Auftragsverarbeitungsvertrag (AVV)

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der im Hauptvertrag beschriebenen Bereitstellung der SaaS-Dienstleistung „LoopBoard“ zur E-Commerce-Datenanalyse einschließlich der optional nutzbaren Funktionen wie des Belegscanners (im Folgenden „Hauptvertrag“) ergeben.

(2) Die Verarbeitung von Daten erfolgt ausschließlich im Auftrag und nach Weisung des Kunden (Verantwortlicher) durch FM Fulfillment GmbH, Sulzbacher Straße 197, 71522 Backnang (Auftragsverarbeiter) im Sinne des Art. 28 DSGVO.

(3) Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrags.

1. Art und Zweck der Verarbeitung: Die Bereitstellung der E-Commerce-SaaS-Plattform LoopBoard zur Visualisierung von Gewinnen, Margen, Retouren und Beständen. Hierzu werden B2B-Einkäufe und Verkaufsdaten (Orders, Financial Events, Settlement Reports) über offizielle Schnittstellen (Amazon SP-API & Amazon Business API) erhoben, aggregiert, berechnet und im Dashboard dargestellt.

1a. Belegscanner (optional): Auf Weisung des Kunden liest der Auftragsverarbeiter ein vom Kunden verbundenes E-Mail-Postfach über eine verschlüsselte IMAP-Verbindung, erkennt Anhänge im PDF- oder XML-Format (Rechnungen, E-Rechnungen und Beilagen) und speichert diese zusammen mit Angaben zur Mail (Absender, Betreff, Datum, Kennung). Den Text der Mails speichert er nicht, Mails werden weder als gelesen markiert noch gelöscht. Löst der Kunde es im Einzelfall aus oder hat er es für einen Absender ausdrücklich eingeschaltet, überträgt der Auftragsverarbeiter einen Beleg an das eigene Lexware-Office-Konto des Kunden bei der Haufe-Lexware GmbH & Co. KG oder legt ihn im Google Drive des Kunden ab (Google Ireland Limited); Lexware und Google handeln dabei auf Grundlage des Vertrags zwischen dem Kunden und dem jeweiligen Anbieter und sind keine Unterauftragsverarbeiter des Auftragsverarbeiters. Zum Schutz vor gefälschten Rechnungen wertet der Auftragsverarbeiter die Prüfergebnisse des E-Mail-Anbieters zum Absender aus und speichert je Absender die in Rechnungen gefundenen Bankverbindungen, um den Kunden vor einer neuen zu warnen. Auf Wunsch des Kunden kennzeichnet der Auftragsverarbeiter übertragene Mails im Postfach und benachrichtigt den Kunden per Discord-Direktnachricht.

2. Kategorien personenbezogener Daten:

• Benutzerstammdaten des Kunden (E-Mail, Name, Passwort-Hash, IP-Adresse)
• B2B-Beschaffungsdaten des Händlers (ASINs, Einkaufspreise, Mengen, Bestelldaten)
• Transaktionsdaten (Amazon Bestellnummer, ASIN, Verkaufspreis, Amazon-Gebühren)
• Zugangsdaten zu angebundenen Diensten, jeweils verschlüsselt gespeichert (u. a. Lexware-API-Schlüssel, App- oder Postfach-Passwort für den Belegscanner)
• Belegscanner: Angaben zu E-Mails (Name und Adresse des Absenders, Betreff, Datum, Kennungen, Ergebnis der Absenderprüfung) sowie Rechnungsdokumente und Beilagen aus dem Postfach des Kunden; diese können Namen, Anschriften, Kontakt- und Bankdaten Dritter enthalten. Dazu je Absender die aus Rechnungen bekannten Bankverbindungen (IBAN)
• Hinweis: Personenbezogene Endkundendaten aus den Marktplatz-Schnittstellen (wie Name des Käufers, Lieferadresse, Telefonnummer) werden von LoopBoard nicht erhoben oder verarbeitet.

3. Kategorien betroffener Personen:

• Mitarbeiter und Vertretungsberechtigte des Kunden
• Lieferanten/B2B-Partner des Kunden
• Absender von E-Mails an ein mit dem Belegscanner verbundenes Postfach, insbesondere Rechnungssteller und deren Ansprechpartner

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder das Recht der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Sicherheitsmaßnahmen.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei Anfragen betroffener Personen zur Ausübung ihrer Rechte sowie bei der Einhaltung der Pflichten nach Art. 33 bis 36 DSGVO.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter).

(2) Aktuell setzt der Auftragsverarbeiter folgende Unterauftragsverarbeiter ein. Die als optional gekennzeichneten werden nur tätig, wenn der Kunde die jeweilige Funktion nutzt.

(3) Werden neue Unterauftragsverarbeiter hinzugezogen, wird der Auftragsverarbeiter den Verantwortlichen rechtzeitig informieren. Der Verantwortliche kann Einspruch erheben.

Der Auftragsverarbeiter verpflichtet sich zur Einhaltung der folgenden Sicherheitsstandards:

• Vertraulichkeit (Zutritts-, Zugangs- und Zugriffskontrolle): Absicherung der Server durch starke Authentifizierungsverfahren, Firewalls und verschlüsselte Passwörter (bcrypt).
• Trennungskontrolle: Die Daten jedes Kunden sind getrennt; jeder Zugriff auf Belege, Postfächer und Verbindungen wird serverseitig gegen das Konto des angemeldeten Nutzers geprüft.
• Integrität (Weitergabekontrolle): Verschlüsselte Datenübertragung (HTTPS/TLS) und verschlüsselte Speicherung sensibler Zugangsdaten im Ruhezustand (AES-256-GCM), darunter SP-API Refresh-Tokens und Lexware-API-Schlüssel.
• Belegscanner: Postfach-Passwörter werden mit einem eigens dafür bestimmten Schlüssel verschlüsselt (AES-256-GCM) und beim Trennen des Postfachs sofort gelöscht. Verbindungen zu E-Mail-Servern erfolgen ausschließlich über TLS mit Prüfung des Serverzertifikats; Verbindungen in interne Netze sind gesperrt, Anmeldeversuche je Konto begrenzt. Belegdateien sind nur nach Anmeldung abrufbar. Der Zugang zu Google Drive ist auf vom Auftragsverarbeiter selbst angelegte Dateien beschränkt und ebenso verschlüsselt gespeichert. Automatisch abgelegt wird nur bei bestätigtem Absender und ohne neue Bankverbindung.
• Datenminimierung: Der Belegscanner speichert keine Mailtexte; Belegdateien werden 30 Tage nach der Entscheidung des Kunden gelöscht.
• Verfügbarkeit und Belastbarkeit: Tägliche automatisierte Sicherung von Datenbank und Dateien mit einer verschlüsselten Kopie (AES-256) außerhalb des Servers sowie Überwachung der Serverprozesse via PM2.