Auftragsverarbeitungsvertrag

Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO

zwischen der Nutzerin oder dem Nutzer von Sellaro als Verantwortlichem (nachfolgend „Auftraggeber“) und Philipp Weißer, Sellaro, Honselaerweg 6, 47877 Willich, Deutschland, E-Mail contact@sellaro.net, als Auftragsverarbeiter (nachfolgend „Auftragnehmer“).

§ 1 Gegenstand, Abschluss und Dauer

1. Der Auftraggeber nutzt den Online-Dienst Sellaro nach unseren Allgemeinen Geschäftsbedingungen (Hauptvertrag). Dabei verarbeitet der Auftragnehmer personenbezogene Daten, für die der Auftraggeber Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO ist. Dieser Vertrag regelt die datenschutzrechtlichen Pflichten der Parteien hierzu.
2. Der Vertrag wird elektronisch geschlossen, indem der Auftraggeber bei der Registrierung den AGB einschließlich dieses Vertrags zustimmt (Art. 28 Abs. 9 DSGVO). Er gilt nicht, soweit ein Nutzer Daten ausschließlich zu persönlichen oder familiären Zwecken verarbeitet (Art. 2 Abs. 2 Buchst. c DSGVO).
3. Der Vertrag gilt für die Dauer des Hauptvertrags und darüber hinaus, bis der Auftragnehmer alle Daten nach § 9 gelöscht oder zurückgegeben hat.

§ 2 Art und Zweck der Verarbeitung, Art der Daten, betroffene Personen

1. Zweck der Verarbeitung ist die Bereitstellung der Funktionen von Sellaro, die der Auftraggeber nutzt: Speichern, Ordnen, Anzeigen, Auswerten und Exportieren seiner Geschäftsdaten, der Abruf von Daten aus angebundenen Konten bei Drittanbietern und die Übermittlung von Daten an diese, etwa zum Erstellen von Versandlabels, Rechnungen und Buchungen oder zum Beantworten von Käufernachrichten, KI-gestützte Funktionen, wenn der Auftraggeber sie aufruft, sowie die Erkennung und Behebung von Fehlern in Sellaro, auch anhand von Sitzungsaufzeichnungen und technischen Protokollen (Anlage 2, PostHog). Daten, für die der Auftraggeber verantwortlich ist, verwendet der Auftragnehmer in solchen Aufzeichnungen und Protokollen ausschließlich zu diesem Zweck und nicht für eigene Auswertungen.
2. Art der Verarbeitung: Erheben, Erfassen, Organisieren, Speichern, Anpassen, Auslesen, Abfragen, Verwenden, Offenlegen durch Übermittlung, Abgleichen, Einschränken, Löschen und Vernichten.
3. Arten personenbezogener Daten: Kontaktdaten (Name, Firma, Anschrift, E-Mail-Adresse, Telefonnummer, Benutzername auf Marktplätzen), Bestell- und Transaktionsdaten (Bestellnummern, Artikel, Preise, Gebühren, Zahlungs- und Auszahlungsinformationen), Versanddaten (Lieferanschrift, Packstation, Sendungsnummern, Versandlabels), Rechnungsdaten (Rechnungsanschrift, Umsatzsteuer-Identifikationsnummer), Kommunikationsinhalte (Nachrichten und Anhänge aus Marktplatz-Postfächern), aus Buchhaltungsdiensten übernommene Kontobewegungen (Name des Zahlungspartners, IBAN, Verwendungszweck) sowie freie Notizen des Auftraggebers.
4. Betroffene Personen: Kunden und Käufer des Auftraggebers, Lieferanten und Verkäufer, bei denen der Auftraggeber einkauft, Geschäftspartner und sonstige Kontakte des Auftraggebers.

§ 3 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch in Bezug auf Übermittlungen in Drittländer, es sei denn, er ist nach dem Recht der Union oder Deutschlands zu einer Verarbeitung verpflichtet; in diesem Fall teilt er dem Auftraggeber diese Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.
2. Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen und Handlungen des Auftraggebers in Sellaro. Verbindet der Auftraggeber etwa ein Marktplatzkonto, weist er damit an, Bestellungen und Nachrichten regelmäßig abzurufen und zu speichern; erstellt er ein Versandlabel, weist er an, die Empfängerdaten an den Versanddienstleister zu übermitteln; nutzt er den KI-Assistenten, weist er an, die dafür nötigen Daten an die KI-Dienste nach Anlage 2 zu übermitteln. Mit Abschluss dieses Vertrags weist der Auftraggeber außerdem an, Sitzungen zur Fehlererkennung nach § 2 Abs. 1 aufzuzeichnen. Weitere Weisungen erteilt der Auftraggeber in Textform an contact@sellaro.net.
3. Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich. Er darf die Ausführung der Weisung aussetzen, bis der Auftraggeber sie bestätigt oder ändert.

§ 4 Vertraulichkeit

Der Auftragnehmer stellt sicher, dass sich alle Personen, die zur Verarbeitung der Daten befugt sind, zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht sinkt.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2.
2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über jede beabsichtigte Hinzuziehung oder Ersetzung. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag fristlos kündigen.
3. Der Auftragnehmer erlegt jedem Unterauftragsverarbeiter vertraglich dieselben Datenschutzpflichten auf, die in diesem Vertrag festgelegt sind.
4. Keine Unterauftragsverarbeiter sind Dritte, an die der Auftraggeber selbst Daten übermitteln lässt, etwa Marktplätze, Versanddienstleister und Buchhaltungsdienste, deren Konten er in Sellaro anbindet. Sie verarbeiten die Daten in eigener Verantwortung oder als Auftragsverarbeiter des Auftraggebers auf Grundlage seiner eigenen Verträge mit ihnen.

§ 7 Unterstützung des Auftraggebers

1. Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten Maßnahmen dabei, Anträge betroffener Personen auf Wahrnehmung ihrer Rechte (Art. 12 bis 22 DSGVO) zu beantworten. Wendet sich eine betroffene Person unmittelbar an den Auftragnehmer, leitet er die Anfrage an den Auftraggeber weiter.
2. Er unterstützt den Auftraggeber bei der Einhaltung der Pflichten aus Art. 32 bis 36 DSGVO, insbesondere bei Meldungen von Datenschutzverletzungen, Datenschutz-Folgenabschätzungen und vorherigen Konsultationen.
3. Verletzungen des Schutzes der vom Auftraggeber verantworteten Daten meldet der Auftragnehmer dem Auftraggeber unverzüglich, möglichst innerhalb von 24 Stunden nachdem er davon erfahren hat, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit sie ihm vorliegen.

§ 8 Übermittlungen in Drittländer

Der Auftragnehmer übermittelt Daten in Länder außerhalb der Europäischen Union oder des Europäischen Wirtschaftsraums nur nach Weisung des Auftraggebers und nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind. Die dafür genutzten Garantien stehen in Anlage 2.

§ 9 Löschung und Rückgabe

1. Nach Ende des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber auf dessen Wunsch alle Daten in einem gängigen Format zur Verfügung und löscht sie anschließend. Die Fristen richten sich nach § 10 und § 11 der AGB. Auf Wunsch löscht er sofort.
2. Die Pflicht zur Löschung gilt nicht, soweit nach dem Recht der Union oder Deutschlands eine Pflicht zur Speicherung besteht. Aus den Datensicherungen verschwinden gelöschte Daten mit deren Rotation, spätestens nach etwa zwölf Monaten; bis dahin sind die Sicherungen verschlüsselt und werden nur zur Wiederherstellung verwendet.
3. Während der Vertragslaufzeit löscht der Auftragnehmer Daten aus angebundenen Marktplätzen zusätzlich nach den Vorgaben dieser Marktplätze, wie sie Abschnitt 9 der Datenschutzerklärung beschreibt: insbesondere personenbezogene Daten von Amazon-Käufern spätestens 30 Tage nach Zustellung, alle Amazon-Daten einer Verbindung spätestens 30 Tage nach Trennung, Widerruf der Freigabe oder Löschanforderung von Amazon, und die Daten eines gelöschten eBay-Kontos nach entsprechender Meldung von eBay. Der Auftraggeber weist diese Löschungen mit Abschluss dieses Vertrags an.

§ 10 Nachweise und Kontrollen

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Er ermöglicht Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen von diesem beauftragten, zur Verschwiegenheit verpflichteten Prüfer und trägt zu ihnen bei. Vor-Ort-Prüfungen sind mit angemessener Frist anzukündigen und finden während der üblichen Geschäftszeiten statt, in der Regel höchstens einmal im Jahr, es sei denn, ein konkreter Anlass rechtfertigt eine weitere Prüfung. Bei Rechenzentren der Unterauftragsverarbeiter können aktuelle Prüfberichte oder Zertifikate an die Stelle einer Inspektion treten.

§ 11 Pflichten des Auftraggebers

Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung und für die Wahrung der Rechte betroffener Personen verantwortlich, insbesondere für deren Information nach Art. 13 und 14 DSGVO. Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 12 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Regelungen des Hauptvertrags.
2. In Fragen des Datenschutzes geht dieser Vertrag dem Hauptvertrag vor. Änderungen und Ergänzungen bedürfen der Textform.
3. Sind einzelne Bestimmungen unwirksam, bleibt der Vertrag im Übrigen wirksam.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutrittskontrolle: Die Server stehen in Rechenzentren der netcup GmbH und der Hetzner Online GmbH in Deutschland, die den physischen Zutritt kontrollieren. Der Auftragnehmer betreibt keine eigenen Serverräume.
• Zugangskontrolle: Zugang zu den Servern und Verwaltungsoberflächen haben nur der Auftragnehmer und von ihm beauftragte, zur Vertraulichkeit verpflichtete Personen mit individuellen Anmeldedaten. Anmeldung der Nutzer über einen eigenen Identitätsdienst (Keycloak) mit Passwortrichtlinie (mindestens 15 Zeichen), Schutz gegen Anmeldeversuche durch Ausprobieren, E-Mail-Bestätigung und optionaler Zwei-Faktor-Authentifizierung. Administrative Funktionen erfordern eine gesonderte Freigabe und eine erneute Zwei-Faktor-Bestätigung.
• Zugriffskontrolle: Kundenbezogene Daten werden nur zusammen mit dem angemeldeten Nutzerkonto abgefragt. Automatisierte Prüfungen stellen sicher, dass jede nicht öffentliche Programmschnittstelle eine Anmeldung und eine Berechtigung für den jeweiligen Anwendungsbereich verlangt; ausdrücklich öffentliche Funktionen wie die Widerrufsfunktion haben eigene Eingabeprüfungen und Ratenbegrenzungen. Zugriffe auf protokollierte Kommunikationsinhalte sind nur Administratoren mit Zwei-Faktor-Bestätigung möglich.
• Trennungskontrolle: Die Daten aller Nutzer liegen logisch getrennt nach Nutzerkonto; Datenbanken und Dateispeicher sind in internen Netzwerken ohne Internetzugang betrieben.
• Pseudonymisierung und Verschlüsselung: Zugangsdaten zu Drittanbietern, Sitzungen bei Drittanbietern und Rohdaten von Abrechnungsschnittstellen werden mit AES-256-GCM verschlüsselt und an das jeweilige Nutzerkonto gebunden gespeichert; Einträge aus der Zeit vor Einführung der Verschlüsselung werden beim nächsten Zugriff verschlüsselt. Für die Zugänge zum DHL-Geschäftskundenportal, zur Portokasse und zu PayJoe besteht übergangsweise zusätzlich eine unverschlüsselte Kopie in der zugriffsgeschützten Datenbank, die entfernt wird. Protokolle ausgehender Schnittstellenaufrufe werden verschlüsselt gespeichert. IP-Adressen in Sicherheitsprotokollen werden nur als kryptographischer Hash gespeichert.

Integrität

• Weitergabekontrolle: Alle Verbindungen zu Sellaro und zu Drittanbietern sind mit TLS verschlüsselt (HTTPS mit HSTS). Ausgehende Verbindungen können über Proxy-Server geleitet werden; die Inhalte bleiben dabei Ende-zu-Ende verschlüsselt.
• Eingabekontrolle: Sicherheitsrelevante Vorgänge und administrative Eingriffe werden in einem nur erweiterbaren Sicherheitsprotokoll festgehalten; Anmeldeereignisse protokolliert der Identitätsdienst.

Verfügbarkeit und Belastbarkeit

• Datensicherung: Die Datenbank wird alle fünf Minuten, der Dateispeicher alle 30 Minuten gesichert. Die Sicherungen werden mit restic vor der Übertragung clientseitig mit AES-256 verschlüsselt und auf einem getrennten Speichersystem der Hetzner Online GmbH abgelegt; zusätzlich gibt es lokale Datenbanksicherungen für 14 Tage.
• Schutz vor Angriffen und Überlast: Ratenbegrenzung, Web Application Firewall und automatische Sperrung auffälliger IP-Adressen am Eingang der Infrastruktur.

Verfahren zur regelmäßigen Überprüfung

• Automatisierte Tests und Architekturprüfungen bei jeder Änderung, Überwachung neuer Softwareversionen und zeitnahes Einspielen von Sicherheitsaktualisierungen.
• Regelmäßige Überprüfung dieser Maßnahmen und der eingesetzten Dienstleister.

Anlage 2: Unterauftragsverarbeiter