Auftragsverarbeitungsvertrag (AVV)

Version vom 30.09.2026

zwischen dem Kunden (Unternehmen, das MaxCalc nutzt) – „Verantwortlicher“ oder „Auftraggeber“ – und der Auto Max E-Commerce UG (haftungsbeschränkt), Rappenweg 219, 81829 München, vertreten durch den Geschäftsführer Daniel Mazur, HRB 310929 AG München – „Auftragsverarbeiter“ oder „Auftragnehmer“.

Dieser Vertrag ist Bestandteil des Nutzungsvertrags über MaxCalc („Hauptvertrag“, AGB § 11). Er wird mit der Zustimmung zu den AGB bei der Registrierung elektronisch abgeschlossen (Art. 28 Abs. 9 DSGVO). Der Kunde kann ihn jederzeit unter maxcalc.de/avv abrufen, speichern und ausdrucken.

§ 1 Gegenstand, Dauer, Art und Zweck

(1) Gegenstand: Bereitstellung der Software MaxCalc als Online-Dienst: Abruf von Bestell-, Gebühren-, Werbe- und Retourendaten aus dem eBay-Verkäuferkonto des Auftraggebers über die eBay-Schnittstellen, Speicherung, Berechnung von Kennzahlen (Umsatz, Kosten, Marge), Anzeige, Export, Verarbeitung hochgeladener Dateien (CSV, Lieferantenrechnungen) und Versand von Hinweis- und Berichtsmails an den Auftraggeber.

(2) Dauer: Laufzeit des Hauptvertrags (einschließlich Testphase) und danach bis zur Löschung nach § 10.

(3) Art der Verarbeitung: Erheben (Abruf über die eBay-API), Speichern, Ordnen, Auslesen, Abgleichen, Berechnen, Anzeigen, Übermitteln an Unterauftragsverarbeiter, Einschränken, Löschen, Anonymisieren.

(4) Zweck: ausschließlich die Erbringung der im Hauptvertrag beschriebenen Leistungen für den Auftraggeber.

§ 2 Art der Daten und Kreis der Betroffenen

Keine besonderen Kategorien personenbezogener Daten (Art. 9 DSGVO). Käufer-E-Mail-Adressen und Telefonnummern werden nicht gespeichert.

Nicht Gegenstand dieses Vertrags sind die Kontodaten des Auftraggebers selbst (E-Mail, Passwort, Abrechnung); diese verarbeitet der Auftragnehmer als eigener Verantwortlicher nach seiner Datenschutzerklärung.

§ 3 Weisungen

(1) Der Auftragnehmer verarbeitet die Daten nur auf dokumentierte Weisung des Auftraggebers, auch bei Übermittlungen in ein Drittland, es sei denn, er ist durch Unionsrecht oder das Recht eines Mitgliedstaats dazu verpflichtet; in diesem Fall teilt er dem Auftraggeber diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das Recht dies nicht verbietet (Art. 28 Abs. 3 lit. a DSGVO).

(2) Die Weisungen werden durch den Hauptvertrag, diesen AVV und die Nutzung der Funktionen des Dienstes durch den Auftraggeber (z. B. Verbinden des eBay-Kontos, Hochladen einer Datei, Löschen des Kontos) erteilt. Weitere Weisungen erteilt der Auftraggeber in Textform an info@maxcalc.de.

(3) Ist der Auftragnehmer der Ansicht, dass eine Weisung gegen Datenschutzvorschriften verstößt, informiert er den Auftraggeber unverzüglich und darf die Ausführung bis zur Bestätigung oder Änderung aussetzen (Art. 28 Abs. 3 Satz 3 DSGVO).

(4) Der Auftragnehmer verwendet die Daten nicht für eigene Zwecke, insbesondere nicht für Werbung, Profilbildung, Benchmarks oder das Training von KI-Modellen.

§ 4 Vertraulichkeit

Der Auftragnehmer setzt nur Personen ein, die zur Vertraulichkeit verpflichtet sind oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen (Art. 28 Abs. 3 lit. b DSGVO). Zugriff auf Kundendaten haben ausschließlich die Geschäftsführung und von ihr beauftragte Entwickler, soweit dies für Betrieb, Support oder Fehlerbehebung nötig ist.

§ 5 Sicherheit der Verarbeitung

Der Auftragnehmer trifft die technischen und organisatorischen Maßnahmen nach Art. 32 DSGVO, die in Anlage 1 beschrieben sind. Er darf sie an den Stand der Technik anpassen, solange das Schutzniveau nicht unterschritten wird. Wesentliche Änderungen dokumentiert er.

§ 6 Unterauftragsverarbeiter

(1) Der Auftraggeber erteilt die allgemeine schriftliche Genehmigung (Art. 28 Abs. 2 DSGVO), Unterauftragsverarbeiter einzusetzen. Die bei Vertragsschluss eingesetzten Unterauftragsverarbeiter stehen in Anlage 2 und gelten als genehmigt.

(2) Der Auftragnehmer informiert den Auftraggeber mindestens 30 Tage vor dem Hinzuziehen oder Ersetzen eines Unterauftragsverarbeiters per E-Mail und durch Aktualisierung von Anlage 2 unter maxcalc.de/avv. Der Auftraggeber kann innerhalb dieser Frist aus wichtigem datenschutzrechtlichem Grund in Textform Einspruch erheben. Können sich die Parteien nicht einigen, darf der Auftraggeber den Hauptvertrag zum Zeitpunkt des Wechsels kündigen. In dringenden Fällen (z. B. Sicherheitsvorfall bei einem Dienstleister) kann die Frist verkürzt werden.

(3) Der Auftragnehmer verpflichtet jeden Unterauftragsverarbeiter vertraglich auf Datenschutzpflichten, die denen dieses Vertrags im Wesentlichen entsprechen (Art. 28 Abs. 4 DSGVO). Er haftet gegenüber dem Auftraggeber für dessen Einhaltung.

(4) Übermittlungen in Drittländer erfolgen nur, wenn die Voraussetzungen der Art. 44 ff. DSGVO erfüllt sind (Angemessenheitsbeschluss, insbesondere EU-US Data Privacy Framework, oder EU-Standardvertragsklauseln nach Durchführungsbeschluss (EU) 2021/914).

(5) Keine Unterauftragsverarbeitung sind Nebenleistungen wie Telekommunikation, Post, Wartung von Hardware durch Rechenzentrumsbetreiber ohne Datenzugriff; der Auftragnehmer trifft auch hier angemessene Vorkehrungen.

§ 7 Unterstützung des Auftraggebers

(1) Betroffenenrechte: Der Auftragnehmer unterstützt den Auftraggeber mit geeigneten technischen und organisatorischen Maßnahmen bei der Beantwortung von Anträgen nach Art. 12–22 DSGVO (Art. 28 Abs. 3 lit. e). Wendet sich eine betroffene Person direkt an den Auftragnehmer, leitet er die Anfrage unverzüglich an den Auftraggeber weiter und beantwortet sie nicht selbst, außer auf Weisung.

(2) eBay-Kontolöschungen: Löscht ein eBay-Mitglied sein eBay-Konto, erhält der Auftragnehmer über das Benachrichtigungsprogramm von eBay (Marketplace Account Deletion) eine Meldung und anonymisiert die personenbezogenen Daten dieses Mitglieds in den Daten des Auftraggebers automatisch. Der Auftraggeber erteilt hierzu die Weisung.

(3) Der Auftragnehmer unterstützt den Auftraggeber bei den Pflichten aus Art. 32–36 DSGVO (Sicherheit, Meldung von Verletzungen, Datenschutz-Folgenabschätzung, vorherige Konsultation) unter Berücksichtigung der ihm vorliegenden Informationen (Art. 28 Abs. 3 lit. f).

(4) Aufwand, der über die im Dienst eingebauten Funktionen (Export, Löschung) hinausgeht, kann der Auftragnehmer angemessen vergüten lassen, sofern er nicht auf einem Verstoß des Auftragnehmers beruht.

§ 8 Verletzungen des Schutzes personenbezogener Daten

(1) Der Auftragnehmer meldet dem Auftraggeber eine Verletzung des Schutzes personenbezogener Daten unverzüglich, spätestens innerhalb von 48 Stunden nach Bekanntwerden, per E-Mail an die im Konto hinterlegte Adresse (Art. 33 Abs. 2 DSGVO).

(2) Die Meldung enthält, soweit bekannt: Art der Verletzung, Kategorien und ungefähre Zahl der Betroffenen und Datensätze, wahrscheinliche Folgen, ergriffene und vorgeschlagene Maßnahmen, einen Ansprechpartner. Informationen, die noch nicht vorliegen, werden nachgereicht.

(3) Der Auftragnehmer ergreift unverzüglich Maßnahmen zur Eindämmung und dokumentiert den Vorfall.

§ 9 Nachweise und Kontrollen

(1) Der Auftragnehmer stellt dem Auftraggeber alle erforderlichen Informationen zum Nachweis der Einhaltung der Pflichten aus Art. 28 DSGVO zur Verfügung (Art. 28 Abs. 3 lit. h), vorrangig durch Anlage 1, aktuelle Nachweise der Unterauftragsverarbeiter (Zertifikate, Berichte) und schriftliche Auskünfte.

(2) Überprüfungen einschließlich Inspektionen vor Ort durch den Auftraggeber oder einen von ihm beauftragten, zur Verschwiegenheit verpflichteten Prüfer, der kein Wettbewerber des Auftragnehmers ist, sind nach rechtzeitiger Anmeldung (mindestens 14 Tage) während der Geschäftszeiten und ohne Störung des Betriebs möglich. Der Auftragnehmer kann dafür eine angemessene Vergütung verlangen, wenn die Prüfung nicht durch einen konkreten Verstoß veranlasst ist.

(3) Der Auftragnehmer informiert den Auftraggeber unverzüglich über Kontrollen oder Maßnahmen von Aufsichtsbehörden, soweit sie die Daten des Auftraggebers betreffen.

§ 10 Löschung und Rückgabe nach Vertragsende

(1) Nach Ende der Leistungserbringung löscht der Auftragnehmer alle personenbezogenen Daten des Auftraggebers, sofern nicht nach Unionsrecht oder dem Recht eines Mitgliedstaats eine Pflicht zur Speicherung besteht (Art. 28 Abs. 3 lit. g DSGVO). Vorher kann der Auftraggeber seine Daten jederzeit über die Exportfunktionen des Dienstes herunterladen („Rückgabe“).

(2) Fristen (AGB § 12): Löschung durch den Auftraggeber im Konto → sofort; Ende eines Abos → 30 Tage nach Vertragsende; Ende einer Testphase ohne Buchung → 90 Tage danach. Sicherungskopien beim Datenbankdienstleister werden im Rahmen des Sicherungszyklus (Anlage 1, Nr. 7) überschrieben; bis dahin sind sie vor Zugriff geschützt und werden nicht wiederhergestellt, außer zur Wiederherstellung des Gesamtsystems.

(3) Unabhängig davon löscht der Auftragnehmer Käuferdaten, wenn eBay dies wegen der Löschung des eBay-Kontos eines Käufers verlangt (§ 7 Abs. 2), und alle eBay-Daten spätestens 10 Tage nach dem Ende seiner Teilnahme am eBay Developers Program.

(4) Die Löschung wird auf Anfrage in Textform bestätigt.

§ 11 Pflichten des Auftraggebers

(1) Der Auftraggeber ist für die Rechtmäßigkeit der Verarbeitung verantwortlich, insbesondere dafür, dass er die Käuferdaten zur Auswertung seiner Bestellungen verarbeiten darf (Art. 6 Abs. 1 lit. b und f DSGVO) und seine Käufer in seiner eigenen Datenschutzerklärung über den Einsatz von Dienstleistern informiert.

(2) Er informiert den Auftragnehmer unverzüglich, wenn er Fehler oder Unregelmäßigkeiten bei der Verarbeitung feststellt.

§ 12 Haftung, Sonstiges

(1) Für die Haftung gilt Art. 82 DSGVO. Im Übrigen gelten die Haftungsregeln des Hauptvertrags (AGB § 10), soweit Art. 82 DSGVO dem nicht entgegensteht.

(2) Änderungen dieses Vertrags richten sich nach AGB § 15; Änderungen der Anlage 2 nach § 6.

(3) Bei Widersprüchen geht dieser AVV den AGB in Fragen des Datenschutzes vor.

(4) Es gilt deutsches Recht. Gerichtsstand wie im Hauptvertrag.

Anlage 1: Technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Stand: 30.09.2026. Beschreibt, was der Dienst tatsächlich tut.

1. Vertraulichkeit

Zutrittskontrolle. Der Auftragnehmer betreibt keine eigenen Server. Die Rechenzentren der Unterauftragsverarbeiter (Supabase auf AWS in Frankfurt, Vercel-Functions in Frankfurt) sind nach ISO 27001 bzw. SOC 2 zertifiziert; die Zutrittskontrolle liegt dort. Arbeitsplätze der Geschäftsführung: verschlossene Büroräume, Bildschirmsperre.

Zugangskontrolle.

• Anmeldung der Kunden mit E-Mail und Passwort (mindestens 8 Zeichen) über den Anmeldedienst von Supabase; Passwörter nur als Hash beim Dienstleister.
• Zwei-Faktor-Anmeldung (TOTP) für alle Kunden verfügbar; ist ein zweiter Faktor eingerichtet, verlangt der Dienst bei jeder Anfrage die höhere Sicherheitsstufe – eine vorher gestohlene Sitzung wird damit wertlos.
• Registrierung nur mit Einladungscode (nur als Prüfwert gespeichert, Einlösung atomar) bzw. später mit E-Mail-Bestätigung; die öffentliche Registrierung beim Anmeldedienst ist abgeschaltet.
• Begrenzung von Registrierungsversuchen (5 je 10 Minuten je IP-Adresse, instanzübergreifender Zähler in der Datenbank) und allgemeines Limit von 60 Anfragen je Minute und IP-Adresse.
• Administrative Zugänge (Datenbank, Hosting, Zahlungsdienstleister, eBay-Entwicklerkonto, E-Mail) nur für die Geschäftsführung.

Zugriffskontrolle.

• Mandantentrennung: jede Datenzeile trägt die Kennung des Kunden bzw. Mandanten; alle Serverabfragen filtern darauf. Zusätzlich Row Level Security in der Datenbank als zweite Schicht; Tabellen mit Geheimnissen (Tokens, Schlüssel) sind aus dem Browser nicht erreichbar (Zugriff nur serverseitig).
• Rollen im Konto (Inhaber, Packer, Lieferant) mit serverseitiger Sperre nicht erlaubter Bereiche. Der Browser hält nur den öffentlichen Schlüssel des Datenbankdienstes und die eigene Sitzung.
• Kunden erreichen nur ausdrücklich freigegebene Seiten und Schnittstellen (Allowlist, durch automatische Tests abgesichert).
• Zugriff der Geschäftsführung und Entwickler auf Kundendaten nur zu Support und Fehlerbehebung.

Trennungskontrolle. Logische Trennung je Kunde (s. o.); Test- und Entwicklungsumgebungen nutzen keine Kundendaten. Eine getrennte Produktionsumgebung für Kunden ist ab ca. 10 Kunden geplant.

Verschlüsselung / Pseudonymisierung.

• Transport: ausschließlich HTTPS/TLS; HSTS mit zwei Jahren.
• eBay-OAuth-Tokens, Signaturschlüssel für die eBay-Finanz-API und weitere Zugangsdaten werden mit AES-256-GCM verschlüsselt gespeichert; der Schlüssel liegt nur als Umgebungsvariable beim Hosting.
• Datenbank und Sicherungen beim Dienstleister verschlüsselt (Encryption at rest, AES-256).
• Zugangstokens für Browser-Erweiterungen und Einladungscodes nur als SHA-256-Prüfwert gespeichert.
• Hochgeladene Rechnungen werden nicht gespeichert; zur Wiedererkennung nur ihr SHA-256-Wert.

2. Integrität

Weitergabekontrolle. Übermittlung nur verschlüsselt an die Unterauftragsverarbeiter aus Anlage 2. eBay-Benachrichtigungen werden über die ECDSA-Signatur von eBay geprüft, Zahlungsbenachrichtigungen über die Signatur von Stripe. OAuth-Zustände sind HMAC-signiert und an die Sitzung des angemeldeten Nutzers gebunden. Schutz vor Cross-Site-Request-Forgery über die Herkunftsprüfung jeder schreibenden Anfrage. Sicherheits-Header: X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy strict-origin-when-cross-origin, Permissions-Policy.

Eingabekontrolle. Änderungen an Einkaufspreisen werden mit Zeitraum gespeichert (Preisperioden); CSV-Importe sind 10 Minuten lang rückgängig zu machen. Protokolle der Anwendung und des Hostings halten Zugriffe und Fehler fest. Fehlermeldungen an den Browser werden in Produktion bereinigt.

Schutz vor Schadcode und Missbrauch. Größenbegrenzung von Anfragen (50 MB) und Upload-Dateien (10 MB, Dateityp anhand des Dateiinhalts geprüft); der KI-Rechnungsimport behandelt Dokumente strikt als Daten (Schutz vor Prompt-Injection). Abhängigkeiten werden bei jeder Änderung automatisch geprüft, ebenso Typprüfung, Tests und Build.

3. Verfügbarkeit und Belastbarkeit

• Betrieb bei Vercel (Serverless, automatische Skalierung) und Supabase (verwaltete PostgreSQL-Datenbank).
• Sicherungen: automatische tägliche Sicherungen durch Supabase; Aufbewahrung gemäß dem gebuchten Tarif, danach automatisches Überschreiben.
• Die Originaldaten der eBay-Bestellungen liegen zusätzlich bei eBay und können erneut abgerufen werden (Wiederherstellbarkeit).
• Ratenbegrenzung schützt vor Überlast.

4. Verfahren zur regelmäßigen Überprüfung

• Jede Code-Änderung läuft vor dem Zusammenführen durch automatische Prüfung (Typprüfung, Tests, Build).
• Sicherheits-Audit des Gesamtsystems zuletzt am 24.09.2026 (Zugriffsregeln der Datenbank, Rollen, OAuth-Bindung, Ratenbegrenzung).
• Überprüfung dieser Maßnahmen mindestens jährlich und bei wesentlichen Änderungen.
• Ablauf bei Datenschutzverletzungen: erkennen → bewerten → Auftraggeber binnen 48 Stunden informieren → dokumentieren.

5. Auftragskontrolle

Unterauftragsverarbeiter nur mit Vertrag nach Art. 28 Abs. 4 DSGVO (Anlage 2); Auswahl nach Sicherheitsnachweisen (ISO 27001 / SOC 2).

6. Datenminimierung und Löschung

Nur die für die Margenberechnung nötigen Bestellfelder werden abgerufen; keine Käufer-E-Mail-Adressen oder Telefonnummern. Löschfristen siehe § 10. Die Selbstlöschung des Kontos im Dienst löscht alle Tabellen des Kunden und den Anmeldezugang.

7. Aufbewahrung von Sicherungen

Sicherungen beim Datenbankdienstleister werden im Sicherungszyklus des gebuchten Tarifs automatisch überschrieben. Eine gezielte Löschung einzelner Datensätze in Sicherungen ist technisch nicht möglich; sie werden bei einer Wiederherstellung erneut gelöscht.

Anlage 2: Unterauftragsverarbeiter

Stand: 30.09.2026. Änderungen kündigen wir nach § 6 Abs. 2 an.