Auftragsverarbeitungsvertrag (AVV) gemäß Art. 28 DSGVO
Stand: 2026-08-01
Dieser Vertrag wird elektronisch zwischen dem registrierenden Unternehmen („Verantwortlicher") und dem Plattformbetreiber Oleksandr Chornous, Drewerstraße 5, 59602 Rüthen, Deutschland („Auftragsverarbeiter") geschlossen.
1. Gegenstand
Der Auftragsverarbeiter erbringt für den Verantwortlichen SaaS-Dienstleistungen im Rahmen des Bonusprogramms „Boncard" und verarbeitet dabei personenbezogene Daten der Endkunden des Verantwortlichen.
2. Datenkategorien und Zwecke
| Kategorie | Daten | Zweck |
|---|---|---|
| Endkunden | Vorname, Nachname, Telefon, E-Mail, Geburtsdatum, Notizen, Einwilligungs-Metadaten | Bonusprogramm, optional Marketing nach Double Opt-in |
| Transaktionen | Kartencode, Punkte, Datum, Prämien | Loyalty-Verlauf |
3. Weisungsrecht
Der Verantwortlicher bleibt alleiniger Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO. Die Konfiguration des Dienstes durch den Verantwortlichen über die Plattform-Oberfläche gilt als dokumentierte Weisung. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Art. 28 Abs. 3 lit. a DSGVO) und informiert ihn unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen die DSGVO oder andere Datenschutzvorschriften verstößt (Art. 28 Abs. 3 UAbs. 2 DSGVO). Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen und vorherigen Konsultationen (Art. 28 Abs. 3 lit. f i.V.m. Art. 35, 36 DSGVO). Die Laufzeit dieses Vertrags entspricht der Laufzeit der Kontonutzung; er endet mit der vollständigen Löschung des Kontos.
4. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- TLS 1.2+ für alle Verbindungen
- Passwortspeicherung mit bcrypt
- Rollenbasierte Zugriffskontrolle (SUPERADMIN / OWNER)
- Audit-Logs (90 Tage), automatische Bereinigung
- Datenintegrität: Backups gemäß konfiguriertem MongoDB-Atlas-Tier (kontinuierliche Cluster-Backups ab Tier M10; in der Beta-Phase Tier-abhängig)
- Mandantentrennung auf Anwendungsebene
- Secrets in verschlüsseltem Variable-Speicher
Diese Aufzählung ist eine Zusammenfassung. Verbindlich ist Anlage 2 — Technische und organisatorische Maßnahmen, die vollständige Fassung nach Art. 32 DSGVO. Sie ist Bestandteil dieses Vertrags.
5. Subunternehmer (Art. 28 Abs. 2-4 DSGVO)
Der Verantwortlicher genehmigt mit Vertragsschluss die folgenden Subunternehmer:
| Anbieter | Standort | Funktion | Rechtsgrundlage |
|---|---|---|---|
| Railway Corp. | EU (Amsterdam, europe-west4) | Application Hosting | Art. 46 EU-SCC 2021/914 (DPA des Anbieters) |
| MongoDB Atlas | EU (Frankfurt am Main, Deutschland) | Datenbank-Speicherung | Art. 45 DPF (Selbst-Zertifizierung); Art. 46 EU-SCC 2021/914 Fallback |
| Resend Inc. | USA (AWS) | Transaktionale E-Mails | Art. 45 DPF (Selbst-Zertifizierung 13.03.2025); Art. 46 EU-SCC 2021/914 + TIA-003 Fallback |
| Google LLC (Google Wallet API) | USA | Wallet-Karten (Google Wallet) | Art. 45 DPF (Selbst-Zertifizierung); Art. 46 EU-SCC 2021/914 Fallback |
| Cloudflare, Inc. (R2) | EU (jurisdictional bucket, R2_JURISDICTION=eu) | Objektspeicher (Logos und Datenbank-Backups) | Art. 45 DPF (Selbst-Zertifizierung); Art. 46 EU-SCC 2021/914 Fallback |
Die jeweils aktuelle Liste wird stets unter /subprocessors veröffentlicht; Angaben zu Datenschemata und Interoperabilität gemäß Art. 28 Data Act (Verordnung (EU) 2023/2854) sind unter /data-act-register abrufbar; das Verfahren für den Anbieterwechsel und die Datenübertragung nach Art. 23–31 Data Act steht unter /data-act-switching.
Über Änderungen wird mit Vorlauf von mindestens 30 Tagen per E-Mail informiert (EDPB Opinion 22/2024); in Notfällen mindestens 14 Tage.
6. Betroffenenrechte (Art. 12-22 DSGVO)
Der Auftragsverarbeiter unterstützt den Verantwortlichen durch:
- Datenexport-Funktion (Art. 15, 20 DSGVO)
- Anonymisierungs-Funktion (Art. 17 DSGVO)
- 1-Klick-Unsubscribe in jeder Marketing-E-Mail
- Verletzungsmeldung unverzüglich nach Kenntnisnahme (Art. 33 Abs. 2 DSGVO)
7. Verschwiegenheit
Der Auftragsverarbeiter und alle ihm unterstellten Personen sind zur Verschwiegenheit verpflichtet, die auch nach Beendigung des Vertrags fortbesteht.
8. Kontrollrechte
Der Verantwortlicher kann die Einhaltung dieses Vertrags prüfen. Die routinemäßige Überprüfung erfolgt vorrangig anhand bereitgestellter Dokumentation oder eines schriftlichen Fragebogens, den der Auftragsverarbeiter innerhalb angemessener Frist beantwortet. Vor-Ort-Audits finden nur nach vorheriger schriftlicher Vereinbarung, mit angemessener Vorankündigung, auf Kosten des Verantwortlichen und ohne Störung des Geschäftsbetriebs statt.
9. Löschung nach Vertragsende
Nach Beendigung des Vertrags löscht der Auftragsverarbeiter auf Anforderung des Verantwortlichen alle personenbezogenen Daten des Verantwortlichen und seiner Endkunden innerhalb von 30 Tagen. Ohne ausdrückliche Anforderung erfolgt die Löschung im Rahmen turnusmäßiger Datenbereinigung, spätestens jedoch sechs Monate nach Vertragsende, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Vor Löschung kann der Verantwortliche eine Datenkopie anfordern.
Löschbestätigung (Art. 28 Abs. 3 lit. g DSGVO): Nach Hard-Delete erhält der Verantwortliche eine LEGAL_NOTICE-E-Mail mit Datum + Umfang. Ein Löschprotokoll wird zusätzlich 3 Jahre archiviert (Art. 28(3)(g) DSGVO) und kann auf Anfrage als PDF bezogen werden.
10. Schlussbestimmungen
Es gilt deutsches Recht. Gerichtsstand: Soest, soweit zulässig. Änderungen bedürfen der Textform. Bei Unwirksamkeit einzelner Bestimmungen bleibt der Vertrag im Übrigen wirksam.
Zustimmung erfolgt elektronisch bei der Registrierung. Datum, IP-Adresse und User-Agent der Zustimmung werden im Audit-Log protokolliert und können auf Anfrage nachgewiesen werden.