Auftragsverarbeitungsvertrag (AVV)

zwischen dem Kunden als Verantwortlichem (nachfolgend „Kunde") und Sascha Willutzki, ASDO, Koppenstraße 93, 10243 Berlin, als Auftragsverarbeiter (nachfolgend „ASDO") nach Art. 28 DSGVO. Der Vertrag wird bei Registrierung elektronisch geschlossen und ergänzt die AGB.

1. Gegenstand und Dauer

ASDO stellt eine B2B-Software für phygitale Vertriebskampagnen bereit: Lead-Verwaltung, KI-gestützte Recherche und Texterstellung, Druck und postalischer Versand von Briefen und Postkarten (auch per Handschrift-Roboter), QR-Tracking, Sequenzen und Aufgaben. Dabei verarbeitet ASDO personenbezogene Daten im Auftrag des Kunden. Der Vertrag gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange ASDO Auftragsdaten verarbeitet.

2. Art, Zweck und Umfang der Verarbeitung

• Speicherung und Verwaltung importierter Leads und Kampagnen.
• Recherche öffentlich verfügbarer Informationen (Position, Unternehmen, Anlässe, Jobwechsel, Erreichbarkeit).
• KI-gestützte Erstellung von Brief-, Postkarten-, E-Mail-, LinkedIn- und Gesprächstexten.
• Weitergabe freigegebener Sendungen an Druck-/Schreibdienstleister und Postdienst zur Zustellung.
• Erfassung von QR-Scans ohne Cookies und Benachrichtigung des Kunden.
• Planung von Folgeaufgaben (Sequenzen) und Dokumentation von Ergebnissen.

3. Art der Daten und Kategorien Betroffener

• Betroffene: Leads, Ansprechpartner und Briefempfänger des Kunden; Nutzer des Kunden.
• Daten: Name, Anrede, Position, Unternehmen, Geschäftsanschrift, geschäftliche E-Mail und Telefonnummer, LinkedIn-URL, öffentlich recherchierte Anlässe und Unternehmensinformationen, Brief- und Postkartentexte, Scan-Ereignisse (Zeitpunkt, gekürzte technische Daten), Notizen, Aufgaben und Ergebnisse; bei Nutzern zusätzlich Login- und Nutzungsdaten.
• Besondere Kategorien nach Art. 9 DSGVO sind nicht vorgesehen; der Kunde lädt solche Daten nicht hoch.

4. Pflichten des Kunden

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine tragfähige Rechtsgrundlage der Ansprache (in der Regel berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO), die Informationspflichten nach Art. 13/14 DSGVO gegenüber den Empfängern und die Beachtung von Werbewidersprüchen. Er prüft KI-generierte Texte vor der Freigabe.

5. Weisungsgebundenheit

ASDO verarbeitet Daten nur auf dokumentierte Weisung des Kunden. Die Bedienung der Software (z. B. Import, Recherche, „Freigeben und versenden") gilt als Weisung. Hält ASDO eine Weisung für rechtswidrig, informiert ASDO den Kunden unverzüglich.

6. KI-Verarbeitung

Für die Texterstellung werden die jeweils erforderlichen Lead-Daten an KI-Sprachmodelle übermittelt. Die Anbieter verarbeiten diese Eingaben nur zur Erzeugung der Antwort und nutzen sie nicht zum Training ihrer Modelle. Es findet keine automatisierte Entscheidung mit rechtlicher Wirkung gegenüber Betroffenen im Sinne von Art. 22 DSGVO statt.

7. Druck, Handschrift und Postversand

Nach Freigabe übermittelt ASDO Empfängername, Anschrift und Sendungstext an den Druck- bzw. Schreibdienstleister. Dieser verarbeitet die Daten ausschließlich zur Herstellung, Kuvertierung und Übergabe an die Post und löscht sie nach Erledigung, spätestens nach 30 Tagen. Die Deutsche Post AG erhält nur die Anschrift auf der Sendung.

8. Vertraulichkeit

Alle mit der Verarbeitung befassten Personen sind zur Vertraulichkeit verpflichtet.

9. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselte Übertragung (TLS) und Verschlüsselung gespeicherter Daten.
• Strikte Mandantentrennung durch Zeilen-Sicherheitsregeln in der Datenbank.
• Rollenbasierte Zugriffe, sichere Authentifizierung, Zugriff nur für befugte Personen.
• Abgesicherte öffentliche Schnittstellen (Geheimnis-Prüfung, Begrenzung von Aufrufen, gehashte IP-Adressen).
• Protokollierung kosten- und versandrelevanter Vorgänge, Fehlerüberwachung, regelmäßige Backups.
• Datensparsamkeit: QR-Tracking ohne Cookies; Weitergabe an Dienstleister nur im erforderlichen Umfang.

ASDO darf die Maßnahmen weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

10. Unterauftragsverarbeiter

Der Kunde genehmigt die in Anlage 1 genannten Unterauftragsverarbeiter. ASDO schließt mit ihnen Verträge nach Art. 28 Abs. 4 DSGVO. Über neue oder geänderte Unterauftragsverarbeiter informiert ASDO mindestens 14 Tage vorab per E-Mail; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag in diesem Fall außerordentlich kündigen.

11. Drittlandübermittlung

Übermittlungen in Drittländer erfolgen nur bei Vorliegen der Voraussetzungen der Art. 44 ff. DSGVO, insbesondere auf Grundlage des EU-US Data Privacy Framework oder der EU-Standardvertragsklauseln.

12. Unterstützungspflichten

ASDO unterstützt den Kunden bei Betroffenenanfragen (Auskunft, Berichtigung, Löschung, Widerspruch), bei der Meldung von Datenschutzverletzungen (Information unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis) sowie bei Datenschutz-Folgenabschätzungen. Wenden sich Betroffene direkt an ASDO, leitet ASDO die Anfrage an den Kunden weiter.

13. Kontrollrechte

Der Kunde kann sich nach angemessener Vorankündigung von der Einhaltung dieses Vertrags überzeugen, vorrangig durch Bereitstellung geeigneter Nachweise und Auskünfte, bei begründetem Anlass auch durch Inspektion während der Geschäftszeiten.

14. Löschung und Rückgabe

Nach Vertragsende gibt ASDO die Daten nach Wahl des Kunden heraus (Export) oder löscht sie innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Backups werden im regulären Zyklus überschrieben.

15. Haftung und Schlussbestimmungen

Die Haftung richtet sich nach Art. 82 DSGVO und den AGB. Bei Widersprüchen geht dieser Vertrag den AGB in Datenschutzfragen vor. Es gilt deutsches Recht; Gerichtsstand ist Berlin. Sollte eine Bestimmung unwirksam sein, bleibt der Vertrag im Übrigen wirksam. Für die Haftung der Parteien aus diesem Vertrag gelten die Haftungsbeschränkungen des SaaS-Hauptvertrages (AGB) entsprechend.

Anlage 1: Unterauftragsverarbeiter

Stand: Oktober 2026