Auftragsverarbeitungsvertrag (AVV)

Paragraph 1 Gegenstand und Dauer der Verarbeitung

(1) Gegenstand: Die Verarbeitung personenbezogener Daten erfolgt im Rahmen der Nutzung der Cloud-Software "BISpicy Warenwirtschaft" einschließlich – sofern genutzt – des vom Auftragnehmer gehosteten BIS Shops.

(2) Dauer: Die Verarbeitung erfolgt für die Laufzeit des Hauptvertrages. Nach Beendigung werden alle personenbezogenen Daten innerhalb von 30 Tagen gelöscht, sofern keine gesetzlichen Aufbewahrungspflichten bestehen.

(3) Art der Verarbeitung:

• Erhebung, Speicherung und Verwendung von Kundenstammdaten
• Verarbeitung von Bestelldaten und Transaktionen
• Erstellung von Rechnungen und Lieferscheinen
• Übermittlung an Versanddienstleister zur Auftragserfüllung
• KI-gestützte Funktionen (sofern aktiviert): Erkennung/Extraktion von Eingangsrechnungen, KI-Artikelanlage, KI-Repricing
• Automatischer E-Mail-Versand von Kassenberichten (Kassenjournal, DATEV-Buchungsstapel der Kassenerlöse und der Kassenbewegungen, optional DSFinV-K-Export) an vom Auftraggeber benannte Empfänger, die den Empfang zuvor selbst per Link bestätigt haben (nur sofern BIS Insights aktiviert); Versand über den SMTP-Zugang des Auftraggebers, ersatzweise über den Mailserver des Auftragnehmers. Die Übermittlung erfolgt auf Weisung des Auftraggebers; die Empfänger sind keine Unterauftragsverarbeiter des Auftragnehmers.
• Belegversand an Endkunden auf deren Wunsch (sofern an der Kasse genutzt): Übermittlung eines Links auf den digitalen Beleg an die vom Endkunden an der Kasse angegebene E-Mail-Adresse über den Mailserver des Auftragnehmers. Für diesen Link-Versand wird die Adresse nicht gespeichert; zum Schutz vor missbräuchlichem Versand (Art. 32 DSGVO) bildet der Auftragnehmer einen pseudonymen Prüfwert (HMAC-SHA256) der Adresse, den er nach 48 Stunden löscht, und protokolliert Zeitpunkt, Gerät, Beleg und Versandstatus für 90 Tage. Ein per E-Mail versendeter digitaler Beleg bleibt ab Versand mindestens 90 Tage abrufbar, auch wenn der Auftraggeber eine kürzere Gültigkeit eingestellt hat. Die Übermittlung erfolgt auf Weisung des Auftraggebers; die Empfänger sind keine Unterauftragsverarbeiter des Auftragnehmers. DIN-A4-Rechnungen, die aus der Kasse per E-Mail versendet werden, erfasst das E-Mail-Versandprotokoll.
• E-Mail-Versandprotokoll (BIS ERP): Protokollierung jeder E-Mail, die der Auftragnehmer über BIS ERP im Auftrag des Auftraggebers versendet oder zu versenden versucht – einschließlich der aus der Kasse per E-Mail versendeten DIN-A4-Rechnungen und der E-Mails des Terminmoduls –, zum Nachweis von Versand und Versandergebnis, zur Klärung von Rückfragen und zur Anzeige im E-Mail-Verlauf der Kundenakte. Inhalt und Anhänge der E-Mails werden im Protokoll nicht gespeichert; ob eine E-Mail zugestellt oder gelesen wurde, wird nicht erfasst (kein Tracking, keine Lesebestätigung). Das Protokoll belegt nur die Annahme durch den versendenden Mailserver, nicht den Zugang beim Empfänger, und ist keine Wiedergabe der E-Mail; die Aufbewahrung von Belegen und Geschäftsbriefen bleibt Sache des Auftraggebers. Das Protokoll ist nicht zur Leistungs- oder Verhaltenskontrolle der Beschäftigten des Auftraggebers bestimmt.
• Archiv-Ablage „Altdaten aus Vorsystem“ (sofern genutzt): Entgegennahme, unveränderte Speicherung und Bereitstellung der vom Auftraggeber hochgeladenen Originalexporte seines früheren Kassen- oder Aufzeichnungssystems (z. B. DSFinV-K-Export, TSE-Export, Journale, Z-Bons, Programmierprotokolle, Verfahrensdokumentation). Dazu gehören die Bildung einer Prüfsumme (SHA-256), eine automatische technische Prüfung von Aufbau, Vollständigkeit und Zeitraum der Dateien, eine softwareseitige Löschsperre, die Protokollierung von Hochladen, Abruf und Prüfung, eine Eingangsbestätigung per E-Mail sowie die Aufnahme in Datensicherungen und in das Exportpaket. Eine inhaltliche Auswertung der Dateien findet nicht statt.
• E-Mail-Archiv (BIS Archiv, sofern genutzt): Abruf der E-Mails aus den vom Auftraggeber verbundenen Postfächern – bei IMAP aus dem angegebenen Ordner (Voreinstellung Posteingang), bei der Google-Schnittstelle aus dem gesamten Postfach ohne Spam und Papierkorb –, unveränderte Speicherung der archivierten Nachrichten einschließlich Anhängen mit Prüfsumme (SHA-256) sowie Bereitstellung zum Auffinden und Abruf. Eine automatische Vorauswahl nimmt Nachrichten von der Speicherung aus, wenn Ordnername, Adressen oder Betreff bestimmte Stichwörter enthalten (z. B. „privat“, „betriebsrat“, „newsletter“). Sie ist eine technische Voreinstellung, derzeit nicht vom Auftraggeber einstellbar und keine Zusage, dass private oder sonstige nicht archivierungspflichtige Nachrichten nicht gespeichert werden. Der Auftraggeber verbindet nur Postfächer, deren Inhalt er archivieren darf, und prüft die Zulässigkeit selbst (z. B. Beschäftigtendatenschutz, Betriebsvereinbarung). Das Passwort bzw. der Zugriffs-Token zum Postfach wird verschlüsselt gespeichert.
• Gehosteter BIS Shop – elektronische Widerrufsfunktion (nur sofern der Auftraggeber einen BIS Shop nutzt): Bereitstellung der gesetzlich vorgeschriebenen Funktion „Vertrag widerrufen“ (§ 356a BGB) im Shop des Auftraggebers: Entgegennahme der Widerrufserklärung seiner Endkunden, Eingangsbestätigung mit Zeitpunkt und PDF, Versand der Eingangsbestätigung an die vom Endkunden angegebene Adresse und einer Meldung an den Auftraggeber, Missbrauchsabwehr mit Zählern auf Basis pseudonymer Prüfwerte (HMAC) (IP-Adresse, E-Mail-Adresse; keine Klartext-IP), die nach spätestens 25 Stunden gelöscht werden sowie – bei Anbindung des Shops an BIS ERP – Übernahme als Retoure. Der Mailversand läuft über den SMTP-Zugang des Auftraggebers, ersatzweise über den System-Mailserver des Auftragnehmers (Hetzner Online GmbH, siehe Unterauftragsverarbeiter); die Widerrufsmails enthalten nur eine Kurzfassung, nie Grund oder Freitext. Die Speicherung erfolgt in der Shop-Datenbank auf den Servern des Auftragnehmers (DigitalOcean, Frankfurt).
• Gehosteter BIS Shop – Kundenkonten und Bestellungen (nur sofern der Auftraggeber einen BIS Shop nutzt): Betrieb des Online-Shops des Auftraggebers auf den Servern des Auftragnehmers (DigitalOcean, Frankfurt), in dem Kundenkonten und Bestellungen seiner Endkunden (Besteller, Kontoinhaber) angelegt, gespeichert und verwaltet werden. Der Auftraggeber ist im Verhältnis zu seinen Endkunden Verantwortlicher. Zahlungsdaten gehen auf Weisung des Auftraggebers an die von ihm im Shop eingerichteten Zahlungsanbieter; diese sind seine Vertragspartner und keine Unterauftragsverarbeiter des Auftragnehmers.
• Gehosteter BIS Shop – Pflichtmails und Kontaktformular (nur sofern der Auftraggeber einen BIS Shop nutzt): Versand der E-Mails des Shops im Namen des Auftraggebers: an dessen Endkunden die Bestellbestätigung (mit Name, Rechnungs- und Lieferanschrift, bestellten Positionen, Preisen, Zahlungshinweisen des Auftraggebers, z. B. seiner Bankverbindung, sowie den vom Auftraggeber hinterlegten Rechtstexten wie Widerrufsbelehrung und AGB), Mails zu Kundenkonto und Passwort (E-Mail-Adresse, Link mit Token; der Link zum Zurücksetzen des Passworts gilt 24 Stunden, der Link zur Kontobestätigung bis zur Bestätigung), außerdem Weiterleitung von Anfragen aus dem Kontaktformular des Shops an die vom Auftraggeber hinterlegte Kontakt-E-Mail-Adresse (E-Mail-Adresse und Freitext des Absenders). Das Kontaktformular speichert weder Inhalt noch Adresse des Absenders, es leitet nur weiter (gespeichert wird allein ein Zählerschlüssel, siehe Fristen); der Freitext kann vom Absender frei gewählte Inhalte enthalten, auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Zu jeder versendeten Bestellbestätigung führt der Auftragnehmer einen Versandnachweis (siehe Paragraph 8 Absatz 5). Der Mailversand läuft über den SMTP-Zugang des Auftraggebers, ersatzweise über den System-Mailserver des Auftragnehmers (Hetzner Online GmbH, Deutschland, siehe Unterauftragsverarbeiter); dafür wird kein weiterer Unterauftragsverarbeiter eingesetzt. Die Rechtstexte des Auftraggebers werden als aufeinanderfolgende Fassungen gespeichert und nie überschrieben.
• Gehosteter BIS Shop – Rechtstexte (nur sofern der Auftraggeber einen BIS Shop nutzt): Speicherung der vom Auftraggeber in BIS ERP hinterlegten Rechtstexte (Impressum, Datenschutzerklärung, AGB, Widerrufsbelehrung, Versand- und Zahlungsbedingungen) je Sprache als aufeinanderfolgende Fassungen und deren Auslieferung als öffentlich abrufbare Seiten seines Shops und in der Bestellbestätigung. Die Texte können personenbezogene Daten des Auftraggebers und der von ihm genannten Personen enthalten (z. B. Name des Inhabers, der Vertretungsberechtigten oder des Datenschutzbeauftragten, Kontaktdaten), die der Auftraggeber zur Veröffentlichung bestimmt; ihre Richtigkeit verantwortet der Auftraggeber.

Paragraph 2 Kategorien betroffener Personen und Daten

2.1 Kategorien betroffener Personen

• Kunden/Endkunden des Auftraggebers
• Kopie-Empfänger (CC/BCC) der E-Mails, die der Auftraggeber über BIS ERP an seine Endkunden versendet (z. B. Buchhaltung oder Steuerberatung des Endkunden)
• Lieferanten des Auftraggebers
• Mitarbeiter des Auftraggebers
• Ansprechpartner bei Geschäftspartnern
• Vom Auftraggeber benannte Berichtsempfänger (z. B. Steuerberatung, Buchhaltung)
• Mitarbeiter (auch ehemalige), Kunden und Geschäftspartner des Auftraggebers, die in den Aufzeichnungen seines früheren Kassen- oder Aufzeichnungssystems erfasst sind (Archiv-Ablage, sofern genutzt)
• Korrespondenzpartner des Auftraggebers (Absender und Empfänger archivierter E-Mails) sowie in Nachrichten und Anhängen genannte Dritte, z. B. Bewerber, Beschäftigte und Kunden (E-Mail-Archiv, sofern genutzt)
• Verbraucher (Endkunden der Shops des Auftraggebers), die über die Widerrufsfunktion eines BIS Shops einen Vertrag widerrufen (sofern genutzt)
• Besteller, Kontoinhaber und Absender des Kontaktformulars in den BIS Shops des Auftraggebers (Endkunden und Interessenten; sofern genutzt)
• Inhaber, Vertretungsberechtigte, Datenschutzbeauftragte und Ansprechpartner des Auftraggebers, soweit er sie in seinen Rechtstexten nennt (BIS Shop, sofern genutzt)

2.2 Kategorien personenbezogener Daten

Datenkategorie	Beispiele
Kontaktdaten	Name, Adresse, E-Mail, Telefonnummer
Vertragsdaten	Bestellungen, Rechnungen, Kundennummern
Zahlungsdaten	Bankverbindung, Zahlungshistorie (verschlüsselt)
Kartenzahlungs-Metadaten (bei aktiver Kassen-Anbindung)	Kartenart, maskierte Kartennummer (nur letzte vier Ziffern), Genehmigungsnummer, Terminal-Ergebnis; auf ausdrückliche Veranlassung der Kassierkraft zusätzlich der Terminalbeleg mit gekürzter Kartennummer (nur letzte vier Ziffern), Terminal-Kennung, Uhrzeit, Betrag und weiteren aufgedruckten Belegangaben (z. B. Gültigkeitsdatum, Genehmigungs-, Trace- und Belegnummer, VU-Nummer, EMV-Daten) (Vorfallbericht zur Klärung ungewisser Zahlungen; der Belegtext wird 18 Monate nach Abschluss des Vorgangs, spätestens bei Löschung des Mandanten, entfernt)
Versanddaten	Lieferadressen, Sendungsnummern
Termindaten	Terminbuchungen, Kunden- und Mitarbeiterzuordnung (sofern Terminmodul genutzt)
Berichtsempfänger	E-Mail-Adresse, Zeitpunkte von Zustimmung, Ablehnung und Abmeldung, anlegender Benutzer, Versandnachweis je Empfänger, Änderungsprotokoll; die Berichte enthalten Kassendaten des Auftraggebers einschließlich Namen der Kassierenden und der bei Kassenbewegungen frei erfassten Gründe
Belegversand an Endkunden (digitaler Beleg per Link)	E-Mail-Adresse (nur zum Versand des Links, nicht gespeichert), pseudonymer Prüfwert der Adresse (48 Stunden), Versandprotokoll ohne Adresse: Zeitpunkt, Gerät, Beleg, Status (90 Tage); DIN-A4-Rechnungen aus der Kasse: siehe „E-Mail-Versandprotokoll (BIS ERP)“
E-Mail-Versandprotokoll (BIS ERP)	Empfängeradresse, Adressen der Kopie-Empfänger (CC), Anzahl der Blindkopie-Empfänger (BCC, ohne Adressen), bei Umleitung im Testmodus zusätzlich die ursprünglich vorgesehenen Adressen; Betreff (kann Beleg- bzw. Auftragsnummer und Namen enthalten); Art der E-Mail; Zuordnung zu Kunde und Beleg (Beleg- bzw. Auftragsnummer); Zeitpunkt; Versandweg (Mailserver des Auftraggebers oder des Auftragnehmers); Versandergebnis mit Grund (z. B. Testmodus, kein Versandweg eingerichtet) und Fehlerkategorie; technische Fehlermeldung des Mailservers (nur bei Fehlschlag). Nicht gespeichert werden Inhalt und Anhänge der E-Mail, Zustell- oder Lesestatus und IP-Adressen. Fristen siehe Paragraph 8 Absatz 6
Kassendaten aus Vorsystemen (Archiv-Ablage, sofern genutzt)	Inhalt der hochgeladenen Originaldateien, wie er im Vorsystem aufgezeichnet wurde: Einzelaufzeichnungen der Verkäufe mit Bediener-Kennung und Namen der Kassierenden, Kundenangaben auf Belegen (z. B. Name, Anschrift, USt-IdNr.), Zahlungsarten, maskierte Kartenangaben (soweit vorhanden), Freitext-Notizen, TSE-Protokolle mit Seriennummern; Angaben zur Ablage: hochladender Benutzer, Zeitpunkt, Dateiname, Größe, Prüfsumme, Prüfergebnis, Empfänger der Eingangsbestätigung, Zugriffsprotokoll
E-Mail-Archiv (BIS Archiv, sofern genutzt)	Absender, Empfänger, Kopie- und Blindkopie-Empfänger (soweit in der Originaldatei enthalten), Datum, Betreff, Nachrichteninhalt und Anhänge der archivierten E-Mails (als unveränderte Originaldatei einschließlich der technischen Kopfzeilen mit Übermittlungsweg und IP-Adressen), Nachrichtenkennung; Inhalte und Anhänge können Daten jeder Art enthalten, auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO (z. B. Krankmeldungen, Bewerbungsunterlagen, Gesundheitsangaben) sowie Angaben zu in den Nachrichten genannten Dritten; Postfachadresse, Benutzername und Zugangsdaten zum Postfach (Passwort bzw. Zugriffs-Token verschlüsselt); Zugriffsprotokoll
Widerrufserklärungen (BIS Shop, sofern genutzt)	Name, E-Mail-Adresse, Bestell- bzw. Vertragsangabe, gewählte Positionen (Bezeichnung, Menge), freiwilliger Widerrufsgrund und Freitext zum Umfang, Sprache, Eingangszeitpunkt, Prüfsumme der Erklärung; Zuordnung zu Bestellung bzw. Kundenkonto des Shops; Verarbeitungsprotokoll je Erklärung (Zeitpunkte von Eingang, Versand der Eingangsbestätigung und Übernahme nach BIS ERP); pseudonymer Prüfwert (Hash) der E-Mail-Adresse, der für die Dauer der Aufbewahrung gespeichert wird (Begrenzung der Mails je Empfänger); Missbrauchsabwehr: Zähler mit pseudonymen Prüfwerten (HMAC) (IP-Adresse, E-Mail-Adresse), keine Klartext-IP, Löschung nach spätestens 25 Stunden
Kundenkonten und Bestellungen (BIS Shop, sofern genutzt)	Kundenkonto (Name, E-Mail-Adresse, Anschriften, ggf. Telefonnummer, Zugangsdaten – Passwort nur als Hash); Bestellungen (Name, Rechnungs- und Lieferanschrift, bestellte Positionen, Preise, Zahlungs- und Versandart, Bestellhistorie, IP-Adresse beim Bestellabschluss); Zahlungsstatus und Vorgangskennungen des Zahlungsanbieters (keine vollständigen Kartendaten)
Pflichtmails und Kontaktformular (BIS Shop, sofern genutzt)	Bestellbestätigung: Name, Rechnungs- und Lieferanschrift, E-Mail-Adresse, bestellte Positionen, Preise, Zahlungshinweise des Auftraggebers (z. B. Bankverbindung/IBAN), in der Mail enthaltene Rechtstexte des Auftraggebers; Konto- und Passwortmails: E-Mail-Adresse, Link mit Token (Passwort-Link 24 Stunden gültig, Bestätigungslink bis zur Kontobestätigung); Kontaktformular: E-Mail-Adresse und Freitext des Absenders, der auch besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO enthalten kann (nur Weiterleitung, keine Speicherung); Versandnachweis zur Bestellbestätigung: pseudonymer Prüfwert (HMAC) der Empfängeradresse (keine Adresse im Klartext), Prüfsumme des Inhalts, Fassungen von Vorlagen, Widerrufsbelehrung, AGB und Versand- und Zahlungsbedingungen, Zeitpunkte und Status des Versands; Missbrauchsabwehr: pseudonymer Prüfwert (HMAC) der IP-Adresse des Absenders als Zählerschlüssel für die Versandgrenze, keine Klartext-IP, Löschung nach spätestens 25 Stunden; Begrenzung je Empfänger: pseudonymer Prüfwert (HMAC) der Empfängeradresse als Zählerschlüssel, keine Adresse im Klartext, Löschung nach spätestens 25 Stunden
Rechtstexte (BIS Shop, sofern genutzt)	Inhalt der hinterlegten Rechtstexte einschließlich der darin genannten Namen und Kontaktdaten; Fassungsverlauf mit Zeitpunkt und Prüfsumme
Anmelde- und Sitzungsdaten	Anmeldeprotokoll je Benutzer des Auftraggebers: E-Mail-Adresse, IP-Adresse, Browser- bzw. App-Kennung, Zeitpunkt und Ergebnis (Anmeldung, Fehlversuch, Sperrbeginn), Aufbewahrung 90 Tage; am Benutzerkonto Zeitpunkt, IP-Adresse (längstens 90 Tage) und Anzahl der Anmeldungen; pseudonyme Zähler des Anmeldeschutzes (HMAC-SHA256, keine Klartext-E-Mail-Adresse und keine Klartext-IP-Adresse; Löschung 25 Stunden bzw. 31 Tage nach dem letzten Ereignis)

Paragraph 3 Pflichten des Auftragsverarbeiters

Der Auftragnehmer verpflichtet sich:

1. Weisungsgebundenheit: Personenbezogene Daten nur auf dokumentierte Weisung des Auftraggebers zu verarbeiten (Art. 28 Abs. 3 lit. a DSGVO)
2. Vertraulichkeit: Sicherzustellen, dass alle zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet sind (Art. 28 Abs. 3 lit. b DSGVO)
3. Sicherheitsmaßnahmen: Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen
4. Unterauftragnehmer: Weitere Auftragsverarbeiter nur mit vorheriger Genehmigung des Auftraggebers einzusetzen (Art. 28 Abs. 2 DSGVO)
5. Unterstützung: Den Auftraggeber bei der Erfüllung seiner Pflichten gemäß Art. 32-36 DSGVO zu unterstützen
6. Löschung: Nach Beendigung alle personenbezogenen Daten zu löschen oder zurückzugeben
7. Nachweispflicht: Dem Auftraggeber alle erforderlichen Informationen zur Verfügung zu stellen

Paragraph 4 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragnehmer hat folgende Maßnahmen gemäß Art. 32 DSGVO implementiert:

4.1 Vertraulichkeit

• Zutrittskontrolle: Rechenzentren mit physischer Zugangskontrolle (DigitalOcean EU)
• Zugangskontrolle: Passwortgeschützte Benutzerkonten
• Zugriffskontrolle: Rollenbasiertes Berechtigungssystem
• Trennungskontrolle: Mandantentrennung durch separate Datenbanken
• Anmeldeschutz: Passwort-Anmeldungen (BIS ERP, Kundencenter, Kasse, Lager-App, Web-Kasse, Super-Admin) werden nach Fehlversuchen vorübergehend gedrosselt (Sperre höchstens 60 Minuten, ab 1 Minute eskalierend; Zählung je Konto und IP-Adresse, je IP-Adresse und je Konto); die Zähler enthalten nur pseudonyme Prüfwerte (HMAC-SHA256), weder E-Mail-Adresse noch IP-Adresse im Klartext, und werden 25 Stunden bzw. 31 Tage nach dem letzten Ereignis gelöscht; Anmeldeprotokoll in der Mandanten-Datenbank (E-Mail-Adresse, IP-Adresse, Browser- bzw. App-Kennung), Aufbewahrung 90 Tage. Das Anmeldeprotokoll dient der Sicherheit der Zugänge (Erkennen missbräuchlicher Anmeldungen, Nachvollziehen von Sperren); es ist nicht zur Leistungs- oder Verhaltenskontrolle der Beschäftigten des Auftraggebers bestimmt. Ob sein Einsatz eine Beteiligung des Betriebsrats erfordert (§ 87 Abs. 1 Nr. 6 BetrVG), beurteilt der Auftraggeber.
• E-Mail-Versandprotokoll: Protokoll in der Datenbank des jeweiligen Mandanten; Lesezugriff nur für Benutzer mit dem Recht, Kunden anzusehen, Verweis auf einen Beleg nur mit dessen Leserecht; Blindkopie-Empfänger nur als Anzahl, technische Fehlermeldungen des Mailservers nur als Kategorie angezeigt; kein Inhalt, keine Anhänge, kein Tracking; automatische Löschung nach Frist (Paragraph 8 Absatz 6)

4.2 Integrität

• Weitergabekontrolle: TLS 1.3 Verschlüsselung aller Datenübertragungen
• Eingabekontrolle: Protokollierung ausgewählter sicherheits- und geschäftsrelevanter Vorgänge (z. B. Anmeldungen, Importe, Gutschein-Stornos)
• Archiv-Ablage: Prüfsumme (SHA-256) je Datei beim Eingang, softwareseitige Löschsperre und Unveränderbarkeit (keine Bearbeitungs- oder Überschreibfunktion, Versionierung mit Hash-Kette), Protokoll über Hochladen, Abruf und Prüfung; kein hardwareseitiger Schreibschutz (WORM-Speicher) und kein externer Zeitstempel
• BIS Shop – Pflichtmails und Kontaktformular: Versandnachweis mit pseudonymem Prüfwert (HMAC) der Empfängeradresse statt Klartext-Adresse, Versandgrenzen je Mailart, Empfänger und Shop gegen Missbrauch, keine Adressen, Token oder Inhalte von Kontaktanfragen im Klartext in Protokollen, Rechtstexte als Fassungen ohne Überschreiben

4.3 Verfügbarkeit und Belastbarkeit

• Verfügbarkeitskontrolle: 99,9% Uptime-Garantie, redundante Systeme
• Wiederherstellbarkeit: Tägliche automatische Backups, getestete Restore-Verfahren

4.4 Verfahren zur regelmäßigen Überprüfung

• Regelmäßige Sicherheitsaudits
• Penetrationstests durch externe Dienstleister
• Überwachung der Systeme rund um die Uhr

Paragraph 5 Unterauftragnehmer

(1) Der Auftraggeber stimmt dem Einsatz folgender Unterauftragnehmer zu:

Unterauftragnehmer	Standort	Verarbeitungszweck
DigitalOcean LLC	Frankfurt (EU)	Backend-Hosting, Datenbank, Dateiablage und Cloud-Backups (Spaces, S3-kompatibel, Frankfurt)
Cloudflare, Inc. (durch DigitalOcean eingesetzt)	EU/USA (Standardvertragsklauseln)	Content Delivery Network für die Dateiablage (Auslieferung von Bildern, Downloads und Dateien aus DigitalOcean Spaces, z. B. Produktbilder der BIS Shops; Verbindungsdaten/IP) sowie Sicherheits- und DNS-Dienste der DigitalOcean-Plattform – von DigitalOcean als eigener Unterauftragsverarbeiter eingesetzt; kein gesondertes Vertragsverhältnis mit dem Auftragnehmer
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen	Deutschland (EU)	E-Mail-Versand und -Empfang (System-Mailserver, sofern kein eigener SMTP-Zugang hinterlegt ist; Postfächer der Domains bispicy.com und bispos.app)
Stripe Payments Europe Ltd.	Dublin (EU)	Zahlungsabwicklung Software-Lizenz
Google LLC (Firebase Cloud Messaging)	EU/USA (Standardvertragsklauseln)	Push-Benachrichtigungen an angebundene Kassen-Geräte (keine personenbezogenen Inhalte)
Anthropic PBC (nur bei Nutzung der KI-Funktionen)	USA (Standardvertragsklauseln, Art. 46 DSGVO)	KI-gestützte Erkennung von Eingangsrechnungen, KI-Artikelanlage und KI-Repricing. Keine Nutzung der übermittelten Daten zum Modelltraining (Anthropic Commercial Terms / DPA).
Fiskaly GmbH (bei aktiver Kassen-Anbindung)	Deutschland / Österreich (EU)	Cloud-TSE (KassenSichV) und RKSV-Cloud-Signierung
Versanddienstleister (DHL, DPD, GLS, Hermes, UPS, FedEx) — bei Aktivierung	EU	Versandlabel-Erstellung, Track & Trace (auf Weisung)
Marktplätze, Shops und Warenwirtschaften (Amazon, eBay, Etsy, Shopify, Magento, WooCommerce, Shopware, Gambio, Shopee, Whatnot, Odoo) — bei Aktivierung	EU / weltweit (je nach Anbieter)	Bestell- und Artikel-Synchronisation auf Weisung des Auftraggebers

(2) Der Auftragnehmer informiert den Auftraggeber vor Beauftragung weiterer Unterauftragnehmer. Der Auftraggeber kann innerhalb von 14 Tagen widersprechen.

(3) Hinweis zu Versanddienstleistern: Die Übermittlung von Empfängerdaten an Versanddienstleister erfolgt ausschließlich auf ausdrückliche Weisung des Auftraggebers (durch Erstellung eines Versandlabels in der Software) zur Erfüllung des Versandauftrags.

Paragraph 6 Rechte der betroffenen Personen

(1) Der Auftragnehmer unterstützt den Auftraggeber bei der Erfüllung der Rechte betroffener Personen (Art. 12-22 DSGVO):

• Auskunftsrecht (Art. 15 DSGVO)
• Recht auf Berichtigung (Art. 16 DSGVO)
• Recht auf Löschung (Art. 17 DSGVO)
• Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO)
• Recht auf Datenübertragbarkeit (Art. 20 DSGVO)

(2) Der Auftragnehmer stellt eine Export-Funktion bereit, die alle personenbezogenen Daten in maschinenlesbarem Format (CSV/JSON) exportiert.

Paragraph 7 Meldepflichten bei Datenschutzverletzungen

(1) Der Auftragnehmer meldet dem Auftraggeber jede Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens jedoch innerhalb von 24 Stunden nach Bekanntwerden.

(2) Die Meldung enthält mindestens:

• Beschreibung der Art der Verletzung
• Betroffene Datenkategorien und ungefähre Anzahl
• Wahrscheinliche Folgen
• Ergriffene oder vorgeschlagene Maßnahmen

Paragraph 8 Löschung und Rückgabe

(1) Nach Beendigung des Hauptvertrages werden alle personenbezogenen Daten:

• Auf Wunsch des Auftraggebers in einem gängigen Format exportiert und übergeben
• Nach Ablauf von 30 Tagen unwiderruflich gelöscht

(2) Ausnahmen gelten für Daten, die aufgrund gesetzlicher Aufbewahrungspflichten länger gespeichert werden müssen (z.B. Rechnungen: 10 Jahre).

(3) Archiv-Ablage „Altdaten aus Vorsystem“: Mit dem Hochladen weist der Auftraggeber den Auftragnehmer an, die Dateien unverändert aufzubewahren. Abweichend von Absatz 1 und Paragraph 1 Absatz 2 werden diese Dateien nach Beendigung des Hauptvertrags nicht automatisch gelöscht; insoweit gilt dieser Vertrag fort, bis die Dateien zurückgegeben oder auf Weisung des Auftraggebers gelöscht sind. Der Auftraggeber kann die Dateien jederzeit herunterladen; sie sind im Exportpaket enthalten. Auf ausdrückliche Weisung in Textform löscht der Auftragnehmer einzelne Dateien oder die gesamte Ablage auch vorher; die Löschung wird protokolliert. Der Auftraggeber kann einzelne Dateien im Kundencenter auch selbst löschen; die Löschung wird protokolliert. Eine Löschung ohne Weisung kündigt der Auftragnehmer mindestens 30 Tage vorher in Textform an. Die Aufbewahrungspflichten (insbesondere § 147 AO) liegen beim Auftraggeber; die angezeigte Frist berechnet der Auftragnehmer aus den Angaben des Auftraggebers, und ob sie sich im Einzelfall verlängert (§ 147 Abs. 3 Satz 5 AO), beurteilt der Auftraggeber. Teilt der Auftraggeber der Finanzbehörde mit, dass sich die Daten beim Auftragnehmer befinden (§ 147 Abs. 6 AO), stellt der Auftragnehmer sie nach Maßgabe dieser Vorschrift bereit.

(4) Widerrufserklärungen im BIS Shop: Während der Vertragslaufzeit löscht der Auftragnehmer Widerrufserklärungen automatisch nach Ablauf von drei Jahren ab dem Ende des Jahres ihres Eingangs. Auf Weisung des Auftraggebers setzt der Auftragnehmer einen Sperrvermerk gegen diese Löschung (z. B. bei einem laufenden Streitfall). Bei Vertragsende gilt Absatz 1 wie für alle übrigen Daten; der Auftraggeber kann die Erklärungen vorher exportieren lassen. Ist der Shop an BIS ERP angebunden, liegt die Erklärung zusätzlich als Retoure in BIS ERP und folgt den dort geltenden Regeln.

(5) Pflichtmails, Kontaktformular und Kundenkonten im BIS Shop: Das Kontaktformular speichert weder den Inhalt der Anfrage noch die Adresse des Absenders; der Auftragnehmer leitet die Anfrage nur weiter. Zur Begrenzung der Anfragen je Absender speichert er einen pseudonymen Prüfwert (HMAC) der IP-Adresse als Zählerschlüssel für die Versandgrenze in der Shop-Datenbank; ebenso für die Begrenzung der Mails je Empfänger einen pseudonymen Prüfwert (HMAC) der Empfängeradresse. Beide werden nach spätestens 25 Stunden gelöscht; eine Klartext-IP, die Adressen und der Inhalt der Anfrage werden nicht gespeichert. Die Ausgangseinträge zu Konto- und Passwortmails (ohne E-Mail-Adresse und ohne Token im Klartext) löscht der Auftragnehmer nach 7 Tagen. Zu jeder versendeten Bestellbestätigung führt er auf Weisung des Auftraggebers einen Versandnachweis (pseudonymer Prüfwert (HMAC) der Empfängeradresse statt der Adresse, Prüfsumme des Inhalts, Fassungen der Mail-Vorlagen, der Widerrufsbelehrung, der AGB und der Versand- und Zahlungsbedingungen), um den Nachweis der Informationspflichten (§ 312m Abs. 2 BGB) zu ermöglichen. Der Versandnachweis ist keine Kopie der Mail; eine Wiedergabe der Bestellbestätigung als Handelsbrief bewahrt der Auftraggeber selbst auf. Während der Vertragslaufzeit wird der Versandnachweis sechs Jahre ab dem Ende des Kalenderjahres aufbewahrt (§ 257 Abs. 1 Nr. 3, Abs. 4 und 5 HGB; § 147 Abs. 1 Nr. 3, Abs. 3 und 4 AO) und danach gelöscht. Die Fassungen der Rechtstexte einschließlich früherer Fassungen speichert der Auftragnehmer für die Dauer des Vertrags, Fassungen, auf die ein Versandnachweis verweist, mindestens so lange wie diesen. Frühere Fassungen, auf die kein Versandnachweis verweist, löscht er auf Weisung des Auftraggebers. Kundenkonten und Bestellungen speichert der Auftragnehmer, bis der Auftraggeber sie löscht oder ihre Löschung anweist. Bei Vertragsende gilt Absatz 1 auch für Kundenkonten, Bestellungen, Versandnachweise und die Fassungen der Rechtstexte; der Auftraggeber kann sie vorher exportieren lassen.

(6) E-Mail-Versandprotokoll (BIS ERP): Einträge zu Rechnungen, Aufträgen, Auftragsbestätigungen und Angeboten, die einem Kunden zugeordnet sind und vom versendenden Mailserver angenommen wurden, bewahrt der Auftragnehmer während der Vertragslaufzeit bis zum Ende des sechsten Kalenderjahres nach dem Versandjahr auf (angelehnt an die Aufbewahrungsfrist für Handelsbriefe, § 257 Abs. 4 und 5 HGB); das Protokoll ist keine Wiedergabe der E-Mail. Alle übrigen Einträge – auch zu E-Mails, die nicht versendet, im Testmodus umgeleitet oder vom Mailserver abgelehnt wurden, und zu E-Mails ohne Kundenzuordnung – löscht er 90 Tage nach dem Versandversuch. Einträge zu E-Mails des Terminmoduls liegen ohne Kundenzuordnung in der zentralen Datenbank des Auftragnehmers und werden nach 90 Tagen gelöscht, auch nach Vertragsende. Die Löschung erfolgt durch einen täglichen automatischen Lauf. Anonymisiert der Auftraggeber einen Kunden, entfernt der Auftragnehmer in dessen Einträgen alle E-Mail-Adressen, den Betreff und die technische Fehlermeldung; Zeitpunkt, Art, Zuordnung zum Beleg und Versandergebnis bleiben bis zum Ende der Frist erhalten. Löscht der Auftraggeber einen Kunden ohne Belege, werden dessen Einträge mitgelöscht. Im E-Mail-Verlauf der Kundenakte sehen nur Benutzer mit dem Recht, Kunden anzusehen, die Einträge; Blindkopie-Empfänger erscheinen dort nur als Anzahl, technische Fehlermeldungen nur als Kategorie. Bei Vertragsende gilt Absatz 1.

Paragraph 9 Kontrollrechte

(1) Der Auftraggeber hat das Recht, die Einhaltung dieses Vertrages zu überprüfen.

(2) Der Auftragnehmer stellt hierfür bereit:

• Nachweise über technische und organisatorische Maßnahmen
• Aktuelle Zertifizierungen und Audit-Berichte
• Auf Anfrage: Vor-Ort-Inspektionen (nach Terminvereinbarung)

Paragraph 10 Schlussbestimmungen

(1) Anwendbares Recht: Es gilt deutsches Recht unter Berücksichtigung der DSGVO.

(2) Änderungen: Änderungen dieses Vertrages bedürfen der Textform.

(3) Salvatorische Klausel: Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.