Vertrag über die Verarbeitung personenbezogener Daten im Auftrag nach Art. 28 DSGVO (AV-Vertrag) — Stand: 22.10.2026
zwischen dem Nutzer von Storest (Händler, nachfolgend „Auftraggeber“) und Storest, Inh. Maximilian Budziat, An der Trift 10A, 31749 Auetal (nachfolgend „Auftragnehmer“). Dieser Vertrag ist Bestandteil der AGB und gilt mit der Registrierung als geschlossen. Auf Wunsch stellen wir ihn auch als unterschriebenes PDF bereit (info@storest.de).
1. Gegenstand und Dauer
1.1 Der Auftragnehmer betreibt für den Auftraggeber das
Warenwirtschaftssystem Storest (Bestand, Ein- und Verkauf,
Rechnungen, Buchhaltungsexporte, Anbindung von Verkaufskanälen).
Dabei verarbeitet er personenbezogene Daten, für die der
Auftraggeber Verantwortlicher ist.
1.2 Der Vertrag läuft so lange wie der Nutzungsvertrag. Pflichten,
die ihrer Natur nach fortbestehen (Vertraulichkeit, Löschung),
gelten darüber hinaus.
2. Art, Zweck und Umfang der Verarbeitung
Zweck: Erfassen und Übernehmen von Bestellungen,
Erstellen und Versenden von Rechnungen, Gutschriften und
Eigenbelegen, Führen von Kunden- und Lieferantenstammdaten,
Bestandsabgleich mit angebundenen Shops, Übergabe an die
Buchhaltung (DATEV-Export, BuchhaltungsButler, Belegversand an
den Steuerberater), Aufbewahrung nach GoBD.
Art der Daten: Name, Firma, Rechnungs- und
Lieferanschrift, E-Mail-Adresse, Telefonnummer, USt-ID,
Käufername bzw. Nutzername auf Marktplätzen, Bestell-, Rechnungs-
und Zahlungsangaben (Beträge, Zahlart, Zahlungsstatus — keine
Kartendaten), bei Ankäufen ggf. Ausweisangaben und Unterschrift
des Verkäufers, Fotos, Nutzungsprotokolle der Mitarbeitenden des
Auftraggebers.
Betroffene: Kundinnen und Kunden des
Auftraggebers (auch aus Shopify, WooCommerce und eBay),
Lieferanten und private Verkäufer, Mitarbeitende des
Auftraggebers.
3. Weisungen
3.1 Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte
Weisung des Auftraggebers. Weisungen sind dieser Vertrag, die
Einstellungen und Aktionen des Auftraggebers in Storest (z. B.
das Verbinden eines Shops oder das Aktivieren des Belegversands)
sowie Weisungen per E-Mail.
3.2 Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er
den Auftraggeber unverzüglich darauf hin.
4. Pflichten des Auftragnehmers
4.1 Alle Personen, die Zugang zu den Daten haben, sind zur
Vertraulichkeit verpflichtet.
4.2 Der Auftragnehmer trifft die technischen und organisatorischen
Maßnahmen nach Anlage 1 (Art. 32 DSGVO) und passt sie dem
Stand der Technik an, ohne das Schutzniveau zu senken.
4.3 Er unterstützt den Auftraggeber bei Anfragen Betroffener
(Art. 12–23 DSGVO), bei der Datenschutz-Folgenabschätzung und
bei Meldungen an die Aufsichtsbehörde. Über Datenauskunfts- und
Löschanfragen, die über Shopify eingehen, informiert Storest den
Auftraggeber in der App; nicht übernommene Bestellungen werden
dabei automatisch gelöscht.
4.4 Verletzungen des Schutzes personenbezogener Daten meldet der
Auftragnehmer dem Auftraggeber unverzüglich, möglichst binnen
24 Stunden nach Kenntnis, mit den Angaben nach Art. 33
Abs. 3 DSGVO, soweit bekannt.
5. Unterauftragsverarbeiter
5.1 Der Auftraggeber genehmigt die in Anlage 2 genannten
Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet sie
vertraglich auf ein gleichwertiges Schutzniveau.
5.2 Neue oder geänderte Unterauftragsverarbeiter kündigt der
Auftragnehmer mindestens vier Wochen vorher per E-Mail an. Der
Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund
widersprechen; ist keine Lösung möglich, kann er den
Nutzungsvertrag außerordentlich kündigen.
5.3 Dienste, die der Auftraggeber selbst anbindet (z. B.
eBay, Shopify, WooCommerce, BuchhaltungsButler, eigener
Anthropic-API-Schlüssel, Belegversand an den Steuerberater), sind
keine Unterauftragsverarbeiter des Auftragnehmers. Die Übermittlung
dorthin erfolgt auf Weisung des Auftraggebers, der mit diesen
Anbietern eigene Verträge hat.
6. Kontrollrechte
Der Auftragnehmer weist die Einhaltung dieses Vertrags auf Anfrage nach, vorrangig durch Auskünfte, Dokumentation und die Zertifikate seiner Unterauftragsverarbeiter. Vor-Ort-Prüfungen sind nach Absprache mit angemessener Vorlaufzeit möglich.
7. Löschung und Rückgabe
7.1 Der Auftraggeber kann seine Daten jederzeit exportieren
(Datensicherung als ZIP, GoBD-Export, CSV).
7.2 Nach Vertragsende löscht der Auftragnehmer die Daten, soweit
keine gesetzliche Aufbewahrungspflicht besteht. Belege, die der
Auftraggeber nach § 147 AO und § 14b UStG aufbewahren
muss, löscht er erst nach Bestätigung des Auftraggebers, dass er
sie exportiert hat, spätestens nach Ablauf der Frist.
7.3 Schon während der Laufzeit gilt: Bestellungen aus Shopify,
WooCommerce und eBay, die der Auftraggeber abgelehnt hat, verlieren
90 Tage nach dem Bestelldatum Name, Anschrift und
Kontaktdaten. Zugriffsprotokolle werden nach 12 Monaten
gelöscht.
8. Haftung
Es gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.
Anlage 1: Technische und organisatorische Maßnahmen
Vertraulichkeit: Rechenzentren von Cloudflare
(ISO 27001, SOC 2) mit Zutritts- und Zugangskontrolle;
Datenbank und Dateispeicher in der Region Osteuropa (EEUR).
Zugang zur App nur mit Konto; Passwörter gehasht (PBKDF2-SHA256
mit Salt); Sitzung in einem httpOnly-/Secure-Cookie. Strikte
Mandantentrennung: jede Abfrage ist auf den Betrieb beschränkt.
Mitarbeitende des Auftraggebers mit eigenem Konto und Rollen
(Inhaber/Mitarbeiter). Administrative Zugänge des Auftragnehmers
(Cloudflare, GitHub, AWS, Stripe, Shopify Partner) nur mit
Zwei-Faktor-Authentifizierung; Schlüssel der Anwendung als
verschlüsselte Secrets; Zugangstokens angebundener Shops nur
serverseitig, nie im Browser. Datenbank und Dateispeicher sind
im Ruhezustand verschlüsselt (Cloudflare D1/R2).
Integrität: Übertragung ausschließlich per TLS.
Festgeschriebene Rechnungen und Belege sind unveränderbar
(GoBD-Sperre, Storno statt Änderung), Änderungen werden in einer
Hash-verketteten Protokollkette festgehalten; Belegspeicher mit
Aufbewahrungssperre (8 Jahre). Lesezugriffe auf Kundendaten (Kundenansicht,
Belege, Exporte, offene Bestellungen) werden mit Person und
Zeitpunkt protokolliert.
Verfügbarkeit und Belastbarkeit: Redundante
Infrastruktur von Cloudflare, Point-in-Time-Recovery der
Datenbank (Cloudflare D1 Time Travel), Fehlerüberwachung.
Verfahren zur Überprüfung: Richtlinie für
Sicherheitsvorfälle mit Meldewegen; regelmäßige Prüfung der
Zugänge und Abhängigkeiten; Datensparsamkeit durch automatische
Löschfristen (siehe 7.3).
Anlage 2: Unterauftragsverarbeiter
Cloudflare, Inc., 101 Townsend St., San Francisco,
CA 94107, USA — Hosting der Anwendung, Datenbank, Dateispeicher
(Region Osteuropa). Übermittlung in die USA auf Grundlage des
EU-U.S. Data Privacy Framework und der Standardvertragsklauseln.
Amazon Web Services EMEA SARL, 38 Avenue John
F. Kennedy, L-1855 Luxemburg — Versand von E-Mails (Rechnungen an
Kunden, Belegversand), Region Frankfurt (eu-central-1).
Functional Software, Inc. (Sentry), 45 Fremont
St., San Francisco, CA 94105, USA — Fehlerüberwachung; es werden
technische Fehlerberichte übertragen, keine IP-Adressen oder
Cookies. Grundlage: EU-U.S. Data Privacy Framework und
Standardvertragsklauseln.