Dieser Auftragsverarbeitungsvertrag (AVV) konkretisiert die Datenschutzpflichten der Parteien im Rahmen der Nutzung von Leadesk. Der Anbieter (Leadesk UG (haftungsbeschränkt), „Auftragnehmer“) verarbeitet personenbezogene Daten im Auftrag des Kunden („Verantwortlicher“). Die Dauer entspricht der Laufzeit des Hauptvertrags; der AVV endet mit dessen Beendigung, die Pflichten zu Löschung/Rückgabe und Vertraulichkeit gelten fort.
Bereitstellung der SaaS-Funktionen (CRM, LinkedIn-/Instagram-Outbound, Content, Delivery, Reporting) sowie KI-gestützter Verarbeitung, jeweils auf Weisung des Verantwortlichen (einschließlich der Nutzung der Anwendung selbst).
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Kernzweck der Verarbeitung.
Der Auftragnehmer verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen; als Weisung gilt auch die Nutzung der Anwendung selbst. Ist der Auftragnehmer der Auffassung, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt, informiert er den Verantwortlichen unverzüglich; er ist berechtigt, die Ausführung bis zur Bestätigung auszusetzen.
Der Auftragnehmer verpflichtet die mit der Verarbeitung befassten Personen zur Vertraulichkeit (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO), unterstützt den Verantwortlichen bei der Erfüllung von Betroffenenrechten, bei Meldepflichten (Art. 33/34 DSGVO) sowie bei Datenschutz-Folgenabschätzungen (Art. 35/36 DSGVO) und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich nach Kenntnis.
Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für das Vorliegen einer tragfähigen Rechtsgrundlage der von ihm veranlassten Ansprache und Datenverarbeitung verantwortlich. Er erteilt seine Weisungen grundsätzlich in Textform bzw. über die Funktionen der Anwendung und informiert den Auftragnehmer über für die Verarbeitung relevante Besonderheiten.
Kern-Datenhaltung und Bildverarbeitung self-hosted in Deutschland; Mandantentrennung durch Row-Level-Security auf Datenbank-Ebene; Rollen- und Rechtekonzept sowie Zugriffskontrolle (optional Zwei-Faktor-Authentifizierung); Verschlüsselung bei Übertragung und Speicherung; Protokollierung sicherheitsrelevanter Zugriffe; Backups und Wiederherstellungsprozesse; Trennung von Produktiv- und Testsystemen. Der Anbieter strebt eine ISO-27001-Zertifizierung an und überprüft die Maßnahmen regelmäßig.
Der Verantwortliche stimmt dem Einsatz der folgenden Unterauftragsverarbeiter zu (allgemeine Genehmigung, Art. 28 Abs. 2 DSGVO). Wechsel oder Neuaufnahmen werden vorab mitgeteilt; ein Widerspruch aus wichtigem Grund ist möglich. Mit allen Unterauftragsverarbeitern bestehen Verträge mit gleichwertigen Datenschutzpflichten.
Die Kern-Datenhaltung und die Bildverarbeitung erfolgen in Deutschland bzw. der EU. Übermittlungen in Drittländer (insbesondere USA) erfolgen nur bei Vorliegen geeigneter Garantien (EU-US Data Privacy Framework und/oder EU-Standardvertragsklauseln nebst ergänzenden Maßnahmen).
Der Auftragnehmer unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Betroffenenrechten. Anfragen betroffener Personen, die den Auftragnehmer erreichen, leitet er unverzüglich an den Verantwortlichen weiter.
Der Auftragnehmer stellt die zum Nachweis der Einhaltung der Pflichten erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen, auch durch Vorlage geeigneter Zertifikate oder Berichte. Kontrollen sind mit angemessener Vorankündigung während der üblichen Geschäftszeiten und ohne Störung des Betriebs durchzuführen.
Die Haftung der Parteien richtet sich nach Art. 82 DSGVO und den gesetzlichen Bestimmungen. Im Verhältnis der Parteien untereinander gelten ergänzend die Haftungsregelungen des Hauptvertrags.
Nach Beendigung löscht oder gibt der Auftragnehmer die Daten nach Wahl des Verantwortlichen zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.
Eine unterschriftsreife Fassung dieses AV-Vertrags stellen wir auf Anfrage bereit (info@leadesk.de). Stand: August 2026