Auftragsverarbeitungsvertrag (AVV)

Dieser Vertrag zur Auftragsverarbeitung nach Art. 28 Datenschutz-Grundverordnung (DSGVO) („AVV“) ist Bestandteil der Nutzungsbedingungen von OrbitOS. Er wird zwischen dem Unternehmen, das OrbitOS nutzt („Kunde“, Verantwortlicher), und der WhiteLion GmbH, Dorfstraße 80/81, 19348 Düpow („Auftragsverarbeiter“), geschlossen. Der Abschluss erfolgt elektronisch (Art. 28 Abs. 9 DSGVO) durch Zustimmung bei der Registrierung bzw. in der App. Im Fall von Widersprüchen geht dieser AVV den Nutzungsbedingungen in Fragen des Datenschutzes vor.

1. Gegenstand und Dauer

Gegenstand ist die Verarbeitung personenbezogener Daten durch den Auftragsverarbeiter im Auftrag des Kunden bei der Bereitstellung der Software-as-a-Service-Anwendung OrbitOS. Der AVV gilt für die Dauer des Nutzungsvertrags und darüber hinaus, solange der Auftragsverarbeiter personenbezogene Daten des Kunden verarbeitet.

2. Art, Zweck und Umfang der Verarbeitung

Der Auftragsverarbeiter verarbeitet die Daten ausschließlich, um dem Kunden die vereinbarten Funktionen von OrbitOS bereitzustellen: Synchronisation, Speicherung, Aggregation und Auswertung der Daten aus den vom Kunden verbundenen Diensten, Darstellung in Dashboards und Berichten, KI-gestützte Analysen und Inhalte sowie Support.

Arten personenbezogener Daten

• Bestelldaten aus Shop-Systemen (Shopify, WooCommerce): Bestell-, Artikel-, Zahlungs- und Versandangaben, die pseudonyme Kunden-ID des Shops und das Lieferland. Kontaktdaten von Käufern (z. B. Name, E-Mail-Adresse, Anschrift) werden nicht gespeichert.
• Werbe- und Marketingdaten (Meta Ads, Google Ads, Klaviyo, Omnisend): Konto-, Kampagnen- und Anzeigendaten sowie zusammengefasste Kennzahlen, keine Profile einzelner Empfänger.
• Nutzerdaten des Kunden: Namen und E-Mail-Adressen der Nutzer und Team-Mitglieder des Kunden, Rollen, Einstellungen.
• Vom Kunden eingebrachte Inhalte: manuelle Eingaben, hochgeladene Bilder und Dateien, Nachrichten im Support-Chat, Produkt- und Markenangaben.

Kategorien betroffener Personen

• Käufer bzw. Endkunden des Kunden (pseudonym, über die Kunden-ID des Shops)
• Nutzer, Beschäftigte und Team-Mitglieder des Kunden
• Personen, die in vom Kunden hochgeladenen Inhalten vorkommen

Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) werden nicht im Auftrag verarbeitet; der Kunde stellt sicher, dass er solche Daten nicht in OrbitOS einbringt.

3. Weisungen des Kunden

Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden. Diese Weisungen sind abschließend durch die Nutzungsbedingungen, diesen AVV und die Einstellungen und Aktionen des Kunden in der App festgelegt (z. B. Verbinden oder Trennen von Diensten, Löschen von Daten). Weitere Weisungen erteilt der Kunde in Textform an service@whitelion-agency.de. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, teilt er dies unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen. Eine Verarbeitung für eigene Zwecke des Auftragsverarbeiters findet nicht statt; ausgenommen sind anonymisierte, nicht auf den Kunden oder einzelne Personen rückführbare Statistiken zur Sicherstellung und Verbesserung des Betriebs.

4. Vertraulichkeit

Der Auftragsverarbeiter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt ihnen Zugriff nur, soweit dies für ihre Aufgaben (Betrieb, Support, Kundenbetreuung) erforderlich ist.

5. Technische und organisatorische Maßnahmen

Der Auftragsverarbeiter trifft die in Anlage 1 beschriebenen technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO. Er darf sie weiterentwickeln, sofern das Schutzniveau nicht unterschritten wird.

6. Unterauftragsverarbeiter

Der Kunde erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt. Über beabsichtigte Änderungen informiert der Auftragsverarbeiter mindestens 14 Tage im Voraus in der App oder per E-Mail. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen; kommt keine Einigung zustande, kann er den Vertrag zum Zeitpunkt der Änderung kündigen. Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Pflichten auf, die diesem AVV im Wesentlichen entsprechen.

7. Übermittlung in Drittländer

Eine Verarbeitung außerhalb der EU bzw. des EWR erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind — insbesondere auf Grundlage eines Angemessenheitsbeschlusses (z. B. EU-U.S. Data Privacy Framework für zertifizierte Anbieter) oder der EU-Standardvertragsklauseln (Art. 46 Abs. 2 lit. c DSGVO) samt erforderlicher ergänzender Maßnahmen.

8. Unterstützung des Kunden

Der Auftragsverarbeiter unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung der Rechte betroffener Personen (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei Konsultationen der Aufsichtsbehörde (Art. 32–36 DSGVO). Wendet sich eine betroffene Person direkt an den Auftragsverarbeiter, leitet er die Anfrage unverzüglich an den Kunden weiter. Löschanfragen zu einzelnen Käufern setzt der Auftragsverarbeiter auf Weisung des Kunden um.

9. Verletzungen des Schutzes personenbezogener Daten

Der Auftragsverarbeiter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 72 Stunden nach Kenntnis, an die im Konto hinterlegte E-Mail-Adresse. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO und wird bei neuen Erkenntnissen ergänzt. Der Auftragsverarbeiter ergreift unverzüglich Maßnahmen zur Eindämmung und Behebung.

10. Löschung und Rückgabe nach Vertragsende

Nach Ende des Vertrags bewahrt der Auftragsverarbeiter die im Auftrag verarbeiteten Daten weiter auf, damit der Kunde sein Konto ohne Datenverlust wieder aktivieren kann. Der Kunde kann jederzeit — auch nach Vertragsende — in Textform verlangen, dass die Daten gelöscht oder ihm zuvor in einem gängigen, maschinenlesbaren Format herausgegeben werden; der Auftragsverarbeiter setzt dies innerhalb von 30 Tagen um. Ohne ein solches Verlangen werden die aus verbundenen Diensten abgerufenen Einzeldaten (z. B. Bestellungen, Produkte, Kampagnen- und Anzeigendaten) samt Zugangsdaten 24 Monate nach Vertragsende automatisch gelöscht; als Vertragsende gilt das Ende der letzten Vertragslaufzeit bzw. der letzten Nutzung des Kontos, je nachdem, was später liegt. Übrige im Auftrag verarbeitete Inhalte werden innerhalb derselben Frist gelöscht, sofern keine gesetzliche Pflicht zur Speicherung besteht. Datensicherungen beim Hosting-Anbieter werden im Rahmen der regulären Rotation überschrieben. Trennt der Kunde einen verbundenen Dienst, werden die zugehörigen Daten gemäß den Funktionen der App gelöscht.

11. Nachweise und Kontrollen

Der Auftragsverarbeiter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses AVV erforderlichen Informationen zur Verfügung, insbesondere eine aktuelle Beschreibung der Maßnahmen nach Anlage 1 und Nachweise seiner Unterauftragsverarbeiter (z. B. Zertifizierungen). Darüber hinausgehende Überprüfungen, einschließlich Inspektionen, sind nach Anmeldung mit einer Frist von mindestens 30 Tagen während der üblichen Geschäftszeiten, ohne Störung des Betriebs und unter Wahrung der Vertraulichkeit gegenüber anderen Kunden zulässig, höchstens einmal jährlich, es sei denn, es liegt ein konkreter Anlass vor. Der Kunde trägt die Kosten seiner Überprüfungen.

12. Haftung und Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln der Nutzungsbedingungen. Änderungen dieses AVV werden wie Änderungen der Nutzungsbedingungen mitgeteilt und bedürfen der Zustimmung des Kunden in der App. Sollte eine Bestimmung unwirksam sein, bleibt der übrige AVV wirksam. Es gilt deutsches Recht.

Anlage 1 — Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Vertraulichkeit

• Zutrittskontrolle: Betrieb ausschließlich in Rechenzentren der Hosting-Anbieter (Anlage 2) mit deren physischen Sicherheitsmaßnahmen; keine eigenen Server.
• Zugangskontrolle: persönliche, passwortgeschützte Konten; Passwörter werden nur verschlüsselt gespeichert und müssen Mindestanforderungen erfüllen.
• Zugriffskontrolle: Mandantentrennung auf Datenbankebene — jeder Kunde sieht nur seine eigenen Daten. Rollenkonzept; Zugriff von Mitarbeitern auf Kundendaten nur, soweit für Betrieb, Support und Betreuung erforderlich. Zugangsschlüssel werden ausschließlich serverseitig verwendet.
• Datenminimierung: Von Käufern werden nur pseudonyme Kunden-ID und Lieferland gespeichert; Kontaktdaten werden vor der Speicherung entfernt. Verbindungen zu Werbekonten mit lesendem Zugriff.
• Vertrauliche Dateien werden nur zugriffsgeschützt bereitgestellt.

Integrität

• Übertragung ausschließlich verschlüsselt.
• Eingehende Datenübermittlungen von Partnerdiensten werden auf Echtheit geprüft; automatisierte Prozesse sind gegen unbefugten Aufruf geschützt.
• Änderungen an der Anwendung werden versioniert und nachvollziehbar ausgerollt.

Verfügbarkeit und Belastbarkeit

• Hosting bei etablierten Cloud-Anbietern mit redundanter Infrastruktur; Verschlüsselung der gespeicherten Daten und Datensicherung durch den Datenbank-Anbieter.
• Überwachung der Datenabrufe und automatisierten Prozesse.

Verfahren zur regelmäßigen Überprüfung

• Dokumentation der Verarbeitungen und Datenflüsse; Prüfung bei jeder Änderung.
• Prüfung und Auswahl von Unterauftragsverarbeitern nach Datenschutzkriterien.
• Festgelegter Ablauf zur Meldung und Behandlung von Datenschutzverletzungen.

Anlage 2 — Unterauftragsverarbeiter

• Supabase Inc. (USA) — Datenbank, Authentifizierung, Dateispeicher. Speicherort: Frankfurt am Main. Übermittlung in die USA nur im Rahmen von Support und Betrieb; Garantien: Standardvertragsklauseln.
• Vercel Inc. (USA) — Hosting der Anwendung; Verarbeitung in Frankfurt am Main, weltweite Auslieferung öffentlicher Inhalte. Garantien für Zugriffe aus den USA: Standardvertragsklauseln bzw. Data Privacy Framework.
• OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C., USA) — KI-Funktionen (Analysen, Texte, Zusammenfassungen, Support) aus Produkt-, Marken- und Kennzahlenangaben bzw. Nachrichteninhalten, keine Käuferdaten. Garantien: Standardvertragsklauseln bzw. Data Privacy Framework.
• Anthropic PBC (USA) — KI-Gestaltung von Produktseiten aus Produktangaben. Garantien: Standardvertragsklauseln bzw. Data Privacy Framework.
• Google (Google Ireland Ltd. / Google LLC, USA) — KI-Erstellung von Werbemitteln und Texten aus Marken-, Produkt- und Bildangaben. Garantien: Standardvertragsklauseln bzw. Data Privacy Framework.
• Resend, Inc. (USA) — E-Mail-Versand. Garantien: Standardvertragsklauseln bzw. Data Privacy Framework.

Die vom Kunden selbst verbundenen Dienste (z. B. Shopify, WooCommerce, Meta, Google Ads, Klaviyo, Omnisend) sind keine Unterauftragsverarbeiter des Auftragsverarbeiters; ihre Nutzung richtet sich nach den Verträgen des Kunden mit diesen Anbietern.