VERTRAG ZUR AUFTRAGSVERARBEITUNG nach Art. 28 Datenschutz-Grundverordnung für die Verarbeitung von Kundendaten in Inboxprofi Vertragsparteien Auftraggeber: der im Inboxprofi-Konto und in der Vertragsbestätigung bezeichnete Kunde, nachfolgend „Auftraggeber“ genannt. Auftragnehmer: SBJ Digital GbR, Eisenstr. 29, 50825 Köln, vertreten durch Benjamin Sonntag, Simon Sean Hoffmann und Julius Ernst Maximilian Zehme gemeinschaftlich, nachfolgend „SBJ“ genannt. Dieser Vertrag wird elektronisch geschlossen. Die Annahme und die bei Annahme geltende Fassung werden dem Auftraggeber auf einem dauerhaften Datenträger bestätigt. § 1 Gegenstand und Rang SBJ verarbeitet im Rahmen von Inboxprofi personenbezogene Daten im Auftrag des Auftraggebers. Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien nach Art. 28 DSGVO. Bei Widersprüchen gehen die Regelungen dieses Vertrags für die Auftragsverarbeitung den AGB vor. Zwingendes Datenschutzrecht bleibt unberührt. § 2 Dauer der Verarbeitung Die Auftragsverarbeitung beginnt mit der Aktivierung der entsprechenden Funktionen und dauert für die Laufzeit des Hauptvertrags. Lösch- und Rückgabepflichten nach Vertragsende bleiben bestehen. § 3 Art und Zweck der Verarbeitung Art, Zweck, Datenarten und Kategorien betroffener Personen ergeben sich aus Anlage 1. SBJ verarbeitet die Daten ausschließlich zur Bereitstellung, Sicherung, Wartung und Unterstützung von Inboxprofi sowie nach dokumentierten Weisungen des Auftraggebers. Eine Verarbeitung für eigene Werbe-, Profiling- oder Analysezwecke findet nicht statt. Vollständig anonymisierte Informationen, die keiner Person mehr zugeordnet werden können, sind keine personenbezogenen Daten. § 4 Weisungen Die in Hauptvertrag, Konto und Produktfunktionen festgelegte Nutzung gilt als dokumentierte Weisung. Zusätzliche Weisungen können in Textform an kontakt@inboxprofi.de erteilt werden. Hält SBJ eine Weisung für datenschutzwidrig, informiert SBJ den Auftraggeber unverzüglich und darf die Ausführung bis zur Klärung aussetzen. Gesetzlich verpflichtende Verarbeitungen teilt SBJ dem Auftraggeber vorab mit, soweit das Gesetz eine Mitteilung nicht verbietet. § 5 Pflichten des Auftraggebers - Der Auftraggeber ist Verantwortlicher für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte betroffener Personen. - Er stellt sicher, dass er verbundene Postfächer und die darin enthaltenen Daten verarbeiten lassen darf. - Er erfüllt erforderliche Informationspflichten gegenüber Mitarbeitern, Mitspielern und sonstigen betroffenen Personen. - Er erteilt nur rechtmäßige Weisungen und beschränkt Freitexte und Postfachinhalte auf erforderliche Angaben. - Er informiert SBJ unverzüglich über Fehler, Unregelmäßigkeiten oder datenschutzrechtliche Anfragen, soweit eine Mitwirkung von SBJ erforderlich ist. § 6 Vertraulichkeit und Zugriffsberechtigungen SBJ setzt nur Personen ein, die auf Vertraulichkeit verpflichtet und über die maßgeblichen Datenschutzpflichten unterrichtet wurden. Alle drei Gesellschafter können bei einem konkreten Support-, Sicherheits- oder Betriebsbedarf auf die jeweils notwendigen Daten zugreifen. Der Zugriff wird nach dem Erforderlichkeitsprinzip beschränkt. Weitere Personen erhalten nur nach dokumentierter Berechtigung Zugriff. § 7 Technische und organisatorische Maßnahmen SBJ trifft die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen. Die Maßnahmen gewährleisten ein dem Risiko angemessenes Schutzniveau und werden unter Berücksichtigung des Stands der Technik, der Implementierungskosten sowie von Art, Umfang, Umständen und Zwecken der Verarbeitung weiterentwickelt. Wesentliche Änderungen, die das Schutzniveau verringern, sind unzulässig. Gleichwertige oder bessere Maßnahmen dürfen ohne Vertragsänderung eingesetzt werden. § 8 Unterauftragsverarbeiter Der Auftraggeber erteilt SBJ eine allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Unterauftragsverarbeiter. SBJ informiert den Auftraggeber mindestens 30 Tage vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, soweit keine dringende Sicherheits- oder Betriebsmaßnahme eine kürzere Frist erfordert. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Können die Parteien keine angemessene Lösung finden, kann der Auftraggeber die betroffene Funktion oder den Hauptvertrag zum Zeitpunkt der Änderung außerordentlich beenden. SBJ verpflichtet Unterauftragsverarbeiter vertraglich mindestens zu den Datenschutzpflichten, die für ihre jeweilige Tätigkeit erforderlich sind. SBJ bleibt gegenüber dem Auftraggeber für die Erfüllung der Pflichten verantwortlich. § 9 Unterstützung des Auftraggebers SBJ unterstützt den Auftraggeber im angemessenen Umfang bei Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Widerspruch sowie bei Pflichten nach Art. 32 bis 36 DSGVO. Geht eine Anfrage einer betroffenen Person unmittelbar bei SBJ ein und betrifft sie Auftragsdaten, leitet SBJ sie an den Auftraggeber weiter, sofern SBJ nicht zur unmittelbaren Bearbeitung angewiesen oder gesetzlich verpflichtet ist. § 10 Datenschutzverletzungen SBJ informiert den Auftraggeber unverzüglich über eine Verletzung des Schutzes personenbezogener Auftragsdaten. Die Mitteilung enthält, soweit verfügbar, Art und Umfang des Vorfalls, betroffene Daten und Personen, wahrscheinliche Folgen, ergriffene oder vorgeschlagene Maßnahmen sowie eine Kontaktstelle. SBJ dokumentiert den Vorfall, wirkt an der Sachverhaltsaufklärung mit und unterstützt den Auftraggeber bei erforderlichen Meldungen und Benachrichtigungen. § 11 Nachweise und Kontrollen SBJ stellt dem Auftraggeber auf Anfrage die zur Darlegung der Einhaltung von Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Prüfungen sollen zunächst durch Dokumente, Fragebögen, Zertifikate oder Berichte erfolgen. Soweit danach eine Vor-Ort-Prüfung erforderlich bleibt, ist sie mit angemessener Vorankündigung während üblicher Geschäftszeiten durchzuführen. Betriebs- und Geschäftsgeheimnisse, Sicherheit anderer Kunden und die Verhältnismäßigkeit sind zu wahren. Bei einem konkreten Datenschutzvorfall kann die Vorankündigungsfrist angemessen verkürzt werden. § 12 Rückgabe und Löschung Nach Ende des Hauptvertrags endet der reguläre Zugriff. Auftragsdaten werden grundsätzlich drei Monate zur Wiederherstellung vorgehalten und danach gelöscht oder irreversibel anonymisiert. Auf Verlangen stellt SBJ dem Auftraggeber die Auftragsdaten vor der Löschung über verfügbare Exportfunktionen oder auf andere geeignete Weise bereit. Roh-E-Mails werden 28 Tage gespeichert und anschließend automatisch gelöscht. Sicherungskopien werden im Rahmen der eingesetzten Sicherungszyklen überschrieben oder gelöscht. Gesetzliche Aufbewahrungspflichten bleiben unberührt. § 13 Haftung und Schlussbestimmungen Für die Haftung gelten Art. 82 DSGVO, die zwingenden gesetzlichen Regelungen und ergänzend die Haftungsbestimmungen des Hauptvertrags. Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform. Es gilt deutsches Recht. Zwingende Rechte betroffener Personen und zwingendes Datenschutzrecht bleiben unberührt. Anlage 1: Beschreibung der Verarbeitung Gegenstand: Betrieb der Software Inboxprofi einschließlich Hosting, Wartung, Support, E-Mail-Abruf, Anzeige, Datenverarbeitung, Buchungen, Berechnungen, Reloads und Export. Dauer: Laufzeit des Hauptvertrags zuzüglich der vereinbarten Lösch- und Wiederherstellungsfristen. Zwecke: Organisation und Verwaltung von Mitspielern, Empfang und Anzeige relevanter E-Mails, Erzeugung und Verwaltung von Buchungen, Kontoständen, Bonusinformationen, Berechnungen und Reloads, Support und Datensicherung. Verarbeitungsvorgänge: Erheben durch Abruf, Erfassen, Ordnen, Speichern, Auslesen, Anzeigen, Berechnen, Verknüpfen, Einschränken, Archivieren, Exportieren, Löschen und gegebenenfalls Wiederherstellen. Datenarten: Stamm- und Kontaktdaten, E-Mail-Adressen, Postfachverbindungsdaten, E-Mail-Header und -Inhalte ohne Anhänge, Freitexte, Buchungen, Kontostände, Bonus- und Reloadangaben, Berechnungen, Nutzungs- und Berechtigungsdaten, technische Kennungen. Betroffene Personen: Auftraggeber, freigegebene Mitarbeiter, Mitspieler, Absender und Empfänger verarbeiteter E-Mails sowie sonstige Personen, deren Daten in den Inhalten vorkommen. Besondere Kategorien: Nicht vorgesehen. Der Auftraggeber soll keine besonderen Kategorien personenbezogener Daten nach Art. 9 DSGVO eintragen, sofern dies nicht zwingend erforderlich und rechtlich abgesichert ist. Anlage 2: Technische und organisatorische Maßnahmen Angemessenes Schutzniveau: Die Maßnahmen beschreiben das vereinbarte Schutzniveau. Gleichwertige oder bessere technische Lösungen dürfen eingesetzt und weiterentwickelt werden. Zutritts- und Infrastrukturkontrolle: Hosting in einem Rechenzentrum der Hetzner Online GmbH in Deutschland. Physische Schutzmaßnahmen werden durch Hetzner erbracht. Zugangskontrolle: Personenbezogene Benutzerkonten, gehashte Passwörter, verschlüsselte Übertragung, sichere Sitzungen und Verfahren zur Sperrung kompromittierter Zugänge. Zugriffskontrolle: Rollen- und Berechtigungskonzept. Kundenzugriff nur durch Wettexperten und freigegebene Mitarbeiter. Zugriff der drei SBJ-Gesellschafter nur bei konkretem Support-, Sicherheits- oder Betriebsbedarf. Verschlüsselung: Postfachzugangsdaten werden verschlüsselt gespeichert. Die Datenübertragung erfolgt über verschlüsselte Verbindungen. Der Zugriff auf Zugangsdaten ist auf berechtigte technische Prozesse und Personen beschränkt. Mandantentrennung: Logische Trennung der Kundenkonten und ihrer Inhalte. Berechtigungsprüfungen vor jedem kontobezogenen Zugriff. Datenminimierung: E-Mail-Anhänge werden nicht gespeichert. Verbundene Postfächer sind für Wett- und Zahlungsdienstleister vorgesehen. Externe KI-Dienste werden derzeit nicht eingesetzt; kein personenbezogenes Werbetracking. Protokollierung: Anmeldevorgänge, administrative Zugriffe und sicherheitsrelevante Ereignisse werden im erforderlichen Umfang protokolliert. Zugriffe auf Protokolle sind beschränkt. Protokolle werden gelöscht, sobald sie für Sicherheit, Fehleranalyse oder erforderliche Nachweise nicht mehr benötigt werden. Verfügbarkeit und Wiederherstellung: Es bestehen angemessene Sicherungs- und Wiederherstellungsverfahren. Die Produktivdatenbank wird automatisiert auf einen getrennten Backup-Server gesichert. Löschung: Roh-E-Mails werden 28 Tage gespeichert und anschließend automatisch gelöscht. Kundeninhalte werden drei Monate nach Vertragsende gelöscht oder irreversibel anonymisiert. Sicherungskopien werden im Rahmen der Sicherungszyklen überschrieben oder gelöscht. Vorfallmanagement: Sicherheitsvorfälle werden intern gemeldet, technisch eingedämmt und dokumentiert. Der Auftraggeber wird bei einer Verletzung des Schutzes von Auftragsdaten unverzüglich informiert. Kontrolle von Auftragnehmern: Abschluss und Pflege von AV-Verträgen, Prüfung der Unterauftragsverarbeiter und dokumentierte Weisungen. Anlage 3: Genehmigte Unterauftragsverarbeiter Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland — Hosting, technische Infrastruktur und Versand von System- und Support-E-Mails. Datenbezug: in der Anwendung verarbeitete Auftragsdaten sowie E-Mail-Adressen und Inhalte versendeter System-E-Mails. Stripe ist für Zahlungs- und Abrechnungsdaten gesondert zu beurteilen. Stripe darf keine Mitspieler- oder Postfachinhalte erhalten, sofern dies nicht ausdrücklich dokumentiert und datenschutzrechtlich abgesichert wurde. Stand: 01.09.2026