Vereinbarung zur Auftragsverarbeitung (AVV)
Version 1 · gültig ab 2026-07-30 · gemäß Art. 28 DSGVO · Maßgeblich ist die deutsche Fassung.
1. Parteien und Rollen
Diese Vereinbarung ergänzt die AGB und regelt die Verarbeitung personenbezogener Daten im Auftrag.
Verantwortlicher ist der Kunde. Auftragsverarbeiter ist die BCCM Inkubator GmbH, Bahnhofstraße 32, 09648 Mittweida, Deutschland.
2. Gegenstand, Dauer und Zweck der Verarbeitung
Gegenstand ist die Bereitstellung der Plattform zur Erstellung und Veröffentlichung digitaler Produktpässe. Die Verarbeitung erfolgt ausschließlich zu diesem Zweck und für die Dauer des Hauptvertrags.
Kategorien betroffener Personen: Nutzer des Kunden (Mitarbeitende), Ansprechpartner bei Lieferanten und Geschäftspartnern des Kunden.
Kategorien personenbezogener Daten: Identifikations- und Kontaktdaten (Name, E-Mail-Adresse, Organisationszugehörigkeit), Nutzungs- und Protokolldaten (Zeitstempel, IP-Adresse), sowie personenbezogene Daten, die der Kunde selbst in Produktdaten oder Dokumente einstellt.
3. Weisungsbindung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Ist er der Auffassung, dass eine Weisung gegen Datenschutzrecht verstößt, informiert er den Verantwortlichen unverzüglich. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.
4. Vertraulichkeit
Der Auftragsverarbeiter verpflichtet die mit der Verarbeitung betrauten Personen zur Vertraulichkeit und stellt sicher, dass sie die Daten nur weisungsgemäß verarbeiten. Die Verpflichtung besteht auch nach Beendigung der Tätigkeit fort.
5. Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Transportverschlüsselung (TLS) für alle externen Verbindungen
- Verschlüsselte Datenbankverbindungen (
sslmode=verify-full) - Verschlüsselung gespeicherter Daten beim Infrastruktur-Anbieter
- Mandantentrennung auf Anwendungs- und Datenbankebene
- Rollenbasierte Zugriffskontrolle bis auf Feldebene
- Authentifizierung über einen dedizierten Identity-Provider (OIDC)
- Administrativer Zugang nur über ein privates Netz, keine öffentliche Exposition
- Verschlüsselte Ablage von Betriebsgeheimnissen (SOPS/age)
- Protokollierung sicherheitsrelevanter Ereignisse
- Regelmäßige Sicherungen der Datenbank durch den Managed-Service-Anbieter
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt der Einbeziehung der nachfolgenden Unterauftragsverarbeiter zu. Der Auftragsverarbeiter informiert über beabsichtigte Änderungen mit angemessener Frist; der Verantwortliche kann Änderungen aus wichtigem Grund widersprechen.
| Anbieter | Zweck | Ort |
|---|---|---|
| Hetzner Online GmbH | Server-Infrastruktur (Compute), Objektspeicher (Dokumente), DNS | Deutschland |
| Aiven Oy | Managed PostgreSQL, Managed Valkey (Cache) | Deutschland |
| Zitadel (CAOS Ltd.) | Identitäts- und Zugriffsverwaltung | EU |
| Functional Software, Inc. (Sentry) | Fehlerdiagnose (technische Logdaten) | EU |
| Brevo (Sendinblue SAS) | Transaktions-E-Mails (Einladungen) | Frankreich |
7. Unterstützung bei Betroffenenrechten
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung von Anträgen betroffener Personen (Art. 15–22 DSGVO). Die Plattform stellt hierfür eine Exportfunktion in einem strukturierten, maschinenlesbaren Format sowie eine Löschfunktion für den gesamten Arbeitsbereich bereit. Anfragen betroffener Personen, die den Auftragsverarbeiter direkt erreichen, werden nicht selbst beantwortet, sondern unverzüglich weitergeleitet.
8. Meldung von Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich nach Kenntniserlangung und stellt die Informationen bereit, die der Verantwortliche zur Erfüllung seiner Pflichten nach Art. 33, 34 DSGVO benötigt.
9. Löschung und Rückgabe nach Vertragsende
Nach Beendigung des Vertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten. Vor der Löschung kann der Verantwortliche die Daten über die Exportfunktion herausgeben lassen.
Ausgenommen sind Daten, für die eine gesetzliche Aufbewahrungspflicht besteht oder die zur Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen erforderlich sind (Art. 17 Abs. 3 DSGVO) — insbesondere Nachweise über den Vertragsschluss und die Annahme dieser Vereinbarung.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter weist die Einhaltung dieser Vereinbarung auf Anfrage in geeigneter Form nach. Der Verantwortliche ist berechtigt, sich nach angemessener Vorankündigung von der Einhaltung zu überzeugen; Kontrollen erfolgen so, dass der Betrieb nicht unangemessen beeinträchtigt wird.
11. Drittlandsübermittlung
Die Verarbeitung findet grundsätzlich innerhalb der EU bzw. des EWR statt. Soweit ein Unterauftragsverarbeiter Daten in einem Drittland verarbeitet, erfolgt dies nur bei Vorliegen eines Angemessenheitsbeschlusses oder auf Grundlage von Standardvertragsklauseln nebst erforderlicher zusätzlicher Maßnahmen.
12. Schlussbestimmungen
Bei Widersprüchen zwischen dieser Vereinbarung und den AGB gehen die Regelungen dieser Vereinbarung vor, soweit sie die Verarbeitung personenbezogener Daten betreffen. Im Übrigen gelten die AGB.