anmeldung) verarbeitet der Auftragnehmer als eigener Verantwortlicher; dafür gilt die Datenschutzerklärung.

(6) Die Verarbeitung findet in der Europäischen Union statt; Ausnahmen nennt Anlage 2.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; dann teilt er dies vorher mit, soweit das Gesetz es nicht verbietet. Weisungen sind dieser Vertrag, die Einstellungen, die der Auftraggeber in Saleswind vornimmt, und Weisungen in Textform an info@saleswind.de.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin.

§ 4 Vertraulichkeit

Personen, die beim Auftragnehmer Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet. Der Auftragnehmer sieht in Saleswind nur Verwaltungsdaten der Betriebe (Name, Tarif, Mitgliederzahl, Verbindungsstatus), nicht die Inhalte der Warenwirtschaft.

§ 5 Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber stimmt den in Anlage 2 genannten Unterauftragsverarbeitern zu.

(2) Über neue oder ersetzte Unterauftragsverarbeiter informiert der Auftragnehmer mindestens vier Wochen vorher per E-Mail. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kommt keine Einigung zustande, können beide Seiten den Vertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (Angemessenheitsbeschluss oder EU-Standardvertragsklauseln).

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber bei Anfragen Betroffener (Art. 12 bis 22 DSGVO), bei der Datenschutz- Folgenabschätzung und bei Meldungen an die Aufsichtsbehörde (Art. 32 bis 36 DSGVO). Wendet sich ein Betroffener direkt an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter.

(2) Eine Verletzung des Schutzes personenbezogener Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 8 Löschung und Rückgabe

(1) Löst der Auftraggeber seinen Betrieb in Saleswind auf (Einstellungen → Organisation), werden alle Daten des Betriebs sofort gelöscht. Endet der Vertrag auf andere Weise, löscht der Auftragnehmer die Daten spätestens 60 Tage nach Vertragsende, sofern keine gesetzliche Pflicht zur Aufbewahrung besteht.

(2) Die Daten der Warenwirtschaft selbst verbleiben beim Auftraggeber. Eine Rückgabe der in Saleswind angelegten Inhalte erfolgt auf Anfrage in einem gängigen Format.

§ 9 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus Art. 28 DSGVO nötig sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Ankündigung und zu den üblichen Geschäftszeiten. Die Nachweise der Unterauftragsverarbeiter (Zertifizierungen, Prüfberichte) können an deren Stelle treten.

§ 10 Haftung und Schluss

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.

(2) Bei Widersprüchen geht dieser Vertrag den AGB vor, soweit es um den Schutz personenbezogener Daten geht.

Anlage 1 · Technische und organisatorische Maßnahmen

Vertraulichkeit

• Mandantentrennung in der Datenbank: Jede Zeile gehört zu einem Betrieb; Zugriffsregeln (Row Level Security) setzt die Datenbank selbst durch, nicht nur die Oberfläche.
• Rollen und Rechte je Betrieb, bis hin zu einzelnen sichtbaren Bereichen; Geldbeträge nur für berechtigte Rollen.
• Anmeldung mit Passwort; zweiter Faktor per E-Mail-Code, je Betrieb erzwingbar, gebunden an die einzelne Sitzung, mit Begrenzung der Fehlversuche.
• Verwaltungszugang des Auftragnehmers nur für ausdrücklich eingetragene Konten der eigenen Domain, nur mit zweitem Faktor, jede Aktion protokolliert, ohne Einblick in Inhalte.
• Zugriff auf die Warenwirtschaft nur über einen eigenen Datenbankbenutzer mit Leserechten; Sperre auf sensible Spalten (Bankdaten, Passwörter, Zugangsschlüssel).
• Der Agent baut nur ausgehende Verbindungen auf; beim Auftraggeber wird kein Port geöffnet. Seine Zugangsdaten bleiben auf dessen Rechner.

Integrität

• Abfragen an den Agenten sind digital signiert (Ed25519) und nur 60 Sekunden gültig; Server und Agent prüfen unabhängig, dass sie nur lesen.
• Grenzen je Abfrage für Zeilen und Laufzeit, damit die Warenwirtschaft nicht belastet wird.
• Protokoll der ausgeführten Abfragen (wer, was, wann; ohne Ergebnis) sowie der Änderungen an Rollen und Mitgliedern.

Verschlüsselung

• TLS auf allen Verbindungen; Sicherheits-Header (HSTS, Content-Security-Policy).
• Live-Ergebnisse zusätzlich Ende-zu-Ende verschlüsselt (ECDH P-256, AES-256-GCM, je Abfrage neue Schlüssel).
• Ruhende Daten verschlüsselt beim Datenbankanbieter; Passwörter eigener Mailserver zusätzlich mit einem getrennt aufbewahrten Schlüssel (AES-256-GCM).
• Anmelde-Codes nur als Hash gespeichert.

Verfügbarkeit und Belastbarkeit

• Betrieb in Rechenzentren großer Anbieter in der EU mit redundanter Infrastruktur; tägliche Datensicherung durch den Datenbankanbieter.
• Die Daten der Warenwirtschaft verbleiben beim Auftraggeber und sind von einem Ausfall von Saleswind nicht betroffen.

Datensparsamkeit und Löschung

• Keine Speicherung von Ergebnissen aus der Warenwirtschaft (Ausnahme: eine Kennzahl je Ziel und Tag).
• Automatische Löschung: Verbindungsstatus nach 7 Tagen, Abfrage-Protokolle nach 90 Tagen, Berichtsläufe nach 180 Tagen, Anmelde-Codes nach 2 Tagen.
• Keine Analyse- oder Tracking-Dienste.

Organisation

• Änderungen an der Datenbank werden vor dem Einspielen in einer Testumgebung geprüft; vor dem Einspielen wird gesichert.
• Regelmäßige Sicherheitsprüfungen des Codes und der Zugriffsregeln (zuletzt am 08.10.2026).

Anlage 2 · Unterauftragsverarbeiter

Für Übermittlungen in die USA gilt der Angemessenheitsbeschluss zum EU-U.S. Data Privacy Framework, soweit der Anbieter danach zertifiziert ist, im Übrigen die EU-Standardvertragsklauseln.