Auftragsverarbeitungsvertrag

Version 1.1 – gültig ab 17. Juli 2025

Präambel

Dieses Data-Protection-Addendum (“DPA“) konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Rahmen der SendDrop-Plattform und wird Bestandteil jedes Vertragsverhältnisses zwischen 

1. SendDrop GmbH, Fürstenweg 12, 83395 Freilassing, Deutschland – vertreten durch den Geschäftsführer Mario Neuhauser (im Folgenden „Auftragsverarbeiter“ oder „SendDrop“) und 

2. dem jeweiligen Kunden (im Folgenden „Verantwortlicher“), der SendDrop zur Abwicklung seiner Versand- oder Integrationsprozesse nutzt.

Das DPA erfüllt die Anforderungen des Art. 28 DSGVO und integriert die EU‑Standardvertragsklauseln (EU‑SCC) 2021/914 (Modul 2 – Verantwortlicher ↔ Auftragsverarbeiter), soweit personenbezogene Daten in Drittländer übermittelt werden.

§ 1 Gegenstand und Dauer der Verarbeitung

SendDrop verarbeitet personenbezogene Daten ausschließlich im Auftrag und nach dokumentierter Weisung des Verantwortlichen, um Versandetiketten zu erzeugen, Track‑&‑Trace‑Informationen bereitzustellen sowie Schnittstellen (Shopify, WooCommerce u. a.) zu betreiben. Die Verarbeitung endet mit Vertrags‑ bzw. Konto­beendigung; anschließend werden die Daten gem. § 10 gelöscht oder zurückgegeben.

§ 2 Art / Zweck / Kategorien der Daten

Es werden keine besonderen Kategorien personenbezogener Daten i. S. v. Art. 9 DSGVO verarbeitet.

§ 3 Rechte und Pflichten des Verantwortlichen

1. Der Verantwortliche ist für die Rechtmäßigkeit der Daten­verarbeitung verantwortlich und erteilt Weisungen in schriftlicher oder elektronischer Form.

2. Er dokumentiert alle Weisungen; Änderungen oder Ergänzungen sind jederzeit möglich.

3. Er informiert SendDrop unverzüglich, falls Fehler oder Unregel­mäßigkeiten im Hinblick auf datenschutz­rechtliche Vorschriften festgestellt werden.

§ 4 Pflichten des Auftragsverarbeiters (SendDrop)

1. Weisungsgebundenheit – SendDrop verarbeitet Daten nur gemäß dokumentierter Weisung und unter Einsatz geeigneter technischer & organisatorischer Maßnahmen (TOMs, siehe Anhang III).

2. Vertraulichkeit – Mit allen Mitarbeitenden bestehen Vertraulichkeits­vereinbarungen nach Art. 28 Abs. 3 lit. b DSGVO.

3. Sicherheit – SendDrop betreibt ein Informations­Sicherheits‑Management nach Best‑Practice‑Standards; Daten werden im Ruhezustand und in Transmission verschlüsselt.

4. Unterstützung – SendDrop unterstützt den Verantwortlichen bei Betroffenen­rechten, Melde­pflichten, DPIA und Behörden­anfragen.

5. Nachweispflicht & Audits – SendDrop stellt alle erforderlichen Informationen bereit und ermöglicht Audit‑/Inspektions­rechte (1×/Jahr, 14 Tage Vorankündigung).

6. Meldung von Datenpannen – SendDrop informiert den Verantwortlichen unverzüglich (< 24 h) über jede Verletzung des Schutzes personenbezogener Daten.

§ 5 Unterauftragsverarbeiter (“Sub‑Processor”)

* Übermittlungen in die USA basieren auf den EU‑SCC 2021/914 (Modul 3) nebst ergänzenden Schutzmaßnahmen.

Der Verantwortliche wird 30 Tage im Voraus über das Hinzufügen oder Ersetzen eines Sub‑Processors informiert und kann innerhalb dieser Frist begründeten Widerspruch einlegen.

§ 6 Internationale Datenübermittlungen

SendDrop oder seine Sub‑Processor übermitteln Daten in Dritt­staaten nur, sofern:

1. ein Angemessenheits­beschluss (Art. 45 DSGVO) vorliegt,

2. die EU‑Standardvertragsklauseln 2021/914 angewandt werden, oder

3. ein Ausnahmetatbestand nach Art. 49 DSGVO greift.

§ 7 Löschung / Rückgabe von Daten

Nach Vertrags­ende löscht SendDrop alle personenbezogenen Daten binnen 90 Tagen, sofern keine gesetzlichen Aufbewahrungs­pflichten entgegenstehen, oder stellt sie in einem gängigen maschinen­lesbaren Format bereit.

§ 8 Haftung

Die Haftung richtet sich nach den AGB von SendDrop sowie den gesetzlichen Regelungen. Jede Partei haftet für Verstöße gegen dieses DPA oder die DSGVO, die sie zu vertreten hat.

§ 9 Schlussbestimmungen

1. Änderungen dieses DPA bedürfen der Textform.

2. Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit des übrigen DPA unberührt.

3. Es gilt deutsches Recht; Gerichtsstand ist – soweit zulässig – Traunstein.

Anhang I – Parteien

Anhang II – Beschreibung der Verarbeitung

Siehe § 2 dieses DPA.

Anhang III – Technische & organisatorische Maßnahmen (TOMs)

1. Zutrittskontrolle – Rechenzentrums­zugang nur für autorisierte Personen (RFID + 24/7 Security).

2. Zugangskontrolle – MFA für Admin‑Accounts; passwortlose SSO; IP‑beschränkte VPN.

3. Datenzugriff – Rollen‑ & Rechte‑Konzept; „Least Privilege“; jährliche Rezertifizierung.

4. Weitergabe­kontrolle – TLS 1.3; Audit‑Logs aller API‑Calls ≥ 365 Tage.

5. Eingabekontrolle – Immutable Logs; SIEM‑Monitoring; WORM‑Storage.

6. Auftragskontrolle – Standardisiertes Sub‑Processor‑Onboarding inkl. DPIA & SCC‑Review.

7. Verfügbarkeits­schutz – Redundante Cluster, tägliche Off‑Site‑Backups, 99,9 % Uptime.

8. Datentrennung – Mandanten‑IDs in allen DB‑Schichten; Verschlüsselung at rest (AES‑256).

9. Privacy by Design/Default – Pseudonymisierte Tracking‑IDs; minimale Datensätze.

10. Incident Response – 24/7 Security‑Team; Reaktionszeit < 2 h; Notfall‑Plan gem. ISO 27001 A.17.

Ende des DPA – Version 1.1