Auftragsverarbeitungsvertrag (AVV)

gemäß Art. 28 DSGVO · Stand: Juli 2026 · Bestandteil der AGB

§ 1 Gegenstand, Parteien, Geltung

(1) Dieser Vertrag regelt die Verarbeitung personenbezogener Daten durch Semih Inac · SemCom, Glogauerstr. 14, 76139 Karlsruhe („Auftragsverarbeiter") im Auftrag des Kunden („Verantwortlicher") im Rahmen der Nutzung des Dienstes RefundAI.

(2) Dieser AVV wird mit der Registrierung bzw. dem Abschluss des Nutzungsvertrags Vertragsbestandteil und gilt für die Dauer der Nutzung des Dienstes.

§ 2 Art, Zweck und Umfang der Verarbeitung

Der Auftragsverarbeiter verarbeitet personenbezogene Daten, die der Verantwortliche über den Dienst eingibt oder automatisiert einliest (z. B. per E-Mail-Postfach-Anbindung oder öffentliche Formulare), zum Zweck der Reklamationsbearbeitung: Analyse, Erstellung von Antwortvorschlägen, Versand von Antworten, Weiterleitung an Lieferanten/Transportdienstleister, Fristenüberwachung und Auswertungen.

§ 3 Kategorien betroffener Personen und Datenarten

• Betroffene Personen: Endkunden des Verantwortlichen; Mitarbeiter des Verantwortlichen; Ansprechpartner von Lieferanten/Transportdienstleistern.
• Datenarten: Namen, E-Mail-Adressen, Bestell- und Sendungsdaten, Reklamationsinhalte (Freitext), E-Mail-Kommunikation, hochgeladene Fotos (z. B. Schadenbilder), Beträge (Warenwert/Erstattungen).

§ 4 Pflichten des Auftragsverarbeiters

• Verarbeitung ausschließlich auf dokumentierte Weisung des Verantwortlichen (die Nutzung der Funktionen des Dienstes gilt als Weisung).
• Vertraulichkeitsverpflichtung aller mit der Verarbeitung befassten Personen.
• Umsetzung technischer und organisatorischer Maßnahmen nach Art. 32 DSGVO (§ 7).
• Unterstützung des Verantwortlichen bei Betroffenenrechten (Auskunft, Löschung, Export) sowie bei Pflichten nach Art. 32–36 DSGVO, soweit möglich mit den Funktionen des Dienstes.
• Unverzügliche Information bei Verletzungen des Schutzes personenbezogener Daten.
• Löschung oder Rückgabe der Daten nach Vertragsende (§ 8).
• Bereitstellung der zum Nachweis der Pflichten erforderlichen Informationen.

§ 5 Unterauftragsverarbeiter

Der Verantwortliche genehmigt den Einsatz folgender Unterauftragsverarbeiter:

Dienstleister	Zweck	Ort der Verarbeitung / Grundlage
Render Services, Inc. (USA)	Hosting & Datenbank	Rechenzentrum Frankfurt (DE); SCC/DPF
Anthropic PBC (USA)	KI-Analyse der Reklamationstexte und Fotos	USA; SCC/DPF
Resend, Inc. (USA)	E-Mail-Versand	USA; SCC
Stripe Payments Europe, Ltd. (IRL/USA)	Zahlungsabwicklung (nur Kontodaten des Verantwortlichen)	Irland/USA; SCC/DPF

Der Auftragsverarbeiter informiert über beabsichtigte Änderungen (z. B. per E-Mail oder Änderungsvermerk auf dieser Seite) mindestens 4 Wochen im Voraus; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen.

§ 6 Weisungsrecht

Weisungen werden grundsätzlich über die Funktionen des Dienstes erteilt (z. B. Senden, Weiterleiten, Löschen). Darüber hinausgehende Weisungen bedürfen der Textform. Hält der Auftragsverarbeiter eine Weisung für datenschutzwidrig, informiert er den Verantwortlichen unverzüglich.

§ 7 Technische und organisatorische Maßnahmen (TOMs)

• Transportverschlüsselung (TLS) für sämtliche Verbindungen.
• Verschlüsselung sensibler Zugangsdaten (Postfach-/Shop-Anbindungen, 2FA-Geheimnisse) mit AES-256-GCM.
• Passwörter ausschließlich als bcrypt-Hash; optionale Zwei-Faktor-Authentifizierung.
• Zugriffskontrolle: mandantengetrennte Datenhaltung je Organisation; rollenbasierte Zugriffe (Inhaber/Agent); Aktivitätsprotokoll.
• Rate-Limits und Missbrauchsschutz auf öffentlichen Endpunkten.
• Regelmäßige Datensicherungen; Hosting in einem zertifizierten Rechenzentrum (Frankfurt).

§ 8 Löschung und Rückgabe

Nach Beendigung des Vertrags kann der Verantwortliche seine Daten über die Exportfunktion abrufen. Auf Wunsch oder mit Löschung des Kontos werden alle personenbezogenen Daten des Auftrags gelöscht, soweit keine gesetzlichen Aufbewahrungspflichten entgegenstehen.

§ 9 Nachweise und Kontrollen

Der Auftragsverarbeiter stellt auf Anfrage die zum Nachweis der Einhaltung dieses Vertrags erforderlichen Informationen bereit. Kontrollen vor Ort sind nach vorheriger Ankündigung zu üblichen Geschäftszeiten möglich, soweit erforderlich.

Siehe auch: Impressum · Datenschutzerklärung · AGB