Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DS-GVO der Kh. Digital Solutions GmbH

Version 1.0 · Stand: 01.05.2026

Hinweis zur Einbeziehung: Dieser AVV ist Bestandteil des Hauptvertrages (bestehend aus Auftragsformular und AGB) und gilt mit dessen Abschluss als vereinbart. Eine gesonderte Unterzeichnung ist nicht erforderlich. „Auftragnehmer” ist die Kh. Digital Solutions GmbH; „Auftraggeber” ist der im Auftragsformular genannte Kunde.

§ 1 Anwendungsbereich

(1) Die Kh. Digital Solutions GmbH, Friedrichstr. 1A, 80801 München (nachfolgend „Auftragnehmer”) stellt dem Kunden (nachfolgend „Auftraggeber”) als Software as a Service (SaaS) Software-Anwendungen sowie Speicherkapazitäten für die vom Kunden oder Dritten erzeugten und/oder eingebrachten Daten (z. B. Kundendaten, Mitarbeiterdaten, Produktlisten, Pläne) zur Verfügung und erbringt zusätzliche Support-Leistungen; der zugrunde liegende Vertrag wird „Hauptvertrag” genannt. Im Rahmen der Leistungserbringung ist es erforderlich, dass der Auftragnehmer mit personenbezogenen Daten umgeht, für die der Auftraggeber als verantwortliche Stelle fungiert („Auftraggeber-Daten”).

(2) Dieser AVV konkretisiert die datenschutzrechtlichen Rechte und Pflichten der Parteien im Zusammenhang mit dem Umgang des Auftragnehmers mit Auftraggeber-Daten zur Durchführung des Hauptvertrags.

§ 2 Umfang der Beauftragung

(1) Der Auftragnehmer verarbeitet die Auftraggeber-Daten im Auftrag und nach Weisung des Auftraggebers i. S. v. Art. 28 DS-GVO. Jede abweichende oder darüber hinausgehende Verarbeitung zu eigenen Zwecken ist untersagt. Hiervon ausgenommen ist die Verwendung anonymisierter oder aggregierter Daten ohne Personenbezug zur Abrechnung (insbesondere nutzungsabhängiger Entgelte), zur Gewährleistung der Sicherheit und Verfügbarkeit sowie zur Verbesserung und Weiterentwicklung der Software.

(2) Die Art der Verarbeitung umfasst alle Arten von Verarbeitungen i. S. v. Art. 4 Nr. 2 DS-GVO im zur Zweckerreichung erforderlichen Umfang. Zweck ist die Erfüllung der Verpflichtungen aus dem Hauptvertrag, insbesondere (a) die systematische Erfassung, Verwaltung und Analyse von Kundendaten in einem CRM-System, (b) die Kommunikation mit Kunden und Interessenten über die angebundenen Kanäle (z. B. E-Mail, Telefonie, WhatsApp, RCS oder vergleichbare Messenger-Dienste) einschließlich deren zentraler Zusammenführung in der Software, (c) die Durchführung gezielter Maßnahmen zur Akquise und Pflege potenzieller Kundenbeziehungen, (d) die Erfassung von Website-Sitzungen über ein auf der Website des Auftraggebers eingebundenes Mess-Skript („Planelio Pixel”) und deren Zuordnung zu Interessenten und Vorgängen im CRM-System (e) die Protokollierung der Nutzung der Software durch die Nutzer des Auftraggebers (Aktivitäts- und Protokolldaten), soweit dies der Nachvollziehbarkeit, Auswertung und Sicherheit der Vertriebsprozesse des Auftraggebers dient, sowie — jeweils nur, soweit der Auftraggeber das betreffende Modul aktiviert hat — (f) die Abwicklung von Telefonie über die Software (einschließlich der Verarbeitung von Verbindungsdaten und, soweit aktiviert, der Aufzeichnung und Transkription von Gesprächen) (g) der Einsatz KI-gestützter Sprachassistenten („Voice Bot”) zur Führung, Aufzeichnung, Transkription und Auswertung von Telefongesprächen mit Kunden und Interessenten des Auftraggebers, sowie (h) die automatisierte Erkennung von Missbrauchs- und Betrugsmustern zur Sicherung der Datenqualität und zum Schutz der Systeme von Auftraggeber und Auftragnehmer (z. B. Markierung von Vorgängen, bei denen unter derselben IP-Adresse abweichende Personenangaben verwendet werden). Auffällige Vorgänge werden dabei lediglich markiert („Flag”) und vor etwaigen Maßnahmen durch eine natürliche Person geprüft; eine ausschließlich auf automatisierter Verarbeitung beruhende Entscheidung mit rechtlicher Wirkung gegenüber Betroffenen (Art. 22 DS-GVO) findet nicht statt. Die für die Mustererkennung herangezogenen IP-Protokolldaten werden für die Dauer des Hauptvertrages vorgehalten, da die Erkennung wiederkehrender Missbrauchsmuster einen Abgleich mit historischen Vorgängen erfordert; die IP-Adresse selbst wird den Nutzern der Software dabei nicht angezeigt, sichtbar ist lediglich die Auffälligkeits-Markierung. Nach Vertragsende richtet sich die Löschung nach § 12.

(3) Die Verarbeitung betrifft ausschließlich:

• (a) Arten personenbezogener Daten: Kontaktdaten (insb. Anrede, Titel, Vor- und Nachname, Anschrift, E-Mail-Adresse, Telefonnummer, bevorzugte Sprache), Vertragsdaten; Kommunikationsdaten (Inhalte und Metadaten von Nachrichten, die über die an die Software angebundenen Kanäle geführt werden, z. B. E-Mail, WhatsApp, RCS oder vergleichbare Messenger-Dienste); Online- und Sitzungsdaten von Website-Besuchern (insb. IP-Adresse, Cookie-/Session-Kennungen, Geräte- und Browserinformationen, besuchte Seiten, Referrer, UTM-Parameter, im Rahmen von Fragebögen/Funnels gemachte Angaben); Nutzungs- und Protokolldaten der Nutzer der Software (insb. Anmeldezeitpunkte, ausgeführte Aktionen, bearbeitete Vorgänge); bei aktivierter Telefonie bzw. aktiviertem Voice Bot zusätzlich Telefonie-Verbindungsdaten (insb. Rufnummern, Zeitpunkt und Dauer), Gesprächsaufzeichnungen, Sprachnachrichten sowie daraus erstellte Transkripte und Zusammenfassungen; ferner aus den vorgenannten Daten abgeleitete Auffälligkeits-Markierungen („Flags”) im Rahmen der Missbrauchs- und Betrugserkennung nach Absatz (2) lit. (h).
• (b) Kategorien betroffener Personen: Kunden und Interessenten des Auftraggebers; Besucher der Website(s) des Auftraggebers; Beschäftigte/Ansprechpartner des Auftraggebers, einschließlich der Nutzer der Software; bei aktivierter Telefonie bzw. aktiviertem Voice Bot zusätzlich Teilnehmer der über die Software geführten Telefongespräche.

Hinweis für abweichende Fälle: Verarbeitet ein Kunde über Planelio andere Datenarten oder -kategorien, sind diese im Auftragsformular oder in einer Einzelvereinbarung zu ergänzen.

(4) Die Dauer der Verarbeitung entspricht der Laufzeit des Hauptvertrages.

(5) Die Verarbeitung findet grundsätzlich innerhalb der EU/des EWR statt. Eine Verarbeitung außerhalb des EWR ist zulässig, wenn der Auftragnehmer den Auftraggeber vorab über den Ort informiert und die Voraussetzungen der Art. 44–48 DS-GVO erfüllt sind oder eine Ausnahme nach Art. 49 DS-GVO vorliegt.

§ 3 Weisungsbefugnisse des Auftraggebers

(1) Die Verarbeitung erfolgt ausschließlich im Rahmen der getroffenen Vereinbarungen und auf dokumentierte Weisung des Auftraggebers, sofern nicht zwingende gesetzliche Regelungen etwas anderes verlangen.

(2) Der Auftraggeber behält sich ein umfassendes Weisungsrecht vor. Weisungen sollen schriftlich oder in Textform erteilt werden; mündliche Weisungen sind unverzüglich in Textform zu bestätigen.

(3) Hält der Auftragnehmer eine Weisung für rechtswidrig, ist er nach Mitteilung an den Auftraggeber berechtigt, die Ausführung bis zur Bestätigung auszusetzen. Die Verantwortung für die weisungsgemäße Verarbeitung liegt beim Auftraggeber.

(4) Weisungsberechtigte Personen und Weisungsempfänger:

• (a) Der Auftraggeber teilt dem Auftragnehmer unverzüglich nach Vertragsschluss in Textform Namen und Kontaktdaten der weisungsberechtigten Personen mit.
• (b) Weisungsempfänger auf Seiten des Auftragnehmers: die Geschäftsführung der Kh. Digital Solutions GmbH, Friedrichstr. 1A, 80801 München, info@planelio.com.
• (c) Änderungen sind der anderen Partei unverzüglich und mindestens in Textform mitzuteilen.

§ 4 Verantwortlichkeit des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Betroffenenrechte allein verantwortlich. Auf § 15 (Haftung) wird verwiesen.

(2) Der Auftraggeber stellt die Auftraggeber-Daten rechtzeitig bereit und ist für ihre Qualität verantwortlich. Er informiert den Auftragnehmer unverzüglich und vollständig über festgestellte Fehler oder Unregelmäßigkeiten.

(3) Der Auftraggeber stellt dem Auftragnehmer auf Anforderung die Angaben nach Art. 30 Abs. 2 DS-GVO zur Verfügung, soweit diese dem Auftragnehmer nicht selbst vorliegen.

(4) Ist der Auftragnehmer gegenüber staatlichen Stellen auskunfts- oder kooperationspflichtig, unterstützt der Auftraggeber ihn auf erstes Anfordern.

(5) Setzt der Auftraggeber das Planelio Pixel oder vergleichbare Mess-Skripte auf seiner Website ein, ist er dafür verantwortlich, die hierfür erforderlichen Einwilligungen der Website-Besucher einzuholen (insbesondere gemäß § 25 TDDDG, z. B. über ein Consent-Banner) und die Besucher in seiner Datenschutzerklärung über die Verarbeitung zu informieren. Der Auftragnehmer stellt das Pixel technisch so bereit, dass es an eine Einwilligungsverwaltung des Auftraggebers angebunden werden kann.

(6) Der Auftraggeber informiert die betroffenen Personen in seiner Datenschutzerklärung gemäß Art. 13, 14 DS-GVO über die Missbrauchs- und Betrugserkennung nach § 2 Absatz (2) lit. (h) (Zweck — Betrugs- und Missbrauchserkennung, Systemsicherheit; Rechtsgrundlage regelmäßig das berechtigte Interesse nach Art. 6 Abs. 1 lit. f DS-GVO, vgl. Erwägungsgrund 47) und dokumentiert die zugehörige Interessenabwägung. Eine Einwilligung der Betroffenen ist hierfür regelmäßig nicht erforderlich; ein Zugriff auf Endeinrichtungen i. S. d. § 25 TDDDG findet für die serverseitige Auswertung nicht statt.

(6) Aktiviert der Auftraggeber die Telefonie-Funktion oder den Voice Bot, ist er dafür verantwortlich, dass (a) Gesprächsaufzeichnungen nur mit vorheriger Einwilligung sämtlicher Gesprächsteilnehmer erfolgen (§ 201 StGB), (b) Gesprächspartner beim Einsatz des Voice Bots zu Beginn des Gesprächs darüber informiert werden, dass sie mit einem KI-System sprechen, und (c) Anrufe und Nachrichten (z. B. über WhatsApp oder RCS) nur im rechtlich zulässigen Rahmen erfolgen (insbesondere § 7 UWG — keine Werbeansprache ohne erforderliche Einwilligung). Der Auftragnehmer stellt die Funktionen technisch so bereit, dass Aufzeichnungshinweise und KI-Offenlegung unterstützt werden und erteilte Einwilligungen in der Software dokumentiert werden können (Consent-Protokoll).

§ 5 Anforderungen an Personal

(1) Der Auftragnehmer verpflichtet alle Personen, die Auftraggeber-Daten verarbeiten, zur Vertraulichkeit und weist dies auf erstes Anfordern nach.

(2) Der Auftragnehmer stellt sicher, dass ihm unterstellte Personen die Daten nur auf seine Anweisung verarbeiten, sofern keine gesetzliche Pflicht besteht.

(3) Der Auftragnehmer setzt nur Systeme ein, die eine der Verarbeitungssituation angemessene, datenschutzfreundliche technische Gestaltung unterstützen.

§ 6 Sicherheit der Verarbeitung

(1) Der Auftragnehmer ergreift gemäß Art. 32 DS-GVO erforderliche, geeignete technische und organisatorische Maßnahmen und hält sie während der Verarbeitung aufrecht, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten.

(2) Der Auftragnehmer gewährleistet, vor Beginn der Verarbeitung die in Anhang 1 (TOMs) spezifizierten Maßnahmen zu ergreifen und aufrechtzuerhalten.

(3) Änderungen der TOMs sind nach vorheriger, mindestens in Textform erfolgter Zustimmung zulässig, solange das Sicherheitsniveau nicht unterschritten wird.

(4) Erweisen sich die TOMs als nicht ausreichend, setzt der Auftragnehmer auf Weisung weitergehende Maßnahmen um und informiert den Auftraggeber unverzüglich in Textform.

§ 7 Regelung zu „Remote-Working”

(1) Die Verarbeitung außerhalb der Betriebsstätte des Auftragnehmers (insbesondere im Homeoffice sowie an mobilen oder internationalen Arbeitsorten) ist zulässig. Erfolgt dabei ein Zugriff auf Auftraggeber-Daten aus einem Land außerhalb der EU/des EWR, gelten die Voraussetzungen des § 2 Absatz (5) (Art. 44 ff. DS-GVO) entsprechend; der Auftragnehmer stellt durch geeignete technische und organisatorische Maßnahmen sicher, dass das Schutzniveau dieses AVV auch bei einem solchen Zugriff gewahrt bleibt.

(2) Der Auftragnehmer stellt die Einhaltung der vereinbarten TOMs auch im Remote-Working sicher.

(3) Der Auftragnehmer konfiguriert die Speicherorte so, dass eine lokale Speicherung auf im Remote-Working genutzten Systemen ausgeschlossen ist; andernfalls erfolgt die lokale Speicherung ausschließlich verschlüsselt und ohne Zugriff Dritter.

(4) Der Auftragnehmer stellt eine wirksame Kontrolle durch den Auftraggeber sicher und berücksichtigt dabei die Persönlichkeitsrechte der Beschäftigten und weiterer Personen angemessen.

§ 8 Inanspruchnahme weiterer Auftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter. Die bei Vertragsschluss genehmigten Unterauftragsverarbeiter ergeben sich aus Anhang 2.

(2) Der Auftragnehmer verpflichtet sich, (a) jedem weiteren Auftragsverarbeiter dieselben Pflichten aufzuerlegen, (b) vor und regelmäßig während der Beauftragung die TOMs zu prüfen, und (c) die Einhaltung auf Verlangen nachzuweisen.

(3) Unter Einhaltung von § 2 Absatz (5) gilt dies auch bei Einschaltung in einem Drittstaat; der Auftraggeber wirkt an der Erfüllung der Art. 49 DS-GVO im erforderlichen Maße mit.

(4) Der Auftragnehmer informiert über jede beabsichtigte Änderung. Der Auftraggeber kann Einspruch erheben; bei Einspruch ist die Änderung untersagt. Bei zugelassenen Änderungen stellt der Auftragnehmer eine aktualisierte Liste unverlangt bereit.

(5) Keiner Zustimmungspflicht unterliegen Verträge mit Dienstleistern zur Prüfung/Wartung oder für Nebenleistungen, auch wenn ein Zugriff nicht ausgeschlossen werden kann, solange angemessene Vertraulichkeitsregelungen bestehen.

§ 9 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren mit technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen.

(2) Macht eine betroffene Person Rechte unmittelbar gegenüber dem Auftragnehmer geltend, leitet er das Ersuchen zeitnah an den Auftraggeber weiter.

(3) Der Auftragnehmer teilt Informationen über gespeicherte Daten, Empfänger und Zweck mit, soweit dem Auftraggeber diese nicht selbst vorliegen.

(4) Der Auftragnehmer ermöglicht dem Auftraggeber – im Rahmen des Zumutbaren und gegen Erstattung nachzuweisender Kosten – die Berichtigung, Löschung oder Einschränkung der Verarbeitung bzw. nimmt diese auf Verlangen selbst vor, wenn dies dem Auftraggeber unmöglich ist.

(5) Bei Datenübertragbarkeit nach Art. 20 DS-GVO unterstützt der Auftragnehmer im Rahmen des Zumutbaren und gegen Kostenerstattung bei der Bereitstellung in einem gängigen, maschinenlesbaren Format.

§ 10 Pflichten des Auftragnehmers bei Datensicherheitsvorfall

(1) Der Auftragnehmer meldet dem Auftraggeber unverzüglich, in der Regel innerhalb von 48 Stunden nach Bekanntwerden, jede potenzielle Verletzung des Schutzes von Auftraggeber-Daten („Datensicherheitsvorfall”). Die Meldung enthält nach Möglichkeit (a) eine Beschreibung der Art der Verletzung inkl. Kategorien/ungefährer Zahl betroffener Personen und Datensätze, (b) die wahrscheinlichen Folgen und (c) ergriffene bzw. vorgeschlagene Abhilfemaßnahmen.

(2) Der Auftragnehmer unterstützt den Auftraggeber im Rahmen des Zumutbaren und gegen Kostenerstattung bei Aufklärungs-, Abhilfe- und Informationsmaßnahmen (etwa nach Art. 33, 34 DS-GVO) und ergreift unverzüglich zumutbare Maßnahmen zur Schadensbegrenzung.

§ 11 Sonstige Unterstützungspflichten des Auftragnehmers

(1) Ist der Auftraggeber gegenüber staatlichen Stellen oder Dritten auskunftspflichtig, unterstützt der Auftragnehmer auf erstes Anfordern, insbesondere durch unverzügliche Bereitstellung relevanter Informationen und Dokumente.

(2) Der Auftragnehmer stellt auf Verlangen unverzüglich eine aktuelle Aufstellung nach Art. 30 Abs. 2 DS-GVO sowie der zugriffsberechtigten Personen bereit.

(3) Der Auftragnehmer unterstützt im Rahmen des Zumutbaren und gegen Kostenerstattung bei Datenschutz-Folgenabschätzungen und Konsultationen der Aufsichtsbehörden nach Art. 35, 36 DS-GVO.

§ 12 Datenlöschung und -herausgabe

(1) Der Auftragnehmer löscht auf Weisung des Auftraggebers mit Beendigung des Hauptvertrages alle Auftraggeber-Daten vollständig und unwiderruflich oder gibt sie zurück, sofern keine gesetzliche Aufbewahrungspflicht besteht.

(2) Die Löschung ist geeignet zu dokumentieren.

(3) Dem Auftragnehmer steht kein Zurückbehaltungsrecht (§ 273 BGB) an den Auftraggeber-Daten zu.

(4) Gesetzliche Aufbewahrungspflichten bleiben unberührt. Soweit und solange der Auftragnehmer aufgrund handels- oder steuerrechtlicher Vorschriften (insbesondere § 257 HGB, § 147 AO) oder sonstiger gesetzlicher Pflichten zur Aufbewahrung von Auftraggeber-Daten verpflichtet ist, wird die Verarbeitung dieser Daten auf die Aufbewahrung eingeschränkt und die Löschung bis zum Ablauf der jeweiligen Frist aufgeschoben.

§ 13 Nachweise und Überprüfungen

(1) Der Auftragnehmer stellt sicher und kontrolliert mindestens jährlich, dass die Verarbeitung mit diesem AVV und den Weisungen im Einklang steht.

(2) Der Auftragnehmer dokumentiert die Umsetzung der Pflichten und legt Nachweise auf Anfrage vor, insbesondere zu (a) Vertraulichkeitsverpflichtungen, (b) Datenschutzverletzungen, (c) Verträgen mit und Prüfungen von weiteren Auftragsverarbeitern, (d) weisungsgemäßen Löschungen.

(3) Der Auftraggeber ist berechtigt, die Einhaltung dieses AVV – auch durch Vor-Ort-Kontrollen innerhalb der üblichen Betriebszeiten (Mo–Fr 9:00–17:00 Uhr, außer gesetzliche Feiertage in Bayern) – selbst oder durch einen beauftragten Prüfer zu überprüfen. Vor-Ort-Kontrollen sind i. d. R. mindestens zwei Wochen vorher anzukündigen. Der Auftragnehmer gewährt die erforderlichen Zugangs-, Auskunfts- und Einsichtsrechte; der Auftraggeber nimmt angemessene Rücksicht auf die Betriebsabläufe.

(4) Der Auftragnehmer darf Geschäftsgeheimnisse und sensible Informationen sowie Daten anderer Kunden von der Offenlegung ausnehmen, soweit nicht unmittelbar für die Prüfzwecke relevant.

(5) Beauftragt der Auftraggeber einen Dritten mit der Prüfung, verpflichtet er ihn schriftlich entsprechend und zur Verschwiegenheit; ein Wettbewerber des Auftragnehmers darf nicht beauftragt werden.

(6) Nach Wahl des Auftragnehmers kann der Nachweis statt durch Inspektion durch ein geeignetes, aktuelles Testat oder einen Bericht einer unabhängigen Instanz oder eine geeignete Zertifizierung (z. B. nach BSI-Grundschutz) erbracht werden.

§ 14 Laufzeit und Kündigung

(1) Die Laufzeit dieses AVV entspricht der Laufzeit des Hauptvertrags; die Regelungen zur ordentlichen Kündigung des Hauptvertrags gelten entsprechend.

(2) Der Auftraggeber ist jederzeit zur außerordentlichen Kündigung aus wichtigem Grund berechtigt, insbesondere wenn der Auftragnehmer (a) Daten zweckwidrig verwendet, (b) eine Weisung nicht ausführt, (c) einer Meldepflicht nach § 10 Absatz (1) nicht nachkommt, (d) Kontrollrechte verweigert oder erheblich behindert, (e) einen Unterauftragsverarbeiter unter Verstoß gegen § 8 einschaltet, oder (f) gegen eine sonstige wesentliche Pflicht verstößt.

(3) Der Hauptvertrag darf bei Beendigung dieses AVV nur fortgeführt werden, wenn ausgeschlossen ist, dass der Auftragnehmer Auftraggeber-Daten verarbeitet. Im Zweifel gilt eine Kündigung des Hauptvertrags auch als Kündigung dieses AVV und umgekehrt.

§ 15 Haftung

(1) Die Haftung der Parteien für Schäden aus schuldhaften Verstößen gegen diesen AVV sowie gegen die jeweilige Partei treffende gesetzliche Datenschutzpflichten und der Haftungsregress im Innenverhältnis richten sich nach Art. 82 Abs. 4 und 5 DS-GVO. Für die Haftung des Auftragnehmers gelten die Haftungsausschlüsse und -begrenzungen des Hauptvertrages.

(2) Dies gilt entsprechend für Geldbußen, soweit die andere Partei Anteil an der Verantwortung trägt.

§ 16 Schlussbestimmungen

(1) Sollte eine Bestimmung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt; die Parteien ersetzen die unwirksame Regelung durch eine wirksame, die dem Zweck am nächsten kommt und Art. 28 DS-GVO genügt.

(2) Für Rechtswahl und Gerichtsstand gelten die Regelungen des Hauptvertrages.

(3) Bei Widersprüchen zwischen diesem AVV und sonstigen Vereinbarungen (insbesondere dem Hauptvertrag) gehen die Regelungen dieses AVV vor.

(4) Der Auftragnehmer kann diesen AVV einschließlich seiner Anhänge mit Wirkung für die Zukunft anpassen, soweit dies aufgrund gesetzlicher oder aufsichtsbehördlicher Anforderungen, geänderter Rechtsprechung oder technisch-organisatorischer Weiterentwicklungen erforderlich ist und das Schutzniveau für die betroffenen Personen dadurch nicht abgesenkt wird. Für das Verfahren (Mitteilung in Textform mindestens sechs Wochen vor Inkrafttreten, gesonderter Hinweis auf Widerspruchsrecht und Folgen des Schweigens, sechswöchige Widerspruchsfrist, Fortführung zu bisherigen Bedingungen bei fristgerechtem Widerspruch) gilt die Änderungsregelung der AGB (§ 26 Absätze (3) und (4)) entsprechend. Das Verfahren für die Hinzuziehung und den Wechsel von Unterauftragsverarbeitern nach § 8 bleibt unberührt. Die jeweils geltende sowie alle früheren Fassungen dieses AVV sind unter planelio.com/rechtliches/avv dauerhaft versioniert abrufbar.

---

Anhang 1 (Technische und organisatorische Maßnahmen — TOMs)

1. Organisatorische Maßnahmen

• Ein betrieblicher Datenschutzbeauftragter ist gesetzlich nicht zu bestellen; die Voraussetzungen des § 38 BDSG (mind. 20 ständig mit automatisierter Verarbeitung beschäftigte Personen) und des Art. 37 Abs. 1 DS-GVO liegen beim Auftragnehmer derzeit nicht vor. Als Ansprechpartner für Datenschutzfragen dient: info@planelio.com.
• Mitarbeiter wurden nachweislich über Datenschutzrecht und Datensicherheit geschult.
• Alle Mitarbeiter sind nachweislich auf Vertraulichkeit gem. Art. 29 DS-GVO verpflichtet.
• Ein Datensicherheitskonzept / Informationssicherheitsmanagement ist vorhanden.
• Ein Datenschutzkonzept ist vorhanden.

2. Vertraulichkeit

• Zutritts-, Zugangs-, Speicher- und Datenträgerkontrolle: Der Auftragnehmer betreibt keine lokalen Datenverarbeitungsanlagen. Die Daten werden in den Cloud-Diensten der in Anhang 2 aufgeführten Unterauftragnehmer verarbeitet; die Zutrittskontrolle wird bei diesen geregelt, die nach ISO 27001 zertifiziert sind.
• Zugangs- und Benutzerkontrolle: Passwortvergabe (mind. 8 Zeichen); Authentifikation mit Benutzername/Passwort. Auf Wunsch des Auftraggebers können Zwei-Faktor-Authentifizierung (MFA) und/oder Single Sign-on (SSO) für die Nutzerkonten aktiviert werden.
• Zugriffskontrolle: Rechteverwaltung durch System-Administrator; Anzahl der Administratoren auf das Notwendigste reduziert; Verschlüsselung von Datenträgern; sichere Aufbewahrung von Datenträgern.
• Transport- und Übertragungskontrolle: Weitergabe in anonymisierter/pseudonymisierter Form bzw. Verschlüsselung.
• Auftragskontrolle: Vorhandene Vereinbarungen zur Auftragsverarbeitung.

3. Integrität

• Eingabe-/Verarbeitungskontrolle: Nachvollziehbarkeit von Eingabe, Änderung und Löschung durch individuelle Benutzernamen (nicht Benutzergruppen).
• Dokumentationskontrolle: Führung eines Verarbeitungsverzeichnisses; Dokumentation der eingesetzten IT-Systeme und deren Konfiguration; Zulässigkeit eines Datentransfers in Drittländer ist gegeben.

4. Verfügbarkeitskontrolle

• Aufbewahrung von Datensicherungen an einem sicheren, ausgelagerten Ort.

5. Trennungsgebot

• Mandantenfähige (Multi-Tenant-)Architektur mit logischer Trennung der Kundendaten auf Anwendungsebene (Tenant-Kennung je Datensatz, zugriffsseitig durchgesetzt); Trennung von Produktiv- und Testsystem.

---

Anhang 2 (Unterauftragsverarbeiter)

Unterauftragsverarbeiter	Sitz / Kontakt	Leistung
Digital Ocean, LLC	101 Ave of the Americas, 10th Floor, New York 10013, USA · privacy@digitalocean.com	Bereitstellung von Servern und Datenbanken
Amazon Web Services, EMEA SARL	38 Avenue John F. Kennedy, L-1855 Luxemburg · aws-EU-privacy@amazon.com	Speicherung und Bereitstellung hochgeladener Daten sowie Versand und Empfang von E-Mails (Amazon SES)
Meta Platforms Ireland Limited	Merrion Road, Dublin 4, D04 X2K5, Irland	Schaltung von Werbung und Aufzeichnung von Nutzerdaten
Google Ireland Limited	Gordon House, Barrow Street, Dublin 4, Irland · support-deutschland@google.com	Schaltung von Werbung und Aufzeichnung von Nutzerdaten
Anthropic, PBC	548 Market St, PMB 90375, San Francisco, CA 94104, USA · privacy@anthropic.com	KI-gestützte Verarbeitung von Auftraggeber-Daten (z. B. Pre-Call-Qualifizierung, Zusammenfassungen, Transkription/Auswertung von Gesprächen)
Telnyx LLC	311 W Superior St, Suite 504, Chicago, IL 60654, USA · support@telnyx.com	Abwicklung von Telefonie (Verbindungsaufbau, Verbindungsdaten, ggf. Gesprächsaufzeichnungen) — nur bei aktiviertem Telefonie-Modul
Twilio Ireland Limited	3 Dublin Landings, North Wall Quay, Dublin 1, Irland · privacy@twilio.com	Versand und Empfang von Nachrichten über Messaging-Kanäle (insbesondere WhatsApp Business Platform, ggf. SMS) — nur bei aktiviertem Messaging-Modul
WhatsApp Ireland Limited (Meta)	4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland	Betrieb der WhatsApp-Plattform, über die WhatsApp-Nachrichten technisch übermittelt werden — nur bei aktiviertem WhatsApp-Kanal

Soweit im Rahmen der vorstehenden Unterbeauftragungen personenbezogene Daten in Drittländer (insbesondere die USA) übermittelt werden, erfolgt dies auf Grundlage eines Angemessenheitsbeschlusses der EU-Kommission (Art. 45 DS-GVO, insbesondere EU-US Data Privacy Framework bei zertifizierten Anbietern) oder auf Grundlage der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DS-GVO), jeweils ergänzt um erforderliche zusätzliche Maßnahmen.

---

Kh. Digital Solutions GmbH · Friedrichstr. 1A · 80801 München · info@planelio.com · planelio.com