Vertrag zur Auftragsverarbeitung (AVV)
Stand: Juli 2026. Gilt zwischen der registrierten Organisation als Verantwortlicher und Ledger Flow als Auftragsverarbeiter im Sinne von Art. 28 DSGVO. Die Annahme erfolgt in den Einstellungen.
1. Gegenstand und Dauer
Dieser Vertrag konkretisiert die Pflichten der Parteien im Zusammenhang mit der datenschutzrechtlichen Auftragsverarbeitung gemäß Art. 28 DSGVO, die sich aus der Nutzung der Plattform Ledger Flow durch die Organisation (nachfolgend „Verantwortliche“) ergibt.
Auftragsverarbeiter ist Amir Kalaie, Palisadenstraße 35D, 10243 Berlin (siehe Impressum). Der Vertrag beginnt mit Annahme (Klick „AVV annehmen“ in den Einstellungen) und endet mit Beendigung des Nutzungsvertrags (AGB).
2. Gegenstand, Art und Zweck der Verarbeitung
Verarbeitet werden Stammdaten der Endkundinnen und -kunden der Verantwortlichen (Name, E-Mail-Adresse, Telefonnummer, Stripe-Kunden-ID), Kauf- und Zahlungsdaten (Produkt, Preis, Zahlungsstatus, Ratenpläne) sowie technische Metadaten aus Checkout und Webhook-Verarbeitung.
Zweck ist ausschließlich die Bereitstellung der Plattformfunktionen der Verantwortlichen: Checkout-Vermittlung, Kundenverwaltung, Zahlungs- und Ratenverfolgung (Ledger).
Kategorien betroffener Personen: Endkundinnen und -kunden der Verantwortlichen, die über deren Storefront kaufen.
3. Weisungsgebundenheit
Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung der Verantwortlichen, es sei denn, er ist durch Unionsrecht oder das Recht der Mitgliedstaaten zu einer anderweitigen Verarbeitung verpflichtet. Die Nutzung der Plattformfunktionen entsprechend ihrer bestimmungsgemäßen Funktion gilt als Weisung.
4. Technische und organisatorische Maßnahmen
Zugriff auf die Datenbank ist durch rollenbasierte Zugriffskontrolle (Row-Level-Security) auf die jeweils eigene Organisation beschränkt; Verbindungen erfolgen verschlüsselt (TLS).
Zahlungsdaten im engeren Sinne (Kartendaten) werden nicht auf eigenen Systemen gespeichert, sondern ausschließlich bei Stripe verarbeitet.
Zugangsdaten werden gehasht gespeichert; Änderungen an Kern-Tabellen werden protokolliert (Zeitstempel je Datensatz).
5. Unterauftragsverarbeiter
Die Verantwortliche stimmt dem Einsatz folgender Unterauftragsverarbeiter zu: Supabase (Datenbank/Hosting), Vercel Inc. (Applikations-Hosting), Stripe (Zahlungsabwicklung).
Der Auftragsverarbeiter informiert die Verantwortliche über beabsichtigte Änderungen in Bezug auf die Hinzuziehung oder Ersetzung weiterer Unterauftragsverarbeiter; die Verantwortliche kann diesen Änderungen aus wichtigem Grund widersprechen.
6. Unterstützungspflichten
Der Auftragsverarbeiter unterstützt die Verantwortliche im Rahmen des Zumutbaren bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO), bei der Gewährleistung der Sicherheit der Verarbeitung (Art. 32), bei Meldungen von Datenschutzverletzungen (Art. 33, 34) sowie bei Datenschutz-Folgenabschätzungen (Art. 35).
Wird der Auftragsverarbeiter von einer betroffenen Person direkt kontaktiert, leitet er die Anfrage unverzüglich an die Verantwortliche weiter, soweit er sie nicht selbst der Verantwortlichen zurechnen und beantworten kann.
7. Meldepflichten
Der Auftragsverarbeiter meldet der Verantwortlichen Verletzungen des Schutzes personenbezogener Daten, die die von ihm verarbeiteten Daten betreffen, unverzüglich, spätestens jedoch innerhalb von 48 Stunden nach Kenntniserlangung.
8. Löschung und Rückgabe
Nach Beendigung des Nutzungsvertrags löscht der Auftragsverarbeiter sämtliche personenbezogenen Daten der Verantwortlichen, soweit nicht gesetzliche Aufbewahrungspflichten entgegenstehen. Die Verantwortliche kann innerhalb von 30 Tagen nach Vertragsende einen Datenexport verlangen.
9. Kontrollrechte
Die Verantwortliche ist berechtigt, sich in angemessenem Umfang von der Einhaltung der in diesem Vertrag festgelegten Pflichten zu überzeugen, insbesondere durch Einholung von Auskünften. Vor-Ort-Kontrollen sind mit angemessener Frist anzukündigen.