Vertrag zur Auftragsverarbeitung (AVV)

Zwischen dem Kunden von Shopwache (Verantwortlicher) und Fabian Faraz Farid, Einzelunternehmer (LuminaX), Richard-Wagner-Straße 137, 41065 Mönchengladbach (Auftragsverarbeiter). Der Vertrag wird mit der Anmeldung bzw. Buchung geschlossen und gilt, solange der Auftragsverarbeiter personenbezogene Daten für den Kunden verarbeitet.

1. Gegenstand, Art und Zweck

Bereitstellung von Shopwache nach den AGB: Speicherung von Konten, Prüfergebnissen, Herstellerprofilen und Verpackungsdaten, E-Mail-Benachrichtigungen, optional KI-Auswertung hochgeladener Hersteller-Dokumente.

2. Daten und Betroffene

• Nutzer des Kunden: Name (falls angegeben), geschäftliche E-Mail-Adresse, Rolle, Anmeldezeiten.
• Ansprechpartner bei Herstellern und verantwortlichen Personen: Name, Anschrift, E-Mail, Website.
• Personenbezogene Daten, die auf geprüften Produktseiten oder in hochgeladenen Dokumenten stehen (kurze Ausschnitte bzw. KI-Auswertung).

3. Weisungen

Der Auftragsverarbeiter verarbeitet Daten nur auf dokumentierte Weisung des Kunden; Weisungen sind die Nutzung der App, die AGB und dieser Vertrag. Hält er eine Weisung für rechtswidrig, teilt er dies unverzüglich mit.

4. Vertraulichkeit

Alle Personen mit Zugriff sind zur Vertraulichkeit verpflichtet.

5. Technische und organisatorische Maßnahmen

• Verschlüsselte Übertragung (TLS), Passwörter nur als Hash, Anmeldung per E-Mail-Link oder Passwort.
• Datenbank ohne direkten Zugriff aus dem Browser; jede Abfrage ist serverseitig auf die Firma des Nutzers beschränkt.
• Server in Deutschland, Datensicherung alle 6 Stunden mit verschlüsselter Kopie, Zugriff auf Server nur durch den Auftragsverarbeiter mit Schlüssel.
• Datensparsamkeit: hochgeladene PDFs werden nicht gespeichert; IP-Adressen beim Gratis-Check nur als nicht umkehrbarer Kennwert.
• Rollen (Admin, Mitglied), Export und Löschung durch den Kunden selbst.

6. Unterauftragsverarbeiter

Der Kunde stimmt folgenden Unterauftragsverarbeitern zu:

• Contabo GmbH, München (Server für Website, App und Datenbank, Standort Deutschland)
• Cloudflare, Inc. bzw. Cloudflare Germany GmbH (DNS, Schutz vor Angriffen, verschlüsselte Kopie der Datensicherung in der EU)
• Resend (Plus Five Five Inc.), USA (E-Mail-Versand)
• OpenAI Ireland Limited bzw. OpenAI, L.L.C., USA (KI-Funktion, nur bei Nutzung; keine Nutzung zum Training, Aufbewahrung zur Missbrauchserkennung bis zu 30 Tage)
• Stripe Payments Europe Ltd., Irland (Zahlung, eigener Verantwortlicher für Zahlungsdaten)

Änderungen kündigt der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail an; der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen. Übermittlungen in Drittländer erfolgen nur auf Grundlage von Art. 44 ff. DSGVO (Angemessenheitsbeschluss, EU-US Data Privacy Framework oder Standardvertragsklauseln).

7. Unterstützung und Meldungen

Der Auftragsverarbeiter unterstützt den Kunden bei Anfragen Betroffener, Datenschutz-Folgenabschätzungen und Meldepflichten. Verletzungen des Schutzes personenbezogener Daten meldet er unverzüglich, möglichst innerhalb von 24 Stunden nach Kenntnis.

8. Löschung und Rückgabe

Der Kunde kann seine Daten jederzeit exportieren und löschen. Nach Vertragsende löscht der Auftragsverarbeiter alle Daten nach 30 Tagen, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht.

9. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt die zum Nachweis nötigen Informationen bereit und ermöglicht Überprüfungen nach angemessener Vorankündigung zu den üblichen Geschäftszeiten.

10. Schluss

Im Übrigen gelten die AGB. Bei Widersprüchen geht dieser Vertrag in Fragen des Datenschutzes vor.