Auftragsverarbeitungsvertrag (AVV) und Unterauftragsverarbeiter

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem (nachfolgend „Auftraggeber“) und Sonni Buttke, Pinguinweg 18, 22527 Hamburg, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“). Dieser Vertrag ist Bestandteil des Nutzungsvertrags über Arbitragex (§ 8 Abs. 3 AGB) und gilt ohne gesonderte Unterschrift. Auf Wunsch schicken wir Ihnen eine Fassung zur Unterschrift: impressum@anwaltx.de.

§ 1 Gegenstand, Dauer und Zweck

(1) Der Auftragnehmer stellt dem Auftraggeber die Software Arbitragex bereit (Auswertung und Automatisierung des Amazon-Verkäufergeschäfts). Dabei verarbeitet er personenbezogene Daten, die der Auftraggeber über seine Verbindungen (Amazon SP-API, Postfächer, Prep-Center, weitere Dienste) bereitstellt, ausschließlich, um die vom Auftraggeber genutzten Funktionen zu erbringen.

(2) Die Dauer dieses Vertrags entspricht der Laufzeit des Nutzungsvertrags.

§ 2 Art der Daten und Kreis der Betroffenen

• Bestell- und Geschäftsdaten aus dem Amazon-Konto: Bestellnummern, Datum, Artikel, Mengen, Preise, Steuern, Gebühren, Erstattungen, Lieferland, Angabe Geschäftskunde, eine pseudonymisierte Käuferkennung; bei Versand durch ein angebundenes Prep-Center (FBM) zusätzlich Name und Lieferanschrift des Käufers, nur zur Weitergabe an dieses Prep-Center.
• Belege aus verbundenen Postfächern: Einkaufsrechnungen und Bestellbestätigungen mit Namen, Anschriften und Kontaktdaten von Lieferanten und deren Ansprechpartnern.
• Daten der Nutzer des Auftraggebers: Name, E-Mail-Adresse, Firmenname, Einstellungen.

Betroffen sind Käufer, Lieferanten und deren Ansprechpartner sowie Beschäftigte und Beauftragte des Auftraggebers. Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht gezielt verarbeitet.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Die Weisungen ergeben sich aus dem Nutzungsvertrag und aus den Einstellungen, die der Auftraggeber in Arbitragex vornimmt; weitere Weisungen erteilt der Auftraggeber in Textform an impressum@anwaltx.de.

(2) Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin. Eine Verarbeitung zu eigenen Zwecken des Auftragnehmers findet nicht statt, es sei denn, das Recht der Union oder Deutschlands verpflichtet ihn dazu; in diesem Fall teilt er dies vorher mit, soweit das Recht es nicht verbietet.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind. Derzeit hat ausschließlich der Inhaber selbst Zugriff auf die Systeme und Daten.

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

• Verarbeitung auf einem dedizierten Cloud-Server im Rechenzentrum Nürnberg (Hetzner Online GmbH); Zugang zum Server nur per SSH-Schlüssel, Firewall auf Netz- und Serverebene, automatische Sperre wiederholter Fehlanmeldungen.
• Übertragung ausschließlich verschlüsselt (TLS, HSTS).
• Passwörter der Nutzer nur als gesalzener Hash; Passwörter verbundener Postfächer verschlüsselt gespeichert; die Datenbank liegt ausschließlich auf dem Server und ist nicht aus dem Internet erreichbar.
• Mandantentrennung: Jeder Datensatz ist einem Nutzerkonto zugeordnet; Abfragen sind auf das angemeldete Konto beschränkt.
• Der Zugang zu Amazon läuft über die offizielle Selling Partner API mit der Freigabe des Auftraggebers (Login with Amazon); der Auftraggeber kann die Freigabe jederzeit in Seller Central widerrufen.
• Änderungen an der Anwendung werden vor dem Einspielen automatisch getestet; vor jeder Änderung wird eine Sicherungskopie der betroffenen Dateien angelegt.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber genehmigt die Unterauftragsverarbeiter in der folgenden Liste. Der Auftragnehmer schließt mit jedem Unterauftragsverarbeiter einen Vertrag, der ihm die Pflichten dieses Vertrags auferlegt (Art. 28 Abs. 4 DSGVO).

(2) Über eine beabsichtigte Änderung (Hinzuziehung oder Ersetzung) informiert der Auftragnehmer den Auftraggeber mindestens 14 Tage vorher per E-Mail und durch Aktualisierung dieser Seite. Der Auftraggeber kann der Änderung aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; kommt keine Einigung zustande, kann er den Nutzungsvertrag außerordentlich kündigen.

Unterauftragsverarbeiter	Leistung	Ort der Verarbeitung	Garantie bei Drittland
Hetzner Online GmbH Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting von Anwendung, Datenbank, Server-Logs und Mail-Kopien	Rechenzentrum Nürnberg, Deutschland	—
Cloudflare, Inc. 101 Townsend St., San Francisco, CA 94107, USA	Weiterleitung der früheren Adresse arbitrage.anwaltx.de (Rückleitung nach Amazon-/Google-Freigabe, ältere Links und Extension-Versionen)	weltweites Netz, USA	EU-US Data Privacy Framework (Art. 45 DSGVO)
Resend, Inc. USA	Versand von System-E-Mails an den Auftraggeber (z. B. Berichte, Hinweise)	Versand über Rechenzentrum in Irland; Zugriff aus den USA möglich	Standardvertragsklauseln bzw. EU-US Data Privacy Framework (Art. 45, 46 DSGVO)
IONOS SE Elgendorfer Str. 57, 56410 Montabaur, Deutschland	E-Mail-Postfächer (Support-Anfragen) und Ersatz-Versandweg für E-Mails	Deutschland	—

(3) Keine Unterauftragsverarbeiter sind Dienste, die der Auftraggeber selbst verbindet und deren Vertragspartner er selbst ist: Amazon (Seller Central, SP-API, Advertising, Business), Google (Gmail, Google Sheets), lexoffice/Lexware Office, Prep-Center (z. B. Rebel Prep, Fully Loaded Fulfillment) und eigene Discord-Webhooks für Berichte. Für diese Dienste übermittelt der Auftragnehmer Daten nur auf Weisung des Auftraggebers an dessen eigenes Konto. Die Zahlungsabwicklung (Stripe, Verkaufsplattformen) betrifft das Vertragsverhältnis mit dem Auftragnehmer und ist in der Datenschutzerklärung beschrieben.

§ 7 Unterstützung des Auftraggebers

(1) Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO) und bei den Pflichten aus Art. 32 bis 36 DSGVO. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.

(2) Eine Verletzung des Schutzes personenbezogener Daten, die Daten des Auftraggebers betrifft, meldet der Auftragnehmer unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis, per E-Mail an die Adresse des Nutzerkontos, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie vorliegen.

§ 8 Löschung und Rückgabe

Nach Ende des Nutzungsvertrags löscht der Auftragnehmer die Daten des Auftraggebers innerhalb von 30 Tagen, soweit keine gesetzliche Aufbewahrungspflicht besteht. Vorher kann der Auftraggeber seine Auswertungen über die Exportfunktionen herunterladen oder eine Herausgabe per E-Mail verlangen.

§ 9 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrags erforderlich sind, und ermöglicht Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach rechtzeitiger Anmeldung und während der üblichen Geschäftszeiten.

§ 10 Schlussbestimmungen

Es gilt deutsches Recht. Bei Widersprüchen zwischen diesem Vertrag und dem Nutzungsvertrag gehen für den Datenschutz die Regelungen dieses Vertrags vor. Die Haftung richtet sich nach Art. 82 DSGVO und im Übrigen nach dem Nutzungsvertrag.