Vertrag nach Art. 28 DSGVO · Anlage 1 zu den AGB
1.1 Dieser Vertrag konkretisiert die datenschutzrechtlichen Pflichten der Parteien, die sich aus dem zwischen ihnen geschlossenen Fulfillment-Vertrag (nachfolgend „Hauptvertrag") ergeben. Er ist Anlage 1 zu den Allgemeinen Geschäftsbedingungen des Auftragsverarbeiters und mit deren Anerkennung geschlossen.
1.2 Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrages vor, soweit die Verarbeitung personenbezogener Daten betroffen ist.
1.3 Dieser Vertrag gilt für die Dauer des Hauptvertrages. Er endet mit dessen Beendigung, soweit sich aus Nummer 10 nichts anderes ergibt.
2.1 Der Verantwortliche ist für die Rechtmäßigkeit der Verarbeitung sowie für die Wahrung der Rechte betroffener Personen allein verantwortlich. Er ist Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO.
2.2 Der Auftragsverarbeiter verarbeitet die in Nummer 3 bezeichneten personenbezogenen Daten ausschließlich weisungsgebunden im Auftrag des Verantwortlichen.
2.3 Für die Stamm-, Vertrags- und Abrechnungsdaten des Verantwortlichen selbst ist der Auftragsverarbeiter eigener Verantwortlicher. Diese Verarbeitung ist nicht Gegenstand dieses Vertrages; insoweit gilt die Datenschutzerklärung des Auftragsverarbeiters.
3.1 Gegenstand. Verarbeitung personenbezogener Daten von Endkunden des Verantwortlichen zum Zweck der Kommissionierung, Verpackung, Adressierung und Übergabe von Warensendungen an das Transportunternehmen sowie zur Bearbeitung von Retouren.
3.2 Art der Verarbeitung. Erheben, Erfassen, Speichern, Ordnen, Auslesen, Verwenden, Übermitteln an das Transportunternehmen, Einschränken, Löschen und Vernichten.
3.3 Zweck. Ausschließlich die Erfüllung der im Hauptvertrag vereinbarten Fulfillment-Leistungen. Eine Verarbeitung zu eigenen Zwecken des Auftragsverarbeiters, insbesondere zu Werbe-, Analyse- oder Profilbildungszwecken, findet nicht statt.
3.4 Kategorien betroffener Personen. Endkunden des Verantwortlichen, das heißt natürliche Personen, die bei ihm Waren bestellt haben, sowie abweichende Warenempfänger.
3.5 Kategorien personenbezogener Daten.
3.5.1 Name des Empfängers,
3.5.2 Lieferanschrift bestehend aus Straße, Hausnummer, Adresszusatz, Postleitzahl, Ort und Land,
3.5.3 E-Mail-Adresse des Empfängers, soweit vom Marktplatz übermittelt,
3.5.4 Bestellnummer und Bestellkennung des Marktplatzes,
3.5.5 Angaben zur bestellten Ware sowie Gewichts- und Maßangaben der Sendung,
3.5.6 Sendungsnummer und Sendungsverlaufsdaten.
3.6 Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Der Verantwortliche stellt sicher, dass solche Daten nicht übermittelt werden.
3.7 Quellen. Die Daten werden über die Schnittstellen der vom Verantwortlichen angebundenen Marktplätze bezogen. Derzeit sind dies Kaufland und eBay. Eine Anbindung weiterer Marktplätze bedarf keiner Änderung dieses Vertrages, soweit sich Art, Zweck und Datenkategorien nicht ändern.
3.8 Ort der Verarbeitung. Die Verarbeitung findet in der Europäischen Union statt, soweit sich aus Nummer 7 nichts anderes ergibt.
4.1 Der Auftragsverarbeiter verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Der Hauptvertrag und dieser Vertrag stellen die vollständige Weisung dar; einzelne Bestellungen und Versandaufträge, die der Verantwortliche über das Kundenportal oder die angebundenen Schnittstellen erteilt, sind Einzelweisungen.
4.2 Weisungen sind in Textform zu erteilen. Mündliche Weisungen sind unverzüglich in Textform zu bestätigen.
4.3 Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, wenn er der Auffassung ist, dass eine Weisung gegen datenschutzrechtliche Vorschriften verstößt. Er ist berechtigt, die Durchführung der Weisung bis zu deren Bestätigung oder Änderung auszusetzen.
4.4 Ist der Auftragsverarbeiter aufgrund einer Rechtsvorschrift der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet, teilt er dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet.
5.1 Der Auftragsverarbeiter setzt zur Verarbeitung nur Personen ein, die zur Vertraulichkeit verpflichtet oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung wirkt über die Beendigung der Tätigkeit hinaus fort.
5.2 Der Auftragsverarbeiter wird derzeit als Einzelunternehmen ohne Beschäftigte geführt. Werden Beschäftigte oder freie Mitarbeiter eingesetzt, erfolgt die Verpflichtung zur Vertraulichkeit vor Aufnahme der Tätigkeit und wird dokumentiert.
5.3 Der Auftragsverarbeiter macht die mit der Verarbeitung befassten Personen mit den für sie geltenden datenschutzrechtlichen Anforderungen vertraut.
6.1 Der Auftragsverarbeiter trifft die in Anlage 1a beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Anlage 1a ist Bestandteil dieses Vertrages.
6.2 Die Maßnahmen unterliegen dem technischen Fortschritt. Der Auftragsverarbeiter ist berechtigt, sie anzupassen, sofern das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen sind zu dokumentieren.
6.3 Der Auftragsverarbeiter überprüft die Maßnahmen regelmäßig, mindestens jährlich, auf ihre Wirksamkeit.
7.1 Der Verantwortliche erteilt hiermit die allgemeine Genehmigung zur Hinzuziehung der in Anlage 1b aufgeführten Unterauftragsverarbeiter.
7.2 Beabsichtigt der Auftragsverarbeiter, einen weiteren Unterauftragsverarbeiter hinzuzuziehen oder einen bestehenden zu ersetzen, teilt er dies dem Verantwortlichen mindestens vier Wochen vorher in Textform mit. Der Verantwortliche kann der Änderung binnen zwei Wochen ab Zugang aus wichtigem datenschutzrechtlichem Grund widersprechen.
7.3 Widerspricht der Verantwortliche und kann der Auftragsverarbeiter die Leistung ohne den betroffenen Unterauftragsverarbeiter nicht oder nur mit unverhältnismäßigem Aufwand erbringen, ist jede Partei berechtigt, den Hauptvertrag mit einer Frist von einem Monat zu kündigen.
7.4 Der Auftragsverarbeiter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrages entsprechen. Er bleibt dem Verantwortlichen gegenüber für die Einhaltung verantwortlich.
7.5 Drittlandübermittlung. Soweit Unterauftragsverarbeiter Daten außerhalb der Europäischen Union verarbeiten, stellt der Auftragsverarbeiter sicher, dass die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss nach Art. 45 DSGVO oder durch Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO. Die betroffenen Dienste und die jeweilige Grundlage sind in Anlage 1b bezeichnet. Liegt für einen Dienst keine dieser Grundlagen vor, ist dies in Anlage 1b ausdrücklich bezeichnet und erläutert; personenbezogene Daten von Endkunden des Verantwortlichen werden einem solchen Dienst nicht übermittelt.
7.6 Nicht als Unterauftragsverarbeitung gelten Nebenleistungen Dritter, insbesondere Telekommunikationsleistungen sowie die Beförderung von Sendungen durch Transportunternehmen. Das Transportunternehmen ist hinsichtlich der ihm übermittelten Empfängerdaten eigener Verantwortlicher.
8.1 Betroffenenrechte. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, leitet er das Anliegen unverzüglich an den Verantwortlichen weiter und beantwortet es nicht selbst. Er unterstützt den Verantwortlichen mit geeigneten technischen und organisatorischen Maßnahmen bei der Erfüllung von Auskunfts-, Berichtigungs-, Löschungs-, Einschränkungs-, Widerspruchs- und Datenübertragbarkeitsbegehren.
8.2 Verletzung des Schutzes personenbezogener Daten. Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch binnen vierundzwanzig Stunden ab Kenntnis. Die Meldung enthält, soweit verfügbar, eine Beschreibung der Art der Verletzung, die betroffenen Datenkategorien, die ungefähre Zahl betroffener Personen und Datensätze, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen.
8.3 Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Datenschutz-Folgenabschätzungen nach Art. 35 DSGVO und bei vorherigen Konsultationen nach Art. 36 DSGVO, soweit die erforderlichen Informationen ihm zur Verfügung stehen.
8.4 Die Unterstützungsleistungen nach den Nummern 8.1 bis 8.3 erbringt der Auftragsverarbeiter unentgeltlich, soweit sie auf einem von ihm zu vertretenden Umstand beruhen. Im Übrigen kann er eine angemessene Vergütung nach Aufwand verlangen.
9.1 Der Auftragsverarbeiter weist dem Verantwortlichen die Einhaltung der Pflichten aus diesem Vertrag auf Anforderung nach, insbesondere durch Vorlage der Dokumentation der technischen und organisatorischen Maßnahmen.
9.2 Der Verantwortliche ist berechtigt, sich von der Einhaltung zu überzeugen. Vor-Ort- Kontrollen sind nach Anmeldung mit angemessener Frist, während der üblichen Geschäftszeiten und ohne Störung des Betriebsablaufs zulässig; sie sind auf eine Kontrolle je Kalenderjahr beschränkt, sofern kein besonderer Anlass besteht.
9.3 Der Auftragsverarbeiter kann verlangen, dass Kontrollen durch einen zur Verschwiegenheit verpflichteten Dritten durchgeführt werden, sofern der Verantwortliche Wettbewerber ist oder Betriebsgeheimnisse betroffen sind.
9.4 Kosten für Kontrollen, die der Verantwortliche veranlasst, trägt dieser, sofern die Kontrolle keinen Verstoß des Auftragsverarbeiters aufdeckt.
10.1 Nach Beendigung der Verarbeitungsleistung löscht der Auftragsverarbeiter die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Verantwortlichen zurück. Die Wahl teilt der Verantwortliche spätestens mit Beendigung des Hauptvertrages in Textform mit; trifft er keine Wahl, werden die Daten gelöscht.
10.2 Von der Löschung ausgenommen sind Daten, deren Aufbewahrung der Auftragsverarbeiter aufgrund gesetzlicher Vorschriften schuldet, insbesondere nach § 147 AO und § 257 HGB. Diese Daten werden bis zum Ablauf der jeweiligen Frist in ihrer Verarbeitung eingeschränkt und anschließend gelöscht.
10.3 Der Auftragsverarbeiter bestätigt die Löschung auf Verlangen in Textform.
10.4 Regelmäßige Löschung während der Vertragslaufzeit. Unabhängig von der Beendigung löscht oder anonymisiert der Auftragsverarbeiter die im Auftrag verarbeiteten Daten nach den in Anlage 1a genannten Fristen.
11.1 Für die Haftung im Verhältnis der Parteien gilt Art. 82 DSGVO. Die Haftungsbeschränkungen des Hauptvertrages finden auf Ansprüche betroffener Personen keine Anwendung.
11.2 Im Innenverhältnis tragen die Parteien Schäden entsprechend ihrem Verantwortungs- anteil. Der Verantwortliche stellt den Auftragsverarbeiter von Ansprüchen frei, die darauf beruhen, dass die Verarbeitung auf einer unzulässigen Weisung oder auf einer fehlenden Rechtsgrundlage des Verantwortlichen beruht.
12.1 Änderungen dieses Vertrages bedürfen der Textform.
12.2 Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.
12.3 Es gilt deutsches Recht.
nach Art. 32 DSGVO · Stand 10. August 2026
Die Verarbeitung erfolgt in den Betriebsräumen in 56424 Staudt sowie bei den in Anlage 1b genannten Dienstleistern. Die Betriebsräume sind verschlossen und nur dem Inhaber zugänglich. Das Gebäude ist in Massivbauweise errichtet und mit einem Feuerlöscher ausgestattet. Eine Einbruchmeldeanlage besteht nicht.
Die Rechenzentrumsleistungen werden von zertifizierten Anbietern erbracht; für die Zutrittssicherheit der Rechenzentren gelten deren Nachweise.
Der Zugang zur Anwendung setzt eine persönliche Anmeldung mit E-Mail-Adresse und Passwort voraus. Passwörter müssen mindestens zwölf Zeichen umfassen und Groß- und Kleinbuchstaben, mindestens eine Ziffer und mindestens ein Sonderzeichen enthalten; die Prüfung erfolgt sowohl im Browser als auch serverseitig. Die Bestätigung der E-Mail-Adresse ist zwingend.
Anmeldeversuche sind zahlenmäßig begrenzt. Anmelde-, Registrierungs- und Kennwortrücksetzungsseiten sind durch einen Bot-Schutz abgesichert. Sitzungen werden nach sechzig Minuten Inaktivität im Kundenbereich und nach dreißig Minuten im Verwaltungsbereich automatisch beendet.
Es bestehen zwei Rollen: Betreiber und Kunde. Die Trennung der Mandanten wird auf Datenbankebene durch zeilenbasierte Zugriffsregeln erzwungen, die auf sämtlichen Tabellen der Anwendung aktiviert sind. Ein Kunde kann ausschließlich auf die ihm zugeordneten Datensätze zugreifen; die Prüfung erfolgt in der Datenbank und nicht allein in der Anwendung.
Die Wirksamkeit der Zugriffsregeln ist durch eine automatisierte Testsuite abgesichert, die auch Gegenproben enthält, in denen ein Schutz absichtlich ausgehebelt wird, um zu prüfen, ob der Test dies erkennt. Die Tests laufen bei jeder Änderung vor der Freigabe.
Zugangsdaten für externe Schnittstellen werden in einem gesonderten, verschlüsselten Speicher der Datenbank abgelegt und nicht in Anwendungstabellen geführt.
Versandetiketten liegen in einem nicht öffentlich erreichbaren Speicherbereich, auf den ausschließlich der Betreiber zugreifen kann.
Daten verschiedener Verantwortlicher werden logisch getrennt anhand einer eindeutigen Mandantenkennung verarbeitet. Entwicklungs- und Produktivumgebung sind getrennt; für Datenübernahmen in die Entwicklungsumgebung besteht ein Skript, das personenbezogene Daten der Endkunden anonymisiert.
Sämtliche Verbindungen erfolgen verschlüsselt über TLS. Die Anwendung erzwingt verschlüsselte Verbindungen durch eine Transportsicherheitsrichtlinie mit Voreintragung. Ergänzend sind eine strenge Inhaltssicherheitsrichtlinie sowie Schutzmaßnahmen gegen Einbettung in fremde Seiten und gegen Fehlinterpretation von Inhaltstypen gesetzt.
Aufrufe an das Transportunternehmen werden protokolliert, ohne Empfängerdaten in die Protokolle zu schreiben; protokolliert werden ausschließlich Referenznummer, Produkt, Zielland und Gewicht.
Änderungen an abrechnungsrelevanten und sicherheitsrelevanten Datensätzen werden in einem Protokoll mit Zeitpunkt, handelnder Kennung, Vorgang und betroffenem Datensatz festgehalten.
Abrechnungsposten sind unveränderlich gestaltet: Nachträgliche Änderungen und Löschungen sind auf Datenbankebene unterbunden; Korrekturen erfolgen ausschließlich durch Gegenbuchung mit Angabe eines Grundes.
Eingehende Aufrufe externer Systeme werden kryptografisch geprüft. Die Prüfung erfolgt über den unveränderten Nachrichtenkörper, mit Schutz gegen Wiedereinspielung und gegen Mehrfachverarbeitung. Zeitgesteuerte Aufrufe sind durch ein Geheimnis geschützt, dessen Prüfung laufzeitunabhängig erfolgt und im Fehlerfall abweist.
Die Datenbank wird vom Anbieter täglich verschlüsselt gesichert. Die angestrebte maximal tolerierbare Datenverlustzeit beträgt vierundzwanzig Stunden, die angestrebte Wiederherstellungszeit wenige Stunden.
Zeitgesteuerte Abläufe schreiben Lebenszeichen; eine Überwachung meldet überfällige Abläufe per E-Mail und antwortet in diesem Fall mit einem Fehlerstatus.
Aufrufe externer Schnittstellen unterliegen einer Zeitbeschränkung. Bestandsmeldungen an Marktplätze laufen über eine Warteschlange mit gestaffelter Wiederholung und Sicherungsschalter bei Überlastung des Zielsystems. Bei Ungewissheit über den Ausgang eines Vorgangs wird nicht automatisch wiederholt, um Doppelbuchungen zu vermeiden.
Vor jeder Freigabe durchlaufen Änderungen eine automatisierte Prüfkette aus Suche nach versehentlich eingefügten Geheimnissen, statischer Typprüfung, Stilprüfung ohne zugelassene Warnungen, Einheitentests, vollständigem Neuaufbau der Datenbank mit anschließenden Datenbanktests sowie einer Prüfung der eingesetzten Fremdbibliotheken auf bekannte Schwachstellen. Kritische Funde blockieren die Freigabe.
Änderungen an der Datenbank erfolgen ausschließlich über versionierte Migrationsskripte.
Die Verarbeitung erfolgt ausschließlich auf Grundlage dieses Vertrages und der über das Kundenportal sowie die angebundenen Schnittstellen erteilten Einzelweisungen. Eine Verarbeitung zu eigenen Zwecken findet nicht statt.
| Datenbestand | Frist | Verfahren |
|---|---|---|
| Versandetiketten mit Empfängerdaten | 7 Tage | physische Löschung aus dem Speicher, Verweis wird entfernt |
| Empfängerdaten in Bestelldatensätzen | 30 Tage nach Versand oder Stornierung | Anonymisierung durch Nullsetzen von Name, Anschrift und E-Mail |
| Archivierte Sendungen | 30 Tage nach Archivierung | vollständige Löschung einschließlich Positionen |
| Protokolle der Schnittstellensynchronisation | 30 Tage | Löschung |
| Kundenkonto nach Löschverlangen | 30 Tage Karenz | vollständige Löschung, keine Anonymisierung |
Die Fristen werden durch zeitgesteuerte Abläufe automatisch durchgesetzt.
Nutzdaten externer Schnittstellen werden vor der Speicherung um personenbezogene Felder bereinigt. Im Kundenportal wird die E-Mail-Adresse des Endkunden nicht angezeigt. Bestellungen werden dem Verantwortlichen nur angezeigt, soweit sie Positionen aus dem Lagerbestand enthalten.
Die folgenden Maßnahmen sind vorgesehen, aber noch nicht wirksam. Sie werden hier offengelegt, damit der Verantwortliche seine eigene Risikobewertung darauf stützen kann.
| Nr. | Punkt | Bewertung | Stand |
|---|---|---|---|
| 8.1 | Zwei-Faktor-Anmeldung für die Nutzer des Kundenportals | Der Zugang ist allein durch das Kennwort geschützt | Offen. Das Verfahren ist serverseitig aktiviert, im Kundenportal steht dafür jedoch noch keine Bedienoberfläche zur Verfügung. Ausgleichende Maßnahmen: Mindestlänge von zwölf Zeichen und alle vier Zeichenklassen verpflichtend, Benachrichtigung des Kontoinhabers bei jeder Kennwortänderung |
| 8.2 | Verschlüsselung der täglichen Datensicherung | Die Sicherung wird an einen Dienstleister außerhalb der Union übermittelt | Erledigt am 10.08.2026. Die Sicherung wird vor dem Versand mit AES-256-GCM verschlüsselt; der Schlüssel verbleibt beim Auftragnehmer. Ohne Schlüssel wird kein Versand ausgelöst |
| 8.3 | Für die Datensicherung besteht keine Aufbewahrungs- und Löschfrist | Unbegrenzte Vorhaltung im Postfach des Auftragnehmers | Offen. Vorgesehen ist eine Löschung nach 35 Tagen. Das Risiko ist durch 8.2 gemindert: die vorgehaltenen Anhänge sind verschlüsselt |
| 8.4 | Die Anonymisierung nach Nummer 6 greift nur bei versandten oder stornierten Bestellungen | Bestellungen, die in einem offenen Zustand verbleiben, würden nicht anonymisiert | Erledigt am 09.08.2026. Die Frist greift nun ersatzweise ab dem Abschluss-, Bestell- oder Anlagedatum, sodass keine Bestellung dauerhaft ausgenommen bleibt |
| 8.5 | Für das Änderungsprotokoll besteht keine Löschfrist | Protokolldaten werden unbegrenzt vorgehalten | Offen. Frist noch festzulegen |
| 8.6 | Ein Zugangstoken zur Verwaltungsschnittstelle lag im Klartext in einer versionierten Datei | Zugriff auf die Produktivumgebung durch jeden mit Zugriff auf das Quellcodeverzeichnis | Erledigt am 09.08.2026. Das Token wurde widerrufen, neu erzeugt und außerhalb des Quellcodeverzeichnisses abgelegt |
| 8.7 | Kennwortänderung ohne erneute Anmeldung möglich | Erleichtert die Übernahme einer bereits übernommenen Sitzung | Erledigt am 09.08.2026. Eine erneute Anmeldung wird serverseitig verlangt. Der Weg über den Wiederherstellungslink bleibt davon unberührt |
| 8.8 | Fehler- und Auffälligkeitsüberwachung | Ein stiller Ausfall eines Laufs würde nicht bemerkt | Teilweise erledigt. Für die abrechnungsrelevanten Läufe besteht eine Überwachung, die auch einen ausbleibenden Lauf meldet. Für die tägliche Datensicherung besteht sie noch nicht |
| 8.9 | Erprobung der Wiederherstellung aus der Sicherung | Die angegebene Wiederherstellungszeit wäre sonst eine bloße Annahme | Erledigt am 10.08.2026. Eine vollständige Sicherung wurde heruntergeladen, entschlüsselt und auf Lesbarkeit geprüft |
Stand 10. August 2026
| Dienstleister | Leistung | Verarbeitete Daten | Ort | Grundlage bei Drittlandbezug |
|---|---|---|---|---|
| Supabase Inc. | Datenbank, Anmeldung, Dateispeicher | sämtliche Auftragsdaten einschließlich Empfängerdaten und Versandetiketten | Verarbeitung in der EU, Muttergesellschaft USA | Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO in der Fassung des Durchführungsbeschlusses (EU) 2021/914, Module 2 und 3; Rechtswahl und Gerichtsstand Irland |
| Vercel Inc. | Betrieb der Anwendung, zeitgesteuerte Abläufe, Laufzeitprotokolle | sämtliche Auftragsdaten im Verarbeitungsvorgang | Verarbeitung in der EU (Frankfurt am Main), Muttergesellschaft USA | Angemessenheitsbeschluss nach Art. 45 DSGVO; Zertifizierung unter dem EU-U.S. Data Privacy Framework |
| Plus Five Five, Inc. (firmierend als „Resend") | Versand von System- und Anmeldenachrichten | Name und E-Mail-Adresse des Verantwortlichen; zusätzlich die tägliche Datensicherung, die seit dem 10.08.2026 vor dem Versand verschlüsselt wird und für den Dienstleister nicht lesbar ist | USA | Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO, Module 2 und 3; Rechtswahl und Gerichtsstand Irland |
| Cloudflare, Inc. | Bot-Schutz auf Anmelde- und Registrierungsseiten | IP-Adresse und Browsermerkmale der Nutzer des Kundenportals | USA | Angemessenheitsbeschluss nach Art. 45 DSGVO; Zertifizierung unter dem EU-U.S. Data Privacy Framework, am 10.08.2026 im Register des US-Handelsministeriums geprüft. Ergänzend Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO |
| 17TRACK | Sendungsverfolgung eingehender Ware an das Lager des Auftragnehmers | ausschließlich Sendungsnummern; Endkundendaten werden nicht übermittelt | Singapur / Volksrepublik China | Keine der Grundlagen nach Kapitel V DSGVO liegt vor. Siehe die Erläuterung im Anschluss an diese Tabelle |
Der Auftragnehmer legt offen, dass für diesen Dienst keine tragfähige Grundlage für die Übermittlung in ein Drittland besteht. Der Sachverhalt wurde am 10. August 2026 geprüft:
1. Der Nutzungsvertrag wird mit einer Gesellschaft nach dem Recht der Volksrepublik China geschlossen, das Vertragswerk zur Auftragsverarbeitung dagegen mit einer anderen Gesellschaft mit Sitz in Singapur. Ein Zusammenhang beider Gesellschaften wird nicht dargelegt.
2. Die Standardvertragsklauseln werden dort lediglich als vereinbart erklärt und auf den Gesetzestext verwiesen. Die Anhänge, die den Gegenstand, die Datenarten, die Verarbeitungsorte und die Unterauftragnehmer bezeichnen, fehlen. Ohne diese Anhänge genügen die Klauseln den Anforderungen des Art. 46 DSGVO nicht.
3. Ein Vertreter in der Union nach Art. 27 DSGVO ist nicht benannt.
4. Für Singapur, die Volksrepublik China und Hongkong besteht kein Angemessenheitsbeschluss.
Umfang der Verarbeitung. Der Dienst wird ausschließlich zur Verfolgung von Sendungen eingesetzt, die an das Lager des Auftragnehmers gerichtet sind. Empfänger dieser Sendungen ist der Auftragnehmer selbst. Übermittelt wird allein die Sendungsnummer; Namen, Anschriften, Postleitzahlen und Bestellnummern werden nicht übermittelt. Die Zuordnung einer Sendungsnummer zu einem Auftraggeber besteht nur in der Datenbank des Auftragnehmers. Personenbezogene Daten von Endkunden des Verantwortlichen gelangen nicht in den Dienst.
Vorgehen. Der Auftragnehmer wird vor der Aufnahme des Verarbeitungsbetriebs für den Verantwortlichen erneut entscheiden, ob der Dienst durch einen Anbieter mit Sitz in der Union ersetzt wird. Der Verantwortliche wird über das Ergebnis unterrichtet. Bis dahin bleibt die Verarbeitung auf den vorstehend beschriebenen Umfang beschränkt.
Die folgenden Stellen sind keine Unterauftragsverarbeiter, sondern eigene Verantwortliche. Die Übermittlung an sie erfolgt zur Erfüllung des Hauptvertrages.
| Empfänger | Übermittelte Daten | Zweck |
|---|---|---|
| DHL Paket GmbH, Charles-de-Gaulle-Str. 20, 53113 Bonn | Name, Anschrift, Adresszusatz, E-Mail-Adresse des Empfängers, Gewicht, Referenznummer | Beförderung der Sendung |
| Kaufland | Sendungsnummer und Transportunternehmen | Rückmeldung des Versands an den Marktplatz |
| eBay | Versandbestätigung | Rückmeldung des Versands an den Marktplatz |
Die folgenden Dienste verarbeiten keine Daten von Endkunden des Verantwortlichen:
Easybill GmbH (Rechnungserstellung; verarbeitet ausschließlich Stamm- und Abrechnungsdaten des Verantwortlichen, Sitz Deutschland) sowie die Verkäuferschnittstelle von Amazon (verarbeitet Bestands- und Anlieferungsdaten sowie die Lageranschrift des Auftragsverarbeiters).