Auftragsverarbeitungsvertrag (AVV)

§ 1 Gegenstand und Dauer

blueleads verarbeitet die von Ihnen übermittelten dauerhaften oder kampagnenspezifischen Kundensperrlisten ausschließlich zum Ausschluss dieser Kontakte aus den für Ihre Kampagnen vorgesehenen Versendungen. Der Auftrag umfasst Empfang, Prüfung, Normalisierung, Hashbildung, Speicherung, Versionierung, Abgleich, erforderliche Übermittlung von Hashes an genehmigte Abgleichpartner und Löschung. Er beginnt mit der ersten Übermittlung unter diesem AVV und dauert bis zur vollständigen Löschung oder Rückgabe nach § 7. Dauerhafte Listen können mehrere Buchungen betreffen; neue Fassungen ändern den für bereits angenommene Aufträge geltenden AVV nicht ohne Vereinbarung.

§ 2 Art, Zweck, Datenarten und Betroffene

Zweck ist ausschließlich der Ausschlussabgleich, niemals Akquise, Profilbildung, Anreicherung oder Gewinnung einer Werbeeinwilligung. Verarbeitet werden E-Mail-Adressen in Rohdateien und daraus erzeugte beziehungsweise direkt hochgeladene MD5- und SHA-256-Hashes sowie zugehörige Listen-, Versions-, Zuordnungs- und Prüfinformationen. Keine besonderen Kategorien personenbezogener Daten sind vorgesehen; Sie übermitteln keine solchen Angaben oder unnötigen Zusatzspalten. Betroffene sind Ihre Bestandskunden, Interessenten, geschäftlichen Ansprechpartner und sonstigen von Ihnen auszuschließenden Kontakte.

Hashes bleiben personenbezogene beziehungsweise pseudonyme Daten. bl-v1: E-Mail-Adresse am Rand trimmen, vollständig kleinschreiben, Punkte und Plus-Tags erhalten, dann MD5/SHA-256. Bereits gehashte Werte werden nicht stillschweigend nachnormalisiert. Für Werbeempfängerdaten handeln blueleads beziehungsweise der Listeninhaber nach dem tatsächlichen Ablauf als Verantwortliche; dieser AVV überträgt deren Verantwortung nicht auf Sie und berechtigt nicht zur Herausgabe von Empfängerlisten.

§ 3 Verantwortlichkeit und dokumentierte Weisungen

Sie verantworten Rechtsgrundlage, rechtmäßige Herkunft, erforderliche Information der Betroffenen und Zulässigkeit der Übermittlung. blueleads verarbeitet nur auf dokumentierte Weisung, einschließlich Weisungen zu Drittlandübermittlungen. Auftrag, Upload, bestätigte Zuordnung, Aktualisierung und Löschung im autorisierten Portal sind dokumentierte Weisungen; ergänzende Weisungen können Sie in Textform über den benannten Ansprechpartner erteilen. blueleads prüft die Berechtigung, dokumentiert Weisungen und informiert Sie unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt; die betroffene Verarbeitung wird bis zur Klärung ausgesetzt.

Ist eine Verarbeitung durch Unionsrecht oder Recht eines Mitgliedstaats vorgeschrieben, informiert blueleads Sie vorher über diese rechtliche Pflicht, soweit das Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses verbietet. Eigene Zwecke sind ausgeschlossen. Kontaktdaten der weisungsberechtigten Person und des Rechtsansprechpartners ergeben sich aus dem Kundenkonto. Kontakt blueleads: kontakt@blueleads.de. [PLATZHALTER AVV-KONTAKT: Datenschutz-/Sicherheitskontakt und Eskalationsweg ergänzen].

§ 4 Vertraulichkeit und Sicherheit

blueleads gewährleistet, dass nur erforderliche, zur Vertraulichkeit verpflichtete oder entsprechend gesetzlich gebundene Personen Zugriff erhalten. Es setzt die in Anlage 1 beschriebenen Maßnahmen und weitere nach Art. 32 DSGVO angemessene Maßnahmen unter Berücksichtigung von Risiko, Stand der Technik, Implementierungskosten und Verarbeitung ein. Eine technische Weiterentwicklung darf das vereinbarte Schutzniveau nicht unterschreiten; wesentliche Änderungen werden dokumentiert und mitgeteilt. Eine Zertifizierung oder umfassende Anonymisierung wird nicht zugesichert. Organisatorische Verpflichtungen und die tatsächliche Betriebsumsetzung sind vor Freigabe nachzuweisen.

§ 5 Unterauftragsverarbeitung und Transfers

Sie erteilen eine allgemeine schriftliche Genehmigung ausschließlich für die in der Ihnen vor Verarbeitung bereitgestellten Anlage 2 konkret benannten Unterauftragsverarbeiter. Hosting und Listenpartner sind darunter nur erfasst, soweit sie tatsächlich Kundensperrlisten im Auftrag verarbeiten. Eine Bezeichnung als eigenständig Verantwortlicher für die Werbeliste ersetzt diese Prüfung nicht. Platzhalter genehmigen keinen unbenannten Dienstleister.

Über beabsichtigte Hinzuziehung oder Ersetzung informiert blueleads Sie mindestens 14 Tage vor dem Einsatz in Textform mit Identität, Aufgabe, Verarbeitungsort und Schutzmaßnahmen. Sie können binnen dieser Frist aus sachlichen Datenschutzgründen widersprechen. Bis zur Klärung erfolgt keine Übermittlung an den beanstandeten neuen Dienstleister; die Parteien prüfen eine geeignete Alternative. Ist keine möglich, darf die betroffene Verarbeitung beendet werden, mit Abrechnung nur der vertragsgemäß erbrachten Leistung und Erstattung nicht erbrachter Anteile.

blueleads legt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten insbesondere zu Sicherheit, Weisungen, Unterstützung und Löschung auf und bleibt Ihnen gegenüber für deren Erfüllung verantwortlich. Partner erhalten nur erforderliche kompatible Hashes für den konkreten Ausschlussabgleich, keine Klartextbestandsliste. Drittlandverarbeitung erfordert dokumentierte Weisung, transparente Angaben und eine gültige Grundlage nach Kapitel V DSGVO einschließlich erforderlicher zusätzlicher Schutzmaßnahmen. Derzeit wird durch diesen Entwurf keine unbenannte Drittlandübermittlung genehmigt.

§ 6 Unterstützung, Betroffenenrechte und Vorfälle

blueleads unterstützt Sie nach Art und verfügbarer Information durch geeignete technische und organisatorische Maßnahmen bei Betroffenenrechten nach Kapitel III sowie bei Sicherheit, Meldungen, Benachrichtigungen, Datenschutz-Folgenabschätzung und vorheriger Konsultation nach Art. 32 bis 36 DSGVO. Anfragen zu Ihren Sperrlistendaten leitet blueleads unverzüglich an Sie weiter und beantwortet sie ohne Weisung nicht selbst inhaltlich, außer bei gesetzlicher Pflicht. Anfragen zu Versendungsempfängern werden getrennt in der jeweiligen Verantwortlichkeit bearbeitet.

Verletzungen des Schutzes der auftragsverarbeiteten Daten meldet blueleads Ihnen unverzüglich nach Bekanntwerden. Die Meldung enthält, soweit verfügbar, Art des Vorfalls, Kategorien und ungefähre Anzahl Betroffener und Datensätze, Kontakt, wahrscheinliche Folgen und ergriffene beziehungsweise vorgeschlagene Abhilfemaßnahmen. Fehlende Informationen werden schrittweise unverzüglich ergänzt. blueleads sichert Nachweise, begrenzt Schäden und kooperiert. Ihre gesetzlichen Meldefristen werden weder verschoben noch durch eine interne 24-Stunden-Frist ersetzt. blueleads unterstützt Sie bei Behördenanfragen und informiert über relevante Prüfungen, soweit rechtlich zulässig.

§ 7 Rückgabe, Löschung und Aufbewahrung

Nach Ende der betreffenden Leistung löscht blueleads nach Ihrer Wahl die Daten oder gibt die noch vorhandenen Daten in einem geeigneten sicheren Format zurück und löscht Kopien, soweit keine gesetzliche Speicherungspflicht besteht. Rohdateien werden aus Gründen der Datenminimierung spätestens 24 Stunden nach Verarbeitung gelöscht und sind danach nicht rückgabefähig. Kampagnenspezifische Hashlisten werden 30 Tage nach Kampagnenabschluss gelöscht; dauerhafte Listen bei Ihrer Löschweisung beziehungsweise Kontolöschung. Empfängerdateien einer Versendung werden 30 Tage nach deren Abschluss gelöscht. Löschungen erfassen auch Unterauftragsverarbeiter und werden auf Verlangen bestätigt.

Bei noch laufenden exportierten Vorgängen werden erforderliche Versionen bis zum sicheren Abschluss der Synchronisation geschützt; Grund, Umfang und zusätzliche Dauer werden dokumentiert und Ihnen mitgeteilt. Weitere Speicherung ist auf belegbare gesetzliche Pflichten und erforderliche nicht inhaltliche Nachweise beschränkt, mit gesperrter Zwecknutzung. Audit-Metadaten sind getrennt zu behandeln: vorläufige Vorgabe drei Jahre, bei Rechnungsbezug zehn Jahre; konkrete gesetzliche Pflicht und Umfang müssen geprüft werden und rechtfertigen keine pauschale Aufbewahrung aller Sperrlisteneinträge. [PLATZHALTER BACKUP-LÖSCHUNG: tatsächliche Backupzyklen, Wiederherstellungssperren und endgültige Löschfrist ergänzen].

§ 8 Nachweise und Kontrollen

blueleads stellt Ihnen alle zur Darlegung der Einhaltung des Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht und unterstützt Kontrollen einschließlich Inspektionen durch Sie oder einen beauftragten, zur Vertraulichkeit verpflichteten Prüfer. Zunächst können geeignete Unterlagen und technische Nachweise herangezogen werden, ohne erforderliche Vor-Ort-Prüfungen auszuschließen. Reguläre Kontrollen werden mit angemessener Vorankündigung und unter Schutz anderer Kundendaten abgestimmt. Bei konkretem Vorfall, begründetem Verdacht oder behördlicher Anforderung sind kurzfristige Kontrollen möglich. Eine Kosten- oder Vorankündigungsregel darf notwendige Kontrollen nicht verhindern. Die Geschäftsgeheimhaltung verbietet keine erforderliche Offenlegung von Unterauftragnehmern an Sie im geschützten Vertragsrahmen.

§ 9 Fassung und Schlussregeln

Die bei Bestellung akzeptierte AVV-Version und der Zeitpunkt werden an der Bestellung gespeichert. Dieser AVV geht bei Sperrlistenverarbeitung entgegenstehenden AGB und Kampagnenbedingungen vor. Änderungen gelten nur für künftige Aufträge oder nach ausdrücklicher Vereinbarung; Unterauftragnehmeränderungen erfolgen nach § 5. Zwingende Rechte nach Art. 28, 32 und 82 DSGVO bleiben unberührt. Im Übrigen gelten die AGB einschließlich ihrer gesetzlichen Haftungsausnahmen. Unwirksame Bestimmungen werden durch gesetzliche Regelungen ersetzt.

Anlage 1: Technische und organisatorische Maßnahmen

1. Speicherung: Uploads und Fehlerberichte liegen außerhalb des öffentlichen Verzeichnisses auf dem privaten Speicherdatenträger. EncryptedStorage verschlüsselt Dateien mit Laravel Crypt in authentifizierten BLENC1-Blöcken; Blockfolge und Dateizuordnung werden beim Lesen geprüft. Schlüsselverwaltung erfolgt serverseitig über den Anwendungsschlüssel. [PLATZHALTER BETRIEB: Schlüsselzugriff, Rotation, Sicherung und Verantwortliche dokumentieren].
2. Datenminimierung: E-Mail-Adressen werden nach bl-v1 normalisiert und als binäre MD5-/SHA-256-Kennungen gespeichert. Keine Klartext-E-Mails in exclusion_entries; Fehlerberichte blenden Eingabewerte aus. Hashes sind keine Verschlüsselung oder Anonymisierung. Partnerexporte enthalten nur Hashes im unterstützten Format für den benötigten Abgleich.
3. Zugriff: Authentifizierung, Verifikation, Rollen- und Policyprüfung sowie Scoping nach company_id begrenzen Portalzugriff. Interne Empfängerdateien und Partnernachweise sind ausschließlich über autorisierte Adminwege zugänglich; sensible Downloads werden auditiert. Formulare nutzen CSRF und serverseitige Validierung. [PLATZHALTER BETRIEB: Berechtigungsvergabe, Entzug und regelmäßige Kontrolle dokumentieren].
4. Integrität und Nachweis: Versionierung, Datei-SHA-256, Datenbanktransaktionen und Sperren schützen die Verarbeitung. Neue Versionen invalidieren ausstehende Freigaben. Release-Checks blockieren bei fehlendem Nachweis. Kritische Upload-, Zuordnungs-, Export-, Bestätigungs- und Löschvorgänge werden auditiert; Kunden sehen nur aggregierten Status.
5. Löschung: Verarbeitung entfernt Rohdateien; geplante Bereinigung setzt die Aufbewahrungsfristen um. Kampagnen- und Versendungsabschluss sowie laufende Referenzen werden berücksichtigt. Die Fristeinhaltung setzt funktionierende Queue- und Schedulerprozesse voraus. [PLATZHALTER BETRIEB: Monitoring, Fehleralarmierung und Kontrolle tatsächlich erfolgter Löschungen dokumentieren].
6. Übertragung und Verfügbarkeit: Sichere Übertragung, Wiederherstellung, Verfügbarkeit, regelmäßige Wirksamkeitsprüfung und Schutz von Hosting und Backups sind nach Art. 32 zu gewährleisten. Rollenprüfungen und verschlüsselte Downloads ersetzen keine sichere Übergabe nach dem Download. [PLATZHALTER BETRIEB: TLS-Konfiguration, Partnerübergabekanal, Backup-/Wiederherstellungskonzept, Patchmanagement, physischer Schutz und Kontrollintervalle belegen]. Diese betrieblichen Maßnahmen werden nicht allein durch den Anwendungscode als bereits umgesetzt behauptet.

Anlage 2: Unterauftragsverarbeiter

Diese Anlage ist vor erster Verarbeitung im geschützten Vertragsrahmen vollständig bereitzustellen und als akzeptierter Stand nachvollziehbar aufzubewahren. Öffentliche Partneridentitäten werden hier nicht offengelegt; die notwendige Information des Verantwortlichen ist dadurch nicht ausgeschlossen.

• [PLATZHALTER HOSTING: vollständiger Rechtsträger, Anschrift, Aufgabe, Verarbeitungsort, Vertragsgrundlage und eventueller Drittlandtransfer].
• [PLATZHALTER ABGLEICHPARTNER: je eingesetztem Listenpartner mit Hashzugriff Rechtsträger, Anschrift, ausschließlich beauftragte Abgleichaufgabe, Ort, Rückgabe/Löschung und Datenschutzpflichten; keine pauschale Genehmigung aller Verteiler].
• [PLATZHALTER ANLAGENSTAND: Datum, Version, Dokumentations- und Mitteilungsweg bei Änderungen].

Die interne Verteilerverwaltung ersetzt keine vollständige, dem Verantwortlichen bereitgestellte Art.-28-Anlage. Vor Freigabe sind Rollen, Verträge und die tatsächlich eingesetzten Dienstleister zu prüfen.