Vertrag zur Auftrags­verarbeitung

Dieser Vertrag gilt zwischen dem Kunden als Verantwortlichem („Kunde“) und der good vibes GmbH, Gartenstrasse 7, c/o excent AG, Zweigniederlassung Zug, 6300 Zug, Schweiz, UID CHE-251.623.804, vertreten durch den Geschäftsführer Denis Lulic als Auftragsverarbeiterin („X3“, „wir“). Er ist Anhang der AGB und kommt mit deren Annahme zustande, ohne dass es einer gesonderten Unterschrift bedarf. Auf Wunsch stellen wir eine unterzeichnete Fassung bereit.

Er gilt für alle Verarbeitungen personenbezogener Daten, die wir bei der Erbringung der X3 Produkte im Auftrag des Kunden vornehmen. Anwendbar sind die Datenschutz-Grundverordnung (DSGVO), soweit sie für den Kunden gilt, und das Schweizer Datenschutzgesetz (DSG). Begriffe haben die Bedeutung nach Art. 4 DSGVO und Art. 5 DSG.

Ist der Kunde selbst Auftragsverarbeiter eines Dritten (etwa eine Agentur für ihre Kunden), handeln wir als weiterer Auftragsverarbeiter. Der Kunde sichert zu, dass seine Weisungen und die Beauftragung von X3 von seinem Verantwortlichen genehmigt sind, und leitet Mitteilungen nach diesem Vertrag weiter.

Nicht unter diesen Vertrag fallen Verarbeitungen, für die wir selbst verantwortlich sind: das X3 Konto der Nutzer, Abrechnung, Support, Sicherheit und Missbrauchsabwehr, unsere Website. Dafür gilt die Datenschutzerklärung (x3growth.io/datenschutz).

Gegenstand ist die Bereitstellung der vom Kunden genutzten X3 Produkte als Software as a Service: Erheben, Speichern, Ordnen, Auswerten, Abfragen, Übermitteln an vom Kunden gewählte Empfänger, Einschränken und Löschen von Daten. Zweck ist ausschließlich die Erbringung der Leistungen nach den AGB, einschließlich Betrieb, Sicherheit, Fehlerbehebung und Support.

Die Dauer entspricht der Laufzeit des Vertrags über das jeweilige Produkt zuzüglich der Fristen für Export und Löschung nach Ziffer 19 der AGB und Ziffer 12 dieses Vertrags.

Betroffene Personen: Besucher der Websites und Apps des Kunden, Leads und Interessenten, Personen, die auf Anzeigen des Kunden klicken, sowie Kontakte aus angebundenen CRM-Systemen.

Daten: Nutzungs- und Ereignisdaten (aufgerufene Seiten, Referrer, Kampagnenparameter, Klick-Kennungen der Werbeplattformen, Klicks, Scrolltiefe, Verweildauer, Ereignisse, Ziele), Geräte- und Browserangaben, aus der IP-Adresse abgeleiteter ungefährer Standort (Land, Region, Stadt), pseudonyme Besuchs- und, mit Einwilligung, Browserkennungen, die IP-Adresse und Browserkennung zur kurzfristigen Verarbeitung ohne dauerhafte Speicherung, Aufnahmen und Heatmaps (Seitenaufbau, Mausbewegungen, Klicks, Scrollen, mit maskierten Eingaben), Einwilligungsstatus, Installationen und Käufe aus Apps (App Store, Google Play), Lead-Angaben aus Formularen, Lead-Formularen von Werbeplattformen oder APIs (z. B. Name, E-Mail-Adresse, Telefonnummer, Firma, Antworten), Status in der Pipeline, Umsätze, an Werbeplattformen gemeldete Conversions und Signale.

Betroffene Personen: Kontakte, Leads, Kunden, Interessenten und Ansprechpartner des Kunden, Empfänger und Absender von E-Mails, Teilnehmer von Terminen und Personen, die über Buchungsseiten buchen.

Daten: Stammdaten und Kontaktdaten (Name, Firma, Position, E-Mail-Adresse, Telefonnummer, Adresse, Website, Profile), Lead-Herkunft und Kampagnen, Deals, Aufgaben, Notizen, Anrufergebnisse und Gesprächsleitfäden, Termine und Buchungsangaben, E-Mails aus verbundenen Postfächern (Gmail, Outlook oder eigener Mailserver; Kopfzeilen, Inhalte, Anhänge, soweit synchronisiert) und gesendete E-Mails, bei eingeschalteter Verfolgung Zeitpunkt und Anzahl von Öffnungen und Klicks sowie die geklickten Links (ohne IP-Adresse und Browserkennung der Empfänger), Kalendereinträge, Importdateien sowie Protokolle von Änderungen.

Betroffene Personen: Mitarbeitende und Nutzer des Kunden, sowie alle Personen, deren Daten der Kunde in Chats, Dateien, Workflows oder verbundenen Apps verarbeitet (etwa Kunden, Lieferanten, Bewerber, Geschäftspartner).

Daten: Eingaben (Prompts), Chatverläufe und Ergebnisse der KI-Funktionen, Inhalte von Dateien und Nachrichten, Daten, die Workflows aus verbundenen Apps lesen oder dorthin schreiben, Freigaben und Protokolle (wer hat was wann ausgelöst oder freigegeben), Verbrauchs- und Budgetdaten, über den lokalen Server abgefragte Daten aus dem Netzwerk des Kunden. Art und Umfang bestimmt der Kunde durch seine Nutzung; besonders schützenswerte Personendaten verarbeitet der Kunde nur, wenn er dafür eine Rechtsgrundlage hat (Ziffer 24 der AGB).

Daten aller Produkte: Nutzer des Kunden (Name, E-Mail-Adresse, Rolle, Profilbild) in ihrer Funktion innerhalb der Kundendaten, etwa als Bearbeiter, sowie Zugriffsprotokolle.

Wir verarbeiten die Daten nur auf dokumentierte Weisung des Kunden, auch bei Übermittlungen in Drittländer, außer wir sind gesetzlich zu einer Verarbeitung verpflichtet; dann teilen wir dem Kunden die rechtliche Anforderung vor der Verarbeitung mit, soweit das Gesetz dies nicht verbietet.

Die Weisungen ergeben sich abschließend aus den AGB, diesem Vertrag, der Konfiguration und Nutzung der Produkte durch den Kunden (z. B. Einstellungen, Verbindungen, Workflows, Exporte, Löschungen) und aus einzelnen Weisungen in Textform. Weisungen, die über den vereinbarten Leistungsumfang hinausgehen, behandeln wir als Änderungswunsch.

Hält eine Weisung nach unserer Auffassung gegen Datenschutzrecht, teilen wir dies dem Kunden unverzüglich mit und dürfen die Ausführung bis zur Klärung aussetzen.

Wir verpflichten alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht einer gesetzlichen Schweigepflicht unterliegen, und gewähren Zugang nur, soweit er für die Aufgabe erforderlich ist.

Wir treffen die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und Art. 8 DSG, die in Anlage 1 beschrieben sind. Wir dürfen sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.

Wir unterstützen den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch), vorrangig über die Funktionen der Produkte (Suche, Bearbeitung, Export, Löschung). Wenden sich betroffene Personen direkt an uns, leiten wir die Anfrage an den Kunden weiter, soweit wir ihn erkennen können, und antworten nicht selbst in der Sache.

Wir unterstützen den Kunden unter Berücksichtigung der uns verfügbaren Informationen bei der Sicherheit der Verarbeitung, bei Meldungen von Verletzungen, bei Datenschutz-Folgenabschätzungen und bei vorherigen Konsultationen der Aufsichtsbehörde (Art. 32 bis 36 DSGVO, Art. 22 und 23 DSG). Unterstützung, die über die Funktionen der Produkte und einfache Auskünfte hinausgeht, dürfen wir nach Aufwand berechnen, außer sie beruht auf unserem eigenen Verstoß.

Wir führen ein Verzeichnis der Verarbeitungstätigkeiten als Auftragsverarbeiter, soweit gesetzlich vorgeschrieben. Einen Datenschutzbeauftragten haben wir nicht benannt, da keine Pflicht dazu besteht; Ansprechpartner für den Datenschutz ist deno@x3growth.io.

Der Kunde ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Rechtsgrundlagen und Einwilligungen, für die Information der betroffenen Personen, für die Wahl der Einstellungen (z. B. Einwilligungsmodus, Maskierung, Öffnungs- und Klickverfolgung, Freigaben) und für die Auswahl der Empfänger, an die er Daten über Verbindungen übermittelt.

Er informiert uns unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

Der Kunde erteilt uns die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt und gelten als genehmigt.

Wir informieren den Kunden mindestens 30 Tage im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters durch Aktualisierung von Anlage 2 und eine Mitteilung per E-Mail oder in der App. Der Kunde kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Können wir keine zumutbare Abhilfe schaffen, kann der Kunde das betroffene Produkt zum Zeitpunkt des Wechsels kündigen; vorausbezahlte Vergütung erstatten wir anteilig. In dringenden Fällen (etwa Ausfall eines Dienstleisters oder Sicherheitsgründe) dürfen wir die Frist verkürzen und informieren unverzüglich.

Wir verpflichten jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht, und haften gegenüber dem Kunden für dessen Pflichten wie für eigene.

Keine Unterauftragsverarbeiter von X3 sind: Dienste, die der Kunde selbst verbindet und an die er Daten übermitteln lässt (etwa Werbeplattformen bei Conversions, seine Postfächer, Kalender, CRM-Systeme und die Apps, die er über Composio anbindet), KI-Anbieter, die der Kunde mit eigenem API-Schlüssel nutzt, und Anbieter reiner Transportleistungen (Internet- und Telekommunikationsanbieter). Für sie ist der Kunde im Verhältnis zum jeweiligen Anbieter selbst verantwortlich.

Die Kundendaten der Produkte speichern wir in Rechenzentren in der Europäischen Union (Frankfurt am Main). Die Europäische Union gilt nach dem Schweizer Recht als Staat mit angemessenem Datenschutz, die Schweiz nach einem Angemessenheitsbeschluss der EU-Kommission ebenso.

Übermittlungen in Staaten ohne angemessenen Datenschutz, insbesondere in die USA (etwa weil ein Unterauftragsverarbeiter dort seinen Sitz hat oder Support von dort leistet), nehmen wir nur vor, wenn die Voraussetzungen der Art. 44 ff. DSGVO und Art. 16 f. DSG erfüllt sind: auf Grundlage einer Zertifizierung nach dem EU-U.S. Data Privacy Framework und dem Swiss-U.S. Data Privacy Framework oder auf Grundlage der Standardvertragsklauseln der EU-Kommission (Beschluss 2021/914) mit den für die Schweiz erforderlichen Anpassungen, jeweils mit ergänzenden Maßnahmen, soweit erforderlich (z. B. Verschlüsselung bei der Übertragung und Speicherung).

Soweit für eine Übermittlung zwischen dem Kunden und X3 selbst Standardvertragsklauseln erforderlich sind (etwa für Kunden in der EU, da X3 in der Schweiz sitzt), genügt der Angemessenheitsbeschluss der EU-Kommission für die Schweiz. Übermitteln wir Daten eines Kunden aus der EU an einen Unterauftragsverarbeiter in einem Drittland, gelten die Standardvertragsklauseln Modul 3 (Auftragsverarbeiter an Auftragsverarbeiter) zwischen uns und dem Unterauftragsverarbeiter.

Wir melden dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die Kundendaten betrifft, unverzüglich, spätestens innerhalb von 48 Stunden, nachdem sie uns bekannt geworden ist, an die E-Mail-Adresse der Inhaber seiner Organisation.

Die Meldung enthält, soweit bekannt, die Art der Verletzung, die Kategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Maßnahmen und einen Ansprechpartner. Informationen, die noch nicht vorliegen, reichen wir unverzüglich nach. Wir ergreifen sofort angemessene Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mindern.

Die Meldung an die Aufsichtsbehörde (Art. 33 DSGVO, Art. 24 DSG) und die Benachrichtigung betroffener Personen nimmt der Kunde als Verantwortlicher vor; wir unterstützen ihn dabei. Eine Meldung ist kein Anerkenntnis eines Verschuldens.

Nach Ende der Leistungen für ein Produkt kann der Kunde seine Daten innerhalb der Frist nach Ziffer 19 der AGB (30 Tage) exportieren. Danach löschen wir die Kundendaten des Produkts einschließlich vorhandener Kopien innerhalb von weiteren 30 Tagen; Sicherungskopien werden im Rahmen der regulären Rotation spätestens nach weiteren 35 Tagen gelöscht und bis dahin nicht mehr aktiv verarbeitet.

Ausgenommen sind Daten, die wir nach geltendem Recht aufbewahren müssen; diese sperren wir für jede andere Verarbeitung. Während der Laufzeit gelten die vom Kunden eingestellten oder in der Datenschutzerklärung und Produktdokumentation genannten Aufbewahrungsfristen der Produkte (etwa automatische Löschung von Rohdaten und Aufnahmen in X3 Growth Intelligence). Auf Verlangen bestätigen wir die Löschung in Textform.

Wir stellen dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, insbesondere eine aktuelle Beschreibung der Maßnahmen, die Liste der Unterauftragsverarbeiter und, soweit vorhanden, Zertifikate oder Prüfberichte unserer Dienstleister.

Reichen diese Nachweise nicht aus, kann der Kunde oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer, der kein Wettbewerber von X3 ist, Prüfungen einschließlich Inspektionen nach Ankündigung von mindestens 30 Tagen während der Geschäftszeiten durchführen, höchstens einmal je Kalenderjahr, außer bei einem konkreten Anlass wie einer Verletzung nach Ziffer 11 oder einer Anordnung einer Aufsichtsbehörde. Prüfungen dürfen den Betrieb und die Vertraulichkeit der Daten anderer Kunden nicht beeinträchtigen. Rechenzentren unserer Dienstleister werden durch deren Prüfberichte geprüft. Den Aufwand für Vor-Ort-Prüfungen trägt der Kunde, außer die Prüfung ergibt einen wesentlichen Verstoß von X3.

Für die Haftung gelten die Regeln der AGB (Ziffer 16), soweit Art. 82 DSGVO oder zwingendes Recht nicht etwas anderes vorsehen. Im Verhältnis zwischen den Parteien trägt jede Seite den Schaden, der auf ihren Verstoß zurückgeht.

Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den AGB vor, und, soweit sie anwendbar sind, gehen die Standardvertragsklauseln diesem Vertrag vor. Änderungen richten sich nach Ziffer 20 der AGB. Es gelten das Recht und der Gerichtsstand nach Ziffer 21 der AGB, soweit nicht zwingendes Datenschutzrecht etwas anderes vorschreibt.

Vertraulichkeit, Zutritt: Wir betreiben keine eigenen Rechenzentren. Die Infrastruktur läuft bei Vercel und Neon auf Amazon Web Services in Frankfurt am Main; deren Rechenzentren sind nach ISO 27001 und SOC 2 geprüft und haben Zutrittskontrollen, Bewachung und Videoüberwachung. Arbeitsgeräte unserer Mitarbeitenden sind verschlüsselt und gesperrt, wenn sie unbeaufsichtigt sind.

Zugang und Zugriff: Anmeldung der Nutzer zentral über das X3 Konto mit Passwort (nur als sicherer Hash gespeichert) oder Anmeldelink, Bestätigung der E-Mail-Adresse, Sitzungen mit sicheren, nur für den Server lesbaren Cookies und Ablauf. Strikte Trennung der Organisationen (Mandantentrennung) in jeder Abfrage, Rollen und Rechte je Organisation, Produkt und Projekt, API-Schlüssel und MCP-Zugänge mit Berechtigungsbereichen (Scopes), widerrufbar. Zugriff unserer Mitarbeitenden auf Produktionssysteme nur nach dem Prinzip der minimalen Rechte, mit Zwei-Faktor-Anmeldung und protokolliert.

Verschlüsselung und Pseudonymisierung: Übertragung ausschließlich verschlüsselt (TLS), Speicherung in der Datenbank verschlüsselt (Encryption at Rest). Zugangstoken von Verbindungen und eigene API-Schlüssel der Kunden zusätzlich auf Anwendungsebene verschlüsselt. IP-Adressen von Website-Besuchern werden in X3 Growth Intelligence nicht gespeichert, sondern nur zu einem täglich wechselnden pseudonymen Prüfwert und einem ungefähren Standort verarbeitet; Eingaben in Aufnahmen werden bereits im Browser maskiert, Anmelde-, Zahlungs- und Kontoseiten nie aufgezeichnet. Bei der Öffnungs- und Klickverfolgung in X3 CRM werden IP-Adresse und Browserkennung der Empfänger nicht gespeichert. Der lokale Server von X3 Automation baut nur ausgehende, signierte Verbindungen auf.

Integrität: Protokollierung von Änderungen und Freigaben (Audit-Log), Freigaben vor dem Senden oder Ausführen in X3 Automation, Validierung von Eingaben, Code-Review und automatisierte Tests vor jedem Deploy, Trennung von Entwicklungs-, Test- und Produktivumgebung, Verwaltung von Geheimnissen außerhalb des Codes.

Verfügbarkeit und Belastbarkeit: Hosting auf redundanter Cloud-Infrastruktur mit automatischer Skalierung, Schutz vor Überlastangriffen durch den Hoster, automatische Datensicherungen der Datenbank mit Wiederherstellung auf einen Zeitpunkt (Point-in-Time-Recovery), Überwachung von Fehlern und Verfügbarkeit, Ratenbegrenzungen, harte Budgets für KI-Verbrauch.

Verfahren zur regelmäßigen Überprüfung: Aktualisierung von Abhängigkeiten und Sicherheitsupdates, Prüfung von Unterauftragsverarbeitern vor dem Einsatz, Vertraulichkeitsverpflichtung und Schulung der Mitarbeitenden, Prozess für Datenschutzvorfälle mit Meldung nach Ziffer 11, Datenschutz durch Technikgestaltung und datenschutzfreundliche Voreinstellungen (cookielose Messung, Maskierung, Einwilligungsmodus, Öffnungs- und Klickverfolgung abschaltbar), automatische Löschfristen.

Auftragskontrolle: Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 DSGVO und, bei Drittlandbezug, Data Privacy Framework oder Standardvertragsklauseln; Verarbeitung nur nach Weisung des Kunden.

Stand November 2026. Für jeden Unterauftragsverarbeiter: Name und Sitz, Leistung, betroffene Produkte, Ort der Verarbeitung und Grundlage einer Übermittlung ins Ausland.

Vercel Inc., 440 N Barranca Ave #4133, Covina, CA 91723, USA: Hosting der Apps und Schnittstellen, Serverfunktionen, Dateispeicher (Vercel Blob, etwa Aufnahmen, Importe, Anhänge, Exporte, Profilbilder) und Betriebsprotokolle. Alle Produkte. Serverfunktionen in Frankfurt am Main (Region fra1), Auslieferung über das weltweite Netz von Vercel. Übermittlung: EU-U.S. und Swiss-U.S. Data Privacy Framework, ergänzend Standardvertragsklauseln.

Neon Inc., USA: Datenbank (PostgreSQL) für alle Kundendaten der Produkte und des X3 Kontos. Alle Produkte. Speicherung in Frankfurt am Main (Amazon Web Services, Region eu-central-1). Übermittlung (etwa bei Support aus den USA): Standardvertragsklauseln.

Vercel Inc. (AI Gateway), USA: Weiterleitung von Anfragen an KI-Modelle und Abrechnung des Verbrauchs, wenn der Kunde keinen eigenen API-Schlüssel nutzt. X3 Automation. Übermittlung: Data Privacy Framework, ergänzend Standardvertragsklauseln.

Anthropic, PBC, USA: Sprachmodelle (Claude) für KI-Funktionen, aufgerufen über das Vercel AI Gateway. X3 Automation. Übermittlung: Standardvertragsklauseln. Nach den API-Bedingungen des Anbieters werden Eingaben und Ausgaben nicht zum Training seiner Modelle verwendet.

OpenAI, L.L.C., USA: Sprachmodelle als optionales Modell, aufgerufen über das Vercel AI Gateway. X3 Automation. Übermittlung: Standardvertragsklauseln. Nach den API-Bedingungen des Anbieters werden Eingaben und Ausgaben nicht zum Training seiner Modelle verwendet.

Composio, Inc., USA: Verwaltung der Anmeldung (OAuth) und Ausführung von Abfragen und Aktionen bei Verbindungen, die der Kunde einrichtet: Werbekonten, Search Console und CRM-Systeme (Growth Intelligence), Postfächer, Kalender und Videokonferenzen (CRM), Apps und Workflows (Automation). Alle Produkte. Übermittlung: Standardvertragsklauseln.

Twilio Inc. (SendGrid), USA: Versand von E-Mails der Plattform, etwa Bestätigungen, Einladungen, Benachrichtigungen, Berichte und Buchungsbestätigungen. Alle Produkte. E-Mails, die Nutzer in X3 CRM über ihr eigenes Postfach senden, laufen nicht über diesen Dienst. Übermittlung: Data Privacy Framework, ergänzend Standardvertragsklauseln.

650 Industries, Inc. (Expo), USA: Zustellung von Push-Benachrichtigungen an die mobilen Apps (weitergeleitet an den Apple Push Notification Service der Apple Inc. und Firebase Cloud Messaging der Google LLC) und Auslieferung von App-Updates. X3 CRM und mobile Apps. Übermittlung: Standardvertragsklauseln.

Nicht in dieser Liste stehen Empfänger, die der Kunde selbst auswählt und verbindet (Ziffer 9 Absatz 4), etwa Werbeplattformen bei Conversions, sein eigenes Postfach oder sein eigener KI-Anbieter, sowie Stripe, das ausschließlich unsere eigene Abrechnung mit dem Kunden abwickelt.