AVV

Auftragsverarbeitungsvertrag (AVV / DPA) — Pomio CRM (Deutsch)

Auftragsverarbeiter: S. Simon Communication, handelnd unter dem Namen Pomio CRM („Pomio“).

Pomio CRM ist ein Handelsname von S. Simon Communication, dem rechtlichen Anbieter des Pomio CRM-Dienstes.

Version: pomio-dpa@2026-11-04-draft
Sprache: Deutsch

1. Parteien und Geltungsbereich

1.1 Dieser Auftragsverarbeitungsvertrag („AVV“) wird geschlossen zwischen dem Kunden, der ein Abonnement oder eine Testphase für Pomio CRM abgeschlossen hat (der „Kunde“, als Verantwortlicher), und S. Simon Communication, handelnd unter dem Namen Pomio CRM („Pomio“, als Auftragsverarbeiter). Pomio ist im Handelsregister der niederländischen Handelskammer (KvK) unter der Nummer 62685252 eingetragen, hat die Umsatzsteuer-Identifikationsnummer NL002218668B93 und hat seinen Sitz in Pier Christiaanswei 11A, 8508 SB Delfstrahuizen, Niederlande.

1.2 Dieser AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen / Abonnementbedingungen von Pomio CRM (die „AGB“) und gilt für jede Verarbeitung personenbezogener Daten, die Pomio bei der Erbringung des Pomio CRM-Dienstes (der „Dienst“) im Auftrag des Kunden durchführt.

1.3 Dieser AVV gilt nicht für personenbezogene Daten, die Pomio als Verantwortlicher für eigene Zwecke verarbeitet, etwa für die Marketing-Website, die Aufnahme von Testphasen-, Demo- und Kontaktanfragen, die Kontoverwaltung, Zahlung und Rechnungsstellung sowie den Produktsupport (ausgenommen Personenbezogene Kundendaten, die in Supportanfragen geteilt werden; siehe Anlage C). Diese Verarbeitungen sind in der Datenschutzerklärung beschrieben.

1.4 Dieser AVV soll die Anforderungen von Artikel 28 Absatz 3 der Verordnung (EU) 2016/679 (Datenschutz-Grundverordnung, „DSGVO“) erfüllen.

2. Begriffsbestimmungen

2.1 Begriffe wie „personenbezogene Daten“, „Verarbeitung“, „Verantwortlicher“, „Auftragsverarbeiter“, „betroffene Person“, „Verletzung des Schutzes personenbezogener Daten“ und „Aufsichtsbehörde“ haben die Bedeutung, die ihnen die DSGVO gibt. Großgeschriebene Begriffe, die in diesem AVV nicht definiert sind, haben die Bedeutung aus den AGB.

Personenbezogene Kundendaten: personenbezogene Daten in den Kundendaten, die Pomio auf Grundlage der AGB und dieses AVV im Auftrag des Kunden verarbeitet.
Unterauftragsverarbeiter: ein von Pomio eingesetzter Dritter, der Personenbezogene Kundendaten im Auftrag des Kunden verarbeitet.
Anwendbares Datenschutzrecht: die DSGVO, das niederländische Ausführungsgesetz zur DSGVO (Uitvoeringswet AVG) und sonstiges Datenschutzrecht der Europäischen Union oder ihrer Mitgliedstaaten, das auf die Verarbeitung anwendbar ist.

3. Gegenstand, Art, Zweck und Dauer

3.1 Gegenstand der Verarbeitung ist die Erbringung des Dienstes: einer mandantenfähigen SaaS-Anwendung für Customer Relationship Management (CRM) für Leads, Unternehmen, Kontakte und Pipeline.

3.2 Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage A beschrieben.

3.3 Die Verarbeitung dauert während der Laufzeit des Abonnements oder der Testphase und danach so lange, wie Pomio gemäß Artikel 13 dieses AVV noch Personenbezogene Kundendaten besitzt.

4. Rollen der Parteien

4.1 Für Personenbezogene Kundendaten ist der Kunde Verantwortlicher und Pomio Auftragsverarbeiter. Der Kunde entscheidet über die Zwecke und Mittel der Verarbeitung.

4.2 Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, einschließlich einer gültigen Rechtsgrundlage, der Information der betroffenen Personen und der Richtigkeit der personenbezogenen Daten, die er in den Dienst eingibt.

4.3 Handelt der Kunde selbst als Auftragsverarbeiter für einen Dritten, gewährleistet der Kunde, dass seine Weisungen von diesem Verantwortlichen autorisiert sind; Pomio handelt dann als Unterauftragsverarbeiter des Kunden.

5. Weisungen

5.1 Pomio verarbeitet Personenbezogene Kundendaten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf Übermittlungen in ein Drittland, sofern Pomio nicht durch das Recht der Union oder der Mitgliedstaaten, dem Pomio unterliegt, hierzu verpflichtet ist. In einem solchen Fall teilt Pomio dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

5.2 Die AGB, dieser AVV und die Nutzung und Konfiguration des Dienstes durch den Kunden (einschließlich Einstellungen autorisierter Nutzer) bilden die vollständigen dokumentierten Weisungen des Kunden. Zusätzliche Weisungen werden schriftlich erteilt und müssen mit den AGB und der Funktionalität des Dienstes vereinbar sein.

5.3 Pomio informiert den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Pomio gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt. Pomio kann die Ausführung einer solchen Weisung aussetzen, bis sie bestätigt oder geändert wurde.

5.4 Pomio verarbeitet Personenbezogene Kundendaten nicht für eigene Zwecke, verkauft sie nicht und verwendet sie nicht für Werbung oder für Profiling außerhalb der Weisungen des Kunden.

6. Vertraulichkeit

6.1 Pomio gewährleistet, dass sich die zur Verarbeitung der Personenbezogenen Kundendaten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

6.2 Der Zugriff von Pomio auf Personenbezogene Kundendaten ist auf das beschränkt, was zur Erbringung, Sicherung und Unterstützung des Dienstes oder zur Erfüllung gesetzlicher Pflichten erforderlich ist.

7. Sicherheit der Verarbeitung

7.1 Pomio trifft geeignete technische und organisatorische Maßnahmen gemäß Artikel 32 DSGVO unter Berücksichtigung des Stands der Technik, der Implementierungskosten, der Art, des Umfangs, der Umstände und der Zwecke der Verarbeitung sowie des Risikos für die Rechte und Freiheiten natürlicher Personen. Die Maßnahmen sind in Anlage B beschrieben.

7.2 Pomio darf die Maßnahmen aktualisieren, sofern das Gesamtschutzniveau nicht sinkt.

7.3 Der Kunde ist für die Sicherheit seiner eigenen Konten und Geräte verantwortlich, einschließlich der Verwaltung von Nutzern und Berechtigungen, der Verwendung starker Passwörter und, soweit verfügbar, der Multi-Faktor-Authentifizierung.

8. Unterauftragsverarbeiter

8.1 Der Kunde erteilt Pomio eine allgemeine schriftliche Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die zum Datum dieses AVV eingesetzten Unterauftragsverarbeiter sind in Anlage C aufgeführt.

8.2 Pomio informiert den Kunden mindestens vierzehn (14) Tage im Voraus per E-Mail und/oder im Dienst über eine beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Ist eine Ersetzung dringend erforderlich, um die Sicherheit oder die Kontinuität des Dienstes zu gewährleisten, darf Pomio den neuen Unterauftragsverarbeiter früher einsetzen; Pomio informiert den Kunden in diesem Fall unverzüglich. Der Kunde kann innerhalb der Frist von vierzehn (14) Tagen vor der Änderung oder, bei einer dringenden Ersetzung, innerhalb von vierzehn (14) Tagen nach der Mitteilung schriftlich aus berechtigten datenschutzrechtlichen Gründen widersprechen. Pomio prüft den Widerspruch und sucht in Abstimmung mit dem Kunden innerhalb einer angemessenen Frist nach einer angemessenen Lösung, etwa einer Alternative oder zusätzlichen Maßnahmen. Finden die Parteien keine Lösung, kann der Kunde den betroffenen Teil des Abonnements mit Wirkung zu dem Datum kündigen, an dem der neue Unterauftragsverarbeiter eingesetzt wird, oder, bei einer dringenden Ersetzung, mit sofortiger Wirkung; bereits gezahlte Beträge werden nicht erstattet, sofern zwingendes Recht nichts anderes vorschreibt. Abweichend davon erstattet Pomio ausschließlich dann, wenn der Kunde einen berechtigten datenschutzrechtlichen Widerspruch gegen einen hinzugezogenen oder ersetzten Unterauftragsverarbeiter erhoben hat, Pomio keine angemessene Lösung anbietet und der Kunde aus diesem Grund den betroffenen Teil kündigt, den im Voraus gezahlten Betrag anteilig für den verbleibenden vorausbezahlten Zeitraum dieses Teils, gerechnet ab dem Wirksamwerden der Kündigung.

8.3 Pomio erlegt jedem Unterauftragsverarbeiter durch schriftlichen Vertrag Datenschutzpflichten auf, die mindestens das gleiche Schutzniveau wie dieser AVV bieten, insbesondere hinreichende Garantien für geeignete technische und organisatorische Maßnahmen.

8.4 Pomio haftet gegenüber dem Kunden in vollem Umfang für die Erfüllung der Pflichten seiner Unterauftragsverarbeiter, im Rahmen von Artikel 14.

9. Übermittlungen außerhalb des EWR

9.1 Pomio übermittelt Personenbezogene Kundendaten nur dann in ein Land außerhalb des Europäischen Wirtschaftsraums (EWR), wenn die Bedingungen von Kapitel V DSGVO erfüllt sind, etwa auf Grundlage eines Angemessenheitsbeschlusses (einschließlich des EU-US Data Privacy Framework für zertifizierte Empfänger) oder der von der Europäischen Kommission erlassenen Standardvertragsklauseln (Beschluss (EU) 2021/914), erforderlichenfalls mit ergänzenden Maßnahmen.

9.2 Die zum Datum dieses AVV bekannten Übermittlungen und die dafür genutzten Garantien sind in Anlage D beschrieben.

10. Unterstützung des Kunden

10.1 Rechte betroffener Personen: Unter Berücksichtigung der Art der Verarbeitung unterstützt Pomio den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung seiner Pflicht, Anträge betroffener Personen zu beantworten (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch). Der Dienst bietet hierfür Funktionen, darunter Datenschutz- und Auskunftsersuchen-Funktionen (DSAR) für autorisierte Administratoren. Erhält Pomio einen Antrag direkt, leitet Pomio ihn unverzüglich an den Kunden weiter und antwortet nicht selbst, es sei denn, der Kunde weist dies an.

10.2 Sonstige Pflichten: Unter Berücksichtigung der Art der Verarbeitung und der Pomio zur Verfügung stehenden Informationen unterstützt Pomio den Kunden bei der Einhaltung der Artikel 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen des Schutzes personenbezogener Daten, Datenschutz-Folgenabschätzungen und vorherige Konsultation der Aufsichtsbehörde).

10.3 Pomio kann nach vorheriger Ankündigung angemessene Kosten für Unterstützung berechnen, die über die Standardfunktionen des Dienstes hinausgeht, es sei denn, die Unterstützung ist wegen eines Verstoßes von Pomio gegen diesen AVV erforderlich.

11. Verletzungen des Schutzes personenbezogener Daten

11.1 Pomio meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Personenbezogene Kundendaten betrifft, unverzüglich, nachdem Pomio davon Kenntnis erlangt hat, und nach Möglichkeit innerhalb von 48 Stunden, damit der Kunde seine eigenen Pflichten aus den Artikeln 33 und 34 DSGVO erfüllen kann.

11.2 Die Meldung enthält, soweit bekannt: die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Anlaufstelle für weitere Informationen. Die erste Meldung kann vorläufig sein. Noch nicht verfügbare Informationen werden bereitgestellt, sobald sie verfügbar sind, ohne weitere unangemessene Verzögerung und erforderlichenfalls schrittweise.

11.3 Pomio ergreift angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu begrenzen, und dokumentiert die Verletzung. Eine Meldung durch Pomio ist kein Anerkenntnis eines Verschuldens oder einer Haftung.

11.4 Der Kunde entscheidet als Verantwortlicher, ob eine Meldung an die Aufsichtsbehörde und an betroffene Personen erfolgt.

12. Informationen und Audits

12.1 Pomio stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Artikel 28 DSGVO erforderlich sind, etwa eine Beschreibung der Sicherheitsmaßnahmen und relevante Unterlagen der Unterauftragsverarbeiter.

12.2 (a) Reguläres Audit: Sind diese Informationen nachweislich unzureichend, kann der Kunde ein Audit durchführen lassen, höchstens einmal pro Kalenderjahr, mit einer schriftlichen Ankündigung von mindestens dreißig (30) Tagen, während der Geschäftszeiten und ohne unverhältnismäßige Störung des Geschäftsbetriebs von Pomio. (b) Ausnahmeaudit: Darüber hinaus kann der Kunde, unabhängig davon, ob die Informationen nach Artikel 12.1 ausreichend sind, und ohne jährliche Begrenzung ein Audit durchführen lassen im Fall: (i) einer Verletzung des Schutzes personenbezogener Daten, die Personenbezogene Kundendaten betroffen hat; (ii) eines schwerwiegenden Sicherheitsvorfalls, der Personenbezogene Kundendaten betrifft oder betreffen kann; (iii) eines konkreten Hinweises auf einen Verstoß gegen diesen AVV; oder (iv) einer Anfrage oder Anordnung einer zuständigen Aufsichtsbehörde. Für ein Ausnahmeaudit gilt eine kürzere, angemessene Ankündigungsfrist oder, soweit gesetzlich vorgeschrieben, die sofortige Mitwirkung; ein solches Audit ist verhältnismäßig und wird, soweit möglich, auf die betroffenen Daten und Systeme beschränkt. Jedes Audit wird vom Kunden oder von einem zur Verschwiegenheit verpflichteten unabhängigen Prüfer unter angemessenen Vertraulichkeits- und Sicherheitsbedingungen durchgeführt; der Prüfer erhält keinen Zugang zu Daten anderer Kunden von Pomio. Dieser Artikel 12 beschränkt keine gesetzlichen Audit- oder Inspektionsrechte des Kunden oder der Aufsichtsbehörden.

12.3 Die Kosten eines regulären Audits trägt grundsätzlich der Kunde. Ergibt ein Audit eine nachweisliche wesentliche Pflichtverletzung von Pomio bei der Erfüllung dieses AVV, trägt Pomio die angemessenen Kosten dieses Audits. Kostenregelungen setzen die gesetzlich erforderliche Mitwirkung gegenüber dem Kunden oder einer Aufsichtsbehörde niemals aus und blockieren sie nicht. Audits bei Unterauftragsverarbeitern erfolgen über die von ihnen bereitgestellten Prüfberichte und Zertifizierungen.

13. Rückgabe und Löschung

13.1 Nach Ende des Abonnements erhält der Kunde eine angemessene Gelegenheit, Kundendaten mit den Exportfunktionen des Dienstes zu exportieren (AGB, Artikel 12.3).

13.2 Nach der Exportfrist und einer etwaigen Aufbewahrungsfrist (AGB, Artikel 4.7, 4.8 und 12.4) löscht Pomio die Personenbezogenen Kundendaten kontrolliert, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Speicherpflicht besteht oder ein Legal Hold gilt.

13.3 Kopien in Backups werden nicht für andere Zwecke wiederhergestellt und im normalen Backup-Zyklus überschrieben (siehe Anlage B). Bis dahin bleiben sie durch diesen AVV geschützt.

13.4 Auf Verlangen des Kunden bestätigt Pomio schriftlich, dass die Löschung erfolgt ist.

14. Haftung

14.1 Die Haftung der Parteien aus diesem AVV unterliegt den Haftungsbeschränkungen der AGB (Artikel 18), soweit gesetzlich zulässig.

14.2 Nichts in diesem AVV beschränkt die Rechte betroffener Personen nach Artikel 82 DSGVO oder eine Haftung, die nach zwingendem Recht nicht beschränkt werden kann.

15. Laufzeit und Beendigung

15.1 Dieser AVV wird bei der Registrierung im Dienst akzeptiert, gilt ab Beginn der Testphase (und, ohne Testphase, ab Beginn des Abonnements) und bleibt in Kraft, solange Pomio Personenbezogene Kundendaten im Auftrag des Kunden verarbeitet.

15.2 Pflichten, die ihrer Natur nach über das Ende dieses AVV hinaus fortbestehen sollen, wie Vertraulichkeit, Löschung und Haftung, bleiben in Kraft.

16. Rangfolge

16.1 Bei Widersprüchen zwischen diesem AVV und den AGB hinsichtlich der Verarbeitung Personenbezogener Kundendaten geht dieser AVV vor. Standardvertragsklauseln gehen, soweit anwendbar, diesem AVV vor.

17. Änderungen und Versionen

17.1 Jede Fassung dieses AVV hat eine Versionskennung. Bei der Annahme speichert Pomio: die Versionskennung, einen Prüfwert (Hash) des akzeptierten Textes, den Nutzer, der für den Kunden akzeptiert, und den Zeitpunkt der Annahme. Website und Dienst verwenden dieselbe Fassung dieses AVV.

17.2 Pomio darf diesen AVV ändern, wenn dies wegen Gesetzesänderungen, Leitlinien von Aufsichtsbehörden oder Änderungen am Dienst oder an den Unterauftragsverarbeitern erforderlich ist. Wesentliche Änderungen werden mit angemessener Frist im Voraus angekündigt. Änderungen dürfen das nach der DSGVO erforderliche Schutzniveau Personenbezogener Kundendaten nicht senken.

18. Anwendbares Recht und Streitigkeiten

18.1 Dieser AVV unterliegt niederländischem Recht. Streitigkeiten werden dem zuständigen Gericht gemäß Artikel 20 der AGB vorgelegt.

18.2 Dieser AVV ist auf Niederländisch, Englisch und Deutsch verfügbar. Bei Abweichungen zwischen Sprachfassungen ist der niederländische Text maßgeblich.

Anlage A — Beschreibung der Verarbeitung

Punkt	Beschreibung
Kategorien betroffener Personen	Nutzer des Kunden (Beschäftigte und andere vom Kunden befugte Personen); Ansprechpartner von Leads, Interessenten, Kunden, Lieferanten und anderen Geschäftsbeziehungen des Kunden; andere Personen, deren Daten der Kunde in den Dienst eingibt.
Arten personenbezogener Daten	Identifikations- und Kontaktdaten (Name, Funktion, Unternehmen, geschäftliche E-Mail-Adresse, Telefonnummer, Adressdaten wie vom Kunden eingegeben); CRM-Inhalte (Notizen, Aktivitäten, Aufgaben, Deals, Pipeline- und Vertriebsdaten, aus dem Dienst versandte Kommunikation); Nutzerkontodaten (Name, E-Mail-Adresse, Rolle und Berechtigungen, Authentifizierungsdaten, MFA-Status); Nutzungs- und Protokolldaten (Audit-Trail von Aktionen, IP-Adresse und technische Metadaten).
Besondere Kategorien personenbezogener Daten	Nicht vorgesehen. Der Kunde gibt keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO) oder Daten über strafrechtliche Verurteilungen (Artikel 10 DSGVO) in den Dienst ein, es sei denn, er hat dafür eine Rechtsgrundlage und hat selbst geeignete Maßnahmen getroffen.
Art der Verarbeitung	Erheben, Erfassen, Organisieren, Ordnen, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung (einschließlich des Versands von E-Mails auf Weisung von Nutzern), Abgleichen, Verknüpfen, Einschränken, Löschen und Vernichten, jeweils über den Dienst.
Zweck der Verarbeitung	Bereitstellung, Hosting, Wartung, Sicherung und Support des Dienstes für den Kunden, einschließlich Backups, Monitoring und Vorfallbearbeitung.
Dauer und Aufbewahrung	Während der Laufzeit des Abonnements oder der Testphase; danach während der Exportfrist und der Aufbewahrungsfrist, gefolgt von kontrollierter Löschung (Artikel 13). Backups folgen dem Zyklus in Anlage B.
Häufigkeit	Fortlaufend, solange der Dienst genutzt wird.

Anlage B — Technische und organisatorische Maßnahmen

Mandantentrennung: Jede Kundenumgebung (Mandant) ist logisch getrennt; Zugriffsregeln werden serverseitig und in den Datenbankregeln durchgesetzt, nicht nur in der Benutzeroberfläche.
Zugriffskontrolle: rollenbasierte Berechtigungen pro Mandant; die Administratoren des Kunden verwalten Nutzer und Rollen; ein Nutzer hat nur Zugriff auf die Mandanten, deren aktives Mitglied er ist.
Authentifizierung: persönliche Konten mit Passwörtern; Multi-Faktor-Authentifizierung (TOTP) ist verfügbar.
Audit-Trail: relevante Aktionen im Dienst werden pro Mandant in einem Audit-Trail protokolliert.
Verschlüsselung: Daten bei der Übertragung werden mit TLS verschlüsselt; gespeicherte Daten werden standardmäßig vom Hosting-Anbieter (Google Cloud) verschlüsselt.
Verwaltung von Geheimnissen: API-Schlüssel und andere Geheimnisse werden in einem Secret Manager aufbewahrt und nicht im Quellcode gespeichert.
Hosting-Standort (Produktionsumgebung): Die primäre Datenbank (Cloud Firestore) und die CRM-Dateien werden in der Region europe-west4 (Niederlande) gespeichert. Mandantenlogos werden in der Region us-east1 (Vereinigte Staaten) gespeichert; dieser Speicher enthält keine Kundendokumente. Der Großteil der Anwendungsfunktionen (Cloud Functions) läuft in der Region us-central1 (Vereinigte Staaten), darunter die Funktionen für Abrechnung, Mailbox, Datenschutzanfragen, Testphase (Trial), Kommunikation, Dokumente, das Herunterladen von CRM-Dateien, Stripe-Webhooks und Benutzerverwaltung; die übrigen Funktionen laufen in der Region europe-west4 (Niederlande). Die Funktionen in us-central1 verarbeiten personenbezogene Daten, beim Herunterladen auch den Inhalt von CRM-Dateien, während der Ausführung in den Vereinigten Staaten. Personenbezogene Daten werden somit in der EU gespeichert, aber teilweise in den Vereinigten Staaten verarbeitet. Die Authentifizierung (Firebase Authentication) wird in den Vereinigten Staaten verarbeitet. Der Dienst wird über das weltweite CDN von Firebase Hosting bereitgestellt; Systemprotokolle (Google Cloud Logging) werden an einem globalen Standort gespeichert. Pomio bietet keine vollständige Datenspeicherung oder -verarbeitung innerhalb der EU an. Siehe Anlage D.
Backups und Wiederherstellung: Point-in-Time-Recovery der Datenbank für 7 Tage, tägliche Backups mit einer Aufbewahrungsfrist von 7 Tagen und wöchentliche Backups mit einer Aufbewahrungsfrist von 84 Tagen (12 Wochen). Laut der Dokumentation von Google werden Backups der Datenbank in derselben Region wie die Datenbank gespeichert (europe-west4). Löschschutz für die Produktionsdatenbank; Wiederherstellungsverfahren wurden getestet.
Monitoring: logbasiertes Monitoring und Alarmierung bei Fehlern und ungewöhnlichen Ereignissen in der Produktionsumgebung.
Getrennte Umgebungen: Entwicklungs- und Testumgebungen sind von der Produktion getrennt.
Datenschutzfunktionen: Funktionen für Aufbewahrungsrichtlinien, Legal Holds und Anträge betroffener Personen (Export, Berichtigung, Löschung) für autorisierte Administratoren.
Organisatorische Maßnahmen: Vertraulichkeit, Zugriff auf Produktionsdaten nur soweit erforderlich, Änderungen an der Produktion nur nach Prüfung und Freigabe.

Anlage C — Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Personenbezogene Daten	Standort
Google (Google Cloud / Firebase), Google Cloud EMEA Limited (Irland)	Hosting, Datenbank (Cloud Firestore), Anwendungsfunktionen, Authentifizierung, Dateispeicherung, Verwaltung von Geheimnissen, Protokollierung und Monitoring	Alle Personenbezogenen Kundendaten	Speicherung von Datenbank, Backups (laut Google-Dokumentation) und CRM-Dateien: EU (europe-west4, Niederlande). Mandantenlogos: Vereinigte Staaten (us-east1). Anwendungsfunktionen: größtenteils Vereinigte Staaten (us-central1; u. a. Abrechnung, Mailbox, Datenschutzanfragen, Trial, Kommunikation, Dokumente, Herunterladen von CRM-Dateien, Stripe-Webhooks, Benutzerverwaltung), übrige EU (europe-west4); Verarbeitung personenbezogener Daten, einschließlich des Inhalts von CRM-Dateien beim Herunterladen, in den USA. Authentifizierung: Vereinigte Staaten. Hosting: weltweites CDN. Protokollierung: globaler Standort. Weiterübermittlung an Google LLC (USA) als Unterauftragsverarbeiter von Google: siehe Anlage D.
Resend (Plus Five Five, Inc.)	Versand transaktionaler E-Mails aus dem Dienst, einschließlich E-Mails, die Nutzer aus dem CRM versenden	E-Mail-Adressen und Namen der Empfänger, Nachrichteninhalte und Zustellmetadaten	Vereinigte Staaten: Speicherung und primäre Verarbeitung (einschließlich Nachrichteninhalten und Zustellprotokollen) gemäß den Bedingungen von Resend. Die Versandregion bestimmt nur den Weg, über den E-Mails versendet werden, nicht den Speicherort der Daten. Siehe Anlage D.
Google (Google Workspace), Google Cloud EMEA Limited (Irland)	Geschäftliche E-Mail von Pomio, einschließlich des Support-Postfachs	Personenbezogene Kundendaten, die in der Support-Korrespondenz geteilt werden, etwa Namen, Kontaktdaten und Nachrichteninhalte	Auf Grundlage der Standardbedingungen von Google. Keine Datenregion festgelegt; eine Verarbeitung kann auch in den USA und anderen Ländern erfolgen (siehe Anlage D).
Typeform SL (Barcelona, Spanien)	Support-Formular von Pomio	Personenbezogene Kundendaten, die Nutzer in einer Supportanfrage oder einem Anhang teilen, etwa Namen, Kontaktdaten, Screenshots und Nachrichteninhalte	Speicherung standardmäßig in den Vereinigten Staaten (Amazon Web Services, Virginia) über die Unterauftragsverarbeiter von Typeform. Siehe Anlage D.

Keine Unterauftragsverarbeiter für Personenbezogene Kundendaten (Pomio ist für diese Daten Verantwortlicher, siehe Datenschutzerklärung): Stripe (Zahlungen), WeFact (Rechnungsstellung), Typeform (übrige Formulare auf der Marketing-Website), Cloudflare (Marketing-Website, DNS und die Turnstile-Bot-Prüfung bei der Registrierung im Dienst). VIES, das MwSt.-Prüfsystem der Europäischen Kommission, ist eine externe öffentliche Quelle und kein Unterauftragsverarbeiter.

Da Supportanfragen Personenbezogene Kundendaten enthalten können, sind Google Workspace und Typeform oben als Unterauftragsverarbeiter aufgeführt.

Anlage D — Internationale Übermittlungen

Empfänger	Land	Garantie (Kapitel V DSGVO)
Google LLC (USA), Unterauftragsverarbeiter von Google Cloud EMEA Limited für Google Cloud / Firebase (und Google Workspace): der Großteil der Anwendungsfunktionen in us-central1 (einschließlich der Verarbeitung des Inhalts von CRM-Dateien beim Herunterladen), Speicherung von Mandantenlogos in us-east1 und Firebase Authentication; bei Firebase Hosting (weltweites CDN), Cloud Logging (globaler Standort) und Google Workspace ist auch eine Verarbeitung an anderen Standorten von Google möglich	Vereinigte Staaten; bei Firebase Hosting, Cloud Logging und Google Workspace möglicherweise auch andere Länder	EU-US Data Privacy Framework (Angemessenheitsbeschluss (EU) 2023/1795; Google LLC ist zertifiziert, siehe dataprivacyframework.gov/list), angewandt als Alternative Transfer Solution von Google (cloud.google.com/terms/alternative-transfer-solution); als Rückfalllösung Standardvertragsklauseln (Beschluss (EU) 2021/914, Modul 3, Auftragsverarbeiter an Auftragsverarbeiter) zwischen Google und seinen Unterauftragsverarbeitern gemäß dem Cloud Data Processing Addendum (cloud.google.com/terms/sccs/eu-p2p-google-exporter).
Resend (Plus Five Five, Inc.)	Vereinigte Staaten	Standardvertragsklauseln (Beschluss (EU) 2021/914), aufgenommen in den AVV von Resend; die Standardvertragsklauseln sind die primäre Garantie; das EU-US Data Privacy Framework gilt ergänzend, soweit die Zertifizierung von Resend aktiv ist (www.dataprivacyframework.gov/list)
Typeform SL, mit Speicherung bei ihren Unterauftragsverarbeitern in den Vereinigten Staaten (einschließlich Amazon Web Services)	Vereinigte Staaten	Standardvertragsklauseln (Beschluss (EU) 2021/914, Modul 3: Auftragsverarbeiter an Auftragsverarbeiter), die Typeform nach ihrem AVV (www.typeform.com/dpa/) mit diesen Unterauftragsverarbeitern schließt; Typeform ist nicht unter dem EU-US Data Privacy Framework zertifiziert

Kontakt für Datenschutzfragen und Anträge nach diesem AVV: über [email protected] oder die Kontaktseite.

Ende des AVV (DE).