Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Begriffe

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten, die ListPlus bei der Erbringung des Dienstes nach den AGB im Auftrag des Kunden vornimmt („Kundendaten“). Art, Zweck, Datenkategorien und betroffene Personen ergeben sich aus Anlage 1.

(2) Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“ und „Verletzung des Schutzes personenbezogener Daten“ haben die Bedeutung nach Art. 4 DSGVO.

(3) „Abrufwerkzeuge“ sind die Funktionen des Dienstes, mit denen der Kunde Daten bei externen Datenanbietern oder aus öffentlich zugänglichen Quellen abfragt, insbesondere Anreicherung, Personen- und Segmentsuche, E-Mail-Prüfung, LinkedIn-Importe, KI-Recherche und Signal-Abfragen, auch über die Agent-API.

§ 2 Rollen der Parteien

(1) ListPlus als Auftragsverarbeiter. Der Kunde ist Verantwortlicher und beauftragt ListPlus als Auftragsverarbeiter für

• Daten, die der Kunde hochlädt, importiert, anlegt, über verbundene Systeme synchronisiert oder an den Eingang weiterleitet;
• Daten, die der Kunde mit den Abrufwerkzeugen abfragt: ListPlus führt jede Suche, Anreicherung oder Recherche nur auf Veranlassung des Kunden und in dem von ihm festgelegten Rahmen aus, übermittelt dafür den nötigen Suchschlüssel an den jeweiligen Datenanbieter und stellt das Ergebnis ausschließlich diesem Kunden bereit;
• Daten, die der Kunde über Pipelines, Exporte, die Agent-API oder verbundene Systeme an von ihm gewählte Ziele übermittelt.

Der Kunde entscheidet, ob, über welche Personen, mit welchen Werkzeugen und zu welchem Zweck Daten verarbeitet werden. Er ist für die Einhaltung der Pflichten verantwortlich, die das Datenschutzrecht dem Verantwortlichen auferlegt.

(2) ListPlus als Verantwortlicher. ListPlus verarbeitet eigenverantwortlich und nicht im Auftrag:

• Konto-, Vertrags-, Abrechnungs-, Support- und Nutzungsdaten der Nutzer des Kunden;
• Daten, die zum Betrieb, zur Sicherheit, zur Missbrauchs- und Betrugsabwehr, zur Abrechnung von Credits und zur Erfüllung gesetzlicher Pflichten erforderlich sind;
• aggregierte oder anonymisierte Nutzungsstatistiken zur Verbesserung des Dienstes, die keinen Rückschluss auf einzelne betroffene Personen in Kundendaten zulassen;
• den kundenübergreifenden Unternehmens-Cache (§ 13 Abs. 3 AGB), soweit er ausnahmsweise personenbezogene Daten enthält;

Für diese Verarbeitungen gilt die Datenschutzerklärung von ListPlus (listplus.ai/privacy).

(3) Datenanbieter. Externe Datenanbieter sind für ihre eigenen Datenbestände selbst verantwortlich. ListPlus besitzt keine eigene Kontaktdatenbank und gibt keine Daten aus eigenem Bestand an den Kunden weiter. Die Datenanbieter und Quellen sind in Anlage 3, Teil B, aufgeführt; sie erhalten bei einem Abruf nur den Suchschlüssel. Ob sie insoweit Unterauftragsverarbeiter (§ 7) oder eigenständige Empfänger sind, an die der Kunde auf eigener Rechtsgrundlage übermittelt, wird anwaltlich geklärt; bis dahin gelten für sie die Informations- und Widerspruchsrechte des § 7 entsprechend.

§ 3 Weisungen

(1) ListPlus verarbeitet Kundendaten nur auf dokumentierte Weisung des Kunden, es sei denn, ListPlus ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt ListPlus dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen des Kunden sind abschließend in den AGB, diesem AVV, den Workspace-Richtlinien und in der Bedienung des Dienstes festgelegt. Jede vom Kunden oder seinen Nutzern ausgelöste Aktion – etwa ein Import, eine Suche, eine Anreicherung, eine Beobachtung in der Watchlist, eine KI-Recherche mit der vom Kunden formulierten Suchbeschreibung und den von ihm gewählten Quellen, eine Pipeline oder ein Export – gilt als dokumentierte Weisung in dem durch die Aktion bestimmten Umfang. Dasselbe gilt für Aktionen, die der Kunde über die Agent-API oder ein von ihm angebundenes KI-System auslöst. Mit den Workspace-Richtlinien (AGB § 3 Abs. 4) weist der Kunde ListPlus an, bestimmte Funktionen, Datenanbieter oder Quellen für seinen Workspace nicht einzusetzen; ListPlus setzt diese Weisung technisch durch.

(3) Weitere Weisungen erteilt der Kunde in Textform an support@listplus.ai. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, kann ListPlus ablehnen oder gegen angemessene Vergütung ausführen.

(4) ListPlus informiert den Kunden unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt, und darf die Ausführung bis zur Bestätigung oder Änderung durch den Kunden aussetzen.

§ 4 Pflichten des Kunden

Der Kunde stellt sicher, dass

• für jede von ihm veranlasste Verarbeitung, insbesondere für das Abfragen von Daten mit den Abrufwerkzeugen und deren spätere Nutzung, eine Rechtsgrundlage besteht;
• er betroffene Personen nach Art. 13 und 14 DSGVO informiert, Widersprüche beachtet und Anträge betroffener Personen beantwortet;
• Werbung per E-Mail, Telefon oder auf anderen Kanälen nur im Rahmen der gesetzlichen Vorgaben erfolgt, insbesondere § 7 UWG;
• keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen (Art. 10 DSGVO) verarbeitet werden;
• er berechtigt ist, ListPlus die Kundendaten zur Verarbeitung zu überlassen.

Der Kunde informiert ListPlus unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 5 Vertraulichkeit

ListPlus gewährleistet, dass sich alle Personen, die zur Verarbeitung der Kundendaten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Kundendaten erhalten nur Personen, die ihn für die Erbringung des Dienstes, den Support oder die Behebung von Störungen benötigen.

§ 6 Technische und organisatorische Maßnahmen

(1) ListPlus trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. ListPlus darf sie durch gleichwertige oder bessere Maßnahmen ersetzen; das Sicherheitsniveau darf dabei nicht unterschritten werden.

§ 7 Unterauftragsverarbeiter

(1) Der Kunde erteilt ListPlus die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) ListPlus informiert den Kunden mindestens 30 Tage vor dem Einsatz eines neuen oder dem Austausch eines bestehenden Unterauftragsverarbeiters in Textform (z. B. per E-Mail oder durch Aktualisierung von Anlage 3 mit Hinweis per E-Mail). Der Kunde kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können sich die Parteien nicht einigen, kann der Kunde den Nutzungsvertrag zum Zeitpunkt des Einsatzes des Unterauftragsverarbeiters kündigen. [PRÜFEN: Sonderregel für kurzfristigen Ersatz eines Datenanbieters, der ausfällt oder seinen Dienst einstellt.]

(3) ListPlus verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die den in diesem AVV festgelegten im Wesentlichen entsprechen. ListPlus haftet gegenüber dem Kunden für die Einhaltung dieser Pflichten durch den Unterauftragsverarbeiter nach Art. 28 Abs. 4 DSGVO.

(4) Keine Unterauftragsverarbeitung im Sinne dieses AVV sind Nebenleistungen, die ListPlus bei Dritten in Anspruch nimmt, ohne dass diese Zugriff auf Kundendaten erhalten (z. B. Telekommunikation, Zahlungsabwicklung für ListPlus selbst).

§ 8 Übermittlung in Drittländer

Eine Verarbeitung von Kundendaten außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-U.S. Data Privacy Framework) oder der EU-Standardvertragsklauseln (Modul 3, Auftragsverarbeiter an Auftragsverarbeiter), die ListPlus mit dem jeweiligen Unterauftragsverarbeiter abschließt. Der Dienst wird in der EU-Region Frankfurt gehostet; die betroffenen Unterauftragsverarbeiter und die jeweilige Garantie sind in Anlage 3 genannt.

§ 9 Unterstützung des Kunden

(1) ListPlus unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Der Dienst ermöglicht es dem Kunden, Kundendaten selbst einzusehen, zu exportieren, zu berichtigen und zu löschen; die Block List des Workspace kennzeichnet Datensätze zu Personen, die nicht angesprochen werden sollen. Widerspricht eine Person gegenüber ListPlus, trägt ListPlus ihre Kennung als Hashwert in eine kundenübergreifende Sperrliste ein, sodass sie über den Dienst nicht mehr bei Datenanbietern abgerufen, nicht als Recherche-Treffer aufgenommen und nicht beobachtet wird; Datensätze, die der Kunde bereits hält, bleiben davon unberührt und sind vom Kunden zu behandeln.

(2) Wendet sich eine betroffene Person direkt an ListPlus, leitet ListPlus den Antrag unverzüglich an den Kunden weiter, soweit der Kunde erkennbar ist, und beantwortet ihn nicht selbst, es sei denn, der Kunde weist dies an oder das Gesetz verlangt es.

(3) ListPlus unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO (Sicherheit, Meldungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

(4) Unterstützungsleistungen, die über die Funktionen des Dienstes hinausgehen und nicht auf einem Verstoß von ListPlus beruhen, kann ListPlus nach Aufwand angemessen in Rechnung stellen.

§ 10 Verletzungen des Schutzes personenbezogener Daten

ListPlus meldet dem Kunden eine Verletzung des Schutzes von Kundendaten unverzüglich, nachdem sie ListPlus bekannt geworden ist, möglichst innerhalb von 48 Stunden. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO; noch fehlende Angaben werden nachgereicht. ListPlus ergreift unverzüglich die erforderlichen Maßnahmen zur Sicherung der Daten und zur Minderung möglicher nachteiliger Folgen. Die Meldung an Aufsichtsbehörden und betroffene Personen obliegt dem Kunden.

§ 11 Löschung und Rückgabe

(1) Der Kunde kann Kundendaten während der Vertragslaufzeit jederzeit selbst exportieren und löschen. Bestimmte Daten werden nach den in der Datenschutzerklärung (Abschnitt 11) genannten Fristen automatisch gelöscht.

(2) Nach Beendigung des Nutzungsvertrags und Löschung des Kontos löscht ListPlus die Kundendaten, soweit keine gesetzliche Pflicht zur Speicherung besteht. Kopien in Sicherungen beim Hosting-Anbieter werden mit Ablauf des Sicherungszyklus überschrieben [PRÜFEN: Sicherungsfristen, derzeit bis zu 30 Tage].

(3) Eine Rückgabe erfolgt durch die Exportfunktion des Dienstes vor der Löschung.

§ 12 Nachweise und Kontrollen

(1) ListPlus stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Als Nachweis genügen in der Regel aktuelle Selbstauskünfte, die Beschreibung der Maßnahmen in Anlage 2 sowie Zertifikate und Prüfberichte der Unterauftragsverarbeiter (z. B. ISO 27001 oder SOC 2 des Hosting-Anbieters).

(2) Darüber hinausgehende Überprüfungen, einschließlich Inspektionen, kann der Kunde höchstens einmal pro Kalenderjahr nach Ankündigung mit angemessener Frist (mindestens 30 Tage) zu den üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten, nicht im Wettbewerb mit ListPlus stehenden Prüfer durchführen, es sei denn, eine Aufsichtsbehörde verlangt mehr oder ein konkreter Anlass besteht. Jede Partei trägt ihre eigenen Kosten.

§ 13 Haftung

Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO. Im Verhältnis der Parteien zueinander gelten die Haftungsregelungen der AGB (§ 14 AGB) sowie die Freistellung nach § 15 AGB. ListPlus haftet als Auftragsverarbeiter nur für Schäden, die dadurch entstehen, dass ListPlus seine speziell den Auftragsverarbeitern auferlegten Pflichten nicht erfüllt oder unter Nichtbeachtung oder gegen die rechtmäßigen Weisungen des Kunden gehandelt hat.

§ 14 Laufzeit und Schlussbestimmungen

(1) Dieser AVV gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange ListPlus Kundendaten verarbeitet.

(2) Bei Widersprüchen zwischen diesem AVV und den AGB gehen in Fragen des Datenschutzes die Regelungen dieses AVV vor.

(3) ListPlus kann diesen AVV nach dem Verfahren des § 16 AGB ändern, insbesondere zur Anpassung an geänderte Rechtslage oder an Änderungen der Unterauftragsverarbeiter. Für Unterauftragsverarbeiter gilt vorrangig § 7.

(4) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist, soweit gesetzlich zulässig, der Sitz der airrange software GmbH.

(5) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage 1: Gegenstand und Umfang der Verarbeitung

Art und Zweck der Verarbeitung

Speichern, Prüfen, Bereinigen, Anreichern, Durchsuchen, Recherchieren, Übermitteln und Exportieren von Kontakt- und Unternehmenslisten im Rahmen des Dienstes nach den AGB, einschließlich der Abfrage externer Datenanbieter und öffentlich zugänglicher Quellen mit den Abrufwerkzeugen sowie der Verarbeitung durch KI-Modelle in dem in der Datenschutzerklärung (Abschnitt 12) beschriebenen Umfang.

Kategorien betroffener Personen

• Geschäftskontakte, Interessenten, Kunden und sonstige Personen in Listen des Kunden;
• Personen, deren Daten der Kunde mit den Abrufwerkzeugen abfragt, einschließlich Personen, die der Kunde in der Watchlist beobachten lässt, und Personen, die in der KI-Recherche als Autoren, Kommentatoren oder Reagierende öffentlicher Beiträge erfasst werden;
• Absender und in weitergeleiteten Inhalten genannte Personen (Eingang); Personen, die ein Formular des Kunden ausfüllen oder deren Daten ein System an den Webhook einer Liste sendet;
• Korrespondenten, die der Kunde über das Outlook-Add-in erfasst;
• Mitarbeitende des Kunden, soweit sie in Kundendaten enthalten sind.

Kategorien personenbezogener Daten

• Name, berufliche Position und Senioritätsstufe, Unternehmen;
• geschäftliche E-Mail-Adresse und deren Zustellbarkeitsstatus, geschäftliche Telefon- und ggf. Mobilnummer;
• URL des LinkedIn-Profils, Ort, öffentlich sichtbare Profilangaben (z. B. Werdegang, frühere Arbeitgeber), öffentliche Beiträge, Kommentare und Reaktionen; bei der KI-Recherche Fundstelle, Beleg und eine Passungs-Einschätzung;
• Inhalte weitergeleiteter E-Mails und Anhänge (Eingang);
• sonstige Daten, die der Kunde in seine Listen aufnimmt (keine Daten nach Art. 9 und 10 DSGVO).

Dauer

Für die Laufzeit des Nutzungsvertrags; Löschung nach § 11.

Anlage 2: Technische und organisatorische Maßnahmen

• Hosting und Standort: Anwendung, Dateispeicher und Arbeitsspeicher (Redis) in der EU-Region Frankfurt. Der Hosting-Anbieter Vercel ist nach ISO 27001:2022 zertifiziert und verfügt über einen SOC-2-Type-2-Bericht; ListPlus selbst hält keine eigene Zertifizierung.
• Verschlüsselung: Übertragung ausschließlich verschlüsselt (TLS), auch zwischen Anwendung und Datenbank und zu allen Dienstleistern; Dateispeicher verschlüsselt beim Hosting-Anbieter [PRÜFEN: Verschlüsselung im Ruhezustand bei Redis Cloud bestätigen]; vom Kunden hinterlegte Zugangsschlüssel verschlüsselt gespeichert.
• Zugangskontrolle: Anmeldung per E-Mail-Einmalcode oder über Google; Sitzungen über signierte Tokens (30 Tage); keine gemeinsam genutzten Konten.
• Zugriffskontrolle: Zugriff auf Listen nur für das jeweilige Konto, eingeladene Workspace-Mitglieder und ausdrücklich freigegebene Personen; jede Schnittstelle prüft die Berechtigung serverseitig. Datenbank- und API-Schlüssel werden ausschließlich serverseitig verwendet.
• Trennung: Kundendaten werden je Workspace getrennt gespeichert. Ergebnisse zu Personen werden nicht zwischen Kunden geteilt; kundenübergreifend gespeichert werden nur Unternehmensdaten ohne Personenbezug (30 Tage).
• Datenminimierung bei Abrufen: An Datenanbieter wird nur der für die Abfrage nötige Suchschlüssel übermittelt, nie die übrige Liste.
• Datenminimierung bei KI: KI-Verarbeitung ausschließlich serverseitig; an KI-Anbieter wird der für die Aufgabe nötige Ausschnitt übermittelt – für Prüfungen nur eindeutige Werte, für Textspalten, Eingang, Webhook-Prüfung und Diktat der jeweilige Text bzw. Datensatz (Datenschutzerklärung, Abschnitt 12); Anfragen an OpenAI mit der Einstellung „nicht speichern“, an das Bewertungsmodell ohne Speicherung beim Anbieter. Der Kunde kann KI-Funktionen je Workspace abschalten.
• Weitergabekontrolle: Externe Zugänge (Agent-API, Daten-Endpunkte, Eingangsadresse, Listen-Webhooks) sind durch geheime, widerrufbare Schlüssel geschützt; eingehende Webhooks prüfen Signaturen bzw. gemeinsame Geheimnisse; welche Dienstleister Daten erhalten, steuert der Kunde über die Workspace-Richtlinien.
• Verfügbarkeit: Die Listen liegen dauerhaft im Dateispeicher des Hosting-Anbieters und werden von dort geladen; die Datenbank ist repliziert und schreibt ein Journal, eine gesonderte Sicherung der Datenbank gibt es derzeit nicht [PRÜFEN: Sicherungsfristen des Dateispeichers]. Ratenbegrenzungen gegen Missbrauch.
• Löschung: Löschen von Listen, Workspaces und des Kontos durch den Kunden mit sofortiger Wirkung (Selbstbedienung); automatische Löschfristen für Eingang, geteilte Links, Recherchen, Zwischenspeicher und Pipeline-Verläufe (Datenschutzerklärung, Abschnitt 17).
• Organisation: Verpflichtung auf Vertraulichkeit; Zugriff auf Produktionsdaten nur, soweit für Betrieb und Support erforderlich [PRÜFEN: Protokollierung administrativer Zugriffe beschreiben].

Anlage 3: Unterauftragsverarbeiter

Teil A: Unterauftragsverarbeiter

Diese Dienstleister verarbeiten Kundendaten in unserem Auftrag nach Art. 28 DSGVO. „Abschaltbar“ nennt den Schalter der Workspace-Richtlinien, mit dem der Kunde die Übermittlung an diesen Dienstleister für seinen Workspace unterbindet.

Teil B: Datenanbieter und Quellen

Diese Anbieter erhalten bei einem Abruf nur den Suchschlüssel (z. B. E-Mail-Adresse, Domain, LinkedIn-URL, Name und Firma oder Suchfilter), nie die übrige Liste. Sie sind für ihre eigenen Datenbestände selbst Verantwortliche; ListPlus ist das Werkzeug, mit dem der Kunde sie abfragt. Ob sie für den Suchschlüssel als Unterauftragsverarbeiter oder als eigenständige Empfänger einzuordnen sind, wird anwaltlich geklärt.

Teil C: Vom Kunden gewählte Empfänger

Systeme, an die der Kunde Daten übermittelt, weil er sie selbst verbindet oder benennt. Für diese Übermittlung ist der Kunde Verantwortlicher; wir nennen sie der Vollständigkeit halber.

Offene Punkte je Dienstleister sind in der Tabelle als [PRÜFEN] markiert; die jeweils aktuelle Fassung dieser Anlage steht unter listplus.ai/de/subprocessors. Nicht in dieser Anlage: Dienstleister, die nur Konto-, Vertrags- und Abrechnungsdaten der Nutzer verarbeiten (Datenschutzerklärung, Abschnitt 15).