Vertrag zur Auftragsverarbeitung

1. Parteien und Gegenstand

Diese Vereinbarung gilt zwischen dem Kunden, der max.dash nutzt (Verantwortlicher, im Folgenden „Auftraggeber“), und der Schade Trade LTD, Theodorou Kolokotroni 8, 504, 6017 Larnaka, Zypern (Auftragsverarbeiter, im Folgenden „Auftragnehmer“).

Der Auftragnehmer stellt dem Auftraggeber max.dash bereit, eine Software zur Auswertung von Daten aus dem Lagersystem des Auftraggebers. Dafür liest der Auftragnehmer Daten aus dem Lagersystem des Auftraggebers, speichert sie in einer eigenen Instanz für den Auftraggeber und stellt Auswertungen, Dashboards, ein Kundenportal und die gebuchten Bausteine bereit. Die Vereinbarung gilt für die Dauer des Hauptvertrags über die Nutzung von max.dash.

2. Art der Daten und betroffene Personen

Verarbeitet werden, je nach Anbindung und gebuchtem Umfang:

• Auftrags-, Versand-, Bestands-, Retouren- und Wareneingangsdaten aus dem Lagersystem, einschließlich Name und Lieferadresse von Endkunden, soweit sie in diesen Daten enthalten sind
• Stammdaten der Händler des Auftraggebers und ihrer Ansprechpartner
• Daten der Beschäftigten des Auftraggebers: Benutzerkennung im Lagersystem, Name, Buchungen beim Picken und Packen, Leistungskennzahlen sowie, bei angebundener Zeiterfassung, Schichten und Arbeitszeiten
• Zugangsdaten und Protokolle der Nutzer von max.dash und des Kundenportals

Betroffen sind Beschäftigte des Auftraggebers, seine Händler und deren Ansprechpartner sowie die Endkunden der Händler.

3. Weisungen

Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers. Als Weisung gelten der Hauptvertrag, diese Vereinbarung und die Einstellungen, die der Auftraggeber in max.dash vornimmt, etwa Rechte, Ausblendungen und Aufbewahrungsfristen. Hält der Auftragnehmer eine Weisung für rechtswidrig, teilt er dies dem Auftraggeber unverzüglich mit.

4. Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen, und gewährt ihnen Zugriff nur, soweit es für die Leistung erforderlich ist.

5. Technische und organisatorische Maßnahmen

Der Auftragnehmer trifft geeignete Maßnahmen nach Art. 32 DSGVO, insbesondere:

• Betrieb in einem Rechenzentrum in Deutschland
• eine eigene Instanz mit eigener Datenbank für jeden Auftraggeber
• ausschließlich lesender Zugriff auf das Lagersystem des Auftraggebers
• verschlüsselte Verbindungen auf allen Übertragungswegen
• nächtliche, verschlüsselte Datensicherung mit Kopie außerhalb des Rechenzentrums und getesteter Wiederherstellung
• Rechte je Nutzer und Bereich, Protokollierung von Rechteänderungen, zweiter Faktor für Administratoren
• Leistungsdaten von Beschäftigten nur für ausdrücklich freigeschaltete Nutzer
• einstellbare Aufbewahrungsfristen mit protokollierter Löschung
• Sicherheitsprüfung vor der Freigabe neuer Funktionen

Der Auftragnehmer passt die Maßnahmen dem Stand der Technik an. Das Schutzniveau darf dabei nicht sinken.

6. Unterauftragsverarbeiter

Der Auftraggeber stimmt dem Einsatz folgender Unterauftragsverarbeiter zu:

• Hetzner Online GmbH, Gunzenhausen, Deutschland: Rechenzentrum und Server
• Cloudflare, Inc., San Francisco, USA: vorgeschaltetes Netzwerk und Schutz vor Angriffen
• Resend, Inc., San Francisco, USA: Versand von Berichten und Benachrichtigungen per E-Mail
• Microsoft Ireland Operations Ltd., Dublin, Irland: nur bei Nutzung der App für Microsoft Teams
• Dropbox International Unlimited Company, Dublin, Irland: Ablage der Sicherungskopie außerhalb des Rechenzentrums, ausschließlich verschlüsselt, der Schlüssel liegt allein beim Auftragnehmer

KI-Funktionen sind nur aktiv, wenn der Auftraggeber sie einschaltet. Dabei werden keine Daten von Endkunden und keine Daten von Beschäftigten an einen KI-Anbieter übermittelt. Eingesetzt werden nur Anbieter mit Sitz in der Europäischen Union, die der Auftragnehmer vor dem ersten Einsatz nach diesem Abschnitt ankündigt.

Für Unterauftragsverarbeiter außerhalb der EU stellt der Auftragnehmer ein angemessenes Schutzniveau sicher, über das EU-US Data Privacy Framework oder die EU-Standardvertragsklauseln. Neue oder geänderte Unterauftragsverarbeiter kündigt der Auftragnehmer mindestens 30 Tage vorher in Textform an. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

7. Unterstützung des Auftraggebers

Der Auftragnehmer unterstützt den Auftraggeber bei der Beantwortung von Anfragen betroffener Personen, bei Datenschutz-Folgenabschätzungen und bei der Meldung von Datenschutzverletzungen. Wird dem Auftragnehmer eine Verletzung des Schutzes personenbezogener Daten bekannt, informiert er den Auftraggeber unverzüglich, spätestens innerhalb von 48 Stunden, mit den Angaben, die für eine Meldung nach Art. 33 DSGVO nötig sind.

8. Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber die Informationen zur Verfügung, die zum Nachweis der Pflichten aus dieser Vereinbarung nötig sind, und beantwortet Sicherheitsfragebögen. Prüfungen vor Ort sind nach rechtzeitiger Ankündigung zu den üblichen Geschäftszeiten möglich.

9. Löschung und Rückgabe

Nach Ende des Hauptvertrags stellt der Auftragnehmer dem Auftraggeber auf Wunsch einen Export seiner Daten bereit und löscht anschließend alle Daten des Auftraggebers, spätestens 30 Tage nach Vertragsende. Datensicherungen werden im regulären Rhythmus überschrieben. Gesetzliche Aufbewahrungspflichten bleiben unberührt.

10. Schlussbestimmungen

Für die Haftung gilt Art. 82 DSGVO. Bei Widersprüchen geht diese Vereinbarung dem Hauptvertrag in Fragen des Datenschutzes vor. Änderungen bedürfen der Textform.

Stand: November 2026