Auftragsverarbeitungsvertrag (Art. 28 DSGVO)

Fassung vom 12.09.2026.

Grundlage sind die technische Bestandsaufnahme der Datenflüsse, der Code-Stand f1cf3bc7 und das Register 12.09.2026 (docs/recht/rechtstexte-fassung-2026-09-12.md), aus dem sämtliche Werte dieser Fassung stammen. Felder, die der Verantwortliche beim Abschluss ausfüllt, stehen in eckigen Klammern.

Präambel

Dieser Auftragsverarbeitungsvertrag („AVV") regelt die Verarbeitung personenbezogener Daten, die der Auftragsverarbeiter im Auftrag des Verantwortlichen im Rahmen der Nutzung der Software-as-a-Service-Plattform „WARP" (nachfolgend „Plattform" oder „WARP") vornimmt.

Zwischen

[Firmenname, Rechtsform und Anschrift des Verantwortlichen]
— nachfolgend „Verantwortlicher" oder „Händler" —

und

WARP – ecomm solution, Inhaber Lukas Babbick (Einzelunternehmen), Ludwig-Erhard-Str. 11, 38518 Gifhorn, Deutschland
— nachfolgend „Auftragsverarbeiter" oder „WARP" —

gemeinsam auch „Parteien", wird folgender Vertrag geschlossen.

Rangregelung

Dieser AVV konkretisiert die datenschutzrechtlichen Pflichten aus dem zwischen den Parteien bestehenden Haupt- bzw. Nutzungsvertrag über die Plattform WARP (nachfolgend „Hauptvertrag"). Er gilt für sämtliche Verarbeitungen personenbezogener Daten, die der Auftragsverarbeiter im Zusammenhang mit dem Hauptvertrag im Auftrag des Verantwortlichen vornimmt. Bei Widersprüchen zwischen diesem AVV und dem Hauptvertrag in datenschutzrechtlichen Fragen geht dieser AVV vor. In allen sonstigen Fragen (insbesondere Vergütung, Laufzeit des Hauptvertrags, Gewährleistung) bleibt der Hauptvertrag maßgeblich.

Vorbemerkung zur Rollenverteilung

WARP verarbeitet im Rahmen der Plattformnutzung personenbezogene Daten in zwei getrennten Rollen. Für die eigene Kundenbeziehung (Nutzerkonto des Händlers auf der Plattform, Anmeldesicherheit, Rechnung und Zahlungsabwicklung gegenüber WARP, transaktionale E-Mails, Betriebs-/Admin-Audit) ist WARP selbst Verantwortlicher (Verarbeitungstätigkeiten VT-1 bis VT-7); diese Verarbeitungen sind nicht Gegenstand dieses AVV und in der Datenschutzerklärung von WARP dargestellt.

Gegenstand dieses AVV sind ausschließlich die Verarbeitungstätigkeiten, bei denen der Händler Verantwortlicher und WARP Auftragsverarbeiter ist. Der Händler ist Verantwortlicher für alle Daten aus seiner Warenwirtschaft, seinen Google-Konten, seinem Onlineshop und von seinen Lieferanten; WARP verarbeitet diese Geschäfts-, Marketing- und Endkundendaten im Rahmen der Plattformfunktionen ausschließlich auf Weisung des Händlers (VT-8 bis VT-12 gemäß ANHANG 1).

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

1.1 Gegenstand

Gegenstand der Verarbeitung sind die Datenverarbeitungen, die WARP im Rahmen der Bereitstellung der Plattform WARP zur Analyse, Automatisierung und Optimierung der Geschäfts-, Marketing- und Preisprozesse des Verantwortlichen vornimmt. Der Verantwortliche bleibt hinsichtlich aller in diesem AVV erfassten Verarbeitungen datenschutzrechtlich Verantwortlicher; WARP handelt ausschließlich auf dokumentierte Weisung des Verantwortlichen (§ 4).

1.2 Art und Zweck der Verarbeitung im Einzelnen

Die Verarbeitung umfasst — gemäß der technischen Bestandsaufnahme der Datenflüsse (Register 12.09.2026, VT-8 bis VT-12) nach dem Register 12.09.2026 — folgende fünf Verarbeitungsgegenstände:

(a) Marketing-Analytics-Integrationen (VT-8)
Abruf und Aufbereitung aggregierter Kennzahlen aus den vom Verantwortlichen angebundenen Google-Diensten — Google Analytics 4 (GA4), Google Ads, Google Search Console, Google Merchant Center — auf Basis der vom Verantwortlichen hinterlegten Zugangsdaten (Service-Account-Keys bzw. OAuth2-Credentials). Zweck: Darstellung von Sessions, Kanal-/Kampagnen-Performance, Suchbegriffen, Impressionen, Konversionen und E-Commerce-Umsatz in aggregierter Form innerhalb der Plattform.

(b) JTL-Wawi-Datenverarbeitung inkl. Endkunden-Analytik (VT-9)
Direkte, strikt lesende (read-only) Verbindung zur JTL-Wawi-Datenbank (MSSQL) des Verantwortlichen zum Zweck der Aufbereitung von Waren-, Bestell- und Kundendaten, einschließlich pseudonymer Endkunden-Analytik (RFM-Segmentierung, Customer-Lifetime-Value, Churn-Wahrscheinlichkeit) auf Basis des internen JTL-Kundenschlüssels (kKunde) ohne Speicherung von Endkunden-Klartextnamen bei WARP.

(c) Lieferanten-/Preislisten-Import (VT-10)
Optionaler automatisierter Abruf von Lieferanten-Preis- und Bestandslisten per IMAP-Postfachüberwachung oder manueller Datei-Upload, zum Zweck der Aktualisierung von Artikel-, Preis- und Bestandsdaten in der Plattform.

(d) WARP-Pixel & Attribution (VT-11)
Betrieb eines serverseitigen Tracking- und Attributionsmechanismus („WARP-Pixel") als JTL-Wawi-Plugin im Onlineshop des Verantwortlichen. Der WARP-Pixel wird hiermit ausdrücklich als eigener Verarbeitungsgegenstand dieses AVV benannt. Erfasst und an WARP übermittelt werden — bezogen auf die Endkunden des Verantwortlichen — pseudonymisierte Identitätsmerkmale (HMAC-SHA256-Hashes von Session- und Visitor-Kennung, gebildet mit einem geheimen, nur im Shop vorhandenen und WARP nicht bekannten Schlüssel; die IP-Adresse wird im Shop ebenfalls als HMAC-SHA256 gebildet und auf 32 Zeichen gekürzt, das Backend von WARP speichert diesen Wert nicht), Marketing-Click-IDs (u. a. gclid, msclkid, fbclid, ttclid, soluteclid, adcell_bid, awin_awc, geizhals_emid), UTM-Parameter, Referrer und Seiten-URL sowie Bestell- und Umsatzdaten (Bestellnummer, Warenkorbwert, Währung). Zweck: Marketing-Attribution (Zuordnung von Bestellungen zu Marketingkanälen) innerhalb eines Attributionsfensters von standardmäßig 30 Tagen. Die Erfassung erfolgt auf „Layer 1" serverseitig, cookie-frei und ohne Zugriff auf das Endgerät; ein separater, einwilligungspflichtiger „Layer 2" (Affiliate-Konversions-Pixel im Browser, im Plugin vorgesehen für AdCell, AWIN und Geizhals) ist gemäß § 8 dieses AVV gesondert geregelt.

(e) Rückschreiben in die Warenwirtschaft (VT-12)
Schreiben von Änderungen, die der Verantwortliche im Panel freigegeben hat (Preise, Artikeltexte, Suchmaschinenfelder, Bestände), in dessen JTL-Wawi. Jeder Schreibvorgang setzt eine ausdrückliche Freigabe des Verantwortlichen je Vorgang voraus; ohne Freigabe schreibt WARP nichts. Die Freigabe ist die dokumentierte Weisung im Sinne des § 4. Vor jedem Schreibvorgang legt WARP einen Sicherungsstand der betroffenen Felder im Backup-Modul an, über den der Verantwortliche den Vorgang zurücknehmen kann. Betroffen sind Artikel-, Preis-, Text- und Bestandsfelder, keine Endkundendaten. Einzelne Schreibwege können in der Beta-Phase abgeschaltet sein (derzeit: Preise).

1.3 Kreis der betroffenen Personen

Von der Verarbeitung nach diesem AVV sind folgende Kategorien betroffener Personen erfasst (Register 12.09.2026):

• Mitarbeitende/Nutzer des Verantwortlichen, soweit deren Daten in den unter § 1.2 genannten Kontexten verarbeitet werden (z. B. IMAP-Postfachzugangsdaten von Mitarbeitenden, VT-10);
• Endkunden des Verantwortlichen — Käufer und Besucher des Onlineshops des Verantwortlichen (VT-9, VT-11);
• Websuchende / Werbe-Empfänger — Personen, deren aggregierte Interaktionen über die vom Verantwortlichen angebundenen Google-Dienste erfasst werden (VT-8);
• Lieferanten des Verantwortlichen, soweit Preis- und Bestandslisten oder die zugehörigen E-Mails Angaben zu Ansprechpartnern enthalten (VT-10).

1.4 Kategorien der Daten

Gegenstand der Verarbeitung sind insbesondere die in der technischen Bestandsaufnahme (Register 12.09.2026) nachgewiesenen Datenkategorien:

• GA4-/Ads-/Search-Console-Metriken (aggregiert: Sessions, Kanal/Quelle/Medium, Gerät, Land/Stadt, Conversions, E-Commerce-Umsatz, Suchbegriffe (search_term/query), Kampagnen-/Property-Kennzahlen) — VT-8;
• Google-Merchant-Produktdaten (keine natürlichen Personen betreffend) — VT-8;
• JTL-Zugangsdaten sowie transient geladene Endkunden-Anzeigedaten (Top-N, nicht bei WARP persistiert) und pseudonyme Endkunden-Umsatzanalytik (RFM/CLV/Churn, referenziert über kKunde) — VT-9;
• IMAP-Postfachzugangsdaten und importierte Lieferanten-/Artikeldaten — VT-10;
• Pseudonymisierte Endkunden-Identitätsmerkmale (HMAC-Hashes), Click-IDs, UTM-/Referrer-/Seitendaten, Bestell- und Umsatzdaten — VT-11;
• Artikel-, Preis-, Text- und Bestandsfelder sowie deren Sicherungsstände für das Rückschreiben, keine Endkundendaten (VT-12).

Die vollständige, tabellarische Auflistung mit Speicherort (Tabelle/Feld) und Beleg ist in ANHANG 1 wiedergegeben.

1.5 Dauer der Verarbeitung

Die Verarbeitung erfolgt für die Dauer des Hauptvertrags. Für die laufende Speicherung gilt das folgende Löschkonzept (F-21). Die Fristen sind die im Löschlauf der Plattform (Modul retention) hinterlegten Werte; der Löschlauf ist gebaut, und diese Fristen sind mit dieser Fassung verbindlich. Bis zur Aktivierung des Löschlaufs gilt jede Frist als Höchstfrist, die WARP manuell nach dem Lösch-Runbook durchsetzt. Zeilen, die die eigene Kundenbeziehung von WARP betreffen (VT-1 bis VT-7), sind zur Vollständigkeit des Löschkonzepts mit aufgeführt.

Nach jeder Wiederherstellung einer Sicherung werden die seit dem Sicherungsstand protokollierten Löschungen manuell erneut ausgeführt (Lösch-Runbook Phase 3), bevor der Betrieb freigegeben wird. Für die Löschung und Rückgabe nach Vertragsende gilt § 11 dieses AVV.

§ 2 Regelungsbereich und Verantwortlichkeit

1. Die Regelungen dieses AVV gelten für alle Tätigkeiten, bei denen Beschäftigte des Auftragsverarbeiters oder von ihm beauftragte Subunternehmer personenbezogene Daten des Verantwortlichen im Sinne des Art. 4 Nr. 2 DSGVO verarbeiten (Auftragsverarbeitung gemäß Art. 28 DSGVO).
2. Der Verantwortliche bleibt im Verhältnis zu den betroffenen Personen im Rahmen der DSGVO allein verantwortlich für die Rechtmäßigkeit der Datenerhebung und -verarbeitung (Art. 4 Nr. 7 DSGVO), insbesondere für die Rechtmäßigkeit der Übermittlung der Daten an den Auftragsverarbeiter sowie für die Rechtmäßigkeit der Verarbeitungszwecke.
3. Klarstellend: Verarbeitungen, in denen WARP nach der technischen Bestandsaufnahme (VT-1 bis VT-7) selbst Verantwortlicher ist, sind nicht Gegenstand dieses AVV.

§ 3 Ort der Datenverarbeitung

Die Verarbeitung erfolgt auf Servern des Auftragsverarbeiters, gehostet bei Hetzner im Rechenzentrum Helsinki, Finnland (HEL1-DC9), Europäische Union. Der Auftragsverarbeitungsvertrag mit Hetzner wurde am 25.07.2026 abgeschlossen (fünf Datenarten, einschließlich der individuellen Kategorie „Lieferanten der Kunden des Auftraggebers"). Offsite-Sicherungskopien sind auf einer Hetzner Storage Box in Deutschland vorgesehen (ANHANG 3, Nr. 2). Eine Verarbeitung außerhalb der Europäischen Union / des Europäischen Wirtschaftsraums erfolgt nur im Rahmen der in § 9 genannten Sub-Auftragsverarbeiter bzw. in den in ANHANG 3 gelisteten Fällen und nur unter den dort genannten Voraussetzungen.

Hinweis: Die für den Versand transaktionaler System-E-Mails eingesetzten IONOS-Mailserver liegen in Deutschland/EU (siehe ANHANG 3). Frühere Annahmen zum Hosting-Standort sind überholt; maßgeblich ist ausschließlich der EU-Standort Helsinki, Finnland.

§ 4 Weisungsrecht des Verantwortlichen

1. Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen, soweit er nicht gemäß Art. 28 Abs. 3 lit. a DSGVO durch das Unionsrecht oder das Recht der Mitgliedstaaten, dem der Auftragsverarbeiter unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Verantwortlichen diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht verbietet.
2. Die Weisungen des Verantwortlichen ergeben sich zunächst aus diesem AVV. Weitergehende Einzelweisungen (z. B. zu Konfiguration, Umfang oder Löschung einzelner Datensätze) kann der Verantwortliche über die vertraglich vorgesehenen Kanäle der Plattform (Konfigurationsoberflächen, Support-Kontakt support@wawihub.de) erteilen. Der Auftragsverarbeiter dokumentiert die ihm erteilten Weisungen in geeigneter Form.
3. Hält der Auftragsverarbeiter eine Weisung des Verantwortlichen für rechtswidrig oder für einen Verstoß gegen die DSGVO oder andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten, informiert er den Verantwortlichen unverzüglich hierüber. Der Auftragsverarbeiter ist berechtigt, die Durchführung der betreffenden Weisung bis zu ihrer Bestätigung oder Änderung durch den Verantwortlichen auszusetzen.
4. Der Verantwortliche ist berechtigt, jederzeit angemessene Nachweise über die Einhaltung dieses AVV vom Auftragsverarbeiter anzufordern (siehe auch § 12).

§ 5 Vertraulichkeit

1. Der Auftragsverarbeiter gewährleistet, dass die mit der Verarbeitung der personenbezogenen Daten befassten Personen zur Vertraulichkeit verpflichtet wurden oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b, 29 DSGVO). Der Auftragsverarbeiter wird als Einzelunternehmen geführt; administrativer Zugriff auf Server und Produktionsdatenbank besteht ausschließlich beim Inhaber (siehe ANHANG 2).
2. Die Verpflichtung zur Vertraulichkeit besteht auch nach Beendigung der Tätigkeit für den Auftragsverarbeiter bzw. nach Beendigung dieses AVV fort.
3. Personenbezogene Daten dürfen nur im Rahmen der jeweiligen Aufgabenerfüllung und ausschließlich zu den in § 1 genannten Zwecken zugänglich gemacht werden (Kenntnis-nur-wenn-nötig-Prinzip).

§ 6 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Der Auftragsverarbeiter trifft die in ANHANG 2 dokumentierten technischen und organisatorischen Maßnahmen (TOM), um ein dem Risiko angemessenes Schutzniveau zu gewährleisten. ANHANG 2 enthält Maßnahmen, die im Code- und Konfigurationsstand belegt sind (Code-Stand f1cf3bc7), sowie die verifizierten Betriebsmaßnahmen (TLS, RLS-Produktivstatus, Zugriffskontrolle, Sicherungen) nach dem Register 12.09.2026.
2. Mandantentrennung (Produktivstatus RLS). Die datenbankseitig erzwungene Mandantentrennung (FORCE ROW LEVEL SECURITY mit fail-closed-Policy, siehe ANHANG 2) ist im Quellcode vorhanden, durch eine eigene Testsuite verifiziert und wurde am 23.07.2026 auf der produktiv betriebenen Datenbank verifiziert (67 von 67 Tabellen mit RLS; Quelle: DATENBANK-ISOLATIONS-AUDIT-2026-07-23.md). Eine routinemäßige erneute Verifikation vor bzw. bei Aufnahme des Echtbetriebs mit jedem weiteren Mandanten wird empfohlen.
3. Belegte Betriebsmaßnahmen (Stand 12.09.2026):
   • Transportverschlüsselung TLS 1.3 (AES-256-GCM) mit gültigen Let's-Encrypt-Zertifikaten und aktiver automatischer Erneuerung (certbot), gemessen und bestanden (F-17);
   • Zugriffskontrolle: administrativer Zugriff auf Server und Produktionsdatenbank ausschließlich durch den Inhaber (F-22);
   • Zugangsdaten der Kunden (JTL, IMAP, Google, KI-Schlüssel) mandantenbezogen Fernet-verschlüsselt gespeichert; Passwörter der Nutzer nur als Hash;
   • Login-Schutz: HMAC aus E-Mail und IP als Zählerschlüssel, gestufte Sperre 15 Minuten, 60 Minuten, höchstens 4 Stunden, Rücksetzung nach 24 Stunden.
4. Sicherungen und Geheimnisverwaltung (F-19, F-20, F-21):
   • anwendungsinterne Sicherungen (vor größeren Änderungsvorgängen und für das Rückschreiben) sind Fernet-verschlüsselt und werden nach 90 Tagen gelöscht;
   • Datenbanksicherungen auf dem Host laufen täglich um 03:30 Uhr (warp-saas-backup.timer); vorgehalten werden 14 tägliche und 8 wöchentliche Stände auf dem Server selbst, nicht gesondert verschlüsselt, Zugriff ausschließlich über den administrativen Zugang des Inhabers;
   • eine Offsite-Sicherung auf einer Hetzner Storage Box (Deutschland, EU) ist vorgesehen; die Stände werden vor der Übertragung verschlüsselt, der Schlüssel liegt nie auf dem Server; der AV-Vertrag mit Hetzner gilt auf Kontoebene mit (ANHANG 3, Nr. 2);
   • der Verschlüsselungsschlüssel (ENCRYPTION_KEY) und weitere Geheimnisse liegen in Konfigurationsdateien auf dem Server, auf die ausschließlich der Inhaber Zugriff hat;
   • das Admin-Audit (Akteur, Mandant, Aktion, Pfad, Status, IP) wird 365 Tage aufbewahrt und danach durch den Löschlauf gelöscht (§ 1.5).
5. Der Auftragsverarbeiter ist berechtigt, die TOM anzupassen, solange das vereinbarte Schutzniveau nicht unterschritten wird; wesentliche Änderungen sind dem Verantwortlichen mitzuteilen.

§ 7 Unterstützung des Verantwortlichen

1. Rechte betroffener Personen. Der Auftragsverarbeiter unterstützt den Verantwortlichen im Rahmen seiner Möglichkeiten bei der Beantwortung von Anträgen betroffener Personen auf Ausübung ihrer Rechte (Art. 15–22 DSGVO), soweit diese Anträge Daten betreffen, die der Auftragsverarbeiter im Auftrag des Verantwortlichen verarbeitet. Der konkrete Prozess (Fristen, Zuständigkeiten, technische Umsetzung je Datenkategorie) ist in BETROFFENENRECHTE-PROZESS.md beschrieben und wird durch Verweis Bestandteil der praktischen Umsetzung dieses AVV. Eingangskanal für datenschutzrechtliche Anfragen ist das Postfach datenschutz@wawihub.de. Für Attributionsereignisse (warp_attribution_events) besteht derzeit kein Werkzeug zur Löschung einzelner Personen; diese Löschungen führt WARP manuell nach dem Lösch-Runbook aus, bis ein Werkzeug vorhanden ist (F-35). Auskunftsersuchen stellt WARP derzeit manuell aus mehreren Tabellen zusammen; ein Self-Service-Export ist Betriebsaufgabe (F-36, Register 12.09.2026).
2. Meldung von Datenschutzverletzungen (Art. 33/34 DSGVO). Der Auftragsverarbeiter meldet dem Verantwortlichen jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten, die im Rahmen dieses AVV verarbeitete Daten betrifft, unverzüglich, spätestens jedoch 48 Stunden nach Kenntnis, damit der Verantwortliche seiner Meldepflicht gegenüber der Aufsichtsbehörde binnen 72 Stunden (Art. 33 Abs. 1 DSGVO) nachkommen kann. Die Meldung enthält, soweit dem Auftragsverarbeiter bekannt, mindestens die Angaben nach Art. 33 Abs. 3 DSGVO. Der interne Prozess von WARP für Datenschutzverletzungen ist als Ablauf eingerichtet: Erkennen, Eindämmen, Bewerten, Meldung an den Verantwortlichen binnen 48 Stunden, Dokumentation des Vorfalls und der getroffenen Maßnahmen (F-25).
3. Datenschutz-Folgenabschätzung (Art. 35 DSGVO). Für die RFM-, CLV- und Churn-Auswertungen (VT-9) wurde eine Schwellwertanalyse durchgeführt. Eine Datenschutz-Folgenabschätzung ist derzeit nicht erforderlich, weil keine Klarnamen dauerhaft gespeichert werden und die Auswertung ausschließlich der Steuerung des eigenen Geschäfts des Verantwortlichen dient; bei einer Änderung des Umfangs der Verarbeitung wird die Bewertung erneuert (F-42). Soweit der Verantwortliche für eigene Verarbeitungen, insbesondere den Einsatz des WARP-Pixels in seinem Onlineshop, zur Durchführung einer Datenschutz-Folgenabschätzung verpflichtet ist, stellt der Auftragsverarbeiter die hierfür erforderlichen, ihm vorliegenden Informationen (insbesondere zu den TOM gemäß ANHANG 2 sowie zu Art und Umfang der Verarbeitung gemäß ANHANG 1) zur Verfügung.
4. Der Verantwortliche trägt die durch eine Unterstützung nach diesem § 7 entstehenden angemessenen Kosten, soweit im Hauptvertrag nichts anderes vereinbart ist.

§ 8 WARP-Pixel: Consent-Management und § 25 TDDDG

1. Der Verantwortliche ist datenschutz- und telemedienrechtlich allein verantwortlich für die Einbindung des WARP-Pixels in sein Consent-Management-System (CMP) und für die Sicherstellung einer tragfähigen Rechtsgrundlage für jeden Zugriff auf Endgeräte seiner Endkunden im Sinne des § 25 TDDDG. Details und der vom Verantwortlichen umzusetzende Integrations-Baustein sind in PIXEL-HAENDLER-BAUSTEIN.md beschrieben und werden durch Verweis Bestandteil der praktischen Umsetzung dieses AVV.
2. WARP prüft kein eigenes Consent-Flag. Der im Pixel-Code vorgesehene Consent-Snapshot (consent_granted) wird derzeit technisch nicht befüllt (Wert stets null); die Freigabe bzw. Blockierung des Layer-2-Affiliate-Pixels obliegt ausschließlich dem vom Verantwortlichen eingesetzten CMP. Der Auftragsverarbeiter übernimmt insoweit keine Gewähr für die Einwilligungslage und ist nicht verpflichtet, die Rechtmäßigkeit der Datenerhebung auf Endgeräten zu prüfen.
3. Der Layer 1 des WARP-Pixels erfasst serverseitig, cookie-frei und ohne Zugriff auf das Endgerät des Endkunden. Diese Verarbeitung stützt sich auf Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse des Verantwortlichen an der Zuordnung von Bestellungen zu Marketingkanälen) (F-30).
4. Der Layer 2 (Affiliate-Konversions-Pixel, im Plugin vorgesehen für AdCell, AWIN und Geizhals) wird im Browser des Endkunden ausgeführt und überträgt Bestellnummer, Nettobetrag und ggf. Gutscheincodes direkt aus dem Browser des Endkunden an das jeweilige Affiliate-Netzwerk, außerhalb der Infrastruktur und Kontrolle des Auftragsverarbeiters. Er darf nur mit Einwilligung des Endkunden ausgelöst werden, die der Verantwortliche über seine Consent-Lösung einholt und nachweist. Diese Übertragung fällt nicht unter diesen AVV; Verantwortlicher hierfür ist ausschließlich der Händler als Betreiber des Onlineshops.

§ 9 Sub-Auftragsverarbeiter (Art. 28 Abs. 2, Abs. 4 DSGVO)

1. Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, die in ANHANG 3 aufgeführten Sub-Auftragsverarbeiter für die dort genannten Zwecke einzusetzen.
2. Der Auftragsverarbeiter informiert den Verantwortlichen über die Hinzuziehung oder Ersetzung weiterer Sub-Auftragsverarbeiter in Textform rechtzeitig vor der geplanten Änderung. Der Verantwortliche kann der Änderung innerhalb einer Frist von 14 Tagen ab Zugang der Mitteilung aus wichtigem, sachlich begründetem Grund widersprechen.
3. Der Auftragsverarbeiter verpflichtet jeden Sub-Auftragsverarbeiter zu den Datenschutzpflichten, die diesem AVV entsprechen, insbesondere zu hinreichenden Garantien für die Umsetzung geeigneter technischer und organisatorischer Maßnahmen.
4. Rollenverteilung bei Google-Diensten und Stripe (F-14, F-40): Der Verantwortliche ist Verantwortlicher für alle Daten aus seiner Warenwirtschaft, seinen Google-Konten, seinem Onlineshop und von seinen Lieferanten; WARP ist insoweit Auftragsverarbeiter. Für Google Analytics 4, Google Ads, Google Search Console und Google Merchant Center schließt der Verantwortliche die Google-Bedingungen für seine Konten selbst ab; WARP greift ausschließlich mit den vom Verantwortlichen erteilten Zugängen auf diese Konten zu und verarbeitet die abgerufenen Daten auf seine Weisung. Google ist in ANHANG 3 aufgeführt, damit die Kette vollständig dokumentiert ist. Für die eigene Kundenbeziehung zum Verantwortlichen (Nutzerkonto, Rechnung, Zahlungsabwicklung über Stripe) ist WARP selbst Verantwortlicher; diese Verarbeitung ist nicht Gegenstand dieses AVV, Stripe ist in ANHANG 3 informativ aufgeführt.
5. Die von WARP eingesetzten KI-Anbieter (Anthropic, OpenAI, Google Gemini) und der Dienstleister für die Rechnungsschreibung des Betreibers (lexoffice) sind in ANHANG 3 mit Zweck, Ort und Vertragsstatus aufgeführt (F-15, F-16, F-41). Fehlerüberwachungs- oder Statistikdienste Dritter setzt WARP nicht ein.

§ 10 Kontrollrechte des Verantwortlichen

1. Der Verantwortliche hat das Recht, sich vor Beginn der Verarbeitung und regelmäßig während der Vertragsdauer von der Einhaltung der beim Auftragsverarbeiter getroffenen technischen und organisatorischen Maßnahmen zu überzeugen (Art. 28 Abs. 3 lit. h DSGVO).
2. Der Nachweis kann erfolgen durch Vorlage geeigneter, aktueller Nachweise wie z. B. Zertifizierungen, interne Dokumentationen oder — nach vorheriger Anmeldung und unter Wahrung der Betriebs- und Geschäftsgeheimnisse sowie der Sicherheit anderer Kunden des Auftragsverarbeiters — durch Einsichtnahme bzw. Vor-Ort-Kontrollen bzw. Kontrollen durch einen vom Verantwortlichen beauftragten, zur Verschwiegenheit verpflichteten Dritten.
3. Kontrollen sind mit einem Vorlauf von 14 Tagen in Textform anzumelden, finden während der üblichen Geschäftszeiten statt und sind ohne besonderen Anlass auf höchstens eine Kontrolle je Kalenderjahr beschränkt. Die Kosten einer Vor-Ort-Kontrolle trägt der Verantwortliche, soweit im Hauptvertrag nichts anderes vereinbart ist.

§ 11 Löschung und Rückgabe nach Vertragsende (Art. 28 Abs. 3 lit. g DSGVO)

1. Nach Beendigung der Erbringung der Verarbeitungsleistungen ist der Auftragsverarbeiter verpflichtet, nach Wahl des Verantwortlichen sämtliche im Rahmen dieses AVV verarbeiteten personenbezogenen Daten entweder zurückzugeben oder zu löschen, sofern nicht nach dem Unionsrecht oder dem Recht der Mitgliedstaaten eine Verpflichtung zur Speicherung der personenbezogenen Daten besteht.
2. Fristen und Vorgehen (F-23):
   • Export auf Anforderung binnen 30 Tagen ab Beendigung des Hauptvertrags: der Verantwortliche kann in diesem Zeitraum den Export bzw. die Rückgabe seiner Daten verlangen; WARP stellt den Export binnen 30 Tagen nach der Anforderung bereit. Ein Self-Service-Export ist Betriebsaufgabe; bis dahin erfolgt der Export manuell durch den Auftragsverarbeiter (F-36);
   • endgültige Löschung spätestens 60 Tage nach Beendigung des Hauptvertrags, maximal 90 Tage, soweit keine gesetzliche Aufbewahrungspflicht (z. B. für Rechnungsdaten, § 147 AO / § 257 HGB) entgegensteht;
   • das genaue Vorgehen (Format der Rückgabe) wird zwischen den Parteien konkretisiert.
3. Der Auftragsverarbeiter weist dem Verantwortlichen die vollständige Löschung bzw. Rückgabe auf Anfrage nach.
4. Auslauf der Sicherungen (transparent): Die Löschung im Livesystem erfolgt unverzüglich, unabhängig vom Sicherungszyklus. In den anwendungsinternen, Fernet-verschlüsselten Sicherungen (90 Tage) und in den Datenbanksicherungen auf dem Host (14 tägliche und 8 wöchentliche Stände) läuft ein gelöschter Datensatz mit der jeweiligen Rotationsfrist aus. Wird eine Sicherung zurückgespielt, werden die seit dem Sicherungsstand protokollierten Löschungen manuell erneut ausgeführt (Lösch-Runbook Phase 3), bevor der Betrieb freigegeben wird; ein bereits gelöschter Datensatz lebt durch eine Wiederherstellung damit nicht wieder auf (F-38).

§ 12 Nachweis- und Dokumentationspflichten

Der Auftragsverarbeiter stellt dem Verantwortlichen auf Anfrage alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der in Art. 28 DSGVO niedergelegten Pflichten erforderlich sind, und ermöglicht Überprüfungen — einschließlich Inspektionen — durch den Verantwortlichen oder einen von diesem beauftragten Prüfer und trägt zu diesen Überprüfungen bei (Art. 28 Abs. 3 lit. h DSGVO). § 10 gilt entsprechend.

§ 13 Haftung

1. Für die Haftung der Parteien untereinander sowie gegenüber betroffenen Personen und Aufsichtsbehörden gelten die gesetzlichen Regelungen, insbesondere Art. 82 DSGVO, sowie ergänzend die im Hauptvertrag vereinbarten Haftungsregelungen, soweit diese datenschutzrechtlich zulässig sind.
2. Werden gegen eine Partei Ansprüche einer betroffenen Person oder einer Aufsichtsbehörde geltend gemacht, die auf einer Pflichtverletzung der anderen Partei aus diesem AVV beruhen, stellt die verantwortliche Partei die andere Partei insoweit von der Haftung frei, wie sie den Schaden zu vertreten hat.
3. Im Übrigen gilt für die Haftung der Parteien untereinander die Haftungsregelung des Hauptvertrags (AGB § 8). Art. 82 DSGVO bleibt unberührt.

§ 14 Schlussbestimmungen

1. Dieser AVV tritt mit Unterzeichnung durch beide Parteien in Kraft und gilt für die Dauer des Hauptvertrags.
2. Änderungen und Ergänzungen dieses AVV, einschließlich etwaiger Zusicherungen des Auftragsverarbeiters, bedürfen der Textform, soweit nicht in diesem AVV ausdrücklich etwas anderes bestimmt ist (z. B. § 9 Abs. 2 zu Sub-Auftragsverarbeitern).
3. Sollten einzelne Bestimmungen dieses AVV unwirksam sein oder werden, berührt dies die Wirksamkeit der übrigen Bestimmungen nicht.
4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand für alle Streitigkeiten aus diesem AVV ist wie im Hauptvertrag Gifhorn, soweit der Verantwortliche Kaufmann oder juristische Person des öffentlichen Rechts ist.
5. Im Fall von Widersprüchen zwischen diesem AVV und dem Hauptvertrag gilt die Rangregelung in der Präambel.

ANHANG 1 — Verarbeitungsdetails

Grundlage: technische Bestandsaufnahme der Datenflüsse und Register 12.09.2026 (VT-8 bis VT-12, Fristen). Die Rechtsgrundlage für die hier beschriebenen Verarbeitungen legt der Verantwortliche fest; WARP handelt auf seine dokumentierte Weisung (F-39/F-40). Die Speicherdauern entsprechen dem Löschkonzept in § 1.5.

A1.1 VT-8 — Marketing-Analytics-Integrationen (GA4, Google Ads, Search Console, Google Merchant)

Restrisiko (F-32): search_term/query sowie GA4-Geo (Land+Stadt) werden aggregiert verarbeitet und nicht auf einzelne Personen ausgewertet. Ein Namensfilter ist im Code nicht vorhanden. Das verbleibende Risiko, dass eine Suchanfrage personenbezogene Zeichenketten enthält, trägt der Verantwortliche, der die Google-Konten betreibt und deren Auswertung beauftragt.

A1.2 VT-9 — JTL-Wawi-Datenverarbeitung (inkl. Endkunden-Analytik)

A1.3 VT-10 — Lieferanten-/Preislisten-Import (IMAP, Datei-Upload)

A1.4 VT-11 — WARP-Pixel & Attribution (Endkundendaten der Händler)

Attributionsfenster: standardmäßig 30 Tage. Aufbewahrung (F-31): Attributionsereignisse werden 24 Monate aufbewahrt und danach durch den Löschlauf gelöscht; der Verantwortliche wählt diese Frist mit Abschluss dieses AVV, weil Vergleiche über mehr als ein Jahr Bestandteil der Leistung sind. Pseudonymisierung der IP-Adresse (F-29): Die IP-Adresse wird im Shop als HMAC-SHA256 mit einem geheimen, nur im Shop vorhandenen Schlüssel gebildet und auf 32 Zeichen gekürzt; das Backend von WARP speichert diesen Wert nicht.

A1.5 VT-12: Rückschreiben in die Warenwirtschaft

Zweck: Rückschreiben freigegebener Änderungen. Weisung: Jeder Schreibvorgang setzt eine ausdrückliche Freigabe des Verantwortlichen im Panel voraus; die Freigabe ist die dokumentierte Weisung im Sinne des § 4. Vor jedem Schreibvorgang wird ein Sicherungsstand angelegt, über den der Vorgang zurückgenommen werden kann (Undo über das Backup-Modul). Rechtsgrundlage: legt der Verantwortliche fest; WARP handelt auf Weisung. Einzelne Schreibwege können in der Beta-Phase abgeschaltet sein (derzeit: Preise, FEATURE_PRICE_EXECUTE=false).

ANHANG 2 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Im Code belegte Maßnahmen (Code-Stand f1cf3bc7), ergänzt um die verifizierten Betriebsmaßnahmen nach dem Register 12.09.2026.

Hinweis zum RLS-Produktivstatus: Die datenbankseitig erzwungene Mandantentrennung ist im Quellcode vorhanden, testgeprüft und wurde am 23.07.2026 auf der Produktions-Datenbank verifiziert (67/67 Tabellen). Eine routinemäßige erneute Verifikation vor bzw. bei jedem weiteren produktiven Rollout wird empfohlen.

Sicherungen und Geheimnisverwaltung (F-19, F-20, F-21): siehe Nr. 6, 17, 18, 19 und 20 sowie § 6 Abs. 4. Die Anbindung der Offsite-Sicherung und die Aktivierung des Löschlaufs sind Betriebsaufgaben (Register 12.09.2026, B-1 und B-4); bis dahin werden die Fristen aus § 1.5 manuell nach dem Lösch-Runbook durchgesetzt.

ANHANG 3 — Sub-Auftragsverarbeiter

Stand 12.09.2026, Register Abschnitt 2. Nr. 4 und 5 betreffen die eigene Kundenbeziehung von WARP zum Verantwortlichen (Rechnung, Zahlung) und sind zur vollständigen Dokumentation der Kette aufgeführt; Nr. 6 betrifft die Konten des Verantwortlichen, für die er die Google-Bedingungen selbst abschließt (§ 9 Abs. 4).

Fehlerüberwachungs- oder Statistikdienste Dritter setzt WARP nicht ein. Änderungen dieser Liste erfolgen nach § 9 Abs. 2.

Angaben beruhen auf dem Code-Stand f1cf3bc7 und dem Register 12.09.2026 (F-28).