Vertrag zur Auftragsverarbeitung
Anlage zu den AGB, nach Art. 28 DSGVO
Fassung vom 18.10.2026
Entwurf zur anwaltlichen Prüfung
Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem („Kunde“, „du“) und uns als Auftragsverarbeiter („wir“), mit Sitz in den USA:
Lumic Media LLC3833 Powerline Rd, Suite 201
Fort Lauderdale, FL 33309, USA
Vertreten durch: [Vertretungsberechtigte Person, etwa Manager oder Member der LLC]
Register: [US-Bundesstaat der Gründung, Register und Registernummer]
USt-IdNr.: [USt-IdNr., falls vorhanden]
E-Mail: leon@lumicmedia.com
Vertreter in der EU (Art. 27 DSGVO): [Name und Anschrift des Vertreters in der EU nach Art. 27 DSGVO]
Er ist Anlage der AGB und wird mit der Zustimmung zu den AGB im Hub geschlossen. Er gilt für alle personenbezogenen Daten, die wir im Auftrag des Kunden im Fitpreneur Hub verarbeiten. Für die Daten der Personen mit Zugang zum Hub selbst gilt die Datenschutzerklärung.
§ 1 Gegenstand und Dauer
- (1)
Gegenstand ist die Bereitstellung des Hubs nach den AGB. Dabei verarbeiten wir personenbezogene Daten, die der Kunde im Hub speichert oder die über seine Verbindungen in seinen Bereich kommen.
- (2)
Der Vertrag gilt, solange wir solche Daten für den Kunden verarbeiten, also für die Laufzeit der Nutzung des Hubs und darüber hinaus bis zur Rückgabe und Löschung nach § 12.
§ 2 Art und Zweck der Verarbeitung
Wir verarbeiten die Daten, um dem Kunden den Hub bereitzustellen. Dazu gehört:
- speichern, ordnen, anzeigen, durchsuchen, ändern und löschen, wie der Kunde es im Hub tut;
- auswerten, etwa zu Kennzahlen, Pipeline und Sales-Funnel, und Dubletten erkennen;
- Daten aus verbundenen Diensten abrufen und empfangen (Lead-Formulare und Werbedaten von Meta, Buchungen aus Calendly, der Eingang für Werkzeuge wie Zapier und eigene Formulare);
- Daten auf Veranlassung des Kunden an verbundene Dienste und an von ihm hinterlegte Adressen übermitteln (Termine an seinen Google Kalender, Meldungen an seine Webhooks, Nummer des Leads und Absendernummer an sein Twilio-Konto für einen Anruf, Bilder und Videos für neue Anzeigen an sein Werbekonto bei Meta);
- Verträge und Rechnungen erstellen, unterschreiben lassen, als PDF ablegen und per E-Mail an die Kunden des Kunden senden;
- Exporte als CSV oder Excel erzeugen;
- den Kunden betreuen und unterstützen, auch indem das Fitpreneur-Team sein Konto öffnet und darin in seinem Namen handelt (§ 7 der AGB), sowie Fehler suchen und beheben;
- aus den Daten zusammengefasste Kennzahlen bilden (Summen und Quoten, ohne Angaben zu einzelnen Personen), die das Fitpreneur-Team zur Betreuung des Kunden im Coaching-Programm sieht.
Andere Zwecke verfolgen wir mit diesen Daten nicht. Insbesondere nutzen wir sie nicht für eigene Werbung.
§ 3 Art der Daten und betroffene Personen
Betroffene Personen
- Interessenten und Leads des Kunden;
- seine Kundinnen und Kunden, auch als Vertragspartner und Empfänger von Rechnungen;
- Personen aus seiner Liste „50 Goldene Kontakte“;
- Personen, die über Formulare, Buchungen oder den Eingang Daten an den Hub übermitteln;
- Personen, die der Kunde über den Hub anruft;
- Personen auf Bildern und in Videos, die der Kunde für neue Anzeigen hochlädt;
- Mitarbeiter des Kunden, soweit sie in diesen Daten genannt sind, etwa als Bearbeiter.
Arten von Daten
- Kontaktdaten: Name, E-Mail-Adresse, Telefonnummer, Instagram-Name, Anschrift;
- Herkunft: Quelle, Kampagne, Anzeige, Formular und Angaben zur Herkunft einer Buchung;
- Antworten aus Formularen und Buchungen, mit der Frage des Formulars;
- Verlauf der Kontaktaufnahmen mit Kanal, Ergebnis und Notiz, dazu Entwürfe der Notiz zu einem Anruf, bis das Ergebnis eingetragen ist (nach 30 Tagen ohne Änderung nicht mehr genutzt und beim Speichern eines späteren Entwurfs gelöscht);
- Anrufe über Twilio mit gewählter Nummer, Absendernummer, Stand, Dauer und Zeitpunkten;
- Termine mit Art, Zeit und Ergebnis;
- Opportunities und Abschlüsse mit Stufe, Wert, bezahltem Betrag, Start und Ende des Kundenvertrags und Storno;
- Verträge mit Inhalt und Nachweis der Unterschrift (Zeitpunkt, eingetippter Name, Abdruck der IP-Adresse, Browser, Prüfsumme, ob die Leistung vor dem Ende der Widerrufsfrist beginnen soll) und Rechnungen mit Positionen und Beträgen;
- Notizen und andere Freitexte;
- Bilder und Videos für neue Anzeigen, bis zur Übergabe an Meta;
- Werbedaten, soweit sie sich einem Lead zuordnen lassen.
Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO), etwa Gesundheitsdaten, sieht der Hub nicht vor. Sie kommen nur vor, wenn der Kunde sie in Freitexten oder Formularen erhebt; dafür gilt § 5 Abs. 2 der AGB.
§ 4 Pflichten und Rechte des Kunden
- (1)
Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, auch dafür, dass er die Daten erheben und an uns geben darf und die betroffenen Personen informiert.
- (2)
Er gibt Weisungen nach § 5 und darf ihre Einhaltung nach § 13 prüfen.
- (3)
Bemerkt er Fehler oder Unregelmäßigkeiten bei der Verarbeitung, informiert er uns unverzüglich.
§ 5 Weisungen
- (1)
Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung in ein Land außerhalb der EU, es sei denn, wir sind gesetzlich zur Verarbeitung verpflichtet. Dann teilen wir dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Gesetz das nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).
- (2)
Weisungen sind dieser Vertrag, die AGB und alles, was der Kunde im Hub einstellt und auslöst: anlegen, ändern, löschen, verbinden, trennen, freigeben, exportieren. Weitere Weisungen erteilt der Kunde in Textform.
- (3)
Ist eine Weisung nach unserer Auffassung rechtswidrig, sagen wir das dem Kunden unverzüglich. Wir dürfen sie aussetzen, bis der Kunde sie bestätigt oder ändert.
§ 6 Vertraulichkeit
Wer bei uns Zugang zu den Daten hat, ist zur Vertraulichkeit verpflichtet oder unterliegt einer gesetzlichen Verschwiegenheitspflicht (Art. 28 Abs. 3 lit. b DSGVO). Zugriff haben nur die Personen, die ihn für die Zwecke nach § 2 brauchen. Öffnet das Fitpreneur-Team das Konto des Kunden, wird jeder Zugriff protokolliert, jede Nachricht im Chat eigens.
§ 7 Sicherheit der Verarbeitung
Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Art. 28 Abs. 3 lit. c DSGVO). Sie stehen in Anlage 1. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht sinkt.
§ 8 Unterauftragsverarbeiter
- (1)
Der Kunde erlaubt uns allgemein, Unterauftragsverarbeiter einzusetzen (Art. 28 Abs. 2 DSGVO). Die heute eingesetzten stehen in Anlage 2.
- (2)
Wollen wir einen Unterauftragsverarbeiter hinzunehmen oder ersetzen, informieren wir den Kunden mindestens [Frist, Vorschlag: vier Wochen] vorher per E-Mail oder im Hub. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können wir uns nicht einigen, darf jede Seite die Nutzung des Hubs kündigen.
- (3)
Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten wie in diesem Vertrag (Art. 28 Abs. 4 DSGVO).
- (4)
Keine Unterauftragsverarbeiter sind die Dienste, die der Kunde selbst verbindet (Meta, Google, Calendly, Twilio, seine Werkzeuge für den Eingang und die Empfänger seiner Webhooks). Mit ihnen schließt der Kunde eigene Verträge; der Hub übermittelt die Daten dorthin auf seine Weisung.
§ 9 Übermittlung in Länder außerhalb der EU
- (1)
Die Daten liegen in der EU, in Frankfurt am Main (Anlage 2). Wir selbst haben unseren Sitz in den USA; greifen wir auf die Daten zu, etwa zur Betreuung, zur Fehlersuche oder für den Betrieb, kann das auch aus den USA geschehen. Für diese Übermittlung an uns gilt: [Grundlage für die Übermittlung an den Anbieter in den USA, Vorschlag: Standardvertragsklauseln der EU-Kommission, Modul 2, als Anlage 3].
- (2)
Bei Unterauftragsverarbeitern ist ein Zugriff aus einem Land außerhalb der EU nur zulässig, wenn die Voraussetzungen der Art. 44 bis 49 DSGVO erfüllt sind, etwa ein Angemessenheitsbeschluss der EU-Kommission (für die USA das EU-US Data Privacy Framework, soweit der Anbieter zertifiziert ist) oder Standardvertragsklauseln. Anlage 2 nennt die Grundlage je Unterauftragsverarbeiter.
§ 10 Unterstützung bei den Rechten betroffener Personen
Der Hub erlaubt dem Kunden, Daten selbst einzusehen, zu exportieren und zu berichtigen; Leads archiviert er selbst. Endgültig löschen wir einen Lead samt seinen Daten auf Weisung des Kunden, etwa wenn die betroffene Person es verlangt. Darüber hinaus unterstützen wir den Kunden mit geeigneten Maßnahmen, Anfragen betroffener Personen zu beantworten (Art. 28 Abs. 3 lit. e DSGVO). Wendet sich eine betroffene Person direkt an uns, leiten wir die Anfrage unverzüglich an den Kunden weiter.
§ 11 Unterstützung bei weiteren Pflichten des Kunden
- (1)
Wir unterstützen den Kunden bei seinen Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation), soweit die Informationen bei uns liegen (Art. 28 Abs. 3 lit. f DSGVO).
- (2)
Erfahren wir von einer Verletzung des Schutzes der Daten des Kunden, melden wir sie ihm unverzüglich, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie uns vorliegen, und ergänzen sie, sobald wir mehr wissen.
§ 12 Löschung und Rückgabe
- (1)
Während der Laufzeit ändert und archiviert der Kunde Daten selbst im Hub; endgültig löschen wir auf seine Weisung (§ 10).
- (2)
Nach dem Ende der Nutzung kann der Kunde seine Daten bis zum Ende exportieren; auf Wunsch stellen wir einen Export bereit. Danach löschen wir alle personenbezogenen Daten aus seinem Bereich binnen [Frist, Vorschlag: 30 Tage], es sei denn, wir sind gesetzlich zur Aufbewahrung verpflichtet (Art. 28 Abs. 3 lit. g DSGVO). In Datensicherungen verschwinden sie nach deren Aufbewahrungszeit (Anlage 1).
- (3)
Verträge und Rechnungen, die der Kunde nach Handels- oder Steuerrecht aufbewahren muss, lädt er vorher als PDF herunter; die Pflicht zur Aufbewahrung liegt bei ihm (§ 5 Abs. 6 der AGB).
§ 13 Nachweise und Kontrollen
- (1)
Wir stellen dem Kunden alle Informationen zur Verfügung, die er braucht, um die Einhaltung dieses Vertrags nachzuweisen (Art. 28 Abs. 3 lit. h DSGVO).
- (2)
Der Kunde oder eine von ihm beauftragte, zur Verschwiegenheit verpflichtete Person darf das nach rechtzeitiger Ankündigung prüfen, zu üblichen Geschäftszeiten und ohne den Betrieb unnötig zu stören. Nachweise, etwa Zertifikate und Berichte unserer Unterauftragsverarbeiter, können eine Prüfung vor Ort ersetzen, wenn sie ausreichen.
§ 14 Haftung
Für Schäden aus einem Verstoß gegen die DSGVO haften die Parteien nach Art. 82 DSGVO. Im Übrigen gilt § 13 der AGB, soweit das Gesetz es zulässt.
§ 15 Schlussbestimmungen
Bei Widersprüchen zu den AGB geht dieser Vertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform und gelten wie Änderungen der AGB (§ 15 der AGB). Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.
Anlage 1: Technische und organisatorische Maßnahmen
Vertraulichkeit
- Rechenzentren: Betrieb bei Supabase und Vercel in deren Rechenzentren in Frankfurt am Main; Zutritt regeln diese Anbieter.
- Zugang: nur per Einladung, Passwörter mit mindestens zehn Zeichen, nur als nicht umkehrbarer Prüfwert gespeichert; Einladungslinks einmalig, befristet und nur als Abdruck gespeichert; Zugänge lassen sich sperren.
- Zugriff: Die Datenbank trennt die Bereiche der Kunden mit Regeln je Zeile (Row Level Security); jede Anfrage eines Kunden sieht nur seinen Bereich. Mitarbeiter sehen nur freigegebene Bereiche. Der Schlüssel, der diese Regeln umgeht, liegt nur auf dem Server und wird nur von wenigen, benannten Programmteilen benutzt.
- Trennung: Jeder Kunde hat einen eigenen Bereich; automatische Tests prüfen bei jeder Änderung, dass kein Kunde Daten eines anderen sieht.
- Verschlüsselung: Alle Verbindungen laufen über HTTPS. Zugangsschlüssel zu Meta, Google und Twilio und die Geheimnisse der Webhooks speichern wir zusätzlich mit AES-GCM verschlüsselt, Schlüssel für den Eingang und Links zum Unterschreiben nur als nicht umkehrbaren Abdruck, die IP-Adresse beim Unterschreiben nur als Abdruck mit geheimem Schlüssel (HMAC). Bilder, Verträge, Rechnungen und Dateien für neue Anzeigen liegen in nicht öffentlichen Speichern und sind nur nach einer Prüfung der Rechte abrufbar.
- Zugriff des Fitpreneur-Teams auf ein Konto (Fernsteuerung): nur Administratoren, nur auf das Konto, das sie ausdrücklich öffnen, höchstens acht Stunden am Stück, mit Beginn, Ende, jeder Änderung und jeder Nachricht im Chat im Protokoll. Dabei handelt das Team wie der Kunde und in seinem Namen, auch bei Anrufen über Twilio, Verträgen, Rechnungen und Anzeigen; E-Mail-Adresse, Passwort und die Zustimmung zu den Rechtstexten bleiben dem Kunden vorbehalten. Daten aus dem Google Kalender des Kunden zeigt der Hub dabei nie.
Integrität
- Protokoll: wichtige Vorgänge, auch Zugriffe des Fitpreneur-Teams auf ein Konto, stehen in einem Protokoll, das nur ergänzt und nicht geändert werden kann.
- Eingänge von außen werden geprüft: Meldungen von Meta und Twilio an ihrer Signatur, der Eingang an seinem Schlüssel und an Obergrenzen je Minute und Tag, die Seite zum Unterschreiben an Obergrenzen je Abdruck der IP-Adresse, zeitgesteuerte Abläufe an einem Geheimnis, Eingaben im Hub an festen Regeln auf dem Server und in der Datenbank.
- Anrufe über Twilio nur an Nummern von Leads des Kunden, nur in freigegebene Länder, nie an Sondernummern, mit Obergrenzen je Person und je Bereich.
- Unterschriebene Verträge und erstellte Rechnungen lassen sich nicht mehr ändern; das PDF eines Vertrags trägt eine Prüfsumme seines Texts.
Verfügbarkeit und Belastbarkeit
- Betrieb bei professionellen Anbietern mit eigener Ausfallsicherung.
- Datensicherung: [Umfang und Aufbewahrung der Datensicherungen beim Datenbankanbieter]
- Der Kunde kann seine Daten jederzeit exportieren.
Organisation
- Zugriff nur für Personen, die ihn brauchen, alle zur Vertraulichkeit verpflichtet.
- Änderungen am Hub laufen über Prüfungen: Typprüfung, automatische Tests und Tests der Datenbankregeln vor jeder Übernahme.
- Datenschutzfreundliche Voreinstellungen: kein Tracking, keine Analyse im Browser, nur notwendige Cookies.
Anlage 2: Unterauftragsverarbeiter
Supabase Inc., USA
- Leistung
- Datenbank, Anmeldung, Dateispeicher (auch Verträge, Rechnungen und Dateien für Anzeigen), Live-Verbindungen
- Ort
- Region Frankfurt am Main (eu-central-1)
- Drittland
- Zugriff aus den USA möglich; Data Privacy Framework, soweit zertifiziert, sonst Standardvertragsklauseln
Vercel Inc., USA
- Leistung
- Hosting und Auslieferung der Anwendung, Serverfunktionen, Server-Protokolle
- Ort
- Serverfunktionen in Frankfurt am Main (fra1), Auslieferung über ein weltweites Netz
- Drittland
- Zugriff aus den USA möglich; Data Privacy Framework, soweit zertifiziert, sonst Standardvertragsklauseln
Resend (Plus Five Five, Inc., San Francisco), USA
- Leistung
- Versand der E-Mails des Hubs an Personen mit Zugang und, auf Veranlassung des Kunden, von Verträgen und Rechnungen an seine Kunden
- Ort
- EU-Region von Resend
- Drittland
- Zugriff aus den USA möglich; Data Privacy Framework, soweit zertifiziert, sonst Standardvertragsklauseln