Auftragsverarbeitungsvertrag (AVV)

(1) Dieser Vertrag konkretisiert die datenschutzrechtlichen Verpflichtungen der Vertragsparteien, die sich aus der im Hauptvertrag beschriebenen Bereitstellung der SaaS-Dienstleistung „LoopBoard“ zur E-Commerce-Datenanalyse (im Folgenden „Hauptvertrag“) ergeben.

(2) Die Verarbeitung von Daten erfolgt ausschließlich im Auftrag und nach Weisung des Kunden (Verantwortlicher) durch den Anbieter (Auftragsverarbeiter) im Sinne des Art. 28 DSGVO.

(3) Die Laufzeit dieser Vereinbarung richtet sich nach der Laufzeit des Hauptvertrags.

1. Art und Zweck der Verarbeitung: Die Bereitstellung der E-Commerce-SaaS-Plattform LoopBoard zur Visualisierung von Gewinnen, Margen, Retouren und Beständen. Hierzu werden B2B-Einkäufe und Verkaufsdaten (Orders, Financial Events, Settlement Reports) über offizielle Schnittstellen (Amazon SP-API & Amazon Business API) erhoben, aggregiert, berechnet und im Dashboard dargestellt.

2. Kategorien personenbezogener Daten:

• Benutzerstammdaten des Kunden (E-Mail, Name, Passwort-Hash, IP-Adresse)
• B2B-Beschaffungsdaten des Händlers (ASINs, Einkaufspreise, Mengen, Bestelldaten)
• Transaktionsdaten (Amazon Bestellnummer, ASIN, Verkaufspreis, Amazon-Gebühren)
• Hinweis: Personenbezogene Endkundendaten (wie Name des Käufers, Lieferadresse, Telefonnummer) werden von LoopBoard nicht erhoben oder verarbeitet.

3. Kategorien betroffener Personen:

• Mitarbeiter und Vertretungsberechtigte des Kunden
• Lieferanten/B2B-Partner des Kunden

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen, es sei denn, er ist durch Unionsrecht oder das Recht der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet.

(2) Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen.

(3) Der Auftragsverarbeiter trifft alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Sicherheitsmaßnahmen.

(4) Der Auftragsverarbeiter unterstützt den Verantwortlichen nach Möglichkeit bei Anfragen betroffener Personen zur Ausübung ihrer Rechte sowie bei der Einhaltung der Pflichten nach Art. 33 bis 36 DSGVO.

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung zur Hinzuziehung weiterer Auftragsverarbeiter (Unterauftragsverarbeiter).

(2) Aktuell setzt der Auftragsverarbeiter folgenden Unterauftragsverarbeiter ein:

(3) Werden neue Unterauftragsverarbeiter hinzugezogen, wird der Auftragsverarbeiter den Verantwortlichen rechtzeitig informieren. Der Verantwortliche kann Einspruch erheben.

Der Auftragsverarbeiter verpflichtet sich zur Einhaltung der folgenden Sicherheitsstandards:

• Vertraulichkeit (Zutritts-, Zugangs- und Zugriffskontrolle): Absicherung der Server durch starke Authentifizierungsverfahren, Firewalls und verschlüsselte Passwörter (bcrypt).
• Integrität (Weitergabekontrolle): Verschlüsselte Datenübertragung (HTTPS/TLS) und verschlüsselte Speicherung sensibler SP-API Refresh-Tokens im Ruhezustand (AES-GCM-256).
• Verfügbarkeit und Belastbarkeit: Regelmäßige automatisierte Datenbank-Backups und Überwachung der Serverprozesse via PM2.