Sprachfassungen
Diese deutsche Fassung ist verbindlich. Eine englische Übersetzung zur Orientierung finden Sie unter der English version.
Zugehörige Dokumente
1. Parteien und Zustandekommen
Dieser Auftragsverarbeitungsvertrag („AVV“) gilt zwischen dem Kunden, der Beacon nutzt („Verantwortlicher“), und der Wilken UG (haftungsbeschränkt), Braugasse 14C, 50859 Köln („Auftragsverarbeiterin“).
Er kommt zustande, wenn der Kunde Beacon auf Grundlage der Beacon-Bedingungen nutzt oder eine individuelle Vereinbarung auf diesen AVV verweist. Eine einzeln unterzeichnete Fassung ersetzt diesen Text, soweit sie abweicht. Die deutsche Fassung ist verbindlich.
2. Gegenstand und Dauer
Gegenstand ist die Verarbeitung personenbezogener Daten, die der Kunde in Beacon speichert oder die Beacon in seinem Auftrag erzeugt, damit der Kunde Beziehungen, E-Mail, Telefonie, Sequenzen und Außendienst führen kann.
Die Verarbeitung dauert für die Laufzeit des Beacon-Vertrags und die anschließende Frist zur Rückgabe oder Löschung. Art der Verarbeitung: Speichern, Ordnen, Anzeigen, Übermitteln an vom Kunden angebundene Postfächer und an die Unterauftragsverarbeiter, Erzeugen von Transkripten und Entwürfen, Sichern und Löschen.
3. Daten und betroffene Personen
Betroffene Personen sind die Ansprechpartner, Interessenten und sonstigen Kontakte des Kunden sowie die Nutzer, die der Kunde in Beacon anlegt, soweit deren Daten im Kundeninhalt stehen.
Datenarten sind Identifikations- und Kontaktdaten, Unternehmens- und Vorgangsdaten, Kommunikationsinhalte einschließlich E-Mail, Anhänge, Rufnummern, Gesprächsaufzeichnungen und Transkripte, Notizen, Aufgaben und Außendienstnotizen. Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand. Der Kunde erteilt dazu keine Weisung, ohne dass Wilken vorher schriftlich zugestimmt hat.
4. Weisungen
Wilken verarbeitet die CRM-Daten nur auf dokumentierter Weisung des Kunden. Weisung ist die Nutzung von Beacon, diese Bedingungen und einzelne Anweisungen in Textform an info@wilken.solutions. Wilken weist den Kunden darauf hin, wenn eine Weisung nach ihrer Einschätzung gegen Datenschutzrecht verstößt, und kann die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.
Die globale Sperrliste führt Wilken als eigene Verantwortliche. Sie ist keine Weisung des Kunden und kann von ihm nicht aufgehoben werden, soweit sie rechtlich veranlasst ist.
5. Pflichten von Wilken
Wilken verpflichtet die Personen, die Zugang haben, auf Vertraulichkeit. Wilken trifft die unten beschriebenen technischen und organisatorischen Maßnahmen. Wilken unterstützt den Kunden mit zumutbarem Aufwand bei Betroffenenrechten, bei Datenschutz-Folgenabschätzungen und bei Meldungen an die Aufsicht, soweit die Informationen bei Wilken liegen.
Wilken meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten im Auftrag ohne unangemessene Verzögerung, nachdem Wilken sie festgestellt hat.
Wilken erteilt keine Rechtsberatung. Der Kunde bleibt für Rechtsgrundlagen, Informationen an seine Kontakte, Einwilligungen und Werberegeln verantwortlich.
6. Unterauftragsverarbeiter
Der Kunde stimmt den in der Beacon-Subprozessor-Liste genannten Stellen zu. Wilken verpflichtet sie vertraglich auf Datenschutzpflichten, die diesem AVV entsprechen. Wilken haftet dem Kunden gegenüber für deren Verschulden wie für eigenes Verschulden, im Rahmen der Haftungsregeln der Beacon-Bedingungen.
Änderungen werden auf der Liste veröffentlicht. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen, wie auf der Liste beschrieben.
7. Drittland
Eine Übermittlung in ein Drittland erfolgt nur, soweit die Liste sie ausweist und ein Angemessenheitsbeschluss, Standardvertragsklauseln oder eine andere Grundlage nach Kapitel V DSGVO vorliegt. Der Kunde beauftragt Wilken mit dieser Übermittlung, soweit die Funktion sie erfordert, etwa bei Gemini, Gmail, Microsoft, Twilio oder Resend.
8. Technische und organisatorische Maßnahmen
Zugang zur Produktivumgebung ist auf die Personen beschränkt, die ihn für Betrieb und Support brauchen, und durch Anmeldung und Rollen abgesichert. Workspaces sind in der Datenbank voneinander getrennt. Geheimnisse liegen im GCP Secret Manager, nicht im Quellcode. Die Übertragung erfolgt verschlüsselt (HTTPS). Die Datenbank liegt in Frankfurt. Gesprächsaufnahmen werden nach dem Kopieren beim Telefoniedienstleister gelöscht. Sicherungen folgen dem üblichen Betrieb der Produktivdatenbank.
Der Kunde kann eine aktuelle Beschreibung der Maßnahmen anfragen. Eine Vor-Ort-Prüfung kündigt er mit angemessener Frist an. Sie darf den Betrieb nicht unverhältnismäßig stören und erfolgt auf Kosten des Kunden, soweit kein konkreter Verstoß Anlass ist. Wilken kann einen Bericht oder eine Zusammenfassung vorhandener Nachweise der Unterauftragsverarbeiter anbieten, statt eine zweite Prüfung derselben Stelle zu verlangen.
9. Löschung und Herausgabe
Nach Ende des Vertrags löscht Wilken die im Auftrag verarbeiteten CRM-Daten innerhalb von 30 Tagen oder händigt sie aus, wenn der Kunde die Herausgabe vor Ablauf dieser Frist in Textform verlangt und ein gängiges Format zumutbar ist. Gesetzliche Aufbewahrung und die von Wilken als Verantwortliche geführte Sperrliste bleiben unberührt. Sicherungskopien werden im üblichen Zyklus überschrieben.
10. Schluss
Es gilt das Recht der Bundesrepublik Deutschland. Für Kaufleute ist Köln Gerichtsstand. Im Übrigen gelten die Beacon-Bedingungen und die Wilken-AGB.