Auftragsverarbeitungsvertrag

Version 2026-10-14

Parteien. Dieser Vertrag wird geschlossen zwischen {seller_legal_name}, {seller_address}, Registernummer {seller_registration_number} (der Verkäufer, du) und Unworn i.o., Registrierung folgt, Kamer van Koophandel Registrierung folgt, die die Plattform unter dem Namen Unworn betreibt (die Plattform, wir). Unworn i.o. ist eine Gesellschaft in Gründung. Ihre Founder handeln als ihre Vertreter, und die Gesellschaft genehmigt diesen Vertrag mit ihrer Errichtung.

Annahme. Wer deine Organisation als Verkäufer registriert, nimmt diesen Vertrag bei der Registrierung in ihrem Namen an, zusammen mit den Plattformbedingungen und bevor eine Verbindung hergestellt oder eine Datei hochgeladen wird. Version, Person und Zeitpunkt werden festgehalten.

Sprache. Dieser Vertrag besteht auf Niederländisch, Englisch, Deutsch, Französisch, Spanisch und Italienisch. Weichen die Fassungen voneinander ab, gilt der englische Text.

Kontakt. [email protected]

Artikel 1. Begriffe und Parteien

1.1 Begriffe, die die Datenschutz-Grundverordnung (DSGVO) definiert, haben die Bedeutung, die sie ihnen gibt.

1.2 In diesem Vertrag haben die folgenden Begriffe die folgende Bedeutung.

• Plattformbedingungen: die Plattformbedingungen, die du bei der Registrierung angenommen hast, in der Fassung, die für dich gilt.
• Verbindung: eine Anbindung zwischen der Plattform und einem deiner Systeme oder der Upload einer Datei, über die wir deine Daten lesen. Shopify, ein ERP, ein Lagersystem und eine CSV- oder XLSX-Datei sind jeweils eine Verbindung.
• Verbundene Daten: alles, was wir über eine Verbindung lesen oder empfangen.
• Roh-Payload: ein Datensatz, wie er über eine Verbindung eingeht, bevor wir ihn zuordnen.
• Normalisierte Daten: verbundene Daten, nachdem wir sie den eigenen Tabellen der Plattform zugeordnet haben.
• Aufzeichnungen: die Entscheidungsprotokolle, Erläuterungen, Transaktionsdokumente und der Audit-Trail, die die Plattform schreibt, wie die Plattformbedingungen es beschreiben.
• Unterauftragsverarbeiter: eine Partei, die wir beauftragen, verbundene Daten in unserem Auftrag zu verarbeiten.

1.3 Für die verbundenen Daten bist du der Verantwortliche und sind wir der Auftragsverarbeiter. Dieser Vertrag ist der Vertrag, den Artikel 28 Absatz 3 DSGVO verlangt.

1.4 Für die Daten, die unsere Datenschutzerklärung beschreibt (die Konten deiner Nutzer, die Kontaktdaten deiner Organisation, Bestellungen, Rechnungen und die Aufzeichnungen), sind wir der Verantwortliche. Diese Verarbeitung regelt die Datenschutzerklärung, nicht dieser Vertrag.

Artikel 2. Gegenstand, Dauer und Art der Verarbeitung

2.1 Wir verarbeiten die verbundenen Daten, um deinen Bestand zu analysieren, um die Empfehlungen mit der Rechnung dahinter und die daraus folgenden Angebotsentwürfe zu erstellen und um die Aufzeichnungen darüber zu schreiben, was empfohlen wurde und was du entschieden hast.

2.2 Die Verarbeitung besteht aus dem Lesen einer Verbindung, dem Speichern der Roh-Payloads, deren Zuordnung zu normalisierten Daten, dem Berechnen der Signale und Empfehlungen, dem Verfassen von Angebotsentwürfen und dem Schreiben der Aufzeichnungen. Ein Sprachmodell schlägt Spaltenzuordnungen, Angebotsentwürfe und Erläuterungen vor; eine Person bestätigt sie. Keine Zahl in einer Empfehlung stammt von einem Modell.

2.3 Die Verarbeitung beginnt, sobald du eine Verbindung herstellst oder eine Datei hochlädst, dauert so lange, wie die Verbindung besteht, und endet mit der Rückgabe und Löschung nach Artikel 12.

2.4 Wir sind Vermittler zwischen dir und einem Käufer. Wir besitzen, halten, kaufen oder verkaufen niemals Waren, und Geld, das für Waren gezahlt wird, berührt niemals unser eigenes Bankkonto. Nichts in diesem Vertrag ändert daran etwas.

Artikel 3. Kategorien betroffener Personen und Daten

3.1 Betroffene Personen: deine Kunden, ausschließlich als die pseudonymen Kennungen, die deine Systeme ihnen zuweisen; Kontaktpersonen bei deinen Wholesale-Kunden, Lieferanten und deinem Lager, soweit sie in Auftrags- oder Bestandsdaten vorkommen; und Mitglieder deiner eigenen Belegschaft, deren Namen oder geschäftliche Kontaktdaten in den verbundenen Daten vorkommen.

3.2 Daten: Aufträge und Verkaufszeilen mit einer Kundenkennung; Bestände und Bestandsbewegungen; Preise, Kosten und Margen; Produktdaten (SKU, EAN, Größen, Zusammensetzung, Herkunft, Saison, Fotos); und die geschäftlichen Kontaktdaten der Personen in Artikel 3.1.

3.3 Wir fragen nicht nach Namen, Adressen, Mailadressen oder Zahlungsdaten deiner Verbraucher und verarbeiten sie nicht wissentlich. Enthält eine Roh-Payload mehr, als wir zuordnen, wird der Überschuss mit der Payload nach Artikel 12.1 gelöscht.

3.4 Unter diesem Vertrag werden keine besonderen Kategorien personenbezogener Daten (Artikel 9 DSGVO) und keine Daten über strafrechtliche Verurteilungen verarbeitet. Du bindest solche Daten nicht an und lädst sie nicht hoch.

Artikel 4. Weisungen

4.1 Wir verarbeiten die verbundenen Daten nur auf deine dokumentierten Weisungen: diesen Vertrag, die Plattformbedingungen und deine Handlungen im Portal, etwa eine Verbindung herstellen, eine Datei hochladen, eine Spaltenzuordnung bestätigen, eine Empfehlung bestätigen oder ändern, ein Angebot platzieren, Daten exportieren oder löschen.

4.2 Wir verarbeiten die verbundenen Daten nur für die Analyse, die Empfehlungen, die Angebotsentwürfe und die Aufzeichnungen. Wir nutzen sie für keinen anderen Zweck, verkaufen sie nicht und teilen sie nicht mit einer anderen Marke. Anonymisierte, aggregierte Transaktionsergebnisse dienen nach den Plattformbedingungen nur dann als Benchmarkdaten, wenn einer Zahl mindestens fünf Transaktionen zugrunde liegen.

4.3 Wir informieren dich, wenn eine Weisung nach unserer Auffassung gegen die DSGVO oder gegen anderes Datenschutzrecht der Union oder eines Mitgliedstaats verstößt, und wir dürfen die Weisung aussetzen, bis die Frage geklärt ist.

4.4 Wir informieren dich, bevor wir eine Verarbeitung beginnen, die das Recht der Union oder eines Mitgliedstaats uns vorschreibt, es sei denn, dieses Recht verbietet die Mitteilung aus wichtigen Gründen des öffentlichen Interesses.

Artikel 5. Vertraulichkeit und Mitarbeiter

5.1 Jede Person, die für uns arbeitet und Zugang zu den verbundenen Daten hat, ist durch eine schriftliche oder gesetzliche Verschwiegenheitspflicht gebunden und in diesen Vertrag eingewiesen.

5.2 Der Zugang zu den verbundenen Daten ist auf die Personen beschränkt, die ihn für die Arbeit nach Artikel 2 brauchen. Jede Einsicht in eine Reserve und jeder Zugriff auf die Zugangsdaten einer Verbindung wird mit Person und Zeitpunkt protokolliert, auch bei unseren eigenen Mitarbeitern.

5.3 Wir behandeln vertraulich, dass du die Plattform nutzt und was deine verbundenen Daten enthalten.

Artikel 6. Sicherheitsmaßnahmen

6.1 Wir treffen die technischen und organisatorischen Maßnahmen in Anhang 2. Sie bieten ein dem Risiko angemessenes Schutzniveau unter Berücksichtigung des Stands der Technik, der Implementierungskosten und der Art der verbundenen Daten.

6.2 Wir dürfen eine Maßnahme durch eine ersetzen, die gleiche oder höhere Sicherheit bietet, und aktualisieren Anhang 2 mit der nächsten Fassung dieses Vertrags.

6.3 Soweit die Verarbeitung es zulässt, unterstützen wir dich bei deiner eigenen Sicherheitspflicht, deinen Datenschutz-Folgenabschätzungen und einer etwaigen vorherigen Konsultation der Aufsichtsbehörde nach den Artikeln 32 bis 36 DSGVO.

Artikel 7. Unterauftragsverarbeiter

7.1 Du genehmigst die Unterauftragsverarbeiter in Anhang 1. Jeder ist durch einen schriftlichen Vertrag gebunden, der ihm dieselben Datenschutzpflichten auferlegt, die dieser Vertrag uns auferlegt. Wir haften dir gegenüber in vollem Umfang für die Leistung eines Unterauftragsverarbeiters.

7.2 Wir informieren dich per Mail mindestens 30 Tage, bevor wir einen Unterauftragsverarbeiter hinzufügen oder ersetzen, und nennen die Partei, ihr Land und was sie tut.

7.3 Du kannst innerhalb dieser Frist aus angemessenen Gründen des Datenschutzes Einspruch erheben. Können wir vor dem Wirksamwerden der Änderung keine Alternative anbieten, darfst du die betroffene Verbindung kostenlos beenden und, wenn der neue Unterauftragsverarbeiter jede Verbindung bedient, diesen Vertrag. Die Beendigung folgt Artikel 12.

7.4 Anhang 1 nennt der Klarheit halber auch zwei Parteien, die keine Unterauftragsverarbeiter sind: das Zahlungsinstitut, ein eigenständiger Verantwortlicher für die Zahlung, und Shopify, die Quelle einer Verbindung.

Artikel 8. Unterstützung bei Anfragen betroffener Personen

8.1 Soweit die Verarbeitung es zulässt, unterstützen wir dich mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anfragen betroffener Personen nach Kapitel III DSGVO.

8.2 Eine Anfrage zu den verbundenen Daten, die wir unmittelbar von einer betroffenen Person erhalten, leiten wir unverzüglich an dich weiter. Wir beantworten sie nicht selbst, es sei denn, du weist uns an.

8.3 Bei einer Shopify-Verbindung sendet Shopify uns drei Compliance-Anfragen. Wir behandeln sie wie folgt und protokollieren jede.

• customers/data_request: wir melden dir die betroffene pseudonyme Kundenkennung und die Auftragszeilen, in denen sie vorkommt. Mehr existiert nicht.
• customers/redact: wir setzen die pseudonyme Kundenkennung in den betroffenen Verkaufszeilen auf null und entfernen sie aus den zugehörigen Roh-Payloads.
• shop/redact, gesendet, nachdem du die App deinstalliert hast: wir widerrufen die Verbindung, vernichten ihre Zugangsdaten und löschen ihre Roh-Payloads.

8.4 Normalisierte Daten, die Empfehlungen und die Aufzeichnungen tragen keine Kundenkennung und überstehen die drei Anfragen. Normalisierte Daten werden nur durch die Handlung in Artikel 12.5 gelöscht.

Artikel 9. Verletzung des Schutzes personenbezogener Daten

9.1 Wir informieren dich über eine Verletzung des Schutzes personenbezogener Daten, die die verbundenen Daten betrifft, unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem wir sie entdeckt haben, an die Mailadresse der Inhaber deiner Organisation.

9.2 Die Meldung beschreibt die Art der Verletzung, soweit möglich mit den Kategorien und der ungefähren Zahl der betroffenen Personen und Datensätze; unsere Kontaktperson; die wahrscheinlichen Folgen; und die ergriffenen oder vorgeschlagenen Maßnahmen, einschließlich derer zur Abmilderung der Folgen. Was nicht sofort verfügbar ist, folgt schrittweise ohne unangemessene weitere Verzögerung.

9.3 Wir unterstützen dich bei deiner Meldung an die Aufsichtsbehörde und, wo erforderlich, an die betroffenen Personen, und melden an keine von beiden in deinem Namen, es sei denn, du weist uns an. Wir dokumentieren jede Verletzung, ihre Auswirkungen und die Abhilfemaßnahmen und stellen dir diese Dokumentation zur Verfügung.

Artikel 10. Audits

10.1 Wir stellen dir alle Informationen zur Verfügung, die für den Nachweis der Einhaltung von Artikel 28 DSGVO und dieses Vertrags erforderlich sind.

10.2 Einmal im Jahr darfst du auf Anfrage unsere Einhaltung prüfen. Das Audit beginnt mit einem schriftlichen Fragebogen, den wir innerhalb einer angemessenen Frist beantworten. Reichen die Antworten nicht aus, darfst du oder ein zur Verschwiegenheit verpflichteter unabhängiger Auditor vor Ort prüfen, auf deine Kosten, während der Geschäftszeiten, mit einer Ankündigung von mindestens 30 Tagen, ohne unseren Betrieb zu stören und ohne Zugang zu den Daten einer anderen Organisation.

10.3 Ein Audit, das eine Aufsichtsbehörde verlangt oder das auf eine Verletzung des Schutzes personenbezogener Daten folgt, zählt nicht auf das jährliche Audit an.

Artikel 11. Übermittlungen außerhalb des EWR

11.1 Die verbundenen Daten werden in der Europäischen Union gespeichert und verarbeitet. Anhang 1 nennt das Land jedes Unterauftragsverarbeiters.

11.2 Drei Unterauftragsverarbeiter in Anhang 1 sind in den Vereinigten Staaten niedergelassen. Mailgun und Sentry verarbeiten auf EU-Infrastruktur über den EU-Endpoint und den EU-Ingest und erhalten keine verbundenen Daten. Anthropic PBC erhält die begrenzte Eingabe nach Anhang 2, Punkt 7. Die Inferenz ist auf die EU-Region festgelegt, die der Anbieter bietet, und der Anbieter trainiert nicht auf unseren Daten. Die Übermittlung dessen, was den Anbieter erreicht, stützt sich auf die von der Europäischen Kommission angenommenen Standardvertragsklauseln und auf die Zertifizierung des Anbieters unter dem EU-US Data Privacy Framework. Dieselben Klauseln decken die zwei anderen Parteien in den Vereinigten Staaten für jeden Zugriff von außerhalb des EWR ab.

11.3 Wir nehmen ohne deine vorherige schriftliche Weisung und einen gültigen Übermittlungsmechanismus keine andere Übermittlung außerhalb des EWR und keine Weiterübermittlung vor.

Artikel 12. Aufbewahrung, Rückgabe und Löschung

12.1 Roh-Payloads werden 180 Tage nach Eingang gelöscht, oder früher nach Artikel 8.3.

12.2 Normalisierte Daten werden für die Dauer der Verbindung aufbewahrt. Sie tragen keine andere Kundenkennung als die pseudonyme in Artikel 3.1.

12.3 Endet eine Verbindung oder dieser Vertrag, exportierst du deine normalisierten Daten, Empfehlungen und Aufzeichnungen über den Export im Portal. Nach deinem Export, oder sobald du uns mitteilst, dass du keinen brauchst, löschen wir die normalisierten Daten und die Zugangsdaten der Verbindung. Das Ende deines Kontos nach den Plattformbedingungen hat für jede Verbindung dieselbe Wirkung.

12.4 Wir bewahren die Aufzeichnungen als Verantwortlicher für unsere eigenen Pflichten auf: fünf Jahre ab Erstellung für Entscheidungsprotokolle, Erläuterungen und den Audit-Trail, je Land einstellbar, wo das Recht eine längere Frist verlangt, und sieben Jahre für Rechnungen und die dahinterliegenden Transaktionsdokumente nach niederländischem Steuerrecht. Innerhalb der Frist werden sie nicht gelöscht, auch nicht, wenn dein Konto endet. Personenbezogene Daten deiner Nutzer werden daraus entfernt, wo das den Nachweis nicht schwächt. Sie tragen keine Kundenkennung.

12.5 Du kannst uns jederzeit bitten, alles zu löschen, was wir aus einer Verbindung eingelesen haben: ihre Roh-Payloads und die daraus stammenden normalisierten Daten. Es ist eine bewusste Handlung mit eigener Bestätigung, mit dem Grund protokolliert, und der einzige Weg, der normalisierte Daten erreicht. Sie löscht die Aufzeichnungen in Artikel 12.4 nicht; die Bestätigung sagt das, bevor du bestätigst.

12.6 Eine Löschung erreicht unsere Produktivsysteme sofort und die Backups, sobald der Backup-Zyklus in Anhang 2 abgeschlossen ist. Auf Anfrage bestätigen wir eine Löschung schriftlich.

Artikel 13. Haftung

13.1 Die Haftung jeder Partei unter diesem Vertrag richtet sich nach dem Haftungsartikel der Plattformbedingungen, einschließlich seiner Obergrenze und seines Ausschlusses mittelbarer Schäden und Folgeschäden. Nichts in diesem Vertrag beschränkt die Haftung, die die DSGVO einer Partei gegenüber einer betroffenen Person oder einer Aufsichtsbehörde auferlegt.

13.2 Jede Partei trägt eine Geldbuße, die für ihren eigenen Verstoß verhängt wird. Eine Partei, die eine Geldbuße oder einen Schadensersatz für einen Verstoß der anderen Partei zahlt, kann den Betrag innerhalb der Obergrenze in Artikel 13.1 von dieser Partei zurückfordern.

Artikel 14. Laufzeit, Rangfolge und Recht

14.1 Dieser Vertrag gilt ab der Annahme, solange du eine Verbindung oder verbundene Daten auf der Plattform hast, und danach, bis die Rückgabe und Löschung nach Artikel 12 abgeschlossen sind. Die Artikel 5, 12, 13 und 14 gelten über sein Ende hinaus.

14.2 Wir dürfen diesen Vertrag mit einer Ankündigung per Mail von 30 Tagen ändern. Die weitere Nutzung einer Verbindung nach Ablauf der Frist gilt als Annahme. Nimmst du nicht an, darfst du die Verbindung nach Artikel 12 beenden.

14.3 Bei Fragen der Verarbeitung verbundener Daten geht dieser Vertrag den Plattformbedingungen vor. Bei jeder anderen Frage gehen die Plattformbedingungen vor.

14.4 Dieser Vertrag unterliegt niederländischem Recht. Die Rechtbank Amsterdam ist für jeden Streit, der aus ihm entsteht, ausschließlich zuständig.

Anhang 1. Unterauftragsverarbeiter

Partei	Land	Zweck	Betroffene Daten
Hetzner Online GmbH	Deutschland, Finnland wo genutzt (EU)	Hosting der Plattform, der Datenbank und der Backups	Alle verbundenen Daten, verschlüsselt gespeichert
Anthropic PBC	Vereinigte Staaten, EU-Inferenzregion	Sprachmodellaufrufe für Spaltenzuordnung, Angebotsentwürfe und Erläuterungen; kein Training auf unseren Daten; Standardvertragsklauseln und EU-US Data Privacy Framework	Die Eingabe nach Anhang 2, Punkt 7, mit deinem Namen entfernt
Mailgun (Sinch), EU-Endpoint	Vereinigte Staaten, Daten in der EU gespeichert	Transaktionsmails an deine Nutzer	Mailadresse und Inhalt der Nachricht; keine verbundenen Daten
Functional Software Inc., handelnd als Sentry, EU-Ingest	Vereinigte Staaten, Daten in der EU gespeichert	Fehlerüberwachung, 90 Tage	Nur die Kennungen von Organisation und Nutzer; keine Namen, Mailadressen, Request-Inhalte oder verbundenen Daten
ScrapingBee SAS	Frankreich (EU)	Abruf einer öffentlichen Produktseite in unserem Auftrag, wenn der Host dieser Seite unseren eigenen Leser abweist (ADR 0076); nur für Seiten, die ein Verkäufer für seine Produkte nennt	Die öffentliche Adresse dieser Seite; keine verbundenen Daten, kein Name, kein Login

Zwei Parteien der Klarheit halber aufgeführt, nicht als Unterauftragsverarbeiter:

Partei	Land	Rolle
Online Payment Platform B.V., Delft	Niederlande	Von De Nederlandsche Bank zugelassenes Zahlungsinstitut; eigenständiger Verantwortlicher für die Zahlung und seine eigene Kundenprüfung; erhält keine verbundenen Daten
Shopify International Ltd	Irland	Quelle einer Verbindung, die du genehmigst; sendet die Compliance-Anfragen nach Artikel 8.3; erhält von uns nichts über den Betrieb der App hinaus

Anhang 2. Sicherheitsmaßnahmen

1. EU-Hosting und Verschlüsselung. Die Plattform, ihre Datenbank und ihre Backups laufen beim Hosting-Unterauftragsverarbeiter in Anhang 1. Daten sind bei der Übertragung verschlüsselt; die Datenbank und die Backups sind verschlüsselt gespeichert.
2. Verschlüsselte Zugangsdaten. Die Zugangsdaten jeder Verbindung werden verschlüsselt gespeichert, mit einem Schlüssel, den die Anwendung hält und die Datenbank nicht. Sie erscheinen nie in Logs, Fehlerberichten oder Exporten.
3. Abgrenzung nach Rolle und Organisation. Das Verkäuferportal, das Käuferportal und die interne Konsole haben getrennte Authentifizierung. Jede Tabelle mit deinen Daten trägt deine Organisationskennung, und jede Portalabfrage ist darauf beschränkt. Inhaber und Mitglieder deiner Organisation haben die Rechte, die du zuweist.
4. Audit- und Entscheidungslogs, an die nur angefügt werden kann. Jede Statusänderung, jede manuelle Entscheidung unserer Mitarbeiter mit ihrem Grund, jede Einsicht in eine Reserve und jeder Export wird in ein Audit-Log geschrieben, das die Anwendung weder ändern noch löschen kann; die Datenbank erzwingt das. Entscheidungsprotokolle und Erläuterungen sind auf dieselbe Weise nur anfügbar.
5. Keine Rohzeilen oder Beispielwerte in Logs. Logs und Fehlerberichte enthalten nie eine Roh-Payload, eine Datenzeile, einen Beispielwert, Zugangsdaten oder eine Reserve. Eine Liste verbotener Schlüssel wird auf jedes Ereignis angewendet, bevor es die Plattform verlässt.
6. Fehlerüberwachung nur mit Kennungen. Fehlerberichte tragen die Kennungen von Organisation, Nutzer und Prozess, nie einen Namen, eine Mailadresse, einen Request-Inhalt oder einen Abfragewert, und werden 90 Tage beim Fehlerüberwachungs-Unterauftragsverarbeiter in der EU aufbewahrt.
7. Die Stichprobenregel für das Sprachmodell. Die Spaltenzuordnung sendet Spaltenköpfe, abgeleitete Typen und höchstens zehn Beispielwerte je Spalte, nie aus Umsatz-, Kunden- oder Margenspalten, mit deinem Namen entfernt. Angebotsentwürfe und Erläuterungen senden die aggregierten Felder eines Datensatzes, nie Zeilen mit Verkaufsdaten. Kein Aufruf enthält die Daten zweier Organisationen. Wir speichern einen Hash der Eingabe und den Vorschlag, nie die Eingabe. Eine Person bestätigt jeden Vorschlag, bevor er deine Daten berührt.
8. Backups. Backups werden nach einem festen Zeitplan erstellt, verschlüsselt in der EU gespeichert und in einem festen Zyklus überschrieben. Wiederherstellungen werden getestet.
9. Zugangs- und Änderungsmanagement. Der Zugang zur Produktion ist persönlich, nutzt Multi-Faktor-Authentifizierung, ist auf die Personen beschränkt, die ihn brauchen, und wird entzogen, wenn eine Person ausscheidet. Änderungen werden vor der Freigabe geprüft und getestet; Sicherheitstests stellen sicher, dass die Daten einer Organisation nie ein anderes Portal erreichen.
10. Verfahren bei einer Verletzung des Schutzes personenbezogener Daten. Ein dokumentiertes Verfahren deckt Erkennung, Eindämmung, Bewertung und die Meldung nach Artikel 9 ab.