Auftrags­verarbeitungs­vertrag.

§ 1 Gegenstand, Dauer und Rangfolge

(1) Gegenstand dieses Vertrags ist die Verarbeitung personenbezogener Daten durch den Auftragnehmer im Auftrag des Auftraggebers bei der Bereitstellung der Software Dropavo nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag).

(2) Die Laufzeit entspricht der des Hauptvertrags. Pflichten, die ihrer Natur nach über das Vertragsende hinaus wirken, insbesondere zur Löschung und Vertraulichkeit, gelten bis zu ihrer Erfüllung fort.

(3) Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes den Allgemeinen Geschäftsbedingungen vor.

§ 2 Art, Zweck und Ort der Verarbeitung

(1) Art der Verarbeitung: Erheben durch Abruf von den angebundenen Plattformen oder durch Übertragung des Auftraggebers über die Schnittstelle (Token), Erfassen, Speichern, Ordnen, Anpassen, Abfragen, Anzeigen, Abgleichen, Übermitteln an die vom Auftraggeber gewählten Lieferanten und an seine Plattformen, Versand von E-Mails, Sichern, Einschränken und Löschen.

(2) Zweck der Verarbeitung: Abwicklung der Bestellungen des Auftraggebers, insbesondere Abruf und Abgleich von Bestellungen, Weitergabe an Lieferanten zur Lieferung an die Endkunden, Rückmeldung von Versand- und Sendungsdaten an die Plattformen, Sendungsverfolgung, optional eine Sendungsverfolgungsseite und Versand-E-Mails an Endkunden, Auswertungen für den Auftraggeber, Support und Fehlerbehebung sowie Datensicherung.

(3) Ort der Verarbeitung: Die Verarbeitung findet in Deutschland statt, im Rechenzentrum der netcup GmbH in Nürnberg. Unterauftragsverarbeiter nach Anlage 2 können Daten auch außerhalb der EU verarbeiten, jeweils unter den Voraussetzungen der Art. 44 ff. DSGVO.

§ 3 Betroffene Personen und Datenarten

(1) Betroffene Personen sind die Endkunden (Käufer) des Auftraggebers und die Empfänger seiner Sendungen sowie sonstige Personen, deren Daten der Auftraggeber in Dropavo speichert, etwa in Notizen.

(2) Verarbeitet werden folgende Datenarten:

• Name und gegebenenfalls Firma;
• Lieferanschrift (Straße, Adresszusatz, Postleitzahl, Ort, Region, Land);
• Telefonnummer und, soweit die Plattform sie übermittelt, E-Mail-Adresse sowie Steuer- oder USt-Identifikationsnummer; von Amazon speichert der Auftragnehmer keine E-Mail-Adresse der Käufer;
• Käuferkennung der Plattform, etwa ein Nutzername;
• Bestelldaten: Bestellnummer, Positionen, Beträge, Status, Notizen und Zeitpunkte;
• Versand- und Sendungsdaten: Sendungsnummer, Versanddienstleister und Sendungsereignisse;
• Inhalte der Versand-E-Mails an Endkunden;
• bei Abfragen auf der Sendungsverfolgungsseite die eingegebene Bestellnummer, E-Mail-Adresse oder Postleitzahl und kurzzeitig ein Hashwert der IP-Adresse.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand dieses Vertrags; der Auftraggeber übermittelt keine solchen Daten.

§ 4 Weisungen des Auftraggebers

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in Drittländer, sofern er nicht durch Unionsrecht oder deutsches Recht zur Verarbeitung verpflichtet ist. In diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

(2) Weisungen sind dieser Vertrag, die AGB sowie die Einstellungen und Handlungen des Auftraggebers im Dienst, etwa das Anbinden eines Shops, das Festlegen von Regeln für automatische Bestellungen, das Auslösen einer Bestellung, das Aktivieren der Sendungsverfolgungsseite oder von Versand-E-Mails und das Löschen von Daten. Weitere Weisungen erteilt der Auftraggeber in Textform an [email protected].

(3) Die Weitergabe von Bestelldaten an die vom Auftraggeber angebundenen Lieferanten, etwa AliExpress oder Alibaba.com, und an seine Plattformen erfolgt je Bestellung auf Weisung des Auftraggebers. Diese Empfänger und die Verkäufer auf den Lieferantenplattformen sind eigene Verantwortliche und keine Unterauftragsverarbeiter des Auftragnehmers. Für die Rechtmäßigkeit dieser Übermittlungen, auch in Drittländer wie Singapur und China (Art. 49 Abs. 1 lit. b und c DSGVO), ist der Auftraggeber verantwortlich.

(4) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich (Art. 28 Abs. 3 Satz 3 DSGVO). Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 5 Pflichten des Auftragnehmers

(1) Der Auftragnehmer verarbeitet die Daten ausschließlich im Rahmen dieses Vertrags. Er darf aus den Auftragsdaten aggregierte Kennzahlen (etwa Umsätze, Mengen und Produkte je Arbeitsbereich) ohne Angaben zu Endkunden erstellen. Diese nutzt er als eigener Verantwortlicher ausschließlich zur Steuerung, Sicherheit und Verbesserung des Dienstes und gibt sie nicht an Dritte weiter. Bestellungen aus Amazon fließen in händlerübergreifende Kennzahlen und Ranglisten nicht ein. Im Übrigen verarbeitet er die Daten nicht für eigene Zwecke.

(2) Der Auftragnehmer gewährleistet, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Derzeit hat ausschließlich der Inhaber des Auftragnehmers Zugriff; weitere Personen erhalten Zugriff erst nach Verpflichtung zur Vertraulichkeit in Textform.

(3) Auf Daten der Endkunden greift der Auftragnehmer nur zu, soweit es für Support, Fehlerbehebung und Betrieb erforderlich ist. Der Zugriff erfolgt im Regelbetrieb über die Admin-Konsole; auf Datenbank und Datensicherungen greift der Auftragnehmer nur zur Wartung, Fehlerbehebung und Wiederherstellung zu. In der Admin-Konsole gelten diese Regeln:

• Sichtbar sind nur Bestellungen des laufenden Kalendermonats und der vier vorangegangenen Monate.
• In der Support-Ansicht der Bestellungen (Liste, Suche und Einzelansicht) sind die Kontaktdaten außer bei Amazon im Klartext sichtbar.
• Käuferdaten aus Amazon sind für den Auftragnehmer immer verdeckt: Listen, Suchen, Einzelansicht, Einsicht und Auszug zeigen nur Initialen, Ort und Land.
• In den Bestelltabellen eines einzelnen Nutzers oder Arbeitsbereichs sind Kundendaten verdeckt; Klartext gibt es dort nur je Bestellung mit dokumentiertem Grund.
• Auszüge sind nur für einen Auftraggeber und einen Monat, mit Angabe eines Grundes und in begrenzter Zahl möglich; einen Sammelauszug über mehrere Auftraggeber gibt es nicht.
• Jede Seitenansicht, Suche, Einzelansicht und jeder Auszug der Support-Ansicht wird mit den Kennungen der angezeigten Bestellungen, aber ohne Kontaktdaten protokolliert.

(4) Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den technischen Fortschritt anpassen, sofern das Schutzniveau nicht unterschritten wird.

(5) Der Auftragnehmer unterstützt den Auftraggeber angesichts der Art der Verarbeitung mit geeigneten Maßnahmen bei der Erfüllung der Rechte der betroffenen Personen (Art. 12 bis 22 DSGVO) und bei den Pflichten nach Art. 32 bis 36 DSGVO, insbesondere zur Sicherheit der Verarbeitung, zur Meldung von Verletzungen, zur Datenschutz-Folgenabschätzung und zur vorherigen Konsultation. Wenden sich betroffene Personen direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter. Der Auftraggeber kann Bestelldaten im Kundenbereich selbst exportieren und durch das endgültige Löschen eines Shops löschen; dabei werden auch die Kopien der Versand-E-Mails an die Endkunden dieses Shops geschwärzt, soweit diese nicht auch in einem anderen Shop des Arbeitsbereichs bestellt haben. Einzelne Bestellungen kann der Auftraggeber nur archivieren; Berichtigungen, Einschränkungen und Löschungen einzelner Datensätze nimmt der Auftragnehmer auf Weisung unverzüglich vor, derzeit manuell.

(6) Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Auftraggeber unverzüglich (Art. 33 Abs. 2 DSGVO) und stellt die Informationen bereit, die der Auftraggeber für die Meldung an die Aufsichtsbehörde und die Benachrichtigung der betroffenen Personen benötigt. Er ergreift unverzüglich Maßnahmen, um die Verletzung einzudämmen und ihre Folgen zu mildern.

(7) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollhandlungen und Maßnahmen einer Aufsichtsbehörde, soweit sie diesen Auftrag betreffen.

(8) Ein Datenschutzbeauftragter ist beim Auftragnehmer nicht benannt, da keine Pflicht dazu besteht. Ansprechpartner für den Datenschutz ist der Inhaber, erreichbar unter [email protected].

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine Genehmigung zur Beauftragung weiterer Auftragsverarbeiter (Art. 28 Abs. 2 DSGVO). Die in Anlage 2 aufgeführten Unterauftragsverarbeiter gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vor der Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters in Textform, etwa per E-Mail oder durch einen Hinweis im Kundenbereich, und aktualisiert Anlage 2. Der Auftraggeber kann der Änderung innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Finden die Parteien keine einvernehmliche Lösung, kann der Auftraggeber den Hauptvertrag zum Wirksamwerden der Änderung kündigen.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags entsprechen (Art. 28 Abs. 4 DSGVO). Übermittlungen in Drittländer erfolgen nur unter den Voraussetzungen der Art. 44 ff. DSGVO.

(4) Keine Unterauftragsverarbeitung sind Nebenleistungen Dritter wie Telekommunikations- und Internetzugangsdienste sowie die Übermittlung an Lieferanten und Plattformen nach § 4 Abs. 3.

§ 7 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und die Wahrung der Rechte der betroffenen Personen verantwortlich. Er informiert seine Endkunden nach Art. 13 und 14 DSGVO, insbesondere über die Weitergabe an Lieferanten und über Versand-E-Mails.

(2) Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten in Bezug auf datenschutzrechtliche Bestimmungen feststellt.

(3) Mit diesem Vertrag weist der Auftraggeber den Auftragnehmer an, die Käuferdaten aus Amazon-Bestellungen nach der Data Protection Policy von Amazon 14 Tage nach der Zustellung zu anonymisieren; ohne gemeldete Zustellung gilt Amazons spätestes Lieferdatum als Zustellung, ohne diese Angabe das Bestelldatum zuzüglich 30 Tagen, und zwar in jedem Bestellstatus. Wird ein Amazon-Shop getrennt oder der Zugriff widerrufen, sind seine Käuferdaten 14 Tage danach zu anonymisieren. Der Auftragnehmer setzt das automatisch um (Anlage 1 Nr. 4). Für Mitglieder von Arbeitsbereichen mit Amazon-Shop verlangt der Auftragnehmer außerdem einen zweiten Faktor bei der Anmeldung und strengere Passwortregeln (Anlage 1 Nr. 1). Weitere strengere Vorgaben seiner Plattformen beachtet der Auftraggeber selbst und erteilt dem Auftragnehmer die dafür erforderlichen Weisungen, insbesondere zur Löschung.

(4) Der Auftraggeber übermittelt dem Auftragnehmer Daten von Endkunden nicht per E-Mail und nicht im Text von Support-Anfragen; Bestellungen bezeichnet er dort mit der Bestellnummer. Der Auftragnehmer sieht die Bestellung dann in der Admin-Konsole ein (§ 5 Abs. 3).

§ 8 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung, in erster Linie durch schriftliche Auskünfte und die Beschreibung der Maßnahmen in Anlage 1.

(2) Der Auftragnehmer ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist, und trägt dazu bei. Inspektionen sind in der Regel vier Wochen im Voraus anzukündigen, finden während der üblichen Geschäftszeiten statt und dürfen den Betrieb nicht unverhältnismäßig stören. Für mehr als eine Inspektion je Kalenderjahr ohne konkreten Anlass kann der Auftragnehmer eine angemessene Vergütung seines Aufwands verlangen.

§ 9 Löschung und Rückgabe

(1) Während der Laufzeit kann der Auftraggeber seine Daten über die Exportfunktionen sichern und durch das Löschen von Shops entfernen (§ 5 Abs. 5). Löschungen auf Weisung setzt der Auftragnehmer unverzüglich um.

(2) Nach Beendigung des Hauptvertrags löscht der Auftragnehmer alle im Auftrag verarbeiteten personenbezogenen Daten innerhalb von 30 Tagen, sofern nicht nach Unionsrecht oder deutschem Recht eine Pflicht zur Speicherung besteht; die Löschung nimmt er derzeit manuell vor. Vor der Löschung kann der Auftraggeber seine Daten über die Exportfunktionen sichern; auf Anfrage stellt der Auftragnehmer die Bestelldaten in einem gängigen Format (CSV) bereit.

(3) Datensicherungen entstehen täglich, sind mit AES-256-GCM verschlüsselt und werden nach höchstens 14 Tagen gelöscht, auch die verschlüsselte Kopie auf einem eigenen Gerät des Auftragnehmers in Deutschland. Bis zu ihrer Löschung werden darin enthaltene Daten nur zur Wiederherstellung nach einem Störfall verwendet.

(4) Auf Verlangen bestätigt der Auftragnehmer die Löschung in Textform.

§ 10 Haftung

(1) Für die Haftung gegenüber betroffenen Personen gilt Art. 82 DSGVO.

(2) Im Verhältnis der Parteien zueinander gelten die Haftungsregeln der AGB (§ 10), soweit Art. 82 DSGVO dem nicht entgegensteht.

§ 11 Schlussbestimmungen

(1) Änderungen und Ergänzungen dieses Vertrags bedürfen der Textform; für Änderungen durch den Auftragnehmer gilt § 11 der AGB entsprechend, für Unterauftragsverarbeiter § 6 dieses Vertrags.

(2) Werden die Daten beim Auftragnehmer durch Pfändung, Beschlagnahme, ein Insolvenzverfahren oder ähnliche Ereignisse gefährdet, informiert der Auftragnehmer den Auftraggeber unverzüglich und weist die Beteiligten darauf hin, dass die Verantwortung für die Daten beim Auftraggeber liegt.

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt der Vertrag im Übrigen wirksam; an die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, insbesondere Art. 28 DSGVO.

(4) Es gelten das Recht der Bundesrepublik Deutschland und der Gerichtsstand nach § 12 der AGB.

Anlage 1: Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft folgende Maßnahmen nach Art. 32 DSGVO. Aufgeführt sind nur Maßnahmen, die tatsächlich umgesetzt sind.

1. Vertraulichkeit (Art. 32 Abs. 1 lit. b DSGVO)

• Zutrittskontrolle: Betrieb von Server, Datenbank und Datensicherungen im Rechenzentrum der netcup GmbH in Nürnberg (Deutschland) mit den dortigen Zutrittskontrollen. Die verschlüsselte Kopie der Datensicherungen liegt auf einem eigenen Gerät des Auftragnehmers in Deutschland, auf das nur der Inhaber Zugriff hat; ohne den getrennt aufbewahrten Schlüssel ist sie nicht lesbar.
• Zugangskontrolle: Die Anwendung ist nur an der lokalen Schnittstelle des Servers erreichbar und aus dem Internet ausschließlich über einen verschlüsselten Cloudflare-Tunnel. Anmeldung mit persönlichem Konto; Passwörter nur als scrypt-Hashwert mit individuellem Salt; Pflicht zur Bestätigung der E-Mail-Adresse; Begrenzung fehlgeschlagener Anmeldeversuche je Netzwerk und E-Mail-Adresse; Sitzungen mit zufälliger Kennung und höchstens 30 Tagen Laufzeit; eine Passwortänderung beendet die anderen Sitzungen und widerruft die Tokens des Nutzers. Für Mitglieder von Arbeitsbereichen mit Amazon-Shop ist ein zweiter Faktor Pflicht – Passkey (WebAuthn mit Prüfung des Nutzers am Gerät) oder Authenticator-App (TOTP nach RFC 6238) mit einmal nutzbaren Ersatzcodes; ohne bestätigten zweiten Faktor sind weder Kundenbereich noch API-Tokens nutzbar, und Amazon lässt sich erst nach der Einrichtung verbinden. Dort gelten außerdem strengere Passwortregeln: mindestens 12 Zeichen mit Groß- und Kleinbuchstaben, Zahl und Sonderzeichen, ohne Namensteile, keines der letzten 10 Passwörter und keines, das vor weniger als 10 Tagen ersetzt wurde, freiwillige Änderung höchstens einmal am Tag, Erneuerung nach 365 Tagen. Versuche mit dem zweiten Faktor sind je Konto und Netzwerk begrenzt; viele Fehlversuche lösen einen Sicherheitshinweis an das Konto aus, und nach jeder Bestätigung des zweiten Faktors erhält die Sitzung eine neue Kennung. Interne Steuerungsschnittstellen nur mit geheimem Schlüssel.
• Zugriffskontrolle: Jede Anfrage wird dem angemeldeten Arbeitsbereich zugeordnet und geprüft; abgestufte Rollen Inhaber, Admin und Mitarbeiter. Die Admin-Konsole ist nur für freigegebene Konten mit zusätzlicher Admin-Passphrase (zweites Geheimnis) zugänglich; Admin-Sitzungen enden standardmäßig nach vier Stunden und werden nach 30 Minuten ohne Aktivität gesperrt; nach Fehlversuchen folgt eine Sperre. Support-Zugriffe auf Endkundendaten unterliegen den Regeln in § 5 Abs. 3; Käuferdaten aus Amazon sind in der Admin-Konsole immer verdeckt. Datenbank-, Sicherungs- und Schlüsseldateien auf dem Server sind nur für das Benutzerkonto des Inhabers und für Administratoren des Systems zugänglich.
• Trennungskontrolle: logische Trennung der Daten je Arbeitsbereich.
• Verschlüsselung und Pseudonymisierung (Art. 32 Abs. 1 lit. a DSGVO): Übertragung nur verschlüsselt (HTTPS/TLS mit HSTS); Datensicherungen mit AES-256-GCM und eigenem Schlüssel verschlüsselt; Zugangsschlüssel zu Shops und Lieferanten mit AES-256-GCM verschlüsselt, mit Schlüsselrotation, und ohne Schlüssel werden im Betrieb keine Zugangsdaten gespeichert; Käuferdaten aus Amazon-Bestellungen feldweise mit AES-256-GCM verschlüsselt (Ort und Land bleiben für Filter lesbar); Tokens der API, der Browser-Erweiterung und der Admin-Sitzungen nur als Hashwert; IP-Adressen für Missbrauchszähler nur als Hashwert. Zweiter Faktor: von Passkeys nur der öffentliche Schlüssel mit Kennung, Zähler und Name, keine biometrischen Daten (Fingerabdruck, Gesicht und PIN prüft allein das Gerät des Nutzers); Schlüssel der Authenticator-App mit AES-256-GCM verschlüsselt; Ersatzcodes und frühere Passwörter nur als Hashwert. E-Mail-Adressen von Endkunden werden nicht an Lieferanten übermittelt.

2. Integrität (Art. 32 Abs. 1 lit. b DSGVO)

• Weitergabekontrolle: Übermittlung an Plattformen, Lieferanten und Dienstleister nur verschlüsselt; Prüfung der Signaturen (HMAC) eingehender Plattform-Meldungen und Erkennung doppelter Meldungen; Schutz vor Anfragen an interne Netze (SSRF) bei vom Kunden angegebenen Adressen und beim Laden von Bildern; Content Security Policy mit Nonce und weitere Sicherheits-Header.
• Eingabekontrolle: Aktivitätsprotokoll je Arbeitsbereich mit Nutzer, Aktion und Zeitpunkt; Protokoll der Aktionen in der Admin-Konsole mit Admin, Aktion, Ziel, Grund, Zeitpunkt, IP-Adresse und Browser, aufbewahrt für 24 Monate; Ansichten, Suchen und Auszüge mit Endkundendaten werden mit Bestellkennungen protokolliert, Aufrufe von Nutzer- und Arbeitsbereichsseiten zusammengefasst höchstens einmal je 30 Minuten.

3. Verfügbarkeit und Belastbarkeit (Art. 32 Abs. 1 lit. b und c DSGVO)

• Tägliche, mit AES-256-GCM verschlüsselte Sicherung der Datenbank mit Integritätsprüfung; Löschung nach höchstens 14 Tagen; verschlüsselte Zweitkopie auf einem eigenen Gerät des Auftragnehmers in Deutschland, getrennt vom Rechenzentrum; zusätzliche Sicherung vor jedem Update; Wiederherstellung aus der Sicherung möglich.
• Überwachung des Serverprozesses mit automatischem Neustart; Begrenzung von Anfragen (Rate Limits); Schutz vor Überlastungsangriffen durch Cloudflare.

4. Überprüfung, Datenschutz durch Technik und Auftragskontrolle (Art. 32 Abs. 1 lit. d, Art. 25 DSGVO)

• Dokumentierter Ablauf für den Umgang mit Sicherheitsvorfällen.
• Datenschutzfreundliche Voreinstellungen: keine Tracking- oder Analysedienste, keine Weitergabe von E-Mail-Adressen der Endkunden an Lieferanten, Sicherheitsmeldungen des Browsers ohne IP-Adresse und Browserkennung.
• Automatische Löschfristen: abgelaufene Anmeldesitzungen und nicht angenommene Einladungen 30 Tage nach Ablauf, Missbrauchszähler nach Ablauf ihres Zeitfensters, Kopien von Versand-E-Mails an Endkunden 90 Tage nach dem Versand (geschwärzt), Käuferdaten aus Amazon-Bestellungen 14 Tage nach der Zustellung, ohne Zustellmeldung 14 Tage nach Amazons spätestem Lieferdatum bzw. nach dem Bestelldatum zuzüglich 30 Tagen, bei getrennten Shops 14 Tage nach dem Trennen (anonymisiert), Datensicherungen nach höchstens 14 Tagen, einmalige Passkey-Anfragen nach 5 Minuten, nicht bestätigte Schlüssel der Authenticator-App nach 15 Minuten, Protokolle der Admin-Konsole nach 24 Monaten.
• Unterauftragsverarbeiter nur nach Anlage 2; Weisungen über die Einstellungen des Auftraggebers und in Textform.
• Überprüfung und Anpassung der Maßnahmen bei wesentlichen Änderungen des Dienstes, etwa bei einem Wechsel des Rechenzentrums.

Anlage 2: Unterauftragsverarbeiter

Der Auftragnehmer setzt folgende Unterauftragsverarbeiter ein:

Eine verschlüsselte Kopie der Datensicherungen bewahrt der Auftragnehmer zusätzlich auf einem eigenen Gerät in Deutschland auf; dafür wird kein Unterauftragsverarbeiter eingesetzt.

E-Mail-Postfach des Auftragnehmers

Das Postfach [email protected] wird bei Apple (iCloud Mail, Apple Distribution International Ltd., Hollyhill Industrial Estate, Hollyhill, Cork, Irland) betrieben. Für dieses Postfach besteht kein gesonderter Vertrag nach Art. 28 DSGVO; es ist deshalb nicht für Endkundendaten bestimmt (§ 7 Abs. 4), und Apple wird nicht als Unterauftragsverarbeiter eingesetzt. Gelangen dennoch Endkundendaten in das Postfach, verwendet der Auftragnehmer sie nur für die jeweilige Anfrage und löscht sie nach deren Erledigung. Stellt der Auftragnehmer das Postfach auf einen Anbieter mit Vertrag nach Art. 28 DSGVO um, gilt § 6 Abs. 2.

Keine Unterauftragsverarbeiter

• AliExpress (Alibaba.com Singapore E-Commerce Private Limited, Singapur) und Alibaba.com (Vertragspartner nach dessen Nutzungsbedingungen, in der Regel dieselbe Gesellschaft): erhalten je Bestellung auf Weisung des Auftraggebers Name, Lieferanschrift und Telefonnummer des Empfängers, die Bestellnummer des Shops bzw. eine Notiz des Auftraggebers an den Lieferanten, bei AliExpress für Empfänger in der EU oder im Vereinigten Königreich auch Firma und USt-IdNr., niemals die E-Mail-Adresse. Sie und die Verkäufer auf diesen Plattformen, überwiegend in China, sind eigene Verantwortliche (§ 4 Abs. 3).
• Verkaufsplattformen des Auftraggebers, etwa Shopify, Amazon oder eBay: Quelle und Empfänger der Daten auf Grundlage der Autorisierung durch den Auftraggeber; eigene Verantwortliche.
• Best Aura LLC: Die Amazon-Schnittstelle nutzt Dropavo über eine bei Amazon registrierte Anwendung der Best Aura LLC, die demselben Inhaber gehört. Kundendaten verarbeitet ausschließlich LackVision auf den Systemen von Dropavo; die Best Aura LLC erhält keine Kundendaten. Sie ist kein Unterauftragsverarbeiter.
• Stripe Payments Europe, Limited (sobald verfügbar): verarbeitet nur Vertrags- und Zahlungsdaten des Auftraggebers selbst, keine Endkundendaten.
• Anthropic PBC (nur bei aktiver KI-Anbindung): erhält nur Produkttexte, keine Endkundendaten.