Rechtliche Informationen

Auftragsverarbeitungsvertrag

Version 2026-07-31 · veröffentlicht am 31.07.2026, 13:24

Vereinbarung zur Auftragsverarbeitung

Version: `[VERSION]` Stand: `[DATUM]`

Diese Vereinbarung zur Auftragsverarbeitung nach Art. 28 DSGVO gilt zwischen dem Kunden als Verantwortlichem und der `[ANBIETER_NAME] GmbH` als Auftragsverarbeiter für die Nutzung von LagerFlow.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten im Rahmen der Bereitstellung, Wartung und Unterstützung von LagerFlow.

Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Nach Vertragsende gelten die vereinbarten Aufbewahrungs-, Export- und Löschfristen.

2. Art und Zweck der Verarbeitung

Die Verarbeitung dient der Bereitstellung einer SaaS-Anwendung für Lager-, Bestands- und Bestellverwaltung.

Verarbeitungstätigkeiten können insbesondere sein:

Speichern, Anzeigen, Ändern und Löschen von Betriebs- und Nutzerdaten
Verwaltung von Artikeln, Lagern, Lieferanten, Beständen, Bewegungen und Bestellungen
Versand und Protokollierung von Bestell-E-Mails
Benutzer- und Rechteverwaltung
technische Protokollierung, Fehleranalyse und Sicherheitsmaßnahmen
Support nach Weisung des Kunden
Backup, Wiederherstellung und Wartung

3. Kategorien personenbezogener Daten

Je nach Nutzung können verarbeitet werden:

Stammdaten von Mitarbeitern und Nutzern
Login- und Kontaktdaten
Rollen, Berechtigungen und Aktivitätsdaten
Lieferanten- und Ansprechpartnerdaten
Bestell-, Lagerbewegungs- und Kommunikationsdaten
technische Protokoll-, Sicherheits- und Aktivitätsdaten
Firmenlogos und Artikelbilder, soweit Personenbezug besteht

4. Kategorien betroffener Personen

Betroffene Personen können insbesondere sein:

Mitarbeiter und Nutzer des Kunden
Betriebsinhaber und Administratoren
Lieferanten, Ansprechpartner und sonstige Geschäftspartner des Kunden
Personen, deren Daten der Kunde in Freitextfeldern, Bestellungen oder E-Mail-Inhalten verarbeitet

5. Weisungen des Kunden

Der Anbieter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, soweit keine gesetzliche Pflicht zur Verarbeitung besteht.

Die Nutzung der Anwendung, Einstellungen im System und Supportanfragen gelten als Weisungen im Rahmen des vereinbarten Leistungsumfangs.

Der Anbieter informiert den Kunden, wenn eine Weisung nach Auffassung des Anbieters gegen Datenschutzrecht verstößt, soweit dies rechtlich zulässig ist.

Übermittlungen personenbezogener Daten in ein Drittland oder an eine internationale Organisation erfolgen nur auf dokumentierte Weisung des Kunden oder soweit dies nach anwendbarem Recht erforderlich ist. In diesem Fall informiert der Anbieter den Kunden vorab, soweit das Recht dies zulässt.

6. Vertraulichkeit

Der Anbieter stellt sicher, dass mit der Verarbeitung befasste Personen zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

7. Technische und organisatorische Maßnahmen

Der Anbieter trifft angemessene technische und organisatorische Maßnahmen zum Schutz personenbezogener Daten. Die jeweils aktuelle TOM-Dokumentation ist unter `[TOM_URL]` abrufbar oder wird dem Kunden auf Anfrage bereitgestellt.

Aktuelle Maßnahmen umfassen insbesondere:

betrieblich getrennte Datenverarbeitung über betriebsspezifische Datenzugriffe
systemseitige Rechteprüfung
geschützte Passwortspeicherung nach anerkannten Sicherheitsverfahren
geschützte Speicherung von Zugangsdaten für angebundene E-Mail-Dienste
geschützte Auslieferung von Artikelbildern und Firmenlogos
Protokollierung relevanter Admin-, Support- und Sicherheitsereignisse
rollen- und berechtigungsbasierte Zugriffsbeschränkung
TLS-geschützter Zugriff auf die Anwendung
Daten- und Dateisicherungen im Rahmen des Betriebsprozesses
Aufbewahrungs- und Löschkonzept für Betriebsdaten

Der Anbieter darf TOMs aktualisieren, wenn dies wegen technischer Entwicklung, Sicherheitsverbesserungen, organisatorischer Änderungen oder geänderter Dienstleister erforderlich oder sinnvoll ist. Das Schutzniveau darf dadurch insgesamt nicht wesentlich unterschritten werden.

Wesentliche Verschlechterungen des Schutzniveaus werden dem Kunden mit angemessener Frist mitgeteilt. Rechte des Kunden aus dieser Vereinbarung bleiben unberührt.

8. Unterauftragsverarbeiter

Der Anbieter darf Unterauftragsverarbeiter einsetzen, soweit diese sorgfältig ausgewählt und vertraglich angemessen verpflichtet werden.

Wesentliche Kategorien sind:

Hosting- und Infrastruktur-Dienstleister, insbesondere Hetzner Online GmbH
Zahlungsdienstleister und Abonnement-Infrastruktur, insbesondere Stripe, soweit eine Auftragsverarbeitung vorliegt
E-Mail-Dienstleister, soweit vom Anbieter eingesetzt
technische Dienstleister für Wartung, Support und Betrieb

Vom Kunden selbst konfigurierte E-Mail-Dienstleister werden durch den Kunden ausgewählt und verantwortet.

Der Anbieter informiert den Kunden über wesentliche Änderungen bei Unterauftragsverarbeitern. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

Eine konkrete Liste der Unterauftragsverarbeiter mit Name, Sitz, Leistung und Drittlandbezug wird als Anlage geführt.

9. Unterstützung des Kunden

Der Anbieter unterstützt den Kunden im angemessenen Umfang bei:

Anfragen betroffener Personen
Berichtigung, Löschung oder Export von Daten
Datenschutz-Folgenabschätzungen, soweit LagerFlow betroffen ist
Nachweisen zur Einhaltung dieser Vereinbarung

Der Anbieter kann hierfür ein angemessenes Entgelt verlangen, soweit die Unterstützung über den vereinbarten Leistungsumfang hinausgeht.

10. Sicherheit und Datenschutzvorfälle

Der Anbieter informiert den Kunden unverzüglich, wenn dem Anbieter eine Verletzung des Schutzes personenbezogener Daten bekannt wird, die Daten des Kunden betrifft.

Die Meldung enthält, soweit verfügbar, Art des Vorfalls, betroffene Datenkategorien, mögliche Folgen und ergriffene oder vorgeschlagene Maßnahmen.

11. Löschung und Rückgabe

Nach Vertragsende werden Daten nach Wahl des Kunden zurückgegeben oder gelöscht, soweit keine gesetzlichen Pflichten oder berechtigten Aufbewahrungsgründe entgegenstehen.

Aktuelles technisches Löschkonzept:

90 Tage Reaktivierungs-/Exportfrist nach Vertragsende
ab 120 Tagen Löschprozess für gekündigte oder gesperrte Betriebe
Entfernung von Betriebsdaten, Abrechnungsdaten, Support-Sitzungen, Rechtstext-Annahmen, E-Mail-Einstellungen, Protokolleinträgen mit Betriebsbezug, Firmenlogo und Artikelbildern
Benutzer ohne weitere Betriebsmitgliedschaft und ohne besondere Administrationsrolle können mit gelöscht werden

Backups können technisch verzögert gelöscht oder überschrieben werden. Ein Zugriff aus Backups erfolgt nur im Rahmen von Wiederherstellung, Sicherheit oder gesetzlichen Pflichten.

12. Kontrollen und Nachweise

Der Anbieter stellt dem Kunden auf Anfrage angemessene Informationen zum Nachweis der Einhaltung dieser Vereinbarung bereit.

Vor-Ort-Kontrollen sind nur nach vorheriger Abstimmung, mit angemessener Frist, während üblicher Geschäftszeiten und unter Wahrung von Sicherheit, Vertraulichkeit und Rechten anderer Kunden möglich.

13. Schlussbestimmungen

Bei Widersprüchen zwischen dieser Vereinbarung und sonstigen Vertragsunterlagen gehen die datenschutzrechtlichen Regelungen dieser Vereinbarung vor, soweit sie die Auftragsverarbeitung betreffen.

Im Übrigen gelten die AGB und der Hauptvertrag.

Anlage: Unterauftragsverarbeiter

Die konkrete Liste der Unterauftragsverarbeiter ist vor Veröffentlichung final zu prüfen und aktuell zu halten.

| Unterauftragsverarbeiter | Sitz | Leistung | Drittlandbezug | | --- | --- | --- | --- | | Hetzner Online GmbH | Deutschland, Gunzenhausen | Hosting, Serverinfrastruktur und technische Betriebsgrundlage | Kein Drittlandbezug nach aktuellem Stand vorgesehen | | Stripe Payments Europe Limited und verbundene Stripe-Gesellschaften | Irland, Dublin / ggf. weitere Standorte | Zahlungsabwicklung, Abonnementverwaltung, Rechnungen und Zahlungsdatenverwaltung, soweit als Auftragsverarbeitung einzuordnen | Drittlandbezug kann insbesondere durch verbundene Unternehmen und Unterauftragsverarbeiter nicht ausgeschlossen werden |