Auftragsverarbeitungsvertrag

Version 2026-09-15

REDAKTIONELLE FREIGABEFASSUNG – Stand 11.09.2026; Freigabe siehe RELEASE_REVIEW.md

Vereinbarung zur Auftragsverarbeitung gemäß Artikel 28 DSGVO

zwischen dem im Firmenkonto bezeichneten Kunden („Verantwortlicher“ oder „Kunde“)
und
Graefer Trading GmbH, Otto-Schott-Str. 10, 47906 Kempen, Deutschland, vertreten durch den Geschäftsführer Maximilian Graefer („Auftragsverarbeiter“).

1. Gegenstand und Laufzeit
Diese Vereinbarung ergänzt den Vertrag über Graefer Sales Hub. Der Auftragsverarbeiter stellt eine webbasierte CRM-, Vertriebs- und Abwicklungssoftware bereit und verarbeitet dabei personenbezogene Daten ausschließlich für den Kunden. Die Verarbeitung beginnt mit Freischaltung des Firmenkontos und endet mit Löschung oder Rückgabe der Auftragsdaten nach Vertragsende. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

2. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst insbesondere Erheben, Erfassen, Ordnen, Speichern, Anpassen, Abfragen, Anzeigen, Zuordnen, Übermitteln an vom Kunden aktivierte Dienste, Abgleichen, Exportieren, Einschränken und Löschen. Zwecke sind Kontakt- und Leadverwaltung, Vertriebssteuerung, Wiedervorlagen, Kommunikation, Angebots- und Projektverfolgung, Nachverkaufsabwicklung, Datenabgleich mit angebundenen Systemen, Berichte, Backups, Support sowie vom Kunden ausgelöste KI-Unterstützung.

3. Datenarten und betroffene Personen
Verarbeitet werden können insbesondere Firmen- und Kontaktdaten, geschäftliche Kommunikationsdaten, Telefonnummern, E-Mail-Adressen, Anschriften, Rollen und Zuständigkeiten, Interessen, Leadquellen, Vertriebsphasen, Aufgaben, Notizen, Termine, Gesprächsprotokolle, E-Mail- und Telefonie-Metadaten, Aufzeichnungen und Transkripte bei aktivierter Funktion, Angebote, Belege, Produkt- und Projektdaten, Finanzierungs- und Leasingunterlagen, Zahlungsstatus, Benutzer- und Berechtigungsdaten sowie technische Protokolldaten.

Betroffene Personen können insbesondere Beschäftigte und Benutzer des Kunden, Interessenten, Ansprechpartner bei Geschäftskunden, Lieferanten, Händler, sonstige Geschäftspartner sowie Kommunikationspartner sein. Besondere Kategorien personenbezogener Daten nach Artikel 9 DSGVO sind nicht für die planmäßige Verarbeitung vorgesehen. Der Kunde weist den Auftragsverarbeiter vor einer ausnahmsweisen Verarbeitung solcher Daten ausdrücklich an und stellt die Rechtmäßigkeit sicher.

4. Weisungen
Der Auftragsverarbeiter verarbeitet Auftragsdaten nur auf dokumentierte Weisung des Kunden, auch hinsichtlich Übermittlungen an ein Drittland. Eine abweichende Verarbeitung aufgrund des Unionsrechts oder des Rechts eines Mitgliedstaats wird dem Kunden vorab mitgeteilt, sofern das betreffende Recht dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt. Als Weisungen gelten der Hauptvertrag, diese Vereinbarung, die Konfiguration durch berechtigte Benutzer sowie spätere Weisungen in Textform. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Kunden unverzüglich und darf ihre Ausführung bis zur Klärung aussetzen. Weisungen können an info@machsales.de gerichtet werden. Auftragsdaten werden nicht für eigene Werbung, firmenübergreifende Profilbildung oder eigene Trainingszwecke verwendet.

5. Vertraulichkeit und Personal
Der Auftragsverarbeiter setzt nur Personen ein, die auf Vertraulichkeit verpflichtet und angemessen in Datenschutz und Informationssicherheit unterwiesen wurden. Zugriffe werden nach dem Erforderlichkeitsprinzip vergeben und regelmäßig überprüft.

6. Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter gewährleistet ein dem Risiko angemessenes Schutzniveau. Dazu gehören insbesondere verschlüsselte Übertragung, verschlüsselte Speicherung von Integrationsgeheimnissen, Passwort-Hashing, Zwei-Faktor-Authentifizierung, serverseitig widerrufbare Sitzungen, Mandantentrennung, Rollen- und Rechtekonzept, Schutz gegen gefälschte Anfragen, Protokollierung sicherheitsrelevanter Ereignisse, eingeschränkte Datenbankzugriffe, verschlüsselte Backups, Wiederherstellungsprüfungen, Sicherheitsaktualisierungen sowie Datenminimierung bei KI-Anfragen.

Die Maßnahmen werden risikoorientiert weiterentwickelt. Wesentliche Einzelheiten sind in Anlage 1 beschrieben. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten.

7. Unterstützung des Kunden
Der Auftragsverarbeiter unterstützt den Kunden unter Berücksichtigung von Art der Verarbeitung und verfügbaren Informationen angemessen bei Betroffenenanfragen, Datenschutz-Folgenabschätzungen, Konsultationen von Aufsichtsbehörden, Sicherheitsmaßnahmen sowie Melde- und Benachrichtigungspflichten. Er leitet unmittelbar eingehende Anfragen zu Auftragsdaten an den Kunden weiter und beantwortet sie nicht eigenständig, sofern keine rechtliche Pflicht besteht.

8. Datenschutzverletzungen
Der Auftragsverarbeiter informiert den Kunden unverzüglich, nachdem ihm eine Verletzung des Schutzes von Auftragsdaten bekannt wurde. Die Mitteilung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle. Noch nicht verfügbare Angaben werden ohne unangemessene Verzögerung nachgereicht.

9. Unterauftragnehmer
Der Kunde erteilt die allgemeine Genehmigung zum Einsatz der in der bei Vertragsschluss bereitgestellten Dienstleisterliste genannten Unterauftragnehmer. Die genehmigte Fassung wird dem Vertrag zugeordnet. Jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragnehmers wird mindestens 30 Tage vor dessen Einsatz in Textform mitgeteilt, einschließlich Identität, Aufgabe, Verarbeitungsort und gegebenenfalls Übermittlungsgrundlage. Der Kunde kann innerhalb dieser Frist aus datenschutzrechtlichen Gründen widersprechen. Die Parteien suchen eine angemessene Lösung. Ist keine zumutbare Alternative möglich, kann der Kunde die betroffene Leistung vor Einsatz des neuen Unterauftragnehmers ohne zusätzliche Kündigungsgebühr beenden; im Voraus gezahlte Entgelte für entfallende Leistungszeiträume werden anteilig erstattet.

Der Auftragsverarbeiter verpflichtet Unterauftragnehmer mindestens zu gleichwertigen Datenschutzpflichten. Er bleibt gegenüber dem Kunden für deren Pflichterfüllung verantwortlich. Vom Kunden selbst aktivierte Integrationen gelten nicht als vom Auftragsverarbeiter frei ausgewählte Unterauftragnehmer, soweit der Kunde den Anbieter bestimmt und ein eigenes Vertragsverhältnis unterhält.

10. Drittlandübermittlungen
Verarbeitungen außerhalb von EU und EWR erfolgen nur bei Erfüllung der gesetzlichen Voraussetzungen. Soweit kein Angemessenheitsbeschluss besteht, werden insbesondere EU-Standardvertragsklauseln und erforderliche ergänzende Maßnahmen eingesetzt. Der Auftragsverarbeiter stellt dem Kunden Informationen zum verwendeten Übermittlungsinstrument auf Anfrage zur Verfügung.

11. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Kunden alle zur Prüfung der Einhaltung dieser Vereinbarung erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten Prüfer und wirkt daran mit. Geeignete aktuelle Nachweise können Prüfungen erleichtern, ersetzen aber nicht erforderliche Kontrollen. Planbare Prüfungen werden mit angemessener Vorankündigung durchgeführt und berücksichtigen die Sicherheit und Vertraulichkeit anderer Kunden. Bei konkreten Anhaltspunkten für Verstöße oder auf Anforderung einer Aufsichtsbehörde sind zusätzliche und erforderlichenfalls kurzfristige Prüfungen möglich. Es gibt keine starre jährliche Begrenzung. Eine etwaige Vereinbarung über Kosten darf gesetzliche Kontrollrechte nicht verhindern oder unangemessen erschweren.

12. Rückgabe und Löschung
Nach Abschluss der Verarbeitungsleistungen werden Auftragsdaten nach Wahl des Kunden zurückgegeben oder gelöscht; vorhandene Kopien werden gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Während der Vertragslaufzeit stehen die bereitgestellten Exportfunktionen und ergänzend eine Herausgabeanforderung an info@machsales.de zur Verfügung. Gesetzliche Abruffristen bei einem Anbieterwechsel werden berücksichtigt.

Für die reguläre Löschung über das Firmenkonto besteht nach Bestätigung eine 30-tägige Widerrufsfrist. Anschließend werden aktive Auftragsdaten innerhalb weiterer 30 Tage gelöscht oder auf dokumentierte Weisung tatsächlich irreversibel anonymisiert. Eine ausdrückliche Weisung zur früheren Löschung oder eine gesetzliche Löschpflicht wird nicht durch die Widerrufsfrist aufgeschoben. Die endgültige Löschung wird kontrolliert durchgeführt und protokolliert; sie ist kein allein durch Zeitablauf ausgelöster Automatismus. Sicherungskopien werden spätestens innerhalb weiterer 30 Tage aus der Wiederherstellung genommen und gelöscht. Bis dahin dürfen sie nur zur Störungsbehebung verwendet werden; bei einer Wiederherstellung werden bereits ausgeführte Löschungen erneut angewandt. Gesetzlich zurückzubehaltende Daten werden auf den erforderlichen Umfang beschränkt und für andere Zwecke gesperrt. Auf Wunsch wird die Löschung bestätigt. Eigene gesetzliche Abrechnungsnachweise des Anbieters sind von CRM-Auftragsdaten zu unterscheiden.

13. Verantwortlichkeit des Kunden
Der Kunde ist für die Rechtmäßigkeit der Verarbeitung, Transparenz gegenüber Betroffenen, Datenqualität, Weisungen, interne Berechtigungen und Löschfristen verantwortlich. Er darf Aufzeichnungen oder Transkriptionen nur bei bestehender Rechtsgrundlage und erforderlicher Information oder Einwilligung aller Beteiligten aktivieren. Zugangsdaten zu angebundenen Diensten sind mit den dort erforderlichen Rechten und nach dem Prinzip der geringsten Berechtigung bereitzustellen.

14. Rangfolge und Textform
Bei Widersprüchen gehen diese Vereinbarung und ihre Anlagen den allgemeinen Nutzungsbedingungen in Datenschutzfragen vor. Änderungen und ergänzende Weisungen sollen in Textform dokumentiert werden. Die elektronisch protokollierte Annahme dieser versionierten Vereinbarung wird dem Abschluss in Textform gleichgestellt, soweit gesetzlich zulässig.

Anlage 1 – Technische und organisatorische Maßnahmen

A. Zutritts- und physische Sicherheit
Der produktive Betrieb erfolgt in professionellen Rechenzentren. Physische Zutrittskontrollen, Strom- und Klimaversorgung sowie Datenträgerentsorgung werden durch den Hostinganbieter nach dessen Sicherheitskonzept erbracht.

B. Zugangs- und Zugriffskontrolle
Individuelle Benutzerkonten, mindestens 14 Zeichen bei anwendungsseitig gesetzten Passwörtern, sicher gehashte Passwörter, Authenticator-basierte Zwei-Faktor-Authentifizierung im regulären Anmeldeablauf, einmalige und zeitlich begrenzte Einladungs- und Wiederherstellungslinks, gehashte Wiederherstellungscodes, serverseitig widerrufbare Sitzungen, rollenbasierte Rechte sowie Beschränkung administrativer Zugriffe. Die Wirkung zusätzlicher Anmeldeverfahren wird vor ihrer produktiven Freigabe geprüft.

C. Mandantentrennung und Weitergabekontrolle
Firmenbereiche werden logisch getrennt. Datenzugriffe erfolgen innerhalb des authentifizierten Firmenkontexts. Übermittlungen erfolgen verschlüsselt per HTTPS/TLS. Datenbankzugriffe sind nicht öffentlich exponiert. Geheimnisse werden außerhalb des Quellcodes gehalten und Integrationszugänge verschlüsselt gespeichert.

D. Eingabe- und Nachvollziehbarkeitskontrolle
Sicherheits- und Verwaltungsereignisse sowie wesentliche Änderungen werden protokolliert. Rechtstextannahmen werden mit Version, Inhaltsprüfsumme, Zeitpunkt, geschäftlicher E-Mail-Adresse und gesalzen gehashtem Netzwerkabdruck nachgewiesen.

E. Verfügbarkeit, Belastbarkeit und Wiederherstellung
Reduzierte Containerrechte, Sicherheitsaktualisierungen, Dienstzustandsprüfungen, verschlüsselte Sicherungskopien, festgelegte Aufbewahrung und kontrollierte Wiederherstellungsabläufe schützen Verfügbarkeit und Wiederanlauf. Störungen werden analysiert und angemessen priorisiert.

F. Datenschutzfreundliche Voreinstellungen
Optionale Integrationen werden erst durch berechtigte Benutzer aktiviert. Persönliche und gemeinsame Sichtbarkeiten werden rollenbasiert gesteuert. KI-Anfragen werden auf benötigte Inhalte begrenzt und unmittelbare Kontaktdaten nach Möglichkeit entfernt. Gesprächsaufzeichnung erfordert eine bestätigte Einwilligungskonfiguration; Audiodaten sind standardmäßig auf 24 Stunden begrenzt.

G. Löschung und Aufbewahrung
Kontolöschungen sind zunächst 30 Tage widerrufbar. Aktive Daten und Backups folgen dem in Ziffer 12 beschriebenen Verfahren. Technische Einmal-Tokens laufen nach 24 Stunden, 60 Minuten beziehungsweise sieben Tagen ab und werden zeitversetzt bereinigt. Sicherheitsprotokolle werden grundsätzlich 90 Tage gespeichert, sofern ein Vorfall oder eine gesetzliche Pflicht keine längere Sicherung erfordert.

Anlage 2 – Unterauftragnehmer
Es gilt die jeweils unter /unterauftragnehmer veröffentlichte und versionierte Dienstleisterliste.