Vertrag zur Auftragsverarbeitung

nach Art. 28 DSGVO zwischen dem Kunden als Verantwortlichem („Auftraggeber“) und Roddis Consulting, Inhaber Alexander Roddis, Lornsenstraße 80, 22869 Schenefeld, als Auftragsverarbeiter („Auftragnehmer“).

Dieser Vertrag wird mit dem Vertrag über die Nutzung von Dispatchr („Hauptvertrag“, siehe AGB) Bestandteil der Vereinbarung. Auf Wunsch stellen wir ihn auch als unterzeichnetes Dokument bereit.

§ 1 Gegenstand und Dauer

Der Auftragnehmer verarbeitet personenbezogene Daten im Auftrag des Auftraggebers, um Dispatchr nach dem Hauptvertrag bereitzustellen. Der Vertrag gilt für die Laufzeit des Hauptvertrags und darüber hinaus, solange der Auftragnehmer Daten des Auftraggebers verarbeitet.

§ 2 Art und Zweck der Verarbeitung

Die Verarbeitung umfasst das Erheben, Speichern, Ordnen, Anpassen, Auslesen, Abfragen, Übermitteln, Abgleichen, Einschränken und Löschen von Daten zur Abwicklung von Bestellungen des Auftraggebers, insbesondere:

• Empfang von Bestellungen aus Shops, Marktplätzen und Schnittstellen,
• Prüfung, Zuordnung zu Lagerorten und Übergabe an Lager und Fulfillment-Dienstleister,
• Erstellung von Versandlabels, Zolldaten und Sendungsverfolgung,
• Retourenabwicklung, Retourenportal und Sendungsverfolgungsseite,
• Versand von E-Mails und Dokumenten an Endkunden im Namen des Auftraggebers,
• Berichte, Exporte, Automatisierungen (Workflows) und Protokolle.

§ 3 Datenarten und betroffene Personen

Datenarten

• Kontaktdaten: Name, Firma, Liefer- und Rechnungsadresse, E-Mail-Adresse, Telefonnummer,
• Bestelldaten: Artikel, Mengen, Preise, Zahlungs- und Versandart, Zahlungsstatus (keine Kartendaten),
• Versand- und Retourendaten: Sendungsnummern, Zustellereignisse, Retourengründe, Erstattungsstatus,
• Kommunikationsdaten: Inhalte von E-Mails und Dokumenten an Endkunden, interne Notizen,
• Nutzerdaten des Auftraggebers: Name, E-Mail-Adresse, Rolle, Anmelde- und Änderungsprotokolle.

Die Verarbeitung besonderer Kategorien personenbezogener Daten (Art. 9 DSGVO) ist nicht vorgesehen.

Betroffene Personen

• Endkunden und Interessenten des Auftraggebers,
• Beschäftigte und sonstige Nutzer des Auftraggebers,
• Ansprechpartner bei Lieferanten, Lagern und Dienstleistern des Auftraggebers.

§ 4 Weisungen

1. Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, es sei denn, er ist gesetzlich zur Verarbeitung verpflichtet; in diesem Fall teilt er dies dem Auftraggeber vorher mit, sofern das Gesetz es nicht verbietet. Weisungen sind der Hauptvertrag, dieser Vertrag und die Einstellungen, die der Auftraggeber in Dispatchr vornimmt, etwa Workflows, Schnittstellen und Löschfunktionen. Weitere Weisungen erteilt der Auftraggeber in Textform.
2. Hält der Auftragnehmer eine Weisung für rechtswidrig, weist er den Auftraggeber unverzüglich darauf hin und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen.
3. Übermittelt Dispatchr Daten an Shops, Marktplätze, Lager, Versanddienstleister oder andere Systeme, die der Auftraggeber anbindet, geschieht dies auf Weisung des Auftraggebers. Diese Empfänger sind keine Unterauftragsverarbeiter des Auftragnehmers; das Vertragsverhältnis mit ihnen besteht unmittelbar zwischen dem Auftraggeber und dem jeweiligen Anbieter.

§ 5 Pflichten des Auftragnehmers

1. Der Auftragnehmer verpflichtet alle Personen, die Zugang zu den Daten haben, zur Vertraulichkeit, soweit sie keiner gesetzlichen Verschwiegenheitspflicht unterliegen.
2. Er trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie weiterentwickeln, solange das Schutzniveau nicht unterschritten wird.
3. Er unterstützt den Auftraggeber bei der Beantwortung von Anträgen betroffener Personen. Dispatchr enthält dafür Funktionen zur Auskunft, zum Export und zur Anonymisierung von Endkundendaten. Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter.
4. Er unterstützt den Auftraggeber bei Datenschutz-Folgenabschätzungen, Konsultationen der Aufsichtsbehörde und den Pflichten nach Art. 32 bis 36 DSGVO im angemessenen Umfang.
5. Er meldet dem Auftraggeber Verletzungen des Schutzes personenbezogener Daten unverzüglich, nach Möglichkeit innerhalb von 48 Stunden nach Kenntnis, mit den Angaben nach Art. 33 Abs. 3 DSGVO, soweit verfügbar.
6. Die Verarbeitung findet in der Europäischen Union statt. Eine Übermittlung in Drittländer erfolgt nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind.

§ 6 Unterauftragsverarbeiter

1. Der Auftraggeber genehmigt die in Anlage 2 genannten Unterauftragsverarbeiter. Der Auftragnehmer verpflichtet sie vertraglich auf ein gleichwertiges Datenschutzniveau.
2. Der Auftragnehmer informiert den Auftraggeber mindestens vier Wochen vorher in Textform über die beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters. Der Auftraggeber kann aus wichtigem datenschutzrechtlichem Grund innerhalb dieser Frist widersprechen. Können sich die Parteien nicht einigen, kann der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen.

§ 7 Kontrollrechte

Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung dieses Vertrags zur Verfügung. Als Nachweis dienen insbesondere diese Anlagen und die Zertifizierungen der Rechenzentrumsbetreiber (zum Beispiel ISO 27001, SOC 2, BSI C5). Darüber hinaus ermöglicht er Überprüfungen durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer nach Anmeldung mit angemessener Frist, zu den üblichen Geschäftszeiten und ohne Störung des Betriebs. Den Aufwand für Vor-Ort-Prüfungen kann der Auftragnehmer angemessen in Rechnung stellen.

§ 8 Löschung und Rückgabe

Nach Ende des Hauptvertrags kann der Auftraggeber seine Daten 30 Tage lang exportieren. Danach löscht der Auftragnehmer sie, sofern keine gesetzliche Pflicht zur Speicherung besteht. Sicherungskopien werden im Rahmen der regulären Rotation gelöscht, spätestens nach weiteren sieben Tagen. Auf Wunsch bestätigt der Auftragnehmer die Löschung in Textform.

§ 9 Haftung und Schlussbestimmungen

1. Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags.
2. Bei Widersprüchen geht dieser Vertrag für Fragen des Datenschutzes dem Hauptvertrag vor. Änderungen bedürfen der Textform. Es gilt deutsches Recht; Gerichtsstand ist der des Hauptvertrags.

Anlage 1: Technische und organisatorische Maßnahmen

Vertraulichkeit

• Zutritt: Betrieb ausschließlich in Rechenzentren von Amazon Web Services in Frankfurt am Main; der Auftragnehmer betreibt keine eigenen Serverräume. Die physische Sicherheit ist durch die Zertifizierungen von AWS belegt.
• Zugang: persönliche Konten, Passwörter nur als Hash, optionale Zwei-Faktor-Anmeldung (TOTP) je Nutzer, kurzlebige Anmelde-Token, Begrenzung von Anmeldeversuchen und Anfragen. Betriebszugriffe auf die Infrastruktur über rollenbasierte Berechtigungen nach dem Prinzip der geringsten Rechte; Auslieferungen laufen über kurzlebige Zugangsdaten (OIDC) ohne dauerhaft hinterlegte Schlüssel.
• Zugriff: Rollenmodell (zum Beispiel Administrator, Bearbeiter, Leser) mit optionaler Beschränkung auf Lagerorte. Zugriffe des Auftragnehmers auf Umgebungen von Kunden, etwa für Support, werden protokolliert.
• Trennung: logische Trennung der Daten je Kundenumgebung bei jedem Lese- und Schreibzugriff; getrennte Umgebungen für Test (Staging) und Produktion.
• Verschlüsselung: Übertragung über das Internet ausschließlich per TLS (mindestens 1.2); Datenbank, Dateispeicher und Cache verschlüsselt gespeichert; Zugangsdaten zu angebundenen Systemen zusätzlich auf Anwendungsebene verschlüsselt; Geheimnisse der Anwendung im AWS Secrets Manager.

Integrität

• Eingabekontrolle: Änderungsprotokoll (Audit-Log) mit Nutzer, Zeitpunkt und Änderung, Aufbewahrung 365 Tage; Aktivitätsverlauf je Bestellung.
• Weitergabekontrolle: Übermittlungen an angebundene Systeme nur über vom Auftraggeber eingerichtete Schnittstellen; ausgehende Webhooks mit HMAC-Signatur, sobald ein Geheimnis hinterlegt ist.

Verfügbarkeit und Belastbarkeit

• tägliche automatische Datenbanksicherungen mit sieben Tagen Aufbewahrung und Wiederherstellung auf einen Zeitpunkt,
• automatische Skalierung und Neustart fehlerhafter Dienste, Überwachung mit Alarmierung,
• Änderungen an der Software erst nach automatisierten Tests; Datenbankänderungen werden vor dem Ausrollen geprüft.

Datenschutz durch Technikgestaltung und regelmäßige Überprüfung

• automatische Löschung von Betriebsdaten nach festen Fristen (zum Beispiel Workflow-Läufe und Schnittstellenprotokolle nach 30 Tagen, Exporte nach 7 Tagen),
• Funktionen zur Auskunft, zum Export und zur Anonymisierung von Endkundendaten,
• regelmäßige Überprüfung der Maßnahmen und Anpassung an den Stand der Technik.

Anlage 2: Unterauftragsverarbeiter

Stand: 9. Oktober 2026

Data processing agreement

Translation for convenience – the German version is binding.

pursuant to Art. 28 GDPR between the customer as controller ("Controller") and Roddis Consulting, owner Alexander Roddis, Lornsenstraße 80, 22869 Schenefeld, Germany, as processor ("Processor").

This agreement becomes part of the contract for the use of Dispatchr ("Main Contract", see terms). On request we also provide it as a signed document.

§ 1 Subject matter and duration

The Processor processes personal data on behalf of the Controller in order to provide Dispatchr under the Main Contract. This agreement applies for the term of the Main Contract and beyond for as long as the Processor processes the Controller's data.

§ 2 Nature and purpose of processing

Processing comprises collecting, storing, organising, adapting, retrieving, querying, transmitting, aligning, restricting and erasing data in order to fulfil the Controller's orders, in particular:

• receiving orders from shops, marketplaces and interfaces,
• checking orders, allocating them to locations and handing them over to warehouses and fulfilment providers,
• creating shipping labels, customs data and shipment tracking,
• returns handling, returns portal and tracking page,
• sending e-mails and documents to end customers on behalf of the Controller,
• reports, exports, automations (workflows) and logs.

§ 3 Types of data and data subjects

Types of data

• contact data: name, company, delivery and billing address, e-mail address, phone number,
• order data: items, quantities, prices, payment and shipping method, payment status (no card data),
• shipping and returns data: tracking numbers, delivery events, return reasons, refund status,
• communication data: content of e-mails and documents sent to end customers, internal notes,
• the Controller's user data: name, e-mail address, role, sign-in and change logs.

Processing of special categories of personal data (Art. 9 GDPR) is not intended.

Data subjects

• end customers and prospects of the Controller,
• employees and other users of the Controller,
• contact persons at the Controller's suppliers, warehouses and service providers.

§ 4 Instructions

1. The Processor processes the data only on documented instructions from the Controller, unless it is legally required to process them; in that case it informs the Controller beforehand unless the law prohibits this. Instructions are the Main Contract, this agreement and the settings the Controller makes in Dispatchr, such as workflows, interfaces and deletion functions. The Controller gives further instructions in text form.
2. If the Processor considers an instruction unlawful, it informs the Controller without delay and may suspend its execution until it is confirmed or changed.
3. Where Dispatchr transmits data to shops, marketplaces, warehouses, carriers or other systems that the Controller connects, it does so on the Controller's instruction. These recipients are not sub-processors of the Processor; the contractual relationship with them exists directly between the Controller and the respective provider.

§ 5 Obligations of the Processor

1. The Processor commits all persons with access to the data to confidentiality, unless they are subject to a statutory duty of confidentiality.
2. It takes the technical and organisational measures under Art. 32 GDPR described in Annex 1. It may develop them further as long as the level of protection is not reduced.
3. It supports the Controller in responding to requests from data subjects. Dispatchr includes functions for access, export and anonymisation of end-customer data for this purpose. If a data subject contacts the Processor directly, it forwards the request to the Controller without delay.
4. It supports the Controller to a reasonable extent with data protection impact assessments, consultations of the supervisory authority and the obligations under Art. 32 to 36 GDPR.
5. It notifies the Controller of personal data breaches without undue delay, where possible within 48 hours of becoming aware of them, with the information under Art. 33 (3) GDPR as far as available.
6. Processing takes place in the European Union. Data is only transferred to third countries if the requirements of Art. 44 et seq. GDPR are met.

§ 6 Sub-processors

1. The Controller approves the sub-processors listed in Annex 2. The Processor contractually obliges them to an equivalent level of data protection.
2. The Processor informs the Controller in text form at least four weeks in advance of any intended addition or replacement of a sub-processor. The Controller may object within this period for an important reason relating to data protection. If the parties cannot agree, the Controller may terminate the Main Contract with effect from the date of the change.

§ 7 Audit rights

The Processor provides the Controller with all information necessary to demonstrate compliance with this agreement. Evidence includes in particular these annexes and the certifications of the data centre operators (for example ISO 27001, SOC 2, BSI C5). In addition, it allows audits by the Controller or an auditor appointed by the Controller and bound to confidentiality, after notice with a reasonable period, during normal business hours and without disrupting operations. The Processor may charge reasonable costs for on-site audits.

§ 8 Deletion and return

After the Main Contract ends, the Controller can export its data for 30 days. The Processor then deletes it unless there is a legal obligation to retain it. Backup copies are deleted as part of the regular rotation, at the latest after a further seven days. On request, the Processor confirms the deletion in text form.

§ 9 Liability and final provisions

1. Liability is governed by Art. 82 GDPR. Otherwise the liability provisions of the Main Contract apply.
2. In the event of contradictions, this agreement takes precedence over the Main Contract in matters of data protection. Amendments must be made in text form. German law applies; the place of jurisdiction is that of the Main Contract.

Annex 1: Technical and organisational measures

Confidentiality

• Physical access: operation exclusively in Amazon Web Services data centres in Frankfurt am Main; the Processor operates no server rooms of its own. Physical security is evidenced by AWS certifications.
• System access: personal accounts, passwords stored only as hashes, optional two-factor sign-in (TOTP) per user, short-lived sign-in tokens, limits on sign-in attempts and requests. Operational access to the infrastructure through role-based permissions following the principle of least privilege; deployments use short-lived credentials (OIDC) without permanently stored keys.
• Data access: role model (for example administrator, editor, viewer) with optional restriction to locations. Access by the Processor to customer environments, for example for support, is logged.
• Separation: logical separation of data per customer environment on every read and write; separate environments for testing (staging) and production.
• Encryption: transmission over the internet exclusively via TLS (at least 1.2); database, file storage and cache encrypted at rest; credentials for connected systems additionally encrypted at application level; application secrets in AWS Secrets Manager.

Integrity

• Input control: change log (audit log) with user, time and change, kept for 365 days; activity history per order.
• Transfer control: transmissions to connected systems only via interfaces set up by the Controller; outgoing webhooks carry an HMAC signature once a secret is configured.

Availability and resilience

• daily automatic database backups with seven days' retention and point-in-time recovery,
• automatic scaling and restart of failed services, monitoring with alerting,
• software changes only after automated tests; database changes are checked before rollout.

Data protection by design and regular review

• automatic deletion of operational data after fixed periods (for example workflow runs and interface logs after 30 days, exports after 7 days),
• functions for access, export and anonymisation of end-customer data,
• regular review of the measures and adaptation to the state of the art.

Annex 2: Sub-processors

Last updated: 9 October 2026