Auftragsverarbeitungsvertrag (AVV)

English version below — a courtesy translation. In case of discrepancies, the German version prevails.

Präambel

Dieser Auftragsverarbeitungsvertrag (nachfolgend „AVV") ergänzt die Allgemeinen Geschäftsbedingungen (AGB) zwischen dem Kunden (nachfolgend „Verantwortlicher") undSellerTech LLC, 30 N Gould Street, Sheridan, WY 82801, USA, E-Mail: info@floone.de (nachfolgend „Auftragsverarbeiter" oder „FloOne") und konkretisiert die datenschutzrechtlichen Pflichten der Parteien im Zusammenhang mit der Auftragsverarbeitung personenbezogener Daten gemäß Art. 28 DSGVO.

Der AVV tritt automatisch mit Abschluss des Nutzungsvertrags (Registrierung und Nutzung des Dienstes FloOne) in Kraft.

§ 1 Gegenstand und Dauer der Verarbeitung

(1) Der Auftragsverarbeiter verarbeitet personenbezogene Daten im Auftrag des Verantwortlichen im Rahmen der Bereitstellung der SaaS-Middleware FloOne.

(2) Gegenstand der Verarbeitung ist die Verarbeitung von E-Commerce-, Transaktions-, Kunden-, Rechnungs-, Zahlungs-, Beleg-, Versand-, Lager- und Buchhaltungsdaten im Rahmen der vom Verantwortlichen jeweils genutzten Funktionen von FloOne. Die einzelnen Verarbeitungstätigkeiten ergeben sich aus § 2.

(2a) Nicht Gegenstand dieses AVV sind Verarbeitungen, die der Auftragsverarbeiter zu eigenen Zwecken und in eigener Verantwortlichkeit durchführt — insbesondere die Begründung und Abwicklung des Nutzungsvertrages, die Abrechnung, der Betrieb und die Absicherung der Benutzerkonten (Login, Authentifizierung, Zwei-Faktor-Verfahren, Login-Audit-Log), die Missbrauchsprävention sowie der Betrieb der Website. Für diese Verarbeitungen ist der Anbieter Verantwortlicher im Sinne des Art. 4 Nr. 7 DSGVO; Einzelheiten regelt die Datenschutzerklärung.

(3) Die Dauer der Verarbeitung entspricht der Laufzeit des Nutzungsvertrags. Nach Beendigung des Vertrags werden die Daten gemäß §7 dieses AVV gelöscht.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst insbesondere folgende Tätigkeiten:

• Import von Bestelldaten aus Drittanbieter-APIs (insbesondere eBay, Amazon, Shopify, WooCommerce, PayPal, Stripe, Billbee, JTL-Wawi, Mirakl-basierte Marktplätze, Refurbed)
• Klassifizierung und Validierung von Transaktionsdaten
• Erstellung von Buchungsexporten (DATEV EXTF, Lexware Office)
• Belegerkennung (OCR) von Eingangsrechnungen via Google Cloud Document AI (Invoice Parser), Verarbeitung in der EU-Multiregion, und Aufbereitung als Buchungsvorschlag
• Erstellung und Versand von Rechnungen (PDF, ZUGFeRD, E-Mail)
• Erstellung von Serienrechnungen und Gutschriften
• Speicherung von Einkaufsbelegen (§25a Differenzbesteuerung)
• Erstellung von Versandlabels über Carrier-APIs (insbesondere DPD, GLS, DHL, UPS, Internetmarke der Deutschen Post AG)
• Bestandsführung und Lagerbewegungen (optionales Lager-Modul)
• Bank-Import (CAMT.053, MT940) und automatisches Matching von Zahlungseingängen
• Erzeugung der OSS-Meldedatei zum Upload durch den Kunden beim Bundeszentralamt für Steuern (BZSt)
• Automatische Synchronisierung, E-Mail-Automatisierung und Datenexport

§ 3 Art der personenbezogenen Daten

Folgende Kategorien personenbezogener Daten werden verarbeitet:

• Stammdaten des Verantwortlichen und seiner Benutzer: Name, Firmenname, Anschrift, E-Mail-Adresse, Rolle im Tenant
• Endkundendaten aus Verkaufskanälen: Name, Liefer- und Rechnungsanschrift, E-Mail-Adresse, Telefonnummer, Bestellhinweise (soweit über die jeweilige Schnittstelle bereitgestellt)
• Transaktions- und Bestelldaten: Bestellnummern, Bestellpositionen, Beträge, Gebühren, Erstattungen, Auszahlungen, Rechnungs- und Gutschriftsnummern, Zahlungsstatus und Zahlungsreferenzen
• Versanddaten: Empfängeranschrift, Sendungs- und Trackingnummern, Gewichte und Maße, Carrier-Zuordnung
• Lager- und Artikeldaten mit Personenbezug: Lagerbewegungen mit Benutzerzuordnung, Kommissionier- und Inventurvorgänge
• Beleg- und Dokumenteninhalte: Inhalte hochgeladener Eingangsbelege einschließlich der darin enthaltenen Personendaten (Aussteller, Empfänger, Ansprechpartner), gewonnen über die Belegerkennung
• Bankdaten aus dem Kontoauszugsimport: IBAN, Kontoinhaber, Verwendungszwecke, Umsatzdaten
• Lieferanten- und Geschäftspartnerdaten: Firmenname, Anschrift, Ansprechpartner, Kontaktdaten
• Steuerlich relevante Daten: USt-IdNr., Steuersätze, Einkaufspreise
• Zugangsdaten zu Drittsystemen des Verantwortlichen: OAuth-Tokens und API-Schlüssel der angebundenen Plattformen (verschlüsselt gespeichert)

§ 4 Kategorien betroffener Personen

• Der Verantwortliche selbst (Händler/Mandant) sowie dessen gesetzliche Vertreter und Ansprechpartner
• Benutzer des Tenants: Beschäftigte und beauftragte Personen des Verantwortlichen mit eigenem Zugang (z.B. Rollen Buchhaltung, Lager, Picker)
• Endkunden und Käufer des Verantwortlichen, deren Daten über die angebundenen Verkaufskanäle importiert werden
• Empfänger von Sendungen, soweit abweichend vom Besteller
• Lieferanten des Verantwortlichen sowie deren Ansprechpartner
• Personen, die in vom Verantwortlichen hochgeladenen Belegen genannt sind (insbesondere Rechnungsaussteller, Rechnungsempfänger und dort benannte Kontaktpersonen)

Besondere Kategorien personenbezogener Daten: FloOne ist nicht zur gezielten Verarbeitung besonderer Kategorien personenbezogener Daten im Sinne des Art. 9 DSGVO bestimmt; entsprechende Funktionen werden nicht angeboten. Soweit solche Informationen vom Verantwortlichen gleichwohl übermittelt werden — etwa als Bestandteil eines hochgeladenen Belegs —, werden sie ausschließlich im Rahmen der dokumentierten Weisungen und mit den für die betreffende Verarbeitung geltenden Schutzmaßnahmen verarbeitet. Der Verantwortliche stellt sicher, dass eine Übermittlung solcher Daten nur erfolgt, soweit hierfür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht.

§ 5 Pflichten des Auftragsverarbeiters

Der Auftragsverarbeiter verpflichtet sich:

• (a) Personenbezogene Daten ausschließlich auf dokumentierte Weisung des Verantwortlichen zu verarbeiten, einschließlich in Bezug auf die Übermittlung in ein Drittland (Art. 28 Abs. 3 lit. a DSGVO), es sei denn, eine Verarbeitung ist nach Unionsrecht oder dem Recht der Mitgliedstaaten erforderlich. Die in § 1 und § 2 dieses AVV beschriebenen Verarbeitungstätigkeiten sowie die Standardweisungen, die sich aus dem Funktionsumfang des Dienstes gemäß § 3 der AGB ergeben, gelten als dokumentierte Weisungen des Verantwortlichen. Der Verantwortliche ist berechtigt, ergänzende oder abweichende Weisungen jederzeit in Textform (E-Mail an info@floone.de) zu erteilen. Der Auftragsverarbeiter wird den Verantwortlichen unverzüglich informieren, wenn er eine Weisung für rechtswidrig hält (Art. 28 Abs. 3 S. 3 DSGVO).
• (b) Sicherzustellen, dass sich die zur Verarbeitung befugten Personen zur Vertraulichkeit verpflichtet haben (Art. 28 Abs. 3 lit. b DSGVO).
• (c) Alle gemäß Art. 32 DSGVO erforderlichen technischen und organisatorischen Maßnahmen zu ergreifen (siehe §8).
• (d) Keine weiteren Auftragsverarbeiter ohne vorherige Genehmigung einzusetzen (siehe §6).
• (e) Den Verantwortlichen durch geeignete technische und organisatorische Maßnahmen bei der Erfüllung der Betroffenenrechte (Art. 15–22 DSGVO) zu unterstützen. Wendet sich eine betroffene Person unmittelbar an den Auftragsverarbeiter, wird dieser die Anfrage nicht selbst inhaltlich beantworten, sondern sie unverzüglich an den Verantwortlichen weiterleiten und ihn über den Eingang informieren; eine eigene Beantwortung erfolgt nur auf Weisung des Verantwortlichen.
• (f) Den Verantwortlichen bei der Einhaltung der Pflichten gemäß Art. 32–36 DSGVO zu unterstützen, insbesondere bei einer Datenschutz-Folgenabschätzung nach Art. 35 DSGVO und einer gegebenenfalls erforderlichen vorherigen Konsultation der Aufsichtsbehörde nach Art. 36 DSGVO, soweit die hierfür erforderlichen Informationen dem Auftragsverarbeiter vorliegen.
• (g) Nach Beendigung der Verarbeitung alle personenbezogenen Daten zu löschen (siehe §7).
• (h) Dem Verantwortlichen alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten zur Verfügung zu stellen und Überprüfungen (Audits) zu ermöglichen. Audits sind mit einer Vorankündigung von mindestens vier (4) Wochen in Textform anzukündigen und auf einen zumutbaren Zeitrahmen zu begrenzen. Sie finden, soweit nicht aus dringenden Gründen angezeigt, nicht häufiger als einmal in zwölf (12) Monaten statt; ein dringender Grund liegt insbesondere nach einer Verletzung des Schutzes personenbezogener Daten oder bei konkreten Anhaltspunkten für einen Verstoß vor. Die Kosten des Audits trägt der Verantwortliche, sofern das Audit keinen Verstoß des Auftragsverarbeiters ergibt.

Datenschutzbeauftragter

Ein Datenschutzbeauftragter ist derzeit nicht benannt; die Voraussetzungen einer Benennungspflicht nach Art. 37 DSGVO in Verbindung mit § 38 BDSG liegen nach Einschätzung des Auftragsverarbeiters nicht vor. Datenschutzrechtlicher Ansprechpartner ist info@floone.de. Sobald eine gesetzliche Benennungspflicht besteht, wird ein Datenschutzbeauftragter benannt, dessen Kontaktdaten veröffentlicht und der Verantwortliche hierüber unterrichtet.

Sitz des Auftragsverarbeiters und Drittlandtransfer

Der Auftragsverarbeiter ist eine Rechtsperson mit Sitz in den Vereinigten Staaten. Die primären Anwendungsdaten und Datenbanken werden bei der Hetzner Online GmbH in Deutschland gespeichert; eine Verlagerung dieser Datenhaltung in ein Drittland findet nicht statt. Im Rahmen einzelner Funktionen können personenbezogene Daten durch die in § 6 genannten Unterauftragsverarbeiter oder Empfänger auch in anderen Staaten verarbeitet werden.

Da der Auftragsverarbeiter als Rechtsperson eines Drittlands im Rahmen von Wartung, Support und Administration auf die in Deutschland gespeicherten Daten zugreifen kann, liegt gleichwohl eine Übermittlung im Sinne des Kapitels V DSGVO vor (maßgeblich ist der Zugriff, nicht der Serverstandort — EDPB-Leitlinie 05/2021). Als Transfergrundlage dienen die Standardvertragsklauseln der Europäischen Kommission (Durchführungsbeschluss (EU) 2021/914), Modul 2 (Verantwortlicher an Auftragsverarbeiter), gemäß Art. 46 Abs. 2 lit. c DSGVO. Die Standardvertragsklauseln einschließlich der jeweils kundenspezifisch ausgefüllten Anhänge werden dem Verantwortlichen mit Abschluss des Nutzungsvertrages beziehungsweise dieses AVV in Textform zur Verfügung gestellt; die kundenspezifischen Anhänge werden aus Datenschutzgründen nicht öffentlich bereitgestellt. Der Zugriff ist zusätzlich durch technische und organisatorische Maßnahmen abgesichert (Verschlüsselung, auf das Erforderliche beschränkter und protokollierter Administrationszugriff — siehe § 8).

Vertreter nach Art. 27 DSGVO: Instant EU GDPR Representative Ltd (Adam Brogden), Office 2, 12A Lower Main Street, Lucan, Co. Dublin, K78 X5P8, Irland, contact@gdprlocal.com.

§ 5a Pflichten des Verantwortlichen

Der Verantwortliche verpflichtet sich:

• (a) Die Rechtmäßigkeit der Verarbeitung sicherzustellen, insbesondere für eine tragfähige Rechtsgrundlage der von ihm veranlassten Verarbeitungen zu sorgen und die erforderlichen Einwilligungen einzuholen, soweit die Verarbeitung darauf gestützt wird.
• (b) Dem Auftragsverarbeiter ausschließlich rechtmäßige Weisungen zu erteilen.
• (c) Die Informationspflichten gegenüber den betroffenen Personen nach Art. 13 und 14 DSGVO zu erfüllen und Betroffenenanfragen zu beantworten (§ 5 lit. e).
• (d) Die Zugänge und Berechtigungen der Benutzer seines Tenants zu verwalten, nicht mehr benötigte Zugänge zu deaktivieren und Zugangsdaten vertraulich zu behandeln.
• (e) Besondere Kategorien personenbezogener Daten nur zu übermitteln, soweit hierfür eine Rechtsgrundlage nach Art. 9 Abs. 2 DSGVO besteht (§ 4).
• (f) Den Auftragsverarbeiter unverzüglich zu informieren, wenn er in den Verarbeitungsergebnissen Fehler oder Unregelmäßigkeiten mit datenschutzrechtlicher Relevanz feststellt.
• (g) Die für ihn geltenden gesetzlichen Aufbewahrungspflichten eigenverantwortlich zu erfüllen, insbesondere durch rechtzeitigen Export der Daten (§ 7).

§ 6 Unterauftragsverarbeiter

(1) Der Verantwortliche erteilt dem Auftragsverarbeiter die allgemeine Genehmigung, weitere Unterauftragsverarbeiter einzusetzen. Der Auftragsverarbeiter informiert den Verantwortlichen über beabsichtigte Änderungen rechtzeitig vorab per E-Mail. Der Verantwortliche kann der Hinzuziehung eines neuen Unterauftragsverarbeiters innerhalb von 14 Tagen nach Mitteilung in Textform widersprechen. Die Änderung wird nicht vor Ablauf dieser Frist wirksam. Im Falle eines berechtigten Widerspruchs steht beiden Parteien ein außerordentliches Kündigungsrecht zu.

(2) Aktuelle Unterauftragsverarbeiter:

(3) Mit allen Unterauftragsverarbeitern bestehen Verträge, die ihnen mindestens dieselben Datenschutzpflichten auferlegen, die in diesem AVV festgelegt sind (Art. 28 Abs. 4 DSGVO). Kommt ein Unterauftragsverarbeiter seinen Datenschutzpflichten nicht nach, haftet der Auftragsverarbeiter gegenüber dem Verantwortlichen für die Erfüllung dieser Pflichten in vollem Umfang. Auf begründete Anfrage stellt der Auftragsverarbeiter geeignete Informationen zum Nachweis der vertraglichen Verpflichtung eines Unterauftragsverarbeiters zur Verfügung; vertrauliche Inhalte und Geschäftsgeheimnisse dürfen dabei geschwärzt werden.

(4) Eigenständig Verantwortliche / Empfänger personenbezogener Daten: Folgende Dritte sind keine Auftragsverarbeiter, sondern eigenständig Verantwortliche im Sinne des Art. 4 Nr. 7 DSGVO. Nicht aufgeführt ist der Zahlungsdienstleister Stripe: Über ihn wird ausschließlich das Entgelt für die Nutzung von FloOne zwischen dem Anbieter und dem Kunden abgerechnet. Diese Verarbeitung betrifft die eigene Vertragsbeziehung des Anbieters und ist nicht Gegenstand dieses AVV (§ 1 Abs. 2a); Einzelheiten regelt die Datenschutzerklärung. Bindet der Verantwortliche demgegenüber sein eigenes Stripe-Konto als Datenquelle an, ist dies ein hiervon zu unterscheidender Verarbeitungsvorgang nach § 2. Die Übermittlung personenbezogener Daten an diese Stellen erfolgt auf dokumentierte Weisung des Verantwortlichen; die Bestimmung und Dokumentation der Rechtsgrundlage für die Übermittlung obliegt dem Verantwortlichen. Für die anschließende eigene Verarbeitung ist der jeweilige Empfänger eigenständig verantwortlich. Die jeweiligen Datenschutzbestimmungen der Empfänger gelten ergänzend.

§ 7 Löschung und Rückgabe von Daten

(1) Nach Beendigung des Nutzungsvertrags hat der Verantwortliche nach seiner Wahl Anspruch auf Rückgabe oder Löschung der personenbezogenen Daten (Art. 28 Abs. 3 lit. g DSGVO). Zur Rückgabe stehen dem Verantwortlichen für einen Zeitraum von 30 Tagen die Exportfunktionen des Dienstes (insbesondere CSV, DATEV-EXTF, ZUGFeRD-PDF, JSON) zur Verfügung; auf Wunsch unterstützt der Auftragsverarbeiter in angemessenem Umfang bei der Datenherausgabe. Trifft der Verantwortliche keine abweichende Wahl in Textform, werden die Daten nach Ablauf der 30-Tage-Frist gemäß Absatz 2 gelöscht.

(2) Nach Ablauf der 30-Tage-Frist werden sämtliche personenbezogenen Daten des Verantwortlichen unwiderruflich gelöscht, sofern nicht Unionsrecht oder das Recht eines Mitgliedstaats, dem der Auftragsverarbeiter selbst unterliegt, eine weitere Speicherung verlangt (Art. 28 Abs. 3 lit. g DSGVO). Gesetzliche Aufbewahrungspflichten, die den Verantwortlichen treffen, begründen keine Aufbewahrung durch den Auftragsverarbeiter; der Verantwortliche erfüllt sie durch Export der Daten nach Absatz 1. Die Löschung erfolgt vollständig und automatisiert, einschließlich aller zugehörigen Dateien (insbesondere Beleg-Fotos). Datensicherungen (Backups), die personenbezogene Daten des Verantwortlichen enthalten, werden im Rahmen der ordnungsgemäßen Backup-Rotation längstens innerhalb von 30 Tagen nach der regulären Löschung überschrieben. In dieser Übergangsphase findet keine aktive Verarbeitung der gesicherten Daten statt; sie werden ausschließlich zur Wiederherstellung im Fehlerfall passiv vorgehalten.

(3) Der Auftragsverarbeiter bestätigt die Löschung auf Anfrage schriftlich.

(4) Unabhängig von den Absätzen 1 und 2 löscht der Auftragsverarbeiter E-Mail-Adresse und Telefonnummer von Käufern aus Amazon-Bestellungen bereits während der Vertragslaufzeit, spätestens 30 Tage nach Zustellung der Bestellung. Dazu verpflichtet ihn die Amazon Data Protection Policy für die Selling Partner API, die für Anbieter gilt, die Daten über diese Schnittstelle abrufen. Name, Anschrift und USt-IdNr. bleiben erhalten, weil sie für Rechnungen benötigt werden. Die Löschung gilt als dokumentierte Weisung des Verantwortlichen im Sinne von § 5 lit. a und lässt sich im Dienst nicht abschalten.

§ 8 Technische und organisatorische Maßnahmen (TOMs)

Der Auftragsverarbeiter trifft die nachfolgend beschriebenen Maßnahmen gemäß Art. 32 DSGVO. Sie beschreiben das zugesagte Schutzniveau. Eine ausführliche Darstellung der hierfür eingesetzten Verfahren, Komponenten und Konfigurationen stellt der Auftragsverarbeiter dem Verantwortlichen auf Anfrage in Textform zur Verfügung; sie wird aus Sicherheitsgründen nicht veröffentlicht.

Vertraulichkeit

• Verschlüsselte Übertragung sämtlicher Daten über den Transportweg nach aktuellem Stand der Technik; erzwungene Verschlüsselung durch entsprechende Sicherheits-Header
• Passwörter werden ausschließlich als Hashwert nach einem aktuellen, gesalzenen Verfahren gespeichert, niemals im Klartext
• Verschlüsselung ruhender Daten in zwei Ebenen: Vollverschlüsselung auf Server- und Speicherebene sowie zusätzliche feldbezogene Verschlüsselung besonders sensibler Inhalte — insbesondere Zugangsdaten zu Drittsystemen, Zwei-Faktor-Geheimnisse, Mailserver- und Carrier-Zugangsdaten
• Sitzungsverwaltung über Cookies, die dem Zugriff durch Skripte entzogen und auf verschlüsselte Verbindungen beschränkt sind, mit befristeten Sitzungs- und Erneuerungs-Token sowie Schutz gegen websiteübergreifende Anfragefälschung
• Zwei-Faktor-Authentisierung (TOTP) als Pflicht für Benutzerkonten mit Passwort; Konten mit Google-Anmeldung über die Zwei-Faktor-Sicherung von Google
• Schutz der Autorisierungsvorgänge gegen Wiedereinspielung

Integrität

• Mandantentrennung auf Datenbankebene, in jeder Abfrage technisch erzwungen
• Eingabevalidierung auf Schnittstellenebene; inhaltliche Prüfung hochgeladener Dateien über ihren tatsächlichen Dateityp, nicht allein über die Dateiendung
• GoBD-konforme Festschreibung von Buchungen und Rechnungen; nach der Festschreibung unveränderbar
• Schutz gegen Doppelverarbeitung bei wiederholten Anfragen
• Protokollierung sicherheitsrelevanter Vorgänge

Verfügbarkeit

• Hosting bei der Hetzner Online GmbH (ISO 27001 zertifiziert)
• Serverstandort Deutschland (Falkenstein, Nürnberg)
• Betrieb in isolierten Containern mit automatischer Wiederherstellung und Zustandsüberwachung
• Härtung der Laufzeitumgebung: Betrieb ohne Systemrechte, Einschränkung der Systemberechtigungen und verpflichtende Isolationsmechanismen

Belastbarkeit und Wiederherstellbarkeit

• Automatische tägliche Sicherung der Datenbank; die Sicherungen sind verschlüsselt und werden geografisch getrennt in Deutschland aufbewahrt. Es gilt eine definierte Aufbewahrungsdauer mit anschließender automatischer Überschreibung
• Begrenzung der Zugriffsrate und gestufte Wiederholungsintervalle für Schnittstellenzugriffe
• Überwachung über System- und Anwendungsprotokolle
• Vorgeschalteter Schutz gegen Überlastangriffe sowie Sicherheits-Header

Überprüfung der Wirksamkeit (Art. 32 Abs. 1 lit. d DSGVO)

• Regelmäßige Überprüfung, Bewertung und Evaluierung der Wirksamkeit der technischen und organisatorischen Maßnahmen
• Quartalsweise Sicherheitsprüfungen sowie fortlaufende Prüfung der eingesetzten Software-Komponenten auf bekannt gewordene Schwachstellen; ereignisbasiertes Einspielen von Sicherheitsaktualisierungen bei hohem Schweregrad

Zutrittskontrolle

• Serverinfrastruktur bei Hetzner; die physische Zutrittskontrolle obliegt Hetzner nach ISO 27001
• Administrativer Serverzugang ausschließlich über Schlüsselauthentisierung; ein Zugang über Passwort ist deaktiviert

Zugangskontrolle

• Individuelle Benutzerkonten mit verpflichtender Zwei-Faktor-Authentisierung
• Rollenbasierte Zugriffsberechtigung (Owner, Admin, Buchhaltung, Lager, Picker)
• Login-Protokoll: jede Anmeldung, jeder Fehlversuch, jeder Passwort-Reset und Zwei-Faktor-Vorgang wird mit Zeitstempel, IP-Adresse, versuchter E-Mail-Adresse und Ereignis-Typ protokolliert (Speicherdauer 12 Monate)
• Schutz gegen das Ausspähen bestehender Konten über das Antwortverhalten bei Anmeldeversuchen
• Admin-Zugriffsprotokoll: Greift ein Mitarbeiter des Auftragsverarbeiters auf einen Tenant zu, wird die Sitzung mit Identität, Grund, Quell-IP sowie Start- und Endzeitpunkt protokolliert. Der Verantwortliche kann diese Sitzungen im Dashboard einsehen. Aufbewahrung 12 Monate, anschließend automatische Löschung; Rechtsgrundlage Art. 6 Abs. 1 lit. f DSGVO (berechtigtes Interesse an der Sicherheit des Dienstes und an der Beweissicherung gegen Manipulationen)

Auftragskontrolle und Trennungsgebot

• Jede Plattform-Integration wird pro Tenant mit eigenen, getrennten Zugangsdaten betrieben
• Eine Vermischung von Daten unterschiedlicher Verantwortlicher ist durch die mandantenbezogene Filterung in jeder Abfrage technisch ausgeschlossen

§ 9 Informationspflichten und Meldepflichten

(1) Der Auftragsverarbeiter informiert den Verantwortlichen unverzüglich, grundsätzlich innerhalb von 24 Stunden nach Kenntniserlangung, wenn er Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung erfolgt per E-Mail an die vom Verantwortlichen hinterlegte E-Mail-Adresse und enthält mindestens die in Art. 33 Abs. 3 DSGVO genannten Informationen.

§ 10 Haftung

(1) Für die Haftung der Parteien aus oder im Zusammenhang mit diesem AVV gelten ergänzend die Haftungsregelungen der AGB (§ 10) entsprechend, soweit nachfolgend nichts anderes bestimmt ist.

(2) Die Haftung des Auftragsverarbeiters gegenüber betroffenen Personen sowie die Haftung im Innenverhältnis der Parteien nach Art. 82 DSGVO bleiben unberührt. Der Auftragsverarbeiter haftet nach Art. 82 Abs. 2 S. 2 DSGVO für Schäden nur, soweit er den ihm speziell durch die DSGVO auferlegten Pflichten nicht nachgekommen ist oder unter Nichtbeachtung einer rechtmäßig erteilten Anweisung des Verantwortlichen oder gegen diese gehandelt hat.

§ 11 Schlussbestimmungen

(1) Dieser AVV konkretisiert die Pflichten nach Art. 28 DSGVO und unterliegt — ebenso wie die AGB (§ 17) — deutschem Recht unter Ausschluss kollisionsrechtlicher Verweisungen. Maßgeblich für die Auslegung und Durchsetzung der datenschutzrechtlichen Pflichten ist die Datenschutz-Grundverordnung (DSGVO) in ihrer jeweils geltenden Fassung; deren Anwendungsvorrang als unmittelbar geltendes Unionsrecht bleibt unberührt.

(2) Änderungen dieses AVV, die wesentliche datenschutzrechtliche Bedingungen betreffen, bedürfen der ausdrücklichen Zustimmung des Verantwortlichen in Textform gemäß AGB § 16 Abs. 2; eine Zustimmungsfiktion durch Schweigen ist insoweit ausgeschlossen. Im Übrigen genügt für Änderungen die Textform (E-Mail genügt).

(3) Sollten einzelne Bestimmungen unwirksam sein, bleibt die Wirksamkeit der übrigen Bestimmungen unberührt.

(4) Gerichtsstand für Streitigkeiten aus oder im Zusammenhang mit diesem AVV ist — soweit gesetzlich zulässig — Frankfurt am Main; ein nach zwingendem Recht bestehender ausschließlicher Gerichtsstand bleibt unberührt.

Data Processing Agreement (English translation)

This is a courtesy translation of the German version above, which is the legally binding text. In case of discrepancies, the German version prevails. Last updated: 25 October 2026.

Preamble

This Data Processing Agreement (the „DPA“) supplements the Terms and Conditions between the customer (the „controller“) and SellerTech LLC, 30 N Gould Street, Sheridan, WY 82801, USA, e-mail: info@floone.de (the „processor“ or „FloOne“) and sets out the parties’ data protection obligations in connection with the processing of personal data on behalf of the controller pursuant to Art. 28 GDPR.

The DPA enters into force automatically upon conclusion of the usage contract (registration and use of the FloOne service).

§ 1 Subject matter and duration of processing

(1) The processor processes personal data on behalf of the controller in the course of providing the FloOne SaaS middleware.

(2) The subject matter is the processing of e-commerce, transaction, customer, invoice, payment, receipt, shipping, warehouse and accounting data within the functions of FloOne used by the controller. The individual processing activities are set out in § 2.

(2a) Not covered by this DPA are processing operations that the processor carries out for its own purposes and under its own responsibility — in particular the conclusion and performance of the usage contract, billing, the operation and protection of user accounts (login, authentication, two-factor procedures, login audit log), abuse prevention, and the operation of the website. For those operations the provider is the controller within the meaning of Art. 4(7) GDPR; details are set out in the privacy policy.

(3) The duration of processing corresponds to the term of the usage contract. After the contract ends, the data is deleted in accordance with § 7 of this DPA.

§ 2 Nature and purpose of processing

Processing comprises in particular the following activities:

• Importing order data from third-party APIs (in particular eBay, Amazon, Shopify, WooCommerce, PayPal, Stripe, Billbee, JTL-Wawi, Mirakl-based marketplaces, Refurbed)
• Classifying and validating transaction data
• Producing accounting exports (DATEV EXTF, Lexware Office)
• Receipt recognition (OCR) of incoming invoices via Google Cloud Document AI (Invoice Parser), processed in the EU multi-region, and preparation as a posting proposal
• Creating and sending invoices (PDF, ZUGFeRD, e-mail)
• Creating recurring invoices and credit notes
• Storing purchase receipts (margin scheme, § 25a UStG)
• Creating shipping labels via carrier APIs (in particular DPD, GLS, DHL, UPS, Internetmarke of Deutsche Post AG)
• Stock management and warehouse movements (optional warehouse module)
• Bank statement import (CAMT.053, MT940) and automatic matching of incoming payments
• Generating the OSS report file for the customer to submit to the German Federal Central Tax Office (BZSt)
• Automatic synchronisation, e-mail automation and data export

§ 3 Types of personal data

The following categories of personal data are processed:

• Master data of the controller and its users: name, company name, address, e-mail address, role within the tenant
• Buyer data from sales channels: name, delivery and billing address, e-mail address, phone number, order notes (where provided by the respective interface)
• Transaction and order data: order numbers, order line items, amounts, fees, refunds, payouts, invoice and credit note numbers, payment status and payment references
• Shipping data: recipient address, consignment and tracking numbers, weights and dimensions, carrier assignment
• Warehouse and article data with a personal reference: stock movements attributed to a user, picking and stocktaking operations
• Receipt and document content: content of uploaded incoming receipts including the personal data they contain (issuer, recipient, contact persons), obtained through receipt recognition
• Bank data from statement import: IBAN, account holder, payment references, transaction data
• Supplier and business partner data: company name, address, contact person, contact details
• Tax-relevant data: VAT identification number, tax rates, purchase prices
• Credentials for the controller’s third-party systems: OAuth tokens and API keys of the connected platforms (stored encrypted)

§ 4 Categories of data subjects

• The controller itself (merchant/tenant) and its legal representatives and contact persons
• Users of the tenant: the controller’s employees and appointed persons with their own access (for example accounting, warehouse or picker roles)
• The controller’s buyers, whose data is imported through the connected sales channels
• Recipients of consignments, where different from the orderer
• The controller’s suppliers and their contact persons
• Persons named in receipts uploaded by the controller (in particular invoice issuers, invoice recipients and contact persons named therein)

Special categories of personal data: FloOne is not intended for the deliberate processing of special categories of personal data within the meaning of Art. 9 GDPR; no such functions are offered. Where such information is nevertheless transmitted by the controller — for example as part of an uploaded receipt — it is processed exclusively within the documented instructions and with the safeguards applicable to the processing concerned. The controller ensures that such data is transmitted only where a legal basis under Art. 9(2) GDPR exists.

§ 5 Obligations of the processor

The processor undertakes:

• (a) to process personal data only on documented instructions from the controller, including with regard to transfers to a third country (Art. 28(3)(a) GDPR), unless required to do so by Union or Member State law. The processing activities described in § 1 and § 2 of this DPA, together with the standard instructions arising from the scope of the service under § 3 of the Terms, constitute documented instructions of the controller. The controller may issue supplementary or differing instructions at any time in text form (e-mail to info@floone.de). The processor will inform the controller without undue delay if it considers an instruction to be unlawful (Art. 28(3) sentence 3 GDPR).
• (b) to ensure that persons authorised to process the data have committed themselves to confidentiality (Art. 28(3)(b) GDPR).
• (c) to take all technical and organisational measures required under Art. 32 GDPR (see § 8).
• (d) not to engage further processors without prior authorisation (see § 6).
• (e) to assist the controller, by appropriate technical and organisational measures, in fulfilling data subject rights (Art. 15–22 GDPR). If a data subject approaches the processor directly, the processor will not answer the request on the merits but will forward it to the controller without undue delay and inform the controller of its receipt; the processor answers only on the controller’s instruction.
• (f) to assist the controller in complying with the obligations under Art. 32–36 GDPR, in particular with a data protection impact assessment under Art. 35 GDPR and any prior consultation of the supervisory authority required under Art. 36 GDPR, to the extent the necessary information is available to the processor.
• (g) to delete all personal data after the end of processing (see § 7).
• (h) to make available to the controller all information necessary to demonstrate compliance and to allow for audits. Audits must be announced in text form at least four (4) weeks in advance and limited to a reasonable timeframe. Unless urgent grounds indicate otherwise, they take place no more than once every twelve (12) months; urgent grounds exist in particular following a personal data breach or where there are concrete indications of an infringement. The controller bears the cost of the audit unless the audit reveals an infringement by the processor.

Data protection officer

No data protection officer has been designated at present; in the processor’s assessment the conditions for a mandatory designation under Art. 37 GDPR in conjunction with § 38 BDSG are not met. The contact point for data protection matters is info@floone.de. As soon as a statutory duty to designate arises, a data protection officer will be appointed, their contact details published and the controller informed.

Processor’s place of establishment and third-country transfer

The processor is a legal entity established in the United States. The primary application data and databases are stored at Hetzner Online GmbH in Germany; this data storage is not relocated to a third country. Within individual functions, personal data may also be processed in other countries by the sub-processors or recipients named in § 6.

Because the processor, as a third-country legal entity, can access the data stored in Germany for maintenance, support and administration, a transfer within the meaning of Chapter V GDPR nevertheless takes place (what matters is the access, not the server location — EDPB Guidelines 05/2021). The transfer is based on the European Commission’s Standard Contractual Clauses (Implementing Decision (EU) 2021/914), Module 2 (controller to processor), pursuant to Art. 46(2)(c) GDPR. The Standard Contractual Clauses, including the annexes completed for each customer, are made available to the controller in text form upon conclusion of the usage contract or this DPA; the customer-specific annexes are not published, for data protection reasons. Access is additionally safeguarded by technical and organisational measures (encryption, administrative access limited to what is necessary and logged — see § 8).

Representative pursuant to Art. 27 GDPR: Instant EU GDPR Representative Ltd (Adam Brogden), Office 2, 12A Lower Main Street, Lucan, Co. Dublin, K78 X5P8, Irland, contact@gdprlocal.com.

§ 5a Obligations of the controller

The controller undertakes:

• (a) to ensure the lawfulness of the processing, in particular to provide a sound legal basis for the processing it initiates and to obtain the necessary consents where processing is based on consent.
• (b) to issue only lawful instructions to the processor.
• (c) to fulfil the information obligations towards data subjects under Art. 13 and 14 GDPR and to answer data subject requests (§ 5(e)).
• (d) to manage the access rights and permissions of the users of its tenant, to deactivate access that is no longer needed, and to keep credentials confidential.
• (e) to transmit special categories of personal data only where a legal basis under Art. 9(2) GDPR exists (§ 4).
• (f) to inform the processor without undue delay if it identifies errors or irregularities in the processing results that are relevant under data protection law.
• (g) to fulfil the statutory retention obligations applicable to it on its own responsibility, in particular by exporting the data in good time (§ 7).

§ 6 Sub-processors

(1) The controller grants the processor general authorisation to engage further sub-processors. The processor informs the controller of intended changes in good time in advance by e-mail. The controller may object to the engagement of a new sub-processor in text form within 14 days of notification. The change does not take effect before that period expires. In the event of a justified objection, either party has a right to terminate for cause.

(2) Current sub-processors:

(3) Agreements are in place with all sub-processors imposing on them at least the same data protection obligations as are set out in this DPA (Art. 28(4) GDPR). Where a sub-processor fails to fulfil its data protection obligations, the processor remains fully liable to the controller for the performance of those obligations. Upon reasoned request, the processor provides suitable information demonstrating the sub-processor’s contractual commitment; confidential content and trade secrets may be redacted.

(4) Independent controllers / recipients of personal data: The following third parties are not processors but independent controllers within the meaning of Art. 4(7) GDPR. The payment service provider Stripe is deliberately not listed: it is used solely to bill the fee for the use of FloOne between the provider and the customer. That processing concerns the provider’s own contractual relationship and is not covered by this DPA (§ 1(2a)); details are set out in the privacy policy. Where the controller connects its own Stripe account as a data source, that is a separate processing operation under § 2. Personal data is transferred to these recipients on the documented instructions of the controller; determining and documenting the legal basis for the transfer is the responsibility of the controller. Each recipient is independently responsible for its subsequent own processing. The recipients’ respective privacy terms apply in addition.

§ 7 Deletion and return of data

(1) After the usage contract ends, the controller is entitled, at its choice, to the return or deletion of the personal data (Art. 28(3)(g) GDPR). For the return, the export functions of the service (in particular CSV, DATEV EXTF, ZUGFeRD PDF, JSON) are available to the controller for a period of 30 days; on request the processor provides reasonable assistance with handing over the data. If the controller does not make a different choice in text form, the data is deleted in accordance with paragraph 2 after the 30-day period expires.

(2) After the 30-day period expires, all of the controller’s personal data is irrevocably deleted, unless Union law or the law of a Member State to which the processor itself is subject requires further storage (Art. 28(3)(g) GDPR). Statutory retention obligations that apply to the controller do not give rise to retention by the processor; the controller fulfils them by exporting the data under paragraph 1. Deletion is complete and automated, including all associated files (in particular receipt images). Backups containing the controller’s personal data are overwritten in the course of the regular backup rotation, at the latest within 30 days of the regular deletion. During that transitional phase the backed-up data is not actively processed; it is held passively for restoration in the event of a fault only.

(3) The processor confirms deletion in writing on request.

(4) Notwithstanding paragraphs 1 and 2, the processor deletes the e-mail addresses and telephone numbers of buyers from Amazon orders during the term of the contract, no later than 30 days after delivery of the order. The processor is required to do so by the Amazon Data Protection Policy for the Selling Partner API, which applies to providers that retrieve data through that interface. Name, address and VAT ID are retained because they are required for invoices. This deletion constitutes a documented instruction of the controller within the meaning of § 5(a) and cannot be switched off in the service.

§ 8 Technical and organisational measures

The processor takes the measures described below pursuant to Art. 32 GDPR. They describe the level of protection that is undertaken. A detailed description of the procedures, components and configurations used is made available by the processor to the controller in text form on request; it is not published, for security reasons.

Confidentiality

• Encrypted transmission of all data in transit according to the current state of the art; encryption enforced by corresponding security headers
• Passwords are stored exclusively as a hash using a current, salted procedure, never in plain text
• Encryption of data at rest on two levels: full encryption at server and storage level, plus additional field-level encryption of particularly sensitive content — in particular credentials for third-party systems, two-factor secrets, mail server and carrier credentials
• Session management via cookies that are inaccessible to scripts and restricted to encrypted connections, with time-limited session and refresh tokens and protection against cross-site request forgery
• Mandatory two-factor authentication (TOTP) for password-based user accounts; accounts using Google sign-in rely on Google's two-factor protection
• Protection of authorisation flows against replay

Integrity

• Tenant separation at database level, technically enforced in every query
• Input validation at interface level; content-based verification of uploaded files by their actual file type, not by the file extension alone
• GoBD-compliant finalisation of postings and invoices; immutable once finalised
• Protection against duplicate processing of repeated requests
• Logging of security-relevant operations

Availability

• Hosting at Hetzner Online GmbH (ISO 27001 certified)
• Server location Germany (Falkenstein, Nuremberg)
• Operation in isolated containers with automatic recovery and health monitoring
• Hardening of the runtime environment: operation without system privileges, restriction of system permissions and mandatory isolation mechanisms

Resilience and restorability

• Automatic daily backup of the database; backups are encrypted and kept geographically separated within Germany. A defined retention period applies, followed by automatic overwriting
• Rate limiting and staged retry intervals for interface access
• Monitoring via system and application logs
• Upstream protection against overload attacks, plus security headers

Verification of effectiveness (Art. 32(1)(d) GDPR)

• Regular review, assessment and evaluation of the effectiveness of the technical and organisational measures
• Quarterly security reviews and continuous screening of the software components in use for known vulnerabilities; event-driven application of security updates where severity is high

Physical access control

• Server infrastructure at Hetzner; physical access control is Hetzner’s responsibility under ISO 27001
• Administrative server access exclusively via key authentication; password-based access is disabled

System access control

• Individual user accounts with mandatory two-factor authentication
• Role-based access permissions (owner, admin, accounting, warehouse, picker)
• Login log: every login, every failed attempt, every password reset and two-factor operation is logged with timestamp, IP address, the e-mail address used and the event type (retention 12 months)
• Protection against enumeration of existing accounts through the response behaviour on login attempts
• Admin access log: if an employee of the processor accesses a tenant, the session is logged with identity, reason, source IP and start and end time. The controller can review these sessions in the dashboard. Retention 12 months, followed by automatic deletion; legal basis Art. 6(1)(f) GDPR (legitimate interest in the security of the service and in preserving evidence against manipulation)

Instruction control and separation

• Every platform integration is operated per tenant with its own separate credentials
• Mixing data of different controllers is technically excluded by tenant-based filtering in every query

§ 9 Information and notification obligations

(1) The processor informs the controller without undue delay, as a rule within 24 hours of becoming aware, if it becomes aware of a personal data breach (Art. 33(2) GDPR).

(2) Notification is sent by e-mail to the address on file for the controller and contains at least the information listed in Art. 33(3) GDPR.

§ 10 Liability

(1) The liability provisions of the Terms (§ 10) apply accordingly to the parties’ liability arising from or in connection with this DPA, unless otherwise provided below.

(2) The processor’s liability towards data subjects and the parties’ liability between themselves under Art. 82 GDPR remain unaffected. Under Art. 82(2) sentence 2 GDPR the processor is liable for damage only where it has not complied with obligations specifically directed to processors under the GDPR, or where it has acted outside or contrary to lawful instructions of the controller.

§ 11 Final provisions

(1) This DPA gives effect to the obligations under Art. 28 GDPR and is governed — like the Terms (§ 17) — by German law, excluding its conflict of laws rules. The General Data Protection Regulation, as amended from time to time, governs the interpretation and enforcement of the data protection obligations; its primacy as directly applicable Union law remains unaffected.

(2) Amendments to this DPA that concern material data protection terms require the controller’s express consent in text form pursuant to § 16(2) of the Terms; consent by silence is excluded in that respect. For all other amendments, text form suffices (e-mail is sufficient).

(3) Should individual provisions be invalid, the validity of the remaining provisions remains unaffected.

(4) The place of jurisdiction for disputes arising from or in connection with this DPA is — to the extent legally permissible — Frankfurt am Main; any exclusive place of jurisdiction under mandatory law remains unaffected.