← Zurück zu Levamio Bewertungs-Agent

Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO – „Levamio Bewertungs-Agent“

zwischen dem Nutzer des Dienstes „Levamio Bewertungs-Agent“ gemäß Registrierung – Verantwortlicher, im Folgenden „Auftraggeber“ –

und NEXTLEVEL CORPORATE SERVICE PROVIDER - FZCO, Building A1, IFZA Business Park, Dubai Digital Park, Dubai Silicon Oasis, Dubai, Vereinigte Arabische Emirate, DIEZ License No. 67837, vertreten durch Tassilo Peter Seitz, E-Mail: [email protected], Datenschutz: [email protected] – Auftragsverarbeiter, im Folgenden „Auftragnehmer“ –

1. Gegenstand und Dauer

1.1 Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer bei der Bereitstellung des Software-Dienstes „Levamio Bewertungs-Agent“ (im Folgenden „Dienst“) nach den AGB des Auftragnehmers („Hauptvertrag“). Der Dienst unterstützt den Auftraggeber dabei, seine Kunden fair um Bewertungen zu bitten und auf Bewertungen zu antworten.

1.2 Die Laufzeit entspricht der des Hauptvertrags einschließlich Testphase. Pflichten nach Ziffer 9 bestehen über das Vertragsende hinaus fort.

2. Art, Zweck, Datenarten, Betroffene

2.1 Art der Verarbeitung: Erheben (manuelle Eingabe, CSV-Import, Einfügen von Bewertungen, Abruf aus dem Google-Unternehmensprofil des Auftraggebers sobald angeboten), Speichern, Abgleichen (Prüfung der Rechtsgrundlage und der Sperrliste), Verwenden (Erstellung und Versand von Bewertungsanfragen, Erstellung von Antwortentwürfen, optional mit KI), Übermitteln (E-Mail-Versand; Veröffentlichung freigegebener Antworten über die Schnittstelle des Google-Unternehmensprofils), Zählen (Aufrufe der Links, erster Klick je Anfrage), Protokollieren, Löschen.

2.2 Zweck: Bereitstellung des Dienstes nach dem Hauptvertrag, insbesondere Bewertungsanfragen per E-Mail an Kontakte mit dokumentierter Rechtsgrundlage, Verwaltung von Abmeldungen, QR-Codes und Links, Antwortentwürfe mit Freigabe, Auswertungen und Export für den Auftraggeber.

2.3 Datenarten:

• Kontaktdaten der Kunden des Auftraggebers: Name, E-Mail-Adresse, Sprache, Land;
• Nachweisdaten: Rechtsgrundlage, Datum und Quelle der Einwilligung bzw. Datum des Kaufs/der Leistung und Hinweis auf das Widerspruchsrecht, Abmeldestatus, Zeitpunkt der letzten Anfrage;
• Kommunikationsdaten: Empfänger, Sprache, Status und Zeitpunkt der Anfragen, Kennung des Versanddienstes, Zeitpunkt des ersten Klicks;
• Bewertungsdaten: Anzeigename des Verfassers, Sterne, Text, Datum, Sprache, vorhandene Antwort, automatisch erkannte Hinweise;
• Antwortentwürfe: Text, Herkunft, Freigabe und Veröffentlichung;
• aggregierte Aufrufzahlen je QR-Code/Link und Tag (ohne Personenbezug).

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Auftraggeber trägt keine Gesundheitsdaten oder vergleichbare Daten in die Kundenliste oder Freitextfelder ein. Bewertungstexte, die Verfasser öffentlich mit Gesundheitsbezug veröffentlicht haben, verarbeitet der Dienst nur, soweit der Auftraggeber sie einfügt oder abruft, um darauf zu antworten.

2.4 Betroffene: Kunden und Interessenten des Auftraggebers (Empfänger von Bewertungsanfragen), Verfasser von Bewertungen über den Auftraggeber.

3. Weisungen

3.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; dann teilt er dies vorab mit, soweit zulässig.

3.2 Weisungen sind der Hauptvertrag, dieser Vertrag sowie Einstellungen und Aktionen des Auftraggebers im Dienst (z. B. Import, Versand, Freigabe, Veröffentlichung, Löschung). Weitere Weisungen in Textform an [email protected].

3.3 Hält der Auftragnehmer eine Weisung für rechtswidrig, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.

3.4 Abmeldungen der Betroffenen sind Weisung des Auftraggebers: Der Auftragnehmer setzt jede über den Abmeldelink erklärte Abmeldung sofort und dauerhaft für den Auftraggeber um (Sperrliste, nur Hashwert der Adresse) und führt sie auch bei späterem Import derselben Adresse fort.

4. Pflichten des Auftraggebers

4.1 Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage jeder Bewertungsanfrage (Einwilligung bzw. Voraussetzungen einer gesetzlichen Ausnahme), die Information der Betroffenen nach Art. 13, 14 DSGVO und die Einhaltung berufsrechtlicher Verschwiegenheitspflichten.

4.2 Der Auftraggeber informiert den Auftragnehmer unverzüglich über Fehler oder Unregelmäßigkeiten.

5. Pflichten des Auftragnehmers

5.1 Vertraulichkeit: Einsatz nur von Personen, die zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO).

5.2 Sicherheit: technische und organisatorische Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1; Weiterentwicklung ohne Unterschreitung des Schutzniveaus.

5.3 Betroffenenrechte: Unterstützung des Auftraggebers (Art. 12–23 DSGVO). Direkte Anfragen von Betroffenen leitet der Auftragnehmer unverzüglich weiter; Abmeldungen setzt er nach Ziffer 3.4 um.

5.4 Art. 32–36 DSGVO: Unterstützung bei Sicherheit, Meldungen, Datenschutz-Folgenabschätzung und Konsultation.

5.5 Datenschutzverletzungen: Meldung an den Auftraggeber unverzüglich, möglichst innerhalb von 48 Stunden, per E-Mail an die Konto-Adresse mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.

5.6 Nachweise nach Ziffer 8; Verzeichnis nach Art. 30 Abs. 2 DSGVO.

5.7 Keine Verwendung der Daten für eigene Zwecke, insbesondere nicht zum Training von KI-Modellen und nicht für Werbung. Der Auftraggeber weist den Auftragnehmer an, aus den Auftragsdaten anonymisierte Kennzahlen zu bilden, die weder auf Auftraggeber noch auf Betroffene rückführbar sind; diese darf der Auftragnehmer zur Verbesserung des Dienstes verwenden.

5.8 Missbrauchsschutz: Der Auftragnehmer verarbeitet Meldungen von Empfängern („Absender unbekannt“) zum Schutz seines Versandwegs als eigener Verantwortlicher und darf den Versand des Auftraggebers bei gehäuften Meldungen vorläufig sperren (AGB Ziffer 4.5).

6. Unterauftragsverarbeiter

6.1 Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter (allgemeine schriftliche Genehmigung, Art. 28 Abs. 2 DSGVO).

6.2 Der Auftragnehmer informiert mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb von 14 Tagen widersprechen; ohne Einigung kann jede Partei den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

6.3 Der Auftragnehmer erlegt Unterauftragsverarbeitern gleichwertige Pflichten auf (Art. 28 Abs. 4 DSGVO) und haftet für deren Einhaltung.

6.4 Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation. Google (Unternehmensprofil) und andere Bewertungsplattformen sind Vertragspartner des Auftraggebers; der Auftragnehmer greift auf Google nur mit der Berechtigung des Auftraggebers zu.

7. Übermittlung in Drittländer

7.1 Der Auftragnehmer hat seinen Sitz in den Vereinigten Arabischen Emiraten; dafür besteht kein Angemessenheitsbeschluss. Die Daten werden bei Unterauftragsverarbeitern gespeichert (Anlage 2); der Zugriff durch den Auftragnehmer erfolgt aus den VAE.

7.1a Für Übermittlungen an den Auftragnehmer, auf die Kapitel V DSGVO anwendbar ist, vereinbaren die Parteien mit Abschluss dieses Vertrags die Standardvertragsklauseln der EU-Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2, die durch Bezugnahme Bestandteil dieses Vertrags werden; der Auftraggeber ist Datenexporteur, der Auftragnehmer Datenimporteur. Klausel 7 findet keine Anwendung; Klausel 9 Option 2 (Frist nach Ziffer 6.2); die Option in Klausel 11 findet keine Anwendung; Klausel 13: die für den Auftraggeber zuständige Aufsichtsbehörde; Klausel 17 Option 1: Recht der Bundesrepublik Deutschland; Klausel 18: Gerichte der Bundesrepublik Deutschland. Anhang I ergibt sich aus der Registrierung und Ziffer 2, Anhang II aus Anlage 1, Anhang III aus Anlage 2. Die Klauseln gehen nach Ziffer 11.2 vor.

7.2 Übermittlungen an Unterauftragsverarbeiter in Drittländern erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO (z. B. EU-US Data Privacy Framework oder Standardvertragsklauseln Modul 3).

8. Kontrollrechte

8.1 Nachweis vorrangig durch Selbstauskünfte, die aktuelle Anlage 1 sowie Zertifikate und Prüfberichte der Unterauftragsverarbeiter.

8.2 Darüber hinaus Prüfung nach Anmeldung (mindestens 30 Tage), höchstens einmal je Kalenderjahr außer bei konkretem Anlass, vorrangig als Dokumenten- bzw. Fernprüfung. Für Prüfungen über Ziffer 8.1 hinaus kann der Auftragnehmer angemessene Aufwandserstattung verlangen, außer die Prüfung ergibt einen erheblichen Verstoß. Prüfungen durch Aufsichtsbehörden bleiben unberührt.

9. Löschung und Rückgabe

9.1 Der Auftraggeber kann die Auftragsdaten jederzeit selbst exportieren (JSON, Kundenliste als CSV), einzelne Kontakte und Bewertungen löschen und mit „Konto und Unternehmen löschen“ alles löschen. Nach Vertragsende (Ende eines gekündigten Abos bzw. Ende der Testphase ohne gebuchtes Abo) besteht 30 Tage eine Exportmöglichkeit; etwa 7 Tage vor der Löschung erinnert der Auftragnehmer per E-Mail und löscht danach alle Auftragsdaten einschließlich Kopien, sofern keine Speicherpflicht nach Unionsrecht oder dem Recht eines Mitgliedstaats besteht.

9.1a Während der Laufzeit löscht der Dienst Anfrageprotokolle und Klickzähler automatisch nach 24 Monaten und verworfene Antwortentwürfe nach 90 Tagen. Die Sperrliste der Abmeldungen (nur Hashwerte) bleibt bis zum Vertragsende bestehen, damit Abmeldungen wirksam bleiben.

9.2 Datensicherungen bei Unterauftragsverarbeitern werden im Rahmen der regulären Rotation gelöscht, in der Regel spätestens nach 30 Tagen (Cloudflare D1 Time Travel).

9.3 Die Löschung bestätigt der Auftragnehmer auf Anfrage in Textform.

10. Haftung

Für die Haftung gegenüber Betroffenen gilt Art. 82 DSGVO. Im Innenverhältnis gelten die Regelungen des Hauptvertrags, soweit Art. 82 DSGVO nicht zwingend anderes vorsieht.

11. Schlussbestimmungen

11.1 Änderungen bedürfen der Textform. Die Einbeziehung erfolgt elektronisch mit Annahme der AGB.

11.2 Bei Widersprüchen geht dieser Vertrag dem Hauptvertrag vor, soweit es um den Schutz personenbezogener Daten geht; die Standardvertragsklauseln (Ziffer 7.1a) gehen beiden vor.

11.3 Unwirksame Bestimmungen lassen den Vertrag im Übrigen unberührt.

11.4 Dieser Vertrag unterliegt dem Recht der Bundesrepublik Deutschland. Der Gerichtsstand richtet sich nach dem Hauptvertrag, soweit nicht die Standardvertragsklauseln oder die DSGVO zwingend anderes bestimmen.

---

Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutritt: keine eigenen Rechenzentren; physische Sicherheit bei Cloudflare (zertifizierte Rechenzentren laut Anbieter).
• Zugang: Admin-Zugänge zu Cloudflare, Resend, Stripe, Anthropic, Google Cloud nur mit starkem Passwort und Zwei-Faktor-Authentifizierung; persönliche Konten.
• Zugriff (Anwendung): passwortlose Anmeldung per einmaligem Link (15 Minuten, nur SHA-256-Hash gespeichert) nach Bot-Prüfung; Sitzungskennung nur als Hash, HttpOnly-, SameSite=Lax-, Secure-Cookie; Origin-Prüfung gegen Cross-Site-Request-Forgery; Ratenlimits mit gehashten IP-/E-Mail-Adressen; Admin-Funktionen nur für festgelegte Adressen.
• Trennung: jede fachliche Tabelle trägt die Unternehmens-ID, jede Abfrage filtert danach; Unternehmens-ID nur aus der Sitzungs-Mitgliedschaft; automatisierte Tests inklusive statischer Prüfung aller Abfragen.
• Verschlüsselung: TLS; Google-Refresh-Tokens AES-GCM-verschlüsselt (Schlüssel nur als Secret der Laufzeitumgebung); Links in Bewertungsanfragen enthalten zufällige Token, gespeichert nur als Hash.
• Minimierung: Klickzähler ohne IP-Adresse, ohne Cookies, aggregiert je Tag; an den KI-Anbieter weder Verfassernamen noch E-Mail-Adressen; Logs ohne Inhalte.

Integrität

• Weitergabekontrolle: Versand nur über Resend mit Idempotenz-Schlüssel je Anfrage; festes Absenderformat „<Name> über Levamio“; Prüfung von Rechtsgrundlage, Länderregel, Sperrliste und 180-Tage-Abstand unmittelbar vor jedem Versand; Versand nur nach Bestätigung der Antwortadresse und mit Absenderangaben; Versandlimits je Plan; Abmelde- und Meldelink in jeder Anfrage (inkl. Ein-Klick-Abmeldung nach RFC 8058) mit automatischer Sperre bei gehäuften Meldungen; Weiterleitung nur auf bekannte Bewertungsplattformen (kein offener Redirect); globale Notbremse; Sperrschalter (Code + Konfiguration) für den Versand an Endkunden.
• Eingabekontrolle: Anfrageprotokoll mit Rechtsgrundlage zum Versandzeitpunkt; Freigabe von Antworten mit Zeitpunkt, Person und Prüfsumme – jede Änderung macht die Freigabe ungültig.
• Inhaltliche Leitplanken: Filter gegen Review-Gating, Anreize und Links in Anfrage-Texten; Filter gegen Kontaktdaten, Links und (bei Praxen) Gesundheitsangaben in Antworten; Hinweise auf sensible Inhalte in Bewertungen.

Verfügbarkeit und Belastbarkeit

• Verteilte Infrastruktur von Cloudflare; Datenbank Cloudflare D1 mit Wiederherstellung auf frühere Zeitpunkte.

Überprüfung

• Automatisierte Tests (Vitest) und End-to-End-Test bei jeder Änderung; Typprüfung und Linting; jährliche Überprüfung dieser Anlage.
• Datenschutzfreundliche Voreinstellungen: Bestandskunden-Ausnahme standardmäßig aus; für nicht hinterlegte Länder nur QR-Code/Link; Versand an Endkunden bis zur Freischaltung nur simuliert.
• Löschung: Export und vollständige Löschung durch den Auftraggeber; automatische Löschfristen im Tagesjob (Anmeldelinks, Sitzungen, Ratenlimits nach 24 Stunden, Anfrageprotokolle und Klickzähler nach 24 Monaten, verworfene Entwürfe nach 90 Tagen, Auftragsdaten 30 Tage nach Vertragsende).

Anlage 2 – Unterauftragsverarbeiter (Stand 21.10.2026)

Nicht Unterauftragsverarbeiter für Auftragsdaten: Stripe (nur Abrechnungsdaten des Auftraggebers); Google und andere Bewertungsplattformen (Vertragspartner des Auftraggebers, Ziffer 6.4).

Stand: 21.10.2026