Auftragsverarbeitungsvertrag (AVV)

Vertrag zur Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO. Dieser AVV wird zwischen dem Creator (im Folgenden „Verantwortlicher") und Aktiviere JavaScript, um diese Angaben zu sehen. (im Folgenden „facelessed" oder „Auftragsverarbeiter") geschlossen. Er kommt mit der Bestätigung bei der Registrierung wirksam zustande (elektronische Form nach Art. 28 Abs. 9 DSGVO) und gilt ergänzend zu den AGB.

§ 1 Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten, die facelessed im Rahmen der Bereitstellung der Plattform (Shop-Hosting, Verkaufs-, Kunden-, Termin-, Event- und Membership-Funktionen) für den Verantwortlichen durchführt. Die Verarbeitung erfolgt für die Dauer der Nutzung der Plattform und endet mit Beendigung des Nutzungsverhältnisses.

§ 2 Art, Umfang und Zweck der Verarbeitung

Zweck: Betrieb des Creator-Shops und der damit verbundenen Funktionen (Bestellungen, Auslieferung digitaler Inhalte, Mitgliederbereiche, Termin- und Event-/Ticketverwaltung, Kundenkommunikation, Belege).

Art der Daten:

Stammdaten der Shop-Kunden (Name, E-Mail, ggf. Anschrift)
Vertrags- und Bestelldaten (gekaufte Produkte, Mitgliedschaften, Termine, Tickets)
Kommunikations- und Nutzungsdaten (z. B. Magic-Link-Logins, Support-Nachrichten)
technische Daten, soweit zur Bereitstellung erforderlich

Zahlungsdaten werden über Stripe Connect direkt zwischen Kunde und Stripe verarbeitet; facelessed erhält insoweit keine vollständigen Zahlungsmittel-Daten.

Kategorien betroffener Personen: Kunden und Interessenten des Creator-Shops.

§ 3 Weisungsgebundenheit

facelessed verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags und nach dokumentierten Weisungen des Verantwortlichen, nicht für eigene Zwecke. Hält facelessed eine Weisung für rechtswidrig, wird der Verantwortliche informiert.

§ 4 Vertraulichkeit

Mit der Verarbeitung befasste Personen sind zur Vertraulichkeit verpflichtet bzw. unterliegen einer gesetzlichen Verschwiegenheitspflicht.

§ 5 Technische und organisatorische Maßnahmen (Art. 32)

facelessed trifft geeignete technische und organisatorische Maßnahmen, u. a.: Transportverschlüsselung (TLS), Zugriffsbeschränkung und Rollen-/Rechtekonzept, isolierte Ausführung von Custom-Code auf einem getrennten Origin, regelmäßige, verschlüsselte Backups, Protokollierung sicherheitsrelevanter Zugriffe sowie Maßnahmen zur Wiederherstellbarkeit. Eine detaillierte TOM-Beschreibung wird auf Anfrage bereitgestellt.

§ 6 Sub-Auftragsverarbeiter

Der Verantwortliche stimmt dem Einsatz folgender Sub-Auftragsverarbeiter zu. facelessed informiert über beabsichtigte Änderungen und räumt ein Widerspruchsrecht ein.

netcup GmbH (Hosting, EU)
Stripe Payments Europe, Limited (Zahlungsabwicklung über Stripe Connect)
Cloudflare, Inc. (DNS/CDN/SSL sowie Objektspeicher für verschlüsselte Backups)
Amazon Web Services EMEA SARL (Amazon SES, transaktionaler E-Mail-Versand, Region Frankfurt/EU)
Functional Software, Inc. (Sentry, Fehler- und Stabilitätsanalyse, EU-Region)
KI-Dienstleister für optionale KI-Funktionen (Verarbeitung in einem Rechenzentrum in Frankfurt/EU)

§ 7 Unterstützung des Verantwortlichen

facelessed unterstützt den Verantwortlichen im Rahmen des Möglichen bei der Erfüllung von Betroffenenrechten (Art. 12-23) sowie bei Pflichten nach Art. 32-36 (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung).

§ 8 Meldung von Datenschutzverletzungen

facelessed informiert den Verantwortlichen unverzüglich über bekannt gewordene Verletzungen des Schutzes personenbezogener Daten, die dessen Daten betreffen.

§ 9 Löschung und Rückgabe

Nach Beendigung der Verarbeitung löscht facelessed die personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht.

§ 10 Nachweise und Kontrollen

facelessed stellt dem Verantwortlichen die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht angemessene Überprüfungen.

§ 11 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem AVV und den AGB gehen für die Auftragsverarbeitung die Regelungen dieses AVV vor. Sollte eine Bestimmung unwirksam sein, bleibt der übrige Vertrag wirksam.

Stand: 15. Juni 2026.