Auftragsverarbeitungsvertrag (AVV)

Präambel

Poster Express verarbeitet im Rahmen des Plattformvertrags personenbezogene Daten der Endkundinnen und Endkunden im Auftrag des Copyshops. Dieser Vertrag konkretisiert die beiderseitigen Datenschutzpflichten nach Art. 28 DSGVO.

§ 1 Gegenstand, Art, Zweck und Dauer der Verarbeitung

(1) Gegenstand: Verarbeitung personenbezogener Daten zur Abwicklung der über die Plattform vermittelten Druckaufträge.

(2) Art und Zweck: Bereitstellung des Online-Shops, Entgegennahme und Verwaltung von Bestellungen, Speicherung und Bereitstellung von Druckdateien, Versand auftragsbezogener Benachrichtigungen und Bereitstellung des Dashboards.

(3) Dauer: für die Laufzeit des Plattformvertrags.

(4) Verantwortlicher bleibt der Copyshop. Poster Express verarbeitet die Daten ausschließlich weisungsgebunden und nicht für eigene Zwecke.

§ 2 Art der Daten und Kategorien betroffener Personen

(1) Datenkategorien: E-Mail-Adresse; freiwillig angegebene Mobilfunknummer; hochgeladene Druckdateien und deren Vorschaubilder; bei Geschäftskunden auftragsbezogen Firmenname, ggf. Anschrift und USt-IdNr.; auftragsbezogene Metadaten (Konfiguration, Status, Abholcode). Ein Name der Endkundinnen und Endkunden wird nicht erhoben. Druckdateien können besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) enthalten; die Zulässigkeit dieser Verarbeitung verantwortet der Copyshop.

(2) Betroffene Personen: Endkundinnen und Endkunden des Copyshops.

(Einzelheiten in Anlage 1.)

§ 3 Weisungen des Verantwortlichen

(1) Poster Express verarbeitet die Daten nur auf dokumentierte Weisung des Copyshops, auch hinsichtlich einer Übermittlung in Drittländer, sofern nicht zwingende gesetzliche Vorgaben entgegenstehen; in diesem Fall informiert Poster Express vor der Verarbeitung.

(2) Die bestimmungsgemäße Konfiguration und Nutzung der Plattform gilt als Weisung. Ergänzende Einzelweisungen erfolgen in Textform.

(3) Hält Poster Express eine Weisung für rechtswidrig, informiert es den Copyshop unverzüglich und kann die Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

Poster Express verpflichtet die zur Verarbeitung befugten Personen auf Vertraulichkeit, soweit sie nicht bereits gesetzlich zur Verschwiegenheit verpflichtet sind (Art. 28 Abs. 3 lit. b, Art. 29, 32 Abs. 4 DSGVO).

§ 5 Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Poster Express trifft geeignete technische und organisatorische Maßnahmen, insbesondere:

• Hosting und Objektspeicher in einem Rechenzentrum in Deutschland (Datenresidenz im EWR);
• Transportverschlüsselung (TLS);
• zugriffsbeschränkter, signierter Zugriff auf Druckdateien mit Eigentümerprüfung; die Druckdateien liegen in einem nicht öffentlich zugänglichen Speicherbereich;
• strikte Mandantentrennung (shop-bezogene Datentrennung, technisch durchgesetzt und automatisiert getestet);
• rollenbasierte Zugriffsrechte und ein Team-Rollenmodell;
• gesicherte Authentifizierung (Anmeldelink per E-Mail als Standard für alle Konten, optional ein Passwort je Konto, optional eine Zwei-Faktor-Authentisierung per Authenticator-App; httpOnly-Session, CSRF-Schutz);
• automatische Löschung der Druckdateien 24 Stunden nach Erreichen eines Endstatus;
• Protokollierung von Statusänderungen sowie ein revisionsfähiges Löschprotokoll (ohne Speicherung der gelöschten Daten);
• regelmäßige Datenbanksicherungen (mindestens vor jedem Deployment, Aufbewahrung 14 Tage, Speicherung im EWR).

Einzelheiten und Aktualisierungen in Anlage 1.

§ 6 Unterauftragsverarbeiter

(1) Der Copyshop erteilt die allgemeine Genehmigung zum Einsatz von Unterauftragsverarbeitern. Eingesetzt werden derzeit: Hetzner Online GmbH (Hosting und Infrastruktur, Rechenzentrum in Deutschland) sowie Mailgun (EU-Region) für den E-Mail-Versand. Eine aktuelle Liste führt Poster Express in Anlage 2.

(2) Poster Express verpflichtet Unterauftragsverarbeiter auf gleichwertige Datenschutzpflichten (Art. 28 Abs. 4 DSGVO).

(3) Beabsichtigte Änderungen der Liste teilt Poster Express mindestens vier Wochen vor deren Wirksamwerden in Textform mit. Der Copyshop kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 7 Drittlandübermittlung (USA)

(1) Der für den transaktionalen E-Mail-Versand eingesetzte Unterauftragsverarbeiter Mailgun (Sinch Email / Mailgun Technologies, Inc.) verarbeitet die Daten in der EU-Region. Ein Zugriff der US-amerikanischen Muttergesellschaft Mailgun Technologies, Inc. (USA), insbesondere ein Fernzugriff aus den USA zu Support- und Wartungszwecken, ist nicht ausgeschlossen und stellt eine Übermittlung personenbezogener Daten in ein Drittland (USA) dar. Übermittelt werden dabei die E-Mail-Adresse, ggf. der Name sowie auftrags- und statusbezogene Angaben der Endkundinnen und Endkunden.

(2) Für diese Übermittlung bestehen geeignete Garantien nach Art. 46 DSGVO. Vorrangiger Übermittlungsmechanismus sind die zwischen Poster Express und dem Unterauftragsverarbeiter abgeschlossenen Standardvertragsklauseln gemäß dem Durchführungsbeschluss (EU) 2021/914 der Kommission vom 4. Juni 2021, und zwar in Modul 2 bzw. Modul 3, je nachdem, ob Poster Express insoweit als Verantwortlicher (Modul 2) oder als Auftragsverarbeiter (Modul 3) auftritt.

(3) Ergänzend kann sich die Übermittlung auf die Zertifizierung des Unterauftragsverarbeiters unter dem EU-U.S. Data Privacy Framework (Angemessenheitsbeschluss der Kommission vom 10. Juli 2023) stützen. Entfällt dieser Angemessenheitsbeschluss oder wird er für ungültig erklärt, gelten allein die Standardvertragsklauseln nach Absatz 2 fort; die Übermittlung bleibt auf dieser Grundlage abgesichert.

(4) Die ausgefüllten Anlagen I–III der Standardvertragsklauseln (Anlage I: Parteien und Beschreibung der Übermittlung; Anlage II: technische und organisatorische Maßnahmen; Anlage III: Unterauftragsverarbeiter) sind Bestandteil der zwischen Poster Express und dem Unterauftragsverarbeiter abgeschlossenen Vereinbarung. Poster Express stellt sie dem Copyshop auf Anforderung bereit.

(5) Poster Express wirkt an der vom Copyshop durchzuführenden Übermittlungs-Folgenabschätzung (Transfer Impact Assessment) mit und stellt die hierfür erforderlichen Informationen bereit. Entfällt der eingesetzte Übermittlungsmechanismus oder wird er unwirksam, ohne dass ein gleichwertiger Mechanismus an seine Stelle tritt, informiert Poster Express den Copyshop unverzüglich in Textform und setzt die betroffene Übermittlung erforderlichenfalls aus.

§ 8 Unterstützung des Verantwortlichen

(1) Poster Express unterstützt den Copyshop mit geeigneten Maßnahmen bei der Erfüllung von Betroffenenrechten (Art. 12–23 DSGVO). Wenden sich Betroffene direkt an Poster Express, leitet es diese an den Copyshop weiter.

(2) Poster Express unterstützt den Copyshop bei dessen Pflichten nach Art. 32–36 DSGVO (Sicherheit der Verarbeitung, Meldung von Verletzungen, Datenschutz-Folgenabschätzung), soweit erforderlich und unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

Poster Express meldet dem Copyshop Verletzungen des Schutzes der in dessen Auftrag verarbeiteten Daten unverzüglich nach Bekanntwerden und stellt die für dessen Melde- und Benachrichtigungspflichten (Art. 33, 34 DSGVO) erforderlichen Informationen bereit.

§ 10 Nachweise und Kontrollen

Poster Express stellt dem Copyshop die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlichen Informationen bereit und ermöglicht Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO). Dies erfolgt durch geeignete Nachweise und, soweit erforderlich, durch Inspektionen mit angemessener Ankündigung.

§ 11 Löschung und Rückgabe

(1) Druckdateien werden bereits während der Vertragslaufzeit automatisch 24 Stunden nach Erreichen eines Endstatus gelöscht.

(2) Nach Beendigung der Verarbeitung löscht Poster Express die im Auftrag verarbeiteten personenbezogenen Daten oder gibt sie nach Wahl des Copyshops zurück, soweit keine gesetzliche Aufbewahrungspflicht entgegensteht. Abrechnungsrelevante Daten werden im gesetzlich erforderlichen Umfang aufbewahrt.

§ 12 Schlussbestimmungen

(1) Bei Widersprüchen geht dieser AVV dem Plattformvertrag in Datenschutzfragen vor.

(2) Es gilt deutsches Recht. Im Übrigen gelten die Schlussbestimmungen des Plattformvertrags.

(3) Änderungen und Ergänzungen bedürfen der Textform.

Anlage 1 — Verarbeitungsdetails und technisch-organisatorische Maßnahmen

Datenkategorien

Datenkategorien (§ 2): E-Mail-Adresse des Kundenkontos; freiwillig angegebene Mobilfunknummer; hochgeladene Druckdateien (PDF) und daraus erzeugte Vorschaubilder; bei Geschäftskunden je Bestellung Firmenname, ggf. Anschrift und USt-IdNr.; auftragsbezogene Metadaten (Produktkonfiguration, Bestellstatus und Statusverlauf, Abholcode). Ein Name der Endkundinnen und Endkunden wird nicht erhoben.

Betroffene Personen

Betroffene Personen: Endkundinnen und Endkunden des Copyshops.

Technische und organisatorische Maßnahmen

Technisch-organisatorische Maßnahmen (§ 5):

• Betrieb auf Infrastruktur der Hetzner Online GmbH in einem Rechenzentrum in Nürnberg, Deutschland (EWR); Objektspeicher auf derselben Infrastruktur.
• Transportverschlüsselung (TLS) für alle Verbindungen.
• Druckdateien in einem privaten, nicht öffentlich zugänglichen Speicherbereich; Zugriff nur über kurzlebige, signierte URLs nach Eigentümerprüfung.
• Mandantentrennung: jede shop-bezogene Datenabfrage ist technisch auf den jeweiligen Shop beschränkt; die Trennung wird automatisiert getestet.
• Rollenbasierte Zugriffsrechte (Team-Rollenmodell je Shop); Verwaltungszugriff nur für benannte Administratoren.
• Authentifizierung per einmaligem Anmeldelink (60 Minuten gültig, einmalig verwendbar, ratenbegrenzt); optional Passwort je Konto; optional Zwei-Faktor-Authentisierung (Authenticator-App mit Wiederherstellungscodes); httpOnly-Session-Cookies, CSRF-Schutz; Login-Antworten geben keine Auskunft über die Existenz von Konten.
• Automatische Löschung der Druckdateien und Vorschaubilder 24 Stunden nach Erreichen eines Endstatus der Bestellung.
• Zweistufiges Lösch- und Anonymisierungskonzept: Kontaktdaten werden frühzeitig anonymisiert, abrechnungsrelevante Belege nach Ablauf der gesetzlichen Aufbewahrungsfristen gelöscht; jeder Lösch- und Anonymisierungsvorgang wird ohne die gelöschten Daten protokolliert.
• Datenbanksicherungen mindestens vor jedem Deployment, Aufbewahrung 14 Tage, Speicherung im EWR.
• Reichweitenmessung ausschließlich cookielos und selbst gehostet, ohne Übermittlung personenbezogener Daten an Dritte.

Anlage 2 — Unterauftragsverarbeiter

Unterauftragsverarbeiter	Leistung	Standort
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Deutschland	Hosting, Infrastruktur und Objektspeicher	Deutschland (EWR)
Mailgun (Sinch Email / Mailgun Technologies, Inc., USA)	Transaktionaler E-Mail-Versand	EU-Region (Speicherung); Drittlandübermittlung USA möglich (§ 7)