Vertrag zur Auftragsverarbeitung (Art. 28 DSGVO)

Stand: Oktober 2026

Dieser Vertrag gilt zwischen dem Kunden von Listingfuchs Pro („Verantwortlicher“) und GambTec, Inhaber Toni Gambino, Meldenweg 18, 12357 Berlin („Auftragsverarbeiter“). Er ist Bestandteil des Nutzungsvertrags und wird mit der Anmeldung geschlossen. Eine unterschriebene Fassung senden wir auf Wunsch zu.

1. Gegenstand und Dauer

Der Auftragsverarbeiter betreibt die Anwendung Listingfuchs Pro und verarbeitet dabei personenbezogene Daten im Auftrag des Verantwortlichen. Der Vertrag läuft so lange wie der Nutzungsvertrag.

2. Art, Zweck, Daten und Betroffene

• Zweck: Erstellen und Verwalten von eBay-Angeboten, Auswertung von Verkäufen und Gebühren, auf Wunsch Bestellabwicklung (Packzettel, Versandmeldung, Versandetiketten), Anzeige und Beantwortung von Käufernachrichten und Bewertungen.
• Betroffene: Käufer und Interessenten des Verantwortlichen bei eBay; Mitarbeiter des Verantwortlichen, die einen Zugang haben.
• Daten ohne Bestellabwicklung: Bestellnummer, Artikel, Beträge, Status, Zielland. Namen und Anschriften von Käufern werden nicht gespeichert.
• Daten mit eingeschalteter Bestellabwicklung: zusätzlich Name, Lieferanschrift, Telefonnummer, eBay-Name, Käufernotiz, Sendungsnummer. Löschung nach der vom Verantwortlichen eingestellten Frist (14 bis 365 Tage, Standard 90) und sofort beim Ausschalten.
• Nachrichten und Bewertungen: eBay-Name und Inhalt werden nur zur Anzeige abgerufen und nicht gespeichert.
• Zugänge der Mitarbeiter: Name, E-Mail-Adresse, Passwort als Hash, Zeitpunkt der letzten Anmeldung.

3. Weisungen

Der Auftragsverarbeiter verarbeitet die Daten nur nach dokumentierter Weisung des Verantwortlichen. Als Weisung gelten dieser Vertrag und die Einstellungen, die der Verantwortliche in der Anwendung vornimmt. Hält der Auftragsverarbeiter eine Weisung für rechtswidrig, weist er darauf hin.

4. Pflichten des Auftragsverarbeiters

• Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet.
• Er trifft die technischen und organisatorischen Maßnahmen nach Anlage 1 und hält sie auf dem Stand der Technik.
• Er unterstützt den Verantwortlichen im zumutbaren Rahmen bei Anfragen Betroffener (Auskunft, Berichtigung, Löschung) sowie bei Meldepflichten und Datenschutz-Folgenabschätzungen.
• Er meldet Verletzungen des Schutzes personenbezogener Daten unverzüglich, nachdem er davon erfahren hat, per E-Mail an die hinterlegte Adresse des Inhabers.
• Wendet sich ein Betroffener direkt an den Auftragsverarbeiter, leitet dieser die Anfrage an den Verantwortlichen weiter.

5. Unterauftragsverarbeiter

Der Verantwortliche stimmt den in Anlage 2 genannten Unterauftragsverarbeitern zu. Neue oder ausgetauschte Unterauftragsverarbeiter kündigt der Auftragsverarbeiter mindestens vier Wochen vorher per E-Mail an. Der Verantwortliche kann aus wichtigem Grund widersprechen; lässt sich keine Lösung finden, kann er den Nutzungsvertrag zum Zeitpunkt der Änderung kündigen. Unterauftragsverarbeiter werden vertraglich auf ein gleichwertiges Schutzniveau verpflichtet.

6. Übermittlung in Drittländer

Für die KI-Funktionen werden Fotos und Angaben eines Entwurfs an die Anthropic, PBC (USA) übermittelt, gestützt auf die EU-Standardvertragsklauseln. Käuferdaten aus der Bestellabwicklung werden nicht an die KI übermittelt. Der Verantwortliche achtet darauf, in Fotos und Angaben für Entwürfe keine personenbezogenen Daten Dritter zu verwenden.

7. Kontrollrechte

Der Auftragsverarbeiter weist die Einhaltung dieses Vertrags auf Anfrage durch geeignete Auskünfte und Unterlagen nach. Reichen diese nicht aus, kann der Verantwortliche nach Ankündigung mit angemessener Frist selbst oder durch einen zur Verschwiegenheit verpflichteten Prüfer kontrollieren, höchstens einmal im Jahr und ohne den Betrieb unverhältnismäßig zu stören.

8. Löschung und Rückgabe

Nach Vertragsende löscht der Auftragsverarbeiter die im Auftrag verarbeiteten Daten spätestens nach 90 Tagen, auf Wunsch früher, soweit keine gesetzliche Pflicht zur Aufbewahrung besteht. Sicherungskopien werden rollierend überschrieben. Verkaufs- und Buchungsdaten kann der Verantwortliche vorher als Datei exportieren.

9. Haftung

Es gelten die Haftungsregeln der AGB; Art. 82 DSGVO bleibt unberührt.

Anlage 1 – Technische und organisatorische Maßnahmen

• Standort: Server der Hetzner Online GmbH in Rechenzentren innerhalb der EU.
• Zutritt und Zugang: Rechenzentrum mit Zutrittskontrolle des Betreibers. Zugriff auf den Server nur für den Inhaber, nur mit persönlichem Schlüssel; Firewall, nur die nötigen Dienste von außen erreichbar; automatische Sperre auffälliger Zugriffe; tägliche Sicherheitsprüfung mit Meldung.
• Zugriff in der Anwendung: persönliche Zugänge, Passwörter nur als Hash, Zwei-Faktor-Anmeldung (Authenticator-App) und Passkeys verfügbar, Rollen (Inhaber und Mitarbeiter), widerrufbare Sitzungen, Begrenzung von Fehlversuchen.
• Trennung: Daten jedes Kunden sind seinem Betrieb zugeordnet; jede Abfrage ist auf den eigenen Betrieb beschränkt.
• Verschlüsselung: Übertragung ausschließlich über TLS. eBay-Zugangstoken und Schlüssel für angebundene Dienste liegen verschlüsselt (AES-256-GCM) in der Datenbank.
• Verfügbarkeit: tägliche Datensicherung, verschlüsselt und zusätzlich außerhalb des Servers abgelegt; Überwachung des Betriebs.
• Löschung: automatische Löschfrist für Käuferanschriften; Löschung beim Ausschalten der Bestellabwicklung; Löschung nach Vertragsende.
• Pflege: regelmäßige Sicherheitsupdates von Betriebssystem und Anwendung; Änderungen an der Anwendung werden versioniert und nachvollziehbar eingespielt.

Anlage 2 – Unterauftragsverarbeiter

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen – Server und Speicher für die verschlüsselten Sicherungen (EU).
• Strato AG, Otto-Ostrowski-Str. 7, 10249 Berlin – Versand von E-Mails (Benachrichtigungen, Einladungen, Passwort-Links).
• Anthropic, PBC, San Francisco, USA – KI-Verarbeitung von Fotos und Angaben eines Entwurfs (EU-Standardvertragsklauseln; keine Verwendung zum Training).

Keine Unterauftragsverarbeiter sind eBay, der Zahlungsdienst Stripe sowie Dienste, die der Verantwortliche mit eigenem Konto anbindet (z. B. Sendcloud, Lexware). Mit ihnen steht der Verantwortliche selbst im Vertrag; Listingfuchs Pro überträgt Daten dorthin nur auf seine Veranlassung.