Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 Abs. 3 DSGVO

zwischen dem Kunden von BrickConnect (nachfolgend „Verantwortlicher“) und der Gödecke Reich GmbH, De-Saint-Exupéry-Straße 10, 60549 Frankfurt am Main (nachfolgend „Auftragsverarbeiter“).

Dieser Vertrag wird mit Annahme der AGB bei der Registrierung geschlossen und ist Bestandteil des Nutzungsvertrags. Eine gesonderte Unterschrift ist nicht erforderlich. Auf Wunsch stellt der Auftragsverarbeiter eine gegengezeichnete Fassung in Textform bereit.

§ 1 Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Rahmen der Bereitstellung von BrickConnect: Abruf, Speicherung, Synchronisation und Anzeige von Bestands- und Bestelldaten aus den vom Verantwortlichen verbundenen Verkaufsplattformen, Erstellung von Picklisten und Versandetiketten sowie damit verbundene Support-Leistungen.
2. Die Dauer entspricht der Laufzeit des Nutzungsvertrags einschließlich der Testphase.

§ 2 Art, Zweck, Daten und Betroffene

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht planmäßig verarbeitet.

§ 3 Weisungen

1. Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen, auch hinsichtlich der Übermittlung in Drittländer, sofern er nicht gesetzlich zu einer Verarbeitung verpflichtet ist (Art. 28 Abs. 3 lit. a DSGVO). Die Weisungen ergeben sich aus diesem Vertrag, den AGB und der Konfiguration des Dienstes durch den Verantwortlichen.
2. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er eine Weisung für rechtswidrig hält.

§ 4 Pflichten des Auftragsverarbeiters

1. Personen, die zur Verarbeitung befugt sind, sind zur Vertraulichkeit verpflichtet.
2. Der Auftragsverarbeiter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO gemäß Anlage 1 und passt sie dem Stand der Technik an; das Schutzniveau darf dabei nicht unterschritten werden.
3. Er unterstützt den Verantwortlichen mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12–23 DSGVO), insbesondere durch Export- und Löschfunktionen, sowie bei den Pflichten nach Art. 32–36 DSGVO. Anfragen Betroffener, die an ihn gerichtet werden, leitet er unverzüglich weiter.
4. Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
5. Ansprechpartner für den Datenschutz: support@ledfoto.de.

§ 5 Unterauftragsverarbeiter

1. Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung von Unterauftragsverarbeitern. Bei Vertragsschluss sind die in Anlage 2 genannten Unterauftragsverarbeiter genehmigt.
2. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 30 Tage vorher in Textform über beabsichtigte Änderungen. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine Einigung erzielt werden, kann der Verantwortliche den Vertrag zum Zeitpunkt der Änderung kündigen.
3. Der Auftragsverarbeiter erlegt Unterauftragsverarbeitern vertraglich dieselben Datenschutzpflichten auf. Eine Übermittlung in Drittländer erfolgt nur unter den Voraussetzungen der Art. 44 ff. DSGVO.
4. Die vom Verantwortlichen verbundenen Verkaufsplattformen (z. B. BrickLink, BrickOwl, eBay, Shopify, eigener WooCommerce-Shop) und von ihm gewählte Versanddienstleister sind keine Unterauftragsverarbeiter des Auftragsverarbeiters, sondern Empfänger, die der Verantwortliche selbst beauftragt.

§ 6 Kontrollrechte

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen einschließlich Inspektionen durch den Verantwortlichen oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, nach rechtzeitiger Anmeldung (in der Regel 30 Tage), zu den üblichen Geschäftszeiten und ohne Störung des Betriebs. Vorrangig können Nachweise durch Selbstauskünfte oder geeignete Zertifikate erbracht werden.

§ 7 Löschung und Rückgabe

Nach Ende des Vertrags kann der Verantwortliche seine Daten 30 Tage lang exportieren. Danach löscht der Auftragsverarbeiter alle im Auftrag verarbeiteten Daten einschließlich vorhandener Kopien, sofern keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen werden im regulären Rotationszyklus (höchstens 30 weitere Tage) überschrieben.

§ 8 Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregelungen der AGB. Bei Widersprüchen zwischen diesem Vertrag und den AGB gehen die Regelungen dieses Vertrags in Bezug auf den Datenschutz vor. Im Übrigen gelten die Schlussbestimmungen der AGB.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verschlüsselung: Übertragung ausschließlich über TLS (HTTPS); API-Zugangsdaten und OAuth-Tokens der Plattformen werden verschlüsselt in der Datenbank gespeichert.
• Zutrittskontrolle: Betrieb in einem Rechenzentrum des Hosting-Anbieters mit physischer Zutrittssicherung; keine eigenen Server in Büroräumen.
• Zugangskontrolle: Serverzugang nur per SSH-Schlüssel für namentlich bestimmte Administratoren; Firewall, nur benötigte Ports offen; Anmeldung der Nutzer per Einmal-Link oder OAuth, kurzlebige Zugriffstoken.
• Zugriffskontrolle und Mandantentrennung: Jeder Datensatz ist einem Kundenkonto zugeordnet; jede Abfrage wird serverseitig auf das angemeldete Konto beschränkt. Administrative Zugänge sind getrennt von Nutzerzugängen.
• Weitergabekontrolle: Übermittlung an Plattformen und Versanddienstleister nur über deren offizielle, verschlüsselte Schnittstellen und nur auf Veranlassung des Verantwortlichen.
• Eingabekontrolle: Protokollierung von Synchronisations- und Bestandsänderungen (Bewegungsprotokoll) sowie administrativer Zugriffe.
• Verfügbarkeitskontrolle: Regelmäßige, verschlüsselte Datensicherungen; Überwachung des Dienstes; zeitnahes Einspielen von Sicherheitsupdates.
• Trennungsgebot: Getrennte Systeme für Entwicklung und Produktion; Produktionsdaten werden nicht zu Testzwecken verwendet.
• Organisation: Verpflichtung auf Vertraulichkeit, Verfahren zur Meldung von Datenschutzverletzungen, regelmäßige Überprüfung dieser Maßnahmen.

Anlage 2: Genehmigte Unterauftragsverarbeiter

Stand: Oktober 2026