1. Parteien
Verantwortlicher („Auftraggeber“): der Kunde, der Konfiora nutzt (Angaben aus seinem Konto).
Auftragsverarbeiter („Auftragnehmer“): Leonard Lleshaj, Staufendruckshop, Schillerstraße 1, 73061 Ebersbach an der Fils, E-Mail: info@staufendruckshop.de, Telefon: +49 7163 407 1781, USt-IdNr.: DE258380596.
2. Gegenstand und Dauer
Der Auftragnehmer betreibt für den Auftraggeber die Software Konfiora (Online-Shop, Bestellverwaltung, Angebote, Rechnungen, Kundenliste, Newsletter, Kundenkonten der Endkunden). Dabei verarbeitet er personenbezogene Daten im Auftrag. Die Dauer entspricht der Laufzeit des Nutzungsvertrags (einschließlich Testphase) und der Zeit bis zur Löschung nach Ziffer 10.
3. Art und Zweck der Verarbeitung
Speichern, Anzeigen, Übermitteln (z. B. Bestell- und Status-E-Mails), Exportieren und Löschen von Daten, ausschließlich zur Bereitstellung der Funktionen von Konfiora für den Auftraggeber.
4. Art der Daten und betroffene Personen
- Betroffene: Endkunden und Interessenten des Auftraggebers, Newsletter-Empfänger, Empfänger von Angeboten und Rechnungen, Ansprechpartner des Auftraggebers.
- Daten: Name, Firma, Anschrift, E-Mail, Telefon; Bestell- und Vertragsdaten (Artikel, Preise, Zahlungs- und Versandart, Status, Sendungsnummer); Nachrichten und Kommentare; hochgeladene Dateien und Designs; Angebote und Rechnungen; Kundenkonto der Endkunden (E-Mail, Adresse, Merkliste, Anmeldecodes als Prüfwert); Newsletter-Daten (E-Mail, Name, Zeitpunkt und IP-Adresse von Anmeldung und Bestätigung, Einwilligungstext); bei Gutscheinen die E-Mail der Einlösung.
- Besondere Kategorien von Daten (Art. 9 DSGVO) sollen nicht verarbeitet werden. Hinweis für Gastronomie (Allergien in Bestell-Nachrichten) prüfen.
5. Pflichten des Auftragnehmers
- Er verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers – diese ergibt sich aus diesem Vertrag und den Einstellungen und Aktionen des Auftraggebers in Konfiora –, es sei denn, er ist gesetzlich zu einer anderen Verarbeitung verpflichtet (Art. 28 Abs. 3 Buchst. a DSGVO).
- Personen, die Zugang zu den Daten haben, sind zur Vertraulichkeit verpflichtet.
- Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO (Anlage 1).
- Er unterstützt den Auftraggeber bei Anfragen betroffener Personen (Auskunft, Berichtigung, Löschung usw.) – vor allem durch die Funktionen in Konfiora (Ansehen, Ändern, Löschen, Export).
- Er unterstützt den Auftraggeber bei den Pflichten nach Art. 32 bis 36 DSGVO.
- Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, möglichst innerhalb von 48 Stunden nach Kenntnis.
- Er stellt dem Auftraggeber die nötigen Informationen zum Nachweis dieser Pflichten zur Verfügung und ermöglicht Überprüfungen nach vorheriger Abstimmung.
- Er informiert den Auftraggeber unverzüglich, wenn eine Weisung nach seiner Auffassung gegen Datenschutzrecht verstößt.
6. Pflichten des Auftraggebers
Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere für Rechtsgrundlagen, Einwilligungen (z. B. Newsletter) und seine eigene Datenschutzerklärung. Textbausteine dafür findest du unter Texte für deinen Shop.
7. Unterauftragsverarbeiter
Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Über beabsichtigte Änderungen informiert der Auftragnehmer mindestens 4 Wochen vorher per E-Mail; der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund widersprechen. Kann keine Lösung gefunden werden, darf er den Nutzungsvertrag zu diesem Zeitpunkt kündigen. Der Auftragnehmer verpflichtet Unterauftragsverarbeiter vertraglich zu gleichwertigem Datenschutz.
8. Ort der Verarbeitung
Die Verarbeitung findet in Deutschland statt. Eine Übermittlung in Länder außerhalb der EU/des EWR findet nicht statt. Prüfen: KI-Funktion „Hintergrund entfernen“ lädt Programmteile von cdn.jsdelivr.net und huggingface.co – dabei werden keine Bilder übertragen, aber IP-Adressen der Nutzer.
9. Haftung
Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln der AGB.
10. Löschung und Rückgabe nach Vertragsende
Nach Ende des Nutzungsvertrags kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer die Daten, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Datensicherungen beim Hosting-Anbieter werden im Rahmen der üblichen Zyklen überschrieben. Löschfrist der Sicherungen bei ALL-INKL erfragen und eintragen.
Anlage 1 – Technische und organisatorische Maßnahmen (Art. 32 DSGVO)
- Hosting: Server und Datenbank in einem Rechenzentrum in Deutschland (ALL-INKL.COM). Physische Sicherheit, Strom, Brandschutz und Netzwerk durch den Hosting-Anbieter. Zertifizierungen des Rechenzentrums (z. B. ISO 27001) beim Hoster erfragen.
- Verschlüsselte Übertragung: alle Seiten nur über HTTPS (TLS).
- Zugang: Anmeldung mit E-Mail und Passwort; Passwörter nur als nicht zurückrechenbarer Prüfwert (password_hash); Anmelde-Sitzungen mit zufälligen Schlüsseln, auf dem Server nur als Prüfwert gespeichert; Begrenzung von Fehlversuchen gegen Durchprobieren.
- Trennung: Jeder Shop sieht und bearbeitet nur seine eigenen Daten; jede Abfrage prüft die Zugehörigkeit zum angemeldeten Konto.
- Zugriffsschutz für Dateien: Ordner mit Konfiguration, Bestell-Dateien und Uploads sind von außen gesperrt; Uploads werden auf erlaubte Dateiarten geprüft.
- Verfügbarkeit: Datensicherungen durch den Hosting-Anbieter. Sicherungs-Rhythmus beim Hoster bestätigen lassen. Export-Funktionen für den Auftraggeber.
- Organisation: Zugriff auf Server und Datenbank nur durch den Auftragnehmer persönlich; Zugangsdaten werden nicht weitergegeben.
- Datensparsamkeit: Newsletter-Anmeldungen ohne Bestätigung werden nach 30 Tagen gelöscht; Anmeldecodes für Kundenkonten verfallen nach 15 Minuten.
Anlage 2 – Unterauftragsverarbeiter
- ALL-INKL.COM – Neue Medien Münnich, Hauptstraße 68, 02742 Friedersdorf, Deutschland – Webhosting, Datenbank, E-Mail-Versand. Anschrift prüfen und AV-Vertrag mit ALL-INKL abschließen (im KAS).
Stand: Oktober 2026