Vertrag zur Auftragsverarbeitung (AVV)

Entwurf – diese Fassung wird vor dem Start der Selbstbuchung rechtlich geprüft und kann sich noch ändern.

zwischen dem Kunden, der Sirnox nutzt (nachfolgend „Verantwortlicher“ oder „Kunde“), und der P² Ventures UG (haftungsbeschränkt), Krokusstr. 33, 73663 Berglen, Deutschland (nachfolgend „Auftragsverarbeiter“ oder „Anbieter“), nach Art. 28 der Datenschutz-Grundverordnung (DSGVO).

1. Gegenstand und Dauer

(1) Der Anbieter stellt dem Kunden die Software Sirnox nach den Allgemeinen Geschäftsbedingungen (Hauptvertrag) bereit. Dabei verarbeitet er personenbezogene Daten, für die der Kunde verantwortlich ist. Dieser Vertrag regelt die Pflichten der Parteien hierzu.

(2) Der Vertrag gilt, solange der Hauptvertrag besteht, einschließlich des kostenlosen Testzeitraums, und darüber hinaus, bis der Anbieter die Daten nach Ziffer 10 gelöscht oder zurückgegeben hat.

(3) Verarbeitet der Kunde die Daten seinerseits im Auftrag Dritter (etwa als Fulfillment-Dienstleister für Händler), ist der Anbieter insoweit weiterer Auftragsverarbeiter. Der Kunde stellt sicher, dass seine Auftraggeber dem Einsatz des Anbieters zugestimmt haben, und gibt ihnen die erforderlichen Angaben aus diesem Vertrag weiter.

2. Art, Zweck und Umfang der Verarbeitung

(1) Zweck der Verarbeitung ist der Betrieb der Anwendung für den Kunden: Speichern, Anzeigen, Ändern und Übermitteln der Daten, die der Kunde und seine Nutzer eingeben, importieren oder über angebundene Dienste abrufen, sowie Betrieb, Wartung, Sicherung und Fehlerbehebung.

(2) Betroffen sind insbesondere folgende Personen und Daten:

Endkunden des Kunden (Besteller, Empfänger von Sendungen): Name, Firma, Liefer- und Rechnungsanschrift, E-Mail-Adresse, Telefonnummer, Bestell- und Artikeldaten, Sendungsnummern, Rücksendungen.
Beschäftigte und weitere Nutzer des Kunden: Name, E-Mail-Adresse, Rolle, Anmeldedaten, Spracheinstellung, Protokolle der Tätigkeiten in der Anwendung (etwa wer wann eine Ware eingelagert, gepickt, gepackt oder eine Buchung vorgenommen hat), Kennzeichen von Mobilgeräten für Benachrichtigungen der Lager-App.
Geschäftspartner des Kunden (Lieferanten, Händler, Kunden und deren Ansprechpartner): Name, Kontaktdaten, Rechnungs- und Zahlungsdaten einschließlich Bankverbindung, Vertrags- und Preisangaben.
Bei Nutzung optionaler Module: Inhalte von E-Mails, Kalendereinträgen und Nachrichten, Kontoumsätze aus angebundenen Bankkonten.

(3) Besondere Kategorien personenbezogener Daten (Art. 9 DSGVO) sind nicht Gegenstand der Verarbeitung. Der Kunde gibt solche Daten nicht in die Anwendung ein.

3. Weisungen

(1) Der Anbieter verarbeitet die Daten nur auf dokumentierte Weisung des Kunden, es sei denn, er ist nach dem Recht der Union oder eines Mitgliedstaats zur Verarbeitung verpflichtet; in diesem Fall teilt er dem Kunden diese Pflicht vor der Verarbeitung mit, sofern das Recht dies nicht verbietet.

(2) Weisungen sind dieser Vertrag, der Hauptvertrag und die Einstellungen und Aktionen, die der Kunde und seine Nutzer in der Anwendung vornehmen. Weitere Weisungen erteilt der Kunde in Textform an datenschutz@sirnox.com.

(3) Hält der Anbieter eine Weisung für rechtswidrig, weist er den Kunden unverzüglich darauf hin. Er darf die Ausführung aussetzen, bis der Kunde sie bestätigt oder ändert.

4. Vertraulichkeit

Der Anbieter setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer gesetzlichen Verschwiegenheitspflicht unterliegen. Zugriff auf Daten des Kunden erhalten sie nur, soweit es für die Leistung, den Support oder die Behebung von Störungen erforderlich ist.

5. Sicherheit der Verarbeitung

Der Anbieter trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 2 beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht sinkt.

6. Unterauftragsverarbeiter

(1) Der Kunde erteilt die allgemeine Genehmigung, weitere Auftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter nennt Anlage 1; ihnen stimmt der Kunde zu.

(2) Der Anbieter informiert den Kunden mindestens vier Wochen vorher in Textform oder in der Anwendung, wenn er einen Unterauftragsverarbeiter hinzunimmt oder ersetzt. Der Kunde kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Finden die Parteien keine Lösung, kann der Kunde den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

(3) Der Anbieter verpflichtet jeden Unterauftragsverarbeiter vertraglich auf ein Schutzniveau, das diesem Vertrag entspricht.

(4) Dienste, die der Kunde selbst auswählt und mit eigenen Zugangsdaten anbindet — etwa Versanddienstleister, Shop-Plattformen, Banken, Zahlungsdienstleister oder Kalender- und E-Mail-Konten —, sind keine Unterauftragsverarbeiter des Anbieters. Die Übermittlung an sie erfolgt auf Weisung des Kunden und auf Grundlage seiner eigenen Verträge mit diesen Diensten.

7. Übermittlung in Drittländer

Die Daten werden in der Europäischen Union gespeichert. Eine Übermittlung in ein Land außerhalb des Europäischen Wirtschaftsraums erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind, insbesondere auf Grundlage eines Angemessenheitsbeschlusses (etwa des EU-US Data Privacy Framework) oder von Standardvertragsklauseln.

8. Unterstützung des Kunden

(1) Der Anbieter unterstützt den Kunden mit geeigneten Maßnahmen bei der Beantwortung von Anträgen betroffener Personen (Art. 12 bis 22 DSGVO). Viele Anträge kann der Kunde mit den Funktionen der Anwendung selbst erfüllen. Wendet sich eine betroffene Person an den Anbieter, leitet er die Anfrage unverzüglich an den Kunden weiter.

(2) Der Anbieter unterstützt den Kunden bei der Sicherheit der Verarbeitung, bei Meldungen von Datenschutzverletzungen, bei Datenschutz-Folgenabschätzungen und bei der Konsultation der Aufsichtsbehörde (Art. 32 bis 36 DSGVO), soweit ihm die Informationen dafür vorliegen.

9. Verletzungen des Schutzes personenbezogener Daten

Der Anbieter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens 48 Stunden nachdem sie ihm bekannt geworden ist. Die Meldung enthält, soweit bekannt, die Angaben nach Art. 33 Abs. 3 DSGVO. Der Anbieter ergreift unverzüglich Maßnahmen, um die Verletzung zu beheben und ihre Folgen zu mildern.

10. Löschung und Rückgabe

Nach Ende des Hauptvertrages stellt der Anbieter dem Kunden die Daten nach § 14 der Allgemeinen Geschäftsbedingungen zum Export bereit und löscht sie danach, soweit keine Pflicht zur Speicherung nach dem Recht der Union oder eines Mitgliedstaats besteht. Kopien in Datensicherungen werden im regulären Sicherungszyklus überschrieben. Auf Anforderung bestätigt der Anbieter die Löschung in Textform.

11. Nachweise und Kontrollen

(1) Der Anbieter stellt dem Kunden auf Anfrage die Informationen zur Verfügung, die zum Nachweis der Einhaltung dieses Vertrages erforderlich sind, etwa Beschreibungen der Maßnahmen und Nachweise der Unterauftragsverarbeiter (Zertifikate, Prüfberichte).

(2) Reichen diese nicht aus, kann der Kunde Kontrollen selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer durchführen, nach Anmeldung mit einer Frist von mindestens vier Wochen, während der üblichen Geschäftszeiten und ohne den Betrieb unverhältnismäßig zu stören. Jede Partei trägt ihre eigenen Kosten.

12. Haftung und Rangfolge

(1) Für die Haftung gilt Art. 82 DSGVO; im Übrigen gelten die Haftungsregeln des Hauptvertrages.

(2) Bei Widersprüchen zwischen diesem Vertrag und dem Hauptvertrag geht dieser Vertrag in Fragen des Datenschutzes vor. Maßgeblich ist die deutsche Fassung.

Anlage 1: Unterauftragsverarbeiter

Supabase Inc., San Francisco, USA — Datenbank, Anmeldung, Dateiablage. Speicherort: Frankfurt am Main, Deutschland. Zugriff aus den USA nur für Wartung und Support, abgesichert durch Standardvertragsklauseln.
Vercel Inc., San Francisco, USA — Auslieferung und Ausführung der Anwendung. Ausführung in der Region Frankfurt am Main; abgesichert durch das EU-US Data Privacy Framework bzw. Standardvertragsklauseln.
650 Industries, Inc. (Expo), Palo Alto, USA — Zustellung von Benachrichtigungen an die Lager-App, weiter über Firebase Cloud Messaging (Google) bzw. den Apple Push Notification Service (Apple). Übermittelt werden Geräte-Kennzeichen und kurze Arbeitshinweise; abgesichert durch das EU-US Data Privacy Framework bzw. Standardvertragsklauseln. Nur bei aktivierten Benachrichtigungen.
Anthropic PBC, San Francisco, USA — KI-gestütztes Auslesen von Eingangsrechnungen und Zuordnen von Importdateien, nur wenn ein Nutzer die Funktion im Einzelfall auslöst. Abgesichert durch Standardvertragsklauseln; die Daten werden nicht zum Training verwendet.
[E-Mail-Versanddienst, Sitz, Speicherort] — Versand von Einladungen, Benachrichtigungen und Rechnungen per E-Mail.

Anlage 2: Technische und organisatorische Maßnahmen

Vertraulichkeit

Betrieb ausschließlich in Rechenzentren der Unterauftragsverarbeiter mit anerkannten Sicherheitsnachweisen (u. a. SOC 2); kein eigener Serverbetrieb.
Übertragung ausschließlich verschlüsselt (TLS); Speicherung der Datenbank verschlüsselt.
Zugangsdaten für angebundene Dienste (Versanddienstleister, Shops, Banken) zusätzlich mit einem eigenen Schlüssel der Anwendung verschlüsselt.
Trennung der Kunden in der Datenbank: Jede Abfrage wird auf Datenbankebene gegen die Zugehörigkeit des Nutzers zum Konto geprüft (Row Level Security).
Rollen und Rechte innerhalb eines Kontos; Passwörter nur als Hashwert gespeichert.
Zugriff des Anbieters auf Kundendaten nur durch namentlich festgelegte Personen und nur, soweit für Support oder Störungsbehebung erforderlich.

Integrität

Protokollierung wesentlicher Änderungen (etwa Bestandsbuchungen, Rechnungen, Rechte) mit Nutzer und Zeitpunkt.
Festgeschriebene Rechnungen werden nicht verändert, sondern nur storniert.
Änderungen an der Anwendung über Versionsverwaltung und automatische Tests vor der Auslieferung.

Verfügbarkeit und Belastbarkeit

Regelmäßige Datensicherungen der Datenbank durch den Hosting-Dienstleister.
Überwachung von Fehlern und Laufzeit der Anwendung.

Überprüfung

Überprüfung der Maßnahmen bei wesentlichen Änderungen der Anwendung, mindestens einmal jährlich.
Datenschutzanfragen an datenschutz@sirnox.com.

Stand: 1. November 2026 · Fassung 2026-11-01-entwurf