Vertrag nach Art. 28 DSGVO · Anlage 1 zu den AGB
1.1 Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus dem zwischen ihnen geschlossenen Fulfillment-Vertrag (nachfolgend „Hauptvertrag") ergeben. Er ist Anlage 1 zu den Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters und mit deren Anerkennung geschlossen.
1.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
1.3 Dieser Vertrag gilt für die Dauer des Hauptvertrages. Er endet mit dessen Beendigung, soweit sich aus Nummer 10 nichts anderes ergibt.
2.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich. Er ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
2.2 Der Auftragsverarbeiter verarbeitet die in Nummer 3 bezeichneten personenbezogenen Daten ausschließlich weisungsgebunden im Auftrag des Verantwortlichen.
2.3 Für die Stamm-, Vertrags- und Abrechnungsdaten des Verantwortlichen selbst ist der Auftragsverarbeiter eigener Verantwortlicher. Diese Verarbeitung ist nicht Gegenstand dieses Vertrages; insoweit gilt die Datenschutzerklärung des Auftragsverarbeiters.
3.1 Gegenstand. Verarbeitung personenbezogener Daten von Endkunden des Verantwortlichen zum Zweck der Kommissionierung, Verpackung, Adressierung und Übergabe von Warensendungen an das Transportunternehmen sowie zur Bearbeitung von Retouren.
3.2 Art der Verarbeitung. Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an das Transportunternehmen, Einschränken, Löschen und Vernichten.
3.3 Zweck. Ausschließlich die Erfüllung der im Hauptvertrag vereinbarten Fulfillment-Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zu Werbe-, Analyse- oder Profilbildungszwecken, findet nicht statt.
3.4 Kategorien betroffener Personen. Endkunden des Verantwortlichen, das heißt natürliche Personen, die bei ihm Waren bestellt haben, sowie abweichende Warenempfänger.
3.5 Kategorien personenbezogener Daten.
3.5.1 Name des Empfängers,
3.5.2 Lieferanschrift bestehend aus Straße, Hausnummer, Adresszusatz, Postleitzahl, Ort und Land,
3.5.3 E-Mail-Adresse des Empfängers, soweit vom Marktplatz übermittelt,
3.5.4 Bestellnummer und Bestellkennung des Marktplatzes,
3.5.5 Angaben zur bestellten Ware sowie Gewichts- und Maßangaben der Sendung,
3.5.6 Sendungsnummer und Sendungsverlaufsdaten.
3.6 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass solche Daten nicht übermittelt werden.
3.7 Quellen. Die Daten werden über die Schnittstellen der vom Verantwortlichen angebundenen Marktplätze bezogen. Derzeit sind dies Kaufland und eBay. Eine Anbindung weiterer Marktplätze bedarf keiner Änderung dieses Vertrages, soweit sich Art, Zweck und Datenkategorien nicht ändern.
3.8 Ort der Verarbeitung. Die Verarbeitung findet in der Europäischen Union statt, soweit sich aus Nummer 7 nichts anderes ergibt.
4.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Der Hauptvertrag und dieser Vertrag stellen die vollständige Weisung dar; einzelne Bestellungen und Versandaufträge, die der Verantwortliche über das Kundenportal oder die angebundenen Schnittstellen erteilt, sind Einzelweisungen.
4.2 Weisungen sind in Textform zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
4.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
4.4 Ist der Auftragsverarbeiter aufgrund einer Rechtsvorschrift der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
5.1 Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über die Beendigung der Tätigkeit hinaus fort.
5.2 Der Auftragsverarbeiter wird derzeit als Einzelunternehmen ohne Beschäftigte geführt. Werden Beschäftigte oder freie Mitarbeiter eingesetzt, erfolgt die Verpflichtung zur Vertraulichkeit vor Aufnahme der Tätigkeit und wird dokumentiert.
5.3 Der Auftragsverarbeiter macht die mit der Verarbeitung befassten Personen mit den für sie geltenden datenschutzrechtlichen Anforderungen vertraut.
6.1 Der Auftragsverarbeiter trifft die in Anlage 1a beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Anlage 1a ist Bestandteil dieses Vertrages.
6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie anzupassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.
6.3 Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig, mindestens jährlich, auf ihre Wirksamkeit.
7.1 Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung der in Anlage 1b aufgeführten Unterauftragsverarbeiter.
7.2 Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann der Änderung binnen zwei Wochen ab Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen.
7.3 Widerspricht der Verantwortliche und kann der Auftragsverarbeiter die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand erbringen, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von einem Monat zu kündigen.
7.4 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrages entsprechen. Er bleibt dem Verantwortlichen gegenüber für die Einhaltung verantwortlich.
7.5 Drittlandübermittlung. Soweit Unterauftragsverarbeiter Daten außerhalb der Europäischen Union verarbeiten, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Die betroffenen Dienste und die jeweilige Grundlage sind in Anlage 1b bezeichnet.
7.6 Nicht als Unterauftragsverarbeitung gelten Nebenleistungen Dritter, insbesondere Telekommunikationsleistungen sowie die Beförderung von Sendungen durch Transportunternehmen. Das Transportunternehmen ist hinsichtlich der ihm übermittelten Empfängerdaten eigener Verantwortlicher.
8.1 Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst. Er unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- und Datenübertragbarkeitsbegehren.
8.2 Verletzung des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch binnen vierundzwanzig Stunden ab Kenntnis. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.
8.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und bei vorherigen Konsultationen nach Art. 36 DSGVO, soweit die erforderlichen Informationen ihm zur Verfügung stehen.
8.4 Die Unterstützungsleistungen nach den Nummern 8.1 bis 8.3 erbringt der Auftragsverarbeiter unentgeltlich, soweit sie auf einem von ihm zu vertretenden Umstand beruhen. Im Übrigen kann er eine angemessene Vergütung nach Aufwand verlangen.
9.1 Der Auftragsverarbeiter weist dem Verantwortlichen die Einhaltung der Pflichten aus diesem Vertrag auf Anforderung nach, insbesondere durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen.
9.2 Der Verantwortliche ist berechtigt, sich von der Einhaltung zu überzeugen. Vor-Ort- Kontrollen sind nach Anmeldung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig; sie sind auf eine Kontrolle je Kalenderjahr beschränkt, sofern kein besonderer Anlass besteht.
9.3 Der Auftragsverarbeiter kann verlangen, dass Kontrollen durch einen zur Verschwiegenheit verpflichteten Dritten durchgeführt werden, sofern der Verantwortliche Wettbewerber ist oder Betriebsgeheimnisse betroffen sind.
9.4 Kosten für Kontrollen, die der Verantwortliche veranlasst, trägt dieser, sofern die Kontrolle keinen Verstoß des Auftragsverarbeiters aufdeckt.
10.1 Nach Beendigung der Verarbeitungsleistung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück. Die Wahl teilt der Verantwortliche spätestens mit Beendigung des Hauptvertrages in Textform mit; trifft er keine Wahl, werden die Daten gelöscht.
10.2 Von der Löschung ausgenommen sind Daten, deren Aufbewahrung der Auftragsverarbeiter aufgrund gesetzlicher Vorschriften schuldet, insbesondere nach § 147 AO und § 257 HGB. Diese Daten werden bis zum Ablauf der jeweiligen Frist in ihrer Verarbeitung eingeschränkt und anschließend gelöscht.
10.3 Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.
10.4 Regelmäßige Löschung während der Vertragslaufzeit. Unabhängig von der Beendigung löscht oder anonymisiert der Auftragsverarbeiter die im Auftrag verarbeiteten Daten nach den in Anlage 1a genannten Fristen.
11.1 Für die Haftung im Verhältnis der Parteien gilt Art. 82 DSGVO. Die Haftungsbeschränkungen des Hauptvertrages finden auf Ansprüche betroffener Personen keine Anwendung.
11.2 Im Innenverhältnis tragen die Parteien Schäden entsprechend ihrem Verantwortungs- anteil. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen frei, die darauf beruhen, dass die Verarbeitung auf einer unzulässigen Weisung oder auf einer fehlenden Rechtsgrundlage des Verantwortlichen beruht.
12.1 Änderungen dieses Vertrages bedürfen der Textform.
12.2 Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
12.3 Es gilt deutsches Recht.
nach Art. 32 DSGVO · Stand 6. August 2026
Die Verarbeitung erfolgt in den Betriebsräumen in 56424 Staudt sowie bei den in Anlage 1b genannten Dienstleistern. Die Betriebsräume sind verschlossen und nur dem Inhaber zugänglich. Das Gebäude ist in Massivbauweise errichtet und mit einem Feuerlöscher ausgestattet. Eine Einbruchmeldeanlage besteht nicht.
Die Rechenzentrumsleistungen werden von zertifizierten Anbietern erbracht; für die Zutrittssicherheit der Rechenzentren gelten deren Nachweise.
Der Zugang zur Anwendung setzt eine persönliche Anmeldung mit E-Mail-Adresse und Passwort voraus. Passwörter müssen mindestens zwölf Zeichen umfassen und Groß- und Kleinbuchstaben, mindestens eine Ziffer und mindestens ein Sonderzeichen enthalten; die Prüfung erfolgt sowohl im Browser als auch serverseitig. Die Bestätigung der E-Mail-Adresse ist zwingend.
Anmeldeversuche sind zahlenmäßig begrenzt. Anmelde-, Registrierungs- und Kennwortrücksetzungsseiten sind durch einen Bot-Schutz abgesichert. Sitzungen werden nach sechzig Minuten Inaktivität im Kundenbereich und nach dreißig Minuten im Verwaltungsbereich automatisch beendet.
Es bestehen zwei Rollen: Betreiber und Kunde. Die Trennung der Mandanten wird auf Datenbankebene durch zeilenbasierte Zugriffsregeln erzwungen, die auf sämtlichen Tabellen der Anwendung aktiviert sind. Ein Kunde kann ausschließlich auf die ihm zugeordneten Datensätze zugreifen; die Prüfung erfolgt in der Datenbank und nicht allein in der Anwendung.
Die Wirksamkeit der Zugriffsregeln ist durch eine automatisierte Testsuite abgesichert, die auch Gegenproben enthält, in denen ein Schutz absichtlich ausgehebelt wird, um zu prüfen, ob der Test dies erkennt. Die Tests laufen bei jeder Änderung vor der Freigabe.
Zugangsdaten für externe Schnittstellen werden in einem gesonderten, verschlüsselten Speicher der Datenbank abgelegt und nicht in Anwendungstabellen geführt.
Versandetiketten liegen in einem nicht öffentlich erreichbaren Speicherbereich, auf den ausschließlich der Betreiber zugreifen kann.
Daten verschiedener Verantwortlicher werden logisch getrennt anhand einer eindeutigen Mandantenkennung verarbeitet. Entwicklungs- und Produktivumgebung sind getrennt; für Datenübernahmen in die Entwicklungsumgebung besteht ein Skript, das personenbezogene Daten der Endkunden anonymisiert.
Sämtliche Verbindungen erfolgen verschlüsselt über TLS. Die Anwendung erzwingt verschlüsselte Verbindungen durch eine Transportsicherheitsrichtlinie mit Voreintragung. Ergänzend sind eine strenge Inhaltssicherheitsrichtlinie sowie Schutzmaßnahmen gegen Einbettung in fremde Seiten und gegen Fehlinterpretation von Inhaltstypen gesetzt.
Aufrufe an das Transportunternehmen werden protokolliert, ohne Empfängerdaten in die Protokolle zu schreiben; protokolliert werden ausschließlich Referenznummer, Produkt, Zielland und Gewicht.
Änderungen an abrechnungsrelevanten und sicherheitsrelevanten Datensätzen werden in einem Protokoll mit Zeitpunkt, handelnder Kennung, Vorgang und betroffenem Datensatz festgehalten.
Abrechnungsposten sind unveränderlich gestaltet: Nachträgliche Änderungen und Löschungen sind auf Datenbankebene unterbunden; Korrekturen erfolgen ausschließlich durch Gegenbuchung mit Angabe eines Grundes.
Eingehende Aufrufe externer Systeme werden kryptografisch geprüft. Die Prüfung erfolgt über den unveränderten Nachrichtenkörper, mit Schutz gegen Wiedereinspielung und gegen Mehrfachverarbeitung. Zeitgesteuerte Aufrufe sind durch ein Geheimnis geschützt, dessen Prüfung laufzeitunabhängig erfolgt und im Fehlerfall abweist.
Die Datenbank wird vom Anbieter täglich verschlüsselt gesichert. Die angestrebte maximal tolerierbare Datenverlustzeit beträgt vierundzwanzig Stunden, die angestrebte Wiederherstellungszeit wenige Stunden.
Zeitgesteuerte Abläufe schreiben Lebenszeichen; eine Überwachung meldet überfällige Abläufe per E-Mail und antwortet in diesem Fall mit einem Fehlerstatus.
Aufrufe externer Schnittstellen unterliegen einer Zeitbeschränkung. Bestandsmeldungen an Marktplätze laufen über eine Warteschlange mit gestaffelter Wiederholung und Sicherungsschalter bei Überlastung des Zielsystems. Bei Ungewissheit über den Ausgang eines Vorgangs wird nicht automatisch wiederholt, um Doppelbuchungen zu vermeiden.
Vor jeder Freigabe durchlaufen Änderungen eine automatisierte Prüfkette aus Suche nach versehentlich eingefügten Geheimnissen, statischer Typprüfung, Stilprüfung ohne zugelassene Warnungen, Einheitentests, vollständigem Neuaufbau der Datenbank mit anschließenden Datenbanktests sowie einer Prüfung der eingesetzten Fremdbibliotheken auf bekannte Schwachstellen. Kritische Funde blockieren die Freigabe.
Änderungen an der Datenbank erfolgen ausschließlich über versionierte Migrationsskripte.
Die Verarbeitung erfolgt ausschließlich auf Grundlage dieses Vertrages und der über das Kundenportal sowie die angebundenen Schnittstellen erteilten Einzelweisungen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.
| Datenbestand | Frist | Verfahren |
|---|---|---|
| Versandetiketten mit Empfängerdaten | 7 Tage | physische Löschung aus dem Speicher, Verweis wird entfernt |
| Empfängerdaten in Bestelldatensätzen | 30 Tage nach Versand oder Stornierung | Anonymisierung durch Nullsetzen von Name, Anschrift und E-Mail |
| Archivierte Sendungen | 30 Tage nach Archivierung | vollständige Löschung einschließlich Positionen |
| Protokolle der Schnittstellensynchronisation | 30 Tage | Löschung |
| Kundenkonto nach Löschverlangen | 30 Tage Karenz | vollständige Löschung, keine Anonymisierung |
Die Fristen werden durch zeitgesteuerte Abläufe automatisch durchgesetzt.
Nutzdaten externer Schnittstellen werden vor der Speicherung um personenbezogene Felder bereinigt. Im Kundenportal wird die E-Mail-Adresse des Endkunden nicht angezeigt. Bestellungen werden dem Verantwortlichen nur angezeigt, soweit sie Positionen aus dem Lagerbestand enthalten.
Die folgenden Maßnahmen sind vorgesehen, aber noch nicht wirksam. Sie werden hier offengelegt, damit der Verantwortliche seine eigene Risikobewertung darauf stützen kann.
| Nr. | Punkt | Bewertung | Umsetzung bis |
|---|---|---|---|
| 8.1 | Zwei-Faktor-Authentifizierung ist verfügbar, aber nicht verpflichtend | Nutzer können sie über eine Authenticator-App einrichten; wer darauf verzichtet, ist allein durch das Kennwort geschützt | noch festzulegen |
| 8.2 | Die tägliche Datensicherung wird unverschlüsselt als E-Mail-Anhang versandt und enthält Empfängerdaten im Klartext | Erhöhtes Vertraulichkeitsrisiko und Übermittlung an einen Dienstleister außerhalb der Union | noch festzulegen |
| 8.3 | Für die Datensicherung besteht keine Aufbewahrungs- und Löschfrist | Unbegrenzte Vorhaltung im Postfach des Betreibers | noch festzulegen |
| 8.4 | Die Anonymisierung nach Nummer 6 greift nur bei versandten oder stornierten Bestellungen | Bestellungen, die in einem offenen Zustand verbleiben, werden nicht anonymisiert | noch festzulegen |
| 8.5 | Für das Änderungsprotokoll besteht keine Löschfrist | Protokolldaten werden unbegrenzt vorgehalten | noch festzulegen |
| 8.6 | Ein Zugangstoken zur Verwaltungsschnittstelle liegt im Klartext in einer versionierten Datei | Zugriff auf die Produktivumgebung durch jeden mit Zugriff auf das Quellcodeverzeichnis | unverzüglich |
| 8.7 | Kennwortänderung ohne erneute Anmeldung möglich | Erleichtert die Übernahme einer bereits übernommenen Sitzung | noch festzulegen |
| 8.8 | Keine Fehler- und Auffälligkeitsüberwachung | Ein stiller Ausfall eines Löschlaufs würde nicht bemerkt | noch festzulegen |
| 8.9 | Wiederherstellung aus der Sicherung wurde noch nicht erprobt | Die angegebene Wiederherstellungszeit ist eine Annahme | noch festzulegen |
Stand 6. August 2026
| Dienstleister | Leistung | Verarbeitete Daten | Ort | Grundlage bei Drittlandbezug |
|---|---|---|---|---|
| Supabase Inc. | Datenbank, Anmeldung, Dateispeicher | sämtliche Auftragsdaten einschließlich Empfängerdaten und Versandetiketten | Verarbeitung in der EU, Muttergesellschaft USA | Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO |
| Vercel Inc. | Betrieb der Anwendung, zeitgesteuerte Abläufe, Laufzeitprotokolle | sämtliche Auftragsdaten im Verarbeitungsvorgang | Verarbeitung in der EU (Frankfurt am Main), Muttergesellschaft USA | Angemessenheitsbeschluss nach Art. 45 DSGVO; Zertifizierung unter dem EU-U.S. Data Privacy Framework |
| Resend, Inc. | Versand von System- und Anmeldenachrichten | Name und E-Mail-Adresse des Verantwortlichen; derzeit zusätzlich die tägliche Datensicherung mit Empfängerdaten | USA | Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO |
| Cloudflare, Inc. | Bot-Schutz auf Anmelde- und Registrierungsseiten | IP-Adresse und Browsermerkmale der Nutzer des Kundenportals | USA | Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO |
| 17TRACK | Sendungsverfolgung eingehender Ware | Sendungsnummern und Verlaufsdaten | außerhalb der EU | Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO |
Die folgenden Stellen sind keine Unterauftragsverarbeiter, sondern eigene Verantwortliche. Die Übermittlung an sie erfolgt zur Erfüllung des Hauptvertrages.
| Empfänger | Übermittelte Daten | Zweck |
|---|---|---|
| DHL (Deutsche Post AG) | Name, Anschrift, Adresszusatz, E-Mail-Adresse des Empfängers, Gewicht, Referenznummer | Beförderung der Sendung |
| Kaufland | Sendungsnummer und Transportunternehmen | Rückmeldung des Versands an den Marktplatz |
| eBay | Versandbestätigung | Rückmeldung des Versands an den Marktplatz |
Die folgenden Dienste verarbeiten keine Daten von Endkunden des Verantwortlichen:
Easybill GmbH (Rechnungserstellung; verarbeitet ausschließlich Stamm- und Abrechnungsdaten des Verantwortlichen, Sitz Deutschland) sowie die Verkäuferschnittstelle von Amazon (verarbeitet Bestands- und Anlieferungsdaten sowie die Lageranschrift des Auftragsverarbeiters).