Wo verliere ich Kunden?

DIENSTLEISTUNGSVERTRAG

Stand: 20.09.2026 · Version 1.0

Diese Seite enthält die Vertragsbedingungen für die Leistungen von Sumrize:

  • Dienstleistungsvertrag
  • Anlage 1 — Leistungsbeschreibung
  • Anlage 2 — Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

Mit der Bestätigung im Bezahlvorgang akzeptieren Sie alle drei Dokumente in der hier abrufbaren Fassung.

Der Vertrag wird ausschließlich mit Unternehmern im Sinne des § 14 BGB geschlossen. Mit der Bestätigung erklären Sie, den Vertrag in Ausübung Ihrer gewerblichen oder selbständigen beruflichen Tätigkeit zu schließen.

§ 1 Vertragsgegenstand

(1) Dieser Vertrag wird ausschließlich mit Unternehmern im Sinne des § 14 BGB geschlossen.

(2) Sumrize erbringt für den Kunden Leistungen zur Einrichtung, Konfiguration, Automatisierung und technischen Instandhaltung digitaler Systeme für Kundengewinnung, Kundenkommunikation, Terminverwaltung und Reputationspflege.

(3) Der konkrete Leistungsumfang und die vereinbarte Vergütung ergeben sich aus Anlage 1 (Leistungsbeschreibung), die Bestandteil dieses Vertrags ist.

(4) Soweit Sumrize personenbezogene Daten im Auftrag des Kunden verarbeitet, richtet sich diese Verarbeitung nach Anlage 2 (Auftragsverarbeitungsvertrag nach Art. 28 DSGVO).

(5) Bei Widersprüchen zwischen den Vertragsbestandteilen gilt folgende Rangfolge: individuell ausdrücklich vereinbarte Abreden vor den übrigen Vertragsbestandteilen. Für datenschutzrechtliche Regelungen geht Anlage 2 vor. Im Übrigen gilt dieser Vertrag vor der Anlage 1, soweit Anlage 1 keine ausdrücklich abweichende individuelle Vereinbarung enthält.

§ 2 Leistungen

(1) Sumrize erbringt die in Anlage 1 vereinbarten Leistungen fachgerecht und mit der vertraglich geschuldeten Sorgfalt.

(2) Sumrize schuldet die vereinbarte Leistungserbringung, im Rahmen eines Dienstvertrages (§ 611 BGB), nicht einen bestimmten wirtschaftlichen Erfolg. Eine bestimmte Anzahl an Anfragen, Terminen, Aufträgen, Bewertungen, Platzierungen in Suchergebnissen oder ein bestimmter Umsatz werden nicht zugesichert, sofern nicht ausdrücklich schriftlich etwas anderes vereinbart ist.

(3) Sumrize ist berechtigt, zur Leistungserbringung geeignete Dritte und technische Dienstleister einzusetzen.

(4) Die von Sumrize eingerichteten technischen Funktionen stellen keine Rechts-, Steuer-, Unternehmens- oder Datenschutzberatung dar.

§ 3 Mitwirkung des Kunden

(1) Der Kunde stellt die in Anlage 1 genannten Zugänge, Inhalte, Freigaben und Informationen rechtzeitig und vollständig bereit.

(2) Verzögert sich die Leistungserbringung aufgrund fehlender, verspäteter oder unvollständiger Mitwirkung des Kunden, verlängern sich vereinbarte Zeitpläne entsprechend.

(3) Mehraufwand, der aufgrund einer vom Kunden zu vertretenden fehlenden oder verspäteten Mitwirkung entsteht und über den vereinbarten Leistungsumfang hinausgeht, kann nach vorheriger Mitteilung gesondert berechnet werden.

(4) Der Kunde ist für die Rechtmäßigkeit der von ihm bereitgestellten Inhalte, Daten und Kommunikationsberechtigungen verantwortlich. Einzelheiten ergeben sich aus Anlage 1.

§ 4 Drittanbieter und Plattformen

(1) Die Leistungen beruhen teilweise auf Software, Plattformen, Kommunikationsdiensten und sonstiger Infrastruktur Dritter, insbesondere GoHighLevel sowie angebundenen Kommunikations- und Zustelldiensten.

(2) Änderungen, Ausfälle, Einschränkungen, Preisanpassungen oder die Einstellung von Diensten Dritter können die Leistungserbringung beeinträchtigen. Sumrize haftet hierfür nicht, soweit die Beeinträchtigung nicht auf einer von Sumrize zu vertretenden Pflichtverletzung beruht.

(3) Sumrize passt bestehende Konfigurationen im Rahmen des vereinbarten Leistungsumfangs an relevante Änderungen eingesetzter Drittanbieter an, soweit dies technisch und wirtschaftlich zumutbar ist.

§ 5 Änderungswünsche

Leistungen, die über den in Anlage 1 vereinbarten Umfang hinausgehen, bedürfen einer gesonderten Vereinbarung in TextForm über Inhalt, Vergütung und gegebenenfalls den Zeitrahmen.

§ 6 Vergütung und Zahlung

(1) Die Vergütung ergibt sich aus Anlage 1. Alle Preise verstehen sich netto zuzüglich der jeweils gesetzlichen Umsatzsteuer.

(2) Die Abrechnung erfolgt im Voraus je 30-Tage-Abrechnungszyklus über den vereinbarten Zahlungsdienstleister. Der Kunde hält hierfür eine gültige Zahlungsmethode vor.

(3) Gerät der Kunde mit einer Zahlung in Verzug, kann Sumrize die Leistungen nach vorheriger Ankündigung in TextForm, nach Ablauf einer Frist von fünf (5) Kalendertagen vorübergehend aussetzen. Die Vergütungspflicht bleibt für die Dauer der Aussetzung fortbestehen, soweit die Aussetzung auf dem Zahlungsverzug des Kunden beruht.

(4) Sumrize ist berechtigt, Leistungen vorübergehend auszusetzen, soweit dies zur Abwehr eines erheblichen Sicherheits-, Datenschutz- oder Rechtsrisikos erforderlich ist.

(5) Kosten fehlgeschlagener Lastschriften oder sonstiger Zahlungsvorgänge, die der Kunde zu vertreten hat, trägt der Kunde.

§ 7 Nutzungsrechte

(1) Wiederverwendbare Bestandteile von Sumrize. Vorlagen, Frameworks, Automatisierungslogiken, Workflow-Strukturen, Konfigurationsmuster, Methoden, Konzepte und sonstiges Know-how verbleiben bei Sumrize. Soweit solche Bestandteile Bestandteil des für den Kunden eingerichteten Systems sind, ist ihre Nutzung durch den Kunden im Rahmen und für die Dauer der vertraglich eingeräumten Systemnutzung gestattet.

(2) Inhalte des Kunden. Vom Kunden bereitgestellte Inhalte, insbesondere Logos, Bilder, Texte, Unternehmensangaben und sonstige vom Kunden eingebrachte Materialien, verbleiben beim Kunden. Der Kunde räumt Sumrize die für die Vertragsdurchführung erforderlichen Nutzungsrechte ein.

(3) Nutzung des eingerichteten Systems. Der Kunde erhält für die Dauer des Vertrags das Recht, das eingerichtete System für den eigenen Geschäftsbetrieb zu nutzen. Eine Übertragung des Systems ist nicht Vertragsgegenstand; Einzelheiten regelt Anlage 1.

(4) Referenznennung. Sumrize darf den Kunden mit Namen und Logo als Referenz nennen. Der Kunde kann dem jederzeit in TextForm widersprechen.

§ 8 Haftung

(1) Sumrize haftet unbeschränkt für Schäden aus der Verletzung des Lebens, des Körpers oder der Gesundheit sowie für Schäden, die auf Vorsatz oder grober Fahrlässigkeit beruhen.

(2) Bei einfacher Fahrlässigkeit haftet Sumrize nur bei Verletzung einer wesentlichen Vertragspflicht, deren Erfüllung die ordnungsgemäße Durchführung des Vertrags überhaupt erst ermöglicht und auf deren Einhaltung der Kunde regelmäßig vertrauen darf. In diesem Fall ist die Haftung auf den vertragstypischen, vorhersehbaren Schaden begrenzt und der Höhe nach insgesamt auf die vom Kunden in den letzten zwölf Monaten vor dem schadensauslösenden Ereignis tatsächlich gezahlte Netto-Vergütung beschränkt.

(3) Im Übrigen ist die Haftung ausgeschlossen, soweit gesetzlich zulässig. Dies gilt insbesondere für entgangenen Gewinn, ausgebliebene Aufträge sowie mittelbare Schäden und Folgeschäden.

(4) Die vorstehenden Haftungsbeschränkungen gelten nicht, soweit zwingende gesetzliche Haftung besteht.

(5) Für Beeinträchtigungen, die ausschließlich auf fehlender oder verspäteter Mitwirkung des Kunden oder auf einem nicht von Sumrize zu vertretenden Ausfall eines Drittanbieters beruhen, besteht keine Haftung von Sumrize.

(6) KI-gestützte Inhalte. Soweit Sumrize KI-gestützte Funktionen (z. B. automatisierte Antworten für Google-Bewertungen) bereitstellt, schuldet Sumrize lediglich die Bereitstellung der Funktion. Für Richtigkeit, Angemessenheit und rechtliche Zulässigkeit der generierten Inhalte übernimmt Sumrize keine Haftung.

§ 9 Freistellung

(1) Der Kunde stellt Sumrize von berechtigten Ansprüchen Dritter frei, soweit diese darauf beruhen, dass

  • vom Kunden bereitgestellte, veranlasste oder freigegebene Inhalte Rechte Dritter verletzen, (z. B. Telefonnummern, E-Mail-Adressen ohne eine wirksame, nachweisbare und dokumentierte Einwilligung)
  • vom Kunden bereitgestellte Kontaktdaten ohne geeignete Rechtsgrundlage für die jeweilige Kommunikation verwendet wurden, oder
  • der Kunde Inhalte veröffentlicht oder freigegeben hat, die gegen geltendes Recht verstoßen.

(2) Die Freistellung umfasst die angemessenen und erforderlichen Kosten der Rechtsverteidigung.

(3) Sumrize informiert den Kunden unverzüglich über geltend gemachte Ansprüche und gibt dem Kunden, soweit zumutbar, Gelegenheit zur Mitwirkung an der Verteidigung um erforderlichen Informationen (insb. dokumentierte Opt-In-Nachweise) bereitzustellen. Anerkenntnisse oder Vergleiche, die eine Zahlungspflicht des Kunden begründen, wird Sumrize ohne vorherige Abstimmung mit dem Kunden nicht eingehen, soweit dies zumutbar ist.

§ 10 Datenschutz

Soweit Sumrize personenbezogene Daten im Auftrag des Kunden verarbeitet, gilt der gesondert geschlossene Auftragsverarbeitungsvertrag nach Art. 28 DSGVO (Anlage 2).

§ 11 Vertraulichkeit

Beide Parteien behandeln vertrauliche Informationen der jeweils anderen Partei vertraulich und verwenden diese ausschließlich zur Durchführung des Vertrags. Nicht als vertraulich gelten Informationen, die öffentlich bekannt sind, der empfangenden Partei bereits rechtmäßig bekannt waren oder aufgrund gesetzlicher Verpflichtung offengelegt werden müssen. Die Vertraulichkeitspflicht gilt über das Vertragsende hinaus fort.

§ 12 Laufzeit und Kündigung

(1) Der Vertrag beginnt mit Vertragsschluss und läuft auf unbestimmte Zeit.

(2) Beide Parteien können den Vertrag jederzeit mit einer Frist von 7 Tagen zum Ende des laufenden Abrechnungszyklus kündigen. Der laufende Zyklus läuft vollständig aus; es erfolgt keine automatische Verlängerung und kein weiterer Geldeinzug.

(3) Die Kündigung bedarf der TextForm. Eine Kündigung per E-Mail ist ausreichend.

(4) Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt.

(5) Die Abwicklung nach Vertragsende richtet sich nach Anlage 1 und Anlage 2.

§ 13 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der TextForm. Individuelle Vereinbarungen haben Vorrang.

(2) Es gilt deutsches Recht unter Ausschluss des UN-Kaufrechts.

(3) Ist der Kunde Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen, ist – soweit gesetzlich zulässig – Ausschließlicher Gerichtsstand für alle Streitigkeiten aus oder im Zusammenhang mit diesem Vertrag ist der registrierte Geschäftssitz von Sumrize.

(4) Sollten einzelne Bestimmungen dieses Vertrags unwirksam oder undurchführbar sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. Anstelle der unwirksamen oder undurchführbaren Bestimmung gelten die gesetzlichen Vorschriften.

Anlagen

Anlage 1 — Leistungsbeschreibung

Anlage 2 — Auftragsverarbeitungsvertrag nach Art. 28 DSGVO

ANLAGE 1 — LEISTUNGSBESCHREIBUNG

Diese Anlage ist Bestandteil des Dienstleistungsvertrags zwischen Sumrize und dem Kunden.

§ 1 Gegenstand

Sumrize richtet für den Kunden ein digitales System zur Kundengewinnung, Kundenkommunikation und Reputationspflege ein, betreibt dieses technisch und hält es instand. Grundlage des Systems ist die Plattform GoHighLevel (HighLevel Inc.) sowie die jeweils angebundenen Kommunikationsdienste.

§ 2 Leistungsumfang — Einrichtung

Sumrize erstellt und konfiguriert für den Kunden:

2.1 Website und Sichtbarkeit

  • Mehrseitige, für Mobilgeräte optimierte Website
  • Grundlegende einmalige technische Suchmaschinenoptimierung der Website (Meta-Angaben, strukturierte Daten, lokale Auszeichnung)
  • Einbindung des Google-Unternehmensprofils, soweit vorhanden und Zugriff durch den Kunden gewährt wird
  • Kontaktformular mit Anbindung an das CRM
  • WhatsApp-Chat-Widget

2.2 Anfragen und Nachverfolgung

  • Automatische Nachricht bei verpasstem Anruf
  • Automatische Erstantwort auf eingehende Formularanfragen
  • Automatisierte Nachfass-Sequenz für unbeantwortete Anfragen

2.3 Bewertungen und Bestandskunden

  • Automatisierte Bewertungsanfrage nach abgeschlossenem Auftrag
  • KI-gestützte Beantwortung eingehender Google-Bewertungen
  • Einmalige Einrichtung einer Reaktivierungskampagne für Bestandskunden (siehe Ziffer 4.3)

2.4 Zentrale Verwaltung

  • Gemeinsamer Posteingang für Anrufe, SMS, WhatsApp und E-Mail
  • Zugang über Web-Oberfläche und mobile App
  • Einweisung des Kunden in die Bedienung

§ 3 Leistungsumfang — Laufender Betrieb

Während der Vertragslaufzeit erbringt Sumrize:

  • technische Überwachung und Instandhaltung des eingerichteten Systems
  • Fehlerbehebung an der eingerichteten Konfiguration
  • Anpassung an Änderungen der genutzten Drittanbieter-Plattformen, soweit technisch und wirtschaftlich zumutbar
  • Hosting der Website über die genutzte Plattform
  • Support per E-Mail und Nachricht, Reaktion in der Regel innerhalb von zwei Werktagen

Inhaltliche Änderungen. Der Kunde kann je Abrechnungszyklus eine Änderungsanfrage zu bestehenden Website-Inhalten stellen (z. B. Öffnungszeiten, Kontaktdaten, einzelne Texte, Austausch vorhandener Bilder). Nicht genutzte Änderungsansprüche verfallen am Ende des jeweiligen Abrechnungszyklus und sind nicht auf Folgemonate übertragbar.

Nicht umfasst sind neue Seiten, Umgestaltungen, Kampagnen sowie redaktionelle oder gestalterische Arbeiten. Solche Leistungen bedürfen einer gesonderten Vereinbarung nach Ziffer 5.

§ 4 Mitwirkung des Kunden

Die Leistungserbringung setzt die Mitwirkung des Kunden voraus.

4.1 Zugänge und Inhalte

Der Kunde stellt rechtzeitig bereit:

  • Firmen- und Impressumsdaten
  • Bildmaterial, Logo und inhaltliche Angaben zu Leistungen und Einsatzgebiet
  • Zugang zur bestehenden Domain oder Mitwirkung bei deren Übertragung
  • Rufnummer für die WhatsApp-Business-Anbindung
  • Zugriff auf das Google-Unternehmensprofil
  • eine Absender-E-Mail-Adresse sowie die erforderliche Mitwirkung bei der technischen Freigabe der Domain für den E-Mail-Versand (SPF, DKIM), soweit E-Mail-Sequenzen genutzt werden sollen

Werden die genannten Zugänge nicht bereitgestellt, können die betroffenen Funktionen nicht erbracht werden. Die Vergütung bleibt davon unberührt.

4.2 Freigaben

Vorlagen und Entwürfe gelten als freigegeben, wenn der Kunde nicht innerhalb von fünf Werktagen nach Zugang widerspricht oder Änderungswünsche mitteilt.

4.3 Rechtmäßigkeit der Kommunikation

Der Kunde ist für die Rechtmäßigkeit der über das System versendeten Nachrichten verantwortlich. Sumrize stellt die technische Infrastruktur bereit; der Kunde bestimmt Empfänger, Inhalt und Anlass.

Stellt der Kunde Kontaktdaten für Bewertungsanfragen oder Reaktivierungskampagnen bereit, sichert er zu, dass

  • die Daten rechtmäßig erhoben wurden,
  • für den jeweiligen Zweck und den jeweiligen Kommunikationskanal (E-Mail, SMS, WhatsApp) eine tragfähige Rechtsgrundlage besteht, und
  • eine gegebenenfalls erforderliche Einwilligung nachweisbar dokumentiert ist.

Hinweis zu Bewertungsanfragen. Die Aufforderung an Kunden, eine Bewertung abzugeben, wird in der deutschen Rechtsprechung als Werbung im Sinne des § 7 UWG behandelt. Der Kunde stellt sicher, dass für den Versand solcher Anfragen über den jeweiligen Kanal eine tragfähige Rechtsgrundlage vorliegt.

Sumrize ist berechtigt, den Versand ganz oder teilweise auszusetzen, wenn begründete Zweifel an der Rechtmäßigkeit der bereitgestellten Daten oder des beabsichtigten Versands bestehen.

Für Ansprüche Dritter, die auf einer Verletzung dieser Zusicherungen beruhen, gilt die Freistellungsregelung des Dienstleistungsvertrags.

4.4 Verzögerungen

Verzögert sich die Mitwirkung des Kunden, verlängern sich vereinbarte Zeitpläne entsprechend.

§ 5 Nicht enthalten

Nicht Bestandteil dieser Leistungsbeschreibung sind insbesondere:

  • Werbebudget sowie Erstellung und Betreuung bezahlter Anzeigen (Google Ads, Meta Ads)
  • fortlaufende Suchmaschinenoptimierung über die technische Grundoptimierung hinaus
  • Branding, Logo- und Corporate-Design-Entwicklung
  • Erstellung von Foto- und Videomaterial
  • redaktionelle Texterstellung über die Website-Inhalte hinaus
  • Rechts-, Steuer- oder Datenschutzberatung
  • Erstellung von Impressum und Datenschutzerklärung des Kunden
  • IT-Infrastruktur, Hardware, E-Mail-Postfächer
  • Erweiterungen und zusätzliche Funktionen über den vereinbarten Umfang hinaus

Leistungen außerhalb dieses Umfangs bedürfen einer gesonderten Vereinbarung über Inhalt, Vergütung und Zeitrahmen.

§ 6 Vergütung

6.1 Grundpreis

397,00 € netto je 30-Tage-Zyklus, zzgl. gesetzlicher Umsatzsteuer. Eine Einrichtungsgebühr fällt nicht an.

6.2 Zahlungsweise

Die erste Zahlung wird mit Vertragsschluss fällig. Die weitere Abrechnung erfolgt automatisch alle 30 Tage über den Zahlungsdienstleister Stripe per SEPA-Lastschrift oder Karte.

6.3 Nutzungsabhängige Kosten Dritter

Die nutzungsabhängigen Kosten der genutzten Kommunikationsdienste (insbesondere WhatsApp Business Platform, SMS- und E-Mail-Versand) sind im Grundpreis enthalten, soweit sie im Rahmen der üblichen Nutzung eines Betriebs vergleichbarer Größe anfallen. Übersteigen sie im Abrechnungszyklus 60 € netto, kann Sumrize den übersteigenden Betrag nach vorheriger Ankündigung gesondert berechnen.

§ 7 Beginn und Einrichtungsdauer

Die Einrichtung beginnt nach Eingang der ersten Zahlung und Durchführung des Onboarding-Termins. Die Bereitstellung des einsatzbereiten Systems erfolgt in der Regel innerhalb von zehn Werktagen nach vollständiger Bereitstellung der unter Ziffer 4 genannten Mitwirkungsleistungen.

§ 8 Laufzeit und Kündigung

8.1 Laufzeit

Der Vertrag läuft auf unbestimmte Zeit. Eine Mindestlaufzeit besteht nicht. Die Abrechnung erfolgt in wiederkehrenden Zyklen von jeweils 30 Tagen, beginnend mit dem Tag des Vertragsschlusses (Abrechnungszyklus).

8.2 Ordentliche Kündigung

Der Vertrag kann von beiden Seiten jederzeit mit einer Frist von 7 Tagen zum Ende des laufenden Abrechnungszyklus gekündigt werden.

8.3 Vertragsende

Bei rechtzeitiger Kündigung läuft der aktuelle Abrechnungszyklus vollständig aus. Der Vertrag endet mit dem letzten Tag des bereits bezahlten 30-tägigen Zeitraums. Es erfolgt keine automatische Verlängerung und kein weiterer Geldeinzug

8.4 Form

Die Kündigung bedarf der TextForm (E-Mail genügt).

8.5 Außerordentliche Kündigung

Das Recht zur Kündigung aus wichtigem Grund bleibt unberührt.

§ 9 Nach Vertragsende

9.1 Datenexport

Sumrize stellt dem Kunden die im System gespeicherten Bestands- und Kommunikationsdaten auf Anforderung in einem gängigen maschinenlesbaren Format (CSV) zur Verfügung. Hierfür fallen keine Kosten an. Die Anforderung ist innerhalb von 30 Tagen nach Vertragsende zu stellen. Rückgabe und Löschung personenbezogener Daten richten sich nach Anlage 2 (AVV).

9.2 Eingerichtetes System

Das eingerichtete System — Website, Automatisierungen, Workflows, CRM-Anbindung und Nummernverwaltung — wird innerhalb der von Sumrize betriebenen Plattformumgebung bereitgestellt. Es handelt sich nicht um ein übertragbares Software- oder Website-Produkt. Einzelne Datenexporte sind nach Ziffer 9.1 möglich. Eine Migration, Nachbildung oder Übertragung der eingerichteten Umgebung ist nicht Bestandteil der Leistung und technisch und vertraglich ausgeschlossen.

9.3 Wiederverwendbare Bestandteile

Allgemeine, wiederverwendbare Bestandteile von Sumrize — insbesondere Vorlagen, Automatisierungslogiken, Workflow-Strukturen und Konfigurationsmuster — verbleiben bei Sumrize.

§ 10 Kein Erfolgsversprechen

Sumrize schuldet die Einrichtung und den Betrieb des beschriebenen Systems, nicht einen bestimmten wirtschaftlichen Erfolg. Eine bestimmte Anzahl an Anfragen, Terminen, Aufträgen, Bewertungen, Platzierungen in Suchergebnissen oder ein bestimmter Umsatz werden nicht zugesichert, sofern nicht ausdrücklich schriftlich etwas anderes vereinbart ist.

ANLAGE 2 — AUFTRAGSVERARBEITUNGSVERTRAG

gemäß Art. 28 DSGVO

Diese Vereinbarung wird geschlossen zwischen dem in der Auftragsbestätigung benannten Kunden (nachfolgend ‚Verantwortlicher‘) und Sumrize (nachfolgend ‚Auftragsverarbeiter‘).

Dieser Vertrag ist Anlage 2 zum Dienstleistungsvertrag zwischen den Parteien („Hauptvertrag“) und konkretisiert die datenschutzrechtlichen Pflichten bei der Verarbeitung personenbezogener Daten im Auftrag.

§ 1 Gegenstand, Art und Zweck der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der im Hauptvertrag und in Anlage 1 beschriebenen Leistungen.

(2) Art der Verarbeitung: Erheben, Erfassen, Speichern, Organisieren, Verwenden, Übermitteln, Löschen — im Rahmen des Betriebs von Website, CRM-System, Kommunikations- und Automatisierungsprozessen.

(3) Zweck der Verarbeitung: Entgegennahme und Bearbeitung von Anfragen potenzieller und bestehender Kunden des Verantwortlichen, Kommunikation über E-Mail, SMS, WhatsApp und Telefonie, Terminverwaltung, Einholung und Verwaltung von Bewertungen sowie Reaktivierung von Bestandskunden.

(4) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrags. Der vorliegende Vertrag endet mit dem Hauptvertrag, soweit nicht Nachwirkungen (§ 10) bestehen.

§ 2 Kategorien betroffener Personen und Daten

(1) Betroffene Personen

  • Interessenten und Anfragende des Verantwortlichen
  • Kunden und ehemalige Kunden des Verantwortlichen
  • Beschäftigte und Ansprechpartner des Verantwortlichen, soweit sie das System nutzen

(2) Kategorien personenbezogener Daten

  • Kontaktdaten (Name, Anschrift, Telefonnummer, E-Mail-Adresse)
  • Kommunikationsdaten (Nachrichteninhalte, Anrufmetadaten, Kommunikationszeitpunkte, Kommunikationsverläufe)
  • Vorgangsdaten (Anfrageinhalt, Leistungsinteresse, Terminangaben, Status der Bearbeitung)
  • Bewertungsdaten (abgegebene Bewertungen, Bewertungsanfragen)
  • Nutzungsdaten der Website (IP-Adresse, Zugriffszeitpunkt, Browserangaben, soweit technisch anfallend)

(3) Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass solche Daten nicht in das System eingebracht werden.

§ 3 Weisungsrecht

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist nach Unionsrecht oder mitgliedstaatlichem Recht zur Verarbeitung verpflichtet.

(2) Der Hauptvertrag nebst Anlagen stellt die grundlegende Weisung dar. Einzelweisungen erfolgen in TextForm.

(3) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Ausführung einer solchen Weisung auszusetzen, bis sie bestätigt oder geändert wird.

(4) Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung und für das Vorliegen einer tragfähigen Rechtsgrundlage verantwortlich. Dies gilt insbesondere für den Versand von Nachrichten an die von ihm bereitgestellten Kontakte (siehe Anlage 1, Ziffer 3.3).

§ 4 Vertraulichkeit

(1) Der Auftragsverarbeiter verarbeitet die Daten vertraulich.

(2) Personen, die Zugang zu personenbezogenen Daten haben, sind zur Vertraulichkeit verpflichtet, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht über das Ende der Tätigkeit hinaus fort.

§ 5 Technische und organisatorische Maßnahmen

(1) Der Auftragsverarbeiter trifft die zur Sicherheit der Verarbeitung erforderlichen Maßnahmen nach Art. 32 DSGVO. Die getroffenen Maßnahmen sind in Anlage B beschrieben.

(2) Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter darf sie anpassen, sofern das Schutzniveau nicht unterschritten wird.

(3) Ein Teil der technischen Maßnahmen wird durch die eingesetzten Unterauftragsverarbeiter erbracht (Anlage C).

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung weiterer Unterauftragsverarbeiter sowie zur Ersetzung bereits eingesetzter Dienstleister. Die zum Zeitpunkt des Vertragsschlusses eingesetzten Unterauftragsverarbeiter sind in Anlage C aufgeführt.

(2) Aktive Informationspflicht bei Änderungen: Der Auftragsverarbeiter informiert den Verantwortlichen über jede beabsichtigte Änderung (Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters) mindestens 14 Tage vor dem geplanten Einsatz des neuen Unterauftragsverarbeiters in TextForm. Diese Information erfolgt per E-Mail an die vom Verantwortlichen im System hinterlegte oder für vertragliche Mitteilungen genannte E-Mail-Adresse.

(3) Einspruchsrecht des Verantwortlichen: Der Verantwortliche hat das Recht, gegen die Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters innerhalb von 14 Tagen nach Zugang der Benachrichtigung in TextForm (per E-Mail) Einspruch zu erheben. Der Einspruch darf nur aus wichtigem, datenschutzrechtlich relevantem Grund erhoben werden. Erhebt der Verantwortliche innerhalb dieser Frist keinen Einspruch, gilt die Änderung als genehmigt. Im Falle eines berechtigten Einspruchs bemühen sich die Parteien um eine einvernehmliche Lösung; gelingt dies nicht, steht beiden Parteien ein Sonderkündigungsrecht dieses Vertrages mit einer Frist von 14 Tagen zum Monatsende zu.

§ 7 Verarbeitung in Drittländern

(1) Eine Verarbeitung außerhalb der EU/des EWR findet statt, soweit in Anlage C aufgeführte Unterauftragsverarbeiter dort ansässig sind oder Daten dorthin übermitteln.

(2) Der Auftragsverarbeiter stellt sicher, dass für solche Übermittlungen die Voraussetzungen der Art. 44 ff. DSGVO vorliegen — insbesondere ein Angemessenheitsbeschluss oder geeignete Garantien wie die Standardvertragsklauseln der EU-Kommission.

(3) Die jeweils einschlägige Grundlage ist in Anlage C angegeben.

§ 8 Unterstützung des Verantwortlichen

(1) Betroffenenrechte. Der Auftragsverarbeiter unterstützt den Verantwortlichen mit angemessenen Maßnahmen bei der Erfüllung von Anträgen betroffener Personen (Art. 15–22 DSGVO). Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet dieser das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst.

(2) Datenschutzverletzungen. Der Auftragsverarbeiter meldet dem Verantwortlichen eine Verletzung des Schutzes personenbezogener Daten unverzüglich in TextForm. Die Meldung enthält die verfügbaren Angaben nach Art. 33 Abs. 3 DSGVO.

(3) Weitere Unterstützung. Der Auftragsverarbeiter unterstützt den Verantwortlichen im erforderlichen Umfang bei der Einhaltung der Pflichten nach Art. 32 bis 36 DSGVO, insbesondere bei einer Datenschutz-Folgenabschätzung, soweit die hierfür erforderlichen Informationen ihm vorliegen.

(4) Über den Rahmen der vertraglich geschuldeten Leistung hinausgehender Aufwand kann nach Ankündigung gesondert berechnet werden.

§ 9 Nachweise und Kontrollen

(1) Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage die zum Nachweis der Einhaltung der Pflichten aus diesem Vertrag erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen.

(2) Der Nachweis dieser datenschutzrechtlichen Pflichten wird vom Auftragsverarbeiter primär durch die Bereitstellung oder Verlinkung der offiziellen Compliance-Zertifikate, Audits, SOC2-Reports oder Datenschutzerklärungen der jeweils genutzten Hauptplattformen (insb. HighLevel Inc., AWS, Google) erbracht.

(3) Das Recht des Verantwortlichen zur Durchführung einer physischen Vor-Ort-Kontrolle in den privaten Wohn- oder Arbeitsräumen (Homeoffice) des Auftragsverarbeiters ist grundsätzlich ausgeschlossen, es sei denn, eine zuständige Datenschutzbehörde ordnet eine solche Überprüfung rechtsverbindlich an oder es liegen nachweisbare Anhaltspunkte für einen schwerwiegenden Datenschutzverstoß des Auftragsverarbeiters vor.

§ 10 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrags stellt der Auftragsverarbeiter dem Verantwortlichen die verarbeiteten Daten auf Anforderung in einem gängigen maschinenlesbaren Format zur Verfügung (siehe Anlage 1, Ziffer 7.1).

(2) Der Auftragsverarbeiter löscht die Daten innerhalb von 30 Tagen nach Beendigung des Hauptvertrags, sofern der Verantwortliche nicht vorher etwas anderes in TextForm verlangt.

(3) Von der Löschung ausgenommen sind Daten, für die gesetzliche Aufbewahrungspflichten bestehen. Diese werden gesperrt und nach Ablauf der Fristen gelöscht.

(4) Die Löschung erfolgt auch bei den eingesetzten Unterauftragsverarbeitern, soweit dies technisch möglich und von deren Löschzyklen umfasst ist.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen bedürfen der TextForm.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor.

(3) Es gilt deutsches Recht.

(4) Die Unwirksamkeit einzelner Bestimmungen berührt die Wirksamkeit der übrigen nicht.

ANLAGE B — TECHNISCHE UND ORGANISATORISCHE MASSNAHMEN

1. Vertraulichkeit

Zutrittskontrolle. Die Verarbeitung erfolgt in Rechenzentren der eingesetzten Unterauftragsverarbeiter (Anlage C), die über eigene Zutrittssicherungen verfügen.

Zugangskontrolle. Zugang zu Systemen ausschließlich über persönliche Benutzerkonten mit individuellen Passwörtern. Zwei-Faktor-Authentifizierung für die Plattform-Administration. Verwendung eines Passwortmanagers. Festplattenverschlüsselung auf allen genutzten Endgeräten.

Zugriffskontrolle. Administrativer Zugriff ausschließlich durch den Auftragsverarbeiter. Kundenkonten sind innerhalb der Plattform voneinander getrennt (Mandantentrennung). Zugriff nur im für die Leistungserbringung erforderlichen Umfang.

Trennungskontrolle. Daten verschiedener Verantwortlicher werden in getrennten Mandanten der Plattform verarbeitet.

2. Integrität

Weitergabekontrolle. Übertragung personenbezogener Daten ausschließlich verschlüsselt (TLS/HTTPS). Kein Versand personenbezogener Daten über unverschlüsselte Kanäle.

Eingabekontrolle. Die eingesetzte Plattform protokolliert Änderungen an Datensätzen und Systemzugriffe.

3. Verfügbarkeit und Belastbarkeit

Die Sicherung und die Wiederherstellbarkeit der verarbeiteten Daten erfolgen ausschließlich systemseitig über die globale Cloud-Infrastruktur der eingesetzten Unterauftragsverarbeiter. Der Auftragsverarbeiter erstellt keine eigenen, separaten Datensicherungen oder manuellen lokalen Backups der GoHighLevel-Systemumgebung. Endgeräte des Auftragsverarbeiters verfügen über Virenschutz und werden regelmäßig aktualisiert.

4. Verfahren zur Überprüfung und Evaluierung

Datenschutzfreundliche Voreinstellungen. Es werden nur die für den jeweiligen Zweck erforderlichen Daten erhoben.

ANLAGE C: EINGESETZTE UNTERAUFTRAGSVERARBEITER

Stand: 17.09.2026

Die nachfolgende Übersicht enthält die Unterauftragsverarbeiter, die zum Zeitpunkt des Vertragsschlusses für die Leistungserbringung eingesetzt werden. Der tatsächliche Einsatz einzelner Dienstleister richtet sich nach der konkreten technischen Konfiguration des jeweiligen Projekts. Nicht angebundene oder nicht genutzte Dienste kommen nicht zum Einsatz.

A. Unmittelbare Unterauftragsverarbeiter des Auftragsverarbeiters

Dies sind Dienstleister, mit denen der Auftragsverarbeiter (Sumrize) unmittelbar für die Leistungserbringung zusammenarbeitet.

A.1 HighLevel Inc. und relevante verbundene Unternehmen

Anbieter
HighLevel Inc. und die jeweils relevanten verbundenen Unternehmen („HighLevel“), 5473 Blair Rd Ste 100, PMB 383313, Dallas, Texas 75231-4227, USA
Zweck der Verarbeitung
Bereitstellung der CRM- und Automatisierungsplattform, Hosting von Websites und Formularen, Terminverwaltung, Speicherung und Verwaltung von Kontakt- und Kommunikationsdaten sowie Bereitstellung der innerhalb der Plattform eingesetzten Kommunikations- und Automatisierungsfunktionen
Ort der Verarbeitung
USA und gegebenenfalls weitere Verarbeitungsorte gemäß den jeweils geltenden Anbieterunterlagen
Übermittlungsinstrument
Soweit anwendbar der EU-U.S. Data Privacy Framework-Angemessenheitsbeschluss; im Übrigen geeignete Garantien nach Art. 46 DSGVO, insbesondere Standardvertragsklauseln

A.2 Meta Platforms Ireland Ltd.

Anbieter
Meta Platforms Ireland Ltd., 4 Grand Canal Square, Grand Canal Harbour, Dublin 2, Irland
Zweck der Verarbeitung
Bereitstellung der WhatsApp Business Platform (Cloud API) für die automatisierte Kundenkommunikation des Verantwortlichen, soweit diese Funktion eingerichtet und genutzt wird
Ort der Verarbeitung
EU und gegebenenfalls weitere Verarbeitungsorte gemäß den jeweils geltenden Anbieterunterlagen
Übermittlungsinstrument
Soweit für eine Drittlandübermittlung erforderlich, geeignete Garantien nach Art. 44 ff. DSGVO, insbesondere ein anwendbarer Angemessenheitsbeschluss oder Standardvertragsklauseln

Hinweis: Der WhatsApp Business Account (WABA) wird auf den Namen und im Meta-Business-Portfolio des Verantwortlichen eingerichtet. Der Auftragsverarbeiter handelt insoweit als technischer Einrichter und Betreiber im Auftrag des Verantwortlichen.

A.3 Google Ireland Ltd.

Anbieter
Google Ireland Ltd., Gordon House, Barrow Street, Dublin 4, Irland
Zweck der Verarbeitung
Anbindung des Google-Unternehmensprofils des Verantwortlichen, insbesondere zum Abruf und zur Bearbeitung von Bewertungen, soweit der Verantwortliche den erforderlichen Zugriff erteilt hat; Einbindung von Google-Diensten auf der Website, soweit diese tatsächlich eingerichtet und genutzt werden
Ort der Verarbeitung
EU und gegebenenfalls weitere Verarbeitungsorte gemäß den jeweils geltenden Anbieterunterlagen
Übermittlungsinstrument
Soweit für eine Drittlandübermittlung erforderlich, geeignete Garantien nach Art. 44 ff. DSGVO, insbesondere ein anwendbarer Angemessenheitsbeschluss oder Standardvertragsklauseln

B. Weitere Unterauftragsverarbeiter

Die nachfolgend genannten Dienstleister werden im Rahmen der von HighLevel bereitgestellten Plattformleistungen eingesetzt und können – abhängig von der konkret genutzten Funktion – an der Verarbeitung personenbezogener Daten beteiligt sein.

AnbieterZweck der VerarbeitungOrt der VerarbeitungÜbermittlungsinstrument
Amazon Web Services, Inc.Cloud- und Server-Infrastruktur von HighLevelUSASoweit anwendbar EU-U.S. Data Privacy Framework; im Übrigen geeignete Garantien nach Art. 46 DSGVO
Google Cloud ServicesCloud- und Server-Infrastruktur von HighLevelUSASoweit anwendbar EU-U.S. Data Privacy Framework; im Übrigen geeignete Garantien nach Art. 46 DSGVO
TwilioKommunikationsdienste, soweit für von Sumrize genutzte HighLevel-Funktionen eingesetztUSASoweit anwendbar EU-U.S. Data Privacy Framework; im Übrigen geeignete Garantien nach Art. 46 DSGVO
MailgunE-Mail-Kommunikation, soweit für von Sumrize genutzte HighLevel-Funktionen eingesetztUSASoweit anwendbar EU-U.S. Data Privacy Framework; im Übrigen geeignete Garantien nach Art. 46 DSGVO

Die vorstehende Aufzählung bezieht sich auf die für die von Sumrize konkret genutzten Leistungen relevanten Unterauftragsverarbeiter. HighLevel kann für weitere Funktionen zusätzliche Unterauftragsverarbeiter einsetzen. Maßgeblich ist insoweit die jeweils aktuelle Unterauftragsverarbeiterübersicht des Anbieters.

Sofern der Verantwortliche im Einzelfall ein eigenes Konto eines externen Kommunikations- oder sonstigen Dienstleisters unmittelbar mit dem System verbindet und Sumrize diesen Dienst im Auftrag des Verantwortlichen nutzt, wird der betreffende Dienstleister als zusätzlicher Unterauftragsverarbeiter entsprechend berücksichtigt.

C. Nicht erfasste Dienstleister

Dienstleister, die der Auftragsverarbeiter ausschließlich für eigene interne Zwecke einsetzt und bei denen keine personenbezogenen Daten des Verantwortlichen oder der von ihm betreuten betroffenen Personen im Rahmen dieses Vertrags verarbeitet werden, sind keine Unterauftragsverarbeiter im Sinne dieses Vertrags.

Hierzu zählen insbesondere Zahlungsdienstleister, Buchhaltungsdienstleister und Bankdienstleistungen des Auftragsverarbeiters, soweit diese ausschließlich eigene Vertrags-, Abrechnungs- oder Finanzdaten des Auftragsverarbeiters verarbeiten.