Fassung vom 13. Oktober 2026.
Diese Auftragsverarbeitungsvereinbarung (im Folgenden „DPA") ergänzt die ScanLead Allgemeinen Geschäftsbedingungen (die „Bedingungen") und gilt automatisch, sobald der Nutzer (der „Kunde") den Dienst zur Verarbeitung personenbezogener Daten Dritter nutzt (z. B. Besucher von Fachmessen, deren Kontaktdaten er erfasst).
Bei Widersprüchen zwischen dieser DPA und den Bedingungen im Hinblick auf die Verarbeitung personenbezogener Daten hat die DPA Vorrang.
Diese DPA dient der Umsetzung der Anforderungen des Artikels 28 der Datenschutz-Grundverordnung 2016/679 („DSGVO").
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Kunden ausschließlich zum Zweck der Bereitstellung des Dienstes ScanLead, wie in den Bedingungen definiert.
Diese DPA tritt an dem Tag in Kraft, an dem der Kunde die Bedingungen annimmt, und bleibt für die gesamte Dauer des Abonnements in Kraft, verlängert um die in Abschnitt 11 vorgesehenen Rückgabe- und Löschfristen.
Erhebung, Erfassung, Organisation, Strukturierung, Speicherung, Anpassung, Auslesen, Abfrage, Übermittlung, Einschränkung, Löschung, Sicherung.
Es dem Kunden zu ermöglichen, Kontaktdaten natürlicher Personen, die auf Fachmessen getroffen werden, zu erfassen, zu speichern, zu organisieren, zu exportieren und mit Drittwerkzeugen (CRM, Tabellenkalkulationen) zu synchronisieren.
Es werden keine besonderen Datenkategorien im Sinne von Art. 9 DSGVO verarbeitet. Der Kunde verpflichtet sich, solche Kategorien nicht in den Dienst einzugeben.
Gemäß Art. 28 Abs. 3 DSGVO verpflichtet sich der Auftragsverarbeiter:
Personenbezogene Daten nur auf dokumentierte Weisung des Kunden zu verarbeiten, auch in Bezug auf Übermittlungen an Drittländer. Die Bedingungen, die Kontoeinstellungen, die Nutzung der Benutzeroberfläche und die an support@scanlead.io gerichteten formalen Anfragen gelten als dokumentierte Weisungen. Ist der Auftragsverarbeiter der Auffassung, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften der Union oder eines Mitgliedstaats verstößt, so informiert er den Kunden unverzüglich.
Sicherzustellen, dass die zur Datenverarbeitung befugten Personen einer Vertraulichkeitspflicht (vertraglich oder gesetzlich) unterliegen und die erforderliche Schulung erhalten.
Die in Anhang II beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO umzusetzen.
Weitere Auftragsverarbeiter nur unter den Bedingungen von Abschnitt 5 dieser DPA zu beauftragen.
Den Kunden durch geeignete technische und organisatorische Maßnahmen zu unterstützen bei:
Dem Kunden jede Verletzung personenbezogener Daten unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntniserlangung, zu melden und alle sachdienlichen Informationen bereitzustellen, damit der Kunde gegebenenfalls seinen eigenen Meldepflichten gegenüber Aufsichtsbehörden und betroffenen Personen nachkommen kann.
Nach Ende der Leistung die Daten gemäß Abschnitt 11 dieser DPA zurückzugeben oder zu löschen.
Dem Kunden alle Informationen zur Verfügung zu stellen, die erforderlich sind, um die Einhaltung der Pflichten aus Art. 28 DSGVO nachzuweisen, und Audits unter den Bedingungen von Abschnitt 8 dieser DPA zu ermöglichen.
Der Kunde genehmigt dem Auftragsverarbeiter den Einsatz der in Anhang I aufgeführten weiteren Auftragsverarbeiter.
Jede wesentliche Änderung der Liste (Hinzufügung oder Ersetzung) wird dem Kunden mindestens 30 Tage vor Umsetzung mitgeteilt. Der Kunde kann innerhalb von 30 Tagen aus berechtigtem und angemessenem Grund widersprechen. Im Falle eines Widerspruchs kann der Auftragsverarbeiter eine Alternative vorschlagen, andernfalls kann der Kunde sein Abonnement kündigen.
Der Auftragsverarbeiter schließt mit jedem weiteren Auftragsverarbeiter einen schriftlichen Vertrag, der ihm Datenschutzpflichten auferlegt, die denen dieser DPA gleichwertig sind. Er bleibt in vollem Umfang für die Erfüllung der Pflichten durch den weiteren Auftragsverarbeiter verantwortlich.
Der Auftragsverarbeiter stellt dem Kunden Funktionen zur Verfügung, um Anträgen betroffener Personen nachzukommen: Auskunft, Berichtigung, Löschung, Datenübertragbarkeit, Einschränkung, Widerspruch, und ermöglicht insbesondere den Export oder die Löschung eines Leads über die Benutzeroberfläche.
Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Kunden weiter, ohne selbst zu antworten, sofern keine gegenteilige Weisung vorliegt.
Die Anwendung wird von Vercel gehostet: Sie läuft in Frankfurt (Deutschland), Seiten und statische Dateien werden über das weltweite Netz von Vercel ausgeliefert. Die Hauptdatenbank (Konten, Messen, Leads) wird von Neon in Frankfurt (Deutschland) gehostet. Die Authentifizierung der Konten und die täglichen Datenbanksicherungen werden bei Supabase in der Europäischen Union gehostet, in Paris (Frankreich).
Der Auftragsverarbeiter hat seinen Sitz in den Vereinigten Staaten. Vom Auftragsverarbeiter selbst verarbeitete Daten (zu Support- oder Verwaltungszwecken) und von bestimmten weiteren Auftragsverarbeitern (Vercel, Neon, Stripe, Resend, PostHog) verarbeitete Daten werden gemäß den Standardvertragsklauseln übermittelt, die von der Europäischen Kommission mit Beschluss 2021/914 vom 4. Juni 2021 erlassen wurden, Modul 2 (Verantwortlicher an Auftragsverarbeiter) oder Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter), die durch Verweis in diese DPA einbezogen sind.
Für die SCC gelten folgende Optionen als gewählt:
Eine Übermittlungsfolgenabschätzung (Transfer Impact Assessment) ist auf Anfrage unter support@scanlead.io erhältlich.
Der Kunde kann einmal pro Zwölfmonatszeitraum, auf eigene Kosten und mit angemessener Vorlaufzeit von mindestens 30 Tagen, ein Audit zur Überprüfung der Einhaltung der Pflichten aus dieser DPA durch den Auftragsverarbeiter durchführen oder durch einen unabhängigen, zur Vertraulichkeit verpflichteten Dritten durchführen lassen.
Der Auftragsverarbeiter kann seine Verpflichtung erfüllen, indem er anerkannte Auditberichte oder Zertifizierungen (SOC 2, ISO 27001) vorlegt, die im Rahmen seiner eigenen Auftragsverarbeiter oder seines eigenen Informationssystems erlangt wurden.
Ein Vor-Ort-Audit darf den Betrieb des Auftragsverarbeiters nicht stören. Die genauen Modalitäten (Umfang, Zeitplan, Auditor) werden zwischen den Parteien im Voraus vereinbart. Die zuständigen Aufsichtsbehörden haben ein direktes Zugriffsrecht in den Grenzen der DSGVO.
Die Haftung des Auftragsverarbeiters aus dieser DPA richtet sich nach den Bestimmungen von Abschnitt 10 der Bedingungen, ohne dass die dort vorgesehenen Beschränkungen die gesamtschuldnerische Haftung nach Art. 82 DSGVO gegenüber den betroffenen Personen berühren.
Diese DPA bleibt in Kraft, solange der Auftragsverarbeiter personenbezogene Daten für den Kunden verarbeitet. Sie endet automatisch mit dem Ende des Vertragsverhältnisses, unbeschadet der Rückgabe- und Löschpflichten.
Nach dem Ende der Leistung, d. h. der Schließung des Kundenkontos, wird der Auftragsverarbeiter:
Jede Mitteilung im Rahmen dieser DPA wird an support@scanlead.io für den Auftragsverarbeiter und an die dem Konto zugeordnete E-Mail-Adresse für den Kunden gerichtet.
Die Bestimmungen der Bedingungen zum anwendbaren Recht und zum Gerichtsstand gelten für diese DPA. Die Standardvertragsklauseln behalten ihre eigene Regelung.
| Weiterer Auftragsverarbeiter | Rolle | Standort | Verarbeitete Daten |
|---|---|---|---|
| Vercel Inc. | Hosting der Anwendung | Frankfurt, Deutschland (EU); weltweites Auslieferungsnetz für Seiten und statische Dateien | Alle in Abschnitt 3 aufgeführten Kategorien |
| Neon (ein Unternehmen von Databricks) | Hauptdatenbank | Frankfurt, Deutschland (EU) | Alle in Abschnitt 3 aufgeführten Kategorien |
| Supabase Inc. | Authentifizierung der Konten, Speicherung der täglichen Datenbanksicherungen | Paris, Frankreich (EU) | Alle in Abschnitt 3 aufgeführten Kategorien (in den Sicherungen) |
| Cloudflare Inc. | CDN, WAF, DDoS-Schutz | Weltweites Netzwerk, EU-Terminierung für EU-Verkehr | Anfrage-Metadaten, IP-Adressen |
| Stripe, Inc. | Zahlungsabwicklung | Vereinigte Staaten | Keine Lead-Daten (nur Abrechnungsdaten des Kunden) |
| Resend | Versand transaktionaler E-Mails | Vereinigte Staaten | Keine Lead-Daten (nur administrative E-Mails) |
| PostHog Inc. | Produkt-Analytik | Vereinigte Staaten | Keine Lead-Daten (nur Nutzungsereignisse des Kunden) |