CRM Docs Datenschutz EN
Rechtliches

Auftragsverarbeitungsvertrag (AVV)

Stand: 27.08.2026 · Version: 0.2 (Entwurf) · Änderungshistorie

⚠ Entwurf — juristisch noch nicht final geprüft. Dieser AVV ist eine ehrliche, an der tatsächlichen Systemarchitektur ausgerichtete Vorlage für die Alpha/Beta-Phase. Vor produktivem Einsatz mit echten personenbezogenen Daten sollte er von einer auf IT-/Datenschutzrecht spezialisierten Person geprüft und gegengezeichnet werden. Ein individuell unterzeichnetes Exemplar stellen wir auf Anfrage (office@the-y.at) bereit.

Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der Nutzung des Dienstes „TheY CRM / Kunden-Support CRM" und gilt gemäß Art. 28 DSGVO ergänzend zu den Nutzungsbedingungen.

1. Parteien & Rollen

Verantwortlicher ist der Kunde (der Mandant/das Unternehmen, das den Dienst nutzt) für die von ihm im Dienst verarbeiteten personenbezogenen Daten. Auftragsverarbeiter ist The-Y e.U., Thomas Nuri Yilmaz, BSc, Senefeldergasse 25, 1100 Wien (nachfolgend „The-Y"). The-Y verarbeitet personenbezogene Daten ausschließlich weisungsgebunden zur Erbringung des Dienstes.

2. Gegenstand, Art, Zweck & Dauer

Gegenstand & Zweck: Bereitstellung und Betrieb einer All-in-One-CRM- und Support-Software (Posteingang über E-Mail/WebChat/SMS/WhatsApp/Meta, Telefonie, Kontakt-/Firmen-/Deal-Verwaltung, Rechnungen, Aufgaben/Kalender, Marketing, Belegschaftsverwaltung, Auswertungen, optionale KI-Funktionen).

Dauer: für die Laufzeit des Nutzungsverhältnisses. Nach Beendigung gilt Ziffer 8 (Löschung/Rückgabe).

3. Kategorien betroffener Personen & Datenarten

Betroffene Personen: Kunden/Interessenten/Kontakte des Verantwortlichen, dessen Mitarbeitende/Nutzer, Ansprechpartner verbundener Firmen.

Datenarten (soweit der Verantwortliche sie einstellt/erzeugt):

4. Weisungen

The-Y verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Nutzung des Dienstes und dessen Konfiguration gelten als Weisung. Hält The-Y eine Weisung für rechtswidrig, wird der Verantwortliche informiert.

5. Vertraulichkeit

Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet. Der Zugriff ist auf das für den Betrieb Erforderliche beschränkt.

6. Technisch-organisatorische Maßnahmen (TOM)

The-Y trifft geeignete TOM nach Art. 32 DSGVO; siehe Anlage 1.

7. Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Weitere/Änderungen werden vorab mitgeteilt; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Vom Verantwortlichen selbst verbundene Dienste (eigener KI-Anbieter per BYO-Schlüssel, WhatsApp/Meta, SMS-Anbieter, eigener Mailserver) sind keine Unterauftragsverarbeiter von The-Y: Der Verantwortliche verbindet und verantwortet diese Anbieter selbst über sein eigenes Konto/Vertrag. The-Y leitet Inhalte lediglich an die vom Verantwortlichen konfigurierten Endpunkte weiter.

8. Unterstützung, Meldepflichten, Betroffenenrechte

The-Y unterstützt den Verantwortlichen im Rahmen des Möglichen bei Betroffenenanfragen (Auskunft, Löschung, Berichtigung, Export) sowie bei Datenschutz-Verletzungen und meldet ihm bekannt gewordene Verletzungen unverzüglich. Werkzeuge für Export (Snapshot/CSV) und Löschung stehen im Dienst bereit.

9. Löschung/Rückgabe nach Vertragsende

Nach Beendigung werden die personenbezogenen Daten nach Wahl des Verantwortlichen gelöscht oder zurückgegeben, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Zu Aufbewahrungsfristen und Löschung aus Backups/Logs siehe Datenschutzerklärung und Datenlöschung.

10. Nachweise & Kontrollen

The-Y stellt die zum Nachweis der Einhaltung erforderlichen Informationen bereit und ermöglicht angemessene Überprüfungen. Beim Self-Hosting betreibt der Verantwortliche die Infrastruktur selbst; The-Y ist dort nicht Auftragsverarbeiter, sondern reiner Softwarelieferant.

11. Schlussbestimmungen

Es gilt österreichisches Recht; Gerichtsstand ist — soweit zulässig — Wien. Bei Widerspruch geht dieser AVV in datenschutzrechtlichen Fragen den Nutzungsbedingungen vor.

Anlage 1 — Technisch-organisatorische Maßnahmen (TOM)

Anlage 3 — Backup & Restore

Alpha:

Hosted Beta:

Self-Hosting:

Nach Kontolöschung werden produktive Daten entsprechend der Löschregel entfernt. In Sicherungen vorhandene Daten bleiben isoliert, werden nicht regulär verarbeitet und laufen mit der dokumentierten Backup-Rotation aus.

Anlage 2 — Unterauftragsverarbeiter

AnbieterZweckStandortStatus
The-Y e.U. (Eigenbetrieb der Infrastruktur)Hosting/Serverbetrieb des Dienstes in der AlphaÖsterreich / EUaktiv
Cloud-Hosting-Anbieter (EU) — für die Beta geplantgehosteter Cloud-Betrieb + BackupEUab Beta 🧑

Nicht als Unterauftragsverarbeiter von The-Y geführt, weil vom Verantwortlichen selbst per eigenem Konto/Schlüssel verbunden und verantwortet: der gewählte KI-Anbieter (Anthropic, OpenAI oder Google — nur bei aktivierter KI, BYO-Schlüssel), WhatsApp/Meta, SMS-Anbieter, eigener E-Mail-Server. Die Übermittlung an diese Anbieter erfolgt nach deren Bedingungen; ggf. Drittlandtransfer je nach Anbieterwahl.

Zahlungsabwicklung (Stripe): Stripe verarbeitet Zahlungsdaten für die Abrechnung zwischen The-Y und dem zahlenden Kunden (The-Y ist insoweit selbst Verantwortlicher) — nicht für die vom Kunden im CRM verarbeiteten Endkundendaten.