Auftragsverarbeitungsvertrag (AVV)

3.1 — Doppelrolle von ENROW

Die Parteien erkennen an, dass ENROW in zwei unterschiedlichen Rollen handelt:

(a) Unabhängiger Verantwortlicher: ENROW handelt als Verantwortlicher in Bezug auf die personenbezogenen Daten, die es in seiner eigenen Anreicherungsdatenbank erhebt, aggregiert und pflegt (berufliche E-Mail-Adressen, Telefonnummern, LinkedIn-Profile, Unternehmensinformationen). Diese Verarbeitung stützt sich auf das berechtigte Interesse von ENROW (Artikel 6 Abs. 1 lit. f DSGVO), das in einer jährlich überprüften LIA dokumentiert ist.

(b) Auftragsverarbeiter: ENROW handelt als Auftragsverarbeiter im Sinne von Artikel 28 DSGVO, wenn es Kundendaten (vom Kunden zur Anreicherung übermittelte Daten) im Auftrag und nach Weisung des Kunden verarbeitet.

3.2 — Der Kunde als Verantwortlicher

Der Kunde handelt als Verantwortlicher in Bezug auf:

• die Kundendaten, die er ENROW zur Anreicherung übermittelt;
• seine Nutzung der vom Dienst zurückgelieferten angereicherten Daten.

Der Kunde entscheidet allein über die Zwecke und Mittel seiner Nutzung der angereicherten Daten nach Abschluss des Dienstes und ist allein für die Einhaltung seiner diesbezüglichen Pflichten aus der DSGVO und dem französischen Datenschutzgesetz (Loi Informatique et Libertés) verantwortlich.

5.1 — Weisungen des Kunden

ENROW verarbeitet Kundendaten ausschließlich nach den dokumentierten Weisungen des Kunden. Diese AGB und dieser AVV bilden die anfänglichen Weisungen des Kunden. Zusätzliche Weisungen sind schriftlich zu übermitteln (per E-Mail an dpo@enrow.io).

Ist ENROW der Auffassung, dass eine Weisung gegen die DSGVO oder eine sonstige anwendbare Vorschrift verstößt, informiert es den Kunden unverzüglich schriftlich.

5.2 — Vertraulichkeit

ENROW gewährleistet, dass die zur Verarbeitung personenbezogener Daten befugten Personen sich zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugang erhalten nur diejenigen Personen, deren Zugriff für die Erbringung des Dienstes zwingend erforderlich ist.

5.3 — Sicherheit der Verarbeitung

ENROW trifft geeignete technische und organisatorische Maßnahmen, um ein dem Risiko angemessenes Schutzniveau zu gewährleisten, gemäß Artikel 32 DSGVO. Diese Maßnahmen sind in Anlage 2 zu diesem AVV beschrieben. ENROW überprüft die Wirksamkeit dieser Maßnahmen regelmäßig.

5.4 — Meldung von Datenschutzverletzungen

Im Falle einer Datenschutzverletzung, die Kundendaten betrifft, verpflichtet sich ENROW:

• den Kunden unverzüglich und in jedem Fall innerhalb von zweiundsiebzig (72) Stunden nach Kenntniserlangung zu benachrichtigen;
• folgende Informationen bereitzustellen: eine Beschreibung der Art der Verletzung (Kategorien und ungefähre Zahl der betroffenen Personen und Datensätze), wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen zur Behebung der Verletzung sowie die Kontaktdaten des DPO;
• die Verletzung in einem internen Register zu dokumentieren und mit dem Kunden zusammenzuarbeiten, um ihm die Erfüllung seiner eigenen Meldepflichten zu ermöglichen (Artikel 33 und 34 DSGVO);
• in seiner Eigenschaft als Verantwortlicher für die in seiner eigenen Anreicherungsdatenbank gespeicherten Daten die CNIL innerhalb von 72 Stunden zu benachrichtigen.

5.5 — Unterstützung des Kunden

ENROW unterstützt den Kunden, soweit dies unter Berücksichtigung der Art der Verarbeitung mit angemessenem Aufwand möglich ist, bei:

• der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte (Auskunft, Berichtigung, Löschung, Widerspruch, Übertragbarkeit, Einschränkung);
• der Erfüllung seiner Pflichten aus den Artikeln 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung);
• der Beantwortung von Anfragen und Prüfungen einer Aufsichtsbehörde.

Erhält ENROW einen Antrag direkt von einer betroffenen Person in Bezug auf Kundendaten, informiert es den Kunden unverzüglich und antwortet nicht unmittelbar, es sei denn auf Weisung des Kunden.

5.6 — Verbleib der Daten bei Vertragsende

Gemäß Klausel 14.3 der AGB gilt bei Beendigung des Vertrags:

• Export: Der Kunde hat dreißig (30) Tage Zeit, um seine Kundendaten im CSV- und/oder JSON-Format über die Software, die API oder auf Anfrage an support@enrow.io zu exportieren;
• Löschung: Nach Ablauf dieser Frist löscht ENROW innerhalb einer weiteren Frist von dreißig (30) Tagen sämtliche Kundendaten einschließlich Kopien und Sicherungen endgültig;
• Bescheinigung: ENROW stellt dem Kunden auf Anfrage eine schriftliche Löschbescheinigung aus.

Die Löschung der Kundendaten berührt nicht die anonymisierten und aggregierten Daten, die gemäß Klausel 9.6 der AGB verwendet werden.

7.1 — Allgemeine Genehmigung

Der Kunde erteilt ENROW hiermit die allgemeine Genehmigung, für die Erbringung des Dienstes Unterauftragsverarbeiter zu beauftragen (insbesondere Drittanbieter zur Anreicherung sowie Hosting-Anbieter). Die Liste der aktuell beauftragten Unterauftragsverarbeiter ist in Anlage 3 zu diesem AVV enthalten und auf Anfrage auch beim DPO erhältlich.

7.2 — Benachrichtigung und Widerspruchsrecht

Gemäß Klausel 12.2 der AGB benachrichtigt ENROW den Kunden über jede Änderung der Unterauftragsverarbeiter (durch Hinzufügung oder Ersetzung) mindestens fünfzehn (15) Tage vor dem Wirksamwerden der Änderung. Der Kunde kann innerhalb von fünfzehn (15) Tagen schriftlich Widerspruch einlegen. Kommt keine Einigung zustande, gilt der Widerspruch als Kündigung des Vertrags gemäß Klausel 12.2 der AGB.

7.3 — Den Unterauftragsverarbeitern auferlegte Pflichten

ENROW erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die den in diesem AVV enthaltenen im Wesentlichen entsprechen, insbesondere in Bezug auf Vertraulichkeit, Sicherheit, Zweckbindung und Löschung der Daten.

7.4 — Haftung

ENROW bleibt gegenüber dem Kunden für die Erfüllung der Datenschutzpflichten durch seine Unterauftragsverarbeiter in vollem Umfang verantwortlich.

13.1 — Rangfolge

Dieses DPA ist wesentlicher Bestandteil des Vertrags. Bei Widersprüchen zwischen diesem DPA und den AGB hat dieses DPA in allen Fragen der Verarbeitung personenbezogener Daten Vorrang. In allen übrigen Fragen haben die AGB Vorrang.

13.2 — Änderung

ENROW kann dieses DPA ändern, um Änderungen der anwendbaren Vorschriften Rechnung zu tragen. Jede wesentliche Änderung wird dem Kunden dreißig (30) Tage vor ihrem Inkrafttreten mitgeteilt.

13.3 — Anwendbares Recht

Dieses DPA unterliegt französischem Recht. Ausschließlich zuständig sind die Gerichte von Paris.

A. Verschlüsselung

• Bei der Übertragung: Die gesamte Kommunikation wird über TLS 1.2 oder höher (HTTPS) verschlüsselt. Unverschlüsselte Verbindungen werden abgewiesen.
• Im Ruhezustand: gespeicherte Daten werden über AES-256 (native AWS-Verschlüsselung) verschlüsselt.
• Passwörter: irreversibles Hashing mit dem bcrypt-Algorithmus und individuellem Salting.

B. Zugriffskontrolle

• Authentifizierung: Identifizierung per E-Mail und Passwort, mit verfügbarer und empfohlener Multi-Faktor-Authentifizierung (MFA).
• Zugriffsverwaltung: striktes RBAC-Modell (Role-Based Access Control). Jedes Zugriffsrecht ist auf das strikt Erforderliche beschränkt (Grundsatz der geringsten Rechte).
• Sitzungen: signierte JWT-Token mit automatischem Ablauf.

C. Infrastruktur und Hosting

• Hosting-Anbieter: Amazon Web Services (AWS), Region eu-west-3 (Paris). AWS ist ISO-27001- und SOC-1/2/3-zertifiziert und DSGVO-konform.
• Netzwerkisolierung: Datenbanken und interne Dienste sind in einer Virtual Private Cloud (VPC) ohne direkten öffentlichen Zugriff isoliert.
• Backups: automatische tägliche Backups, verschlüsselt, mit konfigurierter Aufbewahrung.

D. Protokollierung und Überwachung

• Zugriffsprotokolle: Nachvollziehbarkeit der Nutzeraktionen (Kennung, Aktion, Zeitstempel, IP-Adresse). Protokolle im Ruhezustand verschlüsselt.
• Monitoring: fortlaufende Überwachung der Infrastruktur mit automatisierten Warnmeldungen bei Anomalien.

E. Minimierung und Aufbewahrung

• Es werden ausschließlich die für die Erbringung des Dienstes strikt erforderlichen Daten erhoben und verarbeitet;
• Kundendaten: höchstens 90 Tage, anschließend automatische Löschung;
• Technischer Cache: 48 Stunden;
• Wirksame und irreversible Löschung nach Ablauf der Aufbewahrungsdauer.

F. Organisatorische Sicherheit

• Sensibilisierung aller Mitarbeiter für den Datenschutz;
• Robuste Passwortrichtlinie für interne Zugänge;
• Grundsatz der geringsten Rechte in allen Teams angewandt;
• Von jedem Mitarbeiter mit Zugriff auf personenbezogene Daten unterzeichnete Vertraulichkeitsverpflichtung.

G. Vorfallmanagement

• Internes Verfahren zum Management von Sicherheitsvorfällen;
• Benachrichtigung des Kunden innerhalb von 72 Stunden (Klausel 5.4 dieses DPA);
• Geführtes und aktuell gehaltenes Verzeichnis von Datenschutzverletzungen.

Diese Maßnahmen werden regelmäßig überprüft und aktualisiert, um dem Stand der Technik, den Implementierungskosten und der Art der Risiken Rechnung zu tragen.

Teil A — Veröffentlichte Unterauftragsverarbeiter (Liste gültig zum 20. Juni 2026)

Teil B — Anbieter von Datenanreicherung (vertrauliche Liste)

Für die Bereitstellung des Anreicherungs-Service setzt ENROW spezialisierte Anbieter in den folgenden Kategorien ein:

Vertraulichkeit der namentlichen Liste: Die vollständige namentliche Liste der Anreicherungsanbieter, einschließlich ihrer Identität, ihres Standorts und des jeweils anwendbaren Übermittlungsmechanismus, stellt ein Geschäftsgeheimnis von ENROW im Sinne der Richtlinie (EU) 2016/943 über den Schutz vertraulichen Know-hows und vertraulicher Geschäftsinformationen sowie des Gesetzes Nr. 2018-670 vom 30. Juli 2018 zur Umsetzung dieser Richtlinie in französisches Recht dar.

Mitteilung an den Kunden: Diese Liste wird auf schriftliche Anfrage an den DPO (dpo@enrow.io) mitgeteilt, vorbehaltlich des vorherigen Abschlusses einer Vertraulichkeitsvereinbarung (NDA) durch den Kunden. Der Kunde verpflichtet sich, diese Liste sowie die darin enthaltenen Informationen keinem Dritten offenzulegen und sie ausschließlich zur Überprüfung der DSGVO-Konformität von ENROW zu verwenden.

Widerspruchsrecht: Der in Ziffer 7.2 dieses DPA und Ziffer 12.2 der AGB vorgesehene Mechanismus zur Benachrichtigung und zum Widerspruchsrecht gilt vollumfänglich für die Anreicherungsanbieter. Der Kunde wird über jede Änderung mindestens fünfzehn (15) Tage vor dem Wirksamkeitsdatum benachrichtigt, auch wenn der Name des neuen Anbieters unter NDA mitgeteilt wird.

Gemeinsame Garantien: ENROW gewährleistet, dass jeder Anreicherungsanbieter (a) vertraglich an Datenschutzpflichten gebunden ist, die im Wesentlichen den in diesem DPA enthaltenen entsprechen, (b) innerhalb des EWR ansässig oder durch einen mit Kapitel V der DSGVO konformen Übermittlungsmechanismus abgedeckt ist und (c) personenbezogene Daten ausschließlich im strikten Rahmen der Weisungen von ENROW und allein zu Zwecken der Anreicherung verarbeitet.