Sobald dein Büro personenbezogene Daten über die Plattform verarbeitet, verlangt die DSGVO einen Auftragsverarbeitungsvertrag (AVV) nach Art. 28 zwischen dir als Verantwortlichem und dem Plattform-Betreiber als Auftragsverarbeiter. Diese Seite erklärt, was der AVV regelt und wo du ihn findest.
Der Betreiber verarbeitet personenbezogene Daten ausschließlich zur Erbringung der Plattform-Leistungen und nach deinen dokumentierten Weisungen.
Technische und organisatorische Maßnahmen
Die Schutzmaßnahmen aus dem Abschnitt Datenschutz: EU-Hosting, Verschlüsselung, Mandanten-Trennung, Zugriffskontrolle, Audit-Protokolle.
Unterauftragsverarbeiter
Der Betreiber setzt geprüfte Unterauftragsverarbeiter ein (zum Beispiel Hosting-, Datenbank-, E-Mail- und Zahlungs-Dienstleister). Die aktuelle Liste wird mit den Vertragsdokumenten veröffentlicht; über Änderungen wirst du informiert.
Unterstützungspflichten
Der Betreiber unterstützt dich bei Betroffenen-Anfragen (Auskunft, Löschung), bei der Sicherheit der Verarbeitung und bei Meldepflichten.
Löschung nach Vertragsende
Nach Vertragsende werden personenbezogene Daten gemäß den vereinbarten Fristen gelöscht; vorher kannst du deine Daten exportieren.
Ein Teil der Nachrichten, die über die Plattform hinausgehen, geht in deinem Namen an deine Kundschaft: Terminbestätigungen, Antworten auf Anfragen, und, sobald du es einrichtest, werbliche Post. Für diese Nachrichten bist du der Verantwortliche im Sinne der DSGVO, nicht der Plattformbetreiber. Er stellt den Versandweg als Auftragsverarbeiter bereit.
Praktisch heisst das drei Dinge:
Die Rechtsgrundlage liegt bei dir
Ob du eine Person werblich anschreiben darfst, entscheidet sich an ihrer Einwilligung oder an § 7 Abs. 3 UWG (Bestandskunden). Beides kannst nur du beurteilen. Die Plattform fragt dich deshalb einmal ausdrücklich danach (Einstellungen › Datenschutz › Werbung an Bestandskunden) und geht im Auslieferungszustand davon aus, dass keine Bestandskunden-Beziehung besteht.
Der Widerspruch wird technisch durchgesetzt
Jede werbliche Nachricht trägt einen Abmeldeweg. Wer ihn nutzt, ist ab diesem Moment für den ganzen Arbeitsbereich gesperrt, über alle Werkzeuge hinweg. Die Prüfung sitzt im Versand, nicht im einzelnen Werkzeug, damit kein neues Werkzeug sie umgehen kann.
Der Widerspruch überlebt die Löschung
Wird ein Kontakt gelöscht, bleibt ein nicht rückrechenbarer Prüfwert seiner Adresse gespeichert. Ohne ihn käme dieselbe Person beim nächsten Import zurück und würde erneut angeschrieben. Die Rechtsgrundlage dafür ist Art. 17 Abs. 3 lit. b DSGVO: Die Löschpflicht gilt nicht, soweit die Verarbeitung zur Erfüllung einer rechtlichen Verpflichtung erforderlich ist, und die Pflicht, den Widerspruch zu beachten, ist genau eine solche.
Ja. Sobald du personenbezogene Daten deiner Kundschaft über die Plattform verarbeitest (schon ein Name in einer Notiz genügt), ist der AVV gesetzlich vorgeschrieben.
Muss jedes Teammitglied den AVV unterschreiben?
Nein. Der AVV wird einmal pro Workspace geschlossen, üblicherweise durch die Inhaberin oder den Inhaber.
Wo finde ich die Liste der Unterauftragsverarbeiter?
Sie wird zusammen mit den rechtsverbindlichen Vertragsdokumenten veröffentlicht und im Produkt verlinkt. Änderungen werden angekündigt, damit du widersprechen kannst.
