Auftragsverarbeitungsvertrag (AVV)
Stand: 6. April 2026
Dieser Auftragsverarbeitungsvertrag (AVV) nach Art. 28 DSGVO wird geschlossen zwischen dem Kunden ("Verantwortlicher") und TradeFork, c/o Block Services, Stuttgarter Str. 106, 70736 Fellbach ("Auftragsverarbeiter").
1. Gegenstand und Dauer
Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der TradeFork-Softwareplattform. Die Dauer der Verarbeitung entspricht der Laufzeit des zwischen den Parteien bestehenden Nutzungsvertrags.
2. Art und Zweck der Verarbeitung
Die Verarbeitung umfasst folgende Taetigkeiten:
- • Bereitstellung und Betrieb der TradeFork SaaS-Plattform (Hosting, Wartung, Updates)
- • Verwaltung von Benutzerkonten und Authentifizierung (Login, Passwort-Management)
- • Lizenzvalidierung und -verwaltung (Aktivierung, Heartbeat-Prüfungen)
- • Zahlungsabwicklung über den Unterauftragsverarbeiter Stripe
- • Versand von transaktionalen E-Mails (Bestätigung, Lizenzschlüssel, Support)
- • Technischer Support und Fehlerbehebung
3. Art der Daten und Betroffene
Kategorien personenbezogener Daten
- • E-Mail-Adressen
- • Passwort-Hashes (bcrypt)
- • IP-Adressen (Server- und Zugriffs-IPs)
- • Hardware-IDs (gehashte Server-Identifier zur Lizenzbindung)
- • Zahlungsdaten (verarbeitet durch Stripe, nicht vom Auftragsverarbeiter gespeichert)
- • Nutzungsdaten (Audit-Logs: Anmeldezeitpunkte, Instanz-Aktionen)
- • Technische Metadaten (Browser-Typ, Betriebssystem bei Zugriff auf das Dashboard)
Kategorien betroffener Personen
- • Kunden (Inhaber eines TradeFork-Abonnements)
- • Trial-Nutzer (Nutzer der kostenlosen Testphase)
- • Dashboard-Benutzer (Personen, die auf das TradeFork-Dashboard zugreifen)
4. Weisungsbindung
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Weisungen können schriftlich oder in Textform (z.B. per E-Mail an [email protected]) erteilt werden. Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach seiner Auffassung gegen datenschutzrechtliche Vorschriften verstößt.
5. Vertraulichkeit
Der Auftragsverarbeiter stellt sicher, dass die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Vertraulichkeitspflicht besteht auch nach Beendigung des Auftrags fort.
6. Technische und organisatorische Massnahmen (TOM)
Der Auftragsverarbeiter trifft folgende technische und organisatorische Massnahmen gemaess Art. 32 DSGVO:
- • Verschluesselung: Saemtliche Daten werden bei der Uebertragung mittels TLS verschluesselt. Daten auf den Servern werden auf verschluesselten Datentraegern gespeichert.
- • Zugriffskontrolle: JWT-basierte Authentifizierung, bcrypt-Passwort-Hashing, Audit-Logging aller Zugriffe.
- • Netzwerksicherheit: Container-Isolation mittels Podman, dediziertes internes Netzwerk (172.20.0.0/16), Firewall-Regeln, kein oeffentlicher Datenbankzugriff.
- • Datentrennung: Jeder Kunde erhält eine eigene, isolierte Serverinstanz mit separater Datenbank.
- • Verfuegbarkeit: Automatische Systemüberwachung, Heartbeat-Prüfungen, automatischer Neustart bei Ausfaellen.
- • Eingabekontrolle: Saemtliche administrativen Aktionen werden mit Zeitstempel und Benutzerkennung im Audit-Log protokolliert.
- • Pseudonymisierung: Hardware-IDs werden gehasht gespeichert und sind nicht direkt einer natuerlichen Person zuordenbar.
7. Unterauftragsverarbeiter
Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens 14 Tage im Voraus per E-Mail über jede beabsichtigte Änderung in Bezug auf Unterauftragsverarbeiter. Der Verantwortliche kann innerhalb von 14 Tagen nach Benachrichtigung Einspruch gegen derartige Änderungen erheben. Folgende Unterauftragsverarbeiter werden derzeit eingesetzt:
| Name | Standort | Zweck | Drittlandtransfer |
|---|---|---|---|
| OVH SAS | Roubaix, Frankreich (EU) | Server-Hosting und Infrastruktur für Kundeninstanzen | Verarbeitung innerhalb der EU — kein Drittlandtransfer |
| Cloudflare Inc. | San Francisco, USA | DNS-Management, DDoS-Schutz und Content Delivery | EU-US Data Privacy Framework (DPF), Angemessenheitsbeschluss der EU-Kommission |
| Stripe Inc. | San Francisco, USA (Verarbeitung: Stripe Ireland Ltd., Dublin) | Zahlungsabwicklung, Abonnementverwaltung, Rechnungsstellung | EU-US Data Privacy Framework (DPF); primaere Verarbeitung durch Stripe Ireland Ltd. innerhalb der EU |
| ALL-INKL.COM - Neue Medien Muennich | Deutschland (EU) | E-Mail-Versand (Bestätigungen, Lizenzschlüssel, Support-Benachrichtigungen) | Verarbeitung innerhalb der EU — kein Drittlandtransfer |
8. Betroffenenrechte
Der Auftragsverarbeiter unterstuetzt den Verantwortlichen durch geeignete technische und organisatorische Massnahmen bei der Erfuellung seiner Pflichten zur Beantwortung von Antraegen betroffener Personen auf Ausuebung ihrer Rechte gemaess Kapitel III DSGVO (Auskunft, Berichtigung, Löschung, Einschraenkung, Datenübertragbarkeit, Widerspruch). Anfragen betroffener Personen, die direkt beim Auftragsverarbeiter eingehen, werden unverzüglich an den Verantwortlichen weitergeleitet.
9. Löschung und Rueckgabe
Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Auf Wunsch des Verantwortlichen werden die Daten vor der Löschung in einem gängigen, maschinenlesbaren Format zurückgegeben. Die Löschung wird dem Verantwortlichen auf Anfrage schriftlich bestätigt.
10. Kontrollrechte
Der Verantwortliche hat das Recht, die Einhaltung dieses AVV und der datenschutzrechtlichen Vorgaben zu überprüfen. Der Auftragsverarbeiter stellt dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten zur Verfuegung. Inspektionen können nach rechtzeitiger Voranmeldung (mindestens 14 Werktage) unter Beruecksichtigung angemessener Vertraulichkeitsvereinbarungen durchgefuehrt werden.
11. Meldepflicht bei Datenschutzverletzungen
Der Auftragsverarbeiter meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spaetestens jedoch innerhalb von 24 Stunden nach Kenntniserlangung. Die Meldung enthaelt mindestens: eine Beschreibung der Art der Verletzung, die Kategorien und ungefaehre Anzahl betroffener Personen, die wahrscheinlichen Folgen sowie die ergriffenen und vorgeschlagenen Abhilfemassnahmen.
12. Haftung
Die Haftung der Parteien richtet sich nach den Bestimmungen der DSGVO, insbesondere Art. 82 DSGVO. Der Auftragsverarbeiter haftet für Schaeden, die durch eine nicht der DSGVO entsprechende Verarbeitung verursacht werden oder die sich aus einem Verstoss gegen spezifisch an Auftragsverarbeiter gerichtete Pflichten ergeben.
13. Anwendbares Recht
Dieser AVV unterliegt dem Recht der Bundesrepublik Deutschland. Gerichtsstand ist der Sitz des Auftragsverarbeiters, sofern nicht zwingende verbraucherschutzrechtliche Vorschriften entgegenstehen.