Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

ENTWURF — vor Veröffentlichung anwaltliche Prüfung erforderlich. Kein Rechtsrat. Stand: 25.07.2026 (Finalisierung).

Dieses Dokument ist ein Vertrags-Entwurf, keine Rechtsberatung. Es stützt sich auf die technische Bestandsaufnahme in DATENFLUESSE.md (Analysestand Commit ddbba50) und die am 25.07.2026 eingearbeiteten verbindlichen Angaben (Firmendaten, Serverstandort Helsinki, AV-Verträge IONOS/Hetzner, Kündigungs-/Löschfristen). Alle Angaben zu Rechtsgrundlagen sind vorläufige Einordnungen zur anwaltlichen Bestätigung. Verbleibende Platzhalter sind einheitlich als [PLATZHALTER: …] markiert und in OFFENE-PUNKTE.md gelistet.

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV") regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software-as-a-Service-Plattform „WARP" (nachfolgend „Plattform" oder „WARP") vornimmt.

Zwischen

[PLATZHALTER: Firmenname des Händlers, Rechtsform, Anschrift]
— nachfolgend „Verantwortlicher" oder „Händler" —

und

WARP – ecomm solution, Inhaber Lukas Babbick (Einzelunternehmen), Ludwig-Erhard-Str. 11, 38518 Gifhorn, Deutschland
— nachfolgend „Auftragsverarbeiter" oder „WARP" —

gemeinsam auch „Parteien", wird folgender Vertrag geschlossen.

Rangregelung

Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten aus dem zwischen den Parteien bestehenden Haupt- bzw. Nutzungsvertrag über die Plattform WARP (nachfolgend „Hauptvertrag"). Er gilt für sämtliche Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Zusammenhang mit dem Hauptvertrag im Auftrag des Verantwortlichen vornimmt. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag in datenschutzrechtlichen Fragen geht dieser AVV vor. In allen sonstigen Fragen (insbesondere Vergütung, Laufzeit des Hauptvertrags, Gewährleistung) bleibt der Hauptvertrag maßgeblich.

Vorbemerkung zur Rollenverteilung

WARP verarbeitet im Rahmen der Plattformnutzung personenbezogene Daten in zwei getrennten Rollen. Für die eigene Kundenbeziehung (Nutzerkonten des Händlers auf der Plattform, Anmeldesicherheit, Zahlungsabwicklung gegenüber WARP, transaktionale E-Mails, Betriebs-/Admin-Audit) ist WARP selbst Verantwortlicher (Verarbeitungstätigkeiten VT-1 bis VT-7 gemäß DATENFLUESSE.md); diese Verarbeitungen sind nicht Gegenstand dieses AVV und in der Datenschutzerklärung von WARP dargestellt.

Gegenstand dieses AVV sind ausschließlich die Verarbeitungstätigkeiten, bei denen der Händler Verantwortlicher und WARP Auftragsverarbeiter ist — die Geschäfts-, Marketing- und Endkundendaten des Händlers, die WARP im Rahmen der Plattformfunktionen auf Weisung des Händlers verarbeitet (VT-8 bis VT-11 gemäß DATENFLUESSE.md).

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

1.1 Gegenstand

Gegenstand der Verarbeitung sind die Datenverarbeitungen, die WARP im Rahmen der Bereitstellung der Plattform WARP zur Analyse, Automatisierung und Optimierung der Geschäfts-, Marketing- und Preisprozesse des Verantwortlichen vornimmt. Der Verantwortliche bleibt hinsichtlich aller in diesem AVV erfassten Verarbeitungen datenschutzrechtlich Verantwortlicher; WARP handelt ausschließlich auf dokumentierte Weisung des Verantwortlichen (§ 4).

1.2 Art und Zweck der Verarbeitung im Einzelnen

Die Verarbeitung umfasst — gemäß der technischen Bestandsaufnahme in DATENFLUESSE.md, Teil B (VT-8 bis VT-11) — folgende vier Verarbeitungsgegenstände:

(a) Marketing-Analytics-Integrationen (VT-8)
Abruf und Aufbereitung aggregierter Kennzahlen aus den vom Verantwortlichen angebundenen Google-Diensten — Google Analytics 4 (GA4), Google Ads, Google Search Console, Google Merchant Center — auf Basis der vom Verantwortlichen hinterlegten Zugangsdaten (Service-Account-Keys bzw. OAuth2-Credentials). Zweck: Darstellung von Sessions, Kanal-/Kampagnen-Performance, Suchbegriffen, Impressionen, Konversionen und E-Commerce-Umsatz in aggregierter Form innerhalb der Plattform.

(b) JTL-Wawi-Datenverarbeitung inkl. Endkunden-Analytik (VT-9)
Direkte, strikt lesende (read-only) Verbindung zur JTL-Wawi-Datenbank (MSSQL) des Verantwortlichen zum Zweck der Aufbereitung von Waren-, Bestell- und Kundendaten, einschließlich pseudonymer Endkunden-Analytik (RFM-Segmentierung, Customer-Lifetime-Value, Churn-Wahrscheinlichkeit) auf Basis des internen JTL-Kundenschlüssels (kKunde) ohne Speicherung von Endkunden-Klartextnamen bei WARP.

(c) Lieferanten-/Preislisten-Import (VT-10)
Optionaler automatisierter Abruf von Lieferanten-Preis- und Bestandslisten per IMAP-Postfachüberwachung oder manueller Datei-Upload, zum Zweck der Aktualisierung von Artikel-, Preis- und Bestandsdaten in der Plattform.

(d) WARP-Pixel & Attribution (VT-11)
Betrieb eines serverseitigen Tracking- und Attributionsmechanismus („WARP-Pixel") als JTL-Wawi-Plugin im Onlineshop des Verantwortlichen. Der WARP-Pixel wird hiermit ausdrücklich als eigener Verarbeitungsgegenstand dieses AVV benannt. Erfasst und an WARP übermittelt werden — bezogen auf die Endkunden des Verantwortlichen — pseudonymisierte Identitätsmerkmale (HMAC-SHA256-Hashes von Session-, Visitor-Kennung und IP-Adresse, gebildet mit einem shopseitigen, WARP nicht bekannten Pepper), Marketing-Click-IDs (u. a. gclid, msclkid, fbclid, ttclid, soluteclid, adcell_bid, awin_awc, geizhals_emid), UTM-Parameter, Referrer und Seiten-URL sowie Bestell- und Umsatzdaten (Bestellnummer, Warenkorbwert, Währung). Zweck: Marketing-Attribution (Zuordnung von Bestellungen zu Marketingkanälen) innerhalb eines Attributionsfensters von standardmäßig 30 Tagen. Die Erfassung erfolgt auf „Layer 1" cookie-frei und ohne clientseitiges JavaScript; ein separater, consent-pflichtiger „Layer 2" (Affiliate-Konversions-Pixel, z. B. AdCell) ist gemäß § 8 dieses AVV gesondert geregelt.

1.3 Kreis der betroffenen Personen

Von der Verarbeitung nach diesem AVV sind folgende Kategorien betroffener Personen erfasst (vgl. DATENFLUESSE.md, Abschnitt 0.2):

• Mitarbeitende/Nutzer des Verantwortlichen, soweit deren Daten in den unter § 1.2 genannten Kontexten verarbeitet werden (z. B. IMAP-Postfachzugangsdaten von Mitarbeitenden, VT-10);
• Endkunden des Verantwortlichen — Käufer und Besucher des Onlineshops des Verantwortlichen (VT-9, VT-11);
• Websuchende / Werbe-Empfänger — Personen, deren aggregierte Interaktionen über die vom Verantwortlichen angebundenen Google-Dienste erfasst werden (VT-8).

1.4 Kategorien der Daten

Gegenstand der Verarbeitung sind insbesondere die in DATENFLUESSE.md, Teil B nachgewiesenen Datenkategorien:

• GA4-/Ads-/Search-Console-Metriken (aggregiert: Sessions, Kanal/Quelle/Medium, Gerät, Land/Stadt, Conversions, E-Commerce-Umsatz, Suchbegriffe (search_term/query), Kampagnen-/Property-Kennzahlen) — VT-8;
• Google-Merchant-Produktdaten (keine natürlichen Personen betreffend) — VT-8;
• JTL-Zugangsdaten sowie transient geladene Endkunden-Anzeigedaten (Top-N, nicht bei WARP persistiert) und pseudonyme Endkunden-Umsatzanalytik (RFM/CLV/Churn, referenziert über kKunde) — VT-9;
• IMAP-Postfachzugangsdaten und importierte Lieferanten-/Artikeldaten — VT-10;
• Pseudonymisierte Endkunden-Identitätsmerkmale (HMAC-Hashes), Click-IDs, UTM-/Referrer-/Seitendaten, Bestell- und Umsatzdaten — VT-11.

Die vollständige, tabellarische Auflistung mit Speicherort (Tabelle/Feld) und Beleg ist in ANHANG 1 wiedergegeben.

1.5 Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Einzelne laufende Speicherfristen je Datenkategorie sind derzeit im Code nicht flächendeckend als automatisierte Löschroutinen hinterlegt (vgl. DATENFLUESSE.md, Teil E Nr. 3, und OFFENE-FRAGEN.md, F-21). Ein verbindliches Löschkonzept ist [PLATZHALTER: F-21] zwischen den Parteien zu vereinbaren bzw. durch WARP zu implementieren und wird — sobald festgelegt — in ANHANG 1 nachgetragen. Für die Löschung/Rückgabe nach Vertragsende gilt § 11 dieses AVV.

§ 2 Regelungsbereich und Verantwortlichkeit

1. Die Regelungen dieses AVV gelten für alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder von ihm beauftragte Subunternehmer personenbezogene Daten des Verantwortlichen im Sinne des Art. 4 Nr. 2 DSGVO verarbeiten (Auftragsverarbeitung gemäß Art. 28 DSGVO).
2. Der Verantwortliche bleibt im Verhältnis zu den betroffenen Personen im Rahmen der DSGVO allein verantwortlich für die Rechtmäßigkeit der Datenerhebung und -verarbeitung (Art. 4 Nr. 7 DSGVO), insbesondere für die Rechtmäßigkeit der Übermittlung der Daten an den Auftragsverarbeiter sowie für die Rechtmäßigkeit der Verarbeitungszwecke.
3. Klarstellend: Verarbeitungen, in denen WARP gemäß DATENFLUESSE.md Teil A (VT-1 bis VT-7) selbst Verantwortlicher ist, sind nicht Gegenstand dieses AVV.

§ 3 Ort der Datenverarbeitung

Die Verarbeitung erfolgt auf Servern des Auftragsverarbeiters, gehostet bei Hetzner im Rechenzentrum Helsinki, Finnland (HEL1-DC9), Europäische Union. Der Auftragsverarbeitungsvertrag mit Hetzner wurde am 25.07.2026 abgeschlossen (fünf Datenarten, einschließlich der individuellen Kategorie „Lieferanten der Kunden des Auftraggebers"). Eine Verarbeitung außerhalb der Europäischen Union / des Europäischen Wirtschaftsraums erfolgt nur im Rahmen der in § 9 genannten Sub-Auftragsverarbeiter bzw. in den in ANHANG 3 gelisteten Fällen und nur unter den dort genannten Voraussetzungen.

Hinweis: Die für den Versand transaktionaler System-E-Mails eingesetzten IONOS-Mailserver liegen in Deutschland/EU (siehe ANHANG 3). Frühere Annahmen zum Hosting-Standort sind überholt; maßgeblich ist ausschließlich der EU-Standort Helsinki, Finnland.

§ 4 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, soweit er nicht gemäß Art. 28 Abs. 3 lit. a DSGVO durch das Unionsrecht oder das Recht der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
2. Die Weisungen des Verantwortlichen ergeben sich zunächst aus diesem AVV. Weitergehende Einzelweisungen (z. B. zu Konfiguration, Umfang oder Löschung einzelner Datensätze) kann der Verantwortliche über die vertraglich vorgesehenen Kanäle der Plattform (Konfigurationsoberflächen, Support-Kontakt support@wawihub.de) erteilen. Der Auftragsverarbeiter dokumentiert die ihm erteilten Weisungen in geeigneter Form.
3. Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für rechtswidrig oder für einen Verstoß gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten, informiert er den Verantwortlichen unverzüglich hierüber. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.
4. Der Verantwortliche ist berechtigt, jederzeit angemessene Nachweise über die Einhaltung dieses AVV vom Auftragsverarbeiter anzufordern (siehe auch § 12).

§ 5 Vertraulichkeit

1. Der Auftragsverarbeiter gewährleistet, dass die mit der Verarbeitung der personenbezogenen Daten befassten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, 29 DSGVO). Der Auftragsverarbeiter wird als Einzelunternehmen geführt; administrativer Zugriff auf Server und Produktionsdatenbank besteht ausschließlich beim Inhaber (siehe ANHANG 2).
2. Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der Tätigkeit für den Auftragsverarbeiter bzw. nach Beendigung dieses AVV fort.
3. Personenbezogene Daten dürfen nur im Rahmen der jeweiligen Aufgabenerfüllung und ausschließlich zu den in § 1 genannten Zwecken zugänglich gemacht werden (Kenntnis-nur-wenn-nötig-Prinzip).

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Auftragsverarbeiter trifft die in ANHANG 2 dokumentierten technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. ANHANG 2 enthält Maßnahmen, die im analysierten Code-/Konfigurationsstand (Commit ddbba50) belegt und in DATENFLUESSE.md, Teil C, nachgewiesen sind, sowie die am 25.07.2026 kopf-seitig verifizierten Betriebsmaßnahmen (TLS, RLS-Produktivstatus, Zugriffskontrolle).
2. Mandantentrennung (Produktivstatus RLS). Die datenbankseitig erzwungene Mandantentrennung (FORCE ROW LEVEL SECURITY mit fail-closed-Policy, siehe ANHANG 2) ist im Quellcode vorhanden, durch eine eigene Testsuite verifiziert und wurde am 23.07.2026 auf der produktiv betriebenen Datenbank verifiziert (67 von 67 Tabellen mit RLS; Quelle: DATENBANK-ISOLATIONS-AUDIT-2026-07-23.md). Eine routinemäßige erneute Verifikation vor bzw. bei Aufnahme des Echtbetriebs mit jedem weiteren Mandanten wird empfohlen.
3. Belegte Betriebsmaßnahmen (Stand 25.07.2026):
   • Transportverschlüsselung TLS 1.3 (AES-256-GCM) mit gültigen Let's-Encrypt-Zertifikaten und aktiver automatischer Erneuerung (certbot) — kopf-gemessen (PASS), ersetzt den bisherigen Prüfvorbehalt zu F-17;
   • Zugriffskontrolle: administrativer Zugriff auf Server und Produktionsdatenbank ausschließlich durch den Inhaber (F-22).
4. Weiterhin offene / durch den Auftragsverarbeiter fortzuschreibende Punkte:
   • Offsite-/getrennte Backup-Haltung: Sicherungskopien liegen derzeit nach Codelage in derselben Postgres-Instanz; eine Offsite-Sicherung über eine Hetzner Storage Box (EU) ist freigegeben, aber noch nicht eingerichtet; der zugehörige AV-Vertrag wird nach Bestellung abgeschlossen — [PLATZHALTER: F-19];
   • Audit-Log-Retention (Admin-/Impersonation-Audit, derzeit ohne Purge-Logik) — [PLATZHALTER: F-20 / F-21];
   • Secret-Management für ENCRYPTION_KEY und weitere Secrets (geschützter Secret-Store vs. Klartext-.env) — [PLATZHALTER: F-20].
5. Der Auftragsverarbeiter ist berechtigt, die TOM anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen sind dem Verantwortlichen mitzuteilen.

§ 7 Unterstützung des Verantwortlichen

1. Rechte betroffener Personen. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte (Art. 15–22 DSGVO), soweit diese Anträge Daten betreffen, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet. Der konkrete Prozess (Fristen, Zuständigkeiten, technische Umsetzung je Datenkategorie) ist in BETROFFENENRECHTE-PROZESS.md beschrieben und wird durch Verweis Bestandteil der praktischen Umsetzung dieses AVV. Eingangskanal für datenschutzrechtliche Anfragen ist das Postfach datenschutz@wawihub.de. Es wird ausdrücklich darauf hingewiesen, dass nach derzeitigem Code-Stand für bestimmte Datenkategorien (insbesondere warp_attribution_events) kein automatisierter Erasure-Mechanismus existiert (vgl. OFFENE-FRAGEN.md, F-35) und Auskunftsersuchen derzeit nur manuell aus mehreren Tabellen zusammengestellt werden können (F-36); dies ist als Produkt-Weiterentwicklung vorgesehen.
2. Meldung von Datenschutzverletzungen (Art. 33/34 DSGVO). Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses AVV verarbeitete Daten betrifft, unverzüglich, spätestens jedoch [PLATZHALTER: Frist, z. B. 24/48 Stunden nach Kenntnisnahme], damit der Verantwortliche seiner Meldepflicht gegenüber der Aufsichtsbehörde binnen 72 Stunden (Art. 33 Abs. 1 DSGVO) nachkommen kann. Die Meldung enthält, soweit dem Auftragsverarbeiter bekannt, mindestens die Angaben nach Art. 33 Abs. 3 DSGVO. Ein interner Prozess für Datenschutzverletzungen auf Seiten von WARP ist [PLATZHALTER: F-25] einzurichten bzw. zu bestätigen.
3. Datenschutz-Folgenabschätzung (Art. 35 DSGVO). Soweit der Verantwortliche zur Durchführung einer Datenschutz-Folgenabschätzung verpflichtet ist (dies erscheint insbesondere im Hinblick auf die Endkunden-Pixel-/Attributionsdaten und die RFM-/CLV-/Churn-Profilbildung nicht von vornherein ausgeschlossen — anwaltlich zu prüfen, [PLATZHALTER: F-42]), stellt der Auftragsverarbeiter die hierfür erforderlichen, ihm vorliegenden Informationen (insbesondere zu den TOM gemäß ANHANG 2 sowie zu Art und Umfang der Verarbeitung gemäß ANHANG 1) zur Verfügung.
4. Der Verantwortliche trägt die durch eine Unterstützung nach diesem § 7 entstehenden angemessenen Kosten, soweit im Hauptvertrag nichts anderes vereinbart ist.

§ 8 WARP-Pixel: Consent-Management und § 25 TDDDG

1. Der Verantwortliche ist datenschutz- und telemedienrechtlich allein verantwortlich für die Einbindung des WARP-Pixels in sein Consent-Management-System (CMP) und für die Sicherstellung einer tragfähigen Rechtsgrundlage für jeden Zugriff auf Endgeräte seiner Endkunden im Sinne des § 25 TDDDG. Details und der vom Verantwortlichen umzusetzende Integrations-Baustein sind in PIXEL-HAENDLER-BAUSTEIN.md beschrieben und werden durch Verweis Bestandteil der praktischen Umsetzung dieses AVV.
2. WARP prüft kein eigenes Consent-Flag. Der im Pixel-Code vorgesehene Consent-Snapshot (consent_granted) wird derzeit technisch nicht befüllt (Wert stets null); die Freigabe bzw. Blockierung des Layer-2-Affiliate-Pixels obliegt ausschließlich dem vom Verantwortlichen eingesetzten CMP. Der Auftragsverarbeiter übernimmt insoweit keine Gewähr für die Einwilligungslage und ist nicht verpflichtet, die Rechtmäßigkeit der Datenerhebung auf Endgeräten zu prüfen.
3. Für den cookie-freien Layer 1 des WARP-Pixels (serverseitige Erfassung ohne clientseitiges JavaScript, ohne Endgeräte-Zugriff) stützt sich der Code auf Art. 6 Abs. 1 lit. f DSGVO; dies ist eine Einordnung des Auftragsverarbeiters zur anwaltlichen Bestätigung durch den Verantwortlichen bzw. dessen rechtliche Beratung — [PLATZHALTER: F-30].
4. Der Layer-2-Affiliate-Konversions-Pixel (z. B. AdCell) überträgt Bestellnummer, Nettobetrag und ggf. Gutscheincodes direkt aus dem Browser des Endkunden an das jeweilige Affiliate-Netzwerk, außerhalb der Infrastruktur und Kontrolle des Auftragsverarbeiters. Diese Übertragung fällt nicht unter diesen AVV; Verantwortlicher hierfür ist ausschließlich der Händler als Betreiber des Onlineshops.

§ 9 Sub-Auftragsverarbeiter (Art. 28 Abs. 2, Abs. 4 DSGVO)

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in ANHANG 3 aufgeführten Sub-Auftragsverarbeiter für die dort genannten Zwecke einzusetzen.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über die Hinzuziehung oder Ersetzung weiterer Sub-Auftragsverarbeiter rechtzeitig vor der geplanten Änderung. Der Verantwortliche kann der Änderung innerhalb einer Frist von [PLATZHALTER: Widerspruchsfrist, z. B. 14 Tage] aus wichtigem, sachlich begründetem Grund widersprechen.
3. Der Auftragsverarbeiter verpflichtet jeden Sub-Auftragsverarbeiter zu den Datenschutzpflichten, die diesem AVV entsprechen, insbesondere zu hinreichenden Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen.
4. Rollenklärung Google-Dienste und Stripe (wichtig, keine Präjudizierung): Für die Anbindung an Google Analytics 4, Google Ads, Google Search Console und Google Merchant Center schließt in der Regel der Verantwortliche (Händler) selbst die jeweiligen Google-Nutzungs- bzw. Datenverarbeitungsbedingungen als eigener Verantwortlicher der betreffenden Konten ab, da es sich um vom Händler eingerichtete und ihm zuzuordnende Analytics-/Werbekonten handelt. Für Stripe gilt Entsprechendes hinsichtlich der vom Verantwortlichen selbst genutzten Zahlungsabwicklung, soweit diese außerhalb der WARP-eigenen Vertragsbeziehung zu WARP liegt. Die abschließende Rollenabgrenzung (Auftragsverarbeiter-Kette vs. eigenständige Verantwortlichkeit des Händlers je Dienst) ist nicht Gegenstand dieses Entwurfs und wird [PLATZHALTER: F-14/F-40] durch die anwaltliche Prüfung final festgelegt. Dieser AVV nimmt insoweit keine Vorwegnahme vor, sondern hält Google und Stripe informativ in ANHANG 3, damit die Kette vollständig dokumentiert ist, unabhängig davon, welche Partei die jeweiligen Verarbeiterbedingungen abschließt.
5. Weitere, derzeit nicht abschließend bestätigte Sub-Auftragsverarbeiter (LLM-/KI-Anbieter; LexOffice für die Rechnungsschreibung; ggf. Monitoring-/Fehler-Tracking-Dienste) sind [PLATZHALTER: F-15/F-16, F-41] zu ermitteln und in ANHANG 3 nachzutragen bzw. zu vervollständigen, sofern sie personenbezogene Daten im Sinne dieses AVV verarbeiten.

§ 10 Kontrollrechte des Verantwortlichen

1. Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und regelmäßig während der Vertragsdauer von der Einhaltung der beim Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen zu überzeugen (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Nachweis kann erfolgen durch Vorlage geeigneter, aktueller Nachweise wie z. B. Zertifizierungen, interne Dokumentationen oder — nach vorheriger Anmeldung und unter Wahrung der Betriebs- und Geschäftsgeheimnisse sowie der Sicherheit anderer Kunden des Auftragsverarbeiters — durch Einsichtnahme bzw. Vor-Ort-Kontrollen bzw. Kontrollen durch einen vom Verantwortlichen beauftragten, zur Verschwiegenheit verpflichteten Dritten.
3. Kontrollen sind mit angemessener Vorlaufzeit [PLATZHALTER: Frist] anzumelden und finden während der üblichen Geschäftszeiten statt. Die Kosten einer Vor-Ort-Kontrolle trägt der Verantwortliche, soweit im Hauptvertrag nichts anderes vereinbart ist.

§ 11 Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)

1. Nach Beendigung der Erbringung der Verarbeitungsleistungen ist der Auftragsverarbeiter verpflichtet, nach Wahl des Verantwortlichen sämtliche im Rahmen dieses AVV verarbeiteten personenbezogenen Daten entweder zurückzugeben oder zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
2. Fristen und Vorgehen (marktüblich, Anwaltsvorbehalt — F-23):
   • 30 Tage Export-Frist ab Beendigung des Hauptvertrags: der Verantwortliche kann in diesem Zeitraum den Export bzw. die Rückgabe seiner Daten verlangen. Ein Self-Service-Export-Werkzeug hierfür ist als Produktfunktion vorgesehen, im untersuchten Code-Stand aber noch nicht vorhanden; bis zu dessen Umsetzung erfolgt der Export durch den Auftragsverarbeiter (vgl. OFFENE-FRAGEN.md, F-36);
   • endgültige Löschung spätestens 60 Tage nach Beendigung des Hauptvertrags, maximal 90 Tage, soweit keine gesetzliche Aufbewahrungspflicht (z. B. für Rechnungsdaten, § 147 AO / § 257 HGB) entgegensteht;
   • das genaue Vorgehen (Format der Rückgabe) wird zwischen den Parteien konkretisiert.
3. Der Auftragsverarbeiter weist dem Verantwortlichen die vollständige Löschung bzw. Rückgabe auf Anfrage nach.
4. Backup-Rotationsauslauf (transparent): Die Löschung im Livesystem erfolgt unverzüglich, unabhängig vom Backup-Zyklus. In den verschlüsselten Sicherungskopien (Fernet, Standard-Retention derzeit 90 Tage, siehe DATENFLUESSE.md, Teil C) läuft ein gelöschter Datensatz mit dieser Rotationsfrist aus. Wird eine Sicherungskopie zurückgespielt, ist sicherzustellen, dass zwischenzeitlich erfolgte Löschungen erneut angewendet werden (Re-Lösch-Garantie), damit ein bereits gelöschter Datensatz nicht durch einen Restore wieder auflebt. Ein solcher Re-Lösch-Mechanismus ist derzeit noch nicht implementiert und wird als Produktanforderung nachgehalten (vgl. OFFENE-FRAGEN.md, F-38).

§ 12 Nachweis- und Dokumentationspflichten

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von diesem beauftragten Prüfer und trägt zu diesen Überprüfungen bei (Art. 28 Abs. 3 lit. h DSGVO). § 10 gilt entsprechend.

§ 13 Haftung

1. Für die Haftung der Parteien untereinander sowie gegenüber betroffenen Personen und Aufsichtsbehörden gelten die gesetzlichen Regelungen, insbesondere Art. 82 DSGVO, sowie ergänzend die im Hauptvertrag vereinbarten Haftungsregelungen, soweit diese datenschutzrechtlich zulässig sind.
2. Werden gegen eine Partei Ansprüche einer betroffenen Person oder einer Aufsichtsbehörde geltend gemacht, die auf einer Pflichtverletzung der anderen Partei aus diesem AVV beruhen, stellt die verantwortliche Partei die andere Partei insoweit von der Haftung frei, wie sie den Schaden zu vertreten hat.
3. [PLATZHALTER: Ergänzende Haftungsbegrenzung, sofern im Hauptvertrag vorgesehen und datenschutzrechtlich zulässig — anwaltlich zu prüfen.]

§ 14 Schlussbestimmungen

1. Dieser AVV tritt mit Unterzeichnung durch beide Parteien in Kraft und gilt für die Dauer des Hauptvertrags.
2. Änderungen und Ergänzungen dieses AVV, einschließlich etwaiger Zusicherungen des Auftragsverarbeiters, bedürfen der Textform, soweit nicht in diesem AVV ausdrücklich etwas anderes bestimmt ist (z. B. § 9 Abs. 2 zu Sub-Auftragsverarbeitern).
3. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.
4. Es gilt das Recht der Bundesrepublik Deutschland. [PLATZHALTER: Gerichtsstand, soweit gesondert zu vereinbaren.]
5. Im Fall von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gilt die Rangregelung in der Präambel.

ANHANG 1 — Verarbeitungsdetails

Grundlage: DATENFLUESSE.md, Teil B (VT-8 bis VT-11). Rechtsgrundlagen-Hinweise sind vorläufige Einordnungen zur anwaltlichen Bestätigung (OFFENE-FRAGEN.md, F-39/F-40).

A1.1 VT-8 — Marketing-Analytics-Integrationen (GA4, Google Ads, Search Console, Google Merchant)

Restrisiko: search_term/query sowie GA4-Geo (Land+Stadt) sind aggregiert, können im Ausnahmefall aber re-identifizierbar sein bzw. personenbezogene Zeichenketten enthalten. Ein Filtermechanismus ist im Code nicht vorhanden — [PLATZHALTER: F-32].

A1.2 VT-9 — JTL-Wawi-Datenverarbeitung (inkl. Endkunden-Analytik)

A1.3 VT-10 — Lieferanten-/Preislisten-Import (IMAP, Datei-Upload)

A1.4 VT-11 — WARP-Pixel & Attribution (Endkundendaten der Händler)

Attributionsfenster: Default 30 Tage. Pseudonymisierung IP: ip_hash wird gehasht, nicht gekürzt — Rechtsfrage zur Ausreichung als Pseudonymisierung/Anonymisierung: [PLATZHALTER: F-29].

ANHANG 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Im Code des analysierten Beta-Kandidaten (ddbba50) belegte Maßnahmen (gemäß DATENFLUESSE.md, Teil C), ergänzt um die am 25.07.2026 verifizierten Betriebsmaßnahmen.

Hinweis zum RLS-Produktivstatus: Die datenbankseitig erzwungene Mandantentrennung ist im Quellcode vorhanden, testgeprüft und wurde am 23.07.2026 auf der Produktions-Datenbank verifiziert (67/67 Tabellen). Eine routinemäßige erneute Verifikation vor bzw. bei jedem weiteren produktiven Rollout wird empfohlen.

Weiterhin offen bzw. fortzuschreiben:

• Offsite-/getrennte Backup-Haltung: Backups liegen derzeit in derselben Postgres-Instanz; Offsite-Sicherung über eine Hetzner Storage Box (EU) freigegeben, aber noch nicht eingerichtet, AV-Vertrag nach Bestellung — [PLATZHALTER: F-19]
• Audit-Log-Retention — [PLATZHALTER: F-20/F-21]
• Secret-Management des ENCRYPTION_KEY und weiterer Secrets — [PLATZHALTER: F-20]

ANHANG 3 — Sub-Auftragsverarbeiter

Diese Liste gilt vorbehaltlich der Vervollständigung durch die anwaltliche Prüfung und die weiteren Angaben gemäß OFFENE-PUNKTE.md.

Angaben beruhen auf Code-Stand ddbba50; Produktivstand ist abzugleichen (F-28).