Entwurf: Dieser Text ist noch nicht rechtlich geprüft.
Auftragsverarbeitungsvertrag (AVV)
zwischen dem Betrieb, der Bewertungs-Automat nutzt („Verantwortlicher“), und xB Technologies GmbH, Pulverhofsweg 36, 22159 Hamburg, Deutschland („Auftragsverarbeiter“). Der Vertrag wird bei der Registrierung durch Bestätigung geschlossen.
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen, um für ihn Bewertungsanfragen an dessen Kundinnen und Kunden zu versenden und deren Rückmeldungen entgegenzunehmen (Dienst Bewertungs-Automat). Der Vertrag gilt für die Dauer des Hauptvertrags.
2. Art der Daten und betroffene Personen
- Betroffene: Kundinnen und Kunden des Verantwortlichen.
- Daten: Name (optional), Mobilnummer, Sternebewertung, Feedback-Text, Klick auf den Google-Link, Zustell- und Aufrufzeitpunkte; bei weitergeleiteten Rechnungen zusätzlich deren Inhalt.
- Verarbeitung: Speichern, Versand von SMS/WhatsApp, Auswertung für den Verantwortlichen, Löschung.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen; die Einstellungen im Dienst gelten als Weisung. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
4. Pflichten des Verantwortlichen
Der Verantwortliche stellt sicher, dass er die Daten seiner Kundinnen und Kunden an den Dienst übermitteln darf und diese über die Kontaktaufnahme zur Qualitätssicherung informiert sind (siehe Bestätigung bei der Registrierung).
5. Vertraulichkeit und Sicherheit
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Der Auftragsverarbeiter trifft technische und organisatorische Maßnahmen nach Art. 32 DSGVO, insbesondere:
- Verschlüsselte Übertragung (TLS) und Hosting in der EU.
- Zugriff nur über persönliche Anmeldung; Datenbankzugriff von außen gesperrt.
- Keine Protokollierung von Namen und Telefonnummern.
- Automatische Pseudonymisierung von Name und Mobilnummer nach 90 Tagen.
- Globale Abmeldeliste: Wer „STOP“ antwortet, wird nicht mehr angeschrieben.
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter. Über geplante Änderungen informiert der Auftragsverarbeiter vorab per E-Mail; der Verantwortliche kann binnen 14 Tagen widersprechen und in diesem Fall den Vertrag kündigen.
| Unternehmen | Zweck | Standort / Grundlage |
|---|---|---|
| Vercel Inc. | Hosting der Web-Anwendung (Region Frankfurt) | EU (Frankfurt); Unternehmenssitz USA – Data Privacy Framework / Standardvertragsklauseln |
| Supabase Inc. | Datenbank und Anmeldung | EU (Irland); Unternehmenssitz USA – Standardvertragsklauseln |
| Twilio Inc. | Versand von SMS und WhatsApp-Nachrichten, Abmeldungen (STOP) | USA – Data Privacy Framework / Standardvertragsklauseln |
| Inngest Inc. | Zeitsteuerung von Versand, Erinnerungen und Hintergrundaufgaben | USA – Standardvertragsklauseln |
| Resend Inc. | Versand von E-Mails an Betriebe (z. B. Beschwerde-Meldungen, Wochenbericht) | USA – Standardvertragsklauseln |
| Wildbit, LLC (Postmark) | Empfang weitergeleiteter Rechnungen | USA – Data Privacy Framework / Standardvertragsklauseln |
| Anthropic, PBC | Auslesen von Name und Mobilnummer aus Rechnungen, wenn die automatische Erkennung scheitert | USA – Standardvertragsklauseln |
7. Unterstützung und Meldungen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen betroffener Personen sowie bei den Pflichten nach Art. 32–36 DSGVO und meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich.
8. Löschung und Rückgabe
Nach Vertragsende werden sämtliche Daten des Verantwortlichen 30 Tage nach Ende des Abonnements gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Bis dahin kann der Verantwortliche eine Herausgabe verlangen.
9. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach Art. 28 Abs. 3 lit. h DSGVO. Kontakt: f.moeller@xbtech.de.
Stand: 07.10.2026