Vertrag über die Auftragsverarbeitung

1. Parteien und Abschluss

1. Dieser Vertrag über die Auftragsverarbeitung (AVV) gilt zwischen dem Kunden von Bricksmanager als Verantwortlichem („Kunde“) und der Onveda GmbH, Düsseldorfer Straße 14, 40764 Langenfeld, als Auftragsverarbeiter („Anbieter“, „wir“).
2. Der AVV ist Bestandteil der Allgemeinen Geschäftsbedingungen (§ 1 Abs. 4 AGB) und wird mit deren Annahme bei der Registrierung vereinbart. Einer gesonderten Unterschrift bedarf es nicht. Auf Wunsch stellen wir dem Kunden den AVV in Textform zur Verfügung.
3. Soweit dieser AVV nichts anderes regelt, gelten die AGB. Bei Widersprüchen in Fragen des Datenschutzes geht dieser AVV vor.

2. Gegenstand und Dauer

1. Gegenstand ist die Verarbeitung personenbezogener Daten der Käufer des Kunden durch den Anbieter beim Betrieb von Bricksmanager, einer Software als Online-Dienst zur Bearbeitung von BrickLink-Bestellungen.
2. Der AVV gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Anbieter Daten des Kunden verarbeitet (insbesondere bis zur Löschung nach Abschnitt 11).

3. Art und Zweck der Verarbeitung

1. Der Anbieter verarbeitet die Daten ausschließlich, um dem Kunden Bricksmanager bereitzustellen, insbesondere:
   • Abruf der Bestellungen des Kunden über die Schnittstelle (API) von BrickLink und Speicherung in Bricksmanager,
   • Erstellen, Speichern und Anzeigen von Rechnungen, Storno- und Korrekturrechnungen, Picklisten und Lieferscheinen,
   • Versand von E-Mails an die Käufer im Namen des Kunden (zum Beispiel Rechnung, Versandmitteilung),
   • Übertragung von Sendungsnummern an BrickLink, wenn der Kunde das veranlasst,
   • Aufbereitung für die Buchhaltung (zum Beispiel Rechnungsausgangsbuch, EU-Umsätze, DATEV-Export),
   • sobald verfügbar und vom Kunden nicht abgeschaltet: tägliche Sicherung der Bestellungen (Bestellsicherung, nur in bezahlten Tarifen).
2. Art der Verarbeitung: Erheben (Abruf), Speichern, Ordnen, Auslesen, Abfragen, Verwenden, Übermitteln (E-Mail an Käufer, Sendungsnummer an BrickLink), Einschränken und Löschen.
3. Eine Verarbeitung für eigene Zwecke des Anbieters findet nicht statt.

4. Art der Daten und Kreis der Betroffenen

1. Betroffene: Käuferinnen und Käufer des Kunden auf BrickLink.
2. Datenarten:
   • Name und BrickLink-Benutzername,
   • Liefer- und Rechnungsanschrift,
   • E-Mail-Adresse,
   • Bestelldaten (Bestellnummer, Datum, Status, Bemerkungen),
   • Artikeldaten (bestellte Teile, Mengen, Preise),
   • Zahlungsdaten (Zahlungsart und Zahlungsstatus, keine Konto- oder Kartendaten der Käufer),
   • Versanddaten (Versandart, Versandkosten, Sendungsnummer),
   • gegebenenfalls die USt-ID gewerblicher Käufer,
   • die erzeugten Rechnungen und die an Käufer gesendeten E-Mails.

5. Weisungen

1. Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist nach Unionsrecht oder deutschem Recht zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Die Weisungen sind abschließend durch die AGB, diesen AVV und die Bedienung von Bricksmanager durch den Kunden (Einstellungen, Import, Versand, Löschung) festgelegt. Weitere Weisungen erteilt der Kunde in Textform an kontakt@onveda.de.
3. Ist der Anbieter der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, weist er den Kunden unverzüglich darauf hin und darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

6. Vertraulichkeit

Der Anbieter gewährleistet, dass sich alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf die Daten erhalten nur Personen, die ihn für Betrieb, Wartung und Support benötigen.

7. Technische und organisatorische Maßnahmen

1. Der Anbieter trifft die Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind.
2. Die Maßnahmen dürfen dem technischen Fortschritt angepasst werden, sofern das Schutzniveau nicht unterschritten wird.

8. Unterauftragsverarbeiter

1. Der Kunde erteilt die allgemeine Genehmigung, Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.
2. Der Anbieter informiert den Kunden mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Kunde kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Kann der Anbieter den Dienst ohne den Unterauftragsverarbeiter nicht zumutbar erbringen, können beide Seiten den Vertrag zum Wirksamwerden der Änderung kündigen. [zu entscheiden: Frist von vier Wochen]
3. Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf dieselben Datenschutzpflichten, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO).
4. BrickLink ist kein Unterauftragsverarbeiter des Anbieters. Der Kunde hat ein eigenes Vertragsverhältnis mit BrickLink; der Abruf und die Übertragung von Daten über die Schnittstelle erfolgen in seinem Auftrag mit seinen API-Zugangsdaten.

9. Unterstützung des Kunden

1. Der Anbieter unterstützt den Kunden mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Wendet sich eine betroffene Person direkt an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter und beantwortet sie nicht selbst, soweit der Kunde nichts anderes anweist.
2. Der Anbieter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation).
3. [zu entscheiden: ob Unterstützungsleistungen, die über die Funktionen der App hinausgehen, gesondert vergütet werden]

10. Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, nachdem sie ihm bekannt geworden ist, an die E-Mail-Adresse des Kundenkontos.
2. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen und ergriffene oder vorgeschlagene Maßnahmen. Informationen, die noch nicht vorliegen, reicht der Anbieter nach.
3. Die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Käufer obliegen dem Kunden; der Anbieter unterstützt ihn dabei.

11. Löschung und Rückgabe nach Vertragsende

1. Während der Vertragslaufzeit und nach Vertragsende innerhalb der Fristen nach § 11 der AGB kann der Kunde seine Daten mit den Exportfunktionen der App herunterladen (zum Beispiel Rechnungen als PDF oder ZIP, Rechnungsausgangsbuch, DATEV-Export als CSV).
2. Danach löscht der Anbieter die Daten des Kunden einschließlich der Daten der Käufer innerhalb von 30 Tagen, einschließlich der Datensicherungen, sofern nicht nach Unionsrecht oder deutschem Recht eine Pflicht zur Speicherung besteht. [zu prüfen: dass Server-Datensicherungen spätestens nach 30 Tagen überschrieben werden]
3. Auf Verlangen bestätigt der Anbieter die Löschung in Textform.

12. Nachweise und Kontrollen

1. Der Anbieter stellt dem Kunden auf Anfrage alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1.
2. Der Anbieter ermöglicht Überprüfungen einschließlich Inspektionen durch den Kunden oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt dazu bei. Inspektionen sind mit angemessener Frist, in der Regel mindestens vier Wochen, anzukündigen, während der üblichen Geschäftszeiten durchzuführen und dürfen den Betrieb nicht unverhältnismäßig stören. [zu entscheiden: Kostentragung für Vor-Ort-Kontrollen]
3. Rechenzentren des Hosters werden nicht durch den Kunden vor Ort geprüft; hierfür genügen die Nachweise des Hosters (zum Beispiel Zertifizierungen).

13. Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der AGB.
2. Änderungen und Ergänzungen dieses AVV bedürfen der Textform. Für Änderungen gilt § 13 der AGB entsprechend.
3. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist der in den AGB vereinbarte.

Anlage 1 – Technische und organisatorische Maßnahmen

Die folgenden Maßnahmen beschreiben den Stand bei Abschluss des AVV. Angaben, die noch nicht bestätigt sind, sind gekennzeichnet.

Vertraulichkeit

• Hosting: Betrieb auf Servern der Hetzner Online GmbH in Rechenzentren in Deutschland. Physischer Zutrittsschutz der Rechenzentren durch den Hoster.
• Verschlüsselte Übertragung: Website und App werden ausschließlich über TLS (HTTPS) ausgeliefert.
• Zugangskontrolle: Anmeldung an der App nur mit persönlichem Konto und Passwort; Passwörter werden nur als Hash mit einem aktuellen, adaptiven Verfahren gespeichert, nie im Klartext. Formulare sind gegen Cross-Site-Request-Forgery geschützt.
• Zugriffskontrolle: Jeder Kunde sieht nur die Daten seines eigenen Kontos. Verwaltungsfunktionen sind auf Administratoren beschränkt.
• Serverzugang: nur für den Anbieter, über verschlüsselte Verbindungen (SSH). [zu prüfen: Anmeldung nur mit Schlüssel, Kreis der Berechtigten]
• Trennung: Test- und Entwicklungsumgebungen arbeiten nicht mit Produktivdaten. [zu prüfen]

Integrität

• Weitergabekontrolle: Übermittlungen an BrickLink erfolgen verschlüsselt; die App übergibt E-Mails verschlüsselt (TLS) an den eigenen Mailserver.
• Eingabekontrolle: Rechnungen werden fortlaufend nummeriert und nicht gelöscht, sondern storniert oder korrigiert; Versand und Änderungen werden an der Bestellung vermerkt.

Verfügbarkeit und Belastbarkeit

• Datensicherung: regelmäßige Sicherung der Datenbank. [zu prüfen: Häufigkeit, Speicherort und Aufbewahrungsdauer der Sicherungen, Wiederherstellungstest]
• Aktualität: Sicherheitsupdates für Betriebssystem und Software werden zeitnah eingespielt. [zu prüfen: Verfahren]

Verfahren zur regelmäßigen Überprüfung

• Überprüfung dieser Maßnahmen mindestens einmal jährlich und bei wesentlichen Änderungen des Dienstes. [zu prüfen]

Anlage 2 – Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Hosting (Server, Speicher); Ort der Verarbeitung: Deutschland. Den Versand von E-Mails an Käufer übernimmt der Auftragsverarbeiter selbst mit einem eigenen Mailserver (mailcow) auf einem Server der Hetzner Online GmbH in Deutschland; dafür kommt kein weiterer Unterauftragsverarbeiter hinzu.

Stand: Oktober 2026