Gemäß Art. 28 DSGVO zwischen dem Kunden (Verantwortlicher) und Campaiva (Auftragsverarbeiter)
Zuletzt aktualisiert: 25.7.2026
nach Art. 28 Abs. 3 DSGVO — Stand: Juli 2026
zwischen dem Kunden (nachfolgend „Verantwortlicher") und Campaiva, Inhaber: Florian Bassiouni (Einzelunternehmen), Ricklinger Stadtweg 13, 30459 Hannover (nachfolgend „Auftragsverarbeiter"). Dieser AVV wird mit Annahme bei der Registrierung Bestandteil des Nutzungsvertrags (AGB).
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen zur Bereitstellung der Campaiva-Plattform. Die Dauer entspricht der Laufzeit des Nutzungsvertrags; Ziffer 10 (Löschung) gilt darüber hinaus.
Erheben, Speichern, Strukturieren, Verwenden, Übermitteln an vom Verantwortlichen bestimmte Empfänger, Einschränken und Löschen — zum Zweck des Betriebs der vom Verantwortlichen genutzten Funktionen: CRM und Lead-Management, E-Mail-/SMS-Kampagnen, Social-Media-Planung und -Veröffentlichung, Landing Pages und Formulare, Werbekampagnen über verbundene Werbekonten, KI-gestützte Inhaltserstellung und Auswertungen, Telefonie-Funktionen (sofern aktiviert).
Betroffene: Kontakte, Leads und Kunden des Verantwortlichen; Newsletter-Empfänger; Besucher seiner Landing Pages; Nutzer, die mit seinen Social-Media- und Werbekampagnen interagieren; seine Mitarbeitenden (als Plattform-Nutzer).
Datenarten: Stammdaten (Name, Firma, Adresse), Kontaktdaten (E-Mail, Telefon), Vertrags- und Angebotsdaten (Deals, Notizen), Kommunikationsdaten (E-Mail-Inhalte, Nachrichten, ggf. Anrufmetadaten und Aufzeichnungen nach Maßgabe des Verantwortlichen), Nutzungs- und Interaktionsdaten (Öffnungen, Klicks, Conversions, Formulareingaben), vom Verantwortlichen hochgeladene Inhalte. Besondere Kategorien (Art. 9 DSGVO) sind nicht Gegenstand des Auftrags; der Verantwortliche verpflichtet sich, solche Daten nicht in die Plattform einzubringen.
Die Verarbeitung erfolgt ausschließlich auf dokumentierte Weisung des Verantwortlichen — auch in Bezug auf die Übermittlung personenbezogener Daten in ein Drittland (Art. 28 Abs. 3 lit. a DSGVO). Die Konfiguration und Nutzung der Plattformfunktionen durch den Verantwortlichen gilt als Weisung; ergänzende Weisungen bedürfen der Textform. Ist der Auftragsverarbeiter durch Unions- oder Mitgliedstaatsrecht zu einer Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.
Der Verantwortliche bleibt für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Rechtsgrundlagen, Einwilligungen und die Information der betroffenen Personen (Art. 13, 14 DSGVO). Ihm stehen die in diesem AVV geregelten Kontroll-, Weisungs- und Informationsrechte zu.
Zur Verarbeitung befugte Personen sind zur Vertraulichkeit verpflichtet (Art. 28 Abs. 3 lit. b DSGVO) und nur im erforderlichen Umfang zugriffsberechtigt (Need-to-know).
Der Auftragsverarbeiter trifft die Maßnahmen nach Art. 32 DSGVO, insbesondere:
Die Maßnahmen dürfen dem Stand der Technik angepasst werden, sofern das Schutzniveau nicht unterschritten wird.
Der Verantwortliche erteilt die allgemeine Genehmigung zum Einsatz der in Anlage 3 genannten Subunternehmer. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen (Neuaufnahme/Ersetzung) mindestens 30 Tage vorab — durch Aktualisierung der öffentlichen Liste unter campaiva.com/trust und Benachrichtigung in der Plattform oder per E-Mail. Der Verantwortliche kann aus wichtigem datenschutzrechtlichen Grund widersprechen; führt der Widerspruch zur Unzumutbarkeit der Leistungserbringung, steht beiden Parteien ein Sonderkündigungsrecht zu. Mit jedem Subunternehmer werden Verträge nach Art. 28 Abs. 4 DSGVO geschlossen, die dem Schutzniveau dieses AVV entsprechen. Kommt ein Subunternehmer seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Einhaltung der Pflichten des Subunternehmers.
Klarstellung: Dienste, deren Einsatz der Verantwortliche selbst veranlasst — insbesondere von ihm verbundene Konten (Google, Meta, LinkedIn, Microsoft 365, Shopify), sein eigener SMTP-Versandweg sowie von ihm mit eigenen API-Schlüsseln angebundene KI-Anbieter — sind keine Subunternehmer des Auftragsverarbeiters; insoweit übermittelt der Auftragsverarbeiter Daten auf Weisung des Verantwortlichen an von diesem bestimmte Empfänger.
Verarbeitungen finden grundsätzlich in der EU statt. Soweit Subunternehmer in Drittländern (insb. USA) eingesetzt werden, erfolgt die Übermittlung auf Grundlage von EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) und/oder — bei zertifizierten US-Empfängern — des EU-US Data Privacy Framework. Kopien der Garantien werden auf Anfrage bereitgestellt.
Nach Vertragsende stehen die Daten dem Verantwortlichen 30 Tage zum Export zur Verfügung; anschließend löscht der Auftragsverarbeiter sämtliche Auftragsdaten, soweit keine gesetzliche Aufbewahrungspflicht besteht. Daten in Sicherungskopien werden mit dem regulären Backup-Zyklus überschrieben; bis dahin sind sie gegen Zugriff geschützt. Während der Laufzeit gelten zusätzlich die in der Plattform ausgewiesenen tarifabhängigen Aufbewahrungsfristen sowie die Lösch-Selbstbedienung (Papierkorb).
Der Auftragsverarbeiter stellt dem Verantwortlichen alle zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung (Art. 28 Abs. 3 lit. h DSGVO), insbesondere Beschreibungen der TOMs und die Subprozessoren-Liste. Der Verantwortliche kann — in der Regel nach Ankündigung von mindestens 14 Tagen, während üblicher Geschäftszeiten und ohne Störung des Betriebs — Kontrollen durchführen oder durch geeignete Dritte durchführen lassen; vorrangig werden aussagekräftige Unterlagen und Selbstauskünfte bereitgestellt.
Für die Haftung gilt Art. 82 DSGVO; im Innenverhältnis gelten die Haftungsregelungen der AGB. Änderungen dieses AVV bedürfen der Textform. Einseitige Anpassungen sind nur zulässig für die Fortschreibung der TOMs (Ziffer 6, ohne Absenkung des Schutzniveaus) und den Subunternehmer-Mechanismus (Ziffer 7); im Übrigen bedürfen Änderungen der Zustimmung des Verantwortlichen. Es gilt deutsches Recht; Gerichtsstand ist — soweit zulässig — Hannover. Bei Widersprüchen zwischen diesem AVV und den AGB geht dieser AVV in datenschutzrechtlichen Fragen vor.
| Subunternehmer | Leistung | Region |
|---|---|---|
| Hetzner Online GmbH | Hosting, Infrastruktur, Backups | DE/EU |
| IONOS SE | Versand von System-/Transaktions-E-Mails | DE |
| Functional Software Inc. (Sentry) | Fehlerdiagnose (EU-Ingest, PII-Scrubbing) | USA*/DE-Ingest |
| OpenAI, Anthropic, Google | KI-Inhaltserstellung (nur bei Funktionsnutzung; Eingaben werden nicht zum Modelltraining verwendet) | USA* |
| HeyGen, ElevenLabs | Video-/Audio-KI (nur bei Funktionsnutzung) | USA* |
| seven communications GmbH & Co. KG | SMS-Versand (sofern aktiviert) | DE |
* Übermittlung auf Grundlage von EU-Standardvertragsklauseln; soweit der Empfänger nach dem EU-US Data Privacy Framework zertifiziert ist, zusätzlich auf dessen Grundlage (je Empfänger dokumentiert; Auskunft auf Anfrage). Aktuelle Liste: campaiva.com/trust. Nicht in dieser Anlage: Dienste nach Ziffer 7 Absatz 2 (vom Verantwortlichen veranlasste Empfänger, z. B. Placetel, verbundene Google-/Meta-/Microsoft-Konten, eigener SMTP-Versand) sowie Stripe (Zahlungsabwicklung der eigenen Vertragsdaten des Kunden — insoweit ist Campaiva selbst Verantwortlicher, siehe Datenschutzerklärung).