Vertrag zur Auftragsverarbeitung

Version 1.0 · Stand 22. September 2026 · nach Art. 28 DSGVO — Decore, Mariahilfbergweg 62, 92224 Amberg

Parteien

Verantwortlicher: Der Kunde, der die Plattform de_core() unter decore.cloud nutzt (Firma, Anschrift und Nutzerkonto gemäß Registrierung), nachfolgend „Verantwortlicher“.

Auftragsverarbeiter: Decore, Inhaber Bernd Schottdorf, Mariahilfbergweg 62, 92224 Amberg, Deutschland, E-Mail [email protected], nachfolgend „Auftragsverarbeiter“ oder „Decore“.

Präambel

Der Verantwortliche nutzt de_core(), einen Dienst, der Daten aus dem Onlineshop, der Warenwirtschaft, den Werbekonten, den Zahlungsanbietern, dem Versand und dem Kundenservice des Verantwortlichen liest und daraus Auswertungen, Hinweise, Vorschläge und Simulationen erstellt (nachfolgend „Hauptvertrag“, geregelt durch die AGB unter decore.cloud/agb). Dabei verarbeitet Decore personenbezogene Daten im Auftrag des Verantwortlichen. Dieser Vertrag regelt die Rechte und Pflichten der Parteien nach Art. 28 der Datenschutz-Grundverordnung (DSGVO). Er gilt für alle Verarbeitungen, die Decore für den Verantwortlichen im Rahmen des Hauptvertrags vornimmt, einschließlich kostenloser Testzugänge.

§ 1 Gegenstand und Dauer

1. Gegenstand des Auftrags ist die Verarbeitung personenbezogener Daten zur Bereitstellung von de_core(). Art und Zweck der Verarbeitung, die Kategorien der Daten und der betroffenen Personen ergeben sich aus Anlage 1.
2. Die Verarbeitung erfolgt ausschließlich lesend: Decore ruft Daten über die vom Verantwortlichen freigegebenen Schnittstellen ab, schreibt nichts in die Quellsysteme zurück und verändert dort keine Daten.
3. Die Laufzeit dieses Vertrags entspricht der Laufzeit des Hauptvertrags. Er endet mit dem Hauptvertrag, spätestens mit der vollständigen Löschung der Daten nach § 11.

§ 2 Ort der Verarbeitung

1. Die Verarbeitung findet in Deutschland statt. Decore betreibt den Dienst auf Servern der Hetzner Online GmbH im Rechenzentrum Nürnberg.
2. Eine Verarbeitung in einem Drittland außerhalb der EU und des EWR erfolgt nur durch die in Anlage 2 genannten Unterauftragsverarbeiter und nur unter den dort genannten Garantien nach Kapitel V DSGVO.

§ 3 Weisungen

1. Decore verarbeitet die Daten ausschließlich im Rahmen der getroffenen Vereinbarungen und nach dokumentierten Weisungen des Verantwortlichen. Der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Verantwortliche in der Plattform vornimmt (insbesondere welche Systeme er verbindet und welche Datenkategorien er freigibt), gelten als dokumentierte Weisungen.
2. Weitere Weisungen erteilt der Verantwortliche in Textform an [email protected]. Mündliche Weisungen bestätigt der Verantwortliche unverzüglich in Textform.
3. Decore informiert den Verantwortlichen unverzüglich, wenn eine Weisung nach Auffassung von Decore gegen die DSGVO oder andere Datenschutzvorschriften verstößt. Decore darf die Ausführung der Weisung bis zur Bestätigung oder Änderung durch den Verantwortlichen aussetzen.
4. Decore verarbeitet die Daten nicht für eigene Zwecke. Ausgenommen ist die Verarbeitung, zu der Decore gesetzlich verpflichtet ist; in diesem Fall teilt Decore dem Verantwortlichen die gesetzliche Anforderung vor der Verarbeitung mit, sofern das Gesetz eine Mitteilung nicht verbietet.

§ 4 Pflichten des Auftragsverarbeiters

1. Vertraulichkeit. Decore gewährleistet, dass alle mit der Verarbeitung befassten Personen zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Die Verpflichtung besteht nach Beendigung der Tätigkeit fort.
2. Sicherheit. Decore trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 3 beschrieben sind. Decore darf diese Maßnahmen an den Stand der Technik anpassen, sofern das Schutzniveau nicht unterschritten wird.
3. Ansprechpartner. Decore ist als Einzelunternehmen mit weniger als zwanzig mit der Verarbeitung beschäftigten Personen nicht zur Benennung eines Datenschutzbeauftragten verpflichtet. Ansprechpartner für den Datenschutz ist Bernd Schottdorf, [email protected].
4. Unterstützung. Decore unterstützt den Verantwortlichen mit angemessenen Mitteln bei der Erfüllung seiner Pflichten aus Art. 32 bis 36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, Konsultation der Aufsichtsbehörde) und bei der Beantwortung von Anfragen betroffener Personen nach § 8.
5. Nachweise. Decore stellt dem Verantwortlichen alle Informationen zur Verfügung, die zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen nach § 10.
6. Verzeichnis. Decore führt ein Verzeichnis der Verarbeitungstätigkeiten nach Art. 30 Abs. 2 DSGVO.
7. Kontrolle durch Behörden. Decore informiert den Verantwortlichen unverzüglich über Kontrollhandlungen und Maßnahmen von Aufsichtsbehörden, soweit sie die Daten des Verantwortlichen betreffen, sowie über Ermittlungen, die auf einen Verstoß gegen Datenschutzvorschriften bei der Verarbeitung dieser Daten hindeuten.

§ 5 Pflichten des Verantwortlichen

1. Der Verantwortliche ist im Verhältnis der Parteien allein für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für die Rechtsgrundlage der Datenerhebung in seinen Quellsystemen und für die Wahrung der Rechte der betroffenen Personen.
2. Der Verantwortliche entscheidet durch die Auswahl der verbundenen Systeme und der freigegebenen Datenkategorien, welche Daten Decore abruft. Er verbindet nur Systeme, deren Daten er rechtmäßig an einen Auftragsverarbeiter weitergeben darf.
3. Der Verantwortliche informiert Decore unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.
4. Der Verantwortliche benennt Decore einen Ansprechpartner für Datenschutzfragen, im Zweifel den Inhaber des Nutzerkontos.

§ 6 Unterauftragsverarbeiter

1. Der Verantwortliche genehmigt allgemein den Einsatz von Unterauftragsverarbeitern. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter sind in Anlage 2 aufgeführt.
2. Decore verpflichtet jeden Unterauftragsverarbeiter vertraglich zu Datenschutzpflichten, die den Pflichten aus diesem Vertrag entsprechen, und prüft vor dem Einsatz dessen Garantien nach Art. 28 Abs. 1 DSGVO. Decore haftet gegenüber dem Verantwortlichen für die Pflichterfüllung der Unterauftragsverarbeiter.
3. Beabsichtigt Decore, einen Unterauftragsverarbeiter hinzuzufügen oder zu ersetzen, informiert Decore den Verantwortlichen mindestens 30 Tage vor dem Einsatz per E-Mail an die Adresse des Nutzerkontos und aktualisiert Anlage 2 unter decore.cloud/avv. Der Verantwortliche kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform widersprechen. Kommt keine Einigung zustande, kann jede Partei den Hauptvertrag zum Zeitpunkt des geplanten Einsatzes kündigen.
4. Nicht als Unterauftragsverarbeitung gelten Nebenleistungen ohne Zugriff auf die Daten des Verantwortlichen, etwa Telekommunikations- oder Wartungsleistungen, sowie die Quellsysteme des Verantwortlichen selbst (Shop, Warenwirtschaft, Werbekonten, Zahlungsanbieter, Versand, Kundenservice), da diese im Auftrag des Verantwortlichen und nicht im Auftrag von Decore arbeiten.

§ 7 Übermittlung in Drittländer

Übermittelt ein Unterauftragsverarbeiter Daten in ein Land außerhalb der EU und des EWR, stellt Decore sicher, dass die Anforderungen des Kapitels V DSGVO erfüllt sind, insbesondere durch einen Angemessenheitsbeschluss der EU-Kommission (etwa das EU-US Data Privacy Framework) oder durch die Standardvertragsklauseln der EU-Kommission nach Art. 46 Abs. 2 lit. c DSGVO, ergänzt um die erforderlichen zusätzlichen Maßnahmen. Die jeweils einschlägige Garantie ist in Anlage 2 je Unterauftragsverarbeiter benannt.

§ 8 Rechte der betroffenen Personen

1. Wendet sich eine betroffene Person mit einem Anliegen nach Art. 15 bis 22 DSGVO an Decore, leitet Decore die Anfrage unverzüglich an den Verantwortlichen weiter und beantwortet sie nicht selbst, es sei denn, der Verantwortliche weist Decore dazu an.
2. Decore unterstützt den Verantwortlichen bei der Erfüllung dieser Anfragen, insbesondere durch Auskunft, Berichtigung, Löschung oder Einschränkung der bei Decore gespeicherten Daten, innerhalb von zehn Werktagen nach Weisung.
3. Decore speichert Kundenstammdaten der Endkunden des Verantwortlichen nicht dauerhaft; Bestelldaten liegen in Zwischenspeichern mit kurzer Lebensdauer, Auswertungen sind aggregiert. Die Auskunft beschränkt sich daher in der Regel auf diese Information, siehe Anlage 1.

§ 9 Meldung von Verletzungen des Schutzes personenbezogener Daten

1. Decore meldet dem Verantwortlichen jede Verletzung des Schutzes personenbezogener Daten, die Daten des Verantwortlichen betrifft, unverzüglich nach Kenntniserlangung, spätestens innerhalb von 48 Stunden, per E-Mail an die Adresse des Nutzerkontos.
2. Die Meldung enthält, soweit bekannt, die Art der Verletzung, die betroffenen Datenkategorien und die ungefähre Zahl der betroffenen Personen und Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und einen Ansprechpartner. Informationen, die noch nicht vorliegen, reicht Decore ohne unangemessene Verzögerung nach.
3. Decore unterstützt den Verantwortlichen bei der Meldung an die Aufsichtsbehörde (Art. 33 DSGVO) und bei der Benachrichtigung der betroffenen Personen (Art. 34 DSGVO). Decore meldet Verletzungen nicht selbst an Aufsichtsbehörden oder betroffene Personen, es sei denn, Decore ist gesetzlich dazu verpflichtet.

§ 10 Kontrollrechte des Verantwortlichen

1. Der Verantwortliche hat das Recht, die Einhaltung dieses Vertrags zu überprüfen. Decore stellt dazu auf Anfrage die Beschreibung der technischen und organisatorischen Maßnahmen (Anlage 3), vorhandene Zertifikate und Berichte der Unterauftragsverarbeiter sowie eine Selbstauskunft zur Verfügung.
2. Reichen diese Nachweise im Einzelfall nicht aus, kann der Verantwortliche oder ein von ihm beauftragter, zur Verschwiegenheit verpflichteter Prüfer eine Kontrolle durchführen. Kontrollen werden mindestens 14 Tage vorher angekündigt, finden zu den üblichen Geschäftszeiten statt, stören den Betrieb nicht unangemessen und werden in der Regel per Fernzugriff oder Dokumentenprüfung durchgeführt. Ohne konkreten Anlass findet höchstens eine Kontrolle pro Kalenderjahr statt.
3. Kontrollen bei Unterauftragsverarbeitern erfolgen im Rahmen der dort vorgesehenen Nachweise (Zertifikate, Prüfberichte).
4. Der Verantwortliche trägt die Kosten seiner Kontrolle. Decore kann für den eigenen Aufwand eine angemessene Vergütung verlangen, wenn eine Kontrolle über die Nachweise nach Absatz 1 hinausgeht und keinen Verstoß feststellt.

§ 11 Löschung und Rückgabe

1. Nach Beendigung des Hauptvertrags löscht Decore alle im Auftrag verarbeiteten personenbezogenen Daten einschließlich der Zugangsdaten zu den Quellsystemen, der Zwischenspeicher, der abgeleiteten Auswertungen und der Sicherungskopien innerhalb von 30 Tagen, sofern keine gesetzliche Aufbewahrungspflicht entgegensteht. Bei kostenlosen Testzugängen gilt dieselbe Frist ab Ablauf des Testzeitraums.
2. Auf Weisung des Verantwortlichen stellt Decore die in de_core() gespeicherten Daten vor der Löschung in einem gängigen maschinenlesbaren Format (CSV oder JSON) zur Verfügung.
3. Trennt der Verantwortliche eine einzelne Verbindung in den Einstellungen oder deinstalliert er die Anbindung im Quellsystem, löscht Decore die Zugangsdaten sofort und die aus dieser Quelle stammenden Daten innerhalb von 30 Tagen.
4. Decore bestätigt die Löschung auf Anfrage in Textform. Protokolldaten, die für den Nachweis der ordnungsgemäßen Verarbeitung erforderlich sind, dürfen über die Frist hinaus aufbewahrt werden, soweit sie keine Rückschlüsse auf Endkunden des Verantwortlichen zulassen.

§ 12 Haftung

1. Für die Haftung der Parteien gilt Art. 82 DSGVO. Im Innenverhältnis haften die Parteien einander nach den Regelungen des Hauptvertrags.
2. Der Verantwortliche stellt Decore von Ansprüchen Dritter frei, die darauf beruhen, dass der Verantwortliche Daten ohne ausreichende Rechtsgrundlage erhoben oder an Decore weitergegeben hat.

§ 13 Abschluss, Änderungen, Rangfolge

1. Dieser Vertrag kommt zustande, indem der Verantwortliche ihn bei der Registrierung oder Einrichtung in de_core() ausdrücklich bestätigt oder ihn per E-Mail von der Adresse seines Nutzerkontos an [email protected] unter Angabe von Firma und Nutzerkonto annimmt. Decore bestätigt die Annahme mit Datum und Versionsnummer. Eine Unterschrift ist nach Art. 28 Abs. 9 DSGVO nicht erforderlich; das elektronische Format genügt.
2. Decore kann diesen Vertrag anpassen, um ihn an geänderte Rechtsvorschriften, behördliche Vorgaben oder technische Entwicklungen anzupassen. Änderungen werden dem Verantwortlichen mindestens 30 Tage vor Inkrafttreten per E-Mail mitgeteilt und unter decore.cloud/avv mit neuer Versionsnummer veröffentlicht. Widerspricht der Verantwortliche nicht innerhalb dieser Frist in Textform, gilt die neue Fassung als angenommen. Auf dieses Widerspruchsrecht wird in der Mitteilung hingewiesen. Änderungen zu Lasten des Verantwortlichen, die das Schutzniveau senken, bedürfen seiner ausdrücklichen Zustimmung.
3. Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Er ersetzt frühere Vereinbarungen zur Auftragsverarbeitung zwischen den Parteien.
4. Es gilt das Recht der Bundesrepublik Deutschland. Gerichtsstand ist Amberg, soweit der Verantwortliche Kaufmann, juristische Person des öffentlichen Rechts oder öffentlich-rechtliches Sondervermögen ist.
5. Sollte eine Bestimmung dieses Vertrags unwirksam sein oder werden, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt. An die Stelle der unwirksamen Bestimmung tritt die gesetzliche Regelung, die dem Zweck der DSGVO am nächsten kommt.

Anlage 1 · Gegenstand der Verarbeitung

Zweck der Verarbeitung. Bereitstellung von de_core() für den Verantwortlichen: Zusammenführung der Daten aus seinen Quellsystemen in einem Modell, Berechnung von Kennzahlen (unter anderem Deckungsbeitrag je Artikel und je Kunde, Nachbestellmengen, Liquiditätsvorschau, Abwanderungsrisiko), Hinweise und Alarme, Vorschläge mit Handlungsoptionen, Simulationen, Beantwortung von Fragen des Verantwortlichen zu seinen Daten. Der Verantwortliche entscheidet über jede Aktion selbst; de_core() führt keine Aktionen in den Quellsystemen aus.

Art der Verarbeitung. Lesender Abruf über die Schnittstellen der Quellsysteme, Speicherung, Aggregation, Berechnung, Anzeige im Nutzerkonto, Versand von Hinweisen per E-Mail an den Verantwortlichen, Übermittlung von Ausschnitten an das Sprachmodell des Unterauftragsverarbeiters nach Anlage 2 zur Erstellung von Analysen, Löschung.

Kategorien betroffener Personen.

• Endkunden des Verantwortlichen (Käufer im Onlineshop, Rechnungsempfänger)
• Ansprechpartner bei Lieferanten und Geschäftspartnern des Verantwortlichen
• Mitarbeiter und Beauftragte des Verantwortlichen (Nutzerkonten in de_core(), Bearbeiter in Belegen)
• Personen, die den Kundenservice des Verantwortlichen kontaktieren (nur bei angebundenem Helpdesk)

Kategorien personenbezogener Daten. Welche Kategorien tatsächlich verarbeitet werden, hängt davon ab, welche Systeme der Verantwortliche verbindet und welche Freigaben er erteilt.

• Bestelldaten aus Shop und Warenwirtschaft: Bestellnummer, Datum, Beträge, Status, Versandart, Lieferort auf Ortsebene, eingelöste Rabattcodes, eine pseudonyme Kundennummer. Standardmäßig Bestellungen der letzten 90 Tage.
• Kundenstammdaten der Endkunden (Name, E-Mail-Adresse, Anschrift) nur, wenn der Verantwortliche diese Kategorie ausdrücklich freigibt, und nur für Kennzahlen wie Wiederkaufrate, Kundenwert und Abwanderungsrisiko.
• Belegdaten aus der Warenwirtschaft: Aufträge, Ausgangs- und Eingangsrechnungen, Lieferantenbestellungen, offene Posten mit Kunden- oder Lieferantenbezeichnung, Beträgen und Fälligkeiten.
• Produkt- und Bestandsdaten (in der Regel ohne Personenbezug).
• Werbekonten: Kosten, Klicks, Umsätze je Kampagne und Tag (ohne Personenbezug).
• Zahlungsanbieter: Transaktionen mit Betrag, Gebühr, Zeitpunkt, Auszahlungsdatum; je nach Anbieter mit Transaktionskennung oder E-Mail-Adresse des Käufers.
• Versand: Sendungsnummer, Status, Empfängerort, Zustellzeitpunkt.
• Kundenservice (nur bei angebundenem Helpdesk): Anfragen mit Name, E-Mail-Adresse, Betreff und Text zur Erkennung von Themen und Häufungen.
• Daten des Nutzerkontos: Name, E-Mail-Adresse, Rolle, Anmeldezeitpunkte.

Besondere Kategorien nach Art. 9 DSGVO sind nicht Gegenstand des Auftrags. Der Verantwortliche verbindet keine Systeme, die solche Daten enthalten.

Speicherdauer. Zugangsdaten und Auswertungen für die Laufzeit des Hauptvertrags; Bestell-Zwischenspeicher wenige Minuten bis Stunden; Server-Protokolle höchstens 30 Tage; Löschung nach § 11.

Anlage 2 · Unterauftragsverarbeiter

Stand 22. September 2026. Änderungen nach § 6 Abs. 3.

Die Zahlungsabwicklung über Stripe betrifft nur die Vertragsdaten des Verantwortlichen selbst und ist keine Auftragsverarbeitung im Sinne dieses Vertrags; sie ist in der Datenschutzerklärung unter decore.cloud/datenschutz beschrieben.

Anlage 3 · Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

1. Vertraulichkeit

• Zutrittskontrolle: Betrieb in Rechenzentren der Hetzner Online GmbH mit Zutrittskontrolle, Videoüberwachung und Zertifizierung nach ISO 27001. Decore hat keinen physischen Zugang; Zugriff nur über das Netz.
• Zugangskontrolle: Administrativer Zugang zu den Servern ausschließlich per SSH mit Schlüsselverfahren, kein Passwort-Login. Zugang zur Plattform mit Benutzername und Passwort (Mindestlänge 12 Zeichen mit Großbuchstabe und Ziffer, gespeichert als bcrypt-Hash); Zwei-Faktor-Authentifizierung per Einmalcode (TOTP) steht zur Verfügung und ist für die Administratorkonten der Plattform aktiviert.
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem in der Plattform (Administrator, Analyst, Betrachter). Zugriff auf Kundendaten durch Decore nur zur Fehlerbehebung und Weiterentwicklung im Rahmen des Auftrags.
• Trennungskontrolle: Jeder Kunde erhält eine eigene Instanz von de_core() in einem eigenen Container mit eigener Datenbank und eigenem Datenverzeichnis. Daten verschiedener Kunden werden nicht gemeinsam gespeichert oder ausgewertet.
• Pseudonymisierung: Endkunden werden in Bestelldaten standardmäßig nur über eine pseudonyme Kundennummer geführt. Kundenstammdaten werden nur bei ausdrücklicher Freigabe abgerufen.
• Verschlüsselung: Alle Verbindungen zur Plattform und zu den Quellsystemen sind mit TLS verschlüsselt. Zugangsdaten zu den Quellsystemen (API-Schlüssel, Token) werden verschlüsselt gespeichert (AES, Fernet-Verfahren) und nur zum Abruf der Daten entschlüsselt.

2. Integrität

• Weitergabekontrolle: Datenabruf nur aus den vom Verantwortlichen freigegebenen Systemen und nur lesend. Übermittlung an das Sprachmodell nur mit den für die jeweilige Analyse erforderlichen Ausschnitten. Keine Weitergabe zu Werbe- oder Marketingzwecken.
• Eingabekontrolle: Anmeldungen, Verbindungen zu Quellsystemen, Freigaben und Aktionen des Verantwortlichen werden mit Zeitstempel protokolliert.

3. Verfügbarkeit und Belastbarkeit

• Tägliche Sicherung der Datenbanken und Datenverzeichnisse auf dem Server in Deutschland, Vorhaltung 14 Tage, Zugriff auf die Sicherungen nur für den Administrator.
• Schutz vor Überlast und Angriffen durch das vorgeschaltete Netzwerk (Cloudflare), Systemüberwachung mit automatischem Neustart von Diensten.
• Getrennte Umgebungen für Entwicklung, Prüfung und Produktivbetrieb; Änderungen werden vor dem Einsatz automatisiert geprüft.

4. Verfahren zur regelmäßigen Überprüfung

• Datenschutz-Management: Verzeichnis der Verarbeitungstätigkeiten, jährliche Überprüfung dieser Maßnahmen und der Unterauftragsverarbeiter, Dokumentation von Änderungen.
• Vorfall-Management: Meldeweg nach § 9, Dokumentation aller Vorfälle.
• Datenschutzfreundliche Voreinstellungen: Standardmäßig Abruf der Bestellungen der letzten 90 Tage, Kundenstammdaten nur nach Freigabe, Zwischenspeicher mit kurzer Lebensdauer, automatische Löschung von Testzugängen 30 Tage nach Ablauf.
• Auftragskontrolle: Schriftliche Verträge mit allen Unterauftragsverarbeitern; Weisungen nur in Textform.