Auftragsverarbeitungsvertrag (AVV)

(1) Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Verantwortlichen im Rahmen der Nutzung der Plattform REALTRAX, insbesondere der Funktion „Mein Stack".

(2) Die Verarbeitung im Auftrag betrifft ausschließlich die vom Verantwortlichen eingegebenen Inhaltsdaten (Software-Stack). Nicht umfasst sind die Daten, die der Auftragnehmer als eigener Verantwortlicher verarbeitet (Konto-/Registrierungsdaten, Authentifizierungs-/Magic-Link-Daten, Plattform-Logs, Abrechnungsdaten).

(3) Die Dauer des Auftrags entspricht der Laufzeit des Hauptvertrags (AGB/ Nutzungsvertrag) und endet mit dessen Beendigung.

(1) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Auswerten, Übermitteln (an genehmigte Sub-Auftragsverarbeiter), Löschen.

(2) Zweck: Speicherung und Auswertung des vom Verantwortlichen gepflegten Software-Stacks zur Nutzung der Plattformfunktionen.

(3) Die Verarbeitung erfolgt ausschließlich innerhalb des EWR bzw. in Drittländern mit angemessenem Schutzniveau (§ 7).

(1) Kategorien betroffener Personen: Beschäftigte und Nutzer des Verantwortlichen, die den Software-Stack pflegen; ggf. weitere vom Verantwortlichen benannte Personen.

(2) Kategorien personenbezogener Daten: Nutzer-/Kontokennungen des Verantwortlichen, dem Stack zugeordnete Bezeichnungen/Notizen, Zeitstempel der Bearbeitung. Der Verantwortliche verpflichtet sich, keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO) in die Plattform oder deren Freitextfelder einzugeben.

REALTRAX betreibt den Dienst EU-souverän und dokumentiert die eingesetzten Dienstleister öffentlich unter /sub-processors.

• Zutrittskontrolle: zertifizierte Rechenzentren (Hetzner DE/FI; Supabase auf AWS EU-Frankfurt) mit Zutrittsschutz, Videoüberwachung, Zutrittsprotokollierung.
• Zugangskontrolle: passwortlose Authentifizierung (Magic-Link), individuelle Benutzerkonten, Mehr-Faktor-Authentifizierung für Administrationszugänge, Sperrung inaktiver Zugänge.
• Zugriffskontrolle: Rollen-/Rechtekonzept (Least Privilege), Row-Level-Security (Supabase), Trennung von Produktiv-/Administrationszugriffen, Protokollierung administrativer Zugriffe.
• Weitergabekontrolle: Transportverschlüsselung (TLS), verschlüsselte Speicherung (Encryption at Rest), gesicherte Schnittstellen.
• Eingabekontrolle: Protokollierung von Eingaben, Änderungen und Löschungen, Nachvollziehbarkeit durch Zeitstempel/Log-Einträge.
• Verfügbarkeitskontrolle: tägliche Backups mit 7-Tage-Retention, Monitoring, Fehler-/Crash-Tracking. Point-in-Time-Recovery ist in Free und Pro nicht enthalten; abweichende Anforderungen sind Enterprise-SLAs vorbehalten.
• Trennungskontrolle: Mandantentrennung auf Datenbankebene (logische Trennung, Row-Level-Security), Trennung von Produktiv-/Test-/Backup-Umgebungen.
• Belastbarkeit & Wiederherstellbarkeit: Verfahren zur Wiederherstellung nach Zwischenfällen; regelmäßige Überprüfung der Wirksamkeit der Maßnahmen.

(1) Der Verantwortliche erteilt die allgemeine Genehmigung zur Beauftragung von Sub-Auftragsverarbeitern (Art. 28 Abs. 2 S. 2 DSGVO). Eingesetzt sind u. a. Supabase (EU/Frankfurt), Hetzner (DE/FI), Brevo (FR), BunnyCDN (Phase 2), All-Inkl (DE).

(2) Paddle (Merchant of Record, UK) verarbeitet Zahlungs-/Rechnungsdaten eigenverantwortlich und ist kein Sub-Auftragsverarbeiter dieses AVV. Anthropic wird ausschließlich für internes Tooling ohne Auftragsdaten eingesetzt und ist ebenfalls kein Sub-Auftragsverarbeiter.

(3) Genehmigungs- und Widerspruchsverfahren: Der Auftragnehmer informiert über beabsichtigte Änderungen mit 30 Tagen Vorlauf (Textform / versionierte Sub-Processor-Liste). Der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund binnen 14 Tagen widersprechen; gelingt keine einvernehmliche Lösung, besteht ein Sonderkündigungsrecht bezüglich der betroffenen Leistung.

(4) Sub-Auftragsverarbeiter werden auf ein im Wesentlichen entsprechendes Datenschutzniveau verpflichtet (Art. 28 Abs. 4 DSGVO).

(1) Weisungsrecht: Der Auftragnehmer verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen (Textform bzw. Plattformfunktionen). Hält er eine Weisung für rechtswidrig, informiert er unverzüglich (Art. 28 Abs. 3 UAbs. 2 DSGVO) und darf die Ausführung bis zur Bestätigung aussetzen.

(2) Unterstützung: Der Auftragnehmer unterstützt den Verantwortlichen bei Anträgen betroffener Personen (Art. 12–23 DSGVO) sowie bei Pflichten aus Art. 32–36 DSGVO. Datenschutzverletzungen der Auftragsdaten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.

(3) Rückgabe & Löschung: Nach Auftragsende löscht der Auftragnehmer die Auftragsdaten nach Wahl des Verantwortlichen oder gibt sie zurück und löscht Kopien, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Backups werden im regulären Zyklus (7 Tage) überschrieben.

(1) Der Auftragnehmer weist die Einhaltung vorrangig durch aktuelle Zertifikate, Testate oder Prüfberichte (der Sub-Auftragsverarbeiter) nach.

(2) Der Verantwortliche kann sich von der Einhaltung überzeugen; Vor-Ort-Kontrollen erfolgen mit angemessener Vorankündigung, während der üblichen Geschäftszeiten und ohne unverhältnismäßige Betriebsstörung, ggf. durch einen zur Verschwiegenheit verpflichteten Prüfer. Sie beschränken sich auf das erforderliche Maß und finden nur statt, wenn Zertifikate/Prüfberichte nicht ausreichen oder ein begründeter Verdacht eines Datenschutzvorfalls besteht. Die Kosten trägt der Verantwortliche.

Dieser AVV betrifft ausschließlich die Kundenbeziehung. Streitigkeiten zwischen REALTRAX und bewerteten Software-Anbietern regelt die separate Vendor-Dispute-Policy — ohne Verflechtung mit diesem Kunden-AVV.