Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO — Stand: 7. April 2026

zwischen dem Kunden (nachfolgend „Verantwortlicher") und

aleduwa GmbH, Lange Str. 120, 79183 Waldkirch
(nachfolgend „Auftragsverarbeiter")

— gemeinsam „Parteien", einzeln „Partei" —

Der Verantwortliche nutzt die SaaS-Plattform „Workosy" des Auftragsverarbeiters. Soweit der Auftragsverarbeiter dabei personenbezogene Daten im Auftrag des Verantwortlichen verarbeitet, vereinbaren die Parteien Folgendes:

§ 1 – Gegenstand und Dauer

(1) Gegenstand dieses AVV ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung der Plattform Workosy gemäß den Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag").

(2) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrages. Der AVV wird mit der Registrierung des Verantwortlichen automatisch Vertragsbestandteil und endet mit Beendigung des Hauptvertrages, spätestens jedoch mit der vollständigen Löschung aller personenbezogenen Daten.

§ 2 – Art und Zweck der Verarbeitung

(1) Die Verarbeitung erfolgt ausschließlich zum Zweck der Bereitstellung der vertraglich vereinbarten Plattformfunktionen:

• Speicherung, Anzeige und Verwaltung von CRM-Daten (Kontakte, Unternehmen, Deals),
• Speicherung, Anzeige und Verwaltung von Aufgaben und Dokumenten,
• Authentifizierung und Benutzerverwaltung,
• Synchronisation von Kalender-Events (Microsoft Outlook) und Anzeige von E-Mails im CRM-Kontext (nur Lesen),
• Versand von Transaktions-E-Mails (Einladungen, Benachrichtigungen),
• Echtzeit-Benachrichtigungen und Kollaboration,
• Volltextsuche und Indexierung,
• Sicherung und Wiederherstellung (Backup),
• optionale KI-gestützte Textverarbeitung (nur bei Aktivierung durch den Verantwortlichen),
• aggregierte, anonymisierte Auswertungen zur Verbesserung der Plattform (kein Personenbezug).

(2) Die Art der Verarbeitung umfasst: Erheben, Erfassen, Ordnen, Speichern, Anpassen, Abfragen, Verwenden, Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten.

§ 3 – Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden im Auftrag verarbeitet:

(2) Besondere Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO sind nicht Gegenstand der bestimmungsgemäßen Verarbeitung. Der Verantwortliche trägt die alleinige Verantwortung dafür, dass keine solchen Daten (z. B. Gesundheitsdaten, politische Meinungen, religiöse Überzeugungen) in Freitextfeldern, Dokumenten, Dateien oder benutzerdefinierten Feldern gespeichert werden. Verstößt der Verantwortliche gegen diese Pflicht, stellt er den Auftragsverarbeiter von sämtlichen daraus resultierenden Ansprüchen Dritter und Bußgeldern der Aufsichtsbehörden frei.

§ 4 – Kategorien betroffener Personen

• Mitarbeiter und Bevollmächtigte des Verantwortlichen (Plattform-Nutzer),
• Kunden, Interessenten und Geschäftspartner des Verantwortlichen (CRM-Kontakte),
• Ansprechpartner bei Unternehmen des Verantwortlichen (CRM-Unternehmensdaten),
• Teilnehmer an Kalender-Events des Verantwortlichen,
• sonstige Personen, deren Daten der Verantwortliche in Dokumenten, Aufgaben oder Dateien speichert.

Der Verantwortliche ist allein dafür verantwortlich, dass für die Verarbeitung der Daten dieser Personen eine gültige Rechtsgrundlage nach Art. 6 DSGVO vorliegt.

§ 5 – Pflichten des Auftragsverarbeiters

(1) Der Auftragsverarbeiter verpflichtet sich,

• personenbezogene Daten nur auf dokumentierte Weisung des Verantwortlichen zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO), einschließlich der Übermittlung in Drittländer (siehe § 9), es sei denn, eine rechtliche Verpflichtung nach Unionsrecht oder dem Recht eines Mitgliedstaats erfordert die Verarbeitung,
• sicherzustellen, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO),
• die gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe § 8),
• Unterauftragsverarbeiter nur unter den Bedingungen des § 6 einzusetzen,
• den Verantwortlichen im Rahmen des Zumutbaren bei der Erfüllung der Betroffenenrechte gemäß Art. 12–22 DSGVO zu unterstützen (siehe § 7),
• den Verantwortlichen im Rahmen des Zumutbaren bei der Einhaltung der Pflichten nach Art. 32–36 DSGVO zu unterstützen,
• nach Beendigung des Hauptvertrages alle personenbezogenen Daten zu löschen oder zurückzugeben (siehe § 10),
• dem Verantwortlichen die erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO zur Verfügung zu stellen und Überprüfungen unter den Bedingungen des § 11 zu ermöglichen.

(2) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt (Art. 28 Abs. 3 Unterabs. 2 DSGVO). Der Auftragsverarbeiter ist berechtigt, die Verarbeitung bis zur Klärung auszusetzen, ohne dass hieraus Ansprüche des Verantwortlichen entstehen.

§ 6 – Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern im Sinne von Art. 28 Abs. 2 DSGVO.

(2) Zum Zeitpunkt des Abschlusses dieses AVV setzt der Auftragsverarbeiter folgende Unterauftragsverarbeiter ein:

(3) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens fünfzehn (15) Tage vor dem geplanten Einsatz eines neuen oder dem Wechsel eines bestehenden Unterauftragsverarbeiters per E-Mail oder über die Plattform.

(4) Der Verantwortliche hat das Recht, innerhalb der Frist nach Abs. 3 aus sachlich begründeten datenschutzrechtlichen Gründen Widerspruch gegen den neuen Unterauftragsverarbeiter einzulegen. Der Widerspruch muss in Textform erfolgen und die konkreten datenschutzrechtlichen Bedenken darlegen. Im Falle eines berechtigten Widerspruchs bemühen sich die Parteien um eine einvernehmliche Lösung. Kann innerhalb von dreißig (30) Tagen keine Einigung erzielt werden, steht beiden Parteien ein Sonderkündigungsrecht zum Zeitpunkt des geplanten Einsatzes zu. Weitergehende Ansprüche des Verantwortlichen – insbesondere auf Schadensersatz – sind in diesem Fall ausgeschlossen.

(5) Der Auftragsverarbeiter stellt vertraglich sicher, dass die Unterauftragsverarbeiter datenschutzrechtliche Pflichten einhalten, die den in diesem AVV festgelegten Pflichten im Wesentlichen entsprechen.

§ 7 – Rechte der betroffenen Personen

(1) Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen des Zumutbaren durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Art. 12–22 DSGVO, insbesondere bei:

• Auskunftsersuchen (Art. 15 DSGVO),
• Berichtigung (Art. 16 DSGVO),
• Löschung (Art. 17 DSGVO),
• Einschränkung der Verarbeitung (Art. 18 DSGVO),
• Datenübertragbarkeit (Art. 20 DSGVO).

(2) Die Plattform stellt dem Verantwortlichen Self-Service-Funktionen zur Verfügung, mit denen er Betroffenenanfragen eigenständig umsetzen kann (Export, Bearbeitung, Löschung von Kontakten und zugehörigen Daten). Der Verantwortliche ist verpflichtet, diese Funktionen vorrangig zu nutzen, bevor er den Auftragsverarbeiter um Unterstützung ersucht.

(3) Soweit die Unterstützung des Auftragsverarbeiters über die Bereitstellung der Self-Service-Funktionen hinausgeht, hat der Auftragsverarbeiter Anspruch auf Erstattung des entstehenden Aufwands zu den jeweils geltenden Stundensätzen.

(4) Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage an den Verantwortlichen weiter und ergreift ohne dessen Weisung keine eigenständigen Maßnahmen.

§ 8 – Technische und organisatorische Maßnahmen (TOMs)

(1) Der Auftragsverarbeiter trifft die in Anlage 1 – Technische und organisatorische Maßnahmen beschriebenen Maßnahmen gemäß Art. 32 DSGVO. Die Anlage ist Bestandteil dieses AVV.

(2) Der Auftragsverarbeiter ist berechtigt, die TOMs jederzeit anzupassen, solange das Datenschutzniveau insgesamt nicht unterschritten wird. Wesentliche Änderungen werden dem Verantwortlichen gemäß § 16 Abs. 1 mitgeteilt. Die jeweils aktuelle Fassung der TOMs ist unter workosy.com/toms einsehbar.

§ 9 – Übermittlung in Drittländer

(1) Die primäre Datenspeicherung und -verarbeitung erfolgt in Deutschland (Hetzner-Rechenzentren).

(2) Soweit Unterauftragsverarbeiter in den USA ansässig sind (Clerk, Cloudflare, Resend, Anthropic), erfolgt die Übermittlung auf Grundlage von:

• dem Angemessenheitsbeschluss der EU-Kommission zum EU-US Data Privacy Framework (DPF) gemäß Art. 45 DSGVO, sofern der Unterauftragsverarbeiter im DPF gelistet ist, und/oder
• EU-Standardvertragsklauseln (SCCs) gemäß Art. 46 Abs. 2 lit. c DSGVO (Durchführungsbeschluss (EU) 2021/914).

(3) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage Informationen zu den eingesetzten Transfermechanismen zur Verfügung. Ein Transfer Impact Assessment (TIA) wird bei Bedarf durchgeführt.

(4) Sollte ein Angemessenheitsbeschluss aufgehoben oder ein Transfermechanismus für unwirksam erklärt werden, informiert der Auftragsverarbeiter den Verantwortlichen und ergreift in angemessener Frist Maßnahmen, um einen rechtskonformen Datentransfer sicherzustellen oder die betroffene Verarbeitung einzustellen. Ein Anspruch des Verantwortlichen auf Aufrechterhaltung des bisherigen Funktionsumfangs besteht in diesem Fall nicht.

§ 10 – Löschung und Rückgabe von Daten

(1) Nach Beendigung des Hauptvertrages stehen die Daten des Verantwortlichen für dreißig (30) Tage zum Export bereit (siehe § 9 der AGB). Der Verantwortliche kann seine Daten in gängigen Formaten (JSON, CSV, Markdown, HTML) über die Exportfunktion der Plattform herunterladen. Der Auftragsverarbeiter schuldet keine darüber hinausgehende individuelle Aufbereitung oder Konvertierung der Daten.

(2) Nach Ablauf der Exportfrist löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten des Verantwortlichen einschließlich aller Kopien in angemessener Frist, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen. Daten in automatisierten Backups werden im Rahmen des regulären Backup-Rotationszyklus überschrieben.

(3) Gesetzliche Aufbewahrungspflichten (insbesondere nach HGB, AO) bleiben unberührt. Die betroffenen Daten werden für die Dauer der Aufbewahrungsfrist gesperrt und nach deren Ablauf gelöscht.

(4) Kalender-OAuth-Tokens werden bei Vertragsende widerrufen und gelöscht, aktive Webhook-Abonnements bei Microsoft nach Möglichkeit bereinigt.

(5) Der Auftragsverarbeiter bestätigt dem Verantwortlichen die Löschung auf Anfrage in Textform. Form und Umfang der Bestätigung bestimmt der Auftragsverarbeiter.

§ 11 – Kontrollrechte des Verantwortlichen

(1) Der Verantwortliche hat das Recht, die Einhaltung dieses AVV zu überprüfen. Der Auftragsverarbeiter stellt dem Verantwortlichen hierzu vorrangig folgende Nachweise zur Verfügung:

• aktuelle Zertifizierungen, Auditberichte oder vergleichbare Nachweise unabhängiger Dritter,
• schriftliche Selbstauskünfte und Dokumentation der TOMs,
• Dokumentation der Unterauftragsverarbeiter-Verträge (in zusammengefasster Form).

(2) Eine Vor-Ort-Inspektion ist nur zulässig, wenn die in Abs. 1 genannten Nachweise zur Beurteilung der Einhaltung des AVV nicht ausreichen. Für Vor-Ort-Inspektionen gelten folgende Bedingungen:

• Ankündigungsfrist von mindestens sechzig (60) Tagen in Textform,
• höchstens eine (1) Inspektion pro Kalenderjahr, sofern kein begründeter Verdacht eines Verstoßes vorliegt,
• Durchführung ausschließlich während der Geschäftszeiten und ohne Störung des laufenden Betriebs,
• Vorab-Unterzeichnung einer Vertraulichkeitsvereinbarung durch alle beteiligten Personen,
• der Auftragsverarbeiter ist berechtigt, Prüfer abzulehnen, die in einem Wettbewerbsverhältnis zum Auftragsverarbeiter stehen.

(3) Sämtliche Kosten der Überprüfung (einschließlich interner Aufwände des Auftragsverarbeiters zu den jeweils geltenden Stundensätzen) trägt der Verantwortliche.

(4) Der Auftragsverarbeiter kann die Kontrolle eines gemeinsamen Prüfers anbieten, um den Aufwand bei mehreren gleichartigen Anfragen zu bündeln.

§ 12 – Meldung von Datenschutzverletzungen

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, in der Regel innerhalb von 48 Stunden nach Kenntniserlangung, über eine Verletzung des Schutzes personenbezogener Daten im Sinne von Art. 4 Nr. 12 DSGVO, soweit die Daten des Verantwortlichen betroffen oder wahrscheinlich betroffen sind.

(2) Die Meldung enthält die zum Zeitpunkt der Meldung verfügbaren Informationen zu:

• Art der Datenschutzverletzung,
• Kategorien und, soweit möglich, ungefähre Anzahl betroffener Personen und Datensätze,
• voraussichtlichen Folgen der Verletzung,
• ergriffenen und vorgeschlagenen Maßnahmen zur Behebung und Schadensbegrenzung.

(3) Die Pflicht zur Meldung an die zuständige Aufsichtsbehörde (Art. 33 DSGVO) und an die betroffenen Personen (Art. 34 DSGVO) obliegt dem Verantwortlichen. Der Auftragsverarbeiter unterstützt den Verantwortlichen hierbei im Rahmen des Zumutbaren. Der Auftragsverarbeiter hat Anspruch auf Erstattung des entstehenden Aufwands, soweit dieser über die bloße Erstmeldung hinausgeht.

§ 13 – Weisungen

(1) Die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter erfolgt ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen. Die Nutzung der Plattformfunktionen durch den Verantwortlichen gilt als Weisung im Sinne dieses AVV. Die in den AGB und diesem AVV beschriebenen Verarbeitungen stellen die Grundweisungen des Verantwortlichen dar.

(2) Weisungen, die über die vertraglich vereinbarte Leistungserbringung oder die Grundweisungen hinausgehen, bedürfen einer gesonderten Vereinbarung in Textform. Der Auftragsverarbeiter hat Anspruch auf Erstattung angemessener Mehrkosten und einer angemessenen Vorlaufzeit für die Umsetzung.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält. Der Auftragsverarbeiter ist berechtigt, die Durchführung einer solchen Weisung bis zur Klärung auszusetzen, ohne dass hieraus Ansprüche des Verantwortlichen entstehen.

(4) Mündliche Weisungen sind unverzüglich in Textform zu bestätigen. Bis zur Bestätigung ist der Auftragsverarbeiter nicht zur Umsetzung verpflichtet.

§ 14 – Vertraulichkeit

(1) Der Auftragsverarbeiter stellt sicher, dass alle Personen, die Zugang zu personenbezogenen Daten des Verantwortlichen haben, zur Vertraulichkeit verpflichtet sind und über die datenschutzrechtlichen Anforderungen unterwiesen wurden.

(2) Die Vertraulichkeitspflicht besteht über die Beendigung dieses AVV hinaus fort.

§ 15 – Haftung

(1) Die Haftung des Auftragsverarbeiters aus oder im Zusammenhang mit diesem AVV richtet sich nach den Haftungsregelungen des Hauptvertrages (§ 16 der AGB). Dieser AVV begründet keine eigenständigen oder über den Hauptvertrag hinausgehenden Haftungsansprüche.

(2) Der Verantwortliche stellt den Auftragsverarbeiter von sämtlichen Ansprüchen, Bußgeldern und Kosten frei, die daraus resultieren, dass der Verantwortliche seine Pflichten als Verantwortlicher nach der DSGVO oder seine Pflichten aus diesem AVV verletzt hat, insbesondere bei:

• fehlender oder unzureichender Rechtsgrundlage für die Datenverarbeitung,
• Speicherung besonderer Kategorien personenbezogener Daten entgegen § 3 Abs. 2,
• rechtswidrigen oder widersprüchlichen Weisungen,
• Verstößen gegen Informations- oder Einwilligungspflichten gegenüber betroffenen Personen.

§ 16 – Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Der Auftragsverarbeiter ist berechtigt, den AVV einschließlich seiner Anlagen (insbesondere die TOMs) mit einer Ankündigungsfrist von vierzehn (14) Tagen in Textform anzupassen, soweit das Datenschutzniveau insgesamt nicht wesentlich verschlechtert wird. Dies umfasst insbesondere Anpassungen aufgrund geänderter gesetzlicher Anforderungen, behördlicher Empfehlungen, Änderungen bei Unterauftragsverarbeitern oder technischer Weiterentwicklung. Widerspricht der Verantwortliche nicht innerhalb der Ankündigungsfrist in Textform, gelten die Änderungen als akzeptiert.

(2) Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, so berührt dies nicht die Wirksamkeit der übrigen Bestimmungen.

(3) Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Freiburg im Breisgau.

(4) Dieser AVV geht im Falle eines Widerspruchs den AGB vor, soweit datenschutzrechtliche Regelungen betroffen sind. In allen übrigen Fällen gehen die AGB vor.