Auftragsverarbeitungsvertrag
Stand: 12. September 2026
Dieser Vertrag wird geschlossen zwischen dem Händler, der c-novation pay nutzt (nachfolgend Verantwortlicher), und
c-novation pay
Patrick Flender
Lönsstrasse 1
29574 Ebstorf
Deutschland
E-Mail: info@c-novation-pay.de
(nachfolgend Auftragsverarbeiter), gemeinsam die Parteien. Er ergänzt die Allgemeinen Geschäftsbedingungen und geht diesen bei Widersprüchen in Fragen der Auftragsverarbeitung vor.
§ 1 Gegenstand und Dauer
(1) Schließt ein Kunde im Shop des Verantwortlichen ein Abonnement oder einen Mietvertrag ab, verarbeitet der Auftragsverarbeiter dessen personenbezogene Daten im Auftrag des Verantwortlichen. Der Verantwortliche bleibt für diese Daten verantwortlich im Sinne von Art. 4 Nr. 7 DSGVO.
(2) Zweck der Verarbeitung ist die Durchführung wiederkehrender Zahlungen sowie die Verwaltung der Abonnement- und Mietverträge, die der Verantwortliche mit seinen Kunden schließt.
(3) Art der Verarbeitung: Erheben, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an den Zahlungsdienstleister, Einschränken und Löschen.
(4) Der Vertrag läuft, solange der Nutzungsvertrag über c-novation pay besteht, und endet mit ihm. Die Pflichten aus § 8 gelten darüber hinaus.
§ 2 Datenkategorien und Betroffene
Betroffen sind die Kunden des Verantwortlichen, die ein Abonnement oder einen Mietvertrag abschließen. Verarbeitet werden:
| Kategorie | Konkret |
|---|---|
| Kundenstammdaten | Name, E-Mail-Adresse, Kundennummer im Shop |
| Vertragsdaten | Produkt, Zahlungs- und Versandintervall, Laufzeit, Status, Kündigungsdatum |
| Adressdaten | Liefer- und Rechnungsanschrift |
| Zahlungsdaten | Betrag, Währung, Zahlungsart, letzte vier Stellen und Kartenmarke, Referenzen des Zahlungsdienstleisters, Fehlergründe |
| Bestelldaten | Bestellnummer, Beträge, Versandstatus, Sendungsnummer |
Vollständige Kartennummern und Bankverbindungen werden nicht beim Auftragsverarbeiter gespeichert. Sie liegen ausschließlich beim Zahlungsdienstleister.
§ 3 Weisungsbindung
(1) Der Auftragsverarbeiter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag, die Einstellungen, die der Verantwortliche im Portal vornimmt, und Anweisungen in Textform.
(2) Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Klärung aussetzen.
(3) Verarbeitet der Auftragsverarbeiter Daten aufgrund einer gesetzlichen Pflicht, informiert er den Verantwortlichen vorher, sofern das Gesetz dies nicht verbietet.
§ 4 Vertraulichkeit
Der Auftragsverarbeiter verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie nicht bereits einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung gilt über das Ende der Tätigkeit hinaus.
§ 5 Technische und organisatorische Maßnahmen
Der Auftragsverarbeiter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen, insbesondere:
- Übertragung ausschließlich verschlüsselt (TLS)
- Passwörter nur als Hash gespeichert, niemals im Klartext
- Zugriff nur für angemeldete Nutzer, getrennt nach Händler; ein Händler sieht ausschließlich seine eigenen Daten
- Serverstandort Deutschland
- Regelmäßige Sicherungen und deren Wiederherstellbarkeit
- Protokollierung sicherheitsrelevanter Vorgänge ohne personenbezogene Inhalte
- Trennung von Produktiv- und Testdaten
Die Maßnahmen dürfen weiterentwickelt werden, solange das Schutzniveau nicht sinkt.
§ 6 Unterauftragsverarbeiter
(1) Der Verantwortliche genehmigt den Einsatz der folgenden Unterauftragsverarbeiter:
| Dienst | Zweck | Sitz |
|---|---|---|
| Stripe Payments Europe, Ltd. | Zahlungsabwicklung und Auszahlung | Irland, Verarbeitung auch in den USA auf Grundlage der EU-Standardvertragsklauseln |
| Mollie B.V. | Zahlungsabwicklung und Auszahlung, je nach gewähltem Zahlungsanbieter | Niederlande |
| Hostinganbieter | Betrieb von Portal und Datenbank | Deutschland |
| E-Mail-Versand (SMTP) | Benachrichtigungen an Händler und deren Kunden | EU |
(2) Der Auftragsverarbeiter informiert den Verantwortlichen mindestens vier Wochen vor einem Wechsel oder einer Ergänzung in Textform. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem Grund widersprechen; führt der Widerspruch dazu, dass die Leistung nicht erbracht werden kann, darf jede Partei ordentlich kündigen.
(3) Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter auf dieselben Datenschutzpflichten, die ihn selbst treffen.
§ 7 Unterstützungspflichten
(1) Wendet sich ein Betroffener mit einem Auskunfts-, Berichtigungs- oder Löschverlangen an den Auftragsverarbeiter, leitet dieser die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst.
(2) Der Auftragsverarbeiter unterstützt den Verantwortlichen bei der Erfüllung der Betroffenenrechte nach Art. 15 bis 22 DSGVO, insbesondere durch Export der Daten in einem gängigen, maschinenlesbaren Format.
(3) Wird dem Auftragsverarbeiter eine Verletzung des Schutzes personenbezogener Daten bekannt, meldet er sie dem Verantwortlichen unverzüglich, spätestens innerhalb von 24 Stunden, mit allen bekannten Angaben nach Art. 33 Abs. 3 DSGVO. Die Meldung an die Aufsichtsbehörde obliegt dem Verantwortlichen.
(4) Der Auftragsverarbeiter unterstützt bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO, soweit ihm die dafür nötigen Angaben vorliegen.
§ 8 Löschung und Rückgabe
(1) Nach Ende des Nutzungsvertrags löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten oder gibt sie zurück, nach Wahl des Verantwortlichen. Die Wahl ist innerhalb von 30 Tagen nach Vertragsende mitzuteilen.
(2) Trifft der Verantwortliche keine Wahl, löscht der Auftragsverarbeiter die Daten nach Ablauf dieser Frist.
(3) Ausgenommen sind Daten, die der Auftragsverarbeiter aus handels- oder steuerrechtlichen Gründen aufbewahren muss. Diese werden für die weitere Verwendung gesperrt und nach Ablauf der Frist gelöscht.
(4) Sicherungskopien werden im Rahmen des üblichen Rotationszyklus überschrieben, spätestens nach 90 Tagen.
§ 9 Nachweise und Kontrolle
(1) Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anforderung in Textform nach, insbesondere durch Beschreibung der Maßnahmen nach § 5.
(2) Der Verantwortliche darf sich nach rechtzeitiger Ankündigung und zu üblichen Geschäftszeiten selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer vergewissern, dass dieser Vertrag eingehalten wird. Die Prüfung darf den Betrieb nicht unangemessen beeinträchtigen.
§ 10 Schlussbestimmungen
(1) Änderungen bedürfen der Textform. Das gilt auch für die Abbedingung dieser Formklausel.
(2) Ist eine Bestimmung unwirksam, bleibt der übrige Vertrag wirksam.
(3) Es gilt deutsches Recht. Ausschließlicher Gerichtsstand ist der Sitz des Auftragsverarbeiters, sofern der Verantwortliche Kaufmann ist.
(4) Der Vertrag wird elektronisch geschlossen (Art. 28 Abs. 9 DSGVO). Fassung und Zeitpunkt der Zustimmung hält der Auftragsverarbeiter fest; der Verantwortliche kann sie im Portal unter Dokumente einsehen.