Vertragsparteien

Auftraggeber:	Der bei Abschluss im LeadAhoi-Konto mit vollständigem Namen beziehungsweise Firma, Rechtsform, Anschrift und vertretungsberechtigter Person bezeichnete Plattformkunde oder Leadanbieter. Diese Identitätsdaten werden mit der angenommenen Vertragsfassung dauerhaft verknüpft und in die individuelle Abschlussbestätigung aufgenommen.
Auftragnehmer:	Dennis Pieper, Einzelunternehmer, handelnd unter „LeadAhoi Softwareentwicklung & SaaSLösungen“, Falkenbrunnstraße 21, 12524 Berlin, Deutschland (nachfolgend „LeadAhoi“)
Datenschutz und Weisungen:	support@leadahoi.de
Sicherheitsvorfälle:	tech@leadahoi.de und dennis.pieper@leadahoi.de
Telefon:	+49 1525 7229887

Vertragsbestandteile

§ 1 Geltungsbereich und Rollen

1. Die AVV ergänzt den jeweiligen LeadAhoi-Nutzungs- oder Anbieterrahmenvertrag, insbesondere die AGB einschließlich LeadBörse, Version 1.0 vom 05.10.2026. Sie gilt für personenbezogene Daten, die LeadAhoi im Auftrag des Auftraggebers verarbeitet. Sie regelt keine Übertragung von Eigentum an personenbezogenen Daten und schafft keine Rechtsgrundlage für deren Erhebung oder Verkauf

2. Modul A gilt für gebuchte CRM- und zugehörige Kommunikationsfunktionen; Modul B gilt für beauftragte technische Leadanbieterfunktionen. Nutzt der Auftraggeber beide Bereiche, gelten beide Module. Künftige Anwendungen werden erfasst, sobald ihr konkreter Verarbeitungsumfang vor Beginn nach Anlage 1 dokumentiert und vereinbart ist. Eine bloße Produktankündigung erweitert den Auftrag nicht

3. Handelt der Auftraggeber selbst als Auftragsverarbeiter, ist LeadAhoi weiterer Auftragsverarbeiter. Der Auftraggeber sichert die erforderlichen Weisungen und Genehmigungen seiner Verantwortlichen und gibt relevante Verpflichtungen vor Beginn weiter. LeadAhoi erhält keine weitergehenden Befugnisse als in dieser Vertragskette erlaubt

4. Eigene Verarbeitungszwecke von LeadAhoi werden in Anlage 1 abgegrenzt. Für tatsächlich gemeinsam bestimmte Zwecke und wesentliche Mittel wäre vor Beginn eine gesonderte Vereinbarung nach Art. 26 DSGVO erforderlich. Die tatsächlichen Tätigkeiten sind maßgeblich, nicht allein die Vertragsbezeichnung.

§ 2 Gegenstand und Dauer

1. Gegenstand sind Hosting und technischer Betrieb der gebuchten Anwendungen einschließlich Erfassung, Strukturierung, Speicherung, Anzeige, Abruf, Kommunikation, Übertragung, Sicherung, Wiederherstellung, Einschränkung und Löschung nach Anlage 1. Support-, Wartungs- und Administrationszugriffe sind nur im erforderlichen Umfang Teil des Auftrags.

2. Die AVV beginnt mit wirksamem elektronischem Abschluss oder beiderseitiger Unterzeichnung. Sie gilt während der beauftragten Verarbeitung einschließlich notwendiger Export-, Lösch- und Backup Auslaufphasen. Pflichten zum Schutz und zur Vertraulichkeit fortbestehender Daten enden nicht allein mit dem Hauptvertrag. Frühere Zugriffe werden nicht rückwirkend genehmigt.

§ 3 Dokumentierte Weisungen

1. LeadAhoi verarbeitet Auftragsdaten ausschließlich nach dokumentierten Weisungen. Vertrag, gewählte Module, bestätigte Konfigurationen und vom Auftraggeber ausgelöste berechtigte Systemaktionen bilden die Standardweisungen. Ergänzende Weisungen werden über die in Anlage 5 genannten Kanäle in Textform erteilt; dringende mündliche Weisungen sind unverzüglich zu dokumentieren.

2. Weisungen zur Empfängerwahl, zu Exporten und zu Drittlandübermittlungen müssen rechtmäßig sein und innerhalb der Befugnisse des Auftraggebers liegen. Eine allgemeine Supportanfrage gestattet keinen unbegrenzten Zugriff auf sämtliche Mandantendaten. LeadAhoi überprüft bei ungewöhnlichen oder sensiblen Anfragen die Weisungsberechtigung.

3. Hält LeadAhoi eine Weisung für datenschutzwidrig, informiert LeadAhoi unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus, soweit dies zum Schutz erforderlich ist. Eine bestätigte Weisung verpflichtet nicht zur erkennbar rechtswidrigen Verarbeitung.

4. Schreibt Unionsrecht oder das Recht eines Mitgliedstaats eine Verarbeitung vor, informiert LeadAhoi vorab über die Anforderung, soweit dies nicht aus wichtigen Gründen des öffentlichen Interesses untersagt ist. Für Drittstaatenanforderungen gelten zusätzlich § 8 und die einschlägigen Transfergarantien.

§ 4 Pflichten des Auftraggebers

1. Der Auftraggeber verantwortet im Rahmen seiner Rolle die Rechtmäßigkeit seiner Datenverarbeitung und Weisungen, erforderliche Informationen an Betroffene sowie die Prüfung notwendiger Einwilligungen. Für Daten nach Art. 9 DSGVO muss zusätzlich eine einschlägige Ausnahme vom Verarbeitungsverbot vorliegen. Diese AVV ersetzt sie nicht.

2. Er beschränkt Daten auf das Erforderliche, pflegt Berechtigungen seiner Nutzer, schützt eigene Endgeräte und Zugangsdaten und teilt relevante Änderungen, Berichtigungs-, Sperr- oder Löschbedarf unverzüglich mit. Die Schutzpflichten von LeadAhoi werden dadurch nicht auf ihn verlagert.

3. Vor Nutzung weiterer Empfänger, Kommunikationskanäle oder Integrationen prüft er deren Zulässigkeit und informiert LeadAhoi über Anforderungen, die über die vereinbarte Verarbeitung hinausgehen. Die Genehmigung eines Dienstleisters ersetzt weder Einwilligungen für Werbung noch erforderliche Informationen gegenüber Betroffenen.

§ 5 Pflichten von LeadAhoi

1. LeadAhoi setzt die Schutzmaßnahmen der Anlage 2 während der Verarbeitung um, hält Zugriff auf befugte und zur Vertraulichkeit verpflichtete Personen beschränkt und kontrolliert die Einhaltung. Gleiches ist bei weiteren Auftragsverarbeitern durchzusetzen. Soweit gesetzlich erforderlich, werden Verzeichnisse geführt und ein Datenschutzbeauftragter benannt; dessen Kontaktdaten werden dann mitgeteilt.

2. Auftragsdaten werden nicht für eigene Werbung, den Aufbau eigener Leadbestände, die Anreicherung fremder Datensätze oder allgemeines KIModelltraining verwendet. Eingaben in KI Entwicklungs- oder Analysedienste bedürfen einer gesonderten rechtmäßigen Beauftragung und vorherigen Prüfung einschließlich der Empfänger. Allein die Buchung eines CRMTarifs genehmigt dies nicht.

3. LeadAhoi informiert über datenschutzrelevante Prüfungen, Anordnungen oder Beschlagnahmen, soweit Auftragsdaten betroffen sind und die Mitteilung zulässig ist. Gegenüber berechtigten Behörden wird kooperiert. Bei Zugriffen Dritter wird auf die Weisungsbindung und die Rechte des Auftraggebers hingewiesen.

§ 6 Technische und organisatorische Maßnahmen

1. Anlage 2 legt den geschuldeten Schutzstandard risikobezogen fest. Bei Änderungen der Bedrohungslage, Verarbeitung oder Technik werden Maßnahmen überprüft und angemessen angepasst. Änderungen dürfen das vereinbarte Schutzniveau nicht unterschreiten. Wesentliche Änderungen werden vorab dokumentiert und mitgeteilt; dringende Schutzmaßnahmen können sofort erfolgen und werden unverzüglich nachgemeldet.

2. Die Verpflichtung zur Umsetzung ist kein Nachweis einer bestimmten Zertifizierung oder bereits absolvierten Prüfung. LeadAhoi hält tatsächliche Konfigurations- und Prüfnachweise bereit. Erhebliche nicht behobene Schutzlücken führen zur Einschränkung oder Aussetzung der betroffenen Verarbeitung.

§ 7 Weitere Auftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 3 konkret bezeichneten Dienstleister für die dort beschriebene Funktion. Der Umfang ist an die tatsächlich gebuchten Module gebunden. Die Genehmigung gilt nur, wenn die erforderlichen Verträge, Schutzmaßnahmen und Übermittlungsvoraussetzungen erfüllt sind. Für Forthpro gilt zusätzlich die gesonderte Einsatzschranke in § 8.

2. Für spätere Hinzufügungen oder Ersetzungen wird eine allgemeine Genehmigung mit folgendem Verfahren erteilt: LeadAhoi informiert aktiv mindestens 30 Kalendertage vor dem vorgesehenen Einsatz in Textform über Identität, Aufgabe, betroffene Daten, Orte, Zugriffsländer und Schutzgarantien. Eine bloße Änderung einer Website genügt nicht. Die Regel gilt auch für relevante Änderungen in weiteren Stufen der Verarbeitungskette.

3. Der Auftraggeber kann innerhalb dieser Frist aus nachvollziehbaren Datenschutzgründen widersprechen. Bis zur Klärung erhält der beanstandete Dienstleister keine Auftragsdaten dieses Auftraggebers. LeadAhoi prüft Abhilfe oder eine angemessene Alternative. Ist keine datenschutzgerechte Lösung möglich, kann der betroffene Leistungsteil vor dem geplanten Einsatz ohne zusätzliche Beendigungsgebühr beendet werden; vorausbezahlte Entgelte für nicht mehr erbrachte Zeiträume werden erstattet.

4. LeadAhoi bindet weitere Auftragsverarbeiter durch mindestens gleichwertige Datenschutzpflichten einschließlich TOMs, Unterstützung, Nachweisen, Kontrolle und Löschung. LeadAhoi bleibt dem Auftraggeber für deren Erfüllung nach Art. 28 Abs. 4 DSGVO verantwortlich. Die Einschaltung weiterer Dienstleister ist in dieser Kette entsprechend zu kontrollieren. Auf begründete Anfrage werden relevante Vertragsnachweise bereitgestellt; sachfremde Geschäftsgeheimnisse dürfen geschwärzt werden.

5. Direkt vom Auftraggeber beauftragte Dienste sind nicht allein durch ihre Anbindung Unterauftragsverarbeiter von LeadAhoi. Ob ein Empfänger im Auftrag oder eigenständig verantwortlich handelt, ist je Funktion abzugrenzen. Allgemeine eigene Verarbeitungszwecke eines Dienstleisters werden durch diese AVV nicht pauschal als Auftragsverarbeitung genehmigt.

§ 8 Verarbeitungsorte und Drittlandzugriffe

1. Primäre Plattforminfrastruktur und Produktionsspeicherung liegen in AWS Frankfurt, Deutschland. Dies bedeutet keine Zusage ausschließlich europäischer Empfänger: Fernzugriffe aus Indien sowie Datenflüsse über SMS- und Cloud-Dienstleister werden gesondert nach Anlage 3 beurteilt. Zugriff, Support, Protokolle und Backups sind in die Transferprüfung einzubeziehen.

2. Eine Verarbeitung außerhalb des EWR setzt vor Beginn einen zulässigen Mechanismus nach Kapitel V DSGVO voraus. Bei Standardvertragsklauseln müssen die passenden Module mit ausgefüllten Anlagen wirksam vereinbart, die konkrete Transferprüfung abgeschlossen und erforderliche Zusatzmaßnahmen umgesetzt sein. Die AVV selbst ersetzt keine SCC und keine Transferprüfung. Nachweise werden dem Auftraggeber im erforderlichen Umfang verfügbar gemacht.

3. Forthpro IT Solution darf über CodeHütte erst auf personenbezogene Daten zugreifen, wenn LeadAhoi die wirksame Vertragskette, die SCC Modul 3, eine konkrete abgeschlossene Transferbewertung einschließlich möglicher Gesundheitsdaten und lesbarer Administrationszugriffe sowie wirksame Zusatzmaßnahmen dokumentiert und den Einsatz ausdrücklich freigegeben hat. Erforderliche vorgelagerte Genehmigungen müssen vorliegen. Bis dahin sind solche Zugriffe einschließlich personenbezogener Logs und Backups gesperrt.

4. Die Annahme dieser AVV bestätigt nicht, dass diese Voraussetzungen bereits erfüllt sind. Die benannte Forthpro-Genehmigung steht unter der Voraussetzung ihrer Erfüllung. LeadAhoi informiert den Auftraggeber vor erstmaligem personenbezogenem Einsatz über die erfüllten Voraussetzungen und den Beginn; erforderliche Änderungen folgen § 7. Innerhalb des danach genehmigten Tätigkeitsumfangs ist keine erneute Zustimmung für jedes einzelne Supportticket erforderlich.

5. Verschlüsselung im Ruhezustand und beim Transport verhindert nicht automatisch eine Klartexteinsicht durch berechtigte Administratoren. Die Transferbewertung berücksichtigt gerade diese Zugriffsmöglichkeiten. Ist ein angemessenes Schutzniveau nicht herstellbar oder entfällt es, wird die betreffende Übermittlung ausgesetzt und der Auftraggeber informiert; ein Vertragsdokument allein erlaubt keine Fortsetzung.

§ 9 Datenschutzverletzungen

1. LeadAhoi meldet bekannt gewordene Verletzungen des Schutzes der Auftragsdaten unverzüglich, spätestens innerhalb von 24 Stunden nach Bekanntwerden, an die hinterlegten Datenschutz- und Sicherheitskontakte des Auftraggebers. Diese Frist ist keine Wartefrist und gilt unabhängig von Geschäftszeiten. Konkrete Verdachtsfälle werden unverzüglich als solche gekennzeichnet übermittelt.

2. Die Meldung enthält die bekannten Angaben zu Art, Zeitpunkt und Umfang, betroffenen Daten und Personengruppen, ungefähren Zahlen, wahrscheinlichen Folgen, Ansprechpartnern sowie ergriffenen oder vorgesehenen Maßnahmen. Fehlende Informationen werden ohne unangemessene Verzögerung nachgereicht. Die Erstmeldung wartet nicht auf eine abgeschlossene Untersuchung.

3. LeadAhoi sichert Beweise, begrenzt Schäden, dokumentiert die Ursachen und unterstützt die Pflichten nach Art. 33 und 34 DSGVO. Meldungen an Behörden oder betroffene Personen im Namen des Auftraggebers erfolgen grundsätzlich nur auf dessen Weisung, soweit keine eigene gesetzliche Pflicht besteht. Weitere Auftragsverarbeiter werden zu rechtzeitiger Meldung verpflichtet, damit die Informationskette funktioniert.

§ 10 Betroffenenrechte und sonstige Unterstützung

1. Direkt bei LeadAhoi eingehende Anfragen zu Auftragsdaten werden unverzüglich, grundsätzlich spätestens innerhalb von zwei Arbeitstagen, an den Auftraggeber weitergeleitet. LeadAhoi beantwortet sie nicht eigenmächtig, sondern nur nach dokumentierter Weisung oder eigener gesetzlicher Verpflichtung.

2. LeadAhoi unterstützt unter Berücksichtigung der Verarbeitungsart durch geeignete Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch. Erforderliche Informationen werden ohne unangemessene Verzögerung, grundsätzlich innerhalb von fünf Arbeitstagen bereitgestellt; kürzere rechtlich erforderliche Fristen und mitgeteilte Dringlichkeiten sind zu berücksichtigen.

3. LeadAhoi unterstützt unter Berücksichtigung der verfügbaren Informationen bei den Pflichten aus Art. 32 36 DSGVO, insbesondere Sicherheitsbewertung, Datenschutz-Folgenabschätzung und vorheriger Konsultation. Eine Transferprüfung ersetzt keine gegebenenfalls erforderliche Datenschutz Folgenabschätzung. Der Auftraggeber bleibt für die ihn treffenden Entscheidungen verantwortlich.

§ 11 Nachweise und Kontrollen

1. LeadAhoi stellt die zum Nachweis der Erfüllung von Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Kontrollen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten unabhängigen Prüfer. Zertifikate, Berichte und technische Dokumentationen können genutzt werden, ersetzen erforderliche ergänzende Kontrollen aber nicht.

2. Routineprüfungen werden regelmäßig zehn Arbeitstage vorher mit Umfang und Termin abgestimmt. Bei Vorfällen, konkreten Verdachtsmomenten, behördlichen Anforderungen oder sonstiger Dringlichkeit ist eine kurzfristigere Prüfung möglich. Sicherheitsinteressen anderer Mandanten und Vertraulichkeit sind zu schützen, ohne die Kontrolle unwirksam zu machen.

3. Festgestellte erhebliche Mängel werden unverzüglich mit Maßnahmen und Fristen bearbeitet. LeadAhoi ermöglicht notwendige Nachkontrollen und setzt Kontrollrechte in der Dienstleisterkette durch. Ist der Auftraggeber selbst Auftragsverarbeiter, werden berechtigte Kontrollen seiner Verantwortlichen über ihn koordiniert. Befugnisse der Aufsichtsbehörden bleiben unberührt.

§ 12 Rückgabe, Löschung und Backup-Auslauf

1. Nach Auftragsende werden Daten nach Wahl des Auftraggebers zurückgegeben beziehungsweise exportiert und danach gelöscht oder unmittelbar gelöscht, soweit keine gesetzliche Aufbewahrung entgegensteht. Die AGBRegeln zum Datenabruf und gesetzliche Anbieterwechselrechte bleiben gewahrt. Anlage 4 konkretisiert die Fristen und Standardweisungen.

2. Ein gesetzlich oder vertraglich bestehender Abrufzeitraum dient ausschließlich Export und Sicherung; normale Verarbeitung wird beendet. Auf zulässige Weisung kann früher gelöscht werden. Auftragsdaten dürfen nicht zur Durchsetzung streitiger Entgeltforderungen zurückbehalten werden.

3. Nicht selektiv löschbare Backups werden gegen reguläre Nutzung gesperrt und spätestens nach dem dokumentierten, höchstens 35-tägigen Sicherungszyklus überschrieben oder gelöscht. Bei Wiederherstellung werden bereits wirksame Löschungen und Sperren erneut ausgeführt. Eine Rückführung gelöschter Daten in die aktive Nutzung ist ausgeschlossen.

4. Gesetzliche Restaufbewahrung wird nach Datenumfang, Rechtsgrund, Zweck und Dauer dokumentiert und dem Auftraggeber mitgeteilt. Solche Daten dürfen nur für diesen Zweck verarbeitet werden. Pauschale Archivierungsinteressen rechtfertigen keine unbegrenzte Aufbewahrung aller Auftragsdaten. LeadAhoi bestätigt auf Anforderung Löschung, verbleibende Backups und Restbestände einschließlich der weiteren Auftragsverarbeiter.

§ 13 Behördenersuchen und unzulässige Offenlegung

1. Behördliche oder gerichtliche Herausgabeverlangen werden vor Offenlegung auf Rechtsgrundlage, Zuständigkeit und Umfang geprüft. Soweit rechtlich zulässig, informiert LeadAhoi den Auftraggeber unverzüglich und ermöglicht die Wahrnehmung von Rechten. Es werden nur rechtlich erforderliche Daten offengelegt.

2. Bei Drittstaatenersuchen werden die Pflichten aus Art. 48 DSGVO und den anwendbaren Transfergarantien berücksichtigt. Unrechtmäßige oder unverhältnismäßige Ersuchen werden im rechtlich gebotenen Umfang angefochten; bei Informationsverboten wird auf deren Aufhebung hingewirkt. Weitere Auftragsverarbeiter sind entsprechend zu verpflichten.

§ 14 Vergütung und Haftung

1. Die regulären Datenschutzpflichten dieser AVV sind Bestandteil der vereinbarten Leistung. Besondere, vom Auftraggeber zusätzlich gewünschte Leistungen können nach vorheriger transparenter Vereinbarung vergütet werden. Gesetzlich gebotene Soforthilfe, notwendige Unterstützung und die Behebung eigener Pflichtverletzungen dürfen nicht von einer ungeklärten Zusatzvergütung abhängig gemacht werden.

2. Die wirksam vereinbarten Haftungsregelungen des Hauptvertrags gelten nur, soweit sie zwingenden Pflichten, Art. 82 DSGVO, Art. 28 Abs. 4 DSGVO und anwendbaren SCC nicht widersprechen. Ansprüche betroffener Personen und Behörden werden nicht beschränkt. Im Innenverhältnis richtet sich die Verantwortlichkeit nach dem jeweiligen Beitrag; eine pauschale Überwälzung eigener Pflichtverletzungen oder behördlicher Geldbußen erfolgt nicht.

§ 15 Vorrang und Beendigung

1. Bei datenschutzrechtlichen Widersprüchen hat diese AVV Vorrang vor allgemeinen Leistungsbedingungen; zwingendes Recht und anwendbare SCC gehen vor. Die Parteien ändern durch diese AVV nicht den verbindlichen Wortlaut der SCC. Zweckbezogene Löschfristen unterscheiden sich nach Modul und Datenbestand

2. Bei erheblichen Datenschutzverstößen oder nicht gesichertem Schutz darf der Auftraggeber die betroffene Verarbeitung aussetzen und bei ausbleibender Abhilfe nach angemessener Frist den betroffenen Auftrag außerordentlich beenden. Bei Unzumutbarkeit ist keine Frist erforderlich. Rückgabe-, Lösch-, Nachweis- und Vertraulichkeitspflichten bestehen fort.

§ 16 Änderungen und Abschlussform

1. Die Vereinbarung kann schriftlich oder elektronisch geschlossen werden. Änderungen des Vertragsumfangs bedürfen einer dokumentierten Vereinbarung; das Verfahren für weitere Auftragsverarbeiter nach § 7 bleibt unberührt. Eine bloße Websiteänderung ersetzt weder eine Vertragsänderung noch die vorgeschriebene aktive Information

2. LeadAhoi stellt die angenommene Gesamtfassung mit allen Anlagen und der Identität des Auftraggebers speicherbar bereit. Die jeweils anwendbaren Module und Vertragsversionen werden nachvollziehbar festgehalten. Für Rechtswahl und Gerichtsstand gelten die wirksamen Regelungen des Hauptvertrags; zwingende Datenschutzrechte und behördliche Zuständigkeiten bleiben unberührt.

A. CRM, Teamfunktionen und beauftragte Kommunikation

Dieses Modul gilt, wenn der Auftraggeber LeadAhoi zur Verwaltung eigener oder ihm rechtmäßig anvertrauter Kontakte und Leads nutzt. Es erfasst auch rechtmäßig erworbene LeadBörsen-Leads ab Übernahme in sein CRM. Die technische Unterstützung richtet sich nach dem gebuchten Tarif und den tatsächlich freigeschalteten Funktionen.

Merkmal	Vereinbarter Umfang
Zwecke	Technische Kontakt- und Leadverwaltung; Aufgaben, Termine und Workflows; Teamzusammenarbeit; nutzerveranlasste Kommunikation; Dokumentenablage; interne Auswertungen für den Auftraggeber; Support, Sicherung, Export und Löschung
Verarbeitungsarten	Entgegennehmen, erfassen, ordnen, speichern, abgleichen, anzeigen, auslesen, berichtigen, kommunizieren, übermitteln, sichern, wiederherstellen, einschränken, exportieren und löschen.
Betroffene	Interessenten, Kunden und Ansprechpartner; Mitarbeiter, Vermittler und Teammitglieder; Kommunikationspartner. Daten Minderjähriger nur, soweit im rechtmäßig bearbeiteten Vorgang erforderlich.
Reguläre Daten	Namen, Kontaktdaten, Anschriften, Geburtsdatum oder Alter, Rollen, berufliche Zuordnung; Versicherungsinteressen, Leadquellen, Status, Aufgaben, Termine, Notizen, Dokumente, Kommunikationsinhalte und -metadaten; Einwilligungsnachweise; technische Nutzer-, Zugriffs- und Änderungsdaten.
Besonders sensible Daten	Gesundheitsdaten können insbesondere in Notizen, Dokumenten und Versicherungsfällen enthalten sein. Ihre Verarbeitung ist auf notwendige, rechtmäßig beauftragte Fälle begrenzt und erfordert Art. 9Grundlage sowie die zusätzlichen Maßnahmen der Anlage 2. Keine pauschale Freigabe für beliebige sensible Datensammlungen.
Dauer und Häufigkeit	Laufende Verarbeitung während der gebuchten Nutzung; anlassbezogene Übermittlung und Supportzugriffe; Löschung gemäß Anlage 4.

Standardweisungen im CRM

Import und Eingabe weisen zur Speicherung und Verwaltung an. Berechtigte Teamzuweisung legt den zulässigen Zugriff fest. Versand und bestätigte Automatisierungen weisen die jeweilige Kommunikation an; eine Aktivierung ersetzt nicht die notwendige Rechtsgrundlage. Autorisierte Exporte weisen zur Ausgabe an den benannten Empfänger an. Reguläre Löschbefehle lösen Soft-Delete und nach 30 Tagen endgültige operative Löschung aus; gesonderte unverzügliche Löschungen bleiben möglich.

Eine direkte Postfachanbindung erfolgt nur im eingeräumten Berechtigungsumfang. Zugangstoken sind widerrufbar. Unbeabsichtigte Freigaben weiterer Ordner, Postfächer oder Mandanten sind zu verhindern. Nicht gebuchte KI , Werbeplattform- oder Analysefunktionen werden durch dieses Modul nicht allgemein genehmigt.

B. Technische Verarbeitung für Leadanbieter

Dieses Modul erfasst nur die nach dokumentierten Anbieterparametern ausgeführten technischen Tätigkeiten. Es erklärt nicht den gesamten Leadhandel zur Auftragsverarbeitung. Eigene Marktplatzentscheidungen von LeadAhoi und die eigenverantwortliche Nutzung durch Käufer bleiben davon getrennt.

Merkmal	Vereinbarter Umfang
Zwecke	Technische Annahme per Eingabe/API, Speicherung im Anbieterbereich, Validierung von Format und Vollständigkeit, Maskierung, Umsetzung des zulässigen Käuferkreises, Bereitstellung freigegebener Listings, technische Auslieferung und erforderliche Sperrung/Löschung.
Betroffene und Daten	Versicherungsinteressenten und erforderliche Ansprechpartner; freigegebene Stamm-/Kontaktdaten, PLZ/Ort, Sparte, Anfragezeitpunkt, Herkunft, zulässige Zusatzfelder, Kampagnen- und individuelle Einwilligungsnachweise, Freigabe und Auslieferungsreferenzen.
Unzulässige Inhalte	Keine Gesundheits-/Diagnosedaten, Bonitätsdaten, Bankdaten der Interessenten, Ausweisdaten, vollständigen Versicherungsanträge oder nicht freigegebenen Daten im Marktplatz. Der CRMUmfang des Moduls A hebt dieses Verbot nicht auf.
Empfänger und Weisungen	Nur zugelassene Käufer innerhalb des belegten Empfängerkreises; technische Dienstleister gemäß Anlage 3. Upload bedeutet Annahme, Veröffentlichung setzt dokumentierte Freigabe voraus; Sperrung/Widerruf löst sofortige Deaktivierung aus. Ein nach AGB zustande gekommener Kauf löst die technische Übermittlung an den bestimmten Käufer aus.
Dauer	Bis Auslieferung und Ablauf der erforderlichen Nachlauf- oder Reklamationsfrist beziehungsweise bis Ablauf, Rücknahme oder Löschung; Einzelheiten in Anlage 4.

C. Abgrenzung eigener Zwecke und Verarbeitungskette

Anbieterübergreifender Duplikat- und Missbrauchsschutz, eigene Vertrags- und Zahlungsabwicklung, Steuer und Rechtsnachweise sowie die eigene aggregierte Nachfrageauswertung sind eigenständige Plattformzwecke von LeadAhoi. Die dabei verwendeten Daten, Rechtsgrundlagen und Fristen werden in der Datenschutzerklärung und den einschlägigen AGB beschrieben. Technische Schutzprotokolle, die ausschließlich der sicheren Verarbeitung im Auftrag dienen, bleiben dagegen vom AVVAuftrag umfasst.

Die ursprüngliche Leadgenerierung und Zulässigkeit der Offenlegung verantwortet der jeweilige Anbieter. Der Käufer wird für seine eigenen Beratungs- und Vertriebszwecke verantwortlich; LeadAhoi verarbeitet seine CRM Kopie nach Modul A. Bei eigenen LeadAhoi-Leads ist LeadAhoi selbst für Generierung und Verkauf verantwortlich. Eine Anbieter-AVV mit sich selbst entsteht nicht.

Einwilligungs- und Ereignisnachweise sind nach ihrem Zweck zu trennen: Aufbewahrung für den Auftraggeber im Modul ist Auftragsverarbeitung; notwendige eigene Vertrags-, Prüf- oder Rechtsverteidigungsnachweise bedürfen einer eigenständigen Grundlage. Ein Zweckwechsel darf nicht verdeckt durch eine pauschale Archivierung erfolgen.

D. Neue Anwendungen und wesentliche Änderungen

Vor Aktivierung neuer Verarbeitung wird dokumentiert: Anwendung und Zweck, Verantwortlicher, Datenarten und Betroffene, Art. 9Daten, neue Empfänger und Länder, Weisungen, Fristen und Schutzmaßnahmen. Die Ergänzung wird mit dem Auftraggeber vereinbart und versioniert. Ein zusätzlicher Dienstleister durchläuft außerdem § 7; ein Drittlandzugriff § 8. Bestehende Module können ohne neuen Gesamtvertrag um ein so vereinbartes Modul ergänzt werden.

Die folgenden Anforderungen sind verbindlicher Leistungsstandard während der Verarbeitung. LeadAhoi verantwortet die Umsetzung in eigenen Systemen und die Weitergabe an beauftragte Dienstleister. Die Darstellung ist keine Zertifizierung und kein Ersatz für tatsächliche Konfigurations-, Test- und Kontrollnachweise.

1. Verantwortlichkeiten, Personen und Endgeräte

LeadAhoi führt eine Zuständigkeitsübersicht für Betrieb, Berechtigungen, Patches, Datensicherung, Wiederherstellung, Vorfälle und Löschung. Dienstleisterzuständigkeiten werden konkret zugeordnet; ausgelagerte Aufgaben bleiben kontrolliert. Zugriffsberechtigte Personen werden vor Zugriff zur Vertraulichkeit verpflichtet und aufgabenbezogen unterwiesen. Austritte und Rollenwechsel lösen unverzügliche Entziehung oder Anpassung der Rechte aus.

Administrative Endgeräte werden verwaltet, aktuell gehalten und durch Festplattenverschlüsselung, Bildschirmsperre und geeigneten Schadsoftwareschutz gesichert. Unkontrollierte Privatgeräte und lokale Produktionsdatenkopien sind nicht zulässig. Arbeitsplätze schützen vor Einsicht und Zugriff Unbefugter. Physische Rechenzentrumssicherheit wird im Rahmen der Cloud-Dienstleisterpflichten gewährleistet und durch deren Nachweise kontrolliert.

2. Anmeldung und Berechtigungen

Personenbezogene Konten, rollenbezogene Rechte und getrennte Administratorzugänge vermeiden gemeinsame Vollzugriffe. Rechte werden nach Erforderlichkeit und geringstmöglichem Umfang vergeben, mindestens vierteljährlich und bei Rollenänderungen überprüft. Zugriffe auf fremde Mandanten werden serverseitig verhindert, einschließlich Suche, Export, Dateien, APIs und verknüpfter Leads.

Für menschliche privilegierte AWS, Produktions-, Deployment- und Repositoryzugänge ist MFA verbindlich, vorzugsweise mit Sicherheitsschlüssel/Passkey oder Authenticator. Technische Konten nutzen eng begrenzte Rollen, kurze Berechtigungsdauer und kontrollierte Secrets; ein interaktiver zweiter Faktor wird für Maschinenkonten nicht pauschal verlangt.

Das Admin-Panel verwendet zusätzlich zum Passwort einen einmalig nutzbaren EMail-Code mit fünf Minuten Gültigkeit, höchstens fünf Fehlversuchen und Ratenbegrenzung. Das empfangende Administratorpostfach ist selbst mit MFA abzusichern. Dieses Verfahren wird nicht als phishingresistent bezeichnet; bei unzureichendem Schutz für konkrete Zugriffe ist vor deren Freigabe ein stärkeres Verfahren einzusetzen. Reguläre Nutzer können die angebotene Zwei-Faktor-Funktion aktivieren. Die SMSTelefonverifizierung beim Onboarding ist kein zweiter Faktor bei jedem Login.

3. Verschlüsselung und Infrastruktur

Web- und APIVerbindungen nutzen aktuelle Transportverschlüsselung, mindestens TLS 1.2. Datenbankverbindungen sind verschlüsselt. Datenbanken, gespeicherte Dateien und Backups werden im Ruhezustand mit AWS KMS oder einem gleichwertigen Verfahren verschlüsselt. Dateiablagen sind nicht öffentlich; berechtigte Zugriffe erfolgen unter anderem über zeitlich begrenzte signierte URLs.

Datenbanken liegen in nicht öffentlich zugänglichen Netzen. Administration erfolgt über gesicherte, personenbezogene Zugänge und geeignete Netzbeschränkungen. Schlüssel- und Secretzugriffe sind gesondert berechtigt, protokolliert und auf den erforderlichen Umfang beschränkt. Secrets werden nicht in Quellcode, öffentlichen Logs oder ungeschützten Tickets abgelegt. Rotation erfolgt bei Kompromittierungsverdacht und nach dokumentierten Regeln.

Berechtigte Anwendungen und Administratoren können Daten trotz Speicher- und Transportverschlüsselung im Klartext verarbeiten. Solche Zugriffe werden kontrolliert; die Verschlüsselung wird nicht als Ausschluss sämtlicher Drittlandrisiken dargestellt.

4. Gesundheitsdaten und Datenminimierung

Art. 9Daten im CRM erfordern eingeschränkte Rollen, minimale Ansichten und Exporte, gesondert begründeten Supportzugriff und die Vermeidung unnötiger Freitexte. Keine Gesundheitsinhalte in allgemeinen Fehlerlogs, SMS, ungeschützten EMails oder offenen Tickets. Erforderliche sensible Übermittlungen werden über einen dafür geeigneten geschützten Kanal und nur nach zulässiger Weisung ausgeführt.

Im Marktplatz werden nur zugelassene strukturierte Felder verarbeitet und Kontaktdaten bis zum berechtigten Kauf maskiert. Unzulässige sensible Inhalte werden blockiert oder bis zur Klärung gesperrt. Werden sie dennoch erkannt, informiert LeadAhoi den Auftraggeber und veranlasst eine zweckgerechte Entfernung oder rechtmäßige Rückgabe; sie werden nicht weiterverbreitet.

5. Support, Entwicklung und Protokolle

Supportzugriffe benötigen einen konkreten Anlass und werden nach Person, Zeit, Zweck, betroffenen Systemen und Berechtigungsumfang nachvollziehbar dokumentiert. Umfassende dauerhafte Root- oder Datenbankrechte sind nicht der Standard. Erforderliche Notfallzugriffe sind begründet, zeitlich begrenzt und nachzuprüfen. Exporte und lokale Kopien bedürfen gesonderter Erforderlichkeit und festgelegter Löschung.

Entwicklung und Tests erfolgen grundsätzlich mit synthetischen oder tatsächlich anonymisierten Daten in getrennten Umgebungen. Pseudonymisierte Daten bleiben personenbezogen. Eine zwingend erforderliche Testausnahme bedarf dokumentierter Weisung, minimaler Datenmenge, gesicherter isolierter Umgebung und festgelegtem Ende. Sie setzt alle einschlägigen Drittlandbedingungen voraus.

Anmeldungen, privilegierte Zugriffe, Rechteänderungen, kritische Änderungen und Exporte werden protokolliert. Zeitquellen werden synchronisiert; Logs sind vor unbefugter Änderung und Einsicht geschützt. Passwörter, Tokens und vollständige sensible Inhalte werden nicht protokolliert. Im Auftrag gehaltene Sicherheits-/Adminlogs werden grundsätzlich nach 90 Tagen, bereinigte technische Fehlerlogs nach 30 Tagen gelöscht. Konkrete Beweissicherungen benötigen dokumentierten Zweck, Umfang und Überprüfungstermin.

6. Sicherung und Wiederherstellung

Mindestens tägliche verschlüsselte Backups werden zugriffsgeschützt und vom regulären Produktivzugriff getrennt gehalten; der Sicherungszyklus beträgt höchstens 35 Tage. Vor erstem Echtdatenbetrieb und danach mindestens vierteljährlich erfolgt ein dokumentierter Wiederherstellungstest. Für die LeadBörse sind zusätzlich mindestens sieben Tage Point-in-Time-Recovery vorgesehen; als technische Wiederherstellungsziele gelten maximal 15 Minuten Datenverlust RPO) und vier Stunden Wiederherstellung RTO. Diese Ziele sind zu testen und bei Abweichungen mit Abhilfe zu dokumentieren; sie sind keine Zusage absolut unterbrechungsfreien Betriebs.

Für weitere Module werden risikogerechte Wiederherstellungsziele im Betriebskonzept festgehalten. Nach Wiederherstellung werden Lösch- und Sperrlisten abgeglichen. Backups dienen nicht als dauerhaftes Parallelarchiv und werden nicht für Analysen oder Tests verwendet. Änderungen an Sicherung und Wiederherstellung dürfen das Schutzniveau nicht absenken.

7. Sichere Entwicklung, Überwachung und Freigabe

Codeänderungen unterliegen Review, Versionskontrolle und risikobezogenen Tests. Abhängigkeiten, Schwachstellen und Sicherheitskonfigurationen werden überprüft. Kritische ausnutzbare Lücken sind unverzüglich zu beheben oder betroffene Funktionen auszusetzen. Berechtigungen, Mandantentrennung, Dateiabrufe, Webhooks, Exporte, Anmeldung und Löschung werden vor Freigabe und nach wesentlichen Änderungen getestet.

Systemzustand, fehlgeschlagene Verarbeitung und Sicherheitsereignisse werden überwacht; Zugriffe auf Betriebsprotokolle sind begrenzt. Zusätzliche externe Fehleranalyse- oder Überwachungsdienste erhalten erst nach dokumentierter Konfiguration, Datenminimierung und erforderlicher Unterauftragsfreigabe Auftragsdaten. Diese Fassung genehmigt keinen personenbezogenen Einsatz von Sentry.

8. Nachweise und regelmäßige Kontrolle

Mindestens jährlich und bei wesentlichen Änderungen bewertet LeadAhoi die Wirksamkeit der TOMs. Berechtigungsübersichten, MFAKonfiguration, Verschlüsselung, Backup-/Restore-Protokolle, Löschtests, Sicherheitsprüfungen, Dienstleisterverträge und Transferbewertungen werden nachvollziehbar dokumentiert. Erkannte Abweichungen erhalten Verantwortliche, Abhilfe und Fristen; erhebliche Risiken führen bis zur Behebung zur Einschränkung der Verarbeitung.

Die nachstehenden Genehmigungen gelten ausschließlich für den beschriebenen Auftrag und unter den Voraussetzungen der §§ 7 und 8. LeadAhoi bindet die tatsächlich eingesetzten Vertragspartner vor personenbezogenem Einsatz wirksam ein. Eine Abweichung der realen Vertragseinheit oder ein anderer Verarbeitungsort ist vor Einsatz zu berichtigen und nach § 7 mitzuteilen; ein bekannter Markenname ersetzt die Prüfung nicht.

1. Amazon Web Services EMEA SARL

Anschrift: 38 avenue John F. Kennedy, L1855 Luxembourg, Luxemburg. Direkter Infrastruktur-Dienstleister von LeadAhoi. Leistungen: EC2Betrieb, verwaltete Datenbank RDS, S3Dateispeicherung, Sicherungen und Amazon SES für beauftragte EMail-Übermittlung. Produktionsregion: Europe Frankfurt), eu-central-1. Betroffene Daten: im jeweiligen Modul gehostete Daten; beim EMail-Versand insbesondere Empfänger, Absender, Betreff, Inhalt, gegebenenfalls Anhänge und technische Zustellinformationen.

Das AWS Data Processing Addendum wird in die Vertragskette einbezogen. Frankfurt ist der primäre Speicherort; mögliche Konzern-, Support- oder weitere Dienstleisterzugriffe außerhalb des EWR werden gesondert erfasst und nach § 8 abgesichert. Es wird weder ein globales Hostingrecht noch ein beliebiger Zugriff aus anderen Ländern erteilt.

2. CodeHütte GmbH

Anschrift: Charlottenstraße 75, 30449 Hannover, Deutschland; Handelsregister HRB 229049. Kontakt: Koushal Singh, codehuette@gmail.com. Direkter weiterer Auftragsverarbeiter von LeadAhoi für beauftragte Entwicklung, Bereitstellung, Wartung, Fehlerbehebung, technischen Support und Administration. Zugriff nur auf die für den konkreten Vorgang erforderlichen Modul-, Protokoll- und Konfigurationsdaten; mögliche Gesundheitsdaten im CRM erfordern die besonderen Beschränkungen.

LeadAhoi schließt die separate AVV mit CodeHütte vor deren Echtdatenzugriff wirksam ab und setzt die Pflichten dieser Nutzer-AVV in der Vertragskette durch. Eine bloße Beauftragung der Softwareentwicklung ersetzt dies nicht. Von CodeHütte beauftragte Personen oder Unternehmen erhalten keinen pauschalen Zugang aus beliebigen Ländern.

3. Forthpro IT Solution über CodeHütte

Einzelunternehmen des Inhabers Megh Singh; B78 Mahesh Nagar, 80 Feet Road, Jaipur, Rajasthan 302015, Indien; Kontakt: salesforthpro@gmail.com. Weiterer Auftragsverarbeiter in der Kette Auftraggeber → LeadAhoi → CodeHütte → Forthpro. Zweck: erforderliche technische Entwicklung, Wartung, Bereitstellung, Support sowie genehmigte System- und Datenbankadministration. Primäre Datenhaltung bleibt in Frankfurt; Fernzugriff erfolgt aus Indien.

Status dieser Fassung: personenbezogener Einsatz ausschließlich nach erfülltem Verfahren gemäß § 8 Abs. 3 und 4. Die vorgelegten SCC und das TIAGrunddokument belegen für sich allein keine abgeschlossene konkrete Freigabe. Die ausstehende konkrete Transferprüfung darf nicht durch eine Annahme „bereits umgesetzt“ ersetzt werden. Bis zur dokumentierten Freigabe nur synthetische oder tatsächlich anonymisierte Daten ohne personenbezogene Nebendaten. Weitere selbstständige Unterauftragnehmer von Forthpro sind hiermit nicht namentlich genehmigt.

4. Twilio für beauftragten SMS-Versand

Vorgesehene direkte Vertragseinheit für das deutsche LeadAhoi-Konto: Twilio Ireland Limited, 70 Sir John Rogersonʼs Quay, Dublin 2, D02 R296, Irland, gemäß der veröffentlichten EWRVertragszuordnung. Die konkrete Kontozuordnung ist vor personenbezogenem Einsatz entsprechend zu führen. Twilio Inc., 101 Spear Street, 5th Floor, San Francisco, CA 94105, USA, ist als beteiligte Konzerneinheit für globale Verarbeitung und Transferabsicherung zu berücksichtigen.

Umfang: durch den Auftraggeber ausgelöste Tenant-SMS; übermittelt werden Telefonnummer, Absenderkennung, Nachrichtentext und erforderliche Zustellinformationen. Die globale Twilio-API begründet keine EU-only-Verarbeitung. SMS werden nicht zur Übermittlung von Gesundheitsdaten oder vertraulichen vollständigen Kundendatensätzen verwendet. Nutzer-Onboarding und eigene Kontoverifizierung von LeadAhoi sind davon als eigene Plattformzwecke abzugrenzen. SendGrid und Pinpoint werden durch diese AVV nicht als eingesetzte Dienste ausgewiesen.

Twilio handelt für bestimmte Daten und Zwecke nach seinem DPA selbst verantwortlich, insbesondere bei eigenen Telekommunikations-, Missbrauchs- und gesetzlichen Aufgaben. Diese Verarbeitung wird nicht pauschal unter den Weisungsauftrag gefasst. LeadAhoi muss Umfang und Zulässigkeit der tatsächlich verwendeten Dienste vor Einsatz prüfen; eine vertragliche Zweckausweitung des Empfängers wird durch die vorliegende AVV nicht automatisch erlaubt.

Die Transferabsicherung erfolgt nach dem tatsächlich einschlägigen Twilio-DPAMechanismus, gegebenenfalls wirksamen Binding Corporate Rules oder Standardvertragsklauseln. Ein Angemessenheitsmechanismus darf nur bei nachgewiesener Anwendbarkeit herangezogen werden. Vor Einsatz werden Empfänger, Zugriffsländer, Weiterverarbeitung und notwendige ergänzende Maßnahmen dokumentiert; bleibt eine erforderliche Absicherung offen, wird die betreffende SMSFunktion nicht für Auftragsdaten aktiviert.

5. Weitere Stufen und versionierte Nachweise

LeadAhoi dokumentiert die für die konkret genutzten AWS- und Twilio-Dienste relevanten weiteren Verarbeitungseinheiten, Funktionen und Länder und hält die zugehörigen Listen mit Versionsstand bereit. Vollständige einschlägige Angaben werden vor der Genehmigung beziehungsweise Änderung zugänglich gemacht; eine beliebige künftige Dienstleisterliste wird nicht vorab freigegeben. Erforderliche Änderungen in der Kette unterliegen § 7 auch dann, wenn der unmittelbare Vertragspartner unverändert bleibt.

Öffentliche Vertragsgrundlagen zur Einordnung: aws.amazon.com/legal/aws-contracting-party/ und docs.aws.amazon.com/whitepapers/latest/navigating-gdpr-compliance/aws-data-processing-addendum dpa.html; twilio.com/en-us/legal/tos, twilio.com/en-us/legal/data-protection-addendum und twilio.com/en us/legal/sub-processors. Die Websites sind Nachweisquellen, keine einseitige Änderungsermächtigung für diese AVV.

6. Abgrenzungen und nicht allgemein freigegebene Dienste

Stripe wird für eigene Zahlungs-, Abrechnungs- und KYCZwecke gesondert datenschutzrechtlich eingeordnet; es wird hier nicht pauschal als Auftragsverarbeiter aller CRMDaten geführt. Direkt vom Auftraggeber angebundene Google-, Microsoft- oder andere Postfachdienste bleiben dessen eigene Empfänger-/Vertragsbeziehung, soweit LeadAhoi sie nicht selbst beauftragt. Die technische Integration erlaubt nur den konkret eingeräumten Datenfluss.

GitHub und CI/CD dürfen ohne ergänzende Vereinbarung keine personenbezogenen Kundendaten, produktiven Datenbankkopien oder unbereinigten Logs erhalten. Die Nutzung für Quellcode allein genehmigt keine solche Übermittlung. Sentry, KIDienste einschließlich Claude/OpenAI und spätere Werbeplattform-Anbindungen sind in dieser Fassung nicht für die Verarbeitung von Auftragsdaten freigegeben. Vor einer entsprechenden Aktivierung sind Umfang, Rollen, Empfänger, Orte und Garantien zu ergänzen.

Die Matrix trennt operative Auftragsdaten von eigenen Nachweisen. Sofort erforderliche Sperrungen, Berichtigungen und gesetzliche Löschpflichten gehen regulären Nachläufen vor. Alle Zeitpunkte werden nachvollziehbar verarbeitet. Aufbewahrung bedeutet keine Erlaubnis zur weiteren Werbung oder Kontaktaufnahme.

Datenbestand / Ereignis	Frist und Maßnahme
CRM: aktive Daten	Verarbeitung für den Auftraggeber während des Auftrags nach seinen rechtmäßigen Weisungen. Keine unbegrenzte Speicherung allein aufgrund fehlender automatischer Alterslöschung. Der Auftraggeber steuert zweckbezogene Löschung; LeadAhoi setzt wirksame Weisungen um.
CRM: regulär gelöschter Lead	Sofort aus aktiver Nutzung entfernen; Wiederherstellungsmöglichkeit für 30 Tage, anschließend endgültige operative Löschung. Gesonderte berechtigte Weisung kann unverzügliche endgültige Löschung verlangen.
CRM Vertragsende	Nach Wahl Export/Rückgabe und Löschung oder unmittelbare Löschung. Regulär 30 Tage beschränkter Abruf nach Vertragsende; erforderliche Data-Act-Abrufrechte nach einem Anbieterwechsel gehen vor. Nach Ablauf operative Löschung
Nicht verkaufter Marktplatz-Lead	Nach 48 Stunden ab ursprünglicher Anfrage keine neue Reservierung; unverkaufte operative Kopie nach Ablauf löschen, sobald ein etwaiger laufender Zahlungsvorgang abschließend geklärt ist.
Nicht freigegebener API Lead	Mit Ablauf des 48Stunden-Fensters deaktivieren und operative Kopie löschen. Unzulässige Payload-Inhalte unverzüglich verwerfen; erforderliche minimierte Fehlerdaten getrennt behandeln.
Abgelehnter oder zurückgezogener Lead	Sofort deaktivieren; operative Löschung spätestens nach 30 Tagen, sofern keine konkret erforderliche eingeschränkte Nachweisaufbewahrung besteht.
Abgebrochener manueller Entwurf	Spätestens 48 Stunden nach ursprünglicher Anfrage deaktivieren; operative Löschung 30 Tage danach.
Verkaufte operative Marktplatzkopie	Ohne rechtzeitig eröffnete Reklamation: nach dem späteren Zeitpunkt aus Zahlung + 7 Tagen und bestätigter CRMAuslieferung + 24 Stunden löschen. Bei innerhalb der Reklamationsfrist eröffnetem Verfahren: 30 Tage nach dessen Abschluss.
Offene Auslieferung / Reklamation	Regulären Löschlauf für erforderliche Daten aussetzen; Zugriff beschränken, Erforderlichkeit überprüfen und nach Wegfall löschen. Keine dauerhafte Sperre allein wegen eines unbehandelten Systemfehlers.
Supportkopien und Anhänge	Auf das zur Bearbeitung Erforderliche beschränken. Personenbezogene technische Arbeitskopien nach Aufgabenerfüllung löschen; erforderliche Supportanhänge spätestens 30 Tage nach Fallabschluss. Gesonderte Nachweise nur zweckgebunden.
Im Auftrag gehaltene technische Logs	Bereinigte Fehlerlogs grundsätzlich 30 Tage; Sicherheits-/Adminlogs grundsätzlich 90 Tage. Konkrete Vorfallsnachweise getrennt sichern und mit dokumentiertem Überprüfungs-/Löschtermin versehen.
Backups	Maximal 35 Tage Sicherungszyklus. Nach operativer Löschung keine reguläre Nutzung; bei Restore Sperren und Löschungen erneut anwenden. Für die LeadBörse zusätzliche Wiederherstellungsmöglichkeit gemäß Anlage 2.

Gesonderte Nachweise und eigene Verantwortung

Pseudonymisierte Vergleichswerte für den anbieterübergreifenden Duplikatabgleich werden nach 56 Tagen ab Anfrage gelöscht. Dieser eigene Plattformzweck wird nicht durch eine unbegrenzte Weisung zur Speicherung legitimiert. Rechnungen und eigene Abrechnungsnachweise werden im gesetzlich gebotenen Umfang grundsätzlich acht Jahre ab Ende des Ausstellungsjahres aufbewahrt. Nicht erforderliche Lead-Inhalte gehören nicht allein deshalb in das Rechnungsarchiv.

Telefonwerbende Unternehmen erfüllen die Nachweisaufbewahrung nach § 7a UWG ab Einwilligungserteilung und nach jeder Verwendung für fünf Jahre. Soweit LeadAhoi diesen Nachweis im Auftrag archiviert, muss der Auftraggeber Verwendung und relevante Friständerungen mitteilen. Eine zeitlich begrenzte Marktplatzansicht ersetzt diese Archivierung nicht. Nicht telefonische Nachweise werden nach Erforderlichkeit, Weisung und einschlägigen Verjährungs- oder Aufbewahrungsregeln behandelt; es gilt keine pauschale Fünfjahresfrist für sämtliche Einwilligungen.

Eine gesondert erforderliche Rechtsverteidigungssicherung wird auf die konkreten Unterlagen und Dauer beschränkt. Nachweise mit unterschiedlicher Rolle und Zweck werden getrennt berechtigt. Die Löschung der Marktplatzkopie berührt eine rechtmäßig bestehende CRMKopie beim Käufer nicht; rechtswidrige Übermittlung oder Widerruf lösen den eigenständigen Sperr- und Löschprozess aus.

Technischer Vollzug

Löschjobs berücksichtigen bestätigte Auslieferung, offene Vorgänge, erforderliche Nachweisarchivierung und die jeweilige Rolle. Fehler erzeugen einen Bearbeitungshinweis und werden erneut verarbeitet. Löschung wird mit minimalen Referenzen protokolliert; der Löschbeleg darf den gelöschten Inhalt nicht rekonstruieren. Eine vollständige Löschbestätigung benennt bei Bedarf verbleibende Backup- und Pflichtbestände mit ihrem Enddatum.

1. Ansprechpartner von LeadAhoi

Zweck	Kontakt und Zuständigkeit
Vertragsverantwortung	Dennis Pieper, LeadAhoi dennis.pieper@leadahoi.de
Weisungen / Betroffenenanfragen	support@leadahoi.de Annahme, Prüfung der Berechtigung und Weiterleitung zur zuständigen Bearbeitung.
Sicherheitsvorfälle / dringende Sperrung	tech@leadahoi.de und dennis.pieper@leadahoi.de Telefonische Eskalation: 49 1525 7229887. Die elektronische Meldung ist zusätzlich abzusenden.

Die genannten Eingänge werden für den Betrieb überwacht und erhalten eine Vertretungs- und Eskalationsregel. Diese Vereinbarung benennt Dennis Pieper als Vertragsverantwortlichen, nicht als förmlich bestellten Datenschutzbeauftragten. Eine erforderliche spätere Benennung wird gesondert mitgeteilt.

2. Auftraggeber und Weisungsberechtigte

Weisungsberechtigt sind die vertretungsberechtigte Person des Auftraggebers und von ihr dokumentiert autorisierte Kontoadministratoren innerhalb ihrer Rechte. Die im Konto hinterlegten geschäftlichen Kontaktadressen dienen zunächst als Vertrags- und Sicherheitskontakte; abweichende Datenschutz- oder Notfallkontakte können dort beziehungsweise in Textform benannt werden. Der Auftraggeber hält sie aktuell und erreichbar. Eine beliebige Person mit Nutzerzugang darf nicht allein deshalb weitreichende Export- oder Löschweisungen erteilen.

3. Dokumentation einer Weisung

Zu dokumentieren sind Auftraggeber/Konto, berechtigte anweisende Person, Zeitpunkt, betroffene Anwendung und Daten, gewünschte Maßnahme, Empfänger oder Löschumfang, Dringlichkeit, rechtliche Einschränkungen sowie Umsetzung und Ergebnis. Änderungen oder Widerrufe einer Weisung werden nachvollziehbar zugeordnet. Berechtigte Systemaktionen können diese Angaben automatisiert protokollieren.

4. Elektronischer Abschluss

Vor Verarbeitung erhält der Auftraggeber die vollständige AVV einschließlich aller Anlagen zur Einsicht und Speicherung. Die Zustimmung erfolgt ausdrücklich durch eine hierzu berechtigte Person und wird nicht aus einer vorangekreuzten Auswahl abgeleitet. LeadAhoi verknüpft Identität, Konto, aktive Module, Versionsnummer, unveränderliche Dokumentfassung und Abschlusszeitpunkt miteinander und stellt die individuelle Vertragskopie bereit.

Diese Standardfassung ist für die elektronische Einbeziehung vorgesehen. Sie wird nicht allein durch ihren Download oder einen öffentlichen Website-Link abgeschlossen. Werden Module später zusätzlich gebucht, wird deren Zuordnung vor Verarbeitung bestätigt. Bei Änderungen bleibt die zuvor abgeschlossene Fassung nachvollziehbar archiviert.

5. Einsatzvoraussetzungen in der Dienstleisterkette

Vor dem ersten personenbezogenen Dienstleisterzugriff hält LeadAhoi die wirksamen Verarbeitungsverträge, den tatsächlich erforderlichen Dienstleisterumfang, Verarbeitungsorte, Schutzmaßnahmen und Transfernachweise bereit. Für Indien kommt die konkrete Prüfung und ausdrückliche Freigabe nach § 8 hinzu. Ein allgemeiner Projektabschluss oder die Annahme dieser AVV ersetzt diesen Nachweis nicht.

Dem Auftraggeber werden die erforderlichen Informationen zur Ausübung seiner Genehmigungs-, Widerspruchs- und Kontrollrechte zur Verfügung gestellt. Wesentliche Statusänderungen und neue Empfänger werden aktiv mitgeteilt. Ein unvollständiger Nachweis führt zur Einschränkung des betroffenen Datenflusses, nicht zu einer fingierten Bestätigung.