Vertrag über Auftragsverarbeitung (AVV)

nach Art. 28 DSGVO zwischen dem Kunden der Software BridalSuite (nachfolgend „Verantwortlicher“) und Elio Pierino Tenuta, elico media, Isarstraße 13, 63110 Rodgau (nachfolgend „Auftragsverarbeiter“).

Dieser Vertrag wird mit der Registrierung für BridalSuite in elektronischer Form geschlossen (Art. 28 Abs. 9 DSGVO). Er ergänzt die Allgemeinen Geschäftsbedingungen und geht ihnen bei Widersprüchen in Datenschutzfragen vor.

§ 1 Gegenstand und Dauer

Der Auftragsverarbeiter stellt dem Verantwortlichen die Software BridalSuite als Cloud-Dienst zur Verfügung und verarbeitet dabei in dessen Auftrag personenbezogene Daten. Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags über BridalSuite.

§ 2 Art, Zweck und Umfang der Verarbeitung

Zweck: Betrieb eines Brautmoden-Geschäfts, insbesondere Terminverwaltung, Kundenverwaltung, Anprobe- und Verkaufsdokumentation, Kaufverträge, Rechnungen, Herstellerbestellungen, Team- und Dienstplanung sowie Kommunikation mit Kundinnen.

Art der Verarbeitung: Speicherung, Organisation, Anzeige, Auswertung, Übermittlung per E-Mail, Sicherung und Löschung im Rahmen der Funktionen der Software.

Kategorien betroffener Personen: Kundinnen und Kunden des Verantwortlichen sowie deren Begleitpersonen, Mitarbeitende des Verantwortlichen, Ansprechpersonen bei Herstellern und Lieferanten.

Kategorien personenbezogener Daten: Stammdaten (Name, Anschrift, E-Mail, Telefon), Termindaten, Hochzeitstermin und Budget, Körpermaße und Konfektionsgrößen, Fotos aus Anproben, Vertrags- und Rechnungsdaten, Zahlungsstatus, Notizen und Nachrichtenverlauf, Beschäftigtendaten (Rollen, Dienstpläne, Aktivitätsprotokoll), Nutzungsdaten (Logins, Zugriffsprotokolle).

§ 3 Weisungen des Verantwortlichen

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der Funktionen der Software und nach den dokumentierten Weisungen des Verantwortlichen. Weisungen ergeben sich aus der Nutzung der Software; darüber hinausgehende Weisungen erteilt der Verantwortliche in Textform an hallo@bridalsuite.io. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich und darf die Ausführung bis zur Klärung aussetzen.

§ 4 Pflichten des Auftragsverarbeiters

• Er verarbeitet die Daten nur in Deutschland; eine Verarbeitung in Drittländern findet nur über die in Anlage 2 genannten Unterauftragsverarbeiter und nur bei ausdrücklicher Aktivierung durch den Verantwortlichen statt.
• Er verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO).
• Er trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO und entwickelt sie entsprechend dem Stand der Technik weiter.
• Er unterstützt den Verantwortlichen bei der Beantwortung von Anfragen betroffener Personen, bei der Meldung von Datenschutzverletzungen und bei Datenschutz-Folgenabschätzungen, soweit dies mit den Mitteln der Software möglich ist.
• Er meldet dem Verantwortlichen Verletzungen des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, an die im Konto hinterlegte E-Mail-Adresse.
• Er stellt dem Verantwortlichen alle Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung und ermöglicht Überprüfungen nach angemessener Ankündigung, auch durch beauftragte Prüfer, sofern diese zur Vertraulichkeit verpflichtet sind.
• Ein Datenschutzbeauftragter ist beim Auftragsverarbeiter nach § 38 BDSG nicht zu benennen; Ansprechpartner für Datenschutzfragen ist Elio Pierino Tenuta unter hallo@bridalsuite.io.

§ 5 Pflichten des Verantwortlichen

Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Information seiner Kundinnen und Mitarbeitenden, das Einholen erforderlicher Einwilligungen (etwa für Anprobe-Fotos) und die Wahrung der Betroffenenrechte. Er verwaltet die Zugänge und Rollen seiner Mitarbeitenden in der Software selbst und sorgt für sichere Passwörter.

§ 6 Unterauftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz der in Anlage 2 genannten Unterauftragsverarbeiter zu. Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor dem Einsatz eines neuen oder dem Wechsel eines Unterauftragsverarbeiters per E-Mail. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen; kommt keine Einigung zustande, kann jede Seite den Nutzungsvertrag zum Zeitpunkt des geplanten Einsatzes kündigen. Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein diesem Vertrag entsprechendes Datenschutzniveau.

§ 7 Rechte der betroffenen Personen

Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter. Die Software stellt dem Verantwortlichen Funktionen zur Auskunft, Berichtigung, Löschung und zum Export von Kundendaten bereit.

§ 8 Löschung und Rückgabe

Nach Beendigung des Nutzungsvertrags stellt der Auftragsverarbeiter dem Verantwortlichen auf Anforderung innerhalb von 30 Tagen einen vollständigen Export seiner Daten in einem gängigen Format bereit. Anschließend löscht er die Daten einschließlich aller Kopien, sofern keine gesetzliche Aufbewahrungspflicht besteht. Automatische Datensicherungen werden spätestens 30 Tage nach der Löschung überschrieben.

§ 9 Haftung und Schlussbestimmungen

Für die Haftung gelten Art. 82 DSGVO und die Haftungsregelung der AGB. Änderungen dieses Vertrags bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist der Sitz des Auftragsverarbeiters, sofern der Verantwortliche Kaufmann ist.

Anlage 1: Technische und organisatorische Maßnahmen

Zutritts- und Zugangskontrolle

• Hosting in einem Rechenzentrum in Deutschland (ALL-INKL.COM) mit Zutrittskontrolle, Videoüberwachung und Brandschutz nach den Standards des Hosters.
• Zugang zur Software nur mit persönlichem Konto; Passwörter werden ausschließlich als Hash gespeichert (bcrypt, PHP password_hash).
• Passwort-Zurücksetzen nur über zeitlich begrenzte Links an die hinterlegte E-Mail-Adresse.
• Administrativer Zugriff des Auftragsverarbeiters auf Server und Datenbanken nur über verschlüsselte Verbindungen und mit eigenen Zugangsdaten.

Zugriffskontrolle

• Rollen- und Berechtigungssystem je Geschäft: Der Verantwortliche legt fest, welche Mitarbeitenden welche Bereiche und Umsatzdaten sehen.
• Aktivitätsprotokoll und Zugriffsprotokoll für sensible Bereiche innerhalb der Software.
• Instanzgeheimnisse (z. B. Schlüssel für Mandanten) werden mit AES-256-GCM verschlüsselt und außerhalb des Webroots gespeichert.

Trennungskontrolle

• Jedes Geschäft erhält eine eigene Instanz mit eigener Datenbank und eigener Subdomain; Daten verschiedener Kunden werden logisch strikt getrennt.

Übertragungskontrolle

• Verschlüsselte Übertragung aller Daten über TLS (HTTPS) mit HSTS; unverschlüsselte Aufrufe werden umgeleitet.
• Sicherheits-Header (Content-Security-Policy, X-Frame-Options, Referrer-Policy) gegen Einschleusung fremder Inhalte.

Verfügbarkeitskontrolle

• Automatische tägliche Datensicherung jeder Instanz; automatische Sicherungen werden 30 Tage vorgehalten, Sicherungsdateien sind vom Webserver nicht abrufbar.
• Zusätzlich kann der Verantwortliche jederzeit manuelle Sicherungen in der Software auslösen.
• Redundante Stromversorgung und Netzanbindung des Rechenzentrums nach den Standards des Hosters.

Organisatorische Maßnahmen

• Verpflichtung aller mit der Verarbeitung befassten Personen auf Vertraulichkeit.
• Sicherheitsrelevante Updates der Software und der Serverumgebung werden zeitnah eingespielt.
• Dokumentierter Prozess für die Meldung von Datenschutzverletzungen an den Verantwortlichen innerhalb von 24 Stunden.

Anlage 2: Unterauftragsverarbeiter

• ALL-INKL.COM – Neue Medien Münnich, Inhaber René Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland. Leistung: Hosting der Software, Datenbanken, Datensicherungen und E-Mail-Versand aus der Software. Ort der Verarbeitung: Deutschland.
• OpenAI Ireland Ltd., 1st Floor, The Liffey Trust Centre, 117–126 Sheriff Street Upper, Dublin 1, Irland (nur, wenn der Verantwortliche den optionalen KI-Assistenten aktiviert). Leistung: Verarbeitung der vom Verantwortlichen im KI-Assistenten eingegebenen Texte und der dafür freigegebenen Datensätze zur Erzeugung von Vorschlägen. Ort der Verarbeitung: EU und USA; Absicherung über EU-Standardvertragsklauseln und die Zertifizierung von OpenAI nach dem EU-US Data Privacy Framework. Die Daten werden von OpenAI nicht zum Training von Modellen verwendet.

Stand: September 2026