Auftragsverarbeitungsvertrag (AVV)

nach Art. 28 Datenschutz-Grundverordnung (DSGVO) · Stand: 11. November 2026 · English version (DPA)

zwischen dem Kunden, der Sales Revolver nutzt („Verantwortlicher“), und

emit GmbH, Grabenstr. 18, 40789 Monheim, Deutschland, Anbieter von Sales Revolver („Auftragsverarbeiter“).

Vorbemerkung

Der Verantwortliche lädt in Sales Revolver Kontaktdaten seiner Geschäftskontakte hoch und bearbeitet sie dort. Der Auftragsverarbeiter verarbeitet diese Daten im Auftrag des Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten beider Seiten dabei.

Dieser Vertrag ergänzt die Nutzungsbedingungen (Terms of Service) von Sales Revolver. Er kommt mit der Registrierung zustande und wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO); eine Unterschrift ist nicht erforderlich. Soweit dieser Vertrag und Abschnitt 7 der Nutzungsbedingungen voneinander abweichen, geht dieser Vertrag vor. Diese deutsche Fassung und die englische Fassung (Data Processing Agreement) sind inhaltsgleich; weichen sie voneinander ab, gilt die deutsche Fassung. Wer ein gegengezeichnetes Exemplar benötigt, schreibt an hello@sales-revolver.com.

§ 1 Gegenstand und Dauer

1.1 Gegenstand ist die Bereitstellung von Sales Revolver: Speichern, Ordnen, Anzeigen, Synchronisieren, Exportieren und Löschen der Daten, die der Verantwortliche dort ablegt. Die Einzelheiten stehen in Anlage 1.

1.2 Der Vertrag gilt, solange der Verantwortliche ein Konto bei Sales Revolver hat, und darüber hinaus, bis alle im Auftrag verarbeiteten Daten gelöscht sind (§ 10).

§ 2 Weisungen

2.1 Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzungsbedingungen, dieser Vertrag und die Nutzung der Funktionen von Sales Revolver sind die Weisungen. Weitere Einzelweisungen erteilt der Verantwortliche in Textform.

2.2 Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er das dem Verantwortlichen unverzüglich mit. Er darf die Ausführung aussetzen, bis der Verantwortliche die Weisung bestätigt oder ändert.

2.3 Verpflichtet ein Gesetz den Auftragsverarbeiter zu einer anderen Verarbeitung, teilt er dem Verantwortlichen dies vorher mit, sofern das Gesetz die Mitteilung nicht verbietet.

§ 3 Pflichten des Auftragsverarbeiters

3.1 Vertraulichkeit. Alle Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet oder unterliegen einer gesetzlichen Verschwiegenheitspflicht.

3.2 Sicherheit. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

3.3 Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen angemessen bei Anfragen betroffener Personen (§ 6), bei der Sicherheit der Verarbeitung, bei der Meldung von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Abstimmung mit Aufsichtsbehörden.

3.4 Datenschutzverletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes der im Auftrag verarbeiteten Daten unverzüglich, nachdem sie ihm bekannt geworden ist, und teilt ihm mit, was er für die eigene Meldung benötigt.

3.5 Keine eigene Nutzung. Der Auftragsverarbeiter nutzt die Daten nicht für eigene Zwecke, verkauft sie nicht und gibt sie nicht für Werbung weiter.

3.6 Ansprechpartner. Fragen zum Datenschutz beantwortet der Auftragsverarbeiter unter hello@sales-revolver.com.

§ 4 Pflichten des Verantwortlichen

4.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich. Dazu gehört, dass er die Kontaktdaten rechtmäßig erhoben hat und die Personen anrufen darf.

4.2 Der Verantwortliche beantwortet Anfragen betroffener Personen selbst und informiert den Auftragsverarbeiter unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 5 Unterauftragsverarbeiter

5.1 Der Verantwortliche erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die derzeit eingesetzten stehen in Anlage 3.

5.2 Der Auftragsverarbeiter kündigt einen neuen oder ersetzten Unterauftragsverarbeiter mindestens 14 Tage vorher per E-Mail oder in Sales Revolver an. Der Verantwortliche kann in dieser Frist aus berechtigten Datenschutzgründen widersprechen. Lässt sich der Widerspruch nicht ausräumen, kann der Verantwortliche sein Konto schließen.

5.3 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen, und bleibt für dessen Leistung verantwortlich.

§ 6 Rechte betroffener Personen

6.1 Die Funktionen zum Bearbeiten, Exportieren und Löschen in Sales Revolver sind das vorrangige Mittel, um Anfragen betroffener Personen zu erfüllen.

6.2 Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet dieser die Anfrage an den Verantwortlichen weiter, soweit er ihn zuordnen kann, und beantwortet sie nicht selbst, außer das Gesetz verlangt es.

§ 7 Übermittlung in Drittländer

7.1 Die Daten werden auf Servern in der Europäischen Union gespeichert.

7.2 Verarbeitet der Auftragsverarbeiter oder ein Unterauftragsverarbeiter Daten außerhalb des Europäischen Wirtschaftsraums in einem Land ohne Angemessenheitsbeschluss, geschieht das nur mit geeigneten Garantien, in der Regel den Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914).

§ 8 Nachweise und Kontrollen

8.1 Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die Informationen zur Verfügung, die nötig sind, um die Einhaltung dieses Vertrags nachzuweisen.

8.2 Der Verantwortliche darf die Einhaltung prüfen. Der Auftragsverarbeiter kann dem durch schriftliche Auskünfte oder Prüfberichte Dritter nachkommen. Eine Prüfung vor Ort ist mit angemessener Frist anzukündigen, findet zu den üblichen Geschäftszeiten statt, darf die Daten anderer Kunden nicht gefährden und findet höchstens einmal im Jahr statt, außer nach einer Datenschutzverletzung oder auf Verlangen einer Behörde.

§ 9 Haftung

Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach den Nutzungsbedingungen.

§ 10 Löschung und Rückgabe

10.1 Der Verantwortliche kann seine Daten jederzeit exportieren: die Anrufergebnisse als CSV-Datei, alle Kontodaten als eine Datei.

10.2 Löscht der Verantwortliche Daten oder sein Konto oder endet der Dienst, löscht der Auftragsverarbeiter die Daten aus den laufenden Systemen und innerhalb von 30 Tagen aus den Sicherungen, soweit kein Gesetz die Aufbewahrung verlangt.

§ 11 Schlussbestimmungen

11.1 Es gilt deutsches Recht. Änderungen und Ergänzungen bedürfen der Textform.

11.2 Ist eine Bestimmung unwirksam, bleiben die übrigen wirksam.

Anlage 1 — Einzelheiten der Verarbeitung

Anlage 2 — Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Die Server stehen in Rechenzentren des Hosting-Anbieters in der EU; den physischen Zutritt sichert der Anbieter.
• Zugang: Passwörter werden nur als Hash mit Salt gespeichert (scrypt). Anmelden ist mit Passwort oder einem einmal gültigen Link möglich; zusätzlich kann eine Zwei-Faktor-Anmeldung mit Authenticator-App eingerichtet werden. Sitzungen werden nur als Hash gespeichert und laufen nach 30 Tagen ab. Anmeldeversuche sind je Adresse und je Konto begrenzt.
• Zugriff: In Teams regeln Rollen (Inhaber, Admin, Mitglied), wer Kontakte importieren, löschen, exportieren und Mitglieder verwalten darf. Der Zugriff auf die Produktivsysteme ist auf die Personen beschränkt, die sie betreiben.
• Trennung: Die Daten jedes Kontos und jedes Teams sind logisch getrennt; jede Abfrage ist auf den eigenen Arbeitsbereich beschränkt. Test- und Produktivumgebung sind getrennt.

Integrität

• Übertragung: Alle Verbindungen sind verschlüsselt (HTTPS mit HSTS); auch die Verbindung zur Datenbank ist verschlüsselt.
• Verschlüsselung: Geheimnisse, die wieder lesbar sein müssen (z. B. für die Zwei-Faktor-Anmeldung), werden mit AES-256-GCM verschlüsselt; der Schlüssel liegt außerhalb der Datenbank.
• Nachvollziehbarkeit: Ein Sicherheitsprotokoll hält Anmeldungen, Änderungen an Passwort, E-Mail-Adresse und Zwei-Faktor-Anmeldung, Änderungen im Team, Exporte und Löschungen 12 Monate lang fest. Das Anrufprotokoll zeigt, wer welches Ergebnis eingetragen hat.
• Schutz der Anwendung: Anfragen von fremden Webseiten werden abgewiesen; eine Content Security Policy lässt in der Anwendung nur eigene Inhalte zu. In der Anwendung gibt es weder Werbung noch Analyse- oder Tracking-Dienste.

Verfügbarkeit und Belastbarkeit

• Regelmäßige Sicherungen der Datenbank; sie werden höchstens 30 Tage aufbewahrt.
• Der Betrieb wird automatisch überwacht; ein ausgefallener Dienst wird neu gestartet, eine neue Version erst nach bestandener Prüfung freigeschaltet.
• Der Verantwortliche kann seine Daten jederzeit selbst exportieren.

Regelmäßige Überprüfung

• Jede Änderung an der Software durchläuft automatische Tests, darunter Tests der Zugriffsregeln und der Sicherheitsfunktionen.
• Verwendete Software-Bibliotheken werden auf bekannte Schwachstellen geprüft und aktualisiert.
• Unterauftragsverarbeiter werden vertraglich auf den Datenschutz verpflichtet. Die Maßnahmen werden mindestens einmal im Jahr überprüft.

Anlage 3 — Unterauftragsverarbeiter

Für Zugriffe von außerhalb der EU sind mit Railway die Standardvertragsklauseln der Europäischen Kommission vereinbart.