Gemäß Art. 28 DSGVO · Stand: September 2026
Dieser Auftragsverarbeitungsvertrag (AVV) regelt die Verarbeitung personenbezogener Daten durch Alexander Bart / Elavigaro als Betreiber von Bewertungsmotor (nachfolgend „Auftragsverarbeiter") im Auftrag des Unternehmenskunden (nachfolgend „Verantwortlicher") gemäß Art. 28 DSGVO.
Der AVV wird mit seiner Annahme im Checkout Bestandteil des SaaS-Vertrags. Er gilt für dessen Dauer und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten im Auftrag verarbeitet, insbesondere während einer vereinbarten oder technisch vorgesehenen Lösch- und Reaktivierungsfrist.
Die Verarbeitung erfolgt automatisiert durch Hosting, Speicherung, Anzeige, Änderung, Übermittlung und Löschung innerhalb der SaaS-Plattform. Sie umfasst, soweit die jeweiligen Funktionen verwendet werden:
Die konkrete Verarbeitung richtet sich nach der Konfiguration und den dokumentierten Weisungen des Verantwortlichen innerhalb der Plattform. Eine Verarbeitung für eigene Werbezwecke des Auftragsverarbeiters ist nicht Gegenstand dieses Auftrags.
Betroffen sind insbesondere Endkunden, Interessenten und Treueprogramm-Teilnehmer des Verantwortlichen sowie dessen angelegte Mitarbeiter.
Verarbeitet werden können:
Weisungen werden durch den Nutzungsvertrag, diesen AVV, die Einstellungen in der Plattform oder in Textform erteilt. Der Verantwortliche trägt die Verantwortung für die Zulässigkeit der Verarbeitung, die Information der betroffenen Personen und die erforderliche Rechtsgrundlage. Er stellt insbesondere sicher, dass importierte Kontakte rechtmäßig erhoben wurden und Bewertungsanfragen nur bei wirksamer Grundlage versendet werden. Die Plattform darf nicht für Spam oder fingierte Besuche und Prämien genutzt werden.
Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, weist er den Verantwortlichen darauf hin und darf deren Ausführung bis zur Klärung aussetzen.
Der Auftragsverarbeiter verpflichtet sich:
Für die technische Leistungserbringung werden derzeit insbesondere folgende Anbieter eingesetzt:
Stripe verarbeitet die Zahlungs- und Abonnementdaten des Unternehmenskunden. Im regulären Ablauf werden keine gespeicherten Endkundendatensätze des Verantwortlichen an Stripe übermittelt. Schrift- und Frontenddateien werden durch Bewertungsmotor selbst ausgeliefert und erzeugen keinen gesonderten Browserabruf bei einem CDN- oder Schriftanbieter.
Änderungen an den für die Auftragsverarbeitung eingesetzten Anbietern sind dem Verantwortlichen so rechtzeitig mitzuteilen, dass er aus datenschutzrechtlichen Gründen widersprechen kann. Für Verarbeitungen außerhalb des Europäischen Wirtschaftsraums sind die jeweils erforderlichen Voraussetzungen der Art. 44 ff. DSGVO gesondert nachzuweisen.
Einzelne Endkunden können über einen persönlichen Link gelöscht werden; der Verantwortliche kann Kontakte und Konten verwalten. Abgeschlossene Versandprotokolle und technische Zustellereignisse sind für eine automatische Löschung nach 30 Tagen vorgesehen. Ein gekündigtes Unternehmenskonto wird nach 90 Tagen und erneuter Prüfung des Stripe-Status zur Löschung vorgesehen. Wiederholbare Versandjobs enthalten bis zur Verarbeitung Empfänger- und Nachrichteninhalt; nach Versand, Sperrung oder terminalem Fehlschlag werden diese Inhalte entfernt. Terminal fehlgeschlagene Jobmetadaten werden nach 30 Tagen gelöscht. Noch offene Jobs können bis zur Verarbeitung länger gespeichert bleiben. Nie bestätigte Endkunden-Einladungen werden nach 30 Tagen gelöscht, sobald kein gültiger Bestätigungslink mehr besteht. Nie bestätigte Unternehmenskonten ohne Abrechnungs-, Stripe-, Checkout- oder Bestandszugangshistorie werden ebenfalls nach 30 Tagen gelöscht, sofern kein gültiger Einrichtungslink mehr vorliegt.
Zur Vermeidung doppelter Zustellung sowie zur Beachtung von Hard-Bounces und Beschwerden verbleiben minimale, mit geheimem Schlüssel berechnete HMAC-Werte und Statusangaben ohne Klartext-E-Mail-Adresse. Providerreferenz und Empfänger-HMAC eines Zustellnachweises werden nach 180 Tagen entfernt; der Idempotenz-HMAC bleibt zur Dublettenvermeidung bestehen. Einladungs-Kontingentdaten werden nach sieben Tagen und Admin-Auditereignisse nach 365 Tagen gelöscht. Für Idempotenz- und Empfängersperr-HMACs ist derzeit keine feste automatische Löschfrist hinterlegt. Gesetzliche Aufbewahrungspflichten und Sicherungskopien bleiben unberührt.
Der Auftragsverarbeiter stellt dem Verantwortlichen die zur Prüfung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen zur Verfügung. Kontrollen sind mit angemessener Vorankündigung so durchzuführen, dass Sicherheit, Vertraulichkeit und der Betrieb anderer Kunden nicht beeinträchtigt werden.
Bei Fragen zum AVV wenden Sie sich an: kontakt@bewertungsmotor.de