Vereinbarung zur Auftragsverarbeitung

Itemaro Teamlager · Version 2026-11-04 · Anlage zur Nutzung des gemeinsamen Lagerdienstes.

1. Parteien, Gegenstand und Dauer

Auftragnehmer ist BSM-Onlinehandel UG (haftungsbeschränkt), Marie-Curie-Str. 2, 40789 Monheim am Rhein, Deutschland, Kontakt anfrage@bsm-onlinehandel.com. Auftraggeber ist der über sein Lagerinhaberkonto handelnde verantwortliche Betrieb. Die vertretungsberechtigte Lagerleitung bestätigt diese Vereinbarung für diesen Betrieb bei der ersten Anmeldung. Die Verarbeitung erfolgt für die Dauer der Nutzung und der vereinbarten Rückgabe-/Löschabwicklung.

Gegenstand ist das Speichern, Ordnen, Bereitstellen, Übermitteln, Berichtigen, Sichern und Löschen der vom Auftraggeber bestimmten gemeinsamen Lagerdaten, Inventuren und Mitarbeiterzugänge. Betroffen sind Lagerinhaber und Beschäftigte beziehungsweise beauftragte Lagerhelfer sowie gegebenenfalls Personen, deren Daten der Auftraggeber in zulässigen Referenzen erfasst. Datenarten sind Konto-/Zugangsdaten, Rollen, betriebliche Anzeigenamen, Buchungs- und Zählzuordnung, technische Sicherheitsdaten sowie die damit verbundenen Lagerdaten. Besondere Kategorien personenbezogener Daten und Daten über Straftaten sind nicht für den Dienst vorgesehen und sollen nicht eingestellt werden.

2. Verantwortlichkeit und Weisungen

Der Auftraggeber entscheidet über Zwecke, Rechtmäßigkeit, Datenminimierung, Zugriffsberechtigungen und die Information seiner Beschäftigten. Die Verarbeitung erfolgt nur auf dokumentierte Weisung im Rahmen des Vertrags oder ergänzender rechtmäßiger Weisungen, einschließlich erforderlicher Drittlandübermittlungen. Bedienhandlungen berechtigter Lagerleitungen sind dokumentierbare Weisungen. Hält BSM eine Weisung für rechtswidrig, informiert BSM den Auftraggeber unverzüglich und setzt die betroffene Verarbeitung bis zur Klärung aus. Gesetzlich zwingende Verarbeitung wird dem Auftraggeber vorher mitgeteilt, soweit rechtlich zulässig.

3. Vertraulichkeit und Zugriff

BSM setzt nur erforderliche, zur Vertraulichkeit verpflichtete und entsprechend instruierte Personen ein. Betreiberzugriff ist auf notwendige Betriebs-, Sicherheits- und Unterstützungszwecke beschränkt. Der Auftraggeber vergibt personenbezogene oder betriebliche Mitarbeiterzugänge, verhindert die Weitergabe von Passwörtern und entzieht entfallene Rechte zeitnah. Einmalcodes sind wie Zugangsschlüssel zu behandeln.

4. Technische und organisatorische Maßnahmen

Maßnahmen nach Art. 32 DSGVO umfassen HTTPS-Transport, passwortgeschützte Konten mit Argon2-Hashes, zufällige serverseitig gehashte Sitzungsschlüssel, Rollen-/Lagerplatz-/Ablaufprüfung, transaktionale Bestandsänderung, Wiederholungsschutz, datenbankseitige Lagerreferenz-Prüfung, begrenzte Anfragegrößen und Anmeldeversuche, geheimnisfreie Validierungsantworten, no-store für private Antworten, geschützte Schlüssel auf den Endgeräten und getrennte verschlüsselte private Sicherungen mit Rückleseprüfung. Die Entwicklung führt Berechtigungs-, Konkurrenz-, Lösch- und Wiederherstellungstests aus. Diese Maßnahmen werden unter Berücksichtigung des Risikos regelmäßig überprüft und weiterentwickelt; sie ersetzen keine notwendige Sicherung der Geräte des Auftraggebers.

Die Architektur verwendet logische Mandantentrennung in einer gemeinsamen Datenbank. Es wird keine physisch eigene Datenbank je Kunde zugesagt. Ein fachliches Buchungsjournal ist keine unveränderbare rechtssichere Archivierung und kein Ersatz für gesetzlich erforderliche Belegaufbewahrung.

5. Unterauftragnehmer und Drittlandverarbeitung

Der Auftraggeber genehmigt den Einsatz von Vercel für Anwendungsbetrieb/private Sicherungen und Neon für PostgreSQL einschließlich der in deren anwendbaren Verträgen aufgeführten Unterauftragnehmer. Die Lagerdatenbank, Funktionen und private Sicherungen sind für Frankfurt konfiguriert. Plattform-, Support- und Unterauftragnehmerzugriffe können andere Länder betreffen. BSM stellt sicher, dass erforderliche Übermittlungen den Anforderungen von Kapitel V DSGVO entsprechen, und darf keinen Anbieter allein aufgrund einer EU-Region als vollständig EU-intern behandeln.

BSM informiert vor einer beabsichtigten Hinzuziehung oder Ersetzung weiterer Unterauftragnehmer mit angemessener Frist, grundsätzlich mindestens 30 Tage, und ermöglicht begründeten datenschutzbezogenen Widerspruch. Eine eigene dokumentierte Änderungsliste und Anbieterbenachrichtigungen unterstützen dies. Bei nicht lösbaren berechtigten Einwänden wird eine vertragsgerechte Alternative oder Beendigung der betroffenen Leistung vereinbart. Den Unterauftragnehmern werden mindestens gleichwertige Datenschutzpflichten auferlegt; BSM bleibt gegenüber dem Auftraggeber für deren vertragliche Pflichten verantwortlich.

6. Betroffenenrechte und Unterstützung

BSM unterstützt unter Berücksichtigung der Art der Verarbeitung durch geeignete Maßnahmen bei Auskunft, Berichtigung, Löschung, Einschränkung, Übertragbarkeit und Widersprüchen. An BSM gerichtete Anträge zu Auftragsdaten werden dem verantwortlichen Auftraggeber zugeordnet und soweit erforderlich weitergegeben. Eine Offenlegung fremder Betriebe oder ein Löschen fremder Bestände allein aufgrund eines Mitarbeiterantrags erfolgt nicht. Die Unterstützung umfasst, soweit erforderlich und Informationen verfügbar sind, Art. 32–36 DSGVO, insbesondere Vorfallsbehandlung, Folgenabschätzungen und vorherige Konsultation.

7. Sicherheitsvorfälle

BSM informiert den Auftraggeber unverzüglich nach Bekanntwerden einer Verletzung des Schutzes seiner personenbezogenen Daten, übermittelt verfügbare Informationen zu Art und Umfang, Ansprechpartner, wahrscheinlichen Folgen und getroffenen beziehungsweise vorgeschlagenen Maßnahmen und ergänzt fehlende Informationen ohne unangemessene Verzögerung. Die gesetzliche Melde-/Benachrichtigungsverantwortung des Auftraggebers bleibt bestehen. Allgemeine Sicherheitsmeldungen ohne bestätigte Betroffenheit werden als solche gekennzeichnet.

8. Nachweise und Kontrollen

BSM stellt die zur Darlegung dieser Pflichten erforderlichen Informationen bereit und ermöglicht angemessene, datenschutzgerechte Überprüfungen einschließlich Inspektionen durch den Auftraggeber oder einen beauftragten Prüfer. Rechte anderer Kunden, Vertraulichkeit und notwendige Sicherheitsmaßnahmen sind zu schützen. Verfügbare Anbieterberichte, technische Nachweise und dokumentierte Tests können zur Vorbereitung genutzt werden; sie ersetzen berechtigte Kontrollrechte nicht.

9. Rückgabe und Löschung

Der Auftraggeber kann seine Lagerdaten über den Export abrufen und die Löschung eigener Lager im bestätigten Kontolöschprozess anweisen. Bei Vertragsende werden personenbezogene Auftragsdaten nach Wahl des Auftraggebers zurückgegeben oder gelöscht, vorhandene Kopien eingeschlossen, soweit keine unions- oder mitgliedstaatliche Aufbewahrungspflicht entgegensteht. Für ausschließlich der Wiederherstellung dienende verschlüsselte Sicherungen gilt eine Auslaufzeit von 30 Tagen; bis dahin sind Daten anderen Verarbeitungen entzogen, und Löschanweisungen müssen vor Wiederinbetriebnahme einer Sicherung erneut angewendet werden. Gesetzlich notwendige längere Speicherung wird dem Auftraggeber mit Grundlage und Umfang mitgeteilt.

Beschäftigte, deren Zugang endet, können eigene Kontodaten löschen. Geschäftsdaten und fachlich erforderliche pseudonyme Journalbezüge des verantwortlichen Betriebs werden dadurch nicht unkontrolliert entfernt. Unnötige Freitext-Personendaten sind gesondert nach Weisung zu prüfen und zu berichtigen oder zu löschen. Eigene Konto-/Abrechnungsdaten des Auftragnehmers richten sich nach den gesonderten Datenschutzhinweisen.

10. Kontakt und Dokumentation

Datenschutzweisungen und Rechteanfragen: anfrage@bsm-onlinehandel.com. Diese Fassung und der Zeitpunkt der Bestätigung werden dem Lagerinhaberkonto zugeordnet. Sie wird nicht durch eine pauschale Zustimmung von Beschäftigten zu beliebiger Datenverarbeitung ersetzt.