Auftrags­verarbeitungs­vertrag

Dieser Vertrag beschreibt die Verarbeitung personenbezogener Daten im Auftrag unserer Kunden. Die Anlagen erläutern die Schutzmaßnahmen und eingesetzten Unterauftragnehmer.

Stand: 6. November 2026

zwischen dem Kunden (nachfolgend „Verantwortlicher“) und der Saple UG (haftungsbeschränkt), Kolonnenstr. 8, 10827 Berlin (nachfolgend „Saple“ oder „Auftragsverarbeiter“).

Dieser Vertrag ist Bestandteil der Allgemeinen Geschäftsbedingungen von Saple und wird mit deren Annahme geschlossen. Er gilt für jede Verarbeitung personenbezogener Daten im Auftrag des Kunden, einschließlich des unentgeltlichen Kundenkontos, des Early Access, einer Testphase, jedes kostenpflichtigen Abonnements und der Abwicklung nach Abschnitt 10.

1. Gegenstand und Dauer

(1) Saple verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um die in den AGB beschriebenen Leistungen zu erbringen, insbesondere Import und Prüfung von Lead-Daten, Abruf und Analyse öffentlich zugänglicher Websites, Erzeugung personalisierter Videos, gesprochener Grüße und Landingpages, deren Bereitstellung zum Abruf sowie Export und Übergabe der Ergebnisse. Art und Zweck der Verarbeitung, die Arten der Daten und die Kategorien betroffener Personen ergeben sich aus Anlage 1.

(2) Der Vertrag läuft so lange, wie Saple für den Verantwortlichen personenbezogene Daten im Auftrag verarbeitet, also bis zur Beendigung des Vertrags über das Kundenkonto und der Abwicklung nach Abschnitt 10. Zur vereinbarten Leistung gehört auch die Speicherung der Daten im Kundenkonto, solange kein kostenpflichtiger Tarif läuft, für die Daten einer Kampagne nach Maßgabe von Abschnitt 10 Abs. 2; das Ende eines Abonnements beendet die Verarbeitungsleistungen nicht.

(3) Nicht Gegenstand dieses Vertrags sind Verarbeitungen, für die Saple selbst Verantwortlicher ist: Konto- und Vertragsdaten der Nutzer des Verantwortlichen (einschließlich der Personen, die er in sein Konto einlädt), Abrechnung, Server-Logs, IT-Sicherheit, allgemeine Support-Kommunikation und die Erzeugung eines Stimmmodells auf Grundlage der Einwilligung des jeweiligen Nutzers (Abschnitt 3 Abs. 2). Hierfür gilt die Datenschutzerklärung von Saple. Enthält eine Supportanfrage Daten, die Saple ausschließlich im Auftrag des Kunden verarbeitet, gilt für diese Daten weiterhin dieser Vertrag. Die eigene Kommunikationsverwaltung berechtigt Saple nicht zur zweckfremden Nutzung von Kundendaten.

2. Weisungen

(1) Saple verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer, es sei denn, Saple ist durch Unionsrecht oder das Recht eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt Saple dem Verantwortlichen diese Anforderung vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Die Weisungen ergeben sich aus diesem Vertrag und den AGB und werden durch die Nutzung der Anwendung erteilt, insbesondere durch den Import von Lead-Daten, das Anlegen und Starten von Kampagnen, das Veröffentlichen von Landingpages, die Wahl ihrer Laufzeit, das Hinterlegen einer Übergabe-Adresse (Webhook), das Verbinden von Import-, Versand- oder MCP-Diensten, die Auswahl eines Import- oder Übergabeziels, die Nutzung freigeschalteter KI-Funktionen und das Löschen von Daten. Weitere Weisungen erteilt der Verantwortliche in Textform an support@saple.de.

(3) Hinterlegt der Verantwortliche eine Übergabe-Adresse (Webhook) oder exportiert er Daten, übermittelt Saple die Ergebnisse je Lead an das vom Verantwortlichen gewählte Ziel. Für dieses Zielsystem und seine Rechtsgrundlage ist allein der Verantwortliche verantwortlich; es ist kein Unterauftragsverarbeiter von Saple.

(4) Die Erfolgsmessung auf den Landingpages (Anlage 1) ist für jede Kampagne voreingestellt. Lässt der Verantwortliche sie eingeschaltet, gilt dies als seine Weisung; er kann sie je Kampagne jederzeit abschalten. Ob für die Messung eine Einwilligung der Empfänger oder eine andere Rechtsgrundlage erforderlich ist, beurteilt der Verantwortliche (Abschnitt 3 Abs. 1). Der Widerspruch eines Leads über „Nicht auswerten“ beendet die Messung für die an ihn gerichteten Landingpages der Kampagne und, soweit seine E-Mail-Adresse vorliegt, für alle Landingpages des Verantwortlichen an dieselbe Adresse, auch in künftigen Kampagnen; Saple setzt ihn ohne weitere Weisung um. Dazu speichert Saple ab dem Widerspruch im Konto des Verantwortlichen einen Prüfwert (Hashwert) dieser Adresse, auch über das Löschen des Leads oder der Kampagne hinaus, bis zur Löschung des Kontos. Saple berücksichtigt den Widerspruch zusätzlich bei weiteren Produktions-, Veröffentlichungs- und Übergabeschritten für den betroffenen Lead und, soweit seine E-Mail-Adresse vorliegt, für alle Leads mit dieser Adresse in Kampagnen des Verantwortlichen. Der Prüfwert bleibt ein personenbezogenes Datum und dient ausschließlich der Beachtung dieser Sperren. Bereits übertragene Daten und Versandabläufe in Zielsystemen werden dadurch nicht automatisch gelöscht oder gestoppt. Er gilt für alle Kampagnen im Konto, auch wenn der Verantwortliche sie für verschiedene eigene Auftraggeber führt; der Verantwortliche stellt sicher, dass dies mit seinen Auftraggebern vereinbart ist.

(5) Veröffentlichte Landingpages und die zugehörigen Video- und Bilddateien sind für jeden abrufbar, der den Link kennt. Neue Links enthalten eine aus dem Unternehmen abgeleitete Bezeichnung und eine zufällige Zeichenfolge; ältere Links können auch den Vornamen enthalten. Der Link ist kein Zugang mit gesonderter Authentifizierung. Landingpages einer Kampagne sind für die gewählte Laufzeit abrufbar; für Landingpages, die ohne Kampagne veröffentlicht werden, gilt keine Laufzeit.

(6) Saple informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von Saple gegen Datenschutzvorschriften verstößt, und setzt die betroffene Ausführung bis zur Klärung aus. Eine offensichtlich rechtswidrige Weisung wird auch bei erneuter Bestätigung nicht ausgeführt. Saple informiert den Verantwortlichen über die Gründe und wirkt auf eine rechtmäßige Lösung hin.

(7) Personen, die der Verantwortliche in sein Konto eingeladen hat (Team-Zugang), handeln für den Verantwortlichen; ihre Nutzung der Anwendung gilt als Weisung des Verantwortlichen.

(8) Bei Apollo und HubSpot handelt es sich im beschriebenen Importweg um vom Verantwortlichen gewählte Quellen; bei HubSpot, Instantly, Webhook-Zielen und dem vom Verantwortlichen selbst verbundenen MCP-Dienst um von ihm ausgewählte externe Systeme. Der Verantwortliche beauftragt und prüft diese Anbieter selbst. Diese Einordnung gilt nur, soweit Saple den Anbieter nicht selbst für die Verarbeitung im Auftrag beauftragt. Saples eigene Übermittlung, die Absicherung der Verbindung und die Verarbeitung innerhalb von Saple bleiben Gegenstand dieses Vertrags.

(9) Bei einer MCP-Verbindung können je nach freigeschalteten Werkzeugen Suchaufträge, Kriterien, Rechercheergebnisse, Kampagnen, Leads, Skripte, Produktions- und Messdaten an den verbundenen Dienst übermittelt und Daten in Saple geändert werden. Der Verantwortliche autorisiert den Dienst für diesen Umfang. Eine von ihm eingerichtete Claude-Routine kann Saple auf seinen Auftrag über deren Startadresse und Routine-Token anstoßen; verarbeitet werden auch Startstatus und zurückgegebene Sitzungsadresse. Bei automatischer Übergabe an Instantly umfasst seine Weisung die ausgewählte Zielkampagne und neu hinzukommende veröffentlichte Leads. Ereignis-Webhooks umfassen bei entsprechender Einrichtung auch die erste gemessene Reaktion eines Leads. Bei HubSpot umfasst die Weisung den Import aus ausgewählten Listen, die Zuordnung oder Anlage von Kontakten und die Übermittlung von Saple-Ergebnisfeldern. Eine je Kampagne gesondert eingeschaltete Interessenrückmeldung umfasst die erste erfasste Reaktion und die dafür erforderlichen Kontaktangaben; erforderlichenfalls wird hierfür ein Kontakt angelegt. Eine in Saple ausgewählte Angabe zur Rechtsgrundlage ersetzt keine erforderliche Einwilligung. Bereits übermittelte Daten werden durch ein Löschen in Saple nicht automatisch im Kundensystem gelöscht.

(10) Saple nutzt Auftragsdaten nicht für eigene Werbung, Verkauf, Profilbildung oder das Training von KI-Modellen und erteilt auch Unterauftragsverarbeitern keine Erlaubnis zu solchen Zwecken.

3. Pflichten des Verantwortlichen

(1) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für eine Rechtsgrundlage für Erhebung, Import und Nutzung der Lead-Daten, für die Kontaktaufnahme mit den Leads und für die Erfolgsmessung auf den Landingpages, sowie für die Erfüllung der Informationspflichten nach Art. 13 und 14 DSGVO und die Beachtung von Widersprüchen der Leads, insbesondere gegen Direktwerbung. Eine Vorlage für die Information über die Erfolgsmessung stellt Saple auf Anfrage bereit; sie ersetzt nicht die vollständige Information des Verantwortlichen.

(2) Der Verantwortliche übermittelt keine besonderen Kategorien personenbezogener Daten im Sinne von Art. 9 DSGVO, keine Daten im Sinne von Art. 10 DSGVO und keine Daten Minderjähriger. Ausgenommen ist das Stimmmodell, das ein Nutzer freiwillig aus einer gesondert in den Einstellungen über das Mikrofon eingesprochenen Sprachprobe von 45 bis 120 Sekunden anlegt: Dessen Erzeugung erfolgt auf Grundlage der ausdrücklichen Einwilligung dieser Person, die Saple selbst einholt und nachweist (§ 11 der Datenschutzerklärung); seine Nutzung für Grüße in den Kampagnen des Kontos erfolgt im Auftrag des Verantwortlichen nach diesem Vertrag. Der Verantwortliche stellt sicher, dass Beschäftigte frei und ohne Nachteile entscheiden können, ob sie ein Stimmmodell anlegen; Grüße in einer Standardstimme bleiben ohne Stimmmodell möglich. Saple nutzt ein Stimmmodell nur für Grüße in den Kampagnen des Kontos, nicht zur Identifizierung von Personen, nicht für weitere biometrische Auswertungen und nicht zum Training.

(3) Der Verantwortliche informiert Saple unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

(4) Verarbeitet der Verantwortliche die Daten seinerseits im Auftrag eines Dritten (etwa als Agentur für deren Kunden), sichert er zu, dass seine Weisungen denen seines Auftraggebers entsprechen und dass dieser dem Einsatz von Saple als weiterem Auftragsverarbeiter zugestimmt hat. Saple ist dann weiterer Auftragsverarbeiter im Sinne von Art. 28 Abs. 4 DSGVO; die Pflichten aus diesem Vertrag bestehen gegenüber dem Verantwortlichen, der Anfragen und Weisungen seines Auftraggebers an Saple weitergibt.

4. Vertraulichkeit

Saple gewährleistet, dass sich alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten haben derzeit ausschließlich die Geschäftsführer von Saple.

5. Sicherheit der Verarbeitung

Saple trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Saple darf die Maßnahmen weiterentwickeln, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert Saple; die aktuelle Beschreibung erhält der Verantwortliche auf Anfrage.

6. Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt Saple die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 3 aufgeführt und gelten als genehmigt.

(2) Saple informiert den Verantwortlichen mindestens 30 Tage vor der beabsichtigten Hinzuziehung oder dem Austausch eines Unterauftragsverarbeiters in Textform (etwa per E-Mail an die Kontoadresse) unter Angabe von Identität, Leistung, Verarbeitungsorten und Grundlage einer Drittlandübermittlung. Dasselbe gilt für eine wesentliche Erweiterung der Leistung eines bestehenden Unterauftragsverarbeiters. Der Verantwortliche kann innerhalb der Frist aus datenschutzrechtlichen Gründen widersprechen. Bei fristgerechtem Widerspruch wird der neue Anbieter für seine betroffenen Daten bis zur Klärung nicht eingesetzt. Die Parteien prüfen eine zumutbare Alternative; kommt keine Einigung zustande, kann der Verantwortliche den betroffenen Hauptvertrag zum Wirksamwerden der Änderung ohne zusätzliche Kosten kündigen. Vorauszahlungen für die Zeit danach werden nach den AGB erstattet. Die Aktualisierung einer öffentlichen Liste allein ersetzt die Mitteilung nicht.

(3) Saple prüft vor dem Einsatz, ob der Anbieter ausreichende Garantien bietet, und setzt Unterauftragsverarbeiter nur auf Grundlage eines Vertrags oder der Auftragsverarbeitungsbedingungen des Anbieters nach Art. 28 Abs. 4 DSGVO ein. Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO; die jeweilige Grundlage ist in Anlage 3 angegeben. Eine Weisung des Kunden allein ersetzt keine zulässige Grundlage für eine Drittlandübermittlung. Saple informiert über rechtlich erhebliche Änderungen und setzt unzulässige Übermittlungen aus.

(4) Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet Saple gegenüber dem Verantwortlichen für die Einhaltung dieser Pflichten (Art. 28 Abs. 4 Satz 2 DSGVO).

7. Unterstützung bei Betroffenenrechten

(1) Saple unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen. Der Verantwortliche kann Lead-Daten im angebotenen Funktionsumfang selbst einsehen, exportieren, berichtigen und löschen. Soweit eine erforderliche Unterstützung bei Betroffenenrechten nicht über die Oberfläche möglich ist oder ein Tarif keinen Export umfasst, unterstützt Saple den Verantwortlichen auf Anfrage an support@saple.de, unabhängig von einer tariflichen Exportfunktion.

(2) Wendet sich eine betroffene Person direkt an Saple, leitet Saple die Anfrage unverzüglich an den Verantwortlichen weiter, soweit dieser anhand der Angaben erkennbar ist, und beantwortet sie nicht selbst, es sei denn, der Verantwortliche weist Saple dazu an.

8. Unterstützung bei weiteren Pflichten und Meldung von Verletzungen

(1) Saple unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO.

(2) Saple meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten, die seine Daten betrifft, unverzüglich nach Bekanntwerden, möglichst innerhalb von 48 Stunden, in Textform an die E-Mail-Adresse des Kontos. Ansprechpartner sind die Geschäftsführer, erreichbar unter support@saple.de. Eine noch unvollständige Untersuchung verzögert die Erstmeldung nicht. Die Meldung nennt, soweit verfügbar, Art des Vorfalls, betroffene Daten- und Personenkategorien, ungefähre Zahlen, einen Ansprechpartner, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Abhilfemaßnahmen. Fehlende Angaben reicht Saple ohne unangemessene weitere Verzögerung nach. Saple dokumentiert den Vorfall, sichert erforderliche Nachweise und unterstützt die Bewertung und Meldung durch den Verantwortlichen.

9. Nachweise und Kontrollen

(1) Saple stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 2 und geeignete Angaben zur Unterauftragsverarbeitung. Berichte oder Zertifikate können die Prüfung erleichtern, schließen erforderliche eigene Prüfungen aber nicht aus.

(2) Der Verantwortliche kann Überprüfungen durchführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen lassen. Vor-Ort-Prüfungen sind mit einer Frist von mindestens 14 Tagen anzukündigen, finden während der Geschäftszeiten statt, dürfen den Betrieb nicht unverhältnismäßig stören und werden in Umfang und Ablauf angemessen abgestimmt.

(3) Bei einer Verletzung des Schutzes personenbezogener Daten, bei begründetem Verdacht auf einen Datenschutzverstoß oder wenn eine Aufsichtsbehörde es verlangt, sind Prüfungen auch mit kürzerer, den Umständen nach angemessener Ankündigung und auch unangekündigt zulässig, soweit dies zur wirksamen Kontrolle erforderlich ist. Rechte der Aufsichtsbehörden werden nicht eingeschränkt.

10. Löschung und Rückgabe

(1) Der Verantwortliche kann die im Auftrag verarbeiteten Daten jederzeit in der Anwendung exportieren, solange ein Tarif mit Export läuft; die Rückgabe nach Abs. 3, die Unterstützung bei Betroffenenrechten und ein Anbieterwechsel sind nicht an einen solchen Tarif gebunden. Er kann Daten jederzeit löschen, insbesondere durch Löschen von Leads, Kampagnen oder des gesamten Kontos. Saple führt eine Löschung im Produktivsystem unmittelbar aus. Scheitert bei einer Kontolöschung die Löschung eines Stimmmodells beim Unterauftragsverarbeiter, bricht Saple die Kontolöschung ab, bewahrt die zur Löschung nötige Kennung auf und teilt dies dem Verantwortlichen mit; die Löschung kann danach erneut ausgelöst werden. Scheitert die Löschung von Dateien, bleibt das Konto ebenfalls bestehen, bis die Löschung vollständig gelingt.

(2) Der Verantwortliche weist Saple mit diesem Vertrag an, die Daten einer Kampagne 90 Tage nach ihrem Ende zu löschen, soweit er sie nicht vorher selbst löscht. Welche Daten dazu gehören, wann eine Kampagne endet, wie Saple die Löschung ankündigt und wie der Verantwortliche sie verschieben oder die Leads vorher herunterladen kann, regelt § 4 Abs. 5 der AGB; zusätzlich löscht Saple den Bearbeitungsstatus der Kampagne. Erhalten bleiben Name, Zeitraum und Kennzahlen der Kampagne ohne Angaben zu einzelnen Leads sowie der Prüfwert nach Abschnitt 2 Abs. 4; beides wird mit dem Konto gelöscht. Endet der Vertrag über das Kundenkonto, gilt ab diesem Zeitpunkt Abs. 3 statt dieses Absatzes.

(3) Die Verarbeitungsleistungen enden mit der Beendigung des Vertrags über das Kundenkonto. Löscht der Verantwortliche sein Konto, gilt dies als Weisung zur Löschung; die Daten werden gelöscht, eine Rückgabe findet nicht mehr statt. Endet der Vertrag über das Kundenkonto auf andere Weise, fordert Saple den Verantwortlichen in Textform auf, zwischen der Rückgabe der Daten in gängigen Formaten (strukturierte Daten etwa als CSV, dazu die erzeugten und hochgeladenen Dateien) und ihrer Löschung zu wählen. Erteilt der Verantwortliche innerhalb von 30 Tagen nach dieser Aufforderung keine abweichende Weisung, löscht Saple die Daten. Eine Weisung zur Rückgabe setzt Saple innerhalb von 30 Tagen nach Eingang in Textform an support@saple.de um und löscht die Daten anschließend. Bei einem Anbieterwechsel gilt für Übergang und Abruffrist vorrangig Anlage A der AGB; bis zu dessen Abschluss werden die dafür notwendigen Daten nicht entgegen der Wechselweisung gelöscht. Die Rückgabe umfasst die bei Saple gespeicherten Daten nach Anlage 1; ein Stimmmodell beim Unterauftragsverarbeiter wird nicht übergeben, sondern gelöscht.

(4) Kopien in Datensicherungen werden nicht einzeln gelöscht, sondern mit dem regulären Sicherungszyklus: Sicherungsstände werden 30 Tage nach ihrer Erstellung aus dem Sicherungsbestand entfernt und bis dahin nur zur Wiederherstellung verwendet. Wird eine Sicherung zurückgespielt, führt Saple Löschungen, die seit dem Stand dieser Sicherung verlangt oder ausgelöst wurden, erneut aus, soweit sie sich nachvollziehen lassen, und informiert die betroffenen Verantwortlichen über das Zurückspielen, damit sie seitdem veranlasste Löschungen prüfen und erneut auslösen können. Eine darüber hinausgehende Aufbewahrung erfolgt nur, soweit Unionsrecht oder das Recht eines Mitgliedstaats Saple dazu verpflichtet.

(5) Suchaufträge und Rechercheergebnisse werden unabhängig von den Kampagnen gespeichert und bei Löschung des Suchauftrags oder des Kontos entfernt; die Löschung einer Kampagne allein entfernt sie nicht. Produktionsprotokolle und kampagnengebundene Übergabeaufträge werden mit der Kampagne entfernt. Zugangsschlüssel und Verbindungsdaten werden beim Trennen der Verbindung oder mit dem Konto entfernt. Auftragsdaten, die der Verantwortliche bewusst in Supportanfragen übermittelt hat, berücksichtigt Saple bei einer Löschweisung gesondert. Rückgabe und Löschung nach Abs. 3 umfassen auch diese Daten.

(6) Fehlgeschlagene Datei- und Modelllöschungen werden mit den für ihre Wiederholung notwendigen Referenzen zugangsbeschränkt vorgemerkt und nachbearbeitet. Die Einträge werden nach erfolgreicher Bereinigung entfernt. Saple bestätigt eine noch offene Bereinigung nicht als abgeschlossen. Ein solcher Nachlauf verlängert keine rechtliche Löschfrist und ersetzt keine erforderliche unverzügliche Bearbeitung.

(7) Auf Wunsch bestätigt Saple den Abschluss der Löschung bei Saple und teilt mit, welche Löschungen bei Unterauftragsverarbeitern veranlasst wurden. Eine Löschung bei einem Unterauftragsverarbeiter bestätigt Saple nur, soweit dieser sie bestätigt hat. Speichert ein Unterauftragsverarbeiter Daten nach seinen Bedingungen weiter, etwa Eingabetexte und erzeugtes Audio in der Erzeugungshistorie des Sprachanbieters (Anlage 3), weist Saple darauf hin und veranlasst auf Weisung des Verantwortlichen deren Löschung, soweit der Unterauftragsverarbeiter dies ermöglicht. Ist eine gesetzlich vorgeschriebene weitere Speicherung erforderlich, informiert Saple über Datenkategorien, Rechtsgrundlage und Dauer, soweit rechtlich zulässig, beschränkt die Verarbeitung auf diesen Zweck und löscht nach Wegfall der Pflicht. Die Pflichten dieses Vertrags gelten bis dahin fort.

11. Haftung und Schlussbestimmungen

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregelungen der AGB.

(2) Bei Widersprüchen zwischen diesem Vertrag und den AGB geht dieser Vertrag für datenschutzrechtliche Sachverhalte vor.

(3) Änderungen dieses Vertrags teilt Saple dem Verantwortlichen in Textform mit; sie gelten nach den Regelungen der AGB zu Vertragsänderungen. Änderungen der Anlage 3 richten sich nach Abschnitt 6.

Anlage 1: Gegenstand, Daten und betroffene Personen

Kategorien betroffener Personen

1. Leads des Verantwortlichen: natürliche Personen, deren geschäftliche Kontaktdaten der Verantwortliche importiert.
2. Auf den abgerufenen Unternehmenswebsites genannte Personen, etwa Geschäftsführung, Ansprechpartner oder Teammitglieder.
3. Personen, die in vom Verantwortlichen hochgeladenen Inhalten zu sehen oder zu hören sind.
4. Nutzer im Konto des Verantwortlichen (einschließlich der Personen im Team-Zugang), soweit ihr Name bei einem von ihnen gesetzten Bearbeitungsstatus oder einem Produktionslauf gespeichert wird oder ihr Stimmmodell für Grüße genutzt wird.

Arten personenbezogener Daten

• Name, Anrede, geschäftliche E-Mail-Adresse, Unternehmen, Website, Profil-Links sowie alle weiteren Angaben der vom Verantwortlichen importierten Datei (die Zeile wird vollständig gespeichert);
• aus der E-Mail-Domain abgeleiteter E-Mail-Anbieter (Ergebnis der MX-Prüfung);
• Inhalte der abgerufenen Unternehmenswebsites: Adressen, Titel, Meta-Angaben, Überschriften, Textauszüge, Navigationsbezeichnungen und Bildschirmfotos;
• gesprochener Gruß mit Namensnennung des Leads (Audio) und der dafür erzeugte Text;
• erzeugte Videos, Vorschaubilder und Landingpages mit Vorname und Unternehmen des Leads sowie deren Links;
• soweit die Erfolgsmessung einer Kampagne eingeschaltet ist (Voreinstellung): je Link, ob das Video gestartet und ob ein Link der Landingpage angeklickt wurde, mit auf die Minute gerundetem Zeitpunkt, sowie ein Widerspruch des Empfängers und danach je Konto ein Prüfwert (Hashwert) seiner E-Mail-Adresse (Abschnitt 2 Abs. 4); IP-Adresse und Browserkennung nur kurzzeitig im Arbeitsspeicher, ohne Cookies und ohne Script;
• Bearbeitungsstatus je Lead („angerufen“, „geantwortet“), den die Nutzer des Verantwortlichen setzen, mit Zeitpunkt der Änderung und der Person, die ihn gesetzt hat; gelöscht mit dem Zurücksetzen des Status, dem Entfernen des Leads oder der Löschung der Kampagne;
• Stimmmodelle von Nutzern, die ein solches nach Abschnitt 3 Abs. 2 freiwillig angelegt haben, soweit sie für Grüße in Kampagnen genutzt werden;
• sonstige Inhalte, die der Verantwortliche hochlädt (Video, Audio, Bilder);
• Daten aus ausgewählten Apollo- und HubSpot-Listen sowie Recherchekriterien, Notizen, Quellen, Begründungen, Priorisierungen und weitere berufliche Angaben in Suchaufträgen und Rechercheergebnissen;
• Kampagnenkontext, Skripte, Absenderangaben und Website-Auszüge für die KI-gestützte Personalisierung, Eingaben für Kampagnenvorschläge und die erzeugten Texte;
• Auftragsdaten, die der Verantwortliche bewusst in Supportanfragen oder der KI-Hilfe übermittelt;
• Produktionsläufe und Ergebnisse je Lead mit Zeitpunkten, Fehlerstatus und handelnder Person;
• Verbindungskennungen, Zugangsschlüssel und Token, ausgewählte Kontaktlisten und Zielkampagnen, HubSpot-Kontaktzuordnungen, Übergabeaufträge, Zustellstatus und übermittelte Interaktionsereignisse.

Art und Zweck der Verarbeitung: Erhebung durch Import, Speicherung, Prüfung, Anreicherung durch Abruf öffentlich zugänglicher Websites, Analyse, Erzeugung personalisierter Videos, Grüße und Landingpages, Bereitstellung zum Abruf über Links, Erfolgsmessung auf den Landingpages (voreingestellt, je Kampagne abschaltbar), Bearbeitungsstatus und priorisierte Listen zur gemeinsamen Bearbeitung von Kampagnen, KI-gestützte Text- und Kampagnenvorschläge, Bearbeitung von Supportanfragen mit Auftragsdaten, Rechercheaufträge über vom Verantwortlichen verbundene Dienste, Protokollierung von Produktionsläufen, Kontoauswertungen, Export und Übergabe an Zielsysteme des Verantwortlichen einschließlich Ereignissen, Löschung.

Ort der Verarbeitung: Rechenzentren der Hetzner Online GmbH in der Europäischen Union. Die von Saple beauftragten Unterauftragsverarbeiter und die Grundlagen ihrer Drittlandübermittlungen nennt Anlage 3. Davon getrennt sind vom Verantwortlichen angewiesene Übermittlungen an seine eigenen Quell-, Ziel- und MCP-Systeme; auch hierfür müssen die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sein.

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutrittskontrolle: Betrieb der Anwendung auf Servern in Rechenzentren der Hetzner Online GmbH mit deren physischen Zutrittskontrollen; für die weiteren Anbieter nach Anlage 3 gelten deren Maßnahmen. Saple unterhält keine eigenen Serverräume.
• Zugangskontrolle: Serverzugang ausschließlich per SSH-Schlüssel beschränkt auf die Geschäftsführer und die automatisierte Auslieferung; Anmeldung an der Anwendung mit Passwort (mindestens 12 Zeichen, gespeichert nur als scrypt-Hash); Begrenzung wiederholter Anmeldeversuche.
• Zugriffskontrolle: Zugriffe auf Kampagnen, Leads, Rohaufnahmen, hochgeladene Dateien und Ergebnisse von Website-Abrufen sind an das Konto des Verantwortlichen gebunden und werden serverseitig geprüft; Dateipfade werden serverseitig aufgelöst, nicht vom Browser übernommen. Personen im Team-Zugang arbeiten im selben Konto, jede mit eigenen Zugangsdaten; Abrechnung, Schnittstellen-Schlüssel und Team-Verwaltung bleiben dem Verantwortlichen vorbehalten. Erzeugte Videos, Vorschaubilder und Landingpages sind zum Versand an Leads bestimmt und über Adressen mit zufälligem Bestandteil ohne Anmeldung abrufbar (Abschnitt 2 Abs. 5); nach Ablauf oder Sperre des Links einer Kampagne, nach Entfernen des Leads oder nach Löschung der Kampagne liefert Saple sie nicht mehr aus; bei einer Störung der Datenbank gilt für höchstens zehn Minuten der zuletzt geprüfte Stand.
• Trennungskontrolle: logische Mandantentrennung je Konto in Datenbank und Dateispeicher.

Integrität

• Weitergabekontrolle: Übertragung ausschließlich verschlüsselt (HTTPS/TLS mit HSTS); die Anwendung ist nur über einen vorgeschalteten Webserver erreichbar; Zahlungs-Webhooks werden signaturgeprüft; ausgehende System-E-Mails werden über das authentifizierte SMTP-Relay von Google Workspace versendet, für die Absenderdomain sind SPF und DMARC eingerichtet.
• Schutz beim Abruf fremder Websites: Sperre interner und privater Netzadressen (Schutz gegen Server-Side Request Forgery).
• Schutz vor Missbrauch: Begrenzung von Anfragen je Netzadresse und Konto; ändernde Anfragen mit Sitzung werden auf ihre Herkunft geprüft.
• Eingabekontrolle: Protokollierung von Fehlern und fehlgeschlagenen Anfragen mit Fehler-ID.

Verfügbarkeit und Belastbarkeit

• tägliche verschlüsselte Sicherung der Datenbank und der Dateien auf einen getrennten Sicherungsspeicher der Hetzner Online GmbH in Deutschland; Sicherungsstände werden 30 Tage nach ihrer Erstellung entfernt; ausbleibende oder fehlgeschlagene Sicherungsläufe lösen einen Alarm aus;
• Begrenzung von Anfragegrößen und gleichzeitig laufender rechenintensiver Aufträge;
• automatische Funktionsprüfung der Anwendung nach jeder Auslieferung, bei Fehlschlag Rückkehr zum vorherigen Stand.

Verfahren zur regelmäßigen Überprüfung

• automatisierte Tests der Zugriffs-, Lösch- und Sicherheitslogik vor jeder Auslieferung;
• Löschkonzept: Löschung durch den Verantwortlichen in der Anwendung; Kontolöschung einschließlich Dateien, Landingpages und Stimmmodell; scheitert ein Teil der Löschung, bleibt das Konto bestehen, bis sie vollständig gelingt; ein Stimmmodell wird beim Anbieter gelöscht, bevor seine Kennung verworfen wird; begrenzte Laufzeit der Links von Kampagnen; automatische Löschung jeder Kampagne ohne unbefristeten Link 90 Tage nach ihrem Ende (Abschnitt 10 Abs. 2), nur nach Ankündigung per E-Mail mindestens sieben Tage vorher.

Anlage 3: Unterauftragsverarbeiter