AVV

Zuletzt aktualisiert: 11. August 2026

Dieser DPA gilt für alle Kunden, die unsere Nutzungsbedingungen akzeptieren. Eine gesonderte Unterschrift ist nicht erforderlich. Eine im Namen von Dedupely vorab unterzeichnete Fassung steht oben auf dieser Seite zum Download bereit.

Dieser Auftragsverarbeitungszusatz ("DPA") ist Bestandteil der Nutzungsbedingungen zwischen dem Kunden und Dedupely Software, Inc. ("Dedupely"), auf deren Grundlage der Kunde auf den Dienst zugreift. Er hält die Vereinbarung der Parteien über die Verarbeitung personenbezogener Daten fest.

Hat die Kundeneinheit, die diesen DPA abschließt, ein Bestellformular, eine Leistungsbeschreibung oder eine andere schriftliche Vereinbarung mit Dedupely unterzeichnet (ein "Bestelldokument"), ist aber selbst nicht Partei der Nutzungsbedingungen, so gilt dieser DPA als Zusatz zu diesem Bestelldokument und zu etwaigen Verlängerungen.

1. Definitionen

"CCPA" bezeichnet den California Consumer Privacy Act von 2018, Cal. Civ. Code § 1798.100 ff., in der durch den California Privacy Rights Act geänderten Fassung, samt Durchführungsverordnungen.

"Personenbezogene Kundendaten" sind personenbezogene Daten in den Datensätzen, die der Kunde zur Deduplizierung mit dem Service synchronisiert.

"Datenschutzrecht" bezeichnet die Datenschutz-Grundverordnung (Verordnung (EU) 2016/679) ("GDPR"); die UK GDPR und den Data Protection Act 2018; das Schweizer Bundesgesetz über den Datenschutz vom 25. September 2020; den Personal Information Protection and Electronic Documents Act (Kanada); sowie alle weiteren anwendbaren Gesetze zur Verarbeitung personenbezogener Daten und zum Schutz der Privatsphäre, jeweils in der geänderten, abgelösten oder ersetzten Fassung und soweit auf die Verarbeitung Personenbezogener Kundendaten anwendbar.

"Service" bezeichnet dedupe.ly und die Dedupely-Anwendung unter app.dedupe.ly.

"Standardvertragsklauseln" oder "SCCs" bezeichnet die Klauseln im Anhang des Durchführungsbeschlusses (EU) 2021/914 der Europäischen Kommission, Modul Zwei (Verantwortlicher an Auftragsverarbeiter).

"UK Addendum" bezeichnet das International Data Transfer Addendum zu den SCCs, herausgegeben vom UK Information Commissioner nach Section 119A des Data Protection Act 2018.

"Verantwortlicher", "Auftragsverarbeiter", "betroffene Person", "personenbezogene Daten", "Verarbeitung" und "geeignete technische und organisatorische Maßnahmen" haben die im Datenschutzrecht festgelegte Bedeutung. Andere großgeschriebene Begriffe haben die in den Nutzungsbedingungen festgelegte Bedeutung.

2. Rollen

In Bezug auf Personenbezogene Kundendaten ist der Kunde Verantwortlicher und Dedupely Auftragsverarbeiter.

Dieser AVV gilt nicht für personenbezogene Daten, für die Dedupely Verantwortlicher ist, einschließlich Daten über Kontoinhaber und Nutzer des Kunden; diese unterliegen unserer Datenschutzerklärung.

Gegenstand der Verarbeitung ist der vom Kunden bestellte Service. Die Verarbeitung dauert für die Laufzeit der Bestellung des Service durch den Kunden sowie für die in Ziffer 3(9) genannte Aufbewahrungsfrist an. Weitere Einzelheiten sind in Anlage 1 aufgeführt.

3. Pflichten von Dedupely

In Bezug auf Personenbezogene Kundendaten gilt: Dedupely

• verarbeitet Personenbezogene Kundendaten nur gemäß den dokumentierten Weisungen des Kunden; dazu zählen die Konfiguration, die der Kunde in seinem Konto vornimmt, sowie die Bestimmungen dieses AVV und der Nutzungsbedingungen. Der Kunde weist Dedupely an, Personenbezogene Kundendaten zur Bereitstellung, Wartung, Unterstützung und Verbesserung des Service zu verarbeiten. Ist Dedupely nach geltendem Recht verpflichtet, Personenbezogene Kundendaten zu einem anderen Zweck zu verarbeiten, informiert Dedupely den Kunden vorab, sofern dieses Recht eine solche Mitteilung nicht aus wichtigen Gründen des öffentlichen Interesses untersagt;
• benachrichtigt den Kunden unverzüglich, wenn eine Weisung nach Auffassung von Dedupely gegen das Datenschutzrecht verstößt;
• setzt die in Anlage 2 aufgeführten technischen und organisatorischen Maßnahmen um und hält sie aufrecht; diese sollen Personenbezogene Kundendaten vor unbefugter oder unrechtmäßiger Verarbeitung sowie vor versehentlichem Verlust, Zerstörung, Beschädigung, Diebstahl, Veränderung oder Offenlegung schützen und sind dem Risiko und der Art der geschützten Daten angemessen;
• kann Unterauftragsverarbeiter mit begrenzten Leistungen in seinem Auftrag betrauen, vorbehaltlich dieser Ziffer. Unterauftragsverarbeiter dürfen Personenbezogene Kundendaten nur zur Erbringung der Leistungen verarbeiten, mit denen Dedupely sie beauftragt hat, und dürfen sie zu keinem anderen Zweck verwenden. Dedupely bleibt für die Einhaltung dieses AVV durch seine Unterauftragsverarbeiter verantwortlich und schließt mit ihnen schriftliche Vereinbarungen zu Bedingungen, die mindestens ebenso schützend sind wie die hier festgelegten. Eine aktuelle Liste wird unter dedupe.ly/legal/sub-processors geführt. Dedupely benachrichtigt den Kunden an die E-Mail-Adressen der Kontoadministratoren mindestens dreißig (30) Tage, bevor ein neuer Unterauftragsverarbeiter Personenbezogene Kundendaten in der Produktivumgebung verarbeiten darf. Der Kunde kann innerhalb dieser Frist aus angemessenen und dokumentierten Gründen widersprechen, die sich auf die Nichteinhaltung des Datenschutzrechts durch diesen Unterauftragsverarbeiter beziehen. Kann Dedupely einen berechtigten Widerspruch nicht ausräumen, kann der Kunde die Nutzungsbedingungen durch schriftliche Mitteilung kündigen;
• stellt sicher, dass alle zum Zugriff auf Personenbezogene Kundendaten befugten Mitarbeiter Zugriff nur nach dem Need-to-know-Prinzip erhalten, über deren vertraulichen Charakter informiert sind und Vertraulichkeitspflichten unterliegen;
• unterstützt den Kunden, soweit möglich und unter Berücksichtigung der Art der Verarbeitung, bei der Beantwortung von Anfragen betroffener Personen, die ihre Rechte ausüben. Wendet sich eine Person wegen Personenbezogener Kundendaten direkt an Dedupely, antwortet Dedupely nicht inhaltlich — außer um den Eingang zu bestätigen, Informationen zur Identifizierung der Person einzuholen oder sie an den Kunden als Verantwortlichen zu verweisen — und leitet die Anfrage unverzüglich an den Kunden weiter;
• ergreift angemessene Schritte, um den Kunden bei der Erfüllung seiner Pflichten nach Artikel 32 bis 36 GDPR zu unterstützen, einschließlich der Unterstützung bei Datenschutz-Folgenabschätzungen und Pflichten zur vorherigen Konsultation, soweit vernünftigerweise erforderlich, unter Berücksichtigung der Art der Verarbeitung und der Dedupely verfügbaren Informationen. Verlangt der Kunde Unterstützung, die über die Pflichten von Dedupely nach dem Datenschutzrecht oder diesem AVV hinausgeht, kann Dedupely eine angemessene Gebühr berechnen;
• informiert den Kunden über jede Anfrage einer Regierungs- oder Strafverfolgungsbehörde, die die Offenlegung Personenbezogener Kundendaten verlangt, sofern dies nicht nach geltendem Recht untersagt ist. Soweit möglich, verweist Dedupely die anfragende Behörde darauf, die Daten direkt beim Kunden anzufordern, und unternimmt wirtschaftlich angemessene Anstrengungen, um rechtswidrige oder überzogene Anfragen vor der Offenlegung anzufechten, soweit rechtlich zulässig;
• löscht Kundenkonten samt allen Personenbezogenen Kundendaten, einschließlich CRM- und CSV-Daten sowie der zugehörigen Merge History, spätestens vierundzwanzig (24) Monate, nachdem das Konto kein aktives Abonnement und keine aktive Testphase mehr hat. Dedupely sendet mindestens vierzehn (14) Tage vor der Löschung eine Mitteilung an die E-Mail-Adresse des Kontos. In jedem Fall löscht oder retourniert Dedupely diese Daten nach Wahl des Kunden innerhalb von dreißig (30) Tagen nach dessen schriftlicher Aufforderung. Personenbezogene Kundendaten werden in einem wirtschaftlich angemessenen, gängigen elektronischen Format zurückgegeben. Aus Produktivsystemen gelöschte Daten werden innerhalb von sieben (7) Tagen aus Backups entfernt. Dedupely darf eine Kopie nur aufbewahren, soweit geltendes Recht dies verlangt;
• stellt dem Kunden auf Anfrage seine Zertifikate nach ISO 27001, ISO 27017 und ISO 27018, eine Zusammenfassung des jüngsten Penetrationstests sowie schriftliche Antworten auf angemessene Sicherheitsfragebögen bereit, um die Einhaltung dieses AVV nachzuweisen. Reicht dies nicht aus, gestattet Dedupely dem Kunden oder einer zur Vertraulichkeit verpflichteten unabhängigen Prüfstelle höchstens einmal pro Jahr ein Audit, bestehend aus von Dedupely bereitgestellten schriftlichen Informationen und Gesprächen mit dem IT-Personal von Dedupely. Alle bereitgestellten Berichte, Unterlagen und Fragebogenantworten sind vertrauliche Informationen von Dedupely. Audits werden in der Regel durch die oben beschriebene Dokumentation erfüllt. Ist nach geltendem Recht eine Vor-Ort-Prüfung erforderlich, kündigt der Kunde diese mindestens sechzig (60) Tage im Voraus schriftlich an; die Prüfung beschränkt sich auf Verarbeitungsstandorte unter direkter Kontrolle von Dedupely, und die Parteien vereinbaren vorab angemessenen Umfang, Zeitpunkt und Vertraulichkeitsbedingungen. Dedupely kann für den Zeitaufwand von Audits und Prüfungen eine angemessene Gebühr berechnen;
• benachrichtigt den Kunden unverzüglich, sobald Dedupely von einer versehentlichen, unbefugten oder unrechtmäßigen Zerstörung, einem Verlust, einer Veränderung, einer Offenlegung von oder einem Zugriff auf Personenbezogene Kundendaten (ein "Vorfall") Kenntnis erlangt, in jedem Fall aber innerhalb von achtundvierzig (48) Stunden, wenn der Vorfall personenbezogene Daten betrifft, die der GDPR oder der UK GDPR unterliegen. Kein Vorfall sind erfolglose Versuche oder Aktivitäten, die die Sicherheit Personenbezogener Kundendaten nicht beeinträchtigen, einschließlich erfolgloser Anmeldeversuche, Pings, Portscans sowie Denial-of-Service- oder anderer Netzwerkangriffe auf Firewalls oder vernetzte Systeme. Kenntnis von einem Vorfall erlangt Dedupely in diesem Sinne, wenn dieser im Rahmen des Incident-Response-Prozesses von Dedupely als solcher bestätigt wird. Die Benachrichtigung beschreibt die Art des Vorfalls, die Kategorien und den ungefähren Umfang der betroffenen Daten, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Dedupely informiert regelmäßig über den Stand und ergreift Maßnahmen, um den Vorfall zu untersuchen und seine Auswirkungen einzudämmen;
• übermittelt Personenbezogene Kundendaten nur dann an einen Empfänger außerhalb des Verarbeitungslands, wenn der Empfänger durch geeignete Garantien nach dem Datenschutzrecht gebunden ist;
• übermittelt Personenbezogene Kundendaten nicht an Dienste für künstliche Intelligenz und verwendet sie nicht, um Modelle für künstliche Intelligenz oder maschinelles Lernen zu trainieren oder zu entwickeln.

4. Pflichten des Kunden

Der Kunde:

• erteilt Dedupely ausschließlich rechtmäßige Weisungen;
• erfüllt seine Pflichten nach dem Datenschutzrecht, einschließlich in Bezug auf Betroffenenrechte, Datensicherheit und Vertraulichkeit, und stellt sicher, dass er über eine geeignete Rechtsgrundlage für die in diesem AVV beschriebene Verarbeitung verfügt;
• stellt betroffenen Personen alle erforderlichen Hinweise bereit und holt von ihnen alle erforderlichen Rechte, Genehmigungen und Einwilligungen ein, damit Dedupely die vom Kunden mit dem Service synchronisierten Personenbezogenen Kundendaten rechtmäßig verarbeiten kann. Für den Inhalt seiner Hinweise ist allein der Kunde verantwortlich; und
• ist allein verantwortlich für die Richtigkeit, Qualität und Rechtmäßigkeit der Personenbezogenen Kundendaten und die Art und Weise ihrer Erhebung.

5. CCPA

Soweit der CCPA anwendbar ist, handelt Dedupely als Dienstleister im Sinne des CCPA. Dedupely wird nicht: (a) Personenbezogene Kundendaten im Sinne der Definitionen des CCPA verkaufen oder teilen; (b) Personenbezogene Kundendaten außerhalb der direkten Geschäftsbeziehung mit dem Kunden aufbewahren, verwenden oder offenlegen, außer zur Bereitstellung des Service und soweit zur Einhaltung geltenden Rechts erforderlich; oder (c) Personenbezogene Kundendaten mit personenbezogenen Informationen kombinieren, die von oder im Auftrag einer anderen Partei erhalten oder aus eigenen Interaktionen von Dedupely mit einer Person erhoben wurden. Dedupely bestätigt, diese Beschränkungen zu verstehen und einzuhalten, und informiert den Kunden, wenn Dedupely feststellt, dass es seine Pflichten nach dem CCPA nicht mehr erfüllen kann.

6. Internationale Übermittlungen

Dedupely verarbeitet personenbezogene Daten in den USA. Übermittelt der Kunde personenbezogene Daten, die der GDPR, der UK GDPR oder dem Schweizer Datenschutzrecht unterliegen, an Dedupely, gelten die SCCs (Modul Zwei) und werden durch Verweis in diesen AVV einbezogen, wobei:

• Klausel 7 (Kopplungsklausel) keine Anwendung findet;
• Klausel 9, Option 2 (allgemeine schriftliche Genehmigung) Anwendung findet, mit der in Ziffer 3(4) oben genannten Benachrichtigungsfrist;
• Klausel 11, die optionale Regelung zur unabhängigen Streitbeilegung, keine Anwendung findet;
• Klausel 17, Option 1, mit irischem Recht als anwendbarem Recht;
• Klausel 18(b), die Gerichte Irlands;
• Anhang I.A und I.B, ausgefüllt gemäß Anlage 1 dieses DPA;
• Anhang II, ausgefüllt gemäß Anlage 2 dieses DPA.

Soweit personenbezogene Daten der UK GDPR unterliegen, gilt das UK Addendum für die wie vorstehend vervollständigten SCCs. Soweit personenbezogene Daten schweizerischem Recht unterliegen, gelten Verweise auf die GDPR als Verweise auf das schweizerische Bundesgesetz über den Datenschutz, und zuständige Behörde ist der Eidgenössische Datenschutz- und Öffentlichkeitsbeauftragte.

Mit Annahme der Bedingungen gelten die SCCs und das UK Addendum als vom Kunden und von Dedupely unterzeichnet.

7. Haftung

Dedupely haftet nicht für Ansprüche betroffener Personen aus oder im Zusammenhang mit der Verarbeitung personenbezogener Daten des Kunden durch Dedupely, soweit Dedupely nach den Weisungen des Kunden gehandelt hat.

8. Rangfolge

Haben Dedupely und der Kunde einen gesondert ausgehandelten Auftragsverarbeitungsvertrag geschlossen, geht dieser bei Widersprüchen diesem DPA vor. Die nach Ziffer 6 einbezogenen Standardvertragsklauseln gelten weiter, sofern der ausgehandelte Vertrag keinen eigenen Übermittlungsmechanismus vorsieht. Im Übrigen geht bei Widersprüchen zwischen diesem DPA und den Bedingungen hinsichtlich der Verarbeitung personenbezogener Daten dieses DPA vor. Bei Widersprüchen zwischen diesem DPA und den Standardvertragsklauseln gehen die Standardvertragsklauseln vor.

9. Änderungen dieses DPA

Wir können dieses DPA von Zeit zu Zeit aktualisieren. Änderungen werden wirksam, sobald wir das überarbeitete DPA hier veröffentlichen oder, falls später, sobald wir eine gesetzlich vorgeschriebene Mitteilung machen. Über wesentliche Änderungen informieren wir Sie per E-Mail oder durch einen Hinweis auf unserer Website.

Anlage 1 — Einzelheiten der Verarbeitung

Parteien. Datenexporteur: der Kunde als Verantwortlicher. Datenimporteur: Dedupely Software, Inc., 11871 Horseshoe Way #1103, Richmond, BC V7A 5H5, Kanada, als Auftragsverarbeiter. Kontakt: compliance@dedupe.ly.

Kategorien betroffener Personen. Interessenten, Kunden, Endnutzer und andere Personen, deren Daten in den Datensätzen enthalten sind, die der Kunde mit dem Dienst synchronisiert.

Kategorien personenbezogener Daten. Der Kunde bestimmt den Umfang durch die Auswahl der zu synchronisierenden Objekte. Dazu können Kontakte, Unternehmen, Deals, Tickets und benutzerdefinierte Objekte gehören. Dedupely verarbeitet für jedes ausgewählte Objekt den vollständigen Datensatz, einschließlich nativer und benutzerdefinierter Felder, Datensatzkennungen und Metadaten. In der Praxis sind dies häufig Namen, E-Mail-Adressen, Telefonnummern, Postanschriften, Social-Profil-URLs, Ort, Region und Land sowie Erstellungs- und Änderungszeitstempel.

Art und Zweck der Verarbeitung. Erkennung doppelter Datensätze, Anzeige von Übereinstimmungen zur Prüfung durch den Kunden, Durchführung der vom Kunden freigegebenen oder konfigurierten Zusammenführungen sowie Bereitstellung, Wartung, Support und Verbesserung des Dienstes.

Quellen. Personenbezogene Daten des Kunden stammen aus den CRM-Datensätzen des Kunden, aus CRM-Integrationen und aus vom Kunden hochgeladenen CSV-Dateien.

Häufigkeit der Übermittlung. Fortlaufend, für die Dauer der Nutzung des Dienstes durch den Kunden.

Ort der Verarbeitung. USA — Amazon Web Services (Region Nord-Virginia) und Google Cloud.

Dauer. Solange das Konto des Kunden aktiv ist, danach gemäß Ziffer 3(9).

Unterauftragsverarbeiter. Gemäß der Liste unter dedupe.ly/legal/sub-processors.

Zuständige Aufsichtsbehörde. Bestimmt sich nach dem Sitz des Kunden oder, wenn der Kunde nicht im EWR niedergelassen ist, nach dessen Vertreter gemäß Artikel 27.

Anlage 2 — Technische und organisatorische Maßnahmen

Zertifizierung. Dedupely ist nach ISO/IEC 27001:2022, ISO/IEC 27017 (Cloud-Sicherheit) und ISO/IEC 27018 (Schutz personenbezogener Daten in der Cloud) zertifiziert. Zertifikate sind auf Anfrage erhältlich.

Verschlüsselung. Personenbezogene Daten des Kunden werden bei der Übertragung und im Ruhezustand verschlüsselt.

Zugriffskontrolle. Der Zugriff auf personenbezogene Daten des Kunden ist auf autorisierte Mitarbeiter beschränkt, die ihn für den Betrieb des Dienstes und den Support des Kunden benötigen. Zugriff wird rollenbasiert vergeben und erfordert eine Authentifizierung. Passwörter werden verschlüsselt und gehasht gespeichert.

Authentifizierung. Der Dienst unterstützt Zwei-Faktor-Authentifizierung, Sitzungs-Timeouts, föderierte Anmeldung und IP-Allowlisting. Der Kunde steuert Benutzerrollen und Berechtigungen in seinem eigenen Konto.

Mandantentrennung. Personenbezogene Daten des Kunden werden logisch getrennt, sodass die Datensätze jedes Kunden nur innerhalb seines Kontos zugänglich sind. Interne Dienste arbeiten nach dem Least-Privilege-Prinzip, und die Produktionsumgebung ist von Entwicklungs- und Testumgebungen getrennt.

Integrationssicherheit. Verbindungen zum CRM des Kunden nutzen OAuth, sofern verfügbar. OAuth-Token werden fortlaufend rotiert, und Berechtigungen sind auf das für die Erbringung des Dienstes Erforderliche beschränkt. Unterstützt das CRM kein OAuth, verbindet sich der Kunde über eigene private API-Schlüssel und ist für deren Rotation verantwortlich.

Protokollierung. Dedupely führt Aktivitätsprotokolle über Zusammenführungen und Benutzeraktionen.

Backups. Verschlüsselte Infrastruktur-Backups werden von einem Unterauftragsverarbeiter erstellt und sieben (7) Tage aufbewahrt.

Geschäftskontinuität. Dedupely unterhält dokumentierte Verfahren für Geschäftskontinuität und Notfallwiederherstellung, testet die Wiederherstellungsfähigkeit regelmäßig und unterhält den Risiken angemessene Backup-Prozesse.

Physische Sicherheit. Die Produktionsinfrastruktur wird bei Amazon Web Services und Google Cloud gehostet; diese sind für die physischen Zugangskontrollen in ihren Rechenzentren verantwortlich.

Sicherheitstests. Unabhängige Penetrationstests und Sicherheitsscans erfolgen gegen eine Staging-Umgebung, die die Produktion spiegelt. Die Testanbieter haben keinen Zugriff auf personenbezogene Daten des Kunden in der Produktionsumgebung.

Vorfallreaktion. Dedupely unterhält einen dokumentierten, an seinen ISO-Zertifizierungen ausgerichteten Incident-Response-Plan, der Erkennung und Schweregrad-Klassifizierung, Eindämmung, Untersuchung und Ursachenanalyse, Benachrichtigung, Behebung, Nachbereitung sowie Protokollierung zu Auditzwecken umfasst.

Personal. Mitarbeiter mit Zugriff auf personenbezogene Daten des Kunden unterliegen Vertraulichkeitspflichten und erhalten regelmäßige Schulungen zu Datenschutz und Sicherheit.