Auftragsverarbeitungsvertrag (AVV)
Nach Art. 28 DSGVO zwischen dem Händler, der Stempl nutzt („Verantwortlicher“), und Stempl, SP41, Kukas, Jaipur, India („Auftragsverarbeiter“). Stand: 13. November 2026. Der Vertrag gilt mit Abschluss des Nutzungsvertrags (AGB, Nr. 9).
1. Gegenstand und Dauer
Der Auftragsverarbeiter erstellt, prüft, archiviert und versendet auf Weisung des Verantwortlichen Rechnungen aus dessen Bestelldaten. Der Vertrag läuft so lange wie der Nutzungsvertrag; danach gilt Nr. 9.
2. Art der Daten und Betroffene
Betroffen sind Käufer des Verantwortlichen. Verarbeitet werden Name, Firma, Rechnungs- und Lieferanschrift, E-Mail-Adresse, USt-IdNr., Bestell- und Zahlungsangaben (Positionen, Beträge, Steuern, Daten). Besondere Kategorien nach Art. 9 DSGVO werden nicht verarbeitet.
3. Weisungen
Der Auftragsverarbeiter verarbeitet die Daten nur auf dokumentierte Weisung des Verantwortlichen. Die Einstellungen in Stempl (z. B. automatischer Versand an Käufer) gelten als Weisung. Hält er eine Weisung für rechtswidrig, informiert er den Verantwortlichen unverzüglich.
4. Vertraulichkeit
Personen mit Zugriff auf die Daten sind zur Vertraulichkeit verpflichtet. Zugriff hat nur, wer ihn für Betrieb und Support braucht.
5. Technische und organisatorische Maßnahmen
- Verschlüsselung aller Verbindungen (TLS) und der gespeicherten Daten im Ruhezustand
- Speicherung von Datenbank und Archiv in Rechenzentren in der EU (Frankfurt am Main)
- Zugang zu Systemen nur mit Zwei-Faktor-Authentifizierung und starken Passwörtern
- Prüfsumme (SHA-256) für jede archivierte Rechnung; Rechnungen werden nach Abschluss nicht mehr verändert
- Trennung von Test- und Produktivdaten
- Kein Zugriff anderer Kunden: jede Abfrage ist auf das Konto des Verantwortlichen beschränkt
6. Unterauftragsverarbeiter
Der Verantwortliche stimmt dem Einsatz der in der Datenschutzerklärung (Nr. 8) genannten Unterauftragsverarbeiter zu. Über neue oder geänderte Unterauftragsverarbeiter informiert der Auftragsverarbeiter mindestens 30 Tage vorher per E-Mail; der Verantwortliche kann aus wichtigem datenschutzrechtlichem Grund widersprechen und den Vertrag dann kündigen.
7. Drittländer
Die Daten werden in der EU gespeichert. Ein Zugriff aus einem Drittland (insbesondere durch den Auftragsverarbeiter zu Support- und Betriebszwecken) erfolgt nur auf Grundlage der EU-Standardvertragsklauseln, die hiermit in der jeweils passenden Fassung vereinbart werden.
8. Unterstützung
Der Auftragsverarbeiter unterstützt den Verantwortlichen bei Anfragen Betroffener (Art. 12–23 DSGVO), bei der Sicherheit der Verarbeitung und bei Datenschutzverletzungen. Eine Verletzung des Schutzes personenbezogener Daten meldet er unverzüglich, spätestens innerhalb von 48 Stunden nach Kenntnis.
9. Löschung und Rückgabe
Nach Vertragsende werden die Daten gelöscht, soweit keine gesetzliche Aufbewahrungspflicht besteht. Rechnungen und ihre Daten unterliegen der Aufbewahrungspflicht von 10 Jahren und werden danach gelöscht. Auf Wunsch erhält der Verantwortliche vorher einen vollständigen Export.
10. Nachweise und Kontrollen
Der Auftragsverarbeiter stellt dem Verantwortlichen die zum Nachweis der Pflichten nötigen Informationen zur Verfügung, in erster Linie schriftlich. Kontrollen vor Ort sind nach rechtzeitiger Ankündigung möglich.