Vereinbarung über die Auftragsverarbeitung

gemäß Art. 28 der Verordnung (EU) 2016/679 (DSGVO)

Fassung 1.0 – Juli 2026 | abrufbar unter panda-marketing.at/avv

zwischen

| Verantwortlicher (Auftraggeber) | Auftragsverarbeiter (Agentur) |

|—|—|

| Der Auftraggeber gemäß dem zwischen den Parteien geschlossenen Dienstleistungsvertrag („Hauptvertrag“), vertreten wie im Hauptvertrag bezeichnet. | Panda Marketing GmbH Unterer Stadtplatz 11 6330 Kufstein, Österreich [FN 678357i, Landesgericht Innsbruck] [UID: ATU83295729] christopher@panda-marketing.at |

– Verantwortlicher und Auftragsverarbeiter gemeinsam die „Parteien“ –

Diese Vereinbarung („AVV“) ergänzt den zwischen den Parteien geschlossenen Dienstleistungsvertrag über Leistungen zur Neukundengewinnung und zum Online-Marketing („Hauptvertrag“, z. B. Neukundenpaket Starter oder Premium) und konkretisiert die datenschutzrechtlichen Pflichten der Parteien. Sie wird gemäß dem Hauptvertrag durch dessen Unterzeichnung angenommen; einer gesonderten Unterzeichnung dieser Vereinbarung bedarf es nicht (Art. 28 Abs. 9 DSGVO).

§ 1 Gegenstand und Dauer der Verarbeitung

1. Der Auftragsverarbeiter erbringt für den Verantwortlichen Leistungen zur Neukundengewinnung, insbesondere die Erstellung und den Betrieb von Landingpages/Funnels, das Schalten und Optimieren von Werbeanzeigen auf Meta-Plattformen (Facebook, Instagram) einschließlich Meta Lead Ads sowie die Erhebung und Übermittlung von Interessentendaten („Leads“) an den Verantwortlichen. Dabei verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag und nach Weisung des Verantwortlichen.

2. Gegenstand, Art und Zweck der Verarbeitung, die Kategorien personenbezogener Daten sowie die Kategorien betroffener Personen sind in Anlage 1 beschrieben.

3. Die Dauer dieser Vereinbarung entspricht der Laufzeit des Hauptvertrags. Die Pflichten zur Löschung bzw. Rückgabe nach § 10 gelten über das Vertragsende hinaus.

§ 2 Art der Daten und besondere Kategorien

1. Verarbeitet werden ausschließlich die in Anlage 1 genannten Datenkategorien, insbesondere Kontakt- und Interessensdaten von Lead-Personen sowie technische Nutzungsdaten der Funnel-Seiten.

2. Besondere Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO (insbesondere Gesundheitsdaten wie Angaben zu Hautzuständen, Hauterkrankungen oder medizinischen Behandlungswünschen) sind nicht Gegenstand dieser Vereinbarung und werden in Lead-Formularen und Funnels nicht abgefragt. Wünscht der Verantwortliche die Abfrage solcher Daten, bedarf dies einer gesonderten schriftlichen Vereinbarung, der Festlegung geeigneter Garantien sowie der Einholung einer ausdrücklichen Einwilligung der betroffenen Personen im Formular selbst. Ohne eine solche Vereinbarung ist der Auftragsverarbeiter berechtigt, entsprechende Weisungen abzulehnen.

3. Video- oder Audioaufzeichnungen von Besprechungen mit dem Verantwortlichen oder dessen Mitarbeitern (z. B. über Fathom) erfolgen nur nach vorheriger, dokumentierter Einwilligung der Teilnehmenden. Die Einwilligung wird zu Beginn der Aufzeichnung eingeholt und ist Teil der Aufzeichnung; zusätzlich wird in der Termineinladung auf die Aufzeichnung hingewiesen.

§ 3 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, sofern er nicht durch das Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet ist; in einem solchen Fall teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht dies nicht verbietet.

2. Der Hauptvertrag und diese Vereinbarung gelten als dokumentierte Grundweisung. Weitere Weisungen erfolgen in Textform (E-Mail ausreichend) an christopher@panda-marketing.at.

3. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzbestimmungen verstößt. Er ist berechtigt, die Durchführung der betreffenden Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.

§ 4 Vertraulichkeit

1. Der Auftragsverarbeiter setzt für die Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitspflicht besteht über das Ende des jeweiligen Beschäftigungs- bzw. Auftragsverhältnisses und über das Ende dieser Vereinbarung hinaus fort.

2. Setzt der Auftragsverarbeiter freie Mitarbeiter mit Zugriff auf personenbezogene Daten ein, stellt er durch vertragliche und technische Maßnahmen sicher, dass der Zugriff – auch bei Tätigkeit aus Drittländern – nur über gesicherte, zugriffskon­trollierte Systeme erfolgt und die Anforderungen des Kapitels V der DSGVO eingehalten werden.

§ 5 Technische und organisatorische Maßnahmen

1. Der Auftragsverarbeiter trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen gemäß Art. 32 DSGVO und gewährleistet deren Einhaltung für die Dauer der Verarbeitung.

2. Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf alternative adäquate Maßnahmen umsetzen, sofern das Sicherheitsniveau der festgelegten Maßnahmen nicht unterschritten wird. Wesentliche Änderungen werden dokumentiert.

§ 6 Subauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Einschaltung der in Anlage 3 genannten Subauftragsverarbeiter.

2. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung von Subauftragsverarbeitern mindestens 30 Tage im Voraus in Textform. Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund binnen 14 Tagen widersprechen. Kommt keine einvernehmliche Lösung zustande, steht beiden Parteien ein Sonderkündigungsrecht hinsichtlich des Hauptvertrags zu.

3. Der Auftragsverarbeiter verpflichtet Subauftragsverarbeiter vertraglich auf ein Datenschutzniveau, das den Pflichten dieser Vereinbarung im Wesentlichen entspricht. Er haftet dem Verantwortlichen gegenüber für die Einhaltung der Pflichten durch die Subauftragsverarbeiter.

4. Erfolgt eine Verarbeitung in einem Drittland außerhalb des EWR, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen des Kapitels V der DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss (z. B. EU-US Data Privacy Framework) oder den Abschluss von EU-Standardvertragsklauseln, erforderlichenfalls ergänzt um zusätzliche Schutzmaßnahmen.

§ 7 Unterstützung bei Betroffenenrechten

1. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung der Rechte betroffener Personen nach Kapitel III der DSGVO (insbesondere Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit).

2. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Ersuchen unverzüglich, spätestens binnen 5 Werktagen, an den Verantwortlichen weiter und beantwortet es nicht selbst, es sei denn, der Verantwortliche weist ihn dazu an.

§ 8 Meldepflichten und weitere Unterstützung

1. Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieser Vereinbarung verarbeitet werden, unverzüglich nach Bekanntwerden, spätestens jedoch binnen 48 Stunden. Die Meldung enthält, soweit verfügbar, die Angaben nach Art. 33 Abs. 3 DSGVO.

2. Der Auftragsverarbeiter unterstützt den Verantwortlichen unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).

3. Meldungen an die Aufsichtsbehörde oder Benachrichtigungen betroffener Personen nimmt ausschließlich der Verantwortliche vor, sofern er den Auftragsverarbeiter nicht ausdrücklich damit beauftragt.

§ 9 Pflichten des Verantwortlichen; Datenschutzinformationen auf den Funnel-Seiten

1. Der Verantwortliche ist im Verhältnis der Parteien für die Rechtmäßigkeit der Verarbeitung (Art. 6 DSGVO) sowie für die Wahrung der Informationspflichten (Art. 13, 14 DSGVO) gegenüber den betroffenen Personen verantwortlich.

2. Die Parteien stellen die Informationspflichten auf den vom Auftragsverarbeiter betriebenen Funnel-Seiten wie folgt sicher: Der Auftragsverarbeiter erstellt und pflegt auf jeder Funnel-Seite eine Datenschutzerklärung und ein Impressum auf Basis eines standardisierten Templates und bindet ein Consent-Management für Cookies und Tracking technisch ein. Der Verantwortliche stellt hierfür die erforderlichen Angaben (insbesondere Firmierung, Anschrift, Kontaktdaten, ggf. UID) vollständig und richtig zur Verfügung, prüft die bereitgestellten Texte vor Kampagnenstart und gibt sie frei. Für die Richtigkeit und Vollständigkeit der von ihm bereitgestellten Angaben bleibt der Verantwortliche verantwortlich; für die technisch korrekte Einbindung und den Betrieb ist der Auftragsverarbeiter verantwortlich.

3. Nach Übermittlung der Leads an den Verantwortlichen ist dieser für die weitere Verarbeitung (insbesondere Kontaktaufnahme, Terminvereinbarung, Speicherung in eigenen Systemen, eigene Buchungstools) allein verantwortlich. Die Übermittlung erfolgt über die in Anlage 1 beschriebenen Wege.

4. Der Verantwortliche benennt dem Auftragsverarbeiter eine für Datenschutzfragen zuständige Kontaktperson.

§ 10 Löschung und Rückgabe

1. Nach Beendigung des Hauptvertrags gibt der Auftragsverarbeiter nach Wahl des Verantwortlichen alle im Auftrag verarbeiteten personenbezogenen Daten heraus oder löscht sie, spätestens jedoch 90 Tage nach Vertragsende, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Bestehende Backups werden im Rahmen der regulären Backup-Zyklen der eingesetzten Systeme überschrieben.

2. Die Löschung umfasst insbesondere Lead-Daten in Funnel- und Automatisierungssystemen (GoHighLevel, Make) sowie lokal oder in Kommunikationskanälen gespeicherte Lead-Listen. Auf Anfrage bestätigt der Auftragsverarbeiter die Löschung schriftlich.

3. Während der Vertragslaufzeit werden Lead-Daten beim Auftragsverarbeiter nur so lange vorgehalten, wie es für die Leistungserbringung (Übermittlung, Kampagnenoptimierung, Reporting) erforderlich ist, längstens jedoch 6 Monate ab Erhebung.

§ 11 Nachweise und Kontrollrechte

1. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung. Der Nachweis kann insbesondere durch Vorlage dieser Vereinbarung samt Anlagen, der Verträge mit Subauftragsverarbeitern, geeigneter Zertifizierungen oder aussagekräftiger Eigenauskünfte erbracht werden.

2. Der Verantwortliche ist berechtigt, nach angemessener Vorankündigung (mindestens 14 Tage) während der üblichen Geschäftszeiten Überprüfungen durchzuführen oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen zu lassen, höchstens einmal pro Vertragsjahr, sofern kein konkreter Anlass eine weitere Prüfung erfordert.

§ 12 Haftung

1. Für die Haftung der Parteien gelten Art. 82 DSGVO sowie die Haftungsregelungen des Hauptvertrags, soweit diese der zwingenden datenschutzrechtlichen Haftung nicht widersprechen.

§ 13 Schlussbestimmungen

1. Es gilt österreichisches Recht unter Ausschluss der Kollisionsnormen. Der Gerichtsstand richtet sich nach der Gerichtsstandsvereinbarung des Hauptvertrags; fehlt eine solche, wird die Zuständigkeit der Gerichte in Kufstein (Österreich) vereinbart. Diese Gerichtsstandsvereinbarung ist nicht ausschließlich; zwingende gesetzliche Gerichtsstände bleiben unberührt.

2. Hat der Verantwortliche seinen Sitz in der Schweiz, gelten die Bestimmungen dieser Vereinbarung sinngemäß auch nach Maßgabe des revidierten Schweizer Datenschutzgesetzes (revDSG). Verweise auf die DSGVO gelten insoweit zugleich als Verweise auf die entsprechenden Bestimmungen des revDSG; zuständige Aufsichtsbehörde ist insoweit der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte (EDÖB). Soweit die Verarbeitung zugleich in den Anwendungsbereich der DSGVO fällt (Art. 3 DSGVO), gelten beide Rechtsordnungen nebeneinander.

3. Bei Widersprüchen zwischen dieser Vereinbarung und dem Hauptvertrag gehen hinsichtlich der Verarbeitung personenbezogener Daten die Bestimmungen dieser Vereinbarung vor.

4. Sollten einzelne Bestimmungen dieser Vereinbarung unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen Bestimmung gilt eine Regelung, die dem wirtschaftlich Gewollten am nächsten kommt.

Diese Vereinbarung gilt mit Unterzeichnung des Hauptvertrags durch beide Parteien als angenommen und abgeschlossen. Maßgeblich ist die im Hauptvertrag bezeichnete Fassung.

Anlage 1 – Beschreibung der Verarbeitung

Gegenstand und Zweck der Verarbeitung

• Erstellung, Hosting und Betrieb von Landingpages/Funnels (GoHighLevel) auf Subdomains der Domain termin-buchen.com für den Verantwortlichen.

• Schaltung und Optimierung von Werbeanzeigen auf Meta-Plattformen einschließlich Meta Lead Ads.

• Erhebung von Interessentendaten (Leads) über Formulare auf Funnel-Seiten oder Meta Lead Ads.

• Übermittlung der Leads an den Verantwortlichen – automatisiert über Make (E-Mail bzw. Übergabe in Systeme des Verantwortlichen) oder, übergangsweise, manuell.

• Kampagnenoptimierung und Reporting auf Basis aggregierter bzw. pseudonymisierter Kennzahlen.

Kategorien personenbezogener Daten

• Kontaktdaten der Lead-Personen: Name, E-Mail-Adresse, Telefonnummer, ggf. PLZ/Ort.

• Interessensdaten: gewünschte Behandlungskategorie/Angebot (ohne Gesundheitsdaten, vgl. § 2 Abs. 2), Antwortdaten aus Qualifizierungsfragen.

• Kampagnen-Metadaten: Quelle, Kampagne, Anzeige, Zeitpunkt der Eintragung.

• Technische Daten der Funnel-Besucher: IP-Adresse, Geräte-/Browserinformationen, Cookie- und Consent-Daten.

• Kontakt- und Kommunikationsdaten des Verantwortlichen und seiner Mitarbeiter (inkl. Meeting-Aufzeichnungen nach § 2 Abs. 3).

Kategorien betroffener Personen

• Interessentinnen und Interessenten (Leads) des Verantwortlichen.

• Besucherinnen und Besucher der Funnel-Seiten.

• Inhaber und Mitarbeiter des Verantwortlichen.

Dauer der Verarbeitung

Laufzeit des Hauptvertrags zuzüglich der Fristen nach § 10 dieser Vereinbarung.

Anlage 2 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Zugangs- und Zugriffskontrolle

• Individuelle Benutzerkonten für alle Mitarbeiter; keine geteilten Logins.

• Rollen- und Berechtigungskonzept: Zugriff auf Kundendaten nur nach Erforderlichkeit (Need-to-know).

• Zwei-Faktor-Authentifizierung, soweit vom jeweiligen System unterstützt.

• Passwort-Richtlinie und Passwort-Manager; automatische Bildschirmsperre auf Arbeitsgeräten.

Übertragungs- und Transportkontrolle

• Verschlüsselte Übertragung (TLS) bei allen eingesetzten Systemen; Funnel-Seiten ausschließlich über HTTPS.

• Lead-Übermittlung an den Verantwortlichen vorrangig über automatisierte, zugriffskon­trollierte Wege (Make/E-Mail an definierte Empfängeradressen).

• Kein dauerhafter lokaler Download von Lead-Listen auf private Endgeräte.

Auftragskontrolle

• Abschluss von Auftragsverarbeitungsverträgen mit allen Subauftragsverarbeitern (Anlage 3).

• Vertrauliche Verpflichtung aller Mitarbeiter und freien Mitarbeiter; Datenschutz-Grundschulung.

• Bei Tätigkeit freier Mitarbeiter aus Drittländern: Zugriff ausschließlich über zugriffskon­trollierte Cloud-Systeme mit 2FA, keine lokale Datenspeicherung.

Verfügbarkeits- und Trennungskontrolle

• Datenhaltung in professionellen Cloud-Systemen mit anbieterseitigen Backup- und Redundanzkonzepten.

• Mandantentrennung: getrennte Subaccounts/Arbeitsbereiche je Kunde (u. a. in GoHighLevel), getrennte Subdomains je Funnel.

Lösch- und Wiederherstellungskonzept

• Löschung von Lead-Daten nach den Fristen in § 10; dokumentierte Löschung bei Vertragsende.

• Regelmäßige Überprüfung der Wirksamkeit der Maßnahmen, mindestens jährlich.

Anlage 3 – Genehmigte Subauftragsverarbeiter

| Unternehmen | Sitz / Datenverarbeitung | Zweck der Verarbeitung | Transfermechanismus |

|—|—|—|—|

| Meta Platforms Ireland Ltd. | Irland; Übermittlung an Meta Platforms Inc. (USA) möglich | Schaltung der Werbeanzeigen, Meta Lead Ads (Erhebung der Lead-Daten über Formulare) | EU-US Data Privacy Framework (DPF) |

| HighLevel Inc. (GoHighLevel / LeadConnector) | USA | Erstellung und Hosting der Landingpages/Funnels, Formularverarbeitung, Lead-Verwaltung | EU-Standardvertragsklauseln (SCCs) |

| Make (Celonis SE / make.com) | EU (Tschechien/Deutschland) | Automatisierte Weiterleitung der Leads an den Verantwortlichen | Verarbeitung in der EU |

| Google Ireland Ltd. (Google Workspace) | Irland; Übermittlung an Google LLC (USA) möglich | E-Mail-Kommunikation, Kalender- und Terminverwaltung, Dokumentenablage | DPF |

| Fathom Video Inc. | USA | Aufzeichnung, Transkription und Zusammenfassung von Video-Meetings mit dem Verantwortlichen (nur nach dokumentierter Einwilligung) | SCCs (DPA vom 30.04.2026) |

| Anthropic PBC (Claude) | USA | Interne Textverarbeitung und Analyse zur Leistungserbringung | DPF / SCCs |

| JotForm Inc. | USA (EU-Rechenzentrum wählbar) | Online-Formulare, sofern im Einzelfall eingesetzt | SCCs / EU-Hosting |

| n8n GmbH | Deutschland [Cloud- oder Self-Hosted-Betrieb: bitte prüfen] | Workflow-Automatisierung, sofern im Einzelfall eingesetzt | Verarbeitung in der EU |

| WhatsApp Ireland Ltd. (übergangsweise) | Irland; Übermittlung an Meta (USA) möglich | Übergangsweise Übermittlung von Leads an den Verantwortlichen; wird durch automatisierte Zustellung (Make/E-Mail) ersetzt | DPF |

Hinweis: Zahlungsdienstleister (Stripe, GoCardless) sowie PandaDoc und Close CRM verarbeiten keine Lead-Daten des Verantwortlichen und sind daher keine Subauftragsverarbeiter im Sinne dieser Vereinbarung; sie verarbeiten ausschließlich Vertrags- und Abrechnungsdaten des Verantwortlichen in eigener bzw. eigenständiger Verantwortung des Auftragsverarbeiters.

Stand: Juli 2026 – Fassung 1.0