SAYKI CRM
Auftragsverarbeitungsvertrag
Nach Art. 28 DSGVO · Fassung vom 29.10.2026
rechtliches/angaben.json. Die Lücken sind im Text markiert.
Prüfen mit node rechtstexte-pruefen.js.
zwischen dem Kunden als Verantwortlichem und [noch einzutragen: anbieter.name], [noch einzutragen: anbieter.strasse], [noch einzutragen: anbieter.plz] [noch einzutragen: anbieter.ort], als Auftragsverarbeiter. Der Vertrag kommt mit der Zustimmung bei der Registrierung zustande; der Zeitpunkt und die Fassung werden gespeichert.
1. Gegenstand und Dauer
Der Auftragsverarbeiter betreibt für den Verantwortlichen die Software SAYKI CRM und verarbeitet dabei die unten genannten Daten. Der Vertrag gilt, solange der Nutzungsvertrag besteht, und darüber hinaus bis zur Löschung aller Daten nach Nr. 10.
2. Art, Zweck, Daten und Betroffene
| Zweck | Verwaltung von Kundenbeziehungen (CRM): Unternehmen und Ansprechpartner, Leads, Verkaufschancen, Aufgaben und Termine, Notizen zu Gesprächen, Angebote, Berichte, Import und Export |
|---|---|
| Betroffene | Ansprechpartner von Kunden, Interessenten, Partnern und Lieferanten des Verantwortlichen; Personen, die als Lead erfasst sind – auch über das Web-Formular des Verantwortlichen (Anfragen von seiner Website); Nutzer der Software beim Verantwortlichen |
| Daten | Name, Anrede, Titel, Firma, Position, geschäftliche Kontaktdaten (E-Mail-Adresse, Telefon, Mobilnummer, Anschrift), Geburtstag (freiwillig), Einwilligung in Werbung mit Nachweis, Herkunft eines Leads, Verkaufschancen mit Wert und Phase, Angebote mit Positionen und Preisen, Notizen zu Gesprächen, Aufgaben und Termine, Zuständigkeit; Anmeldedaten der Zugänge |
| Besondere Kategorien (Art. 9 DSGVO) | Nicht vorgesehen. Der Verantwortliche trägt in Notizen und Freitextfelder keine besonderen Kategorien personenbezogener Daten ein. |
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Weisungen sind in diesem Vertrag und in der Bedienung der Software festgelegt (z. B. Eintragen, Ändern, Exportieren, Löschen). Hält er eine Weisung für rechtswidrig, sagt er das unverzüglich.
4. Vertraulichkeit
Alle Personen, die beim Auftragsverarbeiter Zugang zu den Daten haben könnten, sind zur Vertraulichkeit verpflichtet. Der Betreiberbereich zeigt nur Rahmendaten (Firmenname, Tarif, Anzahl der Zugänge), keine Kunden- oder Kontaktdaten.
Ein Zugriff auf Inhalte zu Supportzwecken erfolgt nur nach ausdrücklicher Freigabe durch den Verantwortlichen: Der Auftragsverarbeiter fragt in der Software mit Grund und gewünschter Dauer an; der Inhaber des Kundenkontos gibt frei oder lehnt ab. Ohne Freigabe besteht kein Zugriff, eine unbeantwortete Anfrage verfällt nach sieben Tagen. Der freigegebene Zugriff ist auf die angefragte Dauer begrenzt (höchstens 72 Stunden), für den Verantwortlichen jederzeit sichtbar und von ihm jederzeit zu beenden. Ein Export der Daten ist dabei nicht möglich. Anfrage, Freigabe, Ablehnung, Beginn und Ende werden protokolliert.
5. Sicherheit
Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in der Anlage TOM beschrieben sind. Er darf sie weiterentwickeln, wenn das Schutzniveau nicht sinkt.
6. Unterauftragsverarbeiter
Der Verantwortliche genehmigt die folgenden Unterauftragsverarbeiter:
| Unternehmen | Zweck | Standort | Grundlage bei Drittland |
|---|---|---|---|
| IONOS SE, Elgendorfer Straße 57, 56410 Montabaur | Server-Hosting (Rechenzentrum, Datenbank, Sicherungen) | Rechenzentrum innerhalb der EU | — |
| Resend, Inc. | Versand von E-Mails (Bestätigung, Einladung, Bescheid, Kontaktformular) | EU-Region; Anbieter mit Sitz in den USA | EU-Standardvertragsklauseln |
Stripe ist kein Unterauftragsverarbeiter: Es verarbeitet nur die Abrechnungsdaten des Kunden, als eigener Verantwortlicher, und keine Daten aus dem CRM. Einen eigenen KI-Dienst setzt der Auftragsverarbeiter nicht ein.
KI-Funktionen auf Weisung: Trägt der Verantwortliche einen eigenen API-Schlüssel von Mistral AI SAS (Paris, Frankreich) ein und stimmt der Übermittlung zu, übermittelt der Auftragsverarbeiter bei jedem Klick auf einen KI-Knopf die Inhalte des jeweiligen Datensatzes und seines Verlaufs an Mistral – ohne E-Mail-Adressen, Telefonnummern, Geburtstage und Einwilligungsnachweise. Dies ist eine dokumentierte Weisung des Verantwortlichen. Mistral wird dabei auf Grund eines eigenen Vertrags des Verantwortlichen für diesen tätig und ist kein Unterauftragsverarbeiter des Auftragsverarbeiters; den Vertrag zur Auftragsverarbeitung mit Mistral schließt der Verantwortliche selbst. Der Auftragsverarbeiter speichert den Schlüssel verschlüsselt, gibt ihn nicht heraus, protokolliert nur, dass und wofür die KI genutzt wurde (ohne Inhalte), und beendet die Übermittlung sofort, wenn der Verantwortliche den Schlüssel entfernt.
Kalender-Abos und Tagesübersicht: Erlaubt der Verantwortliche Kalender-Abos, ruft der Kalenderdienst eines Nutzers (z. B. Google, Microsoft, Apple) über eine geheime Adresse dessen eigene Termine und Aufgaben ab (Betreff, Ort, Firmenname – keine Telefonnummern oder E-Mail-Adressen). Das geschieht auf Weisung des Verantwortlichen; der Kalenderdienst ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Die freiwillige Tagesübersicht per E-Mail enthält Betreff, Fälligkeit und Firmenname der eigenen Aufgaben und geht über den E-Mail-Dienstleister des Auftragsverarbeiters.
E-Mail-Versand auf Weisung: Richtet der Verantwortliche sein eigenes E-Mail-Postfach ein (Postausgangsserver seines Anbieters), versendet der Auftragsverarbeiter E-Mails, die Nutzer des Verantwortlichen im CRM schreiben und absenden, über dieses Postfach – samt Angebot als PDF, wenn gewählt. Der E-Mail-Anbieter wird auf Grund eines eigenen Vertrags des Verantwortlichen tätig und ist kein Unterauftragsverarbeiter des Auftragsverarbeiters. Zugangsdaten speichert der Auftragsverarbeiter verschlüsselt und gibt sie nicht heraus; Massenversand ist technisch begrenzt.
Einen neuen oder anderen Unterauftragsverarbeiter kündigt der Auftragsverarbeiter vorher per E-Mail an; der Verantwortliche kann innerhalb von 14 Tagen aus wichtigem datenschutzrechtlichem Grund widersprechen und, wenn keine Lösung gefunden wird, den Vertrag kündigen.
7. Rechte der Betroffenen
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Auskunft, Berichtigung, Löschung und Datenübertragbarkeit. Dafür stehen in der Software das Ändern und Löschen von Einträgen und der vollständige Export (JSON und CSV) bereit. Anfragen, die direkt beim Auftragsverarbeiter eingehen, leitet er an den Verantwortlichen weiter.
Er unterstützt den Verantwortlichen außerdem bei einer Datenschutz-Folgenabschätzung und einer vorherigen Konsultation der Aufsichtsbehörde (Art. 35 und 36 DSGVO), insbesondere mit den Angaben aus diesem Vertrag und der Anlage TOM.
8. Meldung von Verletzungen
Eine Verletzung des Schutzes der Daten meldet der Auftragsverarbeiter dem Verantwortlichen unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit bekannt. Er unterstützt bei Meldungen an die Aufsichtsbehörde und an Betroffene.
9. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Anmeldung mit angemessener Frist.
10. Rückgabe und Löschung
Der Verantwortliche kann jederzeit alle Daten exportieren. Nach Ende der Testphase oder des Nutzungsvertrags bleiben die Daten 90 Tage lesbar und exportierbar; der Auftragsverarbeiter kündigt die Löschung bei Beginn der Frist und sieben Tage vor ihrem Ablauf per E-Mail an und löscht die Daten danach. Verlangt der Verantwortliche in Textform eine vorzeitige Löschung, entfernt der Auftragsverarbeiter die Daten unverzüglich aus dem laufenden System. In den eigenen täglichen Sicherungen sind gelöschte Daten danach noch bis zu 30 Tage enthalten; die Serversicherung des Hosting-Anbieters hält die letzten 30 Sicherungen vor und überschreibt danach jeweils die älteste.
11. Haftung und Schluss
Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag den AGB vor.