Auftragsverarbeitungsvertrag (AVV)

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") konkretisiert die Pflichten aus Art. 28 DSGVO für die Verarbeitung personenbezogener Daten, die wir im Auftrag unserer Kunden durchführen. Er ergänzt die Allgemeinen Geschäftsbedingungen (nachfolgend „Hauptvertrag") und ist gemeinsam mit der Datenschutzerklärung zu lesen. Bei Widersprüchen zwischen dem Hauptvertrag und diesem AVV gehen die Regelungen dieses AVV vor, soweit es um die Verarbeitung personenbezogener Daten im Auftrag geht.

1. Vertragsparteien und Rollen

Auftragsverarbeiter ist die HACO d. Gschnitzer Franz Josef KG, Angerweg 43 - Gasteig, 39040 Ratschings (BZ), Südtirol, Italien (nachfolgend „wir" oder „Anbieter"). Kontakt: team@smartchat.marketing.

Verantwortlicher bist du als Kunde, der SmartChat nutzt, um eigene Kontakte zu sammeln und anzuschreiben.

Die Rollenverteilung ist zweigeteilt und in Abschnitt 3 der Datenschutzerklärung näher beschrieben: Für die Daten deines eigenen Kontos (Registrierung, Onboarding- und Geschäftsprofil, Abrechnung, KI-Chat, verbundene Kanäle) sind wir selbst Verantwortlicher; dieser AVV gilt dafür nicht. Für die Daten der Kontakte, die du über SmartChat sammelst und anschreibst, bist du der Verantwortliche und wir verarbeiten ausschließlich in deinem Auftrag. Nur um diese Daten geht es hier.

2. Gegenstand und Dauer des Auftrags

Gegenstand des Auftrags ist die Erbringung der im Hauptvertrag beschriebenen Leistungen von SmartChat, soweit dabei personenbezogene Daten deiner Kontakte verarbeitet werden: insbesondere das Sammeln von Kontakten über Anmeldeseiten, Website-Widget, manuelle Eingabe oder Import, die Durchführung des Double-Opt-In-Verfahrens, der Versand von WhatsApp-Newslettern und Follow-ups, die Verwaltung eingehender Nachrichten im Posteingang, die Erstellung von Statistiken sowie - sofern von dir aktiviert - die automatische Beantwortung eingehender Nachrichten.

Die Dauer des Auftrags entspricht der Laufzeit des Hauptvertrags. Der AVV endet mit dessen Beendigung, ohne dass es einer gesonderten Kündigung bedarf. Die Pflichten zu Löschung und Rückgabe (Abschnitt 10) sowie zur Vertraulichkeit (Abschnitt 5) bestehen darüber hinaus fort.

3. Art, Zweck und Umfang der Verarbeitung

Wir verarbeiten die Daten ausschließlich zu dem Zweck, dir die im Hauptvertrag vereinbarten Leistungen bereitzustellen. Eine Verarbeitung zu eigenen Zwecken - insbesondere zur Erstellung eigener Profile, zur eigenen Werbung oder zur Weitergabe an Dritte - findet nicht statt.

3.1 Kategorien betroffener Personen

Betroffen sind die Kontakte, die du über SmartChat erfasst und anschreibst (nachfolgend „Endkontakte"): zum Beispiel Interessenten, Abonnenten deines Newsletters sowie deine Kunden.

3.2 Arten der verarbeiteten Daten

• Stammdaten der Endkontakte: Name, E-Mail-Adresse, Telefonnummer, Sprache
• Einwilligungsdaten: Einwilligungsstatus sowie Zeitpunkt und Kanal der Einwilligung bzw. der Bestätigung (ohne Speicherung der IP-Adresse)
• Inhaltsdaten: Inhalte der ein- und ausgehenden Nachrichten und Konversationen
• Metadaten des Versands: Zustell- und Statusinformationen sowie daraus abgeleitete Statistiken
• Weitere Felder, die du selbst in deinen Formularen erhebst

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Erhebst du dennoch solche Daten über SmartChat, geschieht dies auf deine alleinige Verantwortung; du informierst uns in diesem Fall vorab.

4. Weisungsrecht

Wir verarbeiten die Daten ausschließlich auf deine dokumentierte Weisung. Als Weisung gelten dieser AVV, der Hauptvertrag sowie die Einstellungen und Eingaben, die du in der Anwendung selbst vornimmst (z. B. das Anlegen einer Anmeldeseite, das Auslösen eines Versands oder das Aktivieren der automatischen Antwort).

Einzelweisungen richtest du in Textform an team@smartchat.marketing. Sind wir der Auffassung, dass eine Weisung gegen geltendes Datenschutzrecht verstößt, weisen wir dich darauf hin und dürfen die Ausführung bis zu deiner Bestätigung aussetzen.

Sind wir nach dem Recht der Union oder eines Mitgliedstaats zu einer weitergehenden Verarbeitung verpflichtet, informieren wir dich vor der Verarbeitung, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5. Vertraulichkeit

Wir setzen zur Verarbeitung nur Personen ein, die auf Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort. Der Kreis der Personen mit Zugriff ist auf das für die Leistungserbringung erforderliche Maß beschränkt.

6. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Wir treffen geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. Dazu gehören insbesondere:

• Mandantentrennung: strikte Trennung der Kundenumgebungen auf Datenbankebene (Row Level Security); jede Kundenumgebung ist logisch getrennt.
• Verschlüsselung der Übertragung: TLS/HTTPS für die gesamte Datenübertragung.
• Verschlüsselung sensibler Zugangsdaten: WhatsApp- und Integrations-Tokens werden verschlüsselt gespeichert (AES-256-GCM) und nie an das Browser-Frontend ausgegeben.
• Zugriffskontrolle: Beschränkung der Zugriffe auf das erforderliche Maß; schreibender Zugriff auf die Datenbank ausschließlich serverseitig.
• Integrität: Signaturprüfung eingehender Webhooks.
• Nachweis der Einwilligung: Protokollierung von Zeitpunkt und Kanal der Einwilligung im Double-Opt-In-Verfahren.

Wir dürfen die Maßnahmen weiterentwickeln und anpassen, solange das vereinbarte Schutzniveau nicht unterschritten wird. Der jeweils aktuelle Stand ist in Abschnitt 6 der Datenschutzerklärung beschrieben.

7. Unterauftragsverarbeiter

Du erteilst uns die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Wir wählen sie sorgfältig aus und verpflichten sie vertraglich auf Datenschutzpflichten, die den Anforderungen von Art. 28 DSGVO entsprechen.

Über die Hinzuziehung eines neuen oder den Austausch eines bestehenden Unterauftragsverarbeiters informieren wir dich vorab in Textform. Du kannst dagegen innerhalb von 14 Tagen aus einem wichtigen datenschutzrechtlichen Grund widersprechen. Können wir die Leistung dann nicht ohne den betroffenen Unterauftragsverarbeiter erbringen, sind beide Seiten berechtigt, den Hauptvertrag zum Wirksamwerden der Änderung zu kündigen.

Zum Zeitpunkt des Vertragsschlusses sind folgende Unterauftragsverarbeiter eingesetzt:

Nicht als Unterauftragsverarbeiter im Sinne dieses AVV gilt unser Zahlungsdienstleister Paddle: Paddle verarbeitet als Merchant of Record deine Zahlungs- und Rechnungsdaten in eigener Verantwortung, nicht die Daten deiner Endkontakte.

8. Übermittlung in Drittländer

Ein Teil der in Abschnitt 7 genannten Unterauftragsverarbeiter verarbeitet Daten außerhalb der EU beziehungsweise des EWR, insbesondere in den USA. Solche Übermittlungen erfolgen nur beim Vorliegen geeigneter Garantien nach Kapitel V der DSGVO: auf Grundlage des EU-U.S. Data Privacy Framework, soweit der Empfänger zertifiziert ist, und/oder auf Grundlage der Standardvertragsklauseln der EU-Kommission nach Art. 46 DSGVO.

9. Unterstützung des Verantwortlichen

Wir unterstützen dich im Rahmen unserer Möglichkeiten bei der Erfüllung deiner Pflichten:

• Rechte der betroffenen Personen (Art. 12 bis 23 DSGVO): Wendet sich ein Endkontakt mit einem Auskunfts-, Berichtigungs-, Lösch- oder Widerspruchsersuchen direkt an uns, beantworten wir es nicht selbst, sondern leiten es unverzüglich an dich weiter. Auskunft, Berichtigung, Löschung und Export deiner Kontakte kannst du jederzeit selbst in der Anwendung vornehmen.
• Sicherheit, Meldepflichten und Datenschutz-Folgenabschätzung (Art. 32 bis 36 DSGVO): Wir stellen dir die Informationen zur Verfügung, die dir zur Erfüllung dieser Pflichten fehlen.
• Abmeldungen: Meldet sich ein Endkontakt ab (bei WhatsApp z. B. mit „STOP", bei E-Mail über den Abmeldelink), wird er für den weiteren Versand automatisch gesperrt.

10. Meldung von Verletzungen des Schutzes personenbezogener Daten

Wird uns eine Verletzung des Schutzes personenbezogener Daten bekannt, die die von uns in deinem Auftrag verarbeiteten Daten betrifft, informieren wir dich unverzüglich in Textform an die in deinem Konto hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Gegenmaßnahmen. Die Meldung an die Aufsichtsbehörde nach Art. 33 DSGVO und die Benachrichtigung der betroffenen Personen nach Art. 34 DSGVO obliegen dir als Verantwortlichem.

11. Löschung und Rückgabe nach Beendigung

Nach Beendigung des Hauptvertrags kannst du deine im Konto gespeicherten Kontaktdaten innerhalb von 30 Tagen selbst exportieren. Nach Ablauf dieser Frist löschen wir die im Auftrag verarbeiteten Daten oder geben sie zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Bestehen Aufbewahrungspflichten, schränken wir die Verarbeitung der betroffenen Daten stattdessen ein.

Einen Löschantrag kannst du jederzeit an team@smartchat.marketing richten; wir bestätigen die Löschung innerhalb von 30 Tagen.

12. Nachweise und Kontrollen

Wir weisen dir die Einhaltung der Pflichten aus diesem AVV auf Anfrage in geeigneter Weise nach, in der Regel durch aussagekräftige Auskünfte oder vorhandene Nachweise. Du bist berechtigt, dich von der Einhaltung zu überzeugen. Kontrollen vor Ort werden rechtzeitig angekündigt, finden während unserer üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Aufwand für Kontrollen, die über eine Auskunft hinausgehen, kann dir in Rechnung gestellt werden, sofern kein konkreter Anlass für die Kontrolle besteht.

13. Haftung

Für die Haftung gelten die Regelungen des Hauptvertrags, soweit nicht Art. 82 DSGVO zwingend etwas anderes bestimmt. Im Innenverhältnis trägst du die Verantwortung für die Rechtmäßigkeit der Erhebung und der Einwilligungen deiner Endkontakte; wir tragen die Verantwortung für die weisungsgemäße und vertragskonforme Verarbeitung.

14. Anwendbares Recht und Gerichtsstand

Es gilt italienisches Recht. Gerichtsstand für Streitigkeiten mit Unternehmern ist, soweit gesetzlich zulässig, der Sitz des Anbieters in Bozen (Italien). Die zwingenden Vorgaben der DSGVO bleiben davon unberührt.

15. Schlussbestimmungen

Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Stand: 17. Juli 2026 - Entwurf, noch nicht juristisch geprüft.