Vertrag zur Auftragsverarbeitung

Stand: August 2026

Dieser Vertrag zur Auftragsverarbeitung (nachfolgend „AVV") nach Art. 28 DSGVO wird geschlossen zwischen dem Kunden als Verantwortlichem und Kevolo – W. Wahidi, Leberecht-Migge-Anlage 10, 60438 Frankfurt am Main (nachfolgend „Anbieter") als Auftragsverarbeiter. Er wird mit dem Abschluss des kostenpflichtigen Abonnements einbezogen und ergänzt die Allgemeinen Geschäftsbedingungen.

§ 1 Gegenstand und Dauer

Der Anbieter verarbeitet personenbezogene Daten im Auftrag des Kunden, soweit dies zur Erbringung der im Hauptvertrag vereinbarten Leistungen – Bereitstellung der Warenwirtschafts-, Kassen- und Shop-Software Kevolo – erforderlich ist. Verantwortlicher im Sinne der DSGVO ist der Kunde. Die Dauer dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet mit dessen Beendigung, soweit sich aus § 9 nichts anderes ergibt.

§ 2 Art, Zweck und Umfang der Verarbeitung

Art der Verarbeitung: Erheben, Erfassen, Speichern, Anpassen, Auslesen, Verwenden, Übermitteln an die in § 6 genannten Stellen, Löschen.

Zweck: Betrieb der Warenwirtschaft, der Kasse einschließlich der gesetzlich vorgeschriebenen Aufzeichnungen, des Online-Shops sowie der zugehörigen Kommunikation mit den Kunden des Kunden.

Kategorien betroffener Personen: Beschäftigte und Kassenbediener des Kunden, Endkunden und Shop-Konten des Kunden, Lieferanten und Ansprechpartner des Kunden sowie Empfänger des Newsletters des Kunden.

Kategorien personenbezogener Daten: Stammdaten (Name, Firma, Anschrift, Umsatzsteuer-Identifikationsnummer), Kontaktdaten (E-Mail, Telefon), Zugangsdaten (Prüfwerte von Passwörtern und Kassen-PINs), Vertrags- und Vorgangsdaten (Aufträge, Rechnungen, Lieferscheine, Retouren, An- und Verkäufe, Geräteseriennummern), Kassendaten (Bons, Zahlungen, Kassenbuch, Kassenjournale nach § 146a AO), Shop-Daten (Warenkörbe, Bestellungen, Bewerbungen um ein B2B-Konto) sowie Protokolldaten.

Besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO sind nicht Gegenstand der Verarbeitung. Stellt der Kunde solche Daten dennoch ein, teilt er dies dem Anbieter vorab mit.

§ 3 Weisungsbindung

Der Anbieter verarbeitet die Daten ausschließlich auf dokumentierte Weisung des Kunden. Als Weisung gelten dieser Vertrag, der Hauptvertrag sowie die Nutzung der Anwendung durch den Kunden. Weitergehende Weisungen sind in Textform zu erteilen. Ist der Anbieter nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet, unterrichtet er den Kunden vor der Verarbeitung über diese Anforderung, sofern das Recht dies nicht wegen eines wichtigen öffentlichen Interesses verbietet. Hält der Anbieter eine Weisung für rechtswidrig, teilt er dies dem Kunden unverzüglich mit und darf ihre Ausführung bis zur Bestätigung aussetzen.

§ 4 Vertraulichkeit

Der Anbieter verpflichtet die zur Verarbeitung befugten Personen zur Vertraulichkeit, soweit sie nicht bereits einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht auch nach Beendigung ihrer Tätigkeit fort. Der Zugriff auf Kundendaten ist auf die Personen beschränkt, die ihn zur Erbringung der Leistung oder zur Fehlerbehebung benötigen.

§ 5 Technische und organisatorische Maßnahmen

Der Anbieter trifft die nach Art. 32 DSGVO erforderlichen Maßnahmen. Sie sind in Anlage A beschrieben und werden fortgeschrieben; das dabei erreichte Schutzniveau darf nicht unterschritten werden.

§ 6 Unterauftragsverarbeiter

Der Kunde stimmt der Beauftragung der in Anlage B genannten Unterauftragsverarbeiter zu. Der Anbieter zeigt beabsichtigte Änderungen mindestens 30 Tage vorher in Textform an; der Kunde kann innerhalb von 14 Tagen aus wichtigem Grund widersprechen. Widerspricht er, ist der Anbieter berechtigt, den Hauptvertrag zum Wirksamwerden der Änderung zu kündigen. Der Anbieter erlegt jedem Unterauftragsverarbeiter dieselben Datenschutzpflichten auf, die ihn selbst nach diesem Vertrag treffen.

Erfolgt eine Übermittlung in ein Drittland, geschieht dies auf Grundlage eines Angemessenheitsbeschlusses oder der Standardvertragsklauseln nebst der erforderlichen ergänzenden Maßnahmen. Die betroffenen Verarbeitungen sind in Anlage B gesondert gekennzeichnet.

§ 7 Unterstützung des Kunden

Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Erfüllung von Anträgen betroffener Personen nach Art. 15 bis 22 DSGVO sowie bei den Pflichten nach Art. 32 bis 36 DSGVO. Anträge, die betroffene Personen unmittelbar an den Anbieter richten, leitet dieser unverzüglich an den Kunden weiter und beantwortet sie nicht selbst. Für Aufwand, der über die Bereitstellung der in der Anwendung vorhandenen Auskunfts-, Export- und Löschfunktionen hinausgeht, kann der Anbieter eine angemessene Vergütung verlangen.

§ 8 Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden jede ihm bekannt gewordene Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 24 Stunden nach Kenntnis, in Textform. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und den ungefähren Umfang, die wahrscheinlichen Folgen sowie die ergriffenen oder vorgeschlagenen Maßnahmen. Der Anbieter unterstützt den Kunden bei dessen Meldung nach Art. 33 DSGVO.

§ 9 Löschung und Rückgabe

1. Der Kunde kann seine Daten während der gesamten Vertragslaufzeit über die bereitgestellten Exportfunktionen in maschinell auswertbarer Form zurückerhalten. Er trifft damit seine Wahl im Sinne des Art. 28 Abs. 3 lit. g DSGVO.
2. Mit Ablauf der Vertragslaufzeit – oder zu einem vom Kunden bei der Kündigung gewählten früheren Zeitpunkt – wird der Zugang beendet (Stilllegung). 30 Tage danach löscht der Anbieter sämtliche im Auftrag verarbeiteten Daten endgültig und bestätigt dies in Textform.
3. Verlangt der Kunde vor Ablauf dieser 30 Tage in Textform die Herausgabe, stellt der Anbieter ihm einen Export zur Verfügung; die Löschfrist verlängert sich entsprechend um bis zu 14 Tage.
4. Verschlüsselte Sicherungskopien werden nicht gesondert bearbeitet und laufen turnusmäßig nach spätestens sechs Monaten aus. Bis dahin unterliegen sie denselben Schutzmaßnahmen; eine Wiederherstellung gelöschter Kundendaten aus ihnen findet nicht statt.
5. Bestehen für den Anbieter eigene gesetzliche Aufbewahrungspflichten – insbesondere für die Abrechnung des Hauptvertrags –, bleiben die davon erfassten Daten hiervon unberührt; ihre Verarbeitung wird auf die Aufbewahrung beschränkt.

§ 10 Nachweise und Kontrollen

Der Anbieter stellt dem Kunden auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen zur Verfügung und ermöglicht Überprüfungen nach Art. 28 Abs. 3 lit. h DSGVO. Überprüfungen sind mit angemessener Frist anzukündigen, auf das Erforderliche zu beschränken und dürfen den Betrieb nicht unangemessen beeinträchtigen. Der Nachweis kann auch durch aussagekräftige Bescheinigungen, Testate oder Berichte geführt werden.

§ 11 Schlussbestimmungen

Änderungen und Ergänzungen bedürfen der Textform. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag gehen die Regelungen dieses Vertrags vor, soweit sie den Schutz personenbezogener Daten betreffen. Es gilt das Recht der Bundesrepublik Deutschland. Sollte eine Bestimmung unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

Anlage A – Technische und organisatorische Maßnahmen

Mandantentrennung. Zeilenbasierte Zugriffssteuerung in der Datenbank (Row Level Security). Jeder Datenbankzugriff ist an die Mandantenkennung der jeweiligen Sitzung gebunden.

Passwörter. Speicherung ausschließlich als scrypt-Prüfwert (N = 32768, r = 8, p = 1, 64 Byte Schlüssellänge) mit einem Zufallssalz je Passwort und Vergleich in konstanter Zeit. Passwörter werden weder im Klartext gespeichert noch versendet; der Erstzugang erfolgt über einen befristeten Einrichtungslink.

Verschlüsselung besonderer Geheimnisse. Zugangsdaten der technischen Sicherheitseinrichtung sowie die Token der Kundenbelege werden mit AES-256-GCM verschlüsselt gespeichert, mit einem vom Anmeldegeheimnis getrennten Schlüssel und der Möglichkeit zur Rotation.

Transport. Übertragung ausschließlich über TLS.

Zugriffskontrolle. Rollen- und Rechtesystem je Mandant mit feingliedrigen Berechtigungen. Kassenbediener arbeiten über PIN-Profile ohne eigene Anmeldedaten.

Vertrauliche Dateien. Kassenbelege und Ausfuhrdateien liegen außerhalb des öffentlich ausgelieferten Verzeichnisses und sind nur über eine angemeldete, mandantengeprüfte Route erreichbar. Ohne Anmeldung ausgeliefert werden allein Shop-Bilder, Logos und Startseitenbilder.

Sicherung. Verschlüsselte Sicherungen in getrennten Ablagen für Datenbank und Dateien. Aufbewahrung: sieben tägliche, vier wöchentliche und sechs monatliche Stände.

Protokollierung. Änderungsprotokoll für belegrelevante Vorgänge.

Grenzen der Maßnahmen. Eine Zwei-Faktor-Anmeldung wird derzeit nicht angeboten. Die Anmeldesitzung ist ein Token mit acht Stunden Laufzeit, das während dieser Zeit nicht erneut gegen die Datenbank geprüft wird; eine Sperrung oder Löschung des Zugangs wirkt daher erst mit Ablauf der laufenden Sitzung.

Anlage B – Unterauftragsverarbeiter

Hetzner Online GmbH, Industriestraße 25, 91710 Gunzenhausen, Deutschland – Server, Speicher und Sicherungen. Verarbeitet werden alle Daten der Anwendung. Ort: Deutschland.

Stripe – Abrechnung des Abonnements und Zahlungsabwicklung im Shop. Verarbeitet werden Zahlungs-, Rechnungs- und Kontaktdaten. Ort: Europäische Union und Vereinigte Staaten.

fiskaly – technische Sicherheitseinrichtung der Kasse nach § 146a AO. Verarbeitet werden Kassenvorgänge zum Zweck der Signatur. Ort: Europäische Union.

Google (Gemini) – KI-gestützte Bilderzeugung für Shop-Startseiten. Übermittelt werden der Anweisungstext und, sofern ein Referenzbild verwendet wird, die Bilddatei selbst. Ort: Vereinigte Staaten (Drittlandtransfer). Die Funktion ist optional und wird nur auf Veranlassung ausgeführt.

Komoot (Photon) – Adressvervollständigung. Übermittelt wird jede getippte Adresseingabe. Ort: Deutschland.

Cloudflare – Namensauflösung und vorgelagerter Netzzugang. Verarbeitet werden Verbindungsdaten. Ort: Europäische Union und Vereinigte Staaten.

Europäische Kommission (VIES) – Prüfung der Umsatzsteuer-Identifikationsnummer. Übermittelt wird die Umsatzsteuer-Identifikationsnummer. Ort: Europäische Union.