Auftragsverarbeitungsvertrag
gemäß Art. 28 der Verordnung (EU) 2016/679 des Europäischen Parlaments und des Rates (DSGVO)
Version 1.0 · gültig ab 14. 5. 2026
Für wen ist dieses Dokument? Dieser Auftragsverarbeitungsvertrag richtet sich an Unternehmen (Kunden von TopSMS), die über TopSMS SMS an ihre eigenen Kunden versenden und damit personenbezogene Daten Dritter verarbeiten. TopSMS tritt in diesem Verhältnis als Auftragsverarbeiter auf, der Kunde als Verantwortlicher. Der Vertrag ist untrennbarer Bestandteil der Allgemeinen Geschäftsbedingungen von TopSMS und wird mit der Aktivierung eines bezahlten Kontos geschlossen.
1. Vertragsparteien
Auftragsverarbeiter:
TopSMS.cz, Betreiber Vojtěch Šafář, Identifikationsnummer (IČO) 03346951, mit Sitz in Terronská 742/55, 160 00 Praha 6, Tschechische Republik, eine nach dem tschechischen Gewerbegesetz unternehmerisch tätige natürliche Person. Kontakt: info@topsms.cz (nachfolgend der „Auftragsverarbeiter“).
Verantwortlicher:
Der Kunde, der beim Auftragsverarbeiter ein Konto eingerichtet und bei der Registrierung seine Identifikationsangaben gemacht hat (Firmenname, Identifikationsnummer (IČO), Sitz, Kontakt-E-Mail). Die Identifikation des Verantwortlichen wird im Dashboard und in den vom Auftragsverarbeiter ausgestellten Buchungsbelegen (Rechnungen) geführt (nachfolgend der „Verantwortliche“).
2. Vertragsgegenstand
Der Auftragsverarbeiter erbringt für den Verantwortlichen den Dienst des Versands von Kurznachrichten (SMS) an die Endgeräte der Empfänger über einen vertraglich gebundenen Aggregator, der die Zustellung in die Netze der Mobilfunkbetreiber (T-Mobile CZ, O2, Vodafone) sowie in ausländische Netze sicherstellt. Im Rahmen dieses Dienstes verarbeitet der Auftragsverarbeiter personenbezogene Daten, die ihm der Verantwortliche über die REST-API, das Dashboard oder den Kontaktimport übergibt.
3. Umfang der Verarbeitung
| Punkt | Spezifikation |
|---|---|
| Gegenstand der Verarbeitung | Versand von SMS-Nachrichten im Namen des Verantwortlichen an die Telefonnummern seiner Kunden (betroffene Personen) |
| Dauer der Verarbeitung | Für die Dauer des Vertrags zwischen dem Verantwortlichen und dem Auftragsverarbeiter + gesetzliche Aufbewahrungsfristen (Buchungsbelege 10 Jahre, SMS-Protokolle 12 Monate, Opt-out-Datenbank dauerhaft) |
| Art und Zweck | Zustellung von Benachrichtigungen, Transaktionsbestätigungen, OTP-Codes, Marketingmitteilungen und weiteren vom Verantwortlichen definierten Inhalten |
| Art der personenbezogenen Daten | Telefonnummer des Empfängers, gegebenenfalls Name, E-Mail und weitere vom Verantwortlichen eingegebene Kontaktdaten; Inhalt der SMS (kann personenbezogene Daten enthalten); Zustellaufzeichnungen; eigene, vom Verantwortlichen vergebene Kontakt-ID („customId“) |
| Kategorien betroffener Personen | Kunden des Verantwortlichen, seine Mitarbeiter oder andere Personen, denen der Verantwortliche SMS sendet |
| Sensible Daten (Art. 9 DSGVO) | Werden standardmäßig nicht verarbeitet. Fügt der Verantwortliche sensible Daten in den Text einer SMS ein, ist er dafür in vollem Umfang verantwortlich und muss hierfür über eine eigene Rechtsgrundlage verfügen (z. B. Art. 9 Abs. 2 lit. h für das Gesundheitswesen). |
4. Pflichten und Rechte des Verantwortlichen
- Der Verantwortliche ist dafür verantwortlich, dass er für die versendeten SMS über eine gültige Rechtsgrundlage nach Art. 6 (und gegebenenfalls Art. 9) DSGVO verfügt, typischerweise Einwilligung des Empfängers, Vertragserfüllung oder berechtigtes Interesse.
- Der Verantwortliche ist für die Erfüllung der Informationspflichten gegenüber den betroffenen Personen verantwortlich (Art. 13, 14 DSGVO).
- Für Marketingmitteilungen ist der Verantwortliche für die Einholung der Einwilligung nach § 7 des tschechischen Gesetzes Nr. 480/2004 Slg. verantwortlich.
- Der Verantwortliche darf über den Dienst keine rechtswidrigen Inhalte, Spam, betrügerische Nachrichten oder Mitteilungen verbreiten, die Rechte Dritter verletzen.
- Der Verantwortliche hat das Recht, die Erfüllung dieses Vertrags durch ein Audit zu überprüfen (schriftlich mindestens 30 Tage im Voraus angekündigt, höchstens einmal jährlich, auf eigene Kosten).
5. Pflichten des Auftragsverarbeiters
Der Auftragsverarbeiter verpflichtet sich:
- personenbezogene Daten ausschließlich auf Grundlage dokumentierter Weisungen des Verantwortlichen zu verarbeiten (technisch repräsentiert durch API-Aufrufe, Aktionen im Dashboard oder Kontoeinstellungen) – im Einklang mit Art. 28 Abs. 3 lit. a DSGVO;
- sicherzustellen, dass Personen mit Zugang zu personenbezogenen Daten zur Vertraulichkeit verpflichtet sind (vertraglich und durch interne Vorschriften);
- technische und organisatorische Maßnahmen nach Art. 32 DSGVO zu treffen (siehe Artikel 7 dieses Vertrags);
- den Verantwortlichen bei der Erfüllung von Anträgen betroffener Personen zu unterstützen (Art. 12–22 DSGVO) – typischerweise Auskunft, Berichtigung, Löschung von Daten aus dem Dashboard;
- dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich (spätestens innerhalb von 48 Stunden nach Feststellung) zu melden (Art. 33 DSGVO);
- den Verantwortlichen bei einer Datenschutz-Folgenabschätzung (Art. 35) und bei der vorherigen Konsultation der Aufsichtsbehörde (Art. 36) zu unterstützen, wenn der Verantwortliche dies verlangt;
- nach Beendigung des Vertrags auf Verlangen des Verantwortlichen die personenbezogenen Daten in einem maschinenlesbaren Format (CSV) zu übergeben oder zu löschen. Mit der Kündigung des Kontos in der Anwendung werden die Identifikationsdaten des Verantwortlichen anonymisiert; die vollständige Löschung der Daten nimmt der Auftragsverarbeiter auf Grundlage eines an info@topsms.cz gesendeten Antrags innerhalb von 30 Tagen vor. Aufbewahrt bleiben Daten, deren weitere Aufbewahrung europäisches oder tschechisches Recht verlangt (z. B. Buchungsbelege 10 Jahre);
- dem Verantwortlichen alle Informationen zur Verfügung zu stellen, die zum Nachweis der Einhaltung der Pflichten nach Art. 28 DSGVO erforderlich sind.
6. Weitere Auftragsverarbeiter (Unterauftragsverarbeiter)
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) gemäß Art. 28 Abs. 2 DSGVO hinzuzuziehen. Der Auftragsverarbeiter veröffentlicht die aktuelle Liste der Unterauftragsverarbeiter nachstehend und teilt dem Verantwortlichen jede Änderung (Hinzufügung/Ersetzung) per E-Mail oder durch eine Benachrichtigung im Dashboard mindestens 30 Tage im Voraus mit. Ist der Verantwortliche mit der Änderung nicht einverstanden, hat er das Recht, den Vertrag zu beenden.
| Unterauftragsverarbeiter | Zweck | Standort | Garantien |
|---|---|---|---|
| Telekommunikationsaggregatoren | Zustellung von SMS in die Netze der Mobilfunkbetreiber CZ/SK sowie international, einschließlich eines Ausfallkanals | EU | DSGVO – keine Standardvertragsklauseln erforderlich; namentliche Liste auf Anfrage |
| Stripe Payments Europe, Ltd. | Abwicklung von Kartenzahlungen beim Aufladen des Guthabens (E-Mail, Zahlungsdaten) | Irland (EU) | Standardvertragsklauseln + AVV |
| Google Ireland Ltd. | Website-Reichweitenmessung und Werbemessung (Google Analytics, Google Ads) – nur mit Cookie-Einwilligung | Irland (EU) / USA | Standardvertragsklauseln + EU–US Data Privacy Framework |
| Microsoft Ireland Operations Ltd. | Microsoft Clarity – anonymisierte Klickkarten und Aufzeichnungen der Bewegungen auf der öffentlichen Website, nur mit Cookie-Einwilligung (betrifft weder das Dashboard noch Kundendaten) | Irland (EU) / USA | Standardvertragsklauseln + EU–US Data Privacy Framework |
| Anthropic PBC | Optionaler KI-Vorschlag für den Nachrichtentext – verarbeitet wird nur die vom Nutzer selbst eingegebene Vorgabe | USA | Standardvertragsklauseln |
| DigitalOcean, LLC | Hosting der Anwendung (Server, Datenbank, Dateispeicher) | EU (Frankfurt oder Amsterdam) | Standardvertragsklauseln + AVV |
| Resend, Inc. | Transaktions-E-Mails (Registrierungsbestätigung, Passwort-Zurücksetzung, Rechnungen) | USA | Standardvertragsklauseln + AVV (EU–US Data Privacy Framework) |
| Mobilfunkbetreiber (T-Mobile CZ, O2 CZ, Vodafone CZ, gegebenenfalls ausländische Netze) | Physische Zustellung der SMS an das Endgerät | CZ + Zielland des Empfängers | Eigene gesetzliche Übertragungspflicht |
7. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Verschlüsselte Übertragung: TLS 1.3 für die gesamte Kommunikation zwischen Client und Server; HSTS Preload.
- Passwort-Hashing: bcrypt (Cost 10+, geplante Erhöhung auf 12).
- Rollentrennung: Zugriff auf die Datenbank haben nur autorisierte Administratoren; Aktionen von Admin-Nutzern werden protokolliert (Audit-Log).
- 2FA: für alle Admin-Nutzer ist eine Zwei-Faktor-Authentifizierung (SMS-OTP) verpflichtend.
- Netzwerkisolation: die Datenbank ist nicht aus dem Internet erreichbar, nur vom Anwendungsserver.
- Backup: tägliche Datenbanksicherungen; Wiederherstellung innerhalb von 24 Stunden möglich.
- Monitoring: kontinuierliche Überwachung der Verfügbarkeit und von Sicherheitsvorfällen.
- Security-Header: CSP, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy; Bewertung A auf securityheaders.com.
- Sicherheitsaudits: jährlicher externer Penetrationstest (geplant).
- Responsible-Disclosure-Programm: topsms.cz/security
8. Übermittlung außerhalb der EU/des EWR
Der Auftragsverarbeiter verpflichtet sich, personenbezogene Daten außerhalb der EU/des EWR nur über Unterauftragsverarbeiter zu übermitteln, mit denen er Standardvertragsklauseln (Standard Contractual Clauses gemäß Durchführungsbeschluss (EU) 2021/914 der Kommission) geschlossen hat oder die Mitglieder des EU–US Data Privacy Framework sind (Resend). Die aktuelle Liste siehe Artikel 6.
9. Haftung
Jede Vertragspartei haftet für Schäden, die durch eine Verletzung dieses Vertrags verursacht wurden, nach den allgemeinen Rechtsvorschriften. Der Schadensersatz seitens des Auftragsverarbeiters für immaterielle Schäden ist auf die Höhe der in den letzten 12 Monaten gezahlten Entgelte beschränkt, es sei denn, es handelt sich um eine vorsätzliche Verletzung oder grobe Fahrlässigkeit.
10. Laufzeit und Beendigung
Dieser Vertrag tritt zusammen mit der Aktivierung des Kontos des Verantwortlichen beim Auftragsverarbeiter in Kraft und gilt für die gesamte Dauer der Erbringung des Dienstes. Mit der Beendigung des Hauptvertrags (Deaktivierung des Kontos) endet auch dieser Auftragsverarbeitungsvertrag; die Pflichten zu Vertraulichkeit, Löschung bzw. Rückgabe der Daten und Aufbewahrung gesetzlich vorgeschriebener Belege (z. B. Rechnungen) bestehen auch nach seiner Beendigung fort.
11. Änderungen des Vertrags
Der Auftragsverarbeiter kann diesen Vertrag wegen Änderungen der Gesetzgebung, des Stands der Technik oder der Liste der Unterauftragsverarbeiter einseitig ändern. Änderungen teilt er dem Verantwortlichen per E-Mail oder durch eine Benachrichtigung im Dashboard mindestens 30 Tage vor ihrem Wirksamwerden mit. Ist der Verantwortliche mit der Änderung nicht einverstanden, hat er das Recht, den Vertrag zu kündigen.
12. Schlussbestimmungen
- Der Vertrag unterliegt tschechischem Recht, insbesondere der DSGVO und dem tschechischen Gesetz Nr. 110/2019 Slg.
- Streitigkeiten werden im Zuständigkeitsbereich der Gerichte der Tschechischen Republik entschieden.
- Ist eine Bestimmung unwirksam, bleiben die übrigen Bestimmungen wirksam.
- Dieser Vertrag wird in elektronischer Form geschlossen und ist unter topsms.cz/zpracovatelska-smlouva verfügbar. Mit der Annahme der Allgemeinen Geschäftsbedingungen stimmt der Verantwortliche auch diesem Vertrag zu.
Kontakt für AVV-Angelegenheiten
Für Fragen zur Datenverarbeitung, Anträge betroffener Personen, Meldungen von Vorfällen oder Fragen zum AVV:
info@topsms.cz
Für Kunden mit höheren Anforderungen an die Verarbeitung personenbezogener Daten (Banken, Gesundheitseinrichtungen, öffentliche Verwaltung) stellen wir einen individuell angepassten Auftragsverarbeitungsvertrag bereit; schreiben Sie an info@topsms.cz.
Allgemeine Geschäftsbedingungen · Datenschutzerklärung · Impressum · Zur Startseite